侵权投诉

搜索
更多>> 热门搜索:
订阅
纠错
加入自媒体

云计算配置不当将为数据中心带来安全挑战

2019-06-19 11:43
来源: 中国IDC圈

最近的调查表明,配置不当的公共云实例将给企业的敏感数据带来安全挑战。当数据和应用程序从内部部署环境迁移到云端时,并不总是遵循正确的访问控制。因此,云计算配置仍然是一个主要问题。

在线工作网站Ladders泄露了它在亚马逊网络服务云平台上托管的1300多万条用户记录。其原因是什么?AWS ElasticSearch服务实例的访问控制配置错误。

今年5月,UpGuard公司安全研究人员的调查报告表明,5亿多个Facebook用户的数据被第三方泄露,第三方将这些信息存储在未受保护的AmazonS3存储桶中。营销服务商Chtrbox公司证实了这一泄露事件,但表示其影响范围没有报道的那么大。

根据SANS研究所上个月发布的一份报告,31%的受访者表示,外部人员未经授权访问云计算环境或云计算资产,而2017年这一比例为19%。虽然这些攻击的主要原因是凭证劫持,但云计算配置不佳是第二个主要原因。

这些糟糕的配置不只是面向公众访问的数据库。例如容器管理平台等其他云计算系统,也是网络攻击者主要的目标。

Palo Alto网络公司最近发现了4万多个使用默认配置的容器托管服务,其中包括在Kubernetes和Docker这两个最流行的容器平台上,每个都在2万个以上,其配置问题可能使组织容易受到攻击。

例如,Docker公司在今年4月承认黑客侵入了一个Docker Hub数据库,并且可能从19万个帐户窃取了数据。根据Palo Alto网络威胁研究员Nathaniel Quist的说法,黑客利用了密钥和令牌存储的弱安全配置。

Quist表示,最近的Ladders漏洞是一个基本的容器错误配置的例子,这种错误配置会产生重大后果。

他在一份报告中写道:“人们应该从Ladders漏洞中吸取的教训是,所有部署容器服务的组织需要加强安全配置。”

Malwarebytes实验室主管Adam Kujawa表示,网络攻击者会在云中搜索开放端口或特定的命名约定。随后他们进入云计算管理平台的登录页面,而其凭证是设备厂商的默认密码,或者根本没有设置密码。

根据Attivo公司去年年底进行的一项针对安全专业人士的调查,对云计算的攻击是企业面临的最大安全威胁。今年早些时候,堪萨斯州安全厂商Firemon公司发布的一项调查显示,60%的受访者表示,他们的云部署已经超过了保护云平台的能力。

Firemon公司技术联盟副总裁Tim Woods说,问题在于云计算的蔓延。例如,业务用户通常会在没有IT团队监管的情况下获得云计算功能。

他指出,黑客正在不间断地扫描公共互联网,寻找他们可以轻松访问和攻击的系统。他说,“这些黑客不需要破解密码,只是在寻找那些没有配置不当的东西。”

Woods表示,大型企业需要确保他们在所有云计算部署中都具有可见性,并且有人对所有迁移到云中的数据负责。云计算供应商的安全措施也需要加强。

他说,“我认为云计算供应商做得还不够,因为变化很快。当今的云计算供应商处于加速开发模式。去年我参加AWS Reinvent会议时,该公司推出了238多种不同的新安全功能,其中很多数据都是无意中对外泄露的。”

AWS公司引入的一项新功能是阻止公共访问功能,该功能已经对意外泄露的S3存储桶的数量产生了重大影响。根据Digital Shadows公司日前发布的一份报告,S3存储桶泄露的文件数量从2018年10月的1600万个下降到今天的2000个。

但这只是一家云计算提供商的云配置挑战的一个具体示例。

Woods说,“大型企业通常采用多个云计算提供商的服务。每个云计算供应商都有不同的安全方法,而在安全方面,他们需要分清哪些是自己的责任,哪些是客户的责任。”

他说:“仅仅因为理解云计算提供商的责任,并不意味着它们都是一样的。”

总部位于弗吉尼亚州阿灵顿的云计算安全供应商DivvyCloud公司联合创始人兼首席技术官Chris DeRamus表示,问题在于企业很难掌握所有可能出现的配置错误。

他说:“越来越多的企业由于配置错误而遭受数据泄露,人们几乎每天都在新闻中看到这些新闻。事实上,组织缺乏适当的工具来识别和修复不安全的软件配置和部署。”

他说,企业需要寻找能够实时检测错误配置的自动化解决方案,并提醒安全管理人员注意这些问题,甚至自动解决。

声明: 本文系OFweek根据授权转载自其它媒体或授权刊载,目的在于信息传递,并不代表本站赞同其观点和对其真实性负责,如有新闻稿件和图片作品的内容、版权以及其它问题的,请联系我们。

发表评论

0条评论,0人参与

请输入评论内容...

请输入评论/评论长度6~500个字

您提交的评论过于频繁,请输入验证码继续

暂无评论

暂无评论

文章纠错
x
*文字标题:
*纠错内容:
联系邮箱:
*验 证 码:

粤公网安备 44030502002758号