云计算的顶级威胁.pdf

序序言言随着数字经济时代的来临，云计算、大数据、5G和人工智能技术蓬勃发展，我们迎来新一轮的科技革命和产业变革。数字技术已经成为企业转型和发展的关键要素，而云是企业数字化转型的基础支柱，也是企业的首要技术重点。我国在十四五规划中，将云计算作为数字经济重点产品之首，加快数字化发展，建设数字中国，实施“上云用数赋智”行动，推动数据赋能全产业链协同转型。在数字化转型不断加深的大背景下，越来越多的企业正在将数据和应用程序迁移到云中。云上安全问题也更加广泛和突出。IDC调研显示，云计算所面临的挑战中，安全问题排在首位。2022年RSA大会上，云安全已经成了创新沙盒最热门赛道。历年的云计算顶级威胁给出了企业在使用云计算服务时面临的11类顶级威胁，并对每类威胁问题进行了分析。11类顶级威胁突出反映了当前云计算使用过程中最重要的几类云安全问题：身份和访问管理、API安全、错误配置和变更控制、以及缺乏云安全架构和策略。基于2022年威胁的排名可以发现，身份管控、API安全在云安全中的重要性明显上升，同时，云配置和变更控制依然占据很重要的位置，第三方资源（源代码、SaaS产品和API风险）的安全则是供应链安全主要关注的风险。云原生技术架构使得云计算具有了弹性、敏捷、资源池和服务化等特征，容器化和无服务器负载显著提高了云计算应用的敏捷性，但同时也带来了新的安全要求和挑战。无服务器和容器化工作负载的错误配置和利用，可能导致系统中断、数据泄露、数据丢失、以及攻击发生。未来，云计算市场依然持续高速增长，根据IDC数据，预计2020-2025年中国云计算复合增长率达到26.3%，安全性会是企业上云、用云首要、长期关注的内容。云计算架构的不断发展使得多云、边缘云、分布式云成为了新的发展趋势，同时，云原生技术及开发流程进一步普及，容器、无服务器架构、云原生应用程序开发流程、API 等会成为越来越广泛的应用。攻击日新月异，我们也无惧挑战，云安全在向着多云安全、零信任、数据安全、云原生安全等技术发展趋势不断深入，风险面对，责任共担，大家共同携手促进云安全技术及产业生态的完善建设，护航行业数字化上云之路，开拓数字化新时代。李雨航 Yale LiCSA 大中华区主席兼研究院院长 2022 云安全联盟大中华区版权所有5目目录录序言.4概要.6调查.7威胁 1:身份、凭据，访问和密钥管理、特权账号管理的不足.9威胁 2:不安全的接口和API.14威胁 3:配置不当和变更控制的不足.17威胁 4:缺乏云安全架构和战略.21威胁 5:不安全的软件开发.24威胁 6:不安全的第三方资源.27威胁 7:系统漏洞.31威胁 8:云计算数据的意外泄露.35威胁 9:无服务器和容器化工作负载的配置不当和利用.38威胁 10:有组织的犯罪、黑客和APT攻击.42威胁 11:云存储数据泄露.45结论.49 2022 云安全联盟大中华区版权所有6概概要要顶级威胁报告一贯旨在提高对云威胁、漏洞和风险的认识。我们在撰写本报告前，调查了700多位业界专家并探讨了云行业的安全问题。今年，受访者评估了云环境中的11个重要安全威胁。顶级威胁工作组结合调查结果和专业知识编写了2022年度云计算的11类顶级威胁报告。最新报告按调查结果重要程度着重介绍了前11类威胁（括号中的是2019年调查的排名）：1.身份、凭据，访问和密钥管理、特权账号管理的不足(4)2.不安全的接口和API(7)3.配置不当和变更控制的不足(2)4.缺乏云安全架构和战略(3)5.不安全的软件开发6.不安全的第三方资源7.系统漏洞(8)8.云计算数据的意外泄露9.无服务器和容器化工作负载的配置不当和利用10.有组织的犯罪、黑客和APT攻击(11)11.云存储数据泄漏观观察察和和依依据据2019新冠病毒大流行和随后的封锁重新定义了工作场所，居家办公不再是一种员工乐于接受的弹性工作方式，而是企业持续经营的必要条件。云工作负载、供应链以及边缘计算、物联网（IoT）、运营技术（OT）和区块链等新技术的流行和复杂性改变了云安全格局。软件定义边界（SDP）和零信任架构（ZTA）等新概念改变了我们对资源访问的看法。我们在分析了调查的所有反馈之后，注意到在云服务提供商（CSP）的努力下，传统云安全问题的排名持续下降。2019年度云计算的11类顶级威胁（EE）中描述的拒绝服务、共享技术漏洞、CSP数据丢失和系统漏洞之类问题的排名现在非常低，已不在 2022 云安全联盟大中华区版权所有7本报告之列。