云正在誘使我們自滿于安全嗎？換句話說(shuō)，對(duì)云服務(wù)的依賴是否會(huì)導(dǎo)致我們比以前更不安全？

自事件爆發(fā)以來(lái)，最近的CapitalOne違規(guī)行為在不到一天的時(shí)間里就成了很多頭條新聞。不幸的是，就在和解消息公布幾天后，該公司已將史上規(guī)模最大的數(shù)據(jù)泄露事件——Equifax——達(dá)成的7億美元和解協(xié)議擱置一旁。

但回到CapitalOne，肯定會(huì)有很多經(jīng)驗(yàn)教訓(xùn)。我想把重點(diǎn)放在CapitalOne的數(shù)據(jù)中心在哪里，以及從安全角度來(lái)看這對(duì)地球其他地方意味著什么。CapitalOne一直是AWS最直言不諱的客戶之一。他們出現(xiàn)在眾多AWS活動(dòng)中，并吹捧他們?nèi)绾瓮耆P(guān)閉所有數(shù)據(jù)中心并專門在亞馬遜上運(yùn)行。公平地說(shuō)，他們還分享了他們的最佳實(shí)踐和AWS服務(wù)的使用。然后發(fā)生這種情況。

因此，問(wèn)題是：如果AWS最精明的客戶之一可能遭受如此大規(guī)模、令人尷尬的數(shù)據(jù)泄露，那么所有AWS（和非AWS）客戶都應(yīng)該感到擔(dān)憂……采取積極的措施來(lái)解決云安全意味著什么。換句話說(shuō)，對(duì)云的依賴是否會(huì)讓我們對(duì)安全感到自滿？

1. 從架子和堆棧上旋轉(zhuǎn)起來(lái)的心血來(lái)潮

每個(gè)大中型企業(yè)都有一個(gè)或多個(gè)專用數(shù)據(jù)中心并設(shè)置新服務(wù)器或機(jī)架的時(shí)代，涉及到布線、電源、冷卻以及廣泛的網(wǎng)絡(luò)和安全重新配置。這可能需要數(shù)周的時(shí)間。這段時(shí)間可以問(wèn)一些基本的和復(fù)雜的安全問(wèn)題。今天，計(jì)算、存儲(chǔ)、無(wú)服務(wù)器……一切都是隨需應(yīng)變的。云爆發(fā)和數(shù)據(jù)存儲(chǔ)既便宜又快捷。一切都被加速了很多次。因此，除非流程藍(lán)圖中包含安全性，或者云提供商將其作為默認(rèn)設(shè)置提供（例如，AWS默認(rèn)情況下在報(bào)告了許多不安全數(shù)據(jù)存儲(chǔ)事件之后加密S3存儲(chǔ)桶），否則它很容易在噪音中丟失。

2. 共享責(zé)任模型非常具有描述性，只是它可能被放到遙遠(yuǎn)的記憶中

當(dāng)AWS提出共享責(zé)任模型時(shí)，由于清楚地解釋了他們所負(fù)責(zé)的內(nèi)容——“云的安全性”和客戶所負(fù)責(zé)的“云中的安全性”，它獲得了極大的贊譽(yù)。但是AWS發(fā)布特性的速度如此之快，很容易讓人想起那些朗朗上口的名字——Greengrass、Lambda、Control Tower——并深入研究它們，卻不記得“云”和“云責(zé)任”的區(qū)別。事實(shí)可能證明，這種疏忽會(huì)非常昂貴。

3.沒(méi)有哪兩種云是相同的，做多云需要額外的努力和關(guān)注

雖然多云有很多優(yōu)勢(shì)——更好的價(jià)格、冗余、前沿特性的推出等等，但它也給使用多云的團(tuán)隊(duì)帶來(lái)了負(fù)擔(dān)。投資跟上最新最好的，然后知道如何使用它。但從安全的角度來(lái)看，挑戰(zhàn)要大得多。為什么？因?yàn)楸M管共享責(zé)任模型本質(zhì)上應(yīng)該適用于所有云——AWS、Azure、谷歌等等——但實(shí)施和風(fēng)險(xiǎn)歸因可能會(huì)有很大差異。

例如，基礎(chǔ)設(shè)施管理員是否有能力竊取虛擬機(jī)。或者，如果數(shù)據(jù)存儲(chǔ)是加密的，那么只有最終客戶擁有主密鑰，還是云提供商也持有該密鑰？通常在不同的云之間答案是非常不同的。因此，共享責(zé)任模型也是特定于云的。

這是與云安全相關(guān)的三個(gè)挑戰(zhàn)，從安全和隱私的角度來(lái)看，這段旅程并不那么明顯。那么，企業(yè)是做什么的呢？放慢或停止云應(yīng)用。答案是顯而易見(jiàn)的。

相反，要定期問(wèn)自己以下問(wèn)題：

1、我最近是否為我的企業(yè)確定了所有主要公共云上的所有已批準(zhǔn)和未批準(zhǔn)的云工作負(fù)載（有一些工具可以進(jìn)行這種發(fā)現(xiàn)）？

2、提醒您自己和您的團(tuán)隊(duì)“共享責(zé)任模型”，對(duì)于所有云工作負(fù)載，請(qǐng)?jiān)儐?wèn)“在云中”安全性意味著什么。對(duì)于云連接物聯(lián)網(wǎng)傳感器和無(wú)服務(wù)器計(jì)算引擎來(lái)說(shuō)，答案可能會(huì)大不相同。

3、最后，在您的組織中開(kāi)發(fā)專家，或者聘請(qǐng)一個(gè)可信的第三方，對(duì)您從安全和隱私角度處理特性的多云差異進(jìn)行持續(xù)的培訓(xùn)。又貴又費(fèi)時(shí)？是的。重要嗎？絕對(duì)的。

在接下來(lái)的幾周和幾個(gè)月中，我們將了解有關(guān)CapitalOne違規(guī)行為的更多信息。但是要借用他們的營(yíng)銷標(biāo)語(yǔ)，不斷問(wèn)自己這個(gè)問(wèn)題“你的云中有什么”？