這是CSA云安全威脅榜單中出現的新威脅，考慮到近年來越來越多的企業都因為疏忽或意外通過云公開泄露數據，該威脅上榜不足為奇。例如，報告中引用了Exactis事件，其中云服務商因配置錯誤公開泄露了一個包含2.3億美國消費者的個人數據的Elasticsearch數據庫。另外一個災難性的錯誤配置案例來自Level One Robitics，由于備份服務器配置錯誤暴露了100多家制造公司的知識產權信息。報告指出，讓企業擔心的不僅僅是數據丟失，還包括通過篡改或者刪除資料導致的業務停頓。報告將大多數配置錯誤歸咎于變更控制實踐欠佳。
從細節上看，云計算安全風險主要包括：
數據泄露
數據泄露威脅在去年的調查中繼續保持第一的位置，也是最嚴重的云安全威脅。數據泄露行為可能會嚴重損害企業的聲譽和財務，還可能會導致知識產權(IP)損失和重大法律責任。
CSA關于數據泄露威脅的關鍵要點包括：攻擊者渴望竊取數據，因此企業需要定義其數據的價值及其丟失的影響; 明確哪些人有權訪問數據是解決數據保護問題的關鍵; 可通過互聯網訪問的數據最容易受到錯誤配置或漏洞利用的影響; 加密可以保護數據，但需要在性能和用戶體驗之間進行權衡; 企業需要可靠、經過測試的事件響應計劃，并將云服務提供商考慮在內。
配置錯誤和變更控制不足
這是CSA云安全威脅榜單中出現的新威脅，考慮到近年來越來越多的企業都因為疏忽或意外通過云公開泄露數據，該威脅上榜不足為奇。例如，報告中引用了Exactis事件，其中云服務商因配置錯誤公開泄露了一個包含2.3億美國消費者的個人數據的Elasticsearch數據庫。另外一個災難性的錯誤配置案例來自Level One Robitics，由于備份服務器配置錯誤暴露了100多家制造公司的知識產權信息。報告指出，讓企業擔心的不僅僅是數據丟失，還包括通過篡改或者刪除資料導致的業務停頓。報告將大多數配置錯誤歸咎于變更控制實踐欠佳。
配置錯誤和變更控制不充分的關鍵點包括：云端資源的復雜性使其難以配置; 不要期望傳統的控制和變更管理方法在云中有效; 使用自動化和技術，這些技術會連續掃描錯誤配置的資源。
缺乏云安全架構和策略
這是個云計算與生俱來的“古老”問題。對于很多企業來說，最大程度縮短將系統和數據遷移到云所需的時間的優先級，要高于安全性。結果，企業往往會選擇并非針對其設計的云安全基礎架構和云計算運營策略。這一問題出現在2020年云安全威脅清單中表明，更多的企業開始意識到這是一個嚴重問題。
云安全架構和策略的要點包括：安全體系結構需要與業務目標保持一致; 開發和實施安全體系結構框架; 保持威脅模型為最新; 部署持續監控功能。
身份、憑證、訪問和密鑰管理不善
威脅清單中的另一個新威脅是對數據、系統和物理資源(如服務器機房和建筑物)的訪問管理和控制不足。報告指出，云計算環境中，企業需要改變與身份和訪問管理(IAM)有關的做法。報告認為，不這樣做的后果可能導致安全事件和破壞，原因是：憑證保護不力; 缺乏密碼密鑰，密碼和證書自動輪換功能; 缺乏可擴展性; 未能使用多因素身份驗證; 未能使用強密碼。
身份、憑證、訪問和密鑰管理的關鍵要點包括：安全賬戶，包括使用雙重身份驗證; 對云用戶和身份使用嚴格的身份和訪問控制-特別是限制root賬戶的使用; 根據業務需求和最小特權原則隔離和細分賬戶、虛擬私有云和身份組; 采用程序化、集中式方法進行密鑰輪換; 刪除未使用的憑據和訪問特權。
賬戶劫持
今年，賬戶劫持仍然是第五大云威脅。隨著網絡釣魚攻擊變得更加有效和更有針對性，攻擊者獲得高特權賬戶訪問權的風險非常大。網絡釣魚不是攻擊者獲取憑據的唯一方法。他們還可以通過入侵云服務等手段來竊取賬戶。一旦攻擊者可以使用合法賬戶進入系統，就可能造成嚴重破壞，包括盜竊或破壞重要數據，中止服務交付或財務欺詐。報告建議對用戶就賬戶劫持的危險性和特征進行安全意識教育培訓，以最大程度地降低風險。