这表明，人们明显加大了对云的信任；基础设施即服务（IaaS）环境中的老式云安全问题似乎不那么令人担忧。此外，我们发现数据泄露不再是首要的云安全问题。调查中评分较高的调查项目指出云用户是薄弱环节。受访者不再关注元结构（EE中排名为9）、控制平面薄弱（EE中排名为8）或云使用可见性（EE中排名为10）是否会成为云部署中的问题。从2016年的顶级威胁（Treacherous Twelve）到2019年的顶级威胁（EE），再到今年的调查评估获得的顶级威胁，关注点不断变化。今年的顶级威胁突显了用户直接控制相关的安全问题：身份和访问管理、加密、配置管理、不良的编码习惯以及对战略云方向的忽视。敏捷项目管理和DevOps项目的上升使终端软件团队直面这些复杂的组合性问题。表现优异的云企业将是那些强调变革管理、增加员工交叉培训、嵌入团队安全拥护者以及在文化上做到安全与合规的公司。新冠封锁的要求结束之后，云继续蓬勃发展，并成为每天的期望。本报告通过调查分析这十一种威胁、风险和漏洞，为云方向未来的成功助力。目目标标读读者者云和安全从业者和爱好者可以从本报告受益，了解云安全威胁和挑战的最新情况、对行业的影响，以及个人或行业可以采取的改进措施。最后，这项基于调查的研究也为合规、风险、技术人员和管理层提供了当前的技术趋势和高优先级云安全问题。调调查查在撰写2022年度云计算的11类顶级威胁报告时，CSA顶级威胁工作组的研究包含两个阶段。这两个阶段都调查收集了网络安全专业人员对云计算最相关的威胁、漏洞和风险安全问题的想法和意见，最终确定了2022年度的顶级威胁。在第一个研究阶段，该小组的目标是通过对工作组成员的调查，创建一个云安全问题候选清单。工作组从一个包含26个安全问题的清单入手（2019年EE报告中的11个问题，以及通过讨论增加的15个新问题）。工作组通过一系列的会议对26个问题进行了讨论，2022 云安全联盟大中华区版权所有8并要求成员们说明每个问题对其组织的重要性以及他们对自己熟悉的组织的了解。在这个研究阶段，工作组成员们也可以提出这26个问题之外的其他问题。综合以前调研结果和其他相关信息，工作组标定了19个最突出的云安全问题。在第二个研究阶段，工作的主要目标是通过对非工作组安全专业人员进行在线调查，按照重要性对上阶段列出的19个问题排名。调查对每个问题的重要性评估，满分为10分。调研对象按照“1至10分”对云安全问题评级打分，1分代表非常不重要，10分代表非常重要。对每个问题的得分计算平均值并行排序。排除所有低于7分的安全问题，最终得出了如下11类顶级威胁：工作组在确定了11类顶级威胁后，分析了每类威胁问题，描述具体威胁问题，指出了CSP或云客户是否共同承担安全责任，并定义了问题在云堆栈以及云服务模型（SaaS、PaaS、IaaS或SPI）中可能出现的位置。业务影响、关键信息、案例展示了每类威胁可能出现的情况和场合。可以通过CSA云计算关键领域安全指南（CBK）v4.0、CSA云控制矩阵（CCM）v4.0了解相关概念的推论和缓解措施，依据STRIDE威胁模型和引用链接了解案例详情。调调查查结结果果调调查查平平均均威威胁胁名名称称排排名名得得分分12345678910117.7299277.5927017.4248187.4087597.2759127.2144937.1430667.1146597.0978107.0885347.085631身份、凭据，访问和密钥管理、特权账号管理的不足不安全的接口和API配置不当和变更控制的不足缺乏云安全架构和战略不安全的软件开发不安全的第三方资源系统漏洞云计算数据的意外泄露无服务器和容器化工作负载的配置不当和利用有组织的犯罪、黑客和APT攻击云存储数据泄露 2022 云安全联盟大中华区版权所有9威威胁胁 1:不不充充分分的的身身份份、凭凭据据，访访问问和和密密钥钥管管理理、特特权权账账号号管管理理身份、凭据和访问管理系统包括允许组织管理、监视和安全访问有价值资源的工具和策略。有价值资源的举例有电子文件、计算机系统和物理资源（如服务器机房和建筑物）。适当维护和持续警惕很重要。在身份与访问管理（IAM）中使用风险评分可以增强安全态势。使用清晰的风险分配模型、仔细监控和采取适当的行为隔离可以帮助交叉检查IAM系统。跟踪目标访问和风险评分频率对于理解风险背景也至关重要。特权账户必须以准确、即时的方式冻结，避免人员在离职或角色更换后进入。这将减少数据泄漏或受损的可能性。