如果企业认为云计算将自动保护其工作负载和数据免受攻击、盗窃和其他威胁行为，那他们就大错特错了。即使在云端，漏洞以及错误和漏洞利用的可能性也是不可避免。

云平台是多租户环境，无数全球客户共享相同的基础设施和资源。云提供商必须努力工作，以保持其共享基础设施的完整性。同时，云计算是自助服务平台，每个客户必须为其每个工作负载和资源仔细定义特定环境。

在深入研究这些云安全挑战以及学习如何防范这些挑战之前，企业必须了解三种主要危险类型之间的区别：

威胁、漏洞和风险。这些术语通常可以互换使用，但对IT安全专业人员来说，它们具有不同的含义：

• 威胁是确实正在发生的事情，企业必须防御的行动或行为，例如DoS攻击、人为错误或自然灾害。
• 漏洞是组织安全态势中的疏忽、差距、弱点或其他缺陷。这可能包括配置不当的防火墙、未修补的操作系统或未加密的数据。
• 风险是对企业存在的漏洞的潜在威胁。例如，有人将未加密的数据存储在公共云中，人为错误可能会使数据被访问或更改。这可能被视为企业必须解决的重大风险。

当云用户了解公共云漏洞时，他们可以识别潜在的安全漏洞和常见错误。IT团队需要识别和解决每种类型的漏洞，以防止其系统被利用。以下是10个最常见的漏洞。

1. 配置错误

云用户负责整合各种资源和服务来托管云工作负载。每个组件都涉及独特的配置，因此你的IT团队需要优先掌握各种设置和选项。云资源由一系列配置设置保护，这些设置详细说明了用户可以访问哪些应用程序和数据。配置错误和疏忽可能会暴露数据，并导致该数据被滥用或更改。

每个云提供商都使用不同的配置选项和参数。云架构师和工程师通常是正确配置方面的专家，但用户有需要学习和理解托管其工作负载的平台如何应用这些设置。

IT团队可以通过以下方式减少配置错误：

• 采用并执行最小特权或零信任的策略，以阻止对所有云资源和服务的访问，除非特定业务或应用程序任务需要此类访问。
• 部署云服务策略，以确保资源默认是专有。
• 创建和使用清晰的业务策略和指南，概述云资源和服务所需的配置设置。
• 认真学习云提供商配置和安全设置。考虑特定于提供商的课程和认证，并密切关注提供商提供的任何新设置或选项。
• 默认使用加密，尽可能保护数据，无论是在静止还是传输中。
• 使用Intruder和Open Raven等工具来检查配置错误和审计日志。

2. 糟糕的访问控制

未经授权的用户利用糟糕的访问控制来绕过弱或缺失的身份验证或授权方法，例如身份和访问管理。

例如，恶意行为者利用弱密码来猜测凭据。强大的访问控制部署额外的要求，例如最小密码长度、混合大写和小写、包含标点符号或符号，以及频繁更改密码。

可以通过以下常见策略来加强访问控制安全性：

• 强制执行强密码，并要求定期重置。
• 使用多因素身份验证技术。
• 要求用户定期重新身份验证—不要长时间记住凭据。
• 采取最小特权或零信任的政策。
• 避免使用第三方访问控制，并对云中的服务和资源采用基于云的访问控制。

3. 影子IT

任何人都可以创建公共云帐户，然后使用该帐户来提供服务，并迁移工作负载和数据。正是这种灵活性，将云计算带到了企业IT的前沿。但那些不精通安全标准的人往往管理不好数据，并错误配置安全选项，留下可利用的云漏洞。在很多情况下，这种影子IT部署甚至可能永远不会识别或报告漏洞。这使企业没办法识别这些问题，直到损害发生很长时间。

现在的企业对影子IT更加宽容，但企业应该部署标准配置和实践，这至关重要。业务用户、部门和其他组织实体必须遵守企业设定的标准和监管义务，以应对漏洞，并保持整个组织的安全。

4. 不安全的API

不相关的软件产品使用API进行通信和互操作，而不知道彼此代码的内部工作。API通常需要并授予对敏感业务数据的访问权限。很多API被公开，以帮助加快采用，使外部开发人员和业务合作伙伴能够访问组织的服务和数据。

