虹科分享 | 网络安全评级丨 拒绝成为云安全领域的数据泄露的受害者
将敏感数据存储在云中的概念曾被视为荒谬可笑。现在，随着更大的存储空间、更低的成本和更高的性能，企业正在以指数级的速度进入云安全领域。然而，如此巨大的好处也伴随着严重的风险。
No.1 数据泄露的财务风险
由于云中的机密数据数量巨大，攻击者的目标是从小型企业到大公司的各种云基础设施，包括CapitalOne等财富500强公司，该公司在2019年成为2.7亿美元数据泄露的受害者。最近，在2022年5月，一家名为Pegasus的航空公司拥有一个开放的S3存储桶(一种用于存储数据的亚马逊云存储服务)，其中包含6.5TB的敏感数据，包括明文密码、源代码和PII。
2021年，云漏洞的平均成本计算为七位数，其中公共云基础设施约为480万美元，私有云基础设施为455万美元，混合云基础设施(公共和私有混合)为361万美元。在这些数据中，发现94%的企业使用云，其中91%使用公共云服务，如AWS(Amazon Web Services)、Azure或GCP(Google Cloud Provider)。
由于新冠肺炎的存在，公司转向了远程工作方式，这也增加了员工的在线参与度。这导致数据泄露的严重性增加。平均而言，拥有81%-100%远程员工的公司估计会因数据泄露而损失554万美元(比远程工作不是数据泄露因素的公司高出100多万美元)。
云仍处于初级阶段，因此企业基础设施中存在的严重和高度严重的漏洞让人想起互联网早期阶段内部环境中存在的简单漏洞。
No.2 公有云的复杂性
这些漏洞的存在不仅是因为云基础设施是一个新概念，还因为云本身的复杂性。公共云通常由两种不同的职责组成：
◎客户责任-云中的安全
◎公共云服务责任-云的安全
云服务提供商负责确保其数据中心不受数据泄露的影响。因此，这些数据中心无懈可击，并实施安全最佳实践。然而，尽管公有云服务具有安全性，但当客户使用公有云服务构建自己的基础设施时，可能会出现严重的漏洞。公共云服务为客户提供了许多不同的使用案例，了解他们希望如何定制其基础架构，而这种能力很容易导致配置不安全。
No.3 资源匮乏
云的复杂性导致对云安全工程师的需求激增。新冠肺炎的流行加剧了这一需求，它增加了在线人气。然而，安全工程师的供应远远落后于需求，随着针对云基础设施的攻击不断增加，这种失衡正变得更加极端。
No.4 如何保护云环境
仅靠安全工程师不能承担整个云基础设施的重量，因为它的安全性仅限于其最薄弱的环节。在云环境中找到这样一个薄弱环节类似于大海捞针，因为错误配置通常隐藏在数百甚至数千个策略、身份和实例。
因此，对公司的云基础设施执行渗透测试(模拟攻击)变得极其重要。这一领域训练有素的专业人员习惯于在此类环境中找到薄弱环节，进行验证，并直接向他们的联络点报告，以便在恶意行为者利用这些漏洞之前对其进行修补。
以下是安全工程师和开发人员在云环境中常犯的三个错误：
没有遵循最低特权原则：云环境的配置通常不正确，无法提供比必要的更多访问。
开发不安全的应用程序和功能：不安全的应用程序和功能可为攻击者提供一条利用漏洞进入云环境的途径。
如果更高权限的身份或角色受到损害(例如通过损害VM)，则可以在云环境中提升权限：安全组配置不正确，允许的流量超过必要的数量。
云基础设施很容易配置错误，这可能会导致极端的后果。因此，每次应用重大更改时，都应该测试云基础设施的安全态势。
No.5 为什么选择SSC
在SecurityScorecard，您的安全状况可以从所有角度进行测试和加强，从云到外部、内部、移动、网络和Wi-Fi基础设施。SecurityScorecard的渗透测试服务确保您的环境安全，同时帮助您实现合规。在网络安全问题上，这句格言“最好的防御是最好的进攻”比以往任何时候都更加正确。
推荐阅读
虹科SecurityScorecard
虹科SecurityScorecard（SSC）是一个安全评级平台，使企业能够以非侵入性和由外而内的方式，对全球任何公司的安全风险进行即时评级、了解和持续监测。获得C、D或F评级的公司被入侵或面临合规处罚的可能性比获得A或B评级的公司高5倍。
虹科SSC对企业的安全状况以及任何组织的安全系统中所有供应商和合作伙伴的网络健康状况提供即时可见性。该平台使用可信的商业和开源威胁源以及非侵入性的数据收集方法，对全球成千上万的组织的安全态势进行定量评估和持续监测。
虹科SSC为各行各业的大小型企业提供最准确、最透明、最全面的安全风险评级。
虹科分享 | 网络安全评级丨 拒绝成为云安全领域的数据泄露的受害者相关推荐
- 虹科分享 | 简单实用的CANopen介绍，看完你就明白了（2）——CANopen框架与七种服务类型
目前,CANopen通讯协议已经在工业领域得到了广泛的使用,由于其面向对象的设计思路,CANopen协议已成为欧洲等国家的自动化公司标配的通讯接口之一.在本系列文章中,我们将介绍CANopen协议的基 ...
