大发龙虎大战你 好,游客 登录
背景:
阅读新闻

云安全:内部共享责任模型

[日期:2019-09-17] 来源:大发龙虎大战企业 网D1Net  作者: [字体: ]

  如今,很多大发龙虎大战组织 遭遇网络攻击,这表明大发龙虎大战安全是一个复杂的大发龙虎大战技术 和合同问题。

  在最近发生的主要云安全事件中,Capital One大发龙虎大战公司 的数据泄露事件影响了美国的1亿人和加拿大的600万人。其实并不只有Capital One大发龙虎大战公司 遭遇网络攻击,黑客Paige A. Thompson与此同时窃取了其他三十多家大发龙虎大战公司 、教育机构和其他实体的数TB的数据。

  正如这位被指控的网络攻击者在谈到AWS配置时所说,“很多大发龙虎大战组织 在其安全方面都做错了。”

  那么,只有这一家大发龙虎大战公司 在安全方面严重失误?并不是,这个事件与众不同。首先需要了解一些事情。调查表明,Capital One大发龙虎大战公司 的业务在很大程度上依赖亚马逊网络大发龙虎大战服务 (AWS)的大发龙虎大战大发龙虎大战服务 。并且网络攻击是在Amazon简单存储大发龙虎大战服务 (S3存储桶)中保存的数据上进行的。但是,由于防火墙配置错误,这次攻击并不是在没有安全措施的情况下对S3存储桶进行的攻击。

  简而言之,这些违规行为不是因为大发龙虎大战企业 犯下了愚蠢的安全错误,而是因为在维护自身安全方面做得很差。

  Capital One大发龙虎大战公司 的ModSecurity Web应用程序防火墙(WAF)配置错误使得网络攻击者(前AWS员工)能够欺骗防火墙,并将请求转发给关键的AWS后端资源。攻击者使用大发龙虎大战服务 器端请求伪造(SSRF)攻击来欺骗防火墙让攻击者进入。

  人们今后将会看到大发龙虎大战更多 此类攻击。正如Cloudflare大发龙虎大战公司 大发龙虎大战产品 安全团队经理Evan Johnson所说的那样,“这个问题很常见,并且众所周知,但很难预防,而且AWS平台没有应对或缓解措施。”

  因此,显然很多人可以将一些责任归咎于AWS大发龙虎大战公司 的公共云大发龙虎大战服务 。但是,正如所谓的攻击者自己对AWS的配置所说的那样,很多大发龙虎大战公司 在这方面做错了。正如Gartner大发龙虎大战公司 在调查报告中预测,“其实95%的云安全故障都是客户的错。”

  然而有些人(例如参议员Ron Wyden)却将此次数据泄露的大部分责任推给AWS大发龙虎大战公司 ,AWS大发龙虎大战公司 确实需要为此进行解释,但真正的问题是如果大发龙虎大战企业 的安全措施不佳,就会在遭遇攻击时损失惨重。并且采用的云大发龙虎大战服务 规模越大,损失越大。

  正如安全专家Brian Krebs指出的那样,这一漏洞并不是由先前未知的‘零日’缺陷或内部攻击造成的,而是由使用众所周知的错误进行攻击造成的。

  但是,在这一系列安全灾难事件中,谁真正犯了安全错误呢?是大发龙虎大战提供商还是使用云大发龙虎大战服务 的大发龙虎大战公司 ?答案是他们都有责任。

  云安全的共享责任模型

  客户和大发龙虎大战提供商各自负责云堆栈的不同部分。这个概念称为共享责任模型(SRM)。快速思考此模型的大发龙虎大战方法 是大发龙虎大战提供商负责云平台的安全性,采用云平台的用户则需要负责在云中的业务安全性。

  AWS和Microsoft Azure大发龙虎大战公司 都明确支持此模型。但是,很多公共云都在某种程度上使用它,它是大发龙虎大战企业 目前处理云安全的大发龙虎大战技术 和合同方式的基础。

  在基本的层面上,它意味着大发龙虎大战企业 负责管理程序级别以上的很多内容。其中包括客户操作系统、应用程序大发龙虎大战软件 、大发龙虎大战实例的防火墙以及传输和空闲时的加密数据。大发龙虎大战提供商负责主机操作系统、虚拟化层及其设施的物理安全性。