除了取消某些特权账户外，账号角色和职责必须符合对信息“按需所知”的程度。享有特权的人员越多，越会增加数据管理不善或账户乱用的可能性。业业务务影影响响身份、凭据，访问和密钥管理、特权账号管理不足的负面影响可能包括：由于被动和过多的限制封锁，导致业务绩效和生产力下降员工测试疲劳导致不合规和对安全意识淡薄（漠不关心）未经授权或恶意用户替换、未经授权或恶意用户的泄露失去市场的信任和收入因事件响应和取证而产生的财务费用勒索软件和供应链中断安安全全责责任任架架构构云云服服务务模模型型客户云服务供应商共同应用程序元数据信息基础设施软件即服务(SaaS)平台即服务(PaaS)基础设施即服务(IaaS)2022 云安全联盟大中华区版权所有10关关键键信信息息正确的IAM、凭据和密钥管理措施可能包括：1.加强企业架构核心的防御，让对终端用户身份的攻击成为一种很容易实现的目标。2.稳健的零信任层需要采取针对零散用户的简单身份验证和基于应用程序的隔离之外的其他措施。3.运营政策和结构性风险模型对于CIEM等高级工具也至关重要。14.必须根据业务需求对用户对象进行动态风险评分。应该努力获得用户的信任，而不是简单地为其提供密钥和代码。案案例例最近的一些案例包括：(2021年)，出现了涉及Twitch、Cosmology Kozmetik、PeopleGIS、PremierDiagnostics、SeniorAdvisor、Reindeer和Twillo的漏洞，其中大多数攻击是属于内部威胁之一的特权滥用。不监控风险和韧性的公司面临着动态威胁。2(2021年10月)深入了解世嘉（SEGA）欧洲的云服务器事件，就会发现有两个重要的云配置管理错误AWS S3存储桶设为公共访问权限、硬编码凭证存储在云中。如果提交了文件到沙盒，AWS和CDN网络中的内容替换就可以避免，从而允许系统有更多时间验证更改并对访问环境进行风险评估。3(2019年1月到7月)CapitalOne银行内部违规使用AWS云事件，其中借用动态IAM角色是关键的违规行为。虽然S3 存储桶不像其他许多漏洞那样暴露在互联网上，但EC2实例有过多IAM角色可能是罪魁祸首。4CSA云云计计算算关关键键领领域域安安全全指指南南 v4.0领域 2:治理与企业风险管理领域 4:合规和审计管理领域 5:信息治理领域 6:管理平面和业务连续性 2022 云安全联盟大中华区版权所有11领域 11:数据安全和加密领域 12:身份、授权和访问管理领域 14:相关技术CSA云云控控制制矩矩阵阵 v4.0应应用用程程序序和和接接口口安安全全AIS-01:应用程序和接口安全策略和规程AIS-02:应用程序安全基线需求AIS-03:应用程序安全指标AIS变变更更控控制制和和配配置置管管理理CCC-07:基线偏离检测CCC-08:例外管理CCC数数据据安安全全与与隐隐私私生生命命周周期期管管理理DSP-03:数据清单DSP-04:数据分级分类DSP-07:设计和默认数据保护DSP-17:敏感数据保护DSP-19:数据位置DSP治治理理、风风险险管管理理和和合合规规GRC-02:风险管理计划GRC-05:信息安全计划GRC-06:治理责任模式lGRC身身份份与与访访问问管管理理IAM-01:身份与访问管理的策略与规程IAM-03:身份清单IAM-05:最小权限IAM-08:用户访问评审IAM日日志志记记录录和和监监控控LOG-10:加密监控与报告LOG基基础础设设施施与与虚虚拟拟化化安安全全IVS-03:网络层安全IVS-06:分区与隔离LVS威威胁胁和和漏漏洞洞管管理理TVM-08:漏洞优先级TVMStride威威胁胁分分析析引引用用链链接接1.CIEMHome-CIEM-HOME()2.Worst AWS Data Breachest of 2021https:/ Europe Thoroughly Scrutinizes its Cloud Securityhttps:/ Blog|Lessons Learned from SEGA Europes recent securityblunderSEGABarelyAvoidedHugeDataBreachAfterItLeftDatabasePublicly Open|Eyerys4.The Capital One-AWS incident highlights the roles andresponsibilities of cloud customers,providershttps:/ 2022 云安全联盟大中华区版权所有12威威胁胁 2:不不安安全全的的接接口口和和APIAPI使用越来越流行，保护这些接口已变得至关重要。