但API有时会部署在没有充分身份验证和授权的情况下。也就是说，API不支持此类功能。或者API确实支持这些功能，但用户懒得调用它们。这些API最终可以完全向公众开放，因此任何有互联网连接的人都可以访问并可能损害数据。因此，不安全的API或安全性薄弱的API和其他缺陷正在迅速成为黑客和其他恶意行为者的主要攻击载体。

无论是使用云提供商的API还是创建部署在云中的业务API，开发和使用以下API都很重要：

• 强大的身份验证。
• 数据加密。
• 活动监控和日志记录。
• 访问控制。

开发和部署API的企业应将API视为敏感代码，并接受彻底的安全审查，包括渗透测试。云和其他外部API应接受同样的审查。避免不符合既定安全准则的外部API。

5. 不合规行为

在云计算中，云提供商负责云计算的安全性，而客户负责云端的安全性。

在这种分担责任模式中，云提供商保持基础设施的完整性和运营，并控制客户资源和数据的分离。客户负责配置应用程序和数据安全，例如访问控制。

当威胁成功利用漏洞，并在没有适当业务目的的情况下访问数据时，企业对该漏洞和任何后续后果负全部责任。考虑以下常见示例：

• 敏感的客户数据被盗，这使企业违反了现行的监管义务，并损害了其声誉。
• 重要数据被盗，导致知识产权损失，损害企业的竞争地位，并危及产生该数据的投资。
• 内部业务数据被更改或删除，这会产生一系列潜在影响，例如生产问题。

不合规行为通常会对企业进行处罚。例如，违反监管义务的行为可能会导致巨额罚款和处罚。涉及为客户或客户存储的数据的不合规行为可能会导致违反合同，从而导致耗时的诉讼和昂贵的补救措施。

企业应确保适当的配置，并遵循本部分概述的其他预防措施，以减少任何监管或法律风险。

6. 中断

云基础设施规模庞大，通常是全球性的，但确实会发生故障，通常会导致高度公开的云中断。这种中断是由硬件问题、外部提供商问题和配置疏忽引起的，与困扰传统本地数据中心的问题完全相同。

云端也可能受到DDoS和其他恶意机制的攻击，旨在损害云资源和服务可用性。如果攻击者可以使任何公共云资源或服务不可用，则会影响使用这些资源和服务的每个业务或云用户。云提供商擅长处理攻击，当特定业务工作负载受到攻击时，云支持团队可以提供帮助。

虽然企业和其他公共云用户无法防止云中断和攻击，但请考虑此类中断对云工作负载和数据源的影响，并将此类事件计划作为灾难恢复（DR）策略的一部分。

鉴于公共云的巨大性质，企业通常可以通过跨云地区或区域实施的高可用性架构，以对关键任务业务工作负载进行灾难恢复。尽管如此，这并不是自动部署，你必须仔细设计并定期测试，以确保业务在发生中断时尽可能不受影响。

7. 不正确的数据管理

现代企业依赖不断增加的敏感数据，而业务数据受到一系列同样在增加的法规的约束，例如GDPR，这些法规影响数据主权、数据保护、数据安全和数据隐私。简单地将数据从本地数据中心转移到全球云提供商，并不能减轻企业或业务领导者的数据管理责任，例如数据生命周期管理，包括适当的数据销毁。数据管理的监督可能会使企业容易受到巨额罚款和其他法律处罚。

云采用必须包括仔细考虑与业务相关的数据管理问题。云数据存储必须满足管理本地数据存储的相同严格规则。云数据管理可以通过以下要点来解决：

• 云中的敏感或重要业务数据应在静止和传输时进行加密，以防止被盗，访问日志应跟踪所有影响数据的访问和更改。
• 必须对存储在云端的数据进行整理，以确保所有数据都经过分类、核算，并遵守每种数据类型的适当数据管理实践。
• 数据应该由成熟的生命周期实践来管理，这些实践涉及从创建到归档和最终销毁管理数据。
• 当数据必须在其保留生命周期结束时销毁时，企业应考虑使用能够安全销毁数据的工具；仅仅删除数据不是充分的销毁做法。

