云安全现状、挑战和安全事件

2022云安全联盟大中华区版权所有1 @2022云安全联盟大中华区-保留所有权利。本文档发布在云安全联盟大中华区官网(http://www.c-csa.cn)，您可在满足如下要求的情况下在您本人计算机上下载、存储、展示、查看、打印此文档：（a）本文只可作个人信息获取，不可用作商业用途；(b)本文内容不得篡改;(c)不得对本文进行转发散布;(d)不得删除文中商标、版权声明或其他声明；（e）引用本报告内容时，请注明来源于云安全联盟。 2022云安全联盟大中华区版权所有2 致谢 《云安全现状、挑战和安全事件》(StateofCloudSecurityConcerns,Challenges,andIncidents)由CSA工作组专家编写，CSA大中华区秘书处组织翻译并审校。 中文版翻译专家（排名不分先后） 组长：魏小强 翻译组：李吉祥秦益飞吴潇于继万研究协调员：赵晨曦 感谢以下单位对本文档的支持与贡献： 北京奇虎科技有限公司北京天融信网络安全技术有限公司海尔集团公司华为技术有限公司 江苏易安联网络技术有限公司 英文版本编写专家 主要作者：HillaryBaronSeanHeideShamunMahmudJohnYeoh 设计者：StephenLumpeAnnMarieUlskey 特别感谢：YitzyTannenbaumProductMarketingManagerAlgoSec 在此感谢以上专家。如译文有不妥当之处，敬请读者联系CSAGCR秘书处给与雅正!联系邮箱：research@c-csa.cn；国际云安全联盟CSA公众号。 2022云安全联盟大中华区版权所有3 目录 调查创建和方法5 执行摘要6 关键发现16 关键发现27 关键发现37 企业正在寻找补充其劳动力的安全工具7 使用公有云8 组织机构正在使用的公有云平台8 公有云可以满足期望8 过去，现在和未来的云工作负载9 负责管理公有云安全的团队9 云安全关注点10 上云时的担忧10 解决云安全中技能差距10 公有云中运行应用程序时的关注点11 工具12 网络安全控制措施12 应用编排工具12 从云安全管理工具获得收益13 云安全事故与中断13 云运营的有关事故13 中断原因14 最具破坏性的中断造成的停机时间14 调查对象15 2022云安全联盟大中华区版权所有4 调查创建和方法 云安全联盟（CSA）是一个非营利组织，其使命是广泛推广云计算和IT技术中网络安全的最佳实践。CSA还负责指导行业中的各个利益相关者，了解所有其他计算形式的中的安全性问题。CSA是行业从业者，公司，专业协会的广泛联盟。CSA的主要目标之一是进行评估信息安全趋势的调查。这些调查有助于评估信息安全技术在行业中各个方面的成熟度以及安全最佳实践的采用率。 领先的网络安全解决方案提供商AlgoSec委托CSA进行此项调查，以增加业界对混合云和多云安全性的了解，并输出调查报告结果。AlgoSec资助该项计划目，并与CSA一起参与解决混合云安全性问题的调查。这项调查由CSA在2020年12月至2021年1月之间在线进行，并已提交给来自不同组织规模和地点的近1900名IT和安全专业人员。数据分析是由CSA的研究小组完成。 研究目的 了解当前和未来的云使用情况 确立当前阶段上云和云部署过程中的安全问题 确定组织用于解决安全问题的安全工具 了解与云相关的安全事件的发生和原因 2022云安全联盟大中华区版权所有5 执行摘要 在过去的十年中，云服务的使用持续增长。尤其是在发生COVID-19公共卫生危机之后，许多企业的数字化转型正在加速，以便让员工能够在家中工作。CSA制定并分发了一项调查，以更好地了解当前的云安全的问题、挑战和事件。 关键发现1 组织正继续向复杂的云环境迁移 超过一半的企业在公共云中运行41%或以上的工作负载，是自2019年以来的显著增长。2019年发现只有25%的企业在公共云中运行41%或更多的工作负载。