必须检查API和微服务是否存在由于错误配置、不良的编码习惯、缺乏身份验证和不恰当的授权而导致的漏洞。这些疏忽可能使接口容易受到恶意活动的攻击。常见例子包括：1、未经验证的端点；2、弱身份认证；3、过度的权限；4、禁用标准安全控制；5、未应用补丁的系统；6、逻辑设计问题；和7、禁用日志记录或监控。API和其他接口的错误配置是导致事件和数据泄露的主要原因，从而可能导致允许过滤、删除或修改资源、调整数据或中断服务。组织正在快速推进（为供应商和消费者）API的使用，以提高连接性和灵活性。API的好处包括为API开发人员和客户提供数字体验。由于API的快速增长和使用，开发人员在管理和保护API方面面临着一项具有挑战性的任务。Akamai 2021的一份报告记录了“在上一年中，Akamai交付了超过300万亿API请求，同比增长53%。”1各种类型的API供应商和消费者模式的复杂网络也有助于对API编目。编目API必须包括一些细节，如内部或外部API、用途、公开的数据以及API使用方式。正如API简化了数字生态系统一样，云技术也是推动快速、轻松创建或使用API的催化剂。扩展和自动化需要不同技术和云服务供应商都采取标准化的安全模式。在当前API使用指数增长的情况下，持续的监控和测试方面可能也会面临一些问题。业业务务影影响响不安全的接口或API的风险因API的使用和相关数据以及检测和缓解漏洞的速度而异。最常见的业务影响是API未保护敏感或私人数据而造成意外暴露。安安全全责责任任架架构构云云服服务务模模型型软件即服务(SaaS)平台即服务(PaaS)基础设施即服务(IaaS)应用程序元数据信息基础设施客户云服务供应商共同 2022 云安全联盟大中华区版权所有13关关键键信信息息以下是一些关键信息：1.应跟踪、配置和保护API提供的攻击面。2.需要更新传统的控制和变更管理策略和方法，从而跟上以云为基础的API的增长和变化。3.公司应该接纳自动化，并采用能够持续监控异常API流量和近实时修复问题的技术。案案例例最近的一些案例包括：1.(2021年4月28日)据一位安全研究人员报道，益博睿（Experian）的一家合作伙伴网站允许任何人通过提供用户姓名和邮寄地址查询数千万美国人的信用分数。虽然数据集属于信贷机构益博睿，但第三方可以获取相关服务。22.(2021年5月5日)高档互动健身器材公司Peloton中断了用户身份验证和对象级授权，在直接调用时通过API暴露了客户的PII类型数据，包括用户ID、位置、体重、性别、年龄等。33.(2021年4月22日)农业机械、重型设备和草坪护理设备制造商约翰迪尔（JohnDeere）允许任何人在没有身份验证或速率限制的情况下查询用户名。研究人员很快确定，财富1000强中近20%的公司拥有约翰迪尔账户。另外，还发现可以通过VIN车辆识别代码查询API接口查找显示设备所有者信息，包括地址和拖拉机名称等数据。4CSA云云计计算算关关键键领领域域安安全全指指南南 v4.0领域 4:合规和审计管理领域 5:信息治理领域 6:管理平面和业务连续性领域 7:基础设施安全领域 8:虚拟化和容器 2022 云安全联盟大中华区版权所有14领域 10:应用安全领域 11:数据安全和加密领域 12:身份、授权和访问管理CSA云云控控制制矩矩阵阵 v4.0Stride威威胁胁分分析析引引用用链链接接身份欺骗篡改数据抵赖信息泄露拒绝服务权限提升1.AkamaiReport:https:/ API Exposed Credit Scores of Most Americans:https:/ Leaky API Spilled Riders Private Data:https:/ 2022 云安全联盟大中华区版权所有15威威胁胁 3 3:配配置置不不当当和和变变更更控控制制的的不不足足配置不当是指计算资产的不正确或次优设置，可能使其容易受到意外损坏或外部/内部恶意活动。缺乏系统知识或对安全配置和恶意意图的认识可能会导致错误配置。一些常见的错误配置有：1、不安全的数据存储元素或容器；2、过度的权限；3、默认凭据和配置设置保持不变；4、禁用标准安全控制；5、未应用补丁的系统；6、日志记录或监控已禁用；7、不受限制地使用端口和服务；8、无担保的密钥管理；9、很差的配置或缺乏配置验证。