防止云账户被劫持的3种策略

会员账户遭受损害将带来重大的安全问题。云账户的劫持即是对云环境的运行、管理和维护等至关重要的云账户遭到攻击或泄露。依据访问方式，这种劫持往往针对认购账户或可被利用造成破坏的非管理账户或其他账户。

上述危害的发生方式可有如下几种。首先，口令失窃或丢失。用户不能安全地保护口令或选择弱口令。同样，用户还有可能将工作之外的口令用于云控制台。由此，泄露应用或服务就有可能暴露云控制台的口令。

此外，用户凭据也有可能被错误地使用。例如，口令可能被包括在应用程序的源代码、脚本中，或是存储在文件系统或存储设备上。

最后一点，攻击者还可以尝试通过钓鱼、恶意软件以及暴力破坏等获取口令。

即使凭据没有失窃或丢失，这种账户访问对于攻击者来说也是很有价值的资产。恶意攻击者可以使用其他方法，如单击劫持，从而无需直接破坏凭据就可以破坏云供应商的认证模式。大型的更为专业和安全的云供应商可以利用策略来防止这种攻击。例如，可以实施控制页面呈现的响应头部等策略。但较小的云供应商可能并不提供这种保护。

云账户的劫持威胁可带来巨大危害。考虑到账户保护的重要性，安全领导者有责任确认云供应商能够采取哪些安全措施来防止遭受这种攻击。幸运的是，身份和访问管理是一个很好的解决方案。安全专家强化用于业务或其他应用的凭据，并且应当使用类似的方法来强化云管理员的凭据。

1.学会利用多因素的身份验证

多数云供应商都支持多种身份验证用于实施控制台的访问，并且应当成为在云环境中进行控制台访问的必选项。

企业还必须考虑自动访问云工具的各种方法，其中包括用于Web API的TLS相互认证的证书，以及认证令牌和所使用的API密钥。关键问题是，要理解用户如何登录，并且为每种访问方法采取适当的保护措施。

2.分离责任

会计部门往往要求访问云供应商控制台的付款和账单部分。其成员是否还要求能够创建新的存储空间、启动新的虚拟实例，或者是对运行在无服务器的PaaS中的功能做出更改？

可能并非如此。同样，负责监视IaaS环境中的对象的运营工程师们有可能并不需要访问详细的账单记录。企业应禁止对云供应商所支持范围的非必要访问。

3.信任但要验证

正如对待诸如Windows的域账户等内部账户一样，安全管理者也应当定期地验证访问等级是否适当。

要建立终止和工作的变更程序，以确保在个人放弃或改变角色时能够进行相应调整；要审核凭据的使用，确保其作用得到有效发挥；还要考虑是否存在一些工具，诸如在企业的访问策略中能够扮演某种角色的特权身份管理工具。

特权身份管理工具有助于记录凭据的使用，而云访问安全代理工具则有助于记录控制台的访问。