搜索

[15174] 2020-03-25_阿里云发布《2019云上企业安全指南》，破解云上安全运营难题

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2020-03-25_阿里云发布《2019云上企业安全指南》，破解云上安全运营难题 阿 里 云 发 布 《 2 0 1 9 云 上 企 业 安 全 指 南 》 ， 破 解 云 上 安 全 运 营 难 题 阿 里 云 安 全   F r e e B u f   2 0 2 0 - 0 3 - 2 5 近 日 ， 阿 里 云 安 全 联 合 近 日 ， 阿 里 云 安 全 联 合 F r e e B u f 发 布 了 《 发 布 了 《 2 0 1 9 云 上 企 业 安 全 指 南 》 ， 阿 里 云 安 全 运 营 中 心 对 云 上 企 业 安 全 指 南 》 ， 阿 里 云 安 全 运 营 中 心 对 2 0 1 9 年 网 络 安 全 态 年 网 络 安 全 态 势 做 了 分 析 ， 并 给 出 势 做 了 分 析 ， 并 给 出 2 0 2 0 年 云 上 安 全 运 营 建 议 。 年 云 上 安 全 运 营 建 议 。 2 0 1 9 网 络 安 全 四 大 威 胁 网 络 安 全 四 大 威 胁 1 . 以 以 3 3 . 4 %   的 高 占 比 ， 挖 矿 病 毒 的 高 占 比 ， 挖 矿 病 毒 “ 卫 冕 卫 冕 ” 安 全 威 胁 之 最 安 全 威 胁 之 最 2 0 1 9 年 共 发 现 8 0   个 成 规 模 的 挖 矿 木 马 团 伙 ， 从 受 害 者 主 机 的 操 作 系 统 来 看 ， 6 9 % 为 L i n u x ， 3 1 %   为 W i n d o w s ， T o p 1 0 挖 矿 木 马 团 伙 主 要 以 L i n u x 为 攻 击 目 标 。 2 . 日 均 日 均   2 0 0 0   余 次 ， 强 度 、 频 度 的 升 级 让 余 次 ， 强 度 、 频 度 的 升 级 让 D D o S   攻 击 更 难 防 御 攻 击 更 难 防 御 百 G   以 上 流 量 攻 击 成 倍 增 长 ，   T b   级 流 量 、 千 万 级 并 发 攻 击 的 出 现 让 D D o S   攻 击 对 抗 更 为 激 烈 。 同 时 ， 阿 里 云 安 全 运 营 中 心 还 观 察 到 ， 应 用 层   D D o S （ C C 攻 击 ） 成 为 最 常 见 的 攻 击 类 型 ， 与 2 0 1 8   年 相 比 ， 攻 击 手 法 也 更 为 多 变 复 杂 。 2 0 1 9 年 峰 值 流 量 大 于 1 0 0 G b p s 事 件 分 布 3 . 暴 力 破 解 依 然 是 暴 力 破 解 依 然 是 “ 最 具 性 价 比 最 具 性 价 比 ” 的 主 流 攻 击 手 段 的 主 流 攻 击 手 段 在 所 有 被 拦 截 的 攻 击 中 ， 暴 力 破 解 和 W e b 攻 击 在 2 0 1 9 年 持 续 增 加 ， 分 别 达 到 7 亿 次 和 4 0 0 0 万 次 ， 占 总 拦 截 次 数 的 4 8 % 和 3 % 。
4 . 更 垂 直 ， 利 益 驱 动 下 的 更 垂 直 ， 利 益 驱 动 下 的 “ 百 花 齐 放 百 花 齐 放 ” 电 商 等 行 业 将 面 临 黑 灰 产 链 条 更 加 完 整 和 专 业 的 W e b   攻 击 ， 房 产 交 易 、 交 通 、 游 戏 、 电 商 、 资 讯 论 坛 几 个 行 业 中 恶 意 爬 虫 的 占 比 都 超 过 了 5 0 % ， 这 些 行 业 需 要 加 强 对 恶 意 爬 虫 的 安 全 防 控 。 2 0 1 9 最 受 企 业 关 注 的 四 大 安 全 问 题 最 受 企 业 关 注 的 四 大 安 全 问 题 基 于 大 量 客 户 服 务 和 交 流 经 验 ， 以 及 国 家 法 律 法 规 要 求 、 企 业 安 全 管 理 现 状 等 多 方 面 因 素 ， 阿 里 云 安 全 运 营 中 心 对 企 业 在 过 去 一 年 中 最 为 关 注 的 十 大 安 全 问 题 进 行 了 盘 点 ， 如 下 图 所 示 。 其 中 不 难 看 出 ， 合 规 、 数 据 安 全 、 I O T 安 全 、 云 上 安 全 运 营 四 个 方 面 成 为 企 业 最 关 心 的 四 类 问 题 。
