作者：juniu网络 来源:互联网 发布时间:2023-07-06
往年夏天，美国首要资本投资集团 capital one (美国第 5 大银行)成为大规模数据暴露的受害者，该数据暴露涉及超过 1 亿张信用延迟大申请和 14 万个社会安全性号码.的原因是：一名流量攻击者发起服务端伪造请求或 ssrf，诱使服务器连接到本不应该连接的服务器.这是一种新的网络安全性漏洞，它起源于云数据处理.
事实上，ssrf 已成为使用公共云服务器的公司所面临的最严重的漏洞之一.ssrf 流量攻击的潜在危害由于提供公共云服务器而变得更加严重.然而，在这次事件中，尽管遭到破坏的服务器和信息位于 aws 的基础设施上，但 capital one 对此事件负有全部责任.和所有其他云服务器一样，当客户使用云服务器时，服务商只负责保护基础框架，而客户则负责保护其信息和运用程序.
目前，关于云服务器的误解是，使用云服务器，意味着保护你的信息和运用程序不受威胁.依据调查机构 ema 最近一项调查发现，有 53%的人认为云服务器供应商应对大多数或所有公共云服务器的安全性负责.
一、 过分随意的权限控制和实际操作是云服务器安全性性的漏洞
问题不在于云服务器本身.现在，大多数安全性专家都认为，云基础框架最少与公司IDC机房一样安全性.相反，问题出在过于随意的人为处理方式.
基本上，云服务器与本地架设的服务器没多少不同.但是越来越多公司从未完善地控制使用云服务器的权限.
许多公司都将云服务器作为一种便捷的方式，来满足其开发人员和最终客户对快速调配和对他们的运用程序的更好控制的需求.云提供商使那些仅具备中等技术技能的人可以轻轻松松地安装运用程序和上传信息.
但是易用性也会造成虚假的安全性感.云服务器使管理方式变得更加友好的同时，也可能使你根据一键式实际操作造成严重灾难.目前的现状是，越来越多公司在不具备确保安全性使用的水平之前就已经开始启用云服务器，他们的安全性运营团队甚至不总是参与其中.缺乏安全性性程序或简单的粗心大意，甚至蒙蔽会使那些最精通网络的公司.
这些数据暴露事件都不是大型云提供商的错，它们都提供了世界一流的安全性控制.但是，每个公司对产品的定义都有些不同，许多服务需要额外付费.控件也不一定易于理解.两年前，由于对嵌套和重叠权限的混淆，无数客户无意中使机密信息公开暴露，从而使 amazon 全面改革了其 s3 云存放服务的安全性控制.
诸如此类的事件凸显了公司在使用云服务器时需要更好地了解其职责并开发保护客户免受自身伤害的程序的需求.有关调查机构预计，在未来6年中，云安全性故障的 99%将是人为错误造成的，90%无法控制公共云服务器规范使用的公司将不恰当地共享隐私信息.
2、内部安全性风险与云服务配置错误
近年来，人们对云安全性的认识发生了明显变化.总的来说，云服务器比大多数公司自身的IDC机房更加安全性.云服务器供应商将资源投进网络安全性建设中，这使其相比尽大多数公司自身维护网络安全性来说更加专精和安全性，例如，云服务器供应商可以更好地应对 “零日” 漏洞或迄今未发现的潜在威胁，因为它们可以监控许多流量攻击点.
现在，云安全性性的质量是如此之高，以至于很非常容易被认为云服务器供应商会处理所有事情.但是，正如 aws 的 “共享责任模型” 所说明的那样，有明确的界线.云服务器类似一栋公寓楼.房东保护建筑物周边，但将单个公寓的安全性性留给租户.云服务器供应商以类似的方式捍卫他们的云数据处理平台所在的基础设施，但将系统软件、运用程序和信息的控制权留给客户.
最常见的云服务器安全性风险与公司内部架设服务器的风险相同.但是，云服务器可以采取密码保护措施.长期以来，弱密码一直是公司要解决的最顽固的问题之一，但是，当受保护的资产是云管理帐户时，对公司的风险可能会更大.如果大家可以进进云服务器的控制台，则可以不受限制地访问该帐户上的所有服务器.多因素身份验证，是所有云提供商都提供的相对简单的补救措施，但默认情况下没有强加于人.
近年来，更大的问题是配置了错误的云服务，如 capital one 漏洞根源.ibm 公司在 2019 年表示，由于配置错误而导致的云安全性事件数量在 2018 年上升了 20%.mcafee 调查发现，客户每月平均识别 37 次配置错误事件.但是研究人员还估计，大约有 99%的错误配置未被注意到.
1、怎样提高云服务器的安全性性?
所有这些因素并不能构成反对使用公共云服务器的理由.云服务器提供商在加强服务方面已取得了长足的进步，其创新步伐将继续超过大多数客户.
“巨牛科技” 建议客户实施严格的访问控制，对访问权限开展微细分，始终对信息开展加密，并了解公司所控制的基础框架：任何使用公共云服务器的人员都应熟悉 “责任共担模型”，要强调云服务器的安全性性是客户与其云提供商之间的共同责任.
如果客户没有专精的技术团队，建议不要轻易尝试多云和混合云环境.管理多云和混合云环境的复杂性提高了资产管理的门槛.您需要知道您有着什么硬件、服务和运用程序，它们在哪里执行以及如何配置.
但是，即使是最细致的预防措施也无法满足粗心的客户的需求.尽管云数据处理巨头已经为保护其客户而采取了所有措施，但的威胁还是在于客户错误或不谨慎的实际操作.
