2024年云计算顶级威胁

©2024云安全联盟大中华区版权所有1 @2024云安全联盟大中华区－保留所有权利。你可以在你的电脑上下载.储存.展示.查看及打印，或者访问云安全联盟大中华区官网（https://www.c-csa.cn）。须遵守以下：（a）本文只可作个人.信息获取.非商业用途；（b）本文内容不得篡改；（c）本文不得转发； （d）该商标.版权或其他声明不得删除。在遵循中华人民共和国著作权法相关条款情况下合理使用本文内容，使用时请注明引用于云安全联盟大中华区。 ©2024云安全联盟大中华区版权所有2 ©2024云安全联盟大中华区版权所有3 致谢 《2024年云计算顶级威胁（TopThreatstoCloudComputing2024）》由CSA云安全联盟顶级威胁研究工作组专家编写，并由CSA大中华区组组织专家完成翻译并审校。 翻译组成员： 陆琪刘连杰刘刚赵晨曦卜宋博肖文棣 审校组成员： 郭鹏程党超辉卜宋博 研究协调员： 闭俊林易利杰 贡献单位： 爱立信（广州）有限公司天翼安全科技有限公司天翼云科技有限公司中国移动香港有限公司晨星资讯（深圳）有限公司 （以上排名不分先后） ©2024云安全联盟大中华区版权所有4 英文版本编写专家 主要作者： Jon-MichaelBrookAlexGetsinVicHargraveMichaelRoza 贡献者： Jon-MichaelBrookRandallBrooksAlexGetsinVicHargraveLauraKenner MichaelMorgensternStephenPieraldiMichaelRoza 审校者： VishnuGutthaYuvarajMadheswaranNishithSinha CSA全球员工： SeanHeideClaireLehnertStephenLumpe 在此感谢以上专家。如译文有不妥当之处，敬请读者联系CSAGCR秘书处给予改正！联系邮箱research@c-csa.cn；云安全联盟CSA公众号。 ©2024云安全联盟大中华区版权所有5 序言 随着云计算的快速普及，云安全已成为企业数字化转型过程中不可忽视的核心问题。云环境的开放性、多样性和复杂性，给企业带来了前所未有的安全挑战，而其中的威胁正不断演变。为了帮助企业更好地理解并应对这些威胁，云安全联盟（CSA）大中华区发布了《2024年云计算顶级威胁》。本报告基于500多位全球专家的调研与分析，深入剖析了当今企业面临的云安全风险，并为应对这些挑战提供了切实可行的策略建议。 2024年，云计算领域的安全威胁格局将发生显著变化。我们看到，传统威胁正在逐渐被边缘化，新的风险，如配置错误、身份与访问管理的薄弱、不安全的API接口，以及缺乏系统性的云安全策略，正成为核心安全问题。而随着生成式人工智能（如ChatGPT）的广泛应用，企业在享受技术创新带来效率提升的同时，也面临着更复杂的安全挑战。AI技术的双刃剑效应，不仅加速了网络攻击的自动化和复杂化，也为云安全防护带来了前所未有的机遇。如何在这个动态的环境中，平衡AI技术的应用并最大化其积极效应，成为企业安全策略中至关重要的一环。 展望未来，全球云安全将继续面临愈发复杂的供应链风险、监管环境的不断演变,以及新型攻击手段的层出不穷。企业需要具备前瞻性思维，采用创新的安全架构和技术，尤其是在零信任模型、自动化安全管理、云原生安全工具等方面加大投入，确保其在日益变化的环境中具备强大的应变能力。同时，安全技能的差距也将继续成为企业面临的长期挑战，推动全员持续教育与技能提升是增强组织整体安全韧性的关键。 