云资源配置错误是导致数据泄露的主要原因，也可能导致资源删除或修改以及服务中断。云环境中的变更控制不足可能会导致错误配置，并阻碍了纠正错误配置。云环境和云计算方法不同于传统的信息技术（IT），其方式使变化更难控制。传统的变更流程涉及多个角色和批准，因此需要几天或几周才能实现生产。云计算最佳实践依赖于自动化、角色扩展和访问支持快速变化。在企业数据中心，静态基础设施元素可以抽象为云环境中的代码。最后，由多个供应商几乎每天都在增强和扩展自己的独特功能，使用多个云供应商增加了复杂性。这种动态环境需要采取一种敏捷和主动的方法进行变更控制和补救，许多公司正试图掌握这种方法。业业务务影影响响根据错误配置/不当变更的性质以及检测和缓解的速度，错误配置/不当变更控制的影响可能会很严重。云审计知识证书学习指南,中的影响分类如下：1.数据披露-技术影响机密性2.数据丢失-技术影响-可用性3.数据破坏-技术影响-完整性4.系统性能-运营影响安安全全责责任任架架构构云云服服务务模模型型客户云服务供应商共同应用程序元数据信息基础设施软件即服务(SaaS)平台即服务(PaaS)基础设施即服务(IaaS)2022 云安全联盟大中华区版权所有165.系统中断-运营影响6.勒索需求-财务影响7.违规和罚款-合规和财务影响8.收入损失-财务影响9.股价下跌-财务影响10.公司声誉-声誉影响关关键键信信息息以下是一些关键信息：公司需要采用可用的技术不断扫描出配置不当的资源，以便实时修复漏洞。变更管理方法必须能够反映持续和动态的业务变化和安全挑战，确保可以使用实时自动验证方法确保许可变更的正确性。案案例例最近的一些案例包括：1.(2022年3月9日)据报道，由于客户管理的ServiceNow ACL（访问控制列表）配置错误以及为访客授予过多权限，测试的ServiceNow实例中近70%存在安全问题。12.(2021年10月4日)Facebook拥有的应用程序Facebook、Instagram、Whatsapp和Oculus下线。配置错误的更改会中断通信，而协调数据中心之间网络流量的主干路由器会导致通信中断。网络流量的中断对数据中心的通信方式产生了级联效应，导致服务停止。此次停机还影响了日常运营中使用的许多内部工具和系统，使问题的诊断和解决变得复杂。23.(2021年1月7日)据报道，微软错误配置了其自己的Azure Blob（云）存储桶，其中存储了第三方数据，误披露了来自希望与微软合作的公司的100多个“募资简报”和源代码，包括创意和知识产权。3CSA云云计计算算关关键键领领域域安安全全指指南南 v4.0领域 4:合规和审计管理领域 5:信息治理领域 6:管理平面和业务连续性领域 7:基础设施安全 2022 云安全联盟大中华区版权所有17领域 8:虚拟化和容器领域 10:应用安全领域 11:数据安全和加密领域 12:身份、授权和访问管理CSA云云控控制制矩矩阵阵 v4.0审审计计与与保保障障A&A-02:独立评估A&A-03:基于风险的规划评估A&A应应用用程程序序和和接接口口安安全全AIS-02:应用程序安全基线需求AIS-04:应用程序安全设计和安全开发AIS-05:自动化应用程序安全测试AIS业业务务连连续续性性管管理理和和运运营营韧韧性性BCR-02:风险评估和影响分析BCR-03:业务连续性策略BCR-08:备份BCR变变更更控控制制和和配配置置管管理理CCC-02:质量测试CCC-04:未经授权的变更保护CCC-09:变更恢复CCC治治理理、风风险险管管理理和和合合规规GRC-02:风险管理计划GRC-05:信息安全计划CRC人人力力资资源源HRS-09:人员角色和职责HRS-11:信息安全意识培训HRS身份与访问管理IAM-03:身份清单IAM-08:用户访问评审IAM基基础础设设施施与与虚虚拟拟化化安安全全IVS-02:变更检测IVS-03:网络层安全IVS-04:操作系统加固与基线控制IVS密密码码学学、加加密密与与密密钥钥管管理理CEK-03:数据加密CEK-05:加密变更管理CEK日日志志记记录录和和监监控控LOG-03:安全监控与告警LOG-05:审计日志监控与响应LOG-12:访问控制日志LOG安安全全事事件件管管理理，电电子子发发现现及及云云举举证证SEF-03 事件响应计划SEF-04 事件响应测试SEF-06 