国际云安全联盟CSA携手700多位业界专家开展深度调研，探讨了云计算行业的安全问题，发布了《云计算的11类顶级威胁》报告。

透视威胁

身份、凭证、访问管理系统主要是指允许组织管理、监视和保护的策略可获取关键敏感信息的资源工具。例如像电子文件，计算机系统和物理资源，如服务器机房门禁或电子令牌。合理维护和持续性跟踪身份伪造带来的安全风险非常重要。使用可视化身份和访问管理（IAM）的风险评分可提高安全态势。使用清晰的风险分配模型监控和适当隔离其行为有助于交叉检查IAM系统。跟踪目标访问和风险评分频率对理解风险背景也至关重要。

随着云计算、移动互联网、物联网的蓬勃发展，越来越多的应用开发深度依赖于API之间的相互调用。《2021 Bots自动化威胁报告》显示，作为一种轻量化的技术，API在全球范围内受到企业组织的高度青睐，应用接口呈现爆发式增长。

相比2021年，2022年API流量同比增长4.8倍，44%的企业正在建造和维护100个或更多的API。为API提供攻击暴露面的缩减、跟踪、配置和保护非常必要关键。

由于企业在云中存储、交互的数据规模巨大，复杂、庞大的数据使管理成为一个难题，一旦管理不当，就会引来攻击者的入侵。云计算资源配置错误是导致组织数据泄露的主要原因，尽管很多企业清楚云安全漏洞会造成严重的后果，但他们在对云计算的服务进行配置时，仍然会出错。配置错误的类型多种多样：常见的将数据存储在有安全风险的存储单元或容器中，对数据赋予过度的读写权限，或禁用默认的安全配置，这类配置错误都会造成意想不到的安全问题。
 

CSPM的持续性配置检查

云安全策略和安全架构包括对云部署模型、云服务模型、云服务器提供商（CSP）、服务区域可用性区域、特定云服务、通用原则和预定义规则的选型和规划。

云基础设施以及业务的快速的变化，包括分散特性、订阅式的模式，都会影响安全技术和安全因素的设计。然而，如果云计算业务突飞猛进，就无法忽视安全建设与风险评估。

软件本身是复杂的，一定程度上说云场景下，会增加软件技术的复杂性。在这种复杂性中，并未被软件开发者们设计的功能，就很容易出现了安全漏洞或配置错误。虽然我们要感谢云的可访问便利性，但云威胁也比以往任何时候都更容易利用这些“特征”。

采用云优先的战略，可以让实体减轻负担云服务提供商（CSP）面临的维护和安全问题。托管服务可以提供商管理基础设施和/或平台层阻止开发人员重新发明轮子。

密钥存储服务/管理和安全持续集成/持续部署（CI/CD）允许开发人员将重点放在业务逻辑上。
 

Gartner DevSecOps工具链

在云计算应用迅速增加的世界中，第三方资源可能带来不同的影响：从开源代码、SaaS产品和API风险（顶级威胁2），一直到云供应商提供的托管服务。来自第三方资源的风险也被视为供应链漏洞，因为它们是交付产品或服务过程的一部分。这些风险存在于消费的每一种产品和服务中。尽管如此，由于近年来对第三方服务和基于软件的产品越来越依赖，对这些漏洞和可黑客配置的攻击也越来越多。事实上，根据海外知名学术机构的研究，三分之二的违规行为是供应商或第三方漏洞造成的。

系统漏洞是云服务平台中的缺陷。他们可能会被利用，试图破坏数据的机密性、完整性和可用性，可能会中断服务操作。所有组件都可能包含可能使云服务受到攻击的漏洞。

云服务使公司能够以前所未有的速度进行建设、创新和扩展。然而，云的复杂性和向云服务所有权的转移，以及不同的团队和业务单位，往往导致缺乏安全治理和控制。不同云服务提供商中的云资源、配置数量不断增加，使得错误配置更加常见，云资源缺乏透明度和过度的对互联网暴露可能会导致意外的数据泄漏。

迁移到云基础设施和采用DevOps实践使IT团队能够比以往更快地为业务提供价值。管理和扩展基础设施和安全控制以运行应用程序仍然是开发团队的一个重大负担。用于管理prem环境的遗留基础设施团队必须学习新技能，如基础设施代码和云安全。这些团队必须对支持其应用程序的网络和安全控制承担更多责任。无服务器和cloudnative容器化工作负载似乎是解决这一问题的灵丹妙药,问题是，将这一责任转移给云服务提供商（CSP）。不过，与将虚拟机迁移到云中相比，它需要更高级别的云和应用程序安全成熟度。
 

ServerLess安全风险

攻击活动，其中入侵者或入侵者团队在网络上建立非法的长期存在，以挖掘高度敏感的数据。这些小组可能包括国家和有组织犯罪团伙。“有组织犯罪”一词是用来描述一个群体在创造反映群体个体努力的有计划和理性行为时所具有的组织水平的方式。APT已经建立了复杂的战术、技术和协议（TTP）来渗透其目标。APT组在目标网络中花费数月时间未被发现并不罕见。

云存储数据外泄是一种涉及敏感、受保护或机密信息的事件。这些数据可能被发布、查看、窃取或由组织运行环境之外的个人使用。数据外泄可能是有针对性攻击的主要目标，并可能由被利用的漏洞或配置错误、应用程序漏洞或较差的安全实践导致。渗出可能涉及任何非公开发布的信息，例如个人健康信息、财务信息、个人身份信息（PII）、商业秘密和知识产权。

致谢

新华三集团在安全领域拥有近二十年的经验积累，率先提出"主动安全"理念与技术框架，引领业界从被动防御向主动安全的理念转变。新华三拥有1200多项安全领域专利技术，近40大类超500款专业安全产品，覆盖边界安全、云安全、工控安全、数据安全、5G安全和等级保护等细分领域，具备业界最全面的安全产品和解决方案付能力，可为用户提供可信、可控的全系列网络安全产品及完整的“云-网-边-端”一体化安全解决方案。

新华三是CSA大中华区的理事单位，支持该报告内容的翻译，但不影响CSA研究内容的开发权和编辑权。