李雨航YaleLiCSA大中华区主席兼研究院长 ©2024云安全联盟大中华区版权所有6 目录 摘要8 调查10 威胁1：配置错误与变更控制不足13 威胁2：身份与访问管理19 威胁3：不安全的接口与APIs25 威胁4：云安全策略缺失31 威胁5：不安全的第三方资源36 威胁6：不安全的软件开发41 威胁7：意外的数据泄露46 威胁8：系统漏洞51 威胁9：云可见性/可观测性不足55 威胁10：未验证的资源共享61 威胁11：高级持续性威胁（APT）65 结论和未来展望69 ©2024云安全联盟大中华区版权所有7 摘要 《顶级威胁》报告旨在提高人们对云计算威胁、漏洞和风险的认识。在本次报告中，我们对500多位云计算行业的专家进行了调查，深入探讨了云计算领域的安全问题。受 访者识别出今年他们的云环境中存在的11个重要安全问题。顶级威胁工作组利用调查结果及其专业知识编制了《2024年云计算顶级威胁》报告。 最新报告重点介绍了2024年的顶级威胁。报告中还显示了2024年和2022年威胁的排名对比。 ©2024云安全联盟大中华区版权所有8 观察 调查分析显示，由云服务提供商(CSP)负责的传统云安全问题在排名中的持续下降。此前报告中提到的拒绝服务攻击、共享技术的漏洞以及云服务提供商CSP数据丢失等问题，如今因评级较低而未被纳入本报告。这些问题的消失显示出对云计算的信任感增加；基础设施即服务(IaaS)环境中的老旧云安全问题不再那么令人担忧。此外，我们观察到“数据泄露”问题不再占据云计算顶级威胁的主导地位。 随着云商业模式和安全策略的演变，本报告提高了对以下关键安全问题的关注： •配置错误与变更控制不足 •身份和访问管理(IAM) •不安全的接口和APIs •云安全策略缺失 配置错误与变更控制不足：如今位居2024年顶级威胁调查首位，相较于2022年报告中的第三位有所上升。多年来，配置管理一直是组织能力成熟度的基石。然而，向云计算的过渡加剧了这一挑战，使团队必须采用更强大的云特定配置。由于云服务的持续网络访问和无限容量特性，配置错误可能对整个组织产生广泛影响。 身份和访问管理(IAM)：曾位居首位，如今降至第二位。云环境中仍存在重放攻击、伪造身份和过度授权等挑战，这与本地设置类似。然而，使用自签名证书和不当的加密管理显著地增加了其安全风险。零信任架构的实施和软件定义边界（SDP）的应用正成为受访者重点关注的问题，反映了这些问题在云安全中的重要性。 不安全的接口和APIs：从第二位降至第三位，微服务的采用突显了保护接口和API的重要性。尽管它们在云服务（包括SaaS和PaaS产品）中起着关键作用，但由于开发人员的效率不足与云服务所需要的持续在线的要求，保障安全的接口和API仍然面临着巨大挑战。 云安全策略缺失：仍位于第四位，这一领域持续关注的问题是：为什么在规划和构 ©2024云安全联盟大中华区版权所有9 建安全解决方案时仍存在重大挑战？云计算已经是稳定发展的技术，它需要明确的可执行的架构策略。 目标读者 云计算和安全从业者以及爱好者将从本报告中受益。以获取在云安全方面的威胁和挑战的最新见解，了解这些威胁如何影响行业，以及可以采取哪些措施来减轻其后果。同时，本文基于调查的研究将为合规、风险、技术、信息安全人员和高管管理层提供与当前相关的技术趋势和优先考虑的云安全事项。 调查 在创建《2024年云计算顶级威胁》调查报告时，CSA顶级威胁工作组分两个阶段进行了研究。这两个阶段均通过调查收集了网络安全专业人士对云计算中最相关的威胁、漏洞和风险问题的看法与意见，最终目的是确定2024年的顶级威胁。 在第一阶段研究中，工作组旨在通过面对面调查工作组成员来创建云安全问题的初步清单。工作组从之前的报告（《云计算的11类顶级威胁》）中的11个顶级威胁（安全 问题）开始，通过讨论又增加了19个问题。然后，工作组在一系列会议中审查了这30个问题，并要求成员根据其所在组织及他们熟悉的组织，评估每个问题的重要性。这最终形成了调查中的28个问题。 在研究的第二阶段，工作组的主要目标是通过对500多名安全专业人士的在线调查， 根据重要性对这28个安全问题进行排名。工作组选择了一个以10分为满分的评分系统， 以反映每个问题的重要性。