常見(jiàn)的安全風(fēng)險(xiǎn)

時(shí)間：2022-03-27 04:27:01 | 來(lái)源：行業(yè)動(dòng)態(tài)

時(shí)間：2022-03-27 04:27:01 來(lái)源：行業(yè)動(dòng)態(tài)

常見(jiàn)的安全風(fēng)險(xiǎn)通常源自用戶(hù)的兩類(lèi)疏忽，首先，DevOps可能下意識(shí)采用傳統(tǒng)/現(xiàn)場(chǎng)數(shù)據(jù)環(huán)境中的實(shí)踐，而沒(méi)有意識(shí)到云遠(yuǎn)程訪(fǎng)問(wèn)帶來(lái)的廣泛影響。其次，其他人可能在自由與云端動(dòng)態(tài)功能進(jìn)行交互的過(guò)程中，忽視或低估安全預(yù)防措施的重要性。這種缺乏良好云安全的行為可能帶來(lái)一系列潛在威脅，最終導(dǎo)致數(shù)據(jù)全面泄露。

權(quán)限管理不善會(huì)帶來(lái)麻煩。DevOps可能會(huì)選擇在項(xiàng)目開(kāi)發(fā)期間對(duì)數(shù)據(jù)庫(kù)及存儲(chǔ)容器內(nèi)的敏感數(shù)據(jù)進(jìn)行開(kāi)放訪(fǎng)問(wèn)，并在隨后逐步劃定權(quán)限范圍。這就是所謂先運(yùn)行、再修復(fù)的基本思路。但現(xiàn)實(shí)情況是，只要不出問(wèn)題，再修復(fù)就只是一句空話(huà)，因此敏感數(shù)據(jù)可能持續(xù)對(duì)未授權(quán)身份開(kāi)放。這種行為在一個(gè)個(gè)快速迭代的項(xiàng)目中反復(fù)增強(qiáng)，并最終成為新的運(yùn)營(yíng)習(xí)慣。正因?yàn)槿绱?，在?zhí)行修復(fù)程序之后，某些原有成果可能發(fā)生中斷，迫使團(tuán)隊(duì)為了快速恢復(fù)運(yùn)行而回滾至不安全配置，完全起不到學(xué)習(xí)與改進(jìn)的效果。

遠(yuǎn)程工作提高了攻擊風(fēng)險(xiǎn)。如今，不少企業(yè)已經(jīng)將運(yùn)營(yíng)體系轉(zhuǎn)換為遠(yuǎn)程形式，但對(duì)云數(shù)據(jù)的粗暴處理很可能引發(fā)潛在的數(shù)據(jù)泄露。DevOps可能會(huì)暫時(shí)禁用防火墻并設(shè)置對(duì)高權(quán)限數(shù)據(jù)的遠(yuǎn)程訪(fǎng)問(wèn)通道，這一切都極大提高了攻擊風(fēng)險(xiǎn)。

同事間溝通不暢，使用云系統(tǒng)的員工可以與同事直接共享數(shù)據(jù)訪(fǎng)問(wèn)權(quán)限，且無(wú)需通知對(duì)方其中可能存在哪些敏感數(shù)據(jù)。這就導(dǎo)致作為共享對(duì)象的同事可能為其啟用公開(kāi)訪(fǎng)問(wèn)權(quán)限，以延長(zhǎng)共享周期，從而嚴(yán)重?fù)p害云資源安全性。

如果對(duì)云資源管理不當(dāng)，企業(yè)將面臨一系列災(zāi)難性的問(wèn)題，包括客戶(hù)信任度下降、品牌聲譽(yù)受損以及因違反GDPR及CCPA等數(shù)據(jù)隱私規(guī)定而面臨法律訴訟。例如，萬(wàn)豪酒店此前就遭遇到嚴(yán)重的數(shù)據(jù)泄露事件，超過(guò)520萬(wàn)份機(jī)密訪(fǎng)客記錄發(fā)生外泄。這家知名酒店可能因違反GDPR要求而面臨最高9.15億美元的罰款。再考慮到其他法規(guī)的處罰，總罰金額度可能達(dá)到數(shù)十億美元。另外，米高梅也出現(xiàn)了類(lèi)似的數(shù)據(jù)泄露事件。

由此可以看出，企業(yè)構(gòu)建安全體系迫在眉睫，需要從起步階段采用最佳身份管理，借此幫助企業(yè)緩和危機(jī)，搶先一步消除大規(guī)模采用云服務(wù)時(shí)常見(jiàn)的各類(lèi)隱患。