8. 缺乏流程或标准化

一切都应从制定计划开始，云部署也是如此。通常企业对云计算的利用涉及不同的人以不同的方式做类似的事情。如果缺乏透明度，例如不清楚每个业务组件正在做什么、原因和频率，这会导致疏忽和断开连接。这些还可能导致其他云问题，例如配置错误、访问控制不善、违反法规和其他可能对业务弊大于利的问题。

尝试新技术或测试创造性的新方法来解决业务问题当然没有错。但从创新到部署的道路可能是漫长而坎坷的，会面临很多困难。在将云用于实时生产工作负载之前，业务和技术领导者应寻求审查和统一云实践和指南。这个想法是从错误中吸取教训，让每个人都以类似的方式做类似的事情，以开发更快、更可预测和更成功的业务成果。

标准化最佳实践和流程可能是具有挑战性的问题，这需要合作和领导力。这需要时间，并且其结果也在不断变化。企业需要具有云专业知识的技术领导者，具有扎实的监管和业务治理技能的业务领导者，对云成本计算有敏锐了解的财务专业人员，以及愿意分享想法和合作以满足业务需求的工作量利益相关者。这是云FinOps实践的基础。

9. 缺乏监控

你无法管理你看不到的东西。这个道理完全适用于当今IT和云环境。监控工具可以帮助抵御一系列潜在的漏洞，并暴露不良使用模式。例如，云监控可以执行以下操作：

• 整理数据，以确保所有数据资产在其整个生命周期内得到分类和保护。
• 观察云使用情况，以检查不需要的资源和服务，称为云蔓延。
• 保护配置并防止未经授权的配置更改。
• 测量应用程序性能和用户体验。
• 记录访问和活动，以保持适当的安全措施。

现在有无数的监控工具可以满足几乎任何企业的独特需求。第三方工具可以很容易地安装在云中，也可以作为远程SaaS版本交付，并用于监督云活动。可以从各种在线和供应商搜索中找到主要的第三方监控工具。下面的列表列出了可用工具示例。主要产品包括以下：

• AppDynamics.
• BMC TrueSight Operations Management.
• Datadog.
• DX Unified Infrastructure Management.
• Dynatrace.
• Grafana.
• LogicMonitor.
• Nagios.
• Netdata.
• New Relic.
• PagerDuty.
• Sematext Cloud.
• SharePoint monitoring.
• SolarWinds Observability.
• Sumo Logic.
• Zabbix.
• Zoho Corp. ManageEngine Log360 Cloud

云提供商还提供为特定提供商量身定制的各种本机监控和管理工具，例如：

• Amazon CloudWatch.
• Azure Monitor.
• Google Cloud Monitoring.
• Google Cloud operations (前身为Stackdriver).

10. 不完善的技术生态系统

虽然大多数漏洞讨论都集中在云提供商和云用户身上，但更广泛的技术生态系统的作用不容忽视。每个企业（包括云提供商和用户）都依赖于一系列其他提供商、供应商和资源进行日常运营。考虑以下更大技术生态系统的例子：

• IT硬件供应商必须提供安全可靠的设备。BIOS中的缺陷，甚至处理器命令集的机器代码都可能引入漏洞。
• 软件开发人员必须开发和测试合理无缺陷的安全代码。但开发人员只能测试预期，很多缺陷只有在实际生产中才会暴露出来。
• 开源软件可以在软件开发和软件安全中发挥作用。引入第三方代码会打开各种漏洞，这些漏洞可能导致安全性或性能问题。
• SaaS提供商必须提供可靠和安全的服务。但这些提供商必须开发和管理代码和IT基础设施，否则会出现云提供商和云用户之间关系中发现的相同问题。
• 更广泛的互联网依赖于ISP和区域运营商，每个运营商都有自己的配置、安全性和性能问题。
• 随着威胁和操作需求的演变，工具可能会逐渐老化。这些工具也必须不断发展，否则可能会导致新漏洞的出现。

其中很多和其他技术生态系统问题远远超出了云提供商和云用户的直接控制范围。