  当然在现实世界中,它很少如此简单,人们需要了解一些新的安全事件。

  AWS大发龙虎大战公司 表示,“安全与合规是AWS与用户之间的共同责任。这种共享模式可以大发龙虎大战帮助 减轻用户的运营负担,因为AWS大发龙虎大战公司 可以运行、管理和控制从主机操作系统和虚拟化层到组件的物理安全性的组件,以及大发龙虎大战服务 运营的设施。客户承担操作系统的责任和管理(包括更新和安全补丁),其他相关的应用大发龙虎大战软件 以及AWS提供的安全组防火墙的配置。”

  对于Capital One大发龙虎大战公司 来说,他们没有正确设置防火墙。但是,获得AWS身份和访问管理(IAM)角色临时凭据变得更容易。有了这些临时凭证,进行大发龙虎大战服务 端请求伪造(SSRF)攻击相对容易。

  Johnson声称有几种大发龙虎大战方法 可以减少临时凭证的使用。Netflix大发龙虎大战公司 还表明,大发龙虎大战企业 可以在AWS云平台中发现临时安全凭证的使用。所以AWS大发龙虎大战公司 可以更好地锁定防火墙,但是,Capital One大发龙虎大战公司 首先设置防火墙。简而言之,这一切都变得相当混乱。

  这并不奇怪。正如大发龙虎大战行业 专家指出的那样,将云安全要求视为一种范围。大发龙虎大战大发龙虎大战服务 客户将适用于其大发龙虎大战组织 的很多监管法规、大发龙虎大战行业 和业务要求(GDPR、PCI DSS、合同等),其总和等于该大发龙虎大战组织 的很多特定安全要求。这些安全要求将有助于确保数据的机密性、完整性、可用性。

  安全要求范围的一端是大发龙虎大战大发龙虎大战服务 提供商,另一端是采用大发龙虎大战大发龙虎大战服务 的用户。提供商负责其中一些安全要求,用户对其余部分负责,但都应该满足一些安全要求。大发龙虎大战大发龙虎大战服务 提供商和采用云大发龙虎大战服务 的用户都有义务保护数据。

  但是,在谁负责什么之间划清界限也不容易。没有一种适合很多云平台安全性的解决方案。例如,如果使用大发龙虎大战软件 即大发龙虎大战服务 (SaaS)办公套件,例如谷歌的GSuite,显然是由谷歌负责而不是由用户负责。如果在平台即大发龙虎大战服务 (PaaS)上运行自己的应用程序,那么可以同时承担该程序运行的信誉和责任。

  如果仔细观察,人们会发现AWS大发龙虎大战公司 提供三种不同的共享责任模型(SRM)。这些是基础设施大发龙虎大战服务 、容器大发龙虎大战服务 、抽象大发龙虎大战服务 。Azure和其他公共云大发龙虎大战服务 商也具有类似的安全策略设置。

  基础设施包括计算大发龙虎大战服务 (如EC2)和支持大发龙虎大战服务 ,例如弹性块存储(EBS)、自动扩展和虚拟专用网络(VPC)。使用此模型,用户可以像在大发龙虎大战本地 部署或自己的数据中心一样在AWS云平台中安装和配置操作系统和平台。除此之外,还可以安装应用程序。最终,用户可以将数据驻留在自己的应用程序中,并由自己进行应用程序管理。

  容器大发龙虎大战服务 与Docker和类似大发龙虎大战技术 几乎没有关系,这些大发龙虎大战技术 在用户考虑容器时会浮现在脑海中。相反,这些大发龙虎大战服务 通常在单独的Amazon EC2或其他基础设施实例上运行,但有时用户不用管理操作系统或平台层。

  AWS提供托管大发龙虎大战服务 ,但用户负责设置和管理网络控制(例如防火墙规则),以及与身份和访问管理(IAM)分开管理平台级别身份和访问管理。容器大发龙虎大战服务 的示例包括Amazon 关系数据库大发龙虎大战服务 (Amazon RDS)、Amazon 弹性映射还原(Amazon EMR)和AWS Elastic Beanstalk。

  在这里,AWS大发龙虎大战公司 管理底层基础设施和基础大发龙虎大战服务 、操作系统和应用程序平台。例如,使用Amazon RDS AWS管理容器的很多层,包括Oracle数据库平台。但是,AWS平台提供数据备份和恢复大发龙虎大战工具 ;用户的工作是维护其业务连续性和灾难恢复政策。还负责数据和防火墙规则。因此,虽然Amazon RDS提供防火墙大发龙虎大战软件 ,但其工作是管理防火墙。

