全球網(wǎng)絡(luò)安全領(lǐng)導(dǎo)企業(yè)Palo Alto Networks（派拓網(wǎng)絡(luò)）近日發(fā)布《Unit 42云威脅報(bào)告，第7卷》。該報(bào)告通過(guò)對(duì)1,300多家企業(yè)開(kāi)展調(diào)查研究，分析了所有的主要云服務(wù)提供商（CSP）的21萬(wàn)個(gè)云賬戶、訂閱服務(wù)和項(xiàng)目中的工作負(fù)載，幫助安全領(lǐng)導(dǎo)者和從業(yè)者從多個(gè)視角了解云安全。

研究發(fā)現(xiàn)，企業(yè)的上云速度絲毫沒(méi)有放緩的跡象。到2025年，該市場(chǎng)預(yù)計(jì)將從2021年的3,700億美元增長(zhǎng)至8,300億美元。威脅者往往會(huì)利用云中的常見(jiàn)問(wèn)題發(fā)動(dòng)入侵，例如配置錯(cuò)誤、憑證弱、身份驗(yàn)證不足、漏洞未修復(fù)、惡意OSS資源包等。

派拓網(wǎng)絡(luò)副總裁兼亞太及日本地區(qū)首席安全官Sean Duca表示：“云技術(shù)的發(fā)展日趨成熟。但隨著云使用量不斷上漲，威脅者也變得更加狡猾和強(qiáng)大，他們會(huì)利用隱藏的薄弱環(huán)節(jié)和漏洞實(shí)施攻擊。云對(duì)象存儲(chǔ)服務(wù)的大范圍采用加劇了企業(yè)的安全緊張態(tài)勢(shì)，使攻擊者能夠更快、更輕易地入侵共享軟件供應(yīng)鏈，同時(shí)伏擊大量受害者。云給威脅者提供了可乘之機(jī)——一旦管理不當(dāng)，企業(yè)就會(huì)暴露于風(fēng)險(xiǎn)之中。因此，企業(yè)需要采取全面的平臺(tái)策略，在云環(huán)境被入侵之前實(shí)時(shí)發(fā)現(xiàn)和消滅威脅。”

該報(bào)告的一些重要發(fā)現(xiàn)包括：

● 多數(shù)安全警報(bào)是由于云用戶重復(fù)發(fā)生常見(jiàn)錯(cuò)誤而導(dǎo)致的。在多數(shù)企業(yè)的云環(huán)境中，80%的警報(bào)由5%的安全規(guī)則觸發(fā)。企業(yè)的云工作負(fù)載中存在一小部分風(fēng)險(xiǎn)行為，比如不受限制的防火墻策略、暴露的數(shù)據(jù)庫(kù)和未堅(jiān)決執(zhí)行的多重身份驗(yàn)證（MFA）等。優(yōu)先修復(fù)這些問(wèn)題可以幫助將安全投資的回報(bào)最大化。

● 安全警報(bào)的解決時(shí)間過(guò)長(zhǎng)。安全團(tuán)隊(duì)平均需要145個(gè)小時(shí)（6天）解決一個(gè)警報(bào)，給潛在攻擊者留下了大量可乘之機(jī)。

● 云中的敏感數(shù)據(jù)面臨風(fēng)險(xiǎn)。66%的存儲(chǔ)桶和63%的公開(kāi)存儲(chǔ)桶中存在敏感數(shù)據(jù)，它們?nèi)菀自馐軄?lái)自內(nèi)外部的威脅。如果對(duì)所存儲(chǔ)的信息缺乏洞察，那么要想防范敏感數(shù)據(jù)意外泄露就會(huì)變得很困難。

● 憑證泄露問(wèn)題普遍存在，且在云泄露中首當(dāng)其沖。83%的企業(yè)的源碼控制管理系統(tǒng)中含有硬編碼憑證，85%的企業(yè)的虛擬機(jī)用戶數(shù)據(jù)中含有硬編碼憑證。憑證訪問(wèn)仍是云威脅者的常用手段。

● 未對(duì)云用戶強(qiáng)制采用MFA。76%的企業(yè)未對(duì)控制臺(tái)用戶強(qiáng)制采用MFA，58%的企業(yè)未對(duì)根/管理員用戶強(qiáng)制采用MFA，導(dǎo)致控制臺(tái)訪問(wèn)容易遭到蠻力攻擊。

● 針對(duì)軟件供應(yīng)鏈的攻擊呈上升趨勢(shì)。僅2022年，被發(fā)現(xiàn)的影響科技巨頭和其他企業(yè)的惡意OSS資源包就超過(guò)7,300個(gè)。

● 管理代碼依賴性的難度較大。51%的代碼庫(kù)依賴于100多個(gè)開(kāi)源資料包，而其中只有23%由開(kāi)發(fā)人員直接導(dǎo)入。非root資料包會(huì)帶來(lái)漏洞，使整個(gè)云基礎(chǔ)設(shè)施面臨風(fēng)險(xiǎn)隱患。

● 未打補(bǔ)丁的漏洞是唾手可得的攻擊目標(biāo)。63%的生產(chǎn)代碼庫(kù)和11%的公有云主機(jī)存在嚴(yán)重或關(guān)鍵的未修補(bǔ)漏洞，這已經(jīng)成為整個(