搜索

[28246] 2020-04-09_探索对云安全的常见威胁

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-19
2020-04-09_探索对云安全的常见威胁 探 索 对 云 安 全 的 常 见 威 胁 原 创   趋 势 科 技   O t s 安 全   2 0 2 0 - 0 4 - 0 9 不 仅 在 寻 求 物 理 基 础 架 构 的 更 具 成 本 效 益 的 替 代 方 案 的 小 型 公 司 中 ， 而 且 在 希 望 利 用 其 灵 活 性 的 大 型 企 业 中 ， 云 的 采 用 也 在 稳 步 上 升 。 但 是 ， 组 织 （ 尤 其 是 那 些 刚 刚 迁 移 到 云 中 的 组 织 ） 面 临 的 挑 战 之 一 是 ， 对 云 的 运 行 方 式 以 及 与 纯 本 地 系 统 的 不 同 之 处 缺 乏 了 解 。 云 设 置 通 常 不 仅 仅 涉 及 一 个 实 施 ； 相 反 ， 它 们 通 常 结 合 物 理 数 据 中 心 结 合 来 自 不 同 云 提 供 商 的 不 同 服 务 。 此 挑 战 扩 展 到 安 全 性 - 存 在 无 法 充 分 保 护 云 部 署 并 存 在 不 熟 悉 云 服 务 的 配 置 细 节 的 风 险 。 许 多 因 素 可 能 导 致 工 作 负 载 和 应 用 程 序 遭 受 攻 击 ， 包 括 配 置 错 误 ， 技 术 使 用 不 当 ， 对 云 系 统 进 行 操 作 和 保 护 的 经 验 不 足 ， 甚 至 仅 仅 是 开 发 人 员 或 云 工 程 师 的 疏 忽 。 云 系 统 的 组 件 以 多 种 方 式 相 互 连 接 ， 使 得 潜 在 的 攻 击 向 量 难 以 映 射 。 对 于 刚 开 始 使 用 云 平 台 和 服 务 的 I T 安 全 人 员 来 说 ， 安 全 是 一 项 艰 巨 的 任 务 。 在 我 们 题 为 “ 解 开 云 安 全 威 胁 的 网 络 ” 的 论 文 中 ， 我 们 提 供 了 组 织 迁 移 到 云 或 使 用 云 服 务 时 可 能 面 临 的 威 胁 和 风 险 的 示 例 。 无 论 是 云 服 务 还 是 平 台 ， 我 们 发 现 的 共 同 主 题 是 ， 错 误 配 置 仍 然 是 云 安 全 性 的 主 要 陷 阱 之 一 ， 影 响 了 订 阅 云 服 务 的 公 司 和 托 管 在 云 上 的 软 件 的 用 户 。 世 界 可 写 的 世 界 可 写 的 A m a z o n   S 3 存 储 库 存 储 库 凭 借 各 种 产 品 ， 亚 马 逊 网 络 服 务 （ A W S ） 已 成 为 云 行 业 的 主 要 参 与 者 。 在 A W S 稳 定 版 中 的 产 品 中 ， A m a z o n   S i m p l e   S t o r a g e S e r v i c e （ A m a z o n   S 3 ） 可 能 是 最 受 欢 迎 的 产 品 。 N e t f l i x ， R e d d i t 和 P i n t e r e s t 等 公 司 正 在 使 用 其 基 础 架 构 。 我 们 在 研 究 A m a z o n   S 3 存 储 桶 时 看 到 的 一 贯 趋 势 是 ， 许 多 组 织 将 它 们 放 置 在 世 界 范 围 内 — 一 种 错 误 配 置 ， 允 许 未 经 授 权 的 用
