和我的好友 Steve 共作此篇
本文原文地址：https://mp.weixin.qq.com/s/UU0mGXrwE60wLNlqkHIutg
前言#
隨著雲計算的快速普及，安全問題已逐漸成為企業關注的核心。雲環境的複雜性、多樣性及其開放性，給企業帶來了前所未有的安全挑戰。為幫助企業深入了解和應對這些風險，雲安全聯盟大中華區發布《2024 年雲計算頂級威脅》。報告基於對 500 多位行業專家的深入調研，匯集了他們對當前雲安全環境的見解與建議，旨在提升企業對雲計算相關威脅、漏洞及風險的認識和警覺。
報告指出，2024 年雲計算面臨的安全威脅格局正在顯著變化，傳統的威脅如拒絕服務攻擊和共享技術漏洞逐漸被邊緣化，而新的安全問題，如配置錯誤、身份與訪問管理缺陷、不安全的 API 接口、雲安全策略缺失等，正在成為雲環境中的核心風險。
2024 年 11 項頂級雲安全威脅#
報告指出，由雲服務提供商 (CSP) 負責的傳統雲安全問題在排名中的持續下降。此前報告中提到的拒絕服務攻擊、共享技術的漏洞以及 CSP 數據丟失等問題，本次因評級較低而未被納入本報告，基礎設施即服務 (IaaS) 環境中的舊雲安全問題不再是主要擔憂。
報告對每項威脅進行了分析，包括其描述、業務影響、關鍵措施以及實際案例，同時參考了 CSA 的《雲計算關鍵領域安全指南第 5 版》中的相關章節和 CSA《雲控制矩陣（CCM）》及《CAIQ v4》中的相關緩解控制措施。最後，整體方法論代表了 CSA《雲審計知識證書學習指南 v1》中提出的頂級威脅方法論。
1 - 配置錯誤與變更控制不足#
雲計算資產的錯誤配置或次優設置 **** 會使其容易受到意外損壞或外部 / 內部惡意活動的影響。缺乏對雲安全設置的系統知識或對潛在惡意意圖的了解，常常導致錯誤配置。常見的錯誤配置包括：密鑰管理不當、禁用監控和日誌、ICMP 未關閉、不安全的自動備份、存儲訪問控制不足以及過度開放的雲訪問權限。AWS S3 存儲桶的錯誤配置更是常見的安全漏洞來源之一，導致數據洩露的風險顯著增加。
此外，變更控制不足在雲環境中可能導致配置問題得不到及時發現和修復，增加了系統的安全風險。雲環境中複雜的架構和頻繁的變更使得傳統 IT 基礎設施管理方法不再適用。企業需要借助雲原生的安全工具和實時自動化驗證，來有效管理和減少錯誤配置帶來的安全風險。
關鍵措施
- 雲配置監控、審核和評估：通過機器學習，自動化檢測雲系統安全配置的常見錯誤，減少對手動檢查的依賴。
- 雲系統變更管理：確保在業務變革和安全挑戰中，所有變更都經過實時自動化驗證，減少錯誤和漏洞。
2 - 身份與訪問管理（IAM）#
身份與訪問管理 (IAM) 確保只有經過授權的人員在證明了其身份後才能訪問他們有權訪問的資源。這一系統在定義和管理用戶角色、訪問權限以及這些權限分配或撤銷的具體條件時至關重要。儘管 IAM 在安全中扮演關鍵角色，但由於其複雜性以及不斷變化的網絡威脅，IAM 在網絡安全中仍面臨持續的挑戰。關鍵組件包括用戶認證、授權、單點登錄 (SSO)、多因素認證 (MFA) 以及活動監控，這些都在 IAM 的有效性中起到重要作用。然而，這些功能的複雜性和動態性也可能引入漏洞，特別是當沒有正確實施、配置、更新和監控時，可能帶來重大風險。
隨著網絡威脅的日益複雜，安全敏感信息的保護越來越成為一項艱巨的任務。未能正確實施和改進 IAM 策略會使網絡安全防禦體系變得不堪一擊。因此，持續改進 IAM 策略對於加固網絡防禦是不可或缺的。
關鍵措施
- 統一 IAM 解決方案：使用提供強認證、集中管理和多雲環境下可見性的 IAM 解決方案。
