要DevOps，同時(shí)也還要安全
目前，各行各業(yè)都在加快邁向云環(huán)境的步伐。云帶來(lái)無(wú)與倫比的可擴(kuò)展性、敏捷性與可訪問(wèn)性，這一切足以成為開發(fā)人員手中實(shí)實(shí)在在的競(jìng)爭(zhēng)優(yōu)勢(shì)。但在通往云端的道路中，安全隱患是不小的絆腳石，數(shù)據(jù)泄露時(shí)常發(fā)生。回顧2020年，我們會(huì)發(fā)現(xiàn)遠(yuǎn)程辦公的普及過(guò)程就是云遷移的過(guò)程，但同時(shí)也是眾多數(shù)據(jù)泄露事件的根源。
盡管已經(jīng)引發(fā)廣泛關(guān)注，但大多數(shù)現(xiàn)代數(shù)據(jù)泄露事件并不像科幻電影中表現(xiàn)得那么“酷炫”。相反，往往問(wèn)題源自系統(tǒng)配置不當(dāng)、身份信息管理不良、數(shù)據(jù)存儲(chǔ)有誤等等。如果不輔以適當(dāng)?shù)拈_發(fā)人員與運(yùn)營(yíng)人員，云環(huán)境在整個(gè)開發(fā)生命周期內(nèi)總會(huì)暴露在惡意活動(dòng)的籠罩之下。
常見(jiàn)的安全風(fēng)險(xiǎn)
常見(jiàn)的安全風(fēng)險(xiǎn)通常源自用戶的兩類疏忽，首先，DevOps可能下意識(shí)采用傳統(tǒng)/現(xiàn)場(chǎng)數(shù)據(jù)環(huán)境中的實(shí)踐，而沒(méi)有意識(shí)到云遠(yuǎn)程訪問(wèn)帶來(lái)的廣泛影響。其次，其他人可能在自由與云端動(dòng)態(tài)功能進(jìn)行交互的過(guò)程中，忽視或低估安全預(yù)防措施的重要性。這種缺乏良好云安全的行為可能帶來(lái)一系列潛在威脅，最終導(dǎo)致數(shù)據(jù)全面泄露。
權(quán)限管理不善會(huì)帶來(lái)麻煩。DevOps可能會(huì)選擇在項(xiàng)目開發(fā)期間對(duì)數(shù)據(jù)庫(kù)及存儲(chǔ)容器內(nèi)的敏感數(shù)據(jù)進(jìn)行開放訪問(wèn)，并在隨后逐步劃定權(quán)限范圍。這就是所謂“先運(yùn)行、再修復(fù)”的基本思路。但現(xiàn)實(shí)情況是，只要不出問(wèn)題，“再修復(fù)”就只是一句空話，因此敏感數(shù)據(jù)可能持續(xù)對(duì)未授權(quán)身份開放。這種行為在一個(gè)個(gè)快速迭代的項(xiàng)目中反復(fù)增強(qiáng)，并最終成為新的運(yùn)營(yíng)習(xí)慣。正因?yàn)槿绱�，在�?zhí)行修復(fù)程序之后，某些原有成果可能發(fā)生中斷，迫使團(tuán)隊(duì)為了快速恢復(fù)運(yùn)行而回滾至不安全配置，完全起不到學(xué)習(xí)與改進(jìn)的效果。
遠(yuǎn)程工作提高了攻擊風(fēng)險(xiǎn)。如今，不少企業(yè)已經(jīng)將運(yùn)營(yíng)體系轉(zhuǎn)換為遠(yuǎn)程形式，但對(duì)云數(shù)據(jù)的粗暴處理很可能引發(fā)潛在的數(shù)據(jù)泄露。DevOps可能會(huì)暫時(shí)禁用防火墻并設(shè)置對(duì)高權(quán)限數(shù)據(jù)的遠(yuǎn)程訪問(wèn)通道，這一切都極大提高了攻擊風(fēng)險(xiǎn)。
同事間溝通不暢，使用云系統(tǒng)的員工可以與同事直接共享數(shù)據(jù)訪問(wèn)權(quán)限，且無(wú)需通知對(duì)方其中可能存在哪些敏感數(shù)據(jù)。這就導(dǎo)致作為共享對(duì)象的同事可能為其啟用公開訪問(wèn)權(quán)限，以延長(zhǎng)共享周期，從而嚴(yán)重?fù)p害云資源安全性。