户 写 入 存 储 桶 。 一 个 举 世 闻 名 的 例 子 涉 及 《 洛 杉 矶 时 报 》 ， 该 杂 志 以 前 有 一 个 网 络 访 问 控 制 列 表 （ A C L ） ， 该 列 表 被 配 置 为 允 许 对 写 入 其 杀 人 网 站 的 存 储 桶 进 行 公 共 写 访 问 。 这 使 攻 击 者 可 以 在 J a v a S c r i p t 代 码 中 添 加 加 密 货 币 矿 工 。 遥 测 从 趋 势 科 技 A k a m a i 的 数 据 收 集 T M 智 能 防 护 网 络 T M 架 构 还 表 明 ， 对 一 些 具 有 全 球 可 写 的 桶 网 站 攻 击 期 间 大 部 分 的 2 0 1 9 发 生 了 - 与 涉 及 的 恶 意 代 码 注 入 一 些 攻 击 ， 最 终 的 漏 出 网 站 表 单 中 的 数 据 。 我 们 遇 到 的 另 一 个 问 题 是 存 储 在 A m a z o n   S 3 存 储 桶 中 的 归 类 为 恶 意 文 件 。 他 们 中 的 许 多 人 都 使 用 旧 的 路 径 样 式 寻 址 方 案 。 这 意 味 着 存 储 桶 使 用 通 用 的 A m a z o n   S 3 主 机 名 ， 而 不 是 虚 拟 存 储 方 案 ， 在 虚 拟 托 管 方 案 中 ， 存 储 桶 的 名 称 包 含 在 主 机 名 中 。 这 会 给 安 全 筛 选 器 带 来 问 题 ， 因 为 阻 止 使 用 路 径 样 式 方 案 的 恶 意 网 站 的 主 机 名 也 同 样 会 阻 止 其 他 非 恶 意 站 点 。 云 中 可 用 的 第 二 项 主 要 服 务 是 计 算 ， 目 前 这 些 服 务 主 要 用 于 容 器 技 术 。 像 一 般 的 云 细 分 市 场 一 样 ， 在 过 去 几 年 中 ， 容 器 的 采 用 率 也 很 高 。 D o c k e r ， K u b e r n e t e s 和 A W S   L a m b d a 之 类 的 软 件 帮 助 推 动 了 容 器 技 术 的 发 展 ， 为 希 望 简 化 其 开 发 操 作 的 组 织 提 供 了 轻 便 高 效 的 云 部 署 。 但 是 ， 配 置 失 误 或 错 误 很 常 见 ， 这 会 使 利 用 这 些 错 误 配 置 的 系 统 受 到 攻 击 的 风 险 。 凭 证 管 理 不 当 凭 证 管 理 不 当 凭 据 使 用 尽 管 经 常 被 忽 略 ， 但 却 是 云 计 算 最 重 要 的 方 面 之 一 。 由 于 组 织 无 法 像 数 据 中 心 一 样 在 物 理 上 保 护 云 系 统 ， 因 此 对 强 大 的 凭 证 安 全 性 的 需 求 甚 至 变 得 更 大 。 在 保 护 凭 据 方 面 面 临 的 一 个 挑 战 是 许 多 流 程 通 常 需 要 访 问 需 要 身 份 验 证 的 数 据 和 其 他 资 源 。 这 意 味 着 用 户 需 要 保 护 数 据 和 凭 据 免 受 泄 露 。 程 序 员 经 常 犯 的 一 个 错 误 是 ， 他 们 无 意 间 在 G i t H u b 等 公 共 存 储 库 上 泄 露 了 凭 证 信 息 。 有 时 会 在 在 线 发 布 的 代 码 段 中 找 到 诸 如 A P I 密 钥 之 类 的 敏 感 数 据 ， 然 后 攻 击 者 就 可 以 使 用 这 些 代 码 片 段 来 接 管 凭 据 所 使 用 的 帐 户 。 遭 到 破 坏 的 帐 户 可 以 用 于 多 种 恶 意 目 的 ， 例 如 盗 窃 客 户 数 据 ， 然 后 可 以 在 地 下 出 售 这 些 数 据 。 我 们 发 现 的 另 一 个 问 题 是 ， 许 多 经 验 不 足 的 程 序 员 经 常 遵 循 误 导 性 的 云 教 程 ， 其 中 许 多 教 程 鼓 励 在 代 码 本 身 内 部 对 凭 证 进 行 硬 编 码 。 