云安全涉及保护云计算环境免受外部和内部网络安全威胁的程序和技术。云计算是通过互联网提供信息技术服务，已成为寻求加速创新和协作的企业和政府的必需品。需要旨在防止未经授权的访问的云安全和安全管理最佳实践，以保护云中的数据和应用程序免受当前和新出现的网络安全威胁。
一、云计算类别
云安全性因所使用的云计算类别而异。云计算主要分为四类：
- 由公共云提供商运营的公共云服务——包括软件即服务 (SaaS)、基础设施即服务 (IaaS) 和平台即服务 (PaaS)。
- 由公共云提供商运营的私有云服务——这些服务提供了一个专用于一个客户的计算环境，由第三方运营。
- 由内部员工操作的私有云服务——这些服务是传统数据中心的演变，内部员工在其中操作他们控制的虚拟环境。
- 混合云服务——私有云和公共云计算配置可以结合起来，根据成本、安全性、运营和访问等优化因素托管工作负载和数据。操作将涉及内部员工，以及可选的公共云提供商。
当使用公共云提供商提供的云计算服务时，数据和应用程序由第三方托管，这标志着云计算与传统 IT 的根本区别，传统 IT 大部分数据保存在一个自我控制的网络中。了解您的安全责任是构建云安全策略的第一步。
二、云安全职责的细分
大多数云提供商都试图为客户创建安全的云。他们的商业模式取决于防止违规和维护公众和客户的信任。云提供商可以尝试避免他们提供的服务出现云安全问题，但无法控制客户如何使用该服务、他们添加了哪些数据以及谁有权访问。客户可以通过他们的配置、敏感数据和访问策略削弱云中的网络安全。在每种公共云服务类型中，云提供商和云客户分担不同级别的安全责任。按服务类型，这些是：
- 软件即服务 (SaaS) — 客户负责保护他们的数据和用户访问。
- 平台即服务 (PaaS) — 客户负责保护他们的数据、用户访问和应用程序。
- 基础设施即服务 (IaaS) — 客户负责保护他们的数据、用户访问、应用程序、操作系统和虚拟网络流量。
在所有类型的公共云服务中，客户负责保护他们的数据并控制谁可以访问这些数据。云计算中的数据安全是成功采用和获得云优势的基础。考虑流行的 SaaS 产品（如 Microsoft Office 365 或 Salesforce）的组织需要规划他们将如何履行共同的责任来保护云中的数据。那些考虑提供像 Amazon Web Services (AWS) 或 Microsoft Azure 这样的 IaaS 产品的人需要一个更全面的计划，该计划从数据开始，但也涵盖云应用程序安全、操作系统和虚拟网络流量——每一个都可能带来数据安全问题.
三、云安全挑战
由于公共云中的数据由第三方存储并通过互联网访问，因此在维护安全云的能力方面出现了一些挑战。这些是：
- 对云数据的可见性——在许多情况下，云服务是在企业网络之外和不受 IT 管理的设备上访问的。这意味着 IT 团队需要能够深入了解云服务本身，以全面了解数据，而不是传统的网络流量监控方式。
- 控制云数据——在第三方云服务提供商的环境中，与在自己的场所控制服务器和应用程序相比，IT 团队对数据的访问更少。默认情况下，云客户的控制权有限，无法访问底层物理基础设施。
- 访问云数据和应用——用户可以通过互联网访问云应用和数据，使得基于传统数据中心网络边界的访问控制不再有效。用户可以从任何位置或设备访问，包括自带设备 (BYOD) 技术。此外，云提供商人员的特权访问可以绕过您自己的安全控制。
- 合规性——云计算服务的使用为监管和内部合规性增加了另一个维度。您的云环境可能需要遵守 HIPAA、PCI 和 Sarbanes-Oxley 等法规要求，以及内部团队、合作伙伴和客户的要求。云提供商基础设施以及内部系统和云之间的接口也包含在合规和风险管理流程中。
- 云-本地泄露——云中的数据泄露与本地泄露不同，因为数据盗窃通常使用云的本地功能发生。云原生漏洞是攻击者采取的一系列行动，他们通过在不使用恶意软件的情况下利用云部署中的错误或漏洞“登陆”攻击，通过弱配置或受保护的接口“扩展”他们的访问权限以定位有价值的数据，并将该数据“渗透”到他们自己的存储位置。
- 错误配置——云原生漏洞通常归于云客户的安全责任，其中包括云服务的配置。研究表明，目前只有 26% 的公司可以审核其 IaaS 环境中的配置错误。IaaS 的错误配置通常充当云原生漏洞的前门，允许攻击者成功登陆，然后继续扩展和泄露数据。研究还表明，云客户在 IaaS 中没有注意到 99% 的错误配置。以下是这项研究的摘录，显示了这种级别的错误配置断开：
- 灾难恢复——需要网络安全规划来保护重大负面漏洞的影响。灾难恢复计划包括旨在支持数据恢复并允许组织继续运营和业务的策略、程序和工具。
- 内部威胁——流氓员工能够使用云服务将组织暴露于网络安全漏洞。最近的 McAfee Cloud 采用和风险报告显示，85% 的组织中存在表明内部威胁的不规则活动。
四、云安全解决方案
寻求云安全解决方案的组织应考虑以下标准，以解决云数据可见性和控制等主要云安全挑战。
1、云数据的可见性
云数据的完整视图需要直接访问云服务。云安全解决方案通过与云服务的应用程序编程接口 (API) 连接来实现这一点。通过 API 连接，可以查看：
- 哪些数据存储在云中。
- 谁在使用云数据？
- 有权访问云数据的用户的角色。
- 云用户与谁共享数据。
- 云数据所在的位置。
- 从哪里访问和下载云数据，包括从哪个设备。
2、控制云数据
一旦您了解云数据，就可以应用最适合您的组织的控制。这些控制包括：
- 数据分类——在云中创建的数据在多个级别上进行分类，例如敏感、受监管或公共。分类后，可以阻止数据进入或离开云服务。
- 数据丢失防护 (DLP)——实施云 DLP 解决方案以保护数据免受未经授权的访问，并在检测到可疑活动时自动禁用数据访问和传输。
- 协作控制——管理云服务中的控制，例如将指定用户的文件和文件夹权限降级为编辑者或查看者、删除权限以及撤销共享链接。
- 加密——云数据加密可用于防止未经授权访问数据，即使该数据被泄露或被盗。
3、访问云数据和应用程序
与内部安全一样，访问控制是云安全的重要组成部分。典型的控制包括：
- 用户访问控制——实施系统和应用程序访问控制，确保只有授权用户才能访问云数据和应用程序。云访问安全代理(CASB)可用于实施访问控制
- 设备访问控制——当未经授权的个人设备试图访问云数据时阻止访问。
- 恶意行为识别——使用用户行为分析 (UBA) 检测受损帐户和内部威胁，以免发生恶意数据泄露。
- 恶意软件预防——使用文件扫描、应用程序白名单、基于机器学习的恶意软件检测和网络流量分析等技术防止恶意软件进入云服务。
- 特权访问——确定特权帐户可能对您的数据和应用程序拥有的所有可能的访问形式，并实施控制以减少风险。
4、合规性
应增强现有的合规性要求和实践，以包括驻留在云中的数据和应用程序。
- 风险评估——审查和更新风险评估以包括云服务。识别并解决云环境和提供商引入的风险因素。云提供商的风险数据库可用于加快评估过程。
- 合规性评估——审查和更新 PCI、HIPAA、Sarbanes-Oxley 和其他应用程序监管要求的合规性评估。