- 遵循最小權限原則：確保用戶僅擁有執行任務所需的最低訪問權限，減少潛在漏洞。
- 自動化用戶配置和撤銷：使用自動化工具管理賬戶生命周期，確保權限及時更新和刪除。
- 訪問評估和監控：實施自動化工具來管理賬戶的生命周期和權限，防止未授權訪問。
3 - 不安全的接口與 APIs#
雲服務提供商 (CSP)、企業供應商和內部開發人員提供機器對機器的應用程序編程接口 (API) 或完整的人機界面 (UI) 套件，通常用於系統控制。然而，初始的設計需求往往與長期使用不一致。領導層的變動、企業戰略方向的調整或第三方合作夥伴的訪問需求，會暴露出潛在風險，並帶來快速部署的時間壓力。此前的決策、未記錄的假設、遺留支持需求、不良的架構設計或本地部署 / IaaS/SaaS 產品一致性期望，都可能影響企業向雲端過渡的進程。
由於各種原因，API 和 UI 容易受到攻擊，常見問題包括：1. 身份驗證機制不足，2. 缺乏加密，3. 會話管理不當，4. 輸入驗證不足，5. 記錄和監控不佳，6. 過時或未打補丁的軟件，7. 假設的保護策略在上雲期間未能實現，8. 過度開放的訪問控制，9. 對時間敏感的應用缺乏檢測。Akamai 2024 年報告顯示，“從 2023 年 1 月到 12 月，網絡攻擊中有 29% 針對的是 API”。2023 年，OWASP 指出，接口安全的重要性已反映在最新的 API 安全十大問題列表中。
關鍵措施
- API 提供的攻擊面應按照最佳實踐進行監控和安全保護。
- 應實施速率限制和限流策略，以防止拒絕服務 (DoS) 攻擊和憑據填充攻擊。
- 傳統的安全控制方法和變更管理策略必須根據基於雲的 API 增長進行更新。通過縮短憑據的有效期、引入多因素身份驗證 (MFA) 來提升安全性。
- 在遷移功能時，確認產品和服務的一致性。供應商本地部署方案的 API 接口與 SaaS 應用之間調用存在較大延時，在不同的超大規模雲服務提供商之間遷移時，可能會有很大的不同。
- 調查憑據生命周期自動化技術以及持續監控異常 API 流量的技術。結合威脅情報的 API 接口可以實時糾正問題。
4 - 雲安全策略缺失#
儘管雲計算技術已經成熟，企業對其應用越來越廣泛，但有效的雲安全架構和策略往往仍未得到足夠重視。缺乏明確的安全策略可能導致雲環境中的安全漏洞，進而引發一系列安全事件。雲安全策略包括考慮各種外部因素、現有實施情況以及雲技術、優先事項的選擇，並朝著創建高層次計劃或方法前進。這些洞見有助於企業實現雲安全目標並支持業務目標。
關鍵措施
- 制定雲安全策略或關鍵指導原則，明確目標或目的。
- 在設計和實施雲安全控制和措施時，考慮業務目標、風險、效率、安全威脅和法律合規性。
- 預見潛在的人為錯誤、攻擊者行為，採用縱深防禦策略，將配置安全列為優先事項。
- 設計適當的最佳實踐雲網絡、賬戶、數據、身份管理和邊界保護的最佳實踐，專注於策略的落地與執行。
5 - 不安全的第三方資源#
雲計算的採用正在迅速增加，第三方資源可能包括從外部編寫的代碼、開源庫到 SaaS 產品，或如威脅 3 中提到的不安全的接口和 APIs。源於第三方資源的風險也被視為供應鏈漏洞，因為它們是將雲服務或應用程序交付給客戶的一部分。這也被稱為網絡安全供應鏈風險管理（C-CSRM），其重點在於管理雲服務或應用程序中的供應鏈網絡安全風險。
根據科羅拉多州立大學的研究，三分之二的數據洩露事件源自供應商或第三方資源的漏洞。由於產品或服務是由多個組件構成，攻擊者往往可以通過任何一個環節進行攻擊（例如嵌入代碼中的單行代碼）。對於惡意黑客來說，他們只需要找到整個系統中最薄弱的一環作為切入點，通常這類薄弱環節可能是大型企業所依賴的某個小型供應商。