- 虹科分享 | 虹科智能自动化2022文章精选
虹科智能自动化事业部一直围绕着工业自动化.能源管理与楼宇自动化三大方向,为客户提供最满意的技术服务和最适合的解决方案,并结合客户需求.行业发展动向和产品资讯,虹科智能自动化团队为大家带来了丰富的技术文 ...
- 虹科分享 | 《面向金融行业的商业智能解决方案》白皮书
在以数据为中心的商业环境中,金融业面临着众多挑战,包括瞬息万变的市场动态.监管要求以及客户期望.金融行业从各种来源生成大量数据,包括交易.客户互动.市场数据和内部运营等.然而,如果缺乏有效的数据管理和 ...
- 虹科分享 | 如何测试与验证复杂的FPGA设计（3）——硬件测试
仿真和验证是开发任何高质量的基于 FPGA 的 RTL 编码过程的基础.在之前的文章中,我们介绍了面向实体/块的仿真以及如何在IP核中执行面向全局的仿真,即通过在每个输入信号上生成激励并验证 RTL ...
- 虹科分享 | 虹科网络安全评级 | 2022年影响最大的七大黑客攻击
在虹科我们喜欢展望未来,着眼于未来.然而,过去也可以给我们一些宝贵的教训,特别是在网络安全方面.2022年是该领域多事之秋,发生了许多备受瞩目的攻击,包括全面的网络战. 在过去一年我们看到的所有威胁中 ...
- 虹科分享 | 终端安全防护丨您的网络安全是否防篡改
下一代防病毒(NGAV).端点检测和响应(EDR)以及端点保护平台(EPP)等网络安全解决方案面临着滥用.篡改和利用,以实现初始访问和持久性.威胁者知道,破坏这些防御系统往往更容易得到他们想要的东西. ...
- 虹科分享|硬件加密U盘|居家办公的网络安全：远程员工可以采取的步骤
新冠肺炎的流行迫使数以百万计的人在家工作,而当时他们对这一概念知之甚少,甚至完全没有经验.虽然许多员工已经重返办公室,但最近的一项研究发现,72%的受访者希望每周至少有两天在家工作,32%的人表示他们 ...
- 虹科分享 | 在ntopng中使用黑名单捕获恶意软件通信
类别列表是一种控制机制,用于根据类别对流量进行标记.在 nDPI(构建 ntop 应用程序的流量分类引擎)中,有多种类别,包括(但不限于) 挖矿 恶意软件 广告 文件共享 视频流 黑名单是 IP 地址 ...
- 虹科分享 | IOTA网络性能监控 | 如何有效分析VoIP问题
通过IP协议传输语音在企业网络和提供商环境中都带来了各种挑战.首先,存在非常高的可用性要求.但是,作为实时服务,用户也会立即注意到服务质量上的问题.特别是数据包丢失.抖动和延迟等网络质量参数对最终的语 ...
最新文章
- jsp ajax动态添加数据,jquery Ajax实现Select动态添加数据
- struts2文件上传大小限制问题小结(引用)
- java获取环境路径方法_JAVA获取服务器路径的方法
- url模糊匹配优化_企业必备的网站SEO优化解决方案
- 橡皮擦的英语_从填字涂鸦到英语启蒙，家长口中的儿童版“秘密花园”涂色游戏测评【玩具测评】...
- 自学java 第十章内部类（一）
- Jquery获取表格tr对象，并循环获取表格内容
- 杭州电子科技大学acm--2011
- 比所有女生都小的男生mySQL_男生能接受比自己小很多的女生吗？
- C#把文字放到图片上
- 关于element-ui的blur事件失效，select的blur的bug，以及row在@blur延迟的解决
- 关于项目管理的通俗讲解
- Java 如何加载带密码的 PCKS8 PEM 私钥
- 聚星完整源码 UI超级好看+对接NG接口+双玩系统
- linux下dbus的理解学习
- dfs与bsf问题合集
- 贝索斯发布年度致股东信：亚马逊要高标准满足客户-20180420
- python 强类型 弱类型_Python到底是强类型语言还是弱类型语言
- K8S与Vault集成，进行Secret管理
- 我在参与【阿里云盘】11月分享赢10.5 TB容量及三年延期卡活动