云安全知识证书 (CCSK v5) 官方学习指南

第 9 章. 确保云中的数据安全

本作品已使用人工智能进行翻译。欢迎您提供反馈和意见：[e-mail]

数据是宝贵的东西，其寿命将比系统本身更长。

蒂姆-伯纳斯-李

在本章中，我们将介绍网络安全的一个主要目标：保护数据。攻击者通常以公司为目标，意图访问公司数据，这些数据经常被用来进行勒索或金融敲诈。

为此，我们将介绍数据的不同存储方式以及确保数据安全的最佳实践。我们将介绍 Cloud 中数据安全的复杂性，并研究用于保护传输中和静态数据的基本安全策略、工具和加密方法。此外，我们还将回顾数据安全态势管理 (DSPM)、数据丢失保护 (DLP)、数字版权管理 (DRM) 和加密等技术，这些技术可用于云数据安全，以防止漏洞并维护数据隐私。

数据结构

在讨论数据存储的安全问题之前，我想先定义一下本章将介绍的三种不同的数据结构：

结构化数据

按照固定模式组织的数据，通常采用行和列等表格格式（例如 Microsoft SQL Server）

非结构化数据

不遵循预定义数据模型或模式的数据（如社交媒体帖子）

半结构化数据

不符合严格模式，但仍包含标记或马克笔以分隔数据 元素并执行层次结构的数据（如 JSON、XML）

存储安全入门

并非所有数据对组织都同样重要。例如，自助餐厅的菜单和工资单系统需要同样的安全保护吗？当然不需要。确定哪类数据需要哪种级别的安全控制的最佳方法是什么？您可以根据数据的类型（是否为财务数据、个人信息等）、敏感性（暴露后的危害程度）和关键性（数据对组织运营或合规性的重要程度）对数据进行分类。一旦对数据进行了分类，就可以根据风险（如低、中、高）将其划分为一小套等级。

分类和分级这两个词经常被交替使用，但两者之间是有区别的。首先将数据归为大类，然后根据相关风险进行分类。以包含姓名、政府身份证号码和其他敏感信息的员工数据库为例。这将被归类为个人身份信息 (PII)，分类级别为 "高"。该分类将用于确定适当的安全控制和访问要求。

云存储类型

云环境中有两种核心存储形式：对象存储和卷存储。数据库存储、快照、日志存储和消息队列等许多其他类型的存储都使用这些核心存储服务。例如，云数据库通常在引擎盖下使用卷存储，而日志和备份则使用对象存储来实现耐用性和可扩展性。我们将在以下章节深入探讨这些存储类型。

对象存储

对象存储可通过互联网访问，这意味着如果没有正确应用权限，世界上任何人都可以从任何地方访问它。因此，对象存储往往是信息泄露的源头。许多组织都曾因对象存储上的 "错误配置 "而导致令人尴尬的头条新闻，因为对象存储上的权限允许世界上任何人访问对象存储中保存的数据。为什么会出现这种情况？答案可能是方便，但也可能是糟糕的安全实践。

让我们来看看两种常见的情况。首先，有一种经典的做法，即像开发人员或云管理员这样的人很快就想做某件事情，于是就做了："我就把数据公开，复制数据，然后删除公开访问"。在这种情况下通常会发生的情况是，这个人分心了，忘记再次锁定存储。

其他时候，，通过隐蔽实现安全（这是另一种永远不会有好结果的方法）。在这种情况下，他们会给存储桶取一个由随机字符组成的长字符串，假定没有人会发现这个开放的存储桶名称。当研究人员和攻击者对数据桶名称进行模糊测试时，这种方法就行不通了。Fuzzing只是将随机字符作为知名URL格式（如https://my-bucket.S3.amazonaws.com）中的数据桶名称进行测试。

这个问题的根源在于：为对象存储设置权限可能很复杂，这取决于具体情况。你可以设置公共访问，也可以创建允许云环境中特定账户访问的微调权限。不过，要对云环境中没有账户的个人实施这样的访问控制，您需要构建一个前端服务器来应用访问控制，然后配置为安全访问后端的对象存储。 ...