關鍵措施
- 軟件無法完全確保安全，尤其是那些由第三方開發的代碼或產品。因此，組織可以做出明智的決策，選擇那些獲得官方支持、具有合規認證的第三方資源，並要求提供透明的安全處理機制。
- 使用軟件成分分析（SCA）工具識別第三方資源，創建軟件物料清單（SBOM）或 SaaSBOM，以便清楚了解供應鏈中的所有組件。
- 持續追蹤 SBOM 和第三方資源，確保所使用的產品不會包含已知漏洞，及時獲得更新和修復信息。
- 定期對第三方資源進行自動化和手動審查，確保它們符合最新的安全要求，並及時更新到安全版本。
- 與供應商合作，確保其擁有執行自動化安全測試的能力，並具備相應的培訓和工具，以減少供應鏈中的潛在安全隱患。
6 - 不安全的軟件開發#
儘管開發人員並不會有意創建不安全的軟件，但軟件和雲技術的複雜性往往會無意中引入漏洞。當這種不安全的軟件被部署後，攻擊者可能利用這些漏洞來危害雲應用程序的安全。通過專注於 “雲優先策略”，組織可以構建 DevOps 流水線，推動持續集成 / 持續交付（CI/CD）的實施。雲服務提供商（CSP）還提供安全開發功能，如防護或自動化的應用程序安全測試。此外，CSP 還提供身份與訪問管理（IAM）功能，以在開發環境中強制實施最小權限原則，並支持追蹤修復工作。
確保每個開發人員理解公司與 CSP 的共享責任假設至關重要，這需要持續的安全教育。例如，當在開發人員的軟件中報告了 0day 漏洞時，開發人員有責任修復該問題。反之，如果漏洞存在於 CSP 提供的開發或操作環境中，則應由 CSP 負責實施補丁來解決該問題。
採用雲技術可以讓公司專注於獨特的業務需求，而將其他一切交給 CSP 來管理和監控。根據《雲控制矩陣 4.0》的建議，組織應 “定義並實施安全開發生命周期（SDLC）流程”，用於應用程序設計、開發、部署和運營，以符合組織設定的安全要求。通過實施 SDLC，企業將更加專注於交付更安全的雲應用程序。
關鍵措施
- 定義並實施安全開發生命周期（SDLC）流程，該流程包括在設計、開發和運營階段進行漏洞掃描和弱點檢測。
- 無論如何，沒有任何軟件是絕對安全的。企業應利用雲技術開發更安全的雲應用程序，並部署機制增強系統的彈性。
- 使用雲技術可以避免重新發明已有的解決方案，開發人員可以使用護欄和其他 API 專注於解決業務中的獨特問題。
- 理解共享責任模型，例如修補 CSP 服務或開發者應用中的漏洞，確保快速補救。
- CSP 重視安全，並提供指導，例如 “良好架構框架” 或安全設計模式，幫助企業安全實施服務。
7 - 意外的數據洩露#
意外的數據洩露（通常由於配置錯誤導致）的風險正在逐年增加。免費公共搜索工具可以幫助定位公開的數據存儲庫，而這些風險廣泛存在於多個雲存儲服務中，如亞馬遜 S3 存儲桶、Azure Blob、GCP 存儲、Elasticsearch 等。這些問題儘管已被廣泛討論，但過去兩年中，Elasticsearch 和 S3 存儲桶的漏洞依舊頻繁出現，通常在暴露後 24 小時內即被攻擊利用。
2024 年 4 月，雲安全聯盟發布的研究顯示，21.1% 的公共存儲桶中包含敏感數據。這些意外洩露的數據不僅包括常見的姓名、國籍、出生日期和性別，還涉及更多敏感信息，如護照信息、密碼、教育數據、駕駛執照、醫療記錄和生物識別數據。許多此類洩露是由於用戶監督不足或配置錯誤引起的。
關鍵措施
