| 公司新聞 |
| 行業(yè)新聞 |
 |
| 您當(dāng)前的位置：網(wǎng)站首頁(yè) ->> 行業(yè)新聞 |
| 人為錯(cuò)誤可能帶來(lái)重大的云安全風(fēng)險(xiǎn) | |
| 發(fā)布時(shí)間：2018-05-22 09:05:13 點(diǎn)擊：3422 次 | |
黑客總是在IT系統(tǒng)中尋找漏洞，企業(yè)一直在警惕防備。雖然有許多工具可以幫助保護(hù)數(shù)據(jù)和檢測(cè)威脅，但這些工具都存在云安全風(fēng)險(xiǎn)：工具不能避免人為因素。 人無(wú)完人，終端用戶和IT團(tuán)隊(duì)也一樣。他們?nèi)菀资艿骄W(wǎng)絡(luò)釣魚攻擊，也可能會(huì)發(fā)生普通的失誤，例如：他們可能會(huì)在外部環(huán)境使用機(jī)密信息或者不正確地部署安全服務(wù)。更重要的是，云安全最佳實(shí)踐經(jīng)常不能得到員工的全面遵守和支持，因?yàn)閱T工總希望盡量快速和高效地完成工作，有些安全策略會(huì)帶來(lái)少許限制。 要解決云環(huán)境中人的風(fēng)險(xiǎn)因素，組織需要理解工具存在的局限性，并培養(yǎng)員工的信息安全意識(shí)。 終端用戶 網(wǎng)絡(luò)釣魚攻擊旨在誘騙個(gè)人用戶通過(guò)網(wǎng)站鏈接和網(wǎng)頁(yè)直接響應(yīng)暴露敏感信息。在許多情況下，軟件看起來(lái)是合法的，結(jié)果員工就成了攻擊和破壞IT系統(tǒng)的受害者。 此外，隨著移動(dòng)設(shè)備和云服務(wù)的興起，大量企業(yè)數(shù)據(jù)也都轉(zhuǎn)移到了外部環(huán)境。這就增加了用戶在家里、咖啡店或者酒店訪問(wèn)敏感信息的機(jī)會(huì)，那些環(huán)境中的網(wǎng)絡(luò)可能遭到竊聽。 為了保障信息安全，可以使用數(shù)據(jù)泄露保護(hù)服務(wù)，它可以識(shí)別包含敏感信息的文檔（例如賬號(hào)信息）并警告員工潛在的云安全風(fēng)險(xiǎn)。在某些情況下，這些工具還可以禁止訪問(wèn)某些外部環(huán)境數(shù)據(jù)。在這個(gè)領(lǐng)域有一些專門的供應(yīng)商，包括CA技術(shù)公司、思科公司、Digital Guardian公司、Veracode公司和賽門鐵克公司。 IT團(tuán)隊(duì) IT團(tuán)隊(duì)也容易發(fā)生可導(dǎo)致云安全風(fēng)險(xiǎn)的人為錯(cuò)誤。例如：補(bǔ)丁管理就是個(gè)長(zhǎng)期存在的問(wèn)題。IT團(tuán)隊(duì)更新補(bǔ)丁消除漏洞的操作有時(shí)候是滯后的，因?yàn)樗麄冞�有其它更緊迫的問(wèn)題要處理。不過(guò)，在公共云環(huán)境中云服務(wù)提供商會(huì)負(fù)責(zé)更新補(bǔ)丁，這會(huì)降低這方面風(fēng)險(xiǎn)。 但是，不要指望（云環(huán)境）提供商對(duì)云環(huán)境的所有安全問(wèn)題負(fù)責(zé)，IT團(tuán)隊(duì)仍然需要防護(hù)安全威脅。例如，許多公司現(xiàn)在有內(nèi)部開發(fā)人員拼湊云應(yīng)用程序，這些人員專業(yè)技術(shù)能力很有限甚至非常不專業(yè)。