1 . 服 务 提 供 商 合 规 等 级 决 定 了 云 上 企 业 能 达 到 的 最 高 合 规 水 平 服 务 提 供 商 合 规 等 级 决 定 了 云 上 企 业 能 达 到 的 最 高 合 规 水 平 网 络 安 全 法 规 定 “ 谁 运 营 谁 负 责 ， 谁 使 用 谁 负 责 ， 谁 主 管 谁 负 责 ” 的 原 则 及 其 他 相 关 规 定 ,   前 提 是 云 平 台 通 过 等 保 级 别 不 低 于 用 户 系 统 级 别 ， 否 则 影 响 云 上 用 户 的 信 息 系 统 等 级 保 护 定 级 备 案 。 等 保 2 . 0 是 今 年 企 业 重 点 关 注 的 合 规 标 准 ， 企 业 使 用 的 云 服 务 类 别 （ I a a S 、 P a a S   和 S a a S   服 务 模 式 ） 不 同 ， 等 保 2 . 0   所 要 求 的 技 术 测 评 项 目 也 有 所 不 同 。 因 此 只 要 云 平 台 通 过 等 保 测 评 ， 云 上 用 户 在 物 理 安 全 、 网 络 、 虚 拟 层 安 全 等 基 础 安 全 防 护 上 的 投 入 可 以 因 为 云 平 台 的 能 力 而 大 幅 下 降 ， 关 注 点 可 以 更 加 聚 焦 在 业 务 和 系 统 的 防 护 要 求 上 。 阿 里 云 不 同 服 务 模 式 下 的 云 上 用 户 等 保   2 . 0   技 术 测 评 项 数 量 从 上 图 可 以 看 出 ， 在 云 平 台 通 过 等 保 2 . 0   测 评 的 前 提 下 ， 企 业 上 云 的 程 度 越 深 ， 自 身 所 需 要 进 行 测 评 项 数 量 就 越 少 ， 当 然 所 需 要 投 入 的 成 本 就 会 更 低 ， 让 企 业 拥 有 高 等 级 安 全 能 力 同 时 ， 可 以 有 更 多 精 力 聚 焦 在 自 身 业 务 发 展 上 。 2 .   数 据 安 全 水 位 决 定 企 业 整 体 安 全 防 护 水 平 数 据 安 全 水 位 决 定 企 业 整 体 安 全 防 护 水 平 数 据 安 全 是 一 个 复 杂 而 综 合 的 工 作 ， 从 数 据 采 集 、 传 输 、 存 储 、 处 理 、 交 换 到 销 毁 ， 各 个 环 节 都 有 诸 多 需 要 关 注 和 解 决 的 问 题 。 因 此 ， 云 上 企 业 在 建 设 数 据 安 全 防 护 体 系 时 ， 需 要 充 分 考 虑 未 来 业 务 发 展 、 现 有 业 务 现 状 、 敏 感 数 据 场 景 、 数 据 上 下 游 等 ， 做 好   3 - 5   年 数 据 安 全 规 划 ； 针 对 不 同 类 型 数 据 、 不 同 使 用 场 景 、 不 同 环 节 的 威 胁 、 风 险 做 充 分 分 析 ， 配 套 建 设 技 术 检 测 、 防 护 手 段 ； 在 管 理 体 系 建 设 方 面 需 考 虑 与 现 有 管 理 体 系 充 分 融 合 ， 最 终 形 成 规 划 、 管 理 加 技 术 的 模 式 ， 全 面 管 控 数 据 全 生 命 周 期 安 全 。 3 .   即 将 突 破 即 将 突 破   2 0 8 亿 的 亿 的 I o T 在 线 设 备 ， 在 线 设 备 ， 6 0 0 % 增 长 的 物 联 网 攻 击 增 长 的 物 联 网 攻 击 随 着   5 G 、 大 数 据 、 人 工 智 能 的 深 入 发 展 ， 带 来 了   I o T   产 品 的 飞 速 发 展 ， 2 0 2 0   年 预 计   I o T   设 备 在 线 量 突 破   2 0 8 亿 。 由 于   I o T   设 备 涉 及 到 云 、 管 、 端 、 边 四 大 方 面 ， 安 全 风 险 也 不 断 扩 大 ， 物 联 网 攻 击 将 以   6 0 0 %   的 增 速 增 加 。
物 联 网 设 备 爆 发 式 增 长 同 时 通 过 对 物 联 网 安 全 漏 洞 进 行 整 理 发 现 ， 物 联 网 固 件 类   C V E   固 件 漏 洞 质 量 及 可 利 用 性 在 逐 渐 增 加 ， 整 体 安 全 风 险 为 高 危   4 0 0 0   多 个 ， 占 比 为   4 2 . 3 1 %   ； 中   危 近   2 0 0 0   多 个 ， 占 比 为   1 5 . 3 7 %   ； 低 危   4 0 0 0   多 个 ， 占 比 为 4 2 . 3 3 % 。 