事态鉴别分类流程SEF数数据据安安全全与与隐隐私私生生命命周周期期管管理理DSP-07:设计和默认数据保护DSP-08:设计和默认数据隐私DSP-17:敏感数据保护DSP威威胁胁和和漏漏洞洞管管理理TVM-07 漏洞识别TVM-08 漏洞优先级TVM-09 漏洞管理报告TVMStride威威胁胁分分析析引引用用链链接接 2022 云安全联盟大中华区版权所有181.Major Security Misconfiguration Impacting ServiceNow InstancesDiscoveredhttps:/ Security Misconfiguration Impacting ServiceNow and OtherSaaS InstancesDiscoveredhttps:/ Security Model and Access Control Informationhttps:/ releases guidance on Access ControlList misconfigurationshttps:/ about the October 4th outagehttps:/ details about the October 4 outagehttps:/ Facebook,Instagram,andWhatsApp AllWentDownTodayhttps:/ Exposedin Massive Data Breachhttps:/ AWS S3 bucket once again at centre of data breachhttps:/ 2022 云安全联盟大中华区版权所有19威威胁胁 4 4:缺缺乏乏云云安安全全架架构构和和战战略略云安全战略和安全架构包括对云部署模型、云服务模型、云服务供应商（CSP）、服务区域可用域、特定云服务、一般原则1,和预先决定2的考虑和选择。此外，IAM3的前瞻性设计，以及跨不同云帐户、供应商、服务和环境的网络和安全控制也在范围内。战略的考虑应该先于设计并决定设计，但云挑战通常需要增量式和敏捷的规划方法。变革的快节奏和普遍化的、去中心化的、自助化的云基础设施管理方法阻碍了人们的技术和业务因素考量以及有意识的设计。然而，云要实现成功和安全，就不能忽视安全考虑和风险。行业违规案例表明，缺乏此类规划可能导致云环境和应用程序无法抵御网络攻击，或无法有效抵御网络攻击。应对好这些挑战有助于更轻松地实施云安全战略和设计。业业务务影影响响缺乏云安全战略和架构限制了高效企业和基础设施安全架构实施的可行性。其实现离不开这些安全/合规目标。否则，将导致罚款和违规，或者由于实施变通办法、重构和迁移而提高成本。关关键键信信息息以下是一些关键信息：1一般云计算原则包括基于影响（国家或社会）考虑（“本地优先”等）的云服务供应商偏好，或者，对避免按需服务消费和计费模型的接受程度；一些人喜欢这种消费和计费模型，因为它消除了摩擦，另一些人避免，因为它使预算更不可预测。这种消费和计费模型很有趣，因为它不是二进制的，而且影响了技术设计，并且具有足够的影响力，可以将其纳入“战略”考量，在早期就予以关注。2预先决定可以包括现有的供应商锁定、在需要本地数据驻留的特定地区进行扩张的业务意图、公司范围内对特定CSP或模型的偏好（例如，我看到甚至在银行业也尝试采用的零服务器足迹）。3身份和访问管理，作为一个域，而不是一个特定的云服务。安安全全责责任任架架构构云云服服务务模模型型客户云服务供应商共同应用程序元数据信息基础设施软件即服务(SaaS)平台即服务(PaaS)基础设施即服务(IaaS)2022 云安全联盟大中华区版权所有20公司应在云服务和基础设施设计和决策中考虑业务目标、风险、安全威胁和法律合规性。进行开发时考虑到快速的变化速度和有限的集中控制，考虑更为重要的云服务和基础设施战略和设计原则并予以遵守。将尽职调查和第三方供应商安全评估视为基本做法。以威胁建模、安全设计和集成作为补充，同时考虑供应商故障的影响。案案例例最近的一些案例包括：(2021年1月)沃尔玛旗下的美国服装店Bonobos遭遇了大规模数据泄露，泄露了数百万消费者的个人信息。一个名为ShinyHunters的威胁组织发布了Bonobos的完整数据库（70 GB的SQL数据库，包含700万条用户记录），包括消费者的地址、电话号码、部分信用卡号码和网站订单。这是由于托管备份文件的外部云备份服务受损。