创作者丨Owen Garrett
译员丨陈峻
方案策划丨孙淑娟
据调查，伴随着云服务在每个新型行业的井喷式提高，全世界已经有 50% 的公司数据储存到了云端。每个公司从这当中获得到的益处包含但是不限于：提升服务项目的协调性、便于拓展、及其更具有成本效益。
但是，如果我们从安全性的方面来考虑到得话，事儿也不那麼开朗了。一直以来，有许多人觉得，将一个公司最有價值的绝大多数(乃至是所有)财产，作揖交到第三方云服务平台，是具有考验的。大家应当想尽办法从云服务服务提供商处，获得 7*24 钟头、全天的安全性适用，以保护自己的使用布署和数据储存。那麼，只靠云服务服务提供商的安全防护够吗?显而易见不足，大家还得充分发挥能动性。
常言道：知易行难。下边我将和您关键讨论互联网安全的基本要素，及其恰当完成云端个人信息保护的十条“军规”。
义务共担实体模型✦
云端的安全性，通常必须遵循一种被称作“义务共担”的实体模型。该模型要求：服务提供商只对“云服务”的安全性承担，而租赁户必须对“云服务中实际一部分”的安全性承担。换句话说，在应用云服务运作自身的运用时，做为云服务的租赁户，您依然必须按占比分摊安全性配置或监管的一部分工作中。自然，应用云服务的水平不一样，您的职责范畴很有可能出现着较大的差异。例如：若您定阅了基础设施建设即服务项目 (IaaS)，则您要自主承担系统的有关补丁包和升级工作中。而假如您仅仅使用了阿里云oss，那麼您的岗位工作职责将仅限内容丢失的安全防护(DLP)。
尽管实际的应用领域存有着较大的多元性，可是大家必须从这当中找到一些常用的规则。例如，绝大部分云服务的系统漏洞在实质上面能被归纳为：不正确配置。即使云服务服务提供商早已为您带来了强有力的安全工具，假如您不小心或是是不可能用得话，在安全性配置中也会存有问题或系统漏洞，从而会无形之中降低了总体业务系统的可靠趋势。因而，为了更好地科学合理高效地搭建出云端“防护栏”，大家必须在既学而知之、又学有所用的根基上，尽量避免不正确产生的概率、以及危害范畴。
在大家进行探讨十项关键的云端安全防护对策以前，使我们先了解一下，与“传统式”网络信息安全对比，云端安全性究竟有什么不同点。
掌握云端安全性的 3 个关键环节✦
因为云基础架构通常处在一个信息的网络中，因而这其中的各种部件也是不停变动的。总而言之，云端安全性的目的便是，要根据保证操作系统可以依照预估运作，并可以保持其总体的可靠趋势。因此，大家必须重新了解如下所示三个至关重要定义：
- 界限：传统式安全性的实质是根据维护一个受信赖的界限，即所说的“碉堡(fortress)”。殊不知，遍布在互联网技术上的云服务自然环境，则具备可以动态性衍化出好几个互相连接的节点和层级的特性。因而，一切互联网安全实体模型都需要以身份验证和浏览管理方法为核心，致力于加强针对异常账号的管理权限监管(这通常必须取决于个人行为模型)。
- 扩展性：因为信息的存放和解决全是信息的，因而互联网安全架构也应当可以充分考虑基础设施建设的演化。也就是说，它必须掌握操作系统的情况，依据对策作出对应的调节。
- 监管：伴随着云端資源的丰富多彩、及其新的进攻根源的发生，对于云服务的危害趋势也在变幻莫测。各种各样安全隐患的猛增，系统漏洞的藏于，及其进攻的复杂，都要大家根据不断监管，迅速把握目前云端安全性自然环境的转变，并可以对动态性的系统软件作出立即且积极主动的反映与处理。
提升云端安全性的十项“军规”✦
规则 1：不必忽略开发设计用的密匙与资格证书
因为任职于一家必须每日不断扫描仪数以百计的公、私有化代码库的企业，大家自知搭建完善的密匙与资格证书现行政策的必要性。您应当保证自身的开发者仅应用短期内合理的资格证书密匙，并在资金投入宣布的工作环境以前，撤消这种仅作开发设计主要用途的资格证书，而且理应实行包含检验和管理方法储存库文件的资格证书等，各类完备的设定与查验。我的一位杰出顾客就曾强调(https://www.itcentralstation.com/product_reviews/gitguardian-internal-monitoring-review-671614-by-danny)：假如有个人跟他说道，密匙与资格证书检验并不是优先选择事宜得话，他会根据在Google 上自定义搜索，来证实展现资格证书密匙泄漏的不良影响。这也恰好是我为什么将其放到目录第一位的缘故。
