目前，國內(nèi)的云計(jì)算應(yīng)用如火如荼，企業(yè)在加速云上業(yè)務(wù)應(yīng)用的同時(shí)，也需要構(gòu)建更加透明、更加可靠的云應(yīng)用環(huán)境。開展云安全審計(jì)正是保障云計(jì)算應(yīng)用安全的有效手段之一，它能夠?qū)⒃粕蠘I(yè)務(wù)運(yùn)營狀態(tài)及風(fēng)險(xiǎn)進(jìn)行充分地檢驗(yàn)和評(píng)審，預(yù)防發(fā)現(xiàn)可能出現(xiàn)的安全隱患。
云安全審計(jì)的價(jià)值
云安全審計(jì)是一套流程，旨在識(shí)別與云計(jì)算應(yīng)用相關(guān)的安全漏洞和風(fēng)險(xiǎn)。云安全審計(jì)之所以很重要，是由于它可以幫助組織評(píng)估云環(huán)境的安全狀況，識(shí)別和減小數(shù)字化應(yīng)用上云后的安全風(fēng)險(xiǎn)，保護(hù)云上重要數(shù)據(jù)資產(chǎn)的安全，從而實(shí)現(xiàn)組織業(yè)務(wù)的穩(wěn)定開展。
組織在開展云安全審計(jì)時(shí)，應(yīng)該明確以下重點(diǎn)工作目標(biāo)：
識(shí)別和減小與使用云服務(wù)相關(guān)的風(fēng)險(xiǎn)。
滿足監(jiān)管部門的應(yīng)用合規(guī)要求。
改善組織的云上應(yīng)用安全狀況。
降低云服務(wù)的使用成本和預(yù)算投入。
云安全審計(jì)工具
云安全審計(jì)工作可以手動(dòng)執(zhí)行，也可以借助自動(dòng)化工具執(zhí)行。這類工具多用于識(shí)別和修復(fù)漏洞，監(jiān)控安全策略合規(guī)情況，并跟蹤云環(huán)境出現(xiàn)的變化。AstraPentest、Prowler、DowJone’sHammer、ScoutSuite和CloudSploitScans是目前最常用的云安全審計(jì)工具。
1、AstraPentest
Astra的Pentest云安全審計(jì)工具經(jīng)過1000余種安全測(cè)試，遵守國際安全標(biāo)準(zhǔn)，這種云安全審計(jì)工具擁有界面直觀的儀表板，可動(dòng)態(tài)顯示漏洞。它還可以檢測(cè)潛在漏洞的嚴(yán)重性，并通過修復(fù)協(xié)助和多次重新掃描提供安全審計(jì)。
2、Prower
Prower主要用于執(zhí)行審計(jì)、最佳實(shí)踐評(píng)估、安全加固和取證分析就緒。Prowler在設(shè)計(jì)時(shí)嚴(yán)格遵循CISAmazonWebServicesFoundationsBenchmark指南及相關(guān)行業(yè)審計(jì)標(biāo)準(zhǔn)，比如《健康保險(xiǎn)可攜性及責(zé)任性法案》（HIPAA）和《通用數(shù)據(jù)保護(hù)條例》（GDPR）的合規(guī)要求。
3、DowJone’sHammer
該工具主要面向AmazonAWS的云安全解決方案，支持多賬戶審計(jì)功能。借助Slack和JIRA等實(shí)時(shí)報(bào)告功能，Hammer可以識(shí)別用戶AWS云資源中的錯(cuò)誤配置以及不安全的數(shù)據(jù)隱患。產(chǎn)品具有實(shí)時(shí)報(bào)告功能，能夠向工程師提供快速反饋，并自動(dòng)修復(fù)一些錯(cuò)誤配置。Hammer還可以創(chuàng)建安全護(hù)欄，幫助保護(hù)部署在云平臺(tái)上的產(chǎn)品。
4、ScoutSuite
ScoutSuite是一種用于多云環(huán)境安全審計(jì)的開源工具，可以評(píng)估云環(huán)境的安全狀況。ScoutSuite使用云提供商公開的API，以收集配置數(shù)據(jù)供人工檢查，并能夠重點(diǎn)顯示風(fēng)險(xiǎn)區(qū)域。它支持Azure、AWS、GCP、Oracle和我國的阿里云等多云環(huán)境。