- 所有雲平台都有可能因配置錯誤或用戶操作失誤導致數據洩露。企業應採取技術和流程結合的方式，推進教育計劃、IT 審計、法律規劃等，以減少此類錯誤的發生。
- 一些基本的配置步驟可以顯著降低意外數據洩露的可能性，例如：確保存儲桶配置為私有、加密內容、使用強密碼並啟用多因素認證（MFA）。每個主要的雲提供商（如亞馬遜、谷歌、微軟）都提供詳細的配置安全指南。
- 為顯著降低風險，應實施基於最小權限原則的身份與訪問管理（IAM）策略，嚴格控制數據庫訪問權限，並定期審計。
- 定期審查數據存儲的權限，確保合規性和數據安全。如果配置得當，雲安全態勢管理（CSPM）工具還可以自動修復潛在的安全問題。
8 - 系統漏洞#
系統漏洞是雲服務平台中的安全缺陷，攻擊者可能通過這些漏洞危害數據的機密性、完整性和可用性，甚至可能導致服務中斷。雲服務通常由定制軟件、第三方庫、服務以及操作系統構建而成，任何組件中的漏洞都可能使雲服務更容易受到網絡攻擊威脅。
系統漏洞主要分為配置錯誤、0day 漏洞、未修補的軟件以及弱密碼或默認憑據。配置錯誤常常發生在雲服務使用默認或錯誤配置進行部署時，依據 NSA 的報告，配置錯誤是雲計算中最常見的安全問題之一。0day 漏洞指的是那些已經被發現並被攻擊者利用，但尚未被雲服務提供商和軟件供應商修補的漏洞。未修補的軟件則是指包含已知安全問題的軟件，儘管已經發布了相應補丁，但這些漏洞仍未得到修復。此外，弱密碼或使用默認憑據則是由於缺乏強大的身份驗證機制，攻擊者可以輕鬆地獲得對系統和數據的未經授權訪問權。這些漏洞的存在大大增加了雲服務受到網絡攻擊的風險，需要進行及時的修補和配置強化，以確保系統的安全性。
關鍵措施
- 系統漏洞是雲服務中擴展攻擊面的问题根源之一。NSA 和 CSA 的調查顯示，配置錯誤是最顯著的雲服務漏洞。
- 持續監控系統和網絡，通過增加可見性來發現和修復安全漏洞及其他系統完整性問題。
- 定期實施補丁管理，以確保最新的安全補丁能夠及時獲取並部署，提高系統對網絡攻擊的防禦能力。
- 零信任架構可以通過持續驗證身份和限制對關鍵雲資源的訪問，減少 0day 漏洞的潛在危害。
9 - 雲可見性 / 可觀測性不足#
當組織無法有效可視化或分析雲服務的使用是否安全時，就會出現雲可見性 / 可觀測性不足的問題。這個問題主要體現在兩個方面：未經授權的應用使用和已批准應用的誤用。未經授權的應用使用通常發生在員工未經 IT 部門和安全許可的情況下使用雲應用和資源，這導致了 “影子 IT” 的問題。當涉及敏感數據時，這種情況尤其危險。已批准的應用誤用則發生在組織無法監控其已批准應用的使用情況時，內部員工或外部威脅通常利用這些漏洞，通過憑證盜竊、SQL 注入或 DNS 攻擊等手段實施攻擊。
關鍵措施
- 制定全面的雲可見性解決方案：從頂層設計入手，指派雲安全架構師創建整合人員、流程和技術的解決方案。
- 進行全員培訓：確保所有員工接受雲使用政策的培訓，並遵守相關規定。
- 審查並批准未經批准的服務：讓雲安全架構師或第三方進行風險管理審查，並批准所有未經批准的雲服務。
- 採用雲訪問安全代理（CASB）和零信任安全解決方案，使用這些工具分析外部活動、發現雲使用情況並識別高風險用戶。
10 - 未驗證的資源共享#
未經驗證的雲資源共享可能會對雲服務構成重大安全風險。雲資源可能包括虛擬機、存儲桶和數據庫，其中包含敏感數據和對業務操作至關重要的應用程序。如果缺乏用戶身份驗證或未遵循最小權限原則，雲資源便會面臨威脅，攻擊者可能會竊取公司和個人的機密數據。