规则 2：不断查询默认设置配置
云服务服务提供商通常会事先配置好一些常用的浏览控制方法。这种对策尽管便于迅速入门，可是就是因为其实用性，造成了他们不一定适用您的真正业务系统，城市广场有新的云服务被引进时，他们通常必须在默认设置控制方法的根基上，开展订制化的配置。自然，您还可以根据挑选禁止使用多余的配置、或未应用到的服务项目，来降低受攻击面。
规则 3：列举全部可被公布浏览的储存
针对云端储存被网络攻击根据可对外开放浏览的插口开展侵入之类的新闻报道，您或许早已屡见不鲜了。由此可见，无论您为目标和数据信息挑选哪一种储存方式，请查验并保证只公布这些必须被浏览的零部件和储存。
规则 4：按时核查密钥管理
如前所述，云服务的安全性与您的身份验证、及浏览管理模式息息相关。伴随着根据真实身份的安全管理系统，在总体安全防范措施中慢慢占领主导性，他们产生了所说的“零信任(zero-trust)”对策的基本。做为实践活动，我们可以积极主动地执行“最少权利标准”，对云端的服务项目、系统软件、及其网上的浏览开展安全性结构加固。与此同时，大家也理应按时分配手动式和智能化的查验方法，来核查监管的实施是不是严苛。
规则 5：运用网络架构
以上相近的规则和实践活动也适用网络架构。您应当运用云服务服务平台给予的操纵专用工具，来搭建更高效率、更粗粒度的对策，完成对浏览要求的认真仔细，并按需分离。
规则 6：保护性纪录和监管
沒有强有力的监测和日志纪录，大家将没法获知现阶段使用的可靠趋势。根据基于安全风险的日志纪录对策，您不仅应当保证违反规定监管的开启和常规运作，还能够在安全事故产生以后，帮助进行各类调研工作中。在理想化状况下，您理应可以根据 API、或别的体制，在自身的日志系统软件上，汇聚来源于各种各样云端的日志。
规则 7：健全您的财产明细
纵使我们可以应用由云服务服务平台给予的 API，来缓解库存管理的较大工作压力，也需要根据相关使用权、测试用例、及其敏感度等级等额外信息内容，根据订制化的对策，来完善自我的云端财产明细。
规则 8：防备 DNS 挟持
各种云服务常常必须根据、并在 DNS 内容中间传送信赖关联。因而，定期维护您的 DNS 的合理性和云计算平台的配置，可以合理地以避免出现 DNS 被极毒、接手、及其挟持等情形的产生。
规则 9：灾祸修复方案并不是仅仅选择项
云服务自然环境尽管提升了软件系统的易用性，可是它并不会给予自动化技术的危机修复 (DR) 服务项目。您应当全方位考虑到根据哪种等级的项目投资，来解决云端自然环境很有可能产生的毁灭性事情。您可以设计方案一套 DR 步骤，便于根据外界账号、服务提供商、乃至是在当地自然环境中修复自身的业务系统。
规则 10：降低手动式配置
云原生安全工具和操纵通常是以自动化技术的方式交货的。请记牢，系统漏洞来源于不正确配置，而错误配置通常来源于手动式实际操作。因而，针对大家人们来讲，必须进行的人工工作中越多，出差错的概率就越大。对于此事，您必须鼓励自己的精英团队灵活运用、常用自动化技术，尽量地应用安全性即编码(security-as-code)的方法，维持安全设置的一致性。
总结✦
针对安全性专业技术人员来讲，云计算平台安全性的管理方法是富有挑战的。终究在云端，义务范畴越来越不会再静止不动，不会再清楚，且不停转变。但是，非常值得高兴的是，在解决各类新的安全性要求、解决新的影响时，大家不会再是单兵了。每个云服务服务提供商服务平台通常可以给予充足的工具箱，便捷我们在安全性需要和操作灵活性中间获得均衡。期待我上文为您给予的 10 条安全性军规，可以便捷您更全方位地制订出防护措施，并搭建出更佳的云空间安全系数趋势。
译员详细介绍✦
陈 峻 （Julian Chen），51CTO小区编写，具备十多年的IT项目实施工作经验，擅于对外部环境資源与风险性执行监管，潜心散播互联网与信息安全专业知识与工作经验；不断以博闻、专题讲座和译文翻译等方式，共享前沿科技与新思维；常常以网上、线下推广等方法，进行信息安全类学习培训与讲课。
全文文章标题：10 Rules for Better Cloud Security，创作者：Thomas Segura