数据泄露风险如何规避?聊一聊“公有云”安全 | FreeBuf甲方群讨论
2021-11-26 16:03:16 Author: www.freebuf.com(查看原文) 阅读量:30 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

从90年代至今,云计算走出实验室,成为了现代商业社会密不可分的技术组成。

各类云服务经历了多年的发展,或许已经具备了丰富的处理经验,以应对日常使用的各类安全问题。然而,这也仅仅是丰满的理想,现实却并非如此,公有云架构往往面临着极大的风险。

在“安全运营”的风口之下,企业数据的保护迫在眉睫。本期话题围绕“云端数据安全”展开讨论。以下提供了两个浅显的维度开启话题讨论,各位也可自行发挥。

1. 如何确保公有云的数据安全?你认为在目前公有云架构在,数据安全面临的最大风险是什么?

2. 公有云运营维护的责任归属划定一直都是充满争议的话题。如何划定公有云泄露的责任归属?

精彩观点:

@扎西小强:

三方面的风险,第一用户的风险,第二灰产的风险,第三云商的风险,其中最大的风险就是云商的风险,鸡蛋在人家的篮子里那不是随便拿捏么。

云商即是裁判员又是运动员,除非第三方监管还有点希望 ,我是说有点希望。

@韦员:

得看是在公有云的什么网络下吧?经典网络、VPC网络或者专有网络,分别面临的安全风险好像都不一样。

@坏牙:

如果要说是最大,那必然是前面提到的契约精神,信任根,其他的都够不上最大。

小小的我:

我们有一部分业务是跑在公有云上的,核心业务数据还在自己掌控,同时也是发现公有云的资产敞口比较大,需要更精细化的资产管理以及,云厂商要做好即便是他们自己 也不能解析数据,这样才能给甲方更高的安全感。

@扎西小强:

举个例子:二战后美元和金子挂钩金本位的基础就是各国把黄金都运到美国,美元和黄金挂钩。金本位奔溃后,也不知道各国的金子要了回来没有。

数据就是企业的金子,金子最好放在自己私有的地方比较安全。

@苍晓Adam:

第三方也没有强力的监管,外企不信任国内的云也是有原因的。

@黑紫檀 :

弱配置和错误配置导致数据丢失,这需要持续性的配置监控、审计,配置检查。云商大面积故障导致的业务停摆。

@两块:

云商声称的9999 ,但是从墨菲定律来讲,万一租户是那个0.0001损失可能是致命的。这是现在企业不会“所有鸡蛋放到同一个篮子”的原因。

@Windy:

9999 是少的 ,现在都是  9个9。

@苍晓Adam:

所以混合云流行也是分担技术风险和避免被云商劫持的重要手段,虽然对于开发运维来说,工作量不小。

@AK:

公有云的架构其实并没有给对数据安全做太多改变。从我个人的角度而言,公有云更多的时给了很多托管服务的选项,这些托管服务把安全责任承包了出去,比如对象存储和托管的数据库,按照公有云的最佳实践,可以很好的保证这两个部分的数据安全,其他的计算和虚机部分,按照云原生的最佳实践,不应该存放任何数据,这样其实相当于把计算和数据分离开来,倒是方便管理了。

风险就是现在国内的公有云,对ak sk的管控和客户的引导做的都很差,这个方向上,绝对会出问题的。

在一个就是对象存储这个服务是公开的,如果不加密,不对ak sk进行管控,很容易出先数据泄露。

关于公有云数据泄露的责任归属问题,各位也有诸多不同的意见和看法:

@Kevin:

无数圈子的同行交流,被公有云各种搪塞,出问题就死活不承认,然后,自己暗戳戳的改掉,没落口实就等于不存在。

@韦员:

所以还是专有云靠谱,物理隔离的,设备都是自己的。

@两块:

公有云服务商一直都是以“责任共担”原则提供服务,数据资产归属是租户,安全保护的直接责任,根据服务不同,承担的责任不同。

@Kevin :

温总说的对,但是,大部分企业作为甲方,没能力验证,云商那边说的是真的还是假的。

有朋友的公司,因为系统数据问题,三天损失上百万,自己的服务各种检查始终没问题,最后定位就是云商的问题,但是对方不承认啊,还一直搪塞,推诿。

@扎西小强:

有那个能力 和资源 都自己搞了 穷就任命吧 。

@两块:

杀头的事情都有人干,云服务商的不拿数据的声明,真的无法让租户完全信任。

Kevin :

这个事情还真不好界定,我认为应该分两种情况:

  1. 个人用户/小型企业用户(指自行建立公有云账号,并购买云资源)

此类用户群体适用于云服务商官方披露的各项隐私协议、SLA、责任共担模型等。因为此类用户没有议价权,只能默认执行或被动接受云服务商官方披露的各项协议。

  1. 中大型企业用户(指与云服务商签订正式合同)

此类用户群体大多注重自身的业务安全、SLA、数据隐私权等,因此,(强烈建议)在正式合同中(以技术白皮书或附件形式)严格细节的约定各项技术指标(SLA、计算资源监控等)、数据归属、责任分担以及法律问题。

----------

以上最大的风险还是来自于,云服务商是否遵守相关合同约定,同时取决于甲方研发团队、运维人员、安全团队、法务团队等的通力合作。

@AK:

这个按照aws的责任共担模型来解释就可以,我觉得纯IAAS,这个数据泄露基本上都是客户责任,SAAS和PAAS得分开看,客户配置不当那就是客户责任,平台安全防护不当就是平台责任。

@Kevin:

没有不能谈的合同,我上个月看了两三个云商的公开SLA协议,内容都是大同小异:

凡事因我司造成的业务连续性中断,最多赔偿100%的云计算资源代金券。

翻译成大白话就是,我给你送的价值1亿的快递丢了,我只赔你10块钱的快递费代金券,这10块钱你还只能在我这里使用。

补充一点,这里其实就涉及举证问题了,大多数情况下,甲方没有能力证明是云服务商造成的业务中断。

@小小的我 :

这个问题还是甲方要考虑是全外包还是部分外包的问题,因为业务跑在公有云上,所有的安全措施都是以购买服务的形式存在,说白了就是对乙方的安全能力进行依赖,对安全的责任还是要清晰的约定在双方的合同中,所以不是简单的责任归属问题,如果只是购买了部分安全服务,剩余的安全责任由甲方承担,同样也是有约定的。

@黑紫檀:

保密协议等等也都是标准的,不会因为你大客户或者小客户就有差别。

@扎西小强:

举证问题,估量损失,也是个大问题

@Kevin:

权力问题,让国内最大的甲方出问题,任何一个云商都得滚蛋,牢底坐穿都是轻的

不能谈的协议还叫协议吗?

所以,我认为第一个话题最大的风险就是:契约精神

云就是云,为什么一定要区分出来呢

如果一定要区分的话,那我只能说,拳头大就是硬道理。

@黑紫檀:

个人用户使用公有云的SLA协议和大体量的公司使用公有云的SLA都是标准化的

法律法规的要求

现在还有Gov 365

@Kevin:

没有信任,谈什么安全

本期精彩观点到此结束啦~此外,FreeBuf会定期开展不同的精彩话题讨论,想了解更多话题和观点,快来扫码申请加入FreeBuf甲方群,小助手周周送福利,获取最新行业秘籍,还不赶快行动?

如有疑问,也可扫码添加小助手微信哦!


文章来源: https://www.freebuf.com/articles/neopoints/306148.html
如有侵权请联系:admin#unsafe.sh