確保雲資源安全的最佳做法之一是使用基本的身份驗證機制，至少需要密碼輸入。然而，每年仍有大量數據洩露事件與雲存儲和數據庫系統沒有密碼保護有關。在如今龐大的數據網絡中，尋找未受保護的雲資源似乎是個挑戰，但實際上使用 Shodan、Binary Edge 和 Grayhat Warfare 等物聯網（IoT）搜索工具，很容易發現未受保護的數據存儲庫。
關鍵措施
- 雲存儲和數據庫有時缺乏密碼保護，容易被任何人訪問。強制執行基本的用戶身份驗證是限制對雲資源訪問的重要手段。
- 通過部署 MFA 和第三方認證服務進一步增強身份驗證。
- 持續監控用戶活動有助於判斷其行為是否合法或具有惡意。
11 - 高級持續性威脅 (APT)#
高級持續性威脅（APT）仍然對雲安全構成重大風險。這些複雜的對手，包括國家行為者和有組織的犯罪團伙，擁有資源和專業知識，可以在雲環境中發起長期攻擊，目標往往是敏感數據和關鍵業務資源。在 2022-2023 年，APT 活動對雲環境構成了重大威脅，其攻擊手段多種多樣，包括勒索軟件、0day 漏洞的利用、網絡釣魚、憑證盜竊、破壞性擦除數據攻擊和供應鏈攻擊等。這些攻擊手段突顯了 APT 的持續性特性，企業必須採取強有力的安全措施，以保護其雲基礎設施免受這些高級威脅。
為了防禦雲環境中的 APT 攻擊，企業應當密切監控網絡威脅情報，深入了解最活躍的 APT 組織及其戰術、技術和程序（TTPs）。定期進行紅隊演練可以幫助企業測試和改進其檢測和響應 APT 攻擊的能力。同時，威脅狩獵活動也是 APT 檢測的重要組成部分，尤其是在雲環境中。
多層次的雲安全策略，包括強大的訪問控制、加密、監控和事件響應，是防禦高級對手攻擊的關鍵。
關鍵措施
- 業務影響分析：定期進行業務影響分析，以識別和了解企業的關鍵信息資產及其潛在漏洞。這有助於企業將安全資源和努力重點放在保護最有價值的數據上。
- 網絡安全信息共享：參與網絡安全信息共享組和論壇，了解最活躍的 APT 組織及其戰術、技術和程序（TTPs）。通過這些集體知識，可以增強企業的防禦和響應能力。
- 攻擊性安全演習：通過紅隊演習和威脅狩獵活動定期模擬 APT 的戰術、技術和程序（TTPs）。這些攻擊性安全演習有助於測試和提高您的檢測和響應能力，確保您的安全措施能夠有效應對複雜的威脅。
2022 年與 2024 年雲安全威脅排名對比分析#
本報告分析了雲安全威脅的演变态勢，重點關注了配置錯誤、IAM（身份和訪問管理）弱點、不安全的 APIs 以及缺乏全面安全策略的持續性問題。雖然這些威脅與 2022 年報告中識別的相同，但它們的持續存在突顯了其關鍵性。
2024 年報告提高了對以下關鍵安全問題的關注：
1. 配置錯誤與變更控制不足：如今位居 2024 年頂級威脅調查首位，相較於 2022 年報告中的第三位有所上升。多年來，配置管理一直是組織能力成熟度的基石。然而，向雲計算的過渡加劇了這一挑戰，使團隊必須採用更強大的雲特定配置。由於雲服務的持續網絡訪問和無限容量特性，配置錯誤可能對整個組織產生廣泛影響。
2. 身份與訪問管理 (IAM)：曾位居首位，如今降至第二位。雲環境中仍存在重放攻擊、偽造身份和權限過多等挑戰，這與本地設置類似。然而，使用自簽名證書和糟糕的加密管理顯著地增加了其安全風險。零信任架構的實施和軟件定義邊界（SDP）的應用正成為受訪者重點關注的問題，反映了這些問題在雲安全中的重要性。
3. 不安全的接口和 APIs：從第二位降至第三位，微服務的採用突顯了保護接口和 API 的重要性。儘管它們在雲服務（包括 SaaS 和 PaaS 產品）中起着關鍵作用，但由於開發人員的效率不足與雲服務所需要的持續在線的要求，導致保障安全的接口和 API 仍然面臨巨大挑戰。
