NSA发布云安全十大关键策略

随着企业业务转向混合云和多云，由于错误配置和安全缺陷引发的安全漏洞逐渐增多，这引起了不法分子的关注。

为应对风险，美国国家安全局（NSA）在今年早些时候发布了一份包括10项云安全策略的建议（其中有六项得到了美国网络安全和基础设施安全局的支持）。

这些建议涵盖云安全、身份管理、数据保护和网络分段。详情如下：

1

遵循责任共担模型

在NSA的建议清单中，首要的是遵循云责任共担模型。这个模型界定了云服务提供商和客户之间责任的划分，明确指出谁是数据保护、基础设施管理以及安全的责任方。

通过遵循这个模型，公司可以提高透明度，明确职责，并推动云提供商和用户之间的协作。

理解各自的职责可以帮助客户采取必要的安全措施和控制措施，以保护其数据和应用程序。同时，这也提醒供应商要注重维护强大且严格的基础设施和安全协议。

2

采用安全的云身份和访问管理实践

采用安全的云身份和访问管理实践（IAM）是保护敏感数据、确保合规性以及提升整体系统效率的关键措施之一。这能够有效阻止未授权的访问，并有助于维护基于云的系统的安全性。

其中一项原则是强制执行最小特权，只赋予用户完成他们工作所需的最低权限。

通过采用IAM协议，实体可以确保只有经过授权的用户才能访问其资源和数据，从而有效地降低违规和内部威胁的风险。

3

使用安全的云密钥管理实践

接下来是安全的云关键管理实践，以确保存储在云环境中的专有数据的机密性，完整性和可用性。加密密钥是保护静态数据的基础，只有通过强大的密钥管理才能有效保护云端的数据。

这些实践不仅使得公司能与受信任的对象安全地共享数据，还能保持对访问和使用的掌控，并通过保护数据的丢失或损坏来增强基于云的系统的韧性。

4

在云环境中实施网络分段和加密

NSA还建议在云环境中实施网络分段和加密。

网络分段涉及将云基础设施划分为较小的隔离段，限制威胁的横向移动，并最大限度地减少安全漏洞的潜在影响。

加密对于保护云环境中传输和静止的数据至关重要，因为加密数据可以确保即使未经授权的入侵者拦截了数据，如果没有正确的加密密钥，他们也无法解密其内容。

5

保护云中的数据

数据是现代实体的生命线，它包含了各种敏感信息，例如知识产权、客户记录、财务数据以及专有信息等。

随着企业将业务迁移至云端以提升可扩展性、灵活性及降低成本，保护所有这些数据的安全变得尤为重要。

为了确保云中数据的安全性，需要采取一系列措施，包括但不限于实施加密、访问控制、执行身份验证以及数据防泄露策略，以防止非法访问、数据泄漏以及网络安全威胁的发生。

6

保护持续集成/持续交付（CI/CD）环境

同样进入前10名清单的是保护持续集成/持续交付（CI/CD）环境。NSA认为，在当前快速发展的数字化环境中，软件开发和部署过程的自动化和相互关联性变得越来越重要。

尽管这些管道使得软件更新和升级的交付变得更加便捷，但是对于那些企图利用漏洞和进行破坏操作的恶意攻击者而言，它们却成为了一种极具诱惑力的目标。

因此，保护这些环境对于保护软件开发过程的完整性和安全性至关重要，并涉及代码分析，漏洞扫描，访问控制和加密等措施。

7

通过基础架构即代码实施安全的自动化部署实践

采用基础设施即代码（IaC）的方法来进行安全的自动化部署已经成为了重要的实践。

IaC（Infrastructure as Code）技术可以让企业通过编写代码的方式，来定义和管理他们的基础设施资源，从而实现一致、可扩展和可重复的部署。

通过在代码中实施安全措施，企业能够有效减少因配置错误、漏洞等导致的安全风险，从而防止可能出现的停机情况。

8

解决混合云和多云环境带来的复杂性

在当前数字化时代中，企业需要依靠云计算为其运营提供支持，因此理解混合云和多云环境所带来的复杂性也变得尤为重要。

这种多变的环境带来了一系列挑战，比如数据安全性、互操作性和管理复杂性等。

对于那些希望在不断发展变化的技术环境中保持竞争力，同时又能降低风险的现代企业来说，理解和有效地管理混合云和多云环境的复杂性是至关重要的。

9

降低云环境中托管服务提供商的风险

另一个关键步骤是降低云环境中托管服务提供商（MSP）的风险。

MSP（Managed Service Providers）是管理企业云基础设施、应用程序和服务的关键角色。然而，将这项工作委托给第三方可能会带来一些风险，比如数据泄露、服务中断或者违反合规。

通过实施一些风险管理策略，如对供应商进行评估，签订严格的安全合同协议，持续监控和审计MSP活动，并制定明确的事件响应计划，可以有效地减轻这些风险。

10

管理云日志以实现有效的威胁狩猎

在NSA的列表上排名第十的是管理云日志，以便有效地实施威胁狩猎。在收集和分析云环境中系统的运行状态、用户的行为以及可能的安全事件等方面，云日志能够提供关于网络安全的深度理解。

通过有效管理这些日志，实体可以检测异常模式，查明潜在威胁，并对可能的风险做出快速响应。

通过在云日志中运用先进的分析和机器学习算法，可以实现主动的威胁搜索，让安全团队能在威胁成为问题前预测并消除威胁。

所有关键点都强调了利用云计算的许多好处和如何使公司更加高效和安全，但前提是要正确操作。

NSA强调，以上这些是确保每位云客户安全和合规的基础步骤。

* 本文为陈发明编译，原文地址：https://www.tripwire.com/state-of-security/nsa-debuts-cloud-security-mitigation-strategies
图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。

— 【 THE END 】—

更多推荐

原文始发于微信公众号（数世咨询）：NSA发布云安全十大关键策略