如果對(duì)云資源管理不當(dāng)，企業(yè)將面臨一系列災(zāi)難性的問(wèn)題，包括客戶信任度下降、品牌聲譽(yù)受損以及因違反GDPR及CCPA等數(shù)據(jù)隱私規(guī)定而面臨法律訴訟。例如，萬(wàn)豪酒店此前就遭遇到嚴(yán)重的數(shù)據(jù)泄露事件，超過(guò)520萬(wàn)份機(jī)密訪客記錄發(fā)生外泄。這家知名酒店可能因違反GDPR要求而面臨最高9.15億美元的罰款。再考慮到其他法規(guī)的處罰，總罰金額度可能達(dá)到數(shù)十億美元。另外，米高梅也出現(xiàn)了類似的數(shù)據(jù)泄露事件。
由此可以看出，企業(yè)構(gòu)建安全體系迫在眉睫，需要從起步階段采用最佳身份管理，借此幫助企業(yè)緩和危機(jī)，搶先一步消除大規(guī)模采用云服務(wù)時(shí)常見(jiàn)的各類隱患。
建立與實(shí)施安全體系
很多人認(rèn)為，云本身就代表著危險(xiǎn)、不可信。實(shí)際情況恰恰相反，只要充分運(yùn)用保護(hù)手段，云將帶來(lái)以往本地基礎(chǔ)設(shè)施所無(wú)法比擬的安全性與彈性。事實(shí)上，云仍然是開發(fā)人員保持競(jìng)爭(zhēng)優(yōu)勢(shì)的理想平臺(tái)，能夠極大降低軟件啟動(dòng)與新成果發(fā)布的運(yùn)營(yíng)門檻，在適當(dāng)措施的支持下，DevOps團(tuán)隊(duì)可以繼續(xù)使用云資源進(jìn)行創(chuàng)新、推動(dòng)業(yè)務(wù)增長(zhǎng)與擴(kuò)展，同時(shí)有效規(guī)避數(shù)據(jù)泄露風(fēng)險(xiǎn)。
安全體系的建立與實(shí)施，將幫助企業(yè)內(nèi)的開發(fā)人員建立起完善的預(yù)防措施，通過(guò)優(yōu)化創(chuàng)新、安全性與合規(guī)性等手段保護(hù)高權(quán)限賬戶，進(jìn)而改善數(shù)據(jù)治理實(shí)踐�；诖�，這些安全要點(diǎn)要注意：
一，永遠(yuǎn)不將實(shí)時(shí)數(shù)據(jù)納入實(shí)驗(yàn)；二，始終對(duì)數(shù)據(jù)進(jìn)行加密以提供額外的安全性支持；三，使用經(jīng)過(guò)隔離的云賬戶進(jìn)行測(cè)試；四，不重復(fù)使用身份；五，優(yōu)先將高級(jí)IAM控制機(jī)制作為邊界，借此緊密監(jiān)控用戶身份，這也是現(xiàn)代云攻擊面中的一大重要因素；六，將安全因素嵌入問(wèn)答流程當(dāng)中，確保針對(duì)云環(huán)境采取適當(dāng)?shù)念A(yù)防措施。其中的核心在于建立一份問(wèn)答清單，標(biāo)記出清單內(nèi)的關(guān)鍵性合規(guī)與安全問(wèn)題，借此優(yōu)化身份管理。
即使建立起最堅(jiān)固的安全體系，如果不能消除人為錯(cuò)誤與疏忽，我們?nèi)匀坏貌坏嚼硐氲慕Y(jié)果。因此，企業(yè)應(yīng)考慮在現(xiàn)有安全體系之上建立起自動(dòng)化的云安全與合規(guī)解決方案。自動(dòng)化流程將持續(xù)監(jiān)控每個(gè)云身份，在保障數(shù)據(jù)安全的同時(shí)幫助開發(fā)人員始終將精力集中在當(dāng)前工作上。這類解決方案還將提供關(guān)于細(xì)微配置錯(cuò)誤及其他潛在數(shù)據(jù)威脅跡象的實(shí)時(shí)洞見(jiàn)，幫助我們快速準(zhǔn)確地制定補(bǔ)救措施。
云服務(wù)的普及令組織得以蓬勃發(fā)展、令員工得以輕松創(chuàng)新，同時(shí)也借由身份與數(shù)據(jù)治理帶來(lái)新的安全保障思路。因此，我們必須從“命令與控制”方法轉(zhuǎn)變?yōu)橹匾?ldquo;信任但仍須驗(yàn)證”流程。云時(shí)代下的最佳數(shù)據(jù)治理策略要求在向員工提供規(guī)則的同時(shí)為其建立起可靠的系統(tǒng)，確保他們可以完全信賴這些系統(tǒng)，并以此為基礎(chǔ)處理其他更為復(fù)雜的業(yè)務(wù)問(wèn)題。
人為錯(cuò)誤可能永遠(yuǎn)無(wú)法避免，數(shù)據(jù)或早或晚總會(huì)面臨威脅。但在惡意行為出現(xiàn)之前搶先補(bǔ)救的實(shí)際能力，最終將成為決定企業(yè)成敗的關(guān)鍵。