2021年，63%的受访者预计将在公共云中运行41%或更多的工作负载，这表明这种公共云的发展趋势会持续进行。毫无疑问，由于最近的健康危机，远程工作者的增加将进一步起到推动作用。 CSA在2020年进行的另一项调查也表明，生产工作负载的多样性（如容器平台、虚拟机）也将增加。结合这一点与本次调查中发现的持续使用多云（62%）和不断增长的远程劳动力相结合，一个越来越复杂的云环境将继续出现。为改善组织的公共云安全，这种复杂的环境将不可避免地导致对补充安全工具的需求。 2022云安全联盟大中华区版权所有6 关键发现2 对许多企业来说，云供应商的本地安全控制是不够的 企业越来越多地转向云供应商的额外安全控制和虚拟防火墙。使用云供应商的额外安全控制措施的比例从2019年的58%跃升至2021年的71%。约有一半的组织转向第三方供应商的虚拟版本的防火墙进行网络安全控制。这可能表明，虽然许多组织正在向公共云迁移，但许多企业仍在使用传统和混合IT环境，这就需要在许多不同的环境中进行统一控制。此外，由于目前的健康危机和远程劳动力的急剧增加，许多组织无法像以前那样保护他们的网络安全，因此必须求助于额外的和替代性的安全控制措施。 关键发现3 企业正在寻找补充其劳动力的安全工具 2022云安全联盟大中华区版权所有7 复杂的环境，加上安全人员不足和缺乏云知识，促使组织转向可以帮助补充其员工队伍的安全工具。组织寻找的安全管理工具中前四大好处中的三个是用于主动检测风险和自动化的工具。这些类型的工具既可以解决许多组织缺乏专业知识（47％）和员工（32％）所面临的挑战，也可以提高他们朝着不断变化的云环境迈进时的可见性。 使用公有云 67 37 10% 11% 65 9% 组织机构正在使用的公有云平台 没有一个公有云市场的主导平台。市场顶级供应商之间的份额变得更均匀地分布。被调查的组织中有67％使用AWS，而Azure以65％紧随其后。大多数组织也利用多云策略（62％）。没有一个公有云市场的主导平台。市场顶级供应商之间的份额变得更均匀地分布。被调查的组织中有67％使用AWS，而Azure以65％紧随其后。大多数组织也利用多云策略（62％），其中有27％的人使用了三个或更多公有云平台。 降低成本 比 预期的要差 提供敏捷性和弹性 对DevOps友好 比 预期的要好 改善运行时间 公有云可以满足期望 通常而言，组织迁移到公有云源于提供商的承诺和期望，包括：降低成本、增加敏捷性、弹性、DevOps友好、正常运行时间提高。一般，组织发现公有云会满足甚至稍微超越这些期望。 2022云安全联盟大中华区版权所有9 负责管理公有云安全的团队 受访者报告说，有各种各样的团队负责管理公有云安全。安全运营(35％)，其次是云 团队（18％）和IT运营（16％）。其他所有团队，包括网络运营、DevOps工程师/经理、应用程序所有者和托管服务提供商，均下降到10％以下。在这点上，各个组织之间并没有那么多的一致性，关于哪个团队对公有云安全负责也或许存在疑惑。 过去，现在和未来的云工作负载 组织被要求根据当前云端工作负载的百分比预测他们在2021年底的运行情况。 在我们之前的调查中，我们对他们2019年的工作负载提出了类似的问题，并预测 了他们在2020年底的云工作负载百分比。我们在上图中包括了所有四个估算值。与2019年实际云工作负载相比，2020年实际云工作负载分别在41-60%、61-80%、81-100%范围内显著增加。1-20%的范围出现了相应的下降，虽然不像之前报告中预测的那样显著。另一方面，云工作负载处于21％至40％范围内的组织百分比保持相对不变，维持在21％的比例，这表明云工作负载要超过40％的比例还需要更多的时间。也许是由于关注更多样化的工作负载，而不是重新托管方式，这在CSA之前的调查中已经提过。 云安全关注点 上云时的担忧 解决云安全中技能差距 受访者被要求选择他们的组织在采用公有云时遇到的麻烦。