服务热线:0752-2819559

欢迎来访 广东芭乐app技术有限公司 官方网站!

新闻中心

NEWS CENTER

/
/
云安全:内部共享责任模型

云安全:内部共享责任模型

分类:
公司新闻
作者:
来源:
发布时间:
2019/09/29
【摘要】:
如今,很多组织遭遇网络攻击,这表明云计算安全是一个复杂的技术和合同问题。

  如今,很多组织遭遇网络攻击,这表明云计算安全是一个复杂的技术和合同问题。

  在最近发生的主要云安全事件中,黑客Paige A. Thompson同时窃取了其他三十多家公司、教育机构和其他实体的数TB的数据。

  正如这位被指控的网络攻击者在谈到AWS配置时所说,“很多组织在其安全方面都做错了。”

  那么,只有这一家公司在安全方面严重失误?并不是,这个事件与众不同。首先需要了解一些事情。调查表明,公司的业务在很大程度上依赖云计算服务。并且网络攻击是在Amazon简单存储服务(S3存储桶)中保存的数据上进行的。但是,由于防火墙配置错误,这次攻击并不是在没有任何安全措施的情况下对S3存储桶进行的攻击。

  简而言之,这些违规行为不是因为企业犯下了愚蠢的安全错误,而是因为在维护自身安全方面做得很差。

  应用程序防火墙(WAF)配置错误使得网络攻击者能够欺骗防火墙,并将请求转发给关键的AWS后端资源。攻击者使用服务器端请求伪造(SSRF)攻击来欺骗防火墙让攻击者进入。

  人们今后将会看到更多此类攻击。正如公司产品安全团队经理所说的那样,“这个问题很常见,并且众所周知,但很难预防,而且AWS平台没有任何应对或缓解措施。”

  因此,显然很多人可以将一些责任归咎于公司的公共云服务。但是,正如所谓的攻击者自己对AWS的配置所说的那样,很多公司在这方面做错了。正如公司在调查报告中预测,“其实95%的云安全故障都是客户的错。”

  然而有些人(例如参议员Ron Wyden)却将此次数据泄露的大部分责任推给公司,公司确实需要为此进行解释,但真正的问题是如果企业的安全措施不佳,就会在遭遇攻击时损失惨重。并且采用的云服务规模越大,损失越大。

  正如安全专家Brian Krebs指出的那样,这一漏洞并不是由先前未知的‘零日’缺陷或内部攻击造成的,而是由使用众所周知的错误进行攻击造成的。

  但是,在这一系列安全灾难事件中,谁真正犯了安全错误呢?是云计算提供商还是使用云服务的公司?答案是他们都有责任。

 

云安全的共享责任模型

  客户和云计算提供商各自负责云堆栈的不同部分。这个概念称为共享责任模型(SRM)。快速思考此模型的方法是云计算提供商负责云平台的安全性,采用云平台的用户则需要负责在云中的业务安全性。

  AWS都明确支持此模型。但是,所有公共云都在某种程度上使用它,它是企业目前处理云安全的技术和合同方式的基础。

  在最基本的层面上,它意味着企业负责管理程序级别以上的所有内容。其中包括客户操作系统、应用程序软件、云计算实例的防火墙以及传输和空闲时的加密数据。云计算提供商负责主机操作系统、虚拟化层及其设施的物理安全性。