如 果 以 及 何 时 将 代 码 发 布 到 任 何 人 都 可 以 访 问 的 存 储 库 中 ， 这 将 成 为 一 个 问 题 。 随 着 云 服 务 采 用 率 的 增 长 ， 企 业 需 要 充 分 了 解 其 面 临 的 威 胁 ， 并 做 好 适 当 的 准 备 以 保 护 其 云 系 统 。 如 果 没 有 可 靠 的 安 全 实 施 措 施 ， 云 的 好 处 就 无 法 实 现 。 我 们 在 研 究 中 分 析 的 威 胁 并 未 涵 盖 云 中 所 有 潜 在 的 威 胁 和 风 险 ， 但 其 中 包 括 一 些 最 重 要 的 威 胁 。 对 于 需 要 了 解 云 的 结 构 以 及 保 护 云 的 策 略 的 I T 和 安 全 人 员 而 言 ， 这 尤 其 重 要 。 阅 读 我 们 完 整 的 报 告 “   了 解 云 安 全 威 胁 的 网 络   ” ， 该 报 告 深 入 研 究 了 我 们 在 此 处 讨 论 的 威 胁 ， 并 提 供 了 如 何 防 御 这 些 威 胁 的 建 议 。
A W S   L a m b d a A W S   L a m b d a s 是 无 服 务 器 事 件 驱 动 的 流 程 ， 可 为 应 用 程 序 提 供 轻 量 级 且 经 济 高 效 的 解 决 方 案 ， 而 无 需 设 置 利 用 率 模 式 。 一 个 常 见 的 误 解 是 L a m b d a 受 攻 击 者 无 法 直 接 检 索 函 数 名 的 保 护 。 这 种 误 解 通 常 会 导 致 在 没 有 适 当 身 份 验 证 的 情 况 下 执 行 功 能 。 但 是 ， 攻 击 者 可 以 通 过 多 种 方 法 找 到 L a m b d a ， 例 如 ， 使 用 嗅 探 器 侦 听 网 络 流 量 ， 或 者 通 过 检 查 使 用 L a m b d a 并 运 行 A P I 网 关 的 站 点 的 源 代 码 。 如 果 没 有 安 全 的 L a m b d a 身 份 验 证 ， 则 敏 感 信 息 有 暴 露 的 危 险 。 另 外 ， 由 于 开 发 人 员 如 何 编 码 它 们 ， 许 多 基 于 P y t h o n 的 L a m b d a 函 数 在 给 定 不 正 确 的 参 数 时 会 打 印 堆 栈 跟 踪 ， 这 可 能 导 致 攻 击 者 了 解 L a m b d a 实 现 的 基 本 知 识 。 挖 矿 脚 本 挖 矿 脚 本 D o c k e r 用 户 一 直 受 到 交 付 加 密 货 币 矿 工 的 恶 意 容 器 泛 滥 的 困 扰 ， 这 通 常 是 由 于 暴 露 于 I n t e r n e t 的 D o c k e r 容 器 所 致 。 这 些 矿 工 可 能 会 严 重 影 响 他 们 所 感 染 的 计 算 机 ， 甚 至 可 能 会 因 基 于 自 动 扩 展 实 例 的 云 部 署 中 的 C P U 利 用 率 过 高 而 造 成 金 钱 损 失 。 攻 击 者 可 以 采 用 多 种 技 术 将 矿 工 注 入 暴 露 的 D o c k e r 服 务 器 。 最 简 单 的 方 法 是 直 接 从 包 含 代 码 的 映 像 中 安 装 c r y p t o c u r r e n c y 矿 工 。 另 一 种 常 见 的 方 法 是 在 启 动 过 程 中 使 用 U b u n t u 等 广 泛 使 用 的 基 础 映 像 来 安 装 挖 掘 软 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理