4. 雲安全策略缺失：仍位於第四位，這一領域持續關注的問題是：為什麼在規劃和構建安全解決方案時仍存在重大挑戰？雲計算已經是穩定發展的技術，它需要明確的可執行的架構策略。
CSA《2024 年雲計算頂級威脅》不僅是一份技術導向的文件，它還是一個指導原則和行動指南。通過提供深入的分析、案例研究和實用建議，該報告旨在幫助組織提升自身的雲安全水平，降低潛在風險，並在面對複雜多變的安全挑戰時保持警惕與準備。
結論和未來展望#
作為雲安全領域的領導者，CSA 持續為企業提供支持，以應對不斷演變的安全威脅。通過持續的威脅跟蹤和深入研究，CSA 為企業提供了切實可行的解決方案和行業標準，以確保它們能夠在快速變化的技術環境中，具備強大的安全防護能力。本報告正是基於這些努力，旨在為企業提供前瞻性的威脅洞察與應對策略。
未來，隨著雲計算與安全技術的不斷進步，尤其是 AI 與雲計算的加速融合，多個關鍵趨勢將對雲安全威脅格局產生深遠影響。企業必須保持高度警惕，積極應對這些趨勢，以確保其雲環境的安全與穩定。
雲計算的四大關鍵趨勢#
1. 攻擊複雜性的增加：攻擊者將繼續開發更複雜的技術，包括通過人工智能技術（AI）利用雲環境中的漏洞。這些新技術將需要具有持續監控和威脅狩獵能力的主動安全姿態。
2. 供應鏈風險：雲生態系統的日益複雜將增加供應鏈漏洞的攻擊面。組織需要將其安全措施擴展到其供應商和合作夥伴。
3. 不斷演變的監管環境：監管機構可能會實施更嚴格的數據隱私和安全法規，要求組織適應其雲安全實踐。
4. 勒索軟件即服務（RaaS）的興起：RaaS 將使技術不熟練的參與者更容易對雲環境發起複雜的勒索軟件攻擊。組織將需要強大的數據備份和恢復解決方案以及嚴格的訪問控制。
針對這些趨勢企業可以採取以下關鍵的緩解策略：#
- 在整個軟件開發生命周期（SDLC）中集成 AI：利用 AI 進行代碼審查和早期開發中的自動漏洞掃描等任務，將有助於在代碼投入生產之前識別和解決安全問題。
- 使用 AI 驅動的攻擊性安全工具：這些工具模擬攻擊者行為，以發現雲配置、IAM 協議和 API 中的漏洞。這種主動方法有助於組織領先於潛在威脅。
- 雲原生安全工具：組織將越來越多地採用專為雲環境設計的雲原生安全工具。與傳統安全解決方案相比，這些工具提供更好的可見性和控制。
- 零信任安全模型：零信任模型強調持續驗證和最小權限訪問，已成為雲安全的標準。
- 自動化和編排：自動化安全流程和工作流程對於管理雲安全複雜性至關重要。
- 安全技能培訓：網絡安全技能差距將繼續是一個挑戰。組織需要重視和投入預算用於培訓和發展計劃，為員工提供持續教育，不斷提升員工的安全專業技能和安全意識。
通過應用這些策略，企業可以打造一個安全、彈性的雲環境，並保持對不斷演變的威脅的警惕。然而，隨著網絡安全形勢的不斷變化，企業還需要持續適應並投資於尖端的安全解決方案，如雲安全態勢管理（CSPM）和端點檢測與響應（EDR）工具，以確保它們始終處於領先地位，並有效減輕與雲安全漏洞相關的財務與聲譽風險。
致謝#
《2024 年雲計算頂級威脅（Top Threats to Cloud Computing 2024）》由 CSA 雲安全聯盟頂級威脅研究工作組專家編寫，並由 CSA 大中華區組組織專家完成翻譯並審校。感謝以下專家和單位的貢獻（以下排名不分先後）：
翻譯組成員
陸琪 劉連杰 劉剛 趙晨曦 卜宋博 肖文棣
審校組成員
郭鵬程 黨超輝 卜宋博
貢獻單位：
愛立信、天翼安全、天翼雲、中國移動（香港）、晨星資訊