DAY59 雲端安全 Cloud Security

• 一. 雲端身分安全
  • 1.2 如何保護Cloud的Identity
• 二. 雲端資料安全
  • 2.1 要如何保護雲端資料 Cloud Data

雲端相關威脅包含(官方教材):

1. 資料洩漏
2. 弱身分、憑證、存取管理
3. 不安全的應用程式介面
4. 帳號劫持
5. 資料遺失

一. 雲端身分安全

Cloud Identity Security

雲端系統需要知道

1. 你是誰?
2. 你能做什麼?

來決定你能存取哪些雲端資源
登入->身分驗證->授權->可存取的雲端資源

而這些雲端資源

通常可以直接從Internet存取

例如:
Google Cloud 如果攻擊者拿到帳號+密碼

登入Cloud

他就能直接取得我的

• VM
• Database
• application
• storage

所以:
較弱的身分、憑證、存取管理
被列為雲端威脅之一

登入憑證包含

• 帳號/密碼
• 存取金鑰
• API金鑰
• 存取Token
• Secret 祕密值

任何可以拿來證明身分或取得系統權限的東西

1.2 如何保護Cloud的Identity

1. MFA 多因素驗證
   • 這樣就算帳號被偷也需要第二個驗證因素才能登入
2. 最小權限
   • 定期檢查所有權限是否合理
   • 尤其是:
   • 離職
   • 轉職
   • 部門異動
   • 專案結束

二. 雲端資料安全

Cloud Data Security

雲端資料保護是

• 雲端服務提供者
• 使用者

的共同責任

資料外洩事件的責任與處理方式也應在合約中說明

資料安全例如:

1. 資料洩漏
   • 未授權的人 -> 取得機密資料
2. 資料遺失
   • 資料刪除 + 沒有備份 = 資料無法復原

2.1 要如何保護雲端資料 Cloud Data

DAY53中有提到三種資料狀態

1. 靜態資料
   • 存在雲端或資料庫
   • 可以使用靜態資料加密
2. 傳輸中的資料
   • 可以使用TLS傳輸安全協定
3. 使用中的資料
   • 正在被應用程式或程序處理
   • 存取控制
   • 程序安全
   • 記憶體安全
   • 應用程式安全

雲端錯誤設定
例如:
把原本應該設定成私人的資料
錯誤設定成公開
結果任何人都可以查看資料或下載資料

OWASP -> 安全設定錯誤
常見原因:
沒有修改預設設定
測試時打開後忘記關閉
不必要的功能與權限沒有停用