可以选择访问控制、加密、供应商安全、冗余和其他领域限制影响或降低类似违规现象的可能性。1 2(2021年7月2日)软件开发商Kaseya收到来自客户的报告，建议在Kaseya管理的端点上执行异常行为和恶意软件。攻击者可以利用虚拟存储设备（VSA）产品中的零日漏洞绕过身份验证并运行任意命令执行。这使得攻击者能够利用标准VSA产品功能将勒索软件部署到管理服务供应商（MSP）客户端（即客户端的客户端）的端点。由于对部署在不同环境中的软件进行自动零接触更新的策略，以及特定的关键软件变更管理SaaS模型，这一故障影响了许多客户；供应商和消费者可以重新考虑此策略，以限制未来的类似攻击。3CSA云云计计算算关关键键领领域域安安全全指指南南 v4.0领域 1:云计算概念和架构领域 2:治理与企业风险管理领域 6:管理平面和业务连续性 2022 云安全联盟大中华区版权所有21CSA云云控控制制矩矩阵阵 v4.0审审计计与与保保障障A&A-03 基于风险的规划评估A&A-04 需求合规A&A密密码码学学、加加密密与与密密钥钥管管理理CEK-08 云服务客户密钥管理能力CEK-07 加密风险管理CEK数数据据中中心心安安全全CS-01 场外设备处置的策略和规程DCS数数据据安安全全与与隐隐私私生生命命周周期期管管理理GRC-02:风险管理计划GRC-05:信息安全计划DSP治治理理、风风险险管管理理和和合合规规GRC-08 特殊利益团体GRC-02 风险管理计划GRC身身份份与与访访问问管管理理IAM-04 职责分离IAM-05 最小权限IAM-09 特权访问角色的隔离IAM-01 身份与访问管理的策略与规程IAM-06 用户访问授权IAM互互操操作作性性与与可可移移植植性性IPY-01 互操作性与可移植性的策略与规程IPY基基础础设设施施与与虚虚拟拟化化安安全全IVS-03 网络层安全IVS-05 生产与非生产环境IVS-08 网络架构文档IVS-06 分区与隔离IVS应应用用程程序序和和接接口口安安全全AIS-04 应用程序安全设计和安全开发AIS业业务务连连续续性性管管理理和和运运营营韧韧性性BCR-02 风险评估和影响分析BCR-03 业务连续性策略BCR-04 业务连续性规划BCR-08 备份BCR供供应应链链管管理理，透透明明度度和和问问责责制制STA-01 共享安全责任模型的策略与规程STA-08 供应链风险管理STA1.Incident Overview&Technical Detailshttps:/ hundredsofbusinesseshttps:/ 2022 云安全联盟大中华区版权所有22威威胁胁 5 5:不不安安全全的的软软件件开开发发软件是复杂的，云技术往往会进一步增加复杂性。这种复杂的情况下可能会出现意外的功能，导致漏洞利用1和可能的错误配置。由于云的可访问性，威胁者比以往任何时候都更容易利用这些“特性”。采用“云优先”的战略态势，可以让实体将维护和安全问题转移给云服务供应商（CSP）。委托CSP管理基础设施和/或平台层避免了开发人员浪费时间做无用功。提供密钥存储/管理和安全持续集成/持续部署（CI/CD）的服务允许开发人员将重点放在业务逻辑上。CSP将提供身份和访问管理（IAM）特性，为开发者提供审查工具和正确实施指导。让公司无需自己构建服务，从而释放了资源，可投资于更具影响力的业务优先项目。确保每个开发者都理解到公司与服务供应商共同承担一些责任。例如，如果报告了Kubernetes的零日漏洞攻击，并且一家公司正在利用CSP的Kubernetes解决方案，则CSP有责任解决该问题。使用云原生技术的Web应用程序出现的业务错误应当由开发人员负责修复。在任何一种情况下，因漏洞而产生的信息泄露都会影响公司。没有开发人员希望创建不安全的软件。然而，主要软件供应商每月都会发布补丁，修复可能影响系统机密性、完整性和/或可用性的漏洞。并非所有的软件漏洞都有安全隐患，但历史已经证明，即使是极小的漏洞也可能最终成为重大威胁2。拥抱云技术可以让公司专注于其业务特有的领域，同时也应当让云服务提供商拥有和管理可能商品化的其他云服务供应事项。业业务务影影响响不安全的软件开发的部分业务影响包括：安安全全责责任任架架构构云云服服务务模模型型客户云服务供应商共同应用程序元数据信息基础设施软件即服务(SaaS)平台即服务(PaaS)基础设施即服务(IaaS)2022 云安全联盟大中华区版权所有23客户对产品或解决方案失去信心由于数据泄露，品牌声誉受损法律诉讼导致法律和财务影响关关键键信信息息以下是一些关键信息：使用云技术可以避免重新发明现有解决方案，从而充许开发人员能够专注于业务特有的问题。