云安全中的零信任：永不信任，始终验证

身份和访问管理 (IAM) 对云安全至关重要，它确保访问权限有限，并防止攻击者利用内部弱点。

译自 Zero Trust in Cloud Security: Never Trust, Always Verify，作者 Edward Viaene。

身份和访问管理是云安全的基石。它也是最复杂的理解产品。它经常导致无法分配必要的最小权限。当发生违规时，如果为应用程序和服务分配了过于广泛的权限集，攻击者可以访问组织的其他部分。公司基础设施团队需要具备相当的意识和知识，才能确保他们能够实施有效的控制措施，尤其是在身份管理以及如何限制对某些员工的访问方面。

通常，内部安全团队对公有云的了解不足。他们了解组织级别的控制和策略，但不一定知道如何将它们转换为云中使用的技术。我们可以向他们展示 AWS 哪些控制措施适合实施以及如何监控基础设施以确保安全合规性。

作为基础设施专家，我们经常直接与组织内的开发人员和领导或基础设施团队交谈，帮助他们进行必要的更改以提高云安全性。在公有云中，这可能非常复杂，从开发人员的角度来看，如果他们是一家初创公司或没有此类控制措施的公司，他们可能会面临不受约束的风险。

保护网络层对于减少攻击面至关重要。为了保护您已部署的应用程序和服务，请在网络级别使用分层安全方法，在多个安全控制。使用零信任：永远不要信任；始终验证。公有云提供商在其目录中提供了各种工具来实施身份验证、授权和私有隔离网络。

公司可能在不知不觉中默认将所有服务公开，因为这是在云中运行某些服务的标准方式。如果您想使用对象云存储，则可以使用控制措施。您可以说没有人可以访问这个或那个文件，但该服务仍然可以公开访问。因此，当您使用公有云时，需要付出努力来限制访问并构建这些分层控制，以确保例如，只有连接到 VPN 的开发人员或员工才能访问服务，即使这些服务默认情况下在公有云上是公开的。

重要的是要识别所有公开暴露的服务。如果您在访问控制方面犯了错误，或者您的应用程序中存在错误，那么有人可能会窃取信息。这种情况确实发生过——最著名的是 2019 年，一名黑客获得了 1 亿个 Capital One 信用卡申请和账户的访问权限。

因此，请激活云安全功能。公有云提供商提供了一些您可以选择激活的控制措施来增强安全性。一些控制措施甚至是在云客户发生重大违规事件后才引入的（例如，Capital One 违规事件导致了 AWS IMDSv2 功能的推出）。云 API 安全监控和最佳实践清单也可用。

对所有内容进行加密。公有云提供商拥有密钥管理系统，可以轻松进行加密。可以设置控制措施，仅允许加密流量访问数据存储。理想的目标是对所有静止数据和传输中的数据进行加密。可以通过在加密/解密密钥上设置身份和访问管理权限来引入额外的安全层。这将访问权限与系统（应用程序开发团队需要）和数据访问权限（软件工程师或基础设施团队并不总是需要）分开。

持续监控安全合规性。如果团队中的某个人部署了不安全的应用程序或创建了不符合规范的配置选项，则需要通知某人并采取行动。一旦团队对当前的安全基线感到满意，就可以配置自动操作，以便不再需要人工干预。当用户部署不符合规范的基础设施时，它将被自动删除或禁用。

在许多云市场中，AWS 是领先的云服务提供商，您可以生成访问密钥，然后将这些密钥提供给开发人员的笔记本电脑。但是，由于忘记或丢失访问密钥，发生了很多安全漏洞。您可能会授予开发人员访问生产数据的权限，但忘记了您拥有此访问密钥，然后该密钥在应用程序中的其他地方丢失或被盗。您将突然面临因忘记凭据而导致的数据泄露。这种情况发生在公司没有实施控制措施时，而不是因为他们经常不知道这种风险。

持续监控安全性和合规性至关重要。云提供商拥有工具来监控并深入了解可能存在的配置错误。我们建议使用这些产品来识别和提醒您何时创建了不符合您设定标准的新服务或新代码。例如，您说所有数据都应加密，但如果有人创建了一个数据存储区并且数据未加密，您会收到警报。然后，您可以进行调查，并让负责的员工意识到您的策略规定所有内容都需要加密，这是一种人工干预。

近年来，云环境变得越来越复杂。拥有所有内部知识具有挑战性，但数据安全对于公司作为企业进行的所有活动都至关重要，如果冒此风险，他们将冒其他所有风险。监管比以往任何时候都多，罚款的风险也越来越大，尤其是在欧洲，GDPR 或需要遵守 GDPR 的美国公司（如果他们拥有欧洲服务），可能会对您的收入造成重大打击，更不用说声誉受损了。这风险不值得。