  抽象大发龙虎大战服务 是高级存储、数据库和消息传递大发龙虎大战服务 。它们包括Amazon 简单存储大发龙虎大战服务 (Amazon S3)、Amazon DynamoDB、Amazon Simple Email Service。这些抽象了用户可以构建和运行云应用程序的平台或管理层。可以使用他们的AWS API执行此操作。AWS大发龙虎大战公司 来管理底层大发龙虎大战服务 组件或操作系统。

  在这里,用户的安全工作是使用身份和访问管理(IAM)大发龙虎大战工具 管理数据,以便对平台级别的各个资源应用访问控制列表(ACL)样式权限,或者在身份和访问管理(IAM)用户/组级别应用用户身份或用户责任权限。

  以下了解一个简单的例子。亚马逊大发龙虎大战公司 将Amazon Elastic Compute Cloud(Amazon EC2)归类为基础设施即大发龙虎大战服务 (IaaS)云平台。有了它,用户负责管理客户操作系统(包括更新和安全补丁),在实例上安装的很多应用程序大发龙虎大战软件 或实用程序,以及AWS每个实例提供的防火墙(也称为安全组)的配置。但是,需要使用Amazon S3运行基础设施层、操作系统和平台,客户访问端点以存储和检索数据。用户负责管理其数据(包括加密选项),对其资产进行分类以及使用身份和访问管理(IAM)应用适当权限的大发龙虎大战工具 。

  了解其重点了吗?这两者都是基础设施即大发龙虎大战服务 (IaaS),但它们有不同的规则。

  这个故事的寓意是,用户须仔细研究大发龙虎大战存储资源管理大发龙虎大战服务 (SRM)大发龙虎大战服务 协议。不过,尽管须准确地了解其使用的每项大发龙虎大战服务 的内容以及谁负责每项大发龙虎大战服务 ,但基本概念并不太复杂。大发龙虎大战提供商负责云平台的安全,而用户负责其云平台业务的安全。

  未来的大发龙虎大战复杂度更高

  云原生计算已经混淆了共享责任模型(SRM)中的内容。例如,AWS大发龙虎大战公司 现在提供AWS Lambda。这是一种无大发龙虎大战服务 器大发龙虎大战大发龙虎大战方法 ,可让用户在不配置或管理大发龙虎大战服务 器的情况下运行代码。因此,如果没有大发龙虎大战服务 器,那么谁为大发龙虎大战服务 器负责?

  亚马逊大发龙虎大战公司 表示,采用Lambda,AWS大发龙虎大战公司 管理底层基础设施和基础大发龙虎大战服务 、操作系统和应用程序平台。用户负责代码的安全性、敏感数据的存储和可访问性以及身份和访问管理(IAM)。

  这就留下了问题。例如,既然用户正在使用Lambda来运行代码,那么代码的责任在哪里结束,Lambda的责任从哪里开始?

  正如Gadi Naor大发龙虎大战公司 首席大发龙虎大战技术 官和全栈云原生安全平台提供商Alcide大发龙虎大战公司 联合创始人司所说,“使用无大发龙虎大战服务 器架构意味着大发龙虎大战组织 有新的盲点,只是因为他们难以访问架构的操作系统,防止他们在这些工作负载中添加防火墙,基于主机的入侵防护或工作负载保护大发龙虎大战工具 。”

  这只是个开始。例如,Kuberrnetes正在使混合云同时在多个云平台上运行。那么,如果用户正在运行一个跨越新的基于Red Hat的IBM云平台和AWS的程序,那么谁负责保护整个项目?当出现问题时谁负责?而且,最后但并非最不重要的是,当最终用户起诉时谁来支付费用?

  这是一个很好的问题。对于人们正在进入的这个新的复杂云世界,仍然没有很好的答案。

  那么,用户可以做些什么?首先,确保了解自己的云安全需求。用户不能选择大发龙虎大战大发龙虎大战服务 提供商并制定云安全协议,直到知道什么对自己有用。这些不仅仅是大发龙虎大战技术 问题。它们也是需要关注的法律问题。

  有了这些信息,用户就可以与大发龙虎大战提供商制定安全协议。这应该在其大发龙虎大战服务 级别协议中明确规定。

 

  最后,无论合同中有什么内容,用户和其安全人员都须确保基于大发龙虎大战的数据和大发龙虎大战服务 尽可能安全。毕竟,这是自己的数据和工作,如果出了问题,将需要承担不可推托的责任。

大发龙虎大战推荐 打印 | 录入:admin | 阅读:
本文评论   
评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 大发龙虎大战本站 管理人员有权保留或大发龙虎大战删除 其管辖留言中的任意内容
  • 大发龙虎大战本站 有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款