调查参与者被要求对每个云安全问题进行1到10的评分，1表示“不是很重要”，10表示“最重要”。每个类别的得分被汇总并取平均值，然后根据平均分对安全问题进行排名。最终，工作组确定了以下11个顶级威胁。 ©2024云安全联盟大中华区版权所有10 ©2024云安全联盟大中华区版权所有11 在确定了11个顶级威胁后，工作组对每个问题进行了分析。每个分析包括对问题的描述、业务影响、关键措施、案例和实际事例，并引用了CSA《云计算关键领域安全指南v5》领域指南中的相关章节，以及CSA《云控制矩阵》（CCM）和CAIQv4控件中的相关缓解控制措施。最后，整体方法代表了CSA《云审计知识证书学习指南v1》中提出的顶级威胁方法论。 ©2024云安全联盟大中华区版权所有12 威胁1：配置错误与变更控制不足 配置错误是指云计算资产的设置不正确或次优，这可能会使它们容易受到意外损坏或外部/内部恶意活动的攻击。缺乏云系统知识或对云安全设置的理解以及恶意意图可能导致配置错误。一些常见的配置错误[1]包括：1.密钥管理不当，2.监控和日志记录被禁用，3.ICMP（互联网控制消息协议）保持开放，4.不安全的自动备份，5.存储访问权限，6.缺乏验证，7.对非HTTPS/HTTP端口的无限制访问，8.对虚拟机、容器和主机的过度权限（最小权限原则），9.启用了过多的云访问权限（最小权限原则），10.子域名劫持，11.特定的云提供商（如AWSS3存储桶）的配置错误。云资源的配置错误是导 致云安全问题的主要原因，可能会导致严重的损害，如下所示的业务影响部分所示。[2] ©2024云安全联盟大中华区版权所有13 在云环境中，不充分的变更控制实践可能导致未被检测到的不当配置，构成重大安全风险。云环境与传统IT基础设施有显著不同，这使得变更控制更具挑战性。传统的变更流程通常涉及多个角色和审批，通常需要几天或几周才能完成，然后才能进入生产环境。另一方面，云计算方法强调自动化、广泛访问和快速变更，通常将静态基础设施元素抽象成代码。此外，使用多个云提供商会进一步增加复杂性，因为它们具有独特的功能和频繁的更新。这种动态环境要求对变更控制和补救措施采取敏捷和积极的方法，许多组织都在努力实现这一点。 商业影响 配置错误/不充分的变更控制对云系统的影响可能非常严重，这取决于配置错误/不当变更的性质以及检测和缓解的速度。以下是云配置错误和不充分变更控制可能导致的影响： 技术影响： 数据泄露：未经授权的云访问敏感数据会破坏机密性。 数据丢失：从云系统中永久或临时删除关键数据会影响可用性。 数据破坏：对云系统中的数据进行物理或逻辑错误会危及完整性。 运营影响： 系统性能：云资源性能下降影响用户体验和生产力。 系统中断：云服务的完全或部分关闭会扰乱业务运营。 财务影响： 赎金要求：可能需要支付费用以恢复被破坏的云数据或系统访问。 不合规和罚款：未能遵守监管要求可能导致罚款和处罚。 收入损失：由于云服务中断、客户不满或法律行动，可能会发生财务损失。 股价下跌：泄露和公开披露可能会损害市场感知和公司的估值。 声誉影响： 公司声誉：泄露和公开披露可能会损害组织的公众形象和品牌价值。 ©2024云安全联盟大中华区版权所有14 关键措施 1.云配置监控、审计和评估-[3]：通过利用机器学习，组织可以自动化定期检测云系统安全配置错误，减少对手动检查/审计/评估的依赖，提高效率。 2.云系统、变更管理方法-[4]：持续不断的业务转型和安全挑战的动态性质要求确保使用实时自动化验证正确进行批准的变更。 案例 近期由于配置错误和不充分的变更控制导致的事件包括： （2023年5月）据报道，丰田汽车公司承认发生了一起重大的车辆数据泄露事件，影响了日本约215万用户。受影响的用户几乎包括了所有注册丰田主要云服务平台T-Connect的用户，以及雷克萨斯车主使用的类似服务G-Link的用户。这些数据从201