5、CloudSploitScans
CloudSploitScans是一款出色的開源云安全審計(jì)工具，支持Azure、AWS、GCP和Oracle云的評(píng)估工作。通過使用CloudSploitScans，有助于審計(jì)人員檢測(cè)云基礎(chǔ)設(shè)施賬戶中的潛在安全威脅，它具有一些特定腳本可讓設(shè)備防護(hù)一系列潛在的錯(cuò)誤配置和安全風(fēng)險(xiǎn)。
云安全審計(jì)流程
云安全審計(jì)涉及許多技術(shù)和程序。如果遵循這些技術(shù)和程序，組織可以讓云上業(yè)務(wù)更可靠地運(yùn)行。以下是云安全審計(jì)工作中最重要的工作環(huán)節(jié)：
掃描并識(shí)別云環(huán)境中的漏洞，并提供修補(bǔ)建議。
分析云計(jì)算應(yīng)用配置是否合理，是否存在違規(guī)配置。
檢查云應(yīng)用安全策略是否被有效執(zhí)行。
查看訪問控制列表，是否存在違規(guī)或異常訪問行為。
查看并分析云監(jiān)控?cái)?shù)據(jù)日志。
云安全審計(jì)指標(biāo)
組織在實(shí)際開展云安全審計(jì)工作時(shí)，可以參考以下最佳實(shí)踐經(jīng)驗(yàn)，合理設(shè)計(jì)審計(jì)指標(biāo)：
云服務(wù)商的安全狀況
任何組織都不想與沒有足夠安全保障能力的云供應(yīng)商打交道。除了云平臺(tái)提供的安全策略和程序外，客戶還需要能夠通過對(duì)自身云上數(shù)據(jù)的監(jiān)測(cè)來評(píng)估風(fēng)險(xiǎn)。
攻擊面管理與評(píng)估
如果定期監(jiān)控云環(huán)境，組織可以迅速識(shí)別安全預(yù)防措施中的缺陷，并控制整個(gè)云資產(chǎn)面臨的風(fēng)險(xiǎn)。只有了解這些情況，組織才可以集中精力進(jìn)行補(bǔ)救，重點(diǎn)保護(hù)風(fēng)險(xiǎn)系數(shù)高或重要性高的資產(chǎn)。
訪問控制管理措施
訪問權(quán)限管理不當(dāng)是目前最普遍的云安全問題。雖然云提供商會(huì)提供訪問權(quán)限管理功能，但如果這些登錄信息被非法竊取，組織的數(shù)據(jù)隨時(shí)可能會(huì)泄露。這是需要重點(diǎn)關(guān)注和審計(jì)的內(nèi)容。
外部共享標(biāo)準(zhǔn)
云計(jì)算可以讓數(shù)據(jù)共享使用更快捷。通過云計(jì)算平臺(tái)，整個(gè)組織訪問和共享信息變得輕而易舉，然而這也帶來了風(fēng)險(xiǎn)。員工可能會(huì)在家用網(wǎng)絡(luò)上安裝惡意軟件，在未經(jīng)授權(quán)的情況下訪問組織數(shù)據(jù)，或與組織外部的人共享數(shù)據(jù)，因此需要對(duì)云數(shù)據(jù)的共享使用建立規(guī)范標(biāo)準(zhǔn)，并保證其被有效執(zhí)行。
補(bǔ)丁管理
補(bǔ)丁管理是確保云環(huán)境安全的一個(gè)重要環(huán)節(jié)。然而，實(shí)際工作中落實(shí)補(bǔ)丁及時(shí)管理并非易事，需要時(shí)刻了解云計(jì)算應(yīng)用中的漏洞修補(bǔ)情況。
云安全審計(jì)挑戰(zhàn)
根據(jù)實(shí)踐總結(jié)，研究人員發(fā)現(xiàn)，組織開展云安全審計(jì)工作存在的主要挑戰(zhàn)包括：
云安全審計(jì)在識(shí)別與使用云服務(wù)相關(guān)的所有風(fēng)險(xiǎn)時(shí)常面臨困難。
需要專業(yè)知識(shí)和技能保障。如果沒有這些知識(shí)和技能，安全審計(jì)常常會(huì)走歪路。
審計(jì)人員對(duì)云環(huán)境的內(nèi)部運(yùn)作缺乏足夠的認(rèn)知和了解。
由于安全隱患的未知性和復(fù)雜性，可能會(huì)出現(xiàn)誤報(bào)和漏報(bào)。?