CSA關于賬戶劫持的主要建議包括：賬戶憑證被盜時，不要只是重置密碼，要從源頭解決根本問題。 深度防御方法和強大的IAM控制是最好的防御方法。
內部威脅
來自受信任內部人員的威脅在云中與內部系統一樣嚴重。內部人員可以是現任或前任員工，承包商或可信賴的業務合作伙伴，以及無需突破公司安全防御即可訪問其系統的任何人。云計算服務提供商內部人員，特別是具有高級權限管理員的失職，將可能給用戶數據安全帶來很大威脅，如非授權復制虛擬機鏡像，導致用戶數據或隱私泄露。內部威脅者未必都是惡意的，很多員工疏忽可能會無意間使數據和系統面臨風險。根據Ponemon Institute的2018年內部威脅成本研究，64%的內部威脅事件是由于員工或承包商的疏忽所致。這種疏忽可能包括配置錯誤的云服務器，在個人設備上存儲敏感數據或成為網絡釣魚電子郵件的受害者。
治理內部威脅的關鍵要點包括：對員工進行充分的安全意識和行為準則的培訓和教育，以保護數據和系統。使安全意識教育常態化，成為一個持續的過程; 定期審核和修復配置錯誤的云服務器; 限制對關鍵系統的訪問。
不安全的接口和API
“不安全的接口和API”從去年的第三名跌至第七名。在2018年，Facebook經歷了一次嚴重的數據泄露事件，影響了超過5000萬個賬戶，問題的根源就是新服務View中不安全的API。尤其是當與用戶界面相關聯時，API漏洞往往是攻擊者竊取用戶或員工憑據的熱門途徑。報告指出，企業需要清醒地認識到，API和用戶界面是系統中最容易暴露的部分，應當通過安全設計方法來強化其安全性。
治理不安全的接口和API的關鍵點：采用良好的API做法，例如監督庫存、測試、審計和異常活動保護等項目; 保護API密鑰并避免重用; 考慮采用開放的API框架，例如開放云計算接口(OCCI)或云基礎架構管理接口(CIMI)。
控制面薄弱
控制平面涵蓋了數據復制、遷移和存儲的過程。根據CSA的說法，如果負責這些過程的人員無法完全控制數據基礎架構的邏輯、安全性和驗證，則控制平面將很薄弱。相關人員需要了解安全配置，數據流向以及體系結構盲點或弱點。否則可能會導致數據泄漏、數據不可用或數據損壞。
關于弱控制面的主要建議包括：確保云服務提供商提供履行法律和法定義務所需的安全控制; 進行盡職調查以確保云服務提供商擁有足夠的控制平面。
元結構和應用程序結構故障
云服務商的元結構(Metastructure)保存了如何保護其系統的安全性信息，并可通過API調用。CSA將元結構稱為云服務提供商/客戶的“分界線”。這些API可幫助客戶檢測未經授權的訪問，同時也包含高度敏感的信息，例如日志或審核系統數據。這條分界線也是潛在的故障點，可能使攻擊者能夠訪問數據或破壞云客戶。糟糕的API實施通常是導致漏洞的原因。CSA指出，不成熟的云服務提供商可能不知道如何正確地向其客戶提供API。另一方面，客戶也可能不了解如何正確實施云應用程序。當他們連接并非為云環境設計的應用程序時，尤其如此。
防范元結構和應用程序結構失敗的關鍵要點包括：確保云服務提供商提供可見性并公開緩解措施; 在云原生設計中實施適當的功能和控件; 確保云服務提供商進行滲透測試并向客戶提供結果。
法律合規性風險
云計算應用地域性弱，信息流動性大，信息服務或用戶數據可能分布在不同地區甚至國家，在政府信息安全監管等方面存在法律差異與糾紛;同時由于虛擬化等技術引起的用戶間物理界限模糊可能導致的司法取證問題也不容忽視。
防范法律違規的關鍵要點包括：云計算服務提供商需要基于法律法規要求，對運營管理制度、業務提供的合規性進行合理規范，在商業合同中的司法管轄權合理設定服務內容，以規避不必要的法律風險。
回答所涉及的環境：聯想天逸510S、Windows 10。