《实用云安全》，第二版

第 1 章. 原则和概念

本作品已使用人工智能进行翻译。欢迎您提供反馈和意见：[e-mail]

是的，这是一本实用指南，但在我们深入探讨实用部分之前，我们确实需要从高层次上介绍一些与 Cloud 相关的安全原则和概念。如果您是一位经验丰富的安全专业人士，但对云技术还很陌生，那么您可能需要略读一下"云共享责任模型"。

之所以首先介绍这些原则和概念，是因为在本书的其余部分中，当我讨论设计和实施安全控制来阻止攻击者时，都会隐含地使用这些原则和概念。 安全方面的概念差距和误解会导致很多问题。例如

• 如果您不熟悉最小权限，您可能对云服务的授权理解得很透彻，但仍然会授予云账户中或云数据库上的人或自动化过多的访问权限，而这些人或自动化中又存在敏感信息。

• 如果你不熟悉纵深防御，那么多层身份验证、网络访问控制或加密可能看起来没什么用。

• 如果你对威胁建模--攻击者的可能动机和你正在设计的系统的信任边界--不甚了解，你可能会花时间和精力去保护错误的东西。

• 如果您不了解云服务交付模式和责任分担模式，您可能会花时间担心属于云提供商责任的风险，而错过属于您责任的风险。

• 如果你对风险管理不甚了解，你可能会在低风险上花费过多的时间和精力，而不是管理高风险。

我将快速介绍这些基础信息，以便我们进入云安全控制。

最低特权

最小权限原则简单地说，就是人或自动化工具只能访问其工作所需的权限，而不能访问更多权限。我们很容易忘记这其中的自动化部分；例如，访问数据库的组件如果不需要写入权限，就不应该使用允许写入数据库的凭据。

最低权限的实际应用通常意味着你的访问策略默认为拒绝。也就是说，用户默认情况下不被授予任何（或很少）权限，他们需要通过申请和批准流程才能获得所需的任何权限。

对于云环境，您的一些管理员需要有访问云控制台的权限--该网页允许您创建、修改和销毁虚拟机等云资产。对于许多提供商而言，任何拥有云控制台访问权限的人都将默认对该云提供商管理的一切拥有上帝般的权限。这可能包括从云环境的任何部分读取、修改或销毁数据的能力，而不管已配置系统的操作系统上有哪些控制措施。因此，您需要严格控制对云控制台的访问和权限，就像在内部环境中严格控制物理数据中心的访问一样，并记录这些用户正在做什么。

纵深防御

本书中的许多控制措施如果实施得完美无缺，就不再需要其他控制措施。纵深防御就是承认几乎任何安全控制都有可能失效，这可能是因为攻击者有足够的决心和技能，也可能是因为实施安全控制的方式有问题。通过深度防御，你可以创建多层重叠的安全控制，这样即使其中一层失效，后面的一层仍然可以抓住攻击者。

纵深防御当然可以走极端，这也是了解可能面临的威胁的重要性所在。不过，一般来说，你应该能够指出你所拥有的任何一个安全控制，并说："如果这个失效了怎么办？如果答案是不可接受的，那么您的纵深防御就可能不足。如果单个故障会导致多个安全控制失效，例如库存问题导致多个工具漏掉一个问题，那么您的纵深防御也可能不足。

零信任

如今，许多产品和服务都声称自己是零信任，或支持零信任原则。 这个名称令人困惑，因为零信任并不意味着对任何事物都完全不信任，而更令人困惑的是，零信任被用于许多不同的营销目的。 关于零信任的含义，有许多不同的定义和想法。

在这一点上，我们可能已经习惯了这个词，但 "零信任 "其实应该叫别的名字，比如 "零隐含信任 "或 "零无端假定信任"。¹ 核心原则是，来自用户或其他系统的信任应该是争取来的，而不是仅仅因为用户能在 Network+ 上联系到你，或拥有公司的设备，或其他一些不好 ...