漏 洞 分 布 情 况 通 过 对 I o T 端 部 产 品 的 特 性 观 察 发 现 ， 主 要 的 设 备 端 安 全 威 胁 为 设 备 无 / 弱 鉴 权 、 访 问 控 制 无 / 弱 鉴 权 、 固 件 篡 改 、 代 码 注 入 、 开 发 端 口 、 文 件 篡 改 、 逆 向 工 程 、 存 储 数 据 泄 露 /   篡 改 、 软 件 漏 洞 、 系 统 漏 洞 、 设 备 伪 造 。 4 . 云 上 规 模 化 红 利 让 安 全 运 营 降 低 至 少 云 上 规 模 化 红 利 让 安 全 运 营 降 低 至 少 5 0 % 安 全 不 是 产 品 叠 加 ， 云 上 安 全 体 系 需 要 整 体 防 护 ， 从 上 云 前 的 整 体 安 全 方 案 设 计 ， 到 上 云 后 安 全 产 品 使 用 、 安 全 风 险 评 估 ， 都 需 要 安 全 专 家 参 与 咨 询 、 设 计 以 及 后 期 的 安 全 运 营 ， 以 便 快 速 解 决 整 体 防 护 中 的 各 项 脆 弱 点 及 潜 在 安 全 风 险 。 网 络 攻 防 是 动 态 的 ， 攻 击 手 段 变 化 ， 防 御 手 段 也 需 要 及 时 调 整 。 在 安 全 防 护 体 系 中 ， 安 全 产 品 的 角 色 是 工 具 ， 需 要 安 全 专 家 不 断 去 分 析 、   运 营 以 及 调 整 不 同 时 期 的 安 全 策 略 ， 不 断 提 升 事 件 处 置 、 应 急 处 置 等 安 全 技 术 能 力 ， 才 能 确 保 业 务 系 统 常 态 化 安 全 。 因 此 ， 专 业 的 云 上 安 全 托 管 运 营 可 以 帮 助 客 户 更 有 效 的 形 成 管 理 加 技 术 、 技 术 + 产 品 的 风 险 闭 环 ， 同 时 还 可 以 帮 助 企 业 降 低 运 营 成 本 。 云 上 规 模 化 、 体 系 化 的 特 点 意 味 着 运 营 成 本 降 低 ， 运 营 成 本 降 低 的 红 利 会 直 接 给 到 每 一 位 客 户 2 0 2 0 云 上 安 全 运 营 四 大 建 议 云 上 安 全 运 营 四 大 建 议 基 于   2 0 1 9   年 云 上 企 业 重 点 关 注 的 问 题 及 面 临 的 安 全 风 险 分 析 ， 我 们 给 出 如 下 行 动 指 南 ，   助 力 企 业 做 好 云 上 安 全 建 设 ： 合 规 建 设 。 合 规 建 设 。 云 上 用 户 通 过 等 保 ， 首 先 需 要 确 认 云 平 台 等 保 测 评 通 过 情 况 ， 其 次 根 据 业 务 现 状 确 定 等 保 定 级 、 根 据 云 服 务 业 务 模 式 （ I a a S 、 P a a S 、 S a a S ） 匹 配 等 保 要 求 开 展 合 规 建 设 工 作 ， 最 后 通 过 选 择 具 备 云 上 测 评 经 验 且 综 合 实 力 专 业 的 测 评 机 构 完 成 等 保 测 评 。 数 据 安 全 建 设 。 数 据 安 全 建 设 。 企 业 可 以 从 数 据 生 命 周 期 维 度 ， 评 估 数 据 在 各 阶 段 的 风 险 情 况 ， 结 合 业 务 数 据 流 转 、 敏 感 数 据 使 用 场 景 等 建 设 数 据 安 全 管 理 体 系 及 相 应 的 技 术 防 护 手 段 ， 保 障 数 据 全 生 命 周 期 的 安 全 。 I o T   安 全 能 力 建 设 。 安 全 能 力 建 设 。 从 云 、 管 、 端 、 边 全 面 整 体 的 做 好   I o T   安 全 防 护 ， 评 估 整 体 风 险 情 况 。 关 注 设 备 可 信 检 测 与 认 证 ， 提 升 设 备 整 体 鉴 权 能 力 ； 加 强 数 据 安 全 保 护 ， 使 用 可 信 的 安 全 方 案 进 行 平 台 的 安 全 建   设 ； 使 用   I o T   专 业 的 安 全 运
营 方 案 ， 避 免 给 平 台 带 来 无 法 挽 回 的 损 失 。 常 态 化 安 全 运 营 。 常 态 化 安 全 运 营 。 定 期 做 好 云 上 资 产 的 基 础 安 全 检 查 工 作 （ 基 线 、 漏 洞 、 策 略 等 ）   ； 定 期 结 合 业 务 发 展 、 云 平 台 网 络 架 构 等 评 估 云 上 资 产 安 全 风 险 ； 结 合 自 身 业 务 迭 代 频 率 做 好 上 线 前 安 全 检 查 工 作 。 做 到 风 险 可 控 ， 防 患 于 未 然 。 点 击 【 阅 读 原 文 】 下 载 报 告 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理