云安全服务商Tenable公司的一份报告发现，接受调查的公司中有74%暴露了存储或其他错误配置。这为网络罪犯打开了一扇危险的大门。总的来说，云安全越来越糟糕。安全工具的可用性和质量越来越好，但确认云计算基础设施的人却越来越笨。有些东西必须要放弃。

该研究还显示，超过三分之一的云计算环境极易受到多种因素的影响：高度特权、公开暴露和极度脆弱的工作负载。这种令人担忧的“有毒云三位一体”使这些组织面临更高的网络攻击风险，并强调了立即采取战略干预措施的必要性。

一个普遍的问题是公开暴露的存储，由于权限过多，通常包含敏感数据，使其成为勒索软件攻击的主要目标。此外，访问密钥的不当使用仍然是一个重大威胁，84%的组织保留未使用的高度特权密钥。从历史上看，这种安全疏忽助长了数据泄露，正如2023年9月米高梅酒店（MGMResorts）数据泄露等事件所证明的那样。

容器编排中的安全问题

Kubernetes环境带来了另一层风险。该研究指出，78%的组织拥有可公开访问的KubernetesAPI服务器，其中很大一部分允许入站互联网访问和不受限制的用户控制。这种松懈的安全态势加剧了潜在的漏洞。

解决这些脆弱性需要采取全面的方法。组织应该通过集成身份、漏洞、错误配置和数据风险信息来采用上下文驱动的安全理念。这种统一的策略允许进行精确的风险评估和优先排序。通过遵守Pod安全标准和限制特权容器来管理Kubernetes访问是必不可少的，定期审计凭据和权限以执行最小特权原则也是必不可少的。

优先排序是关键

至关重要的是，要优先考虑脆弱性补救措施，特别是高风险地区。定期审计和主动修补可以最大限度地减少风险并增强安全弹性。这些努力应该与健壮的治理、风险和遵从性（GRC）实践保持一致，确保安全协议的持续改进和适应性。

云安全需要积极主动，集成技术、流程和策略来降低风险。组织可以通过从被动措施发展到可持续的安全框架来更好地保护他们的云基础设施和数据资产，但是你到底该怎么做呢？

实施强大的访问控制措施。定期审计和审查访问密钥，以确保它们是必要的，并具有适当的权限级别。应经常轮换访问密钥，并消除未使用或不需要的密钥，以最大限度地降低非法访问的风险。

增强IAM。执行严格的IAM策略，执行最少特权原则。利用基于角色的访问控制（RBAC）来确保用户只能访问执行其工作功能所需的资源。

进行定期的安全审计和渗透测试。检查云环境，在攻击者利用它们之前识别并解决漏洞和错误配置。我建议聘请专门从事这方面工作的外部组织，而不是使用您自己的安全团队。我不知道有多少次我对违规行为进行事后分析，发现他们多年来一直在给自己打分。你猜怎么着?他们给自己打了个A，甚至还把A和奖金挂钩。

部署自动监控和响应系统。自动化工具提供持续监控和实时威胁检测。实现能够自动响应某些类型的安全事件的系统，以最大限度地减少检测和补救之间的时间。

实现Kubernetes最佳实践。确保除非必要，否则Kubernetes API服务器不会被公开访问，并限制用户权限以减少潜在的攻击向量。

优先考虑漏洞管理。定期更新和修补所有软件和云服务，特别是那些具有高漏洞优先级的软件和云服务，以防止新发现的漏洞。

加强治理、风险和合规（GRC）框架。不断发展和维护健全的GRC实践，以评估和提高安全控制的有效性。这应该包括政策开发、风险评估、遵从性跟踪和持续改进计划。

培训员工的安全意识。为所有员工提供持续的培训和意识计划，以确保他们了解当前的威胁和维护云环境中安全的最佳实践。正如之前所说的，大多数云计算安全问题都是呼吸问题——人是关键。

核心问题是资源，而不是最佳实践和可靠安全工具的可用性。人们拥有成功所需的所有工具和流程，但是企业没有分配资源来有效地执行这些。