通过利用责任共享模型，补丁之类的项目可以由CSP而非企业负责。CSPs非常重视安全，并将提供如何以安全方式实现服务的指导，例如良好的架构框架或安全的设计模式。案案例例最近的一些案例包括：(2021年12月9日)Log4Shell漏洞由于log4j库中的解析错误而允许RCE3。(2021年1月5日)众所皆知的Microsoft Exchange，曾经发布的一系列漏洞，如（ProxyOracle、ProxyShell），为远程代码执行和凭据盗窃提供了多种途径4。(2021年9月13日)苹果的iOS发现被NSO的Pegasus软件利用，利用了一个允许远程代码执行的零点击漏洞5。CSA云云计计算算关关键键领领域域安安全全指指南南 v4.0领域 1:云计算概念和架构领域 10:应用安全领域 12:身份、授权和访问管理领域 13:安全即服务 2022 云安全联盟大中华区版权所有24CSA云云控控制制矩矩阵阵 v4.0应应用用程程序序和和接接口口安安全全AIS-02:应用程序安全基线需求AIS-04:应用程序安全设计和安全开发AIS-05:自动化应用程序安全测试AIS-06:自动化应用程序安全部署AIS变变更更控控制制和和配配置置管管理理CCC-02:质量测试CCC威威胁胁和和漏漏洞洞管管理理TVM-04:检测更新TVM身身份份与与访访问问管管理理IAM-01:身份与访问管理的策略与规程IAM-04:职责分离IAM-05:最小权限IAM-14:强鉴别IAMStride威威胁胁分分析析引引用用链链接接身份欺骗篡改数据抵赖信息泄露拒绝服务权限提升1.I always call them glue bugs,I think I got that from you!https:/ loggingpackagehttps:/www.lunasec.io/docs/blog/log4j-zero-day/4.ANewAttackSurfaceonMSExchangePart1-ProxyLogon!https:/blog.orange.tw/2021/08/proxylogon-a-new-attack-surface-on-ms-exchange-part-1.html5.AdeepdiveintoanNSOzero-clickiMessageexploit:Remote CodeExecution 2022 云安全联盟大中华区版权所有25威威胁胁 6 6:不不安安全全的的第第三三方方资资源源在云计算应用越来越广的世界中，第三方资源可能有不同的含义：来自开源代码、通过SaaS产品和API风险（威胁2），到云供应商提供的托管服务。来自第三方资源的风险也被视为供应链漏洞，因为它们是所交付产品或服务的一部分。这些风险存在于消费的每一种产品和服务中。尽管如此，由于近年来对第三方服务和基于软件的产品越来越依赖，对这些漏洞和可破解配置的攻击也越来越多。事实上，根据科罗拉多州立大学的研究，三分之二的违规行为是供应商或第三方漏洞造成的。因为有的产品或服务可能集合了他们使用的所有其他产品和服务，所以漏洞可以从供应链中的任何一点开始，并从那里扩散。对于恶意黑客来说，这意味着，为了实现目标，他们“只”需要寻找最薄弱的环节作为切入点。在软件领域，使用SaaS和开源进行扩展是一种常见做法。恶意黑客也有机会用同样的漏洞攻击更多的目标。业业务务影影响响关键业务流程的损失或停止。业务数据被外界访问（威胁11）。打补丁或修复安全问题取决于提供商及其响应速度。一旦他们提供了修复，数据的集成可能需要更新内部应用程序和产品。对业务的影响可能很大，这取决于受攻击组件对应用程序的重要性。关关键键信信息息以下是一些关键信息：安安全全责责任任架架构构云云服服务务模模型型客户云服务供应商共同应用程序元数据信息基础设施软件即服务(SaaS)平台即服务(PaaS)基础设施即服务(IaaS)2022 云安全联盟大中华区版权所有26无法防止代码或产品中的漏洞，但可以尝试并正确决定使用哪种产品。使用官方支持的产品；聘用拥有合规认证证书、公开谈论安全工作、参与漏洞赏金活动、报告安全问题并快速提供修复为用户负责的人。了解并跟进所使用的第三方资源。包括开源、SaaS产品、云供应商和托管服务，以及可能已经添加到