他山之石 | 探析NSA最新《缓解云脆弱性》，网御星云有对策

2020年1月22日，美国国家安全局（NSA）发布《缓解云脆弱性》指南（Mitigating  Cloud  Vulnerabilities），提供了可以用于缓解云脆弱性的一些技术方法。主要是将云计算脆弱性分为配置错误，弱访问控制，共享租户脆弱性和供应链脆弱性4类，并分别给出示例和缓解措施。

云服务商和云用户应承担各自独立的安全责任，以及共同承担重叠的责任。为了有效实施缓解措施，云用户应像对待本地网络环境一样考虑云资源的网络风险。

各自独立的安全责任如下图所示。

云安全责任模型图

共同承担的责任包括：

（一）威胁检测。虽然云服务商负责检测基础云平台的威胁，但云用户有责任检测自己的云资源威胁。云服务商和第三方可能会提供基于云的工具，帮助用户进行威胁检测。

（二）事件响应。云服务商具有独特的位置，可以响应云基础架构内部事件并为此承担责任。云用户环境内事件通常是用户自己的责任，但是云服务商可以为事件响应团队提供支持。

（三）修补/更新。云服务商负责确保云产品是安全的，并在其职权范围内快速修补软件，但通常不修补用户管理的软件（例如IaaS产品中的操作系统等）。因此，用户应管理补丁程序，以缓解云中的软件漏洞。

云环境和传统系统架构具有相同类型的弱点，在云环境中特有的威胁参与者如下：

（一）恶意云服务管理员。利用管理特权或位置，访问、修改或破坏存储在云平台上的信息。

（二）恶意云用户管理员。利用管理特权访问，修改或破坏存储在云平台上的信息。

（三）网络罪犯/国家级对手。利用云体系结构或配置弱点获取敏感数据或消耗云资源；利用云的弱认证机制来获取访问权限（例如口令攻击）；获得对云环境的特权访问以损害租户资源等。

（四）未经培训或疏忽的云用户管理员。无意间公开敏感数据或云资源。

云脆弱性与传统体系结构中的脆弱性相似，但是共享租户和访问无处不在的云特性会增加风险。缓解云脆弱性是云服务商与云用户之间的共同责任。按照脆弱性利用的普遍程度从高到低排序，云脆弱性有云配置错误、弱访问控制、共享租户脆弱性和供应链脆弱性4类。

（一）云配置错误

云资源配置错误是最普遍的脆弱性，虽然云服务商提供自动化云配置管理工具，但其复杂性会导致策略配置不当，从而造成被恶意利用访问云上数据和服务，造成敏感数据泄露或拒绝服务等。

正确的云配置始于基础架构设计和自动化。在初始设计规划期间，应用诸如最小特权和纵深防御之类的安全原则，使用访问控制列表、入侵检测系统，Web应用防火墙等手段实现该原则，并基于自动化手段持续监视和实施云的安全性。另外，这些手段和配置不是静态的，应与云风险管理一同发展演化。

为降低云配置错误风险，管理员应：

1.实施最小特权管理，利用云服务策略防止用户公开共享数据，部署云或第三方工具以检测配置错误，采用零信任模型限制对云资源的访问，审核数据访问日志，限制数据访问等等。

2.实施纵深防御，对各类管理员进行培训，使用加密手段并正确配置，将云中的软件配置为自动更新，控制虚拟镜像选择，对所有访问级别活动启用日志记录，为配置更改和安全事件建立自动连续监视等等。

另外，为了更好完成云迁移工作，管理员还应充分利用云服务商的服务，不断发展架构和流程并了解新风险变化，了解数据及其在各系统中的流动方式，使用云服务商工具或技术减少配置错误风险等等。

（二）弱访问控制

访问控制机制的弱点可能使攻击者提升特权，从而损害整体云资源。当云资源使用弱认证/授权方法，或包含绕过这些方法的脆弱性时，风险就会发生。

缓解弱访问控制的方法包括：使用多因素身份验证，禁用弱认证协议，使用零信任模型限制对云资源的访问，利用基于云的访问控制，使用自动化工具审核访问日志中的安全问题，避免在软件版本控制系统中包含密钥等等。

（三）共享租户脆弱性

对手可以利用漏洞提升云环境中的特权。虚拟机监控程序漏洞很难发现，一旦利用就可能会导致虚拟机穿透等问题。另外，容器在共享内核上运行，没有虚拟化提供的抽象层，在多租户环境中，容器漏洞可能使攻击者破坏同一主机上其他租户的容器。

缓解共享租户脆弱性的方法包括：加密静态数据和传输中的数据，使用专用的整体单元、裸机实例或虚拟化实例（不使用容器）来处理敏感内容，事先评估使用云服务的底层隔离技术是否可以减轻预期的风险等等。

（四）供应链脆弱性

云供应链脆弱性包括内部攻击者，以及软硬件中的故意后门。第三方云组件可能包含开发人员故意插入的漏洞，以破坏应用程序。

云平台供应链脆弱性的主要责任在于云服务商，防范供应链受损的方法主要包括通过软件测试和硬件验证来寻找后门，对静态数据和传输数据进行加密，根据适用的认证流程采购云资源，对可疑管理员活动监控报警，遵守相关标准利用安全编码实践等等。

网御星云云安全管理平台

网御星云云安全管理平台通过对各类安全资源的管理、调度和编排，使各种软件、硬件和虚拟化形态的安全能力全面适配云环境，根据云本身脆弱性特点，对云环境所面临的各类安全风险进行持续的管理和评估。除适配云和虚拟化环境外，平台还能够实现对安全能力的虚拟化、自动化部署，具备弹性扩展、服务编排等能力，对云上业务进行安全防护、安全检测和安全管理。采用最小特权和纵深防御的设计原则，规避云配置错误和弱访问控制，以及共享租户脆弱性等。采用三权分立设计原则，系统管理和租户管理两大职能都细分为系统管理员、审计管理员、安全管理员，实现三权分立、相互监督，规避管理员的风险。

随着云服务的快速发展，越来越多的用户将业务逐渐转移到云上，同时，也更加凸显了云安全的重要性。网御星云云安全管理平台将统筹安全组件和安全服务，为云平台、云租户提供统一的安全能力交付，以专业的定制化云安全解决方案，为用户创造更大价值。