雖然他們構(gòu)建這些應(yīng)用程序的工具可能也有安全選項(xiàng)或功能，但一些新手可能不會(huì)使用或沒有啟用安全策略，這會(huì)給應(yīng)用程序留下漏洞。 一般來(lái)說(shuō)，向云環(huán)境遷移意味著IT團(tuán)隊(duì)需要調(diào)整他們的管理過(guò)程。云安全聯(lián)盟CEO Jim Reavis認(rèn)為，不是所有的遺留系統(tǒng)都需要遷移到云環(huán)境，有一些是沒有意義的。公司需要改變思維，部署下一代防火墻，把工具當(dāng)作服務(wù)運(yùn)作，而不是當(dāng)成設(shè)備。 許多組織都有安全工具或者服務(wù)，可以監(jiān)視云部署和系統(tǒng)日志。這些工具很多都可以檢測(cè)潛在威脅并自動(dòng)發(fā)送警告。不過(guò)其中有一些警告可能是合法的，有一些不合法，這會(huì)給安全運(yùn)維團(tuán)隊(duì)帶來(lái)很大工作量。面對(duì)如此巨量的數(shù)據(jù)，IT專業(yè)人士可能會(huì)忽略潛在云安全風(fēng)險(xiǎn)中的一些警告，等發(fā)現(xiàn)的時(shí)候已經(jīng)太遲了。這些警告背后的風(fēng)險(xiǎn)可能會(huì)破壞系統(tǒng)或產(chǎn)生實(shí)際的攻擊。 Reavis說(shuō)：“過(guò)去幾年里計(jì)算資源出現(xiàn)了爆炸式增長(zhǎng)，遠(yuǎn)遠(yuǎn)超過(guò)了過(guò)去許多年的發(fā)展。許多公司還沒有擴(kuò)展和增加安全方面的專業(yè)人員來(lái)負(fù)責(zé)評(píng)估潛在風(fēng)險(xiǎn)。” 更重要的是，IT團(tuán)隊(duì)經(jīng)常以點(diǎn)對(duì)點(diǎn)模式部署安全控制策略，這個(gè)過(guò)程中就會(huì)出問(wèn)題。兼并和收購(gòu)會(huì)加劇這種問(wèn)題，因?yàn)榘踩ぞ咭话愣疾皇菢?biāo)準(zhǔn)化的。實(shí)際上，這相當(dāng)于一個(gè)云安全團(tuán)隊(duì)管理多個(gè)自治虛擬私有網(wǎng)絡(luò)，可能會(huì)忘記修改其中某一個(gè)網(wǎng)絡(luò)的配置，這就會(huì)給攻擊留下可乘之機(jī)。 著眼長(zhǎng)遠(yuǎn) 企業(yè)需要制定公司級(jí)策略，部署標(biāo)準(zhǔn)化的工具，并在培訓(xùn)終端用戶和IT團(tuán)隊(duì)方面投資，讓員工更好地理解云環(huán)境安全中他們的角色。要避免響應(yīng)式處理問(wèn)題的模式，最好的做法讓人為錯(cuò)誤最小化，為長(zhǎng)期解決方案投資，全面遵循云環(huán)境安全最佳實(shí)踐。 Security Architects Partners公司管理合作伙伴兼首席咨詢顧問(wèn)Dan Blum說(shuō)：“管理層需要意識(shí)到，降低90%的風(fēng)險(xiǎn)問(wèn)題不是一蹴而就的事�！� 來(lái)源：中國(guó)IDC圈 石家莊服務(wù)器托管 石家莊服務(wù)器租用 石家莊機(jī)柜租用 石家莊機(jī)房 |
|
| 上一條： 如何選擇托管數(shù)據(jù)中心服務(wù)商？ 下一條： 千里之外，企業(yè)也能與遠(yuǎn)程托管數(shù)據(jù)中心運(yùn)營(yíng)商建立良性合作 | |
| 【關(guān)閉窗口】 |