最常选择的回复是“网络安全” （58％）。其次是“工作人员缺乏云专业知识” （47％），“工作负载迁移到云”（44％）和“管理云环境的人员数量不足”（32％）。值得注意的是，第二个、第四个最常见的选择都与人员问题有关，79％的比例超过了最频繁选择的响应“网络安全”。在CSA2019年发布的另一个调查中，类似的问题也被问到。对比二者存在明显的变化，因为前四个中的三个（工作人员缺乏云专业知识，将工作负载迁移到云中，以及员工数量不足以管理云环境）以前在后四位。这种巨大的转变可以归因于应对当前的疫情危机。许多组织可能正在努力解决大部分远程劳动力问题。 行业员工培训和认证（例如CSA、ISC2、ISACA、 SANS） 非正式或员工自我培训 来自供应商的客户培训产品 外包人员 未处理 确定 其他（请指定） 组织解决技能差距前三种方式是“行业员工培训和认证”（55％），“非正式或员工自我培训”（54％），和“来自供应商的客户培训产品” （53％）。较少选择，27％的人员是外包人员最少选择的选项是“未解决占7％。 公有云中运行应用程序时的关注点 受访者也被问到应用程序在公有云中运行时的担忧 平均而言，排名最高的安全问题是“敏感数据泄漏”，这与上一次2019年的调查一致。“停机”、“配置和安全设置”、“未经授权的内部访问”、“合规性”符合法规要求”和“勒索软件”获得了中等关注度的平均排名。尽管“供应商技术漏洞”获得的最低排名，但也获得了略低于平均的关注度。SolarWinds发生黑客入侵的报道公布时，这项调查正在进行，实际结果有些令人惊讶。不过，即使这个问题更加突出，它仍然是排名最低的问题。 工具 网络安全控制措施 为了更好地了解组织如何推进其公有云的部署安全性，受访者被问到他们使用的网络安全控制措施。许多受访者表示使用了多种控件。最常用的选项是“云提供商的原生安全控制措施”（74％），与CSA之前的调查一致。紧随其后的是“云服务商的附加安全控制措施”（占71％），与之前报告的58％显著上升。但是，将近50％的受访者发现了仅这些工具还不够，需要求助于第三方的“传统防火墙的虚拟化版本”。 应用编排工具 安全管理可以采取多种安全应用编排形式。受访者被问及他们当前在应用中用于管理安全性的工具编排流程。超过一半的受访者表示使用了云原生工具(52％)和编排、配置管理工具(50％)。约有三分之一的受访者表示使用自制脚本(35％)和手动流程管理安全(29％)。 2022云安全联盟大中华区版权所有12 从云安全管理工具获得收益 当被问及他们从安全管理工具寻求的好处时，排名最高回复是可见性。这是云环境特别是随着混合和多云环境的普及情况下，很常见的投诉。紧接在关注可见性之后的是主动检测网络风险和主动检测错误配置的能力。受访者分别将跨不同安全控制措施的统一变更管理自动化和合规性排到第四和第五。组织正在寻找工具主要用于解决他们当前面临的人员和云专业知识缺乏的挑战。 云安全事故与中断 云运营的有关事故 许多组织尝试为安全事件(如破坏或中断)做好准备。当被问及组织中过去的一年中是否发生过云运营相关的事件时，11%的受访者明确表示发生过安全事件，20%的受访者表示没有发生 任何事件，27%的受访者表示不愿回答。 然而有41%的受访者表示不确定，这与2019年的调查相比是一个重 大的变化，在2019年的调查中只有18%的受访者表示不知道是否发生了事故。同样有趣的是，表示发 生过事故的受访者比例(11%)与2019年的调查保持一致。 有安全事 不确定没有事件 不愿回答 受访者还被要求报告他们经历过的事故数量，平均回答为5次。考虑到大型云平台在一周内会发生许多事件，虽然 2022云安全联盟大中华区版权所有13 许多事件可能不足以对用户造成重大影响，但5次这仍然是一个较低的数量。 中断原因 在关于事件数量的问题之后，受访者被问及造成这些事件的主要原因。排在首位的反馈