值得采用的顶级云安全控制措施

Fahmida+Y.+Rashid

编译 Charles

某一天，由于基于云系统的配置不完善，又出现了一起数据泄露事件。在最近的一次事件中，Verizon的600多万名美国客户信息被泄露，这再次提醒我们，云供应商和企业应同时担负起云安全的责任。

有一种误解，认为是由云服务供应商负责云环境的安全，但这只是故事的一半。亚马逊、微软和谷歌等云安全供应商，负责其物理数据中心以及运行虚拟机的服务器硬件的安全，而让每个客户自己保护好虚拟机和应用程序。云供应商提供了一系列安全服务和工具来保证客户工作负载的安全，而实际由管理员去实施必要的防护措施。如果客户不能保护他们自己的网络、用户和应用程序，云供应商提供再多的安全防御措施也没什么用。

一家第三方服务供应商处理Verizon的后台和呼叫中心业务，在亚马逊网络服务（AWS）简单存储服务（S3）的数据存储桶中存储过去六个月内致电过呼叫中心的所有客户的呼叫数据，包括每一名Verizon客户的姓名、地址、电话号码，以及账号PIN码等。采集数据是为了帮助改进客户服务体验，但由于S3存储桶配置不正确，而允许外部访问，任何人只要有足够耐心弄清楚网络地址，就能够下载信息。拿到数据的骗子们假装成Verizon客户打电话，从而访问客户帐户。

这类错误太常见了。云安全公司RedLock的云基础设施安全研究小组最近的研究发现，40%的企业由于配置错误，不经意间已经至少暴露了一项公有云服务。

错误配置是严重的问题

Verizon只是由于配置错误而导致数据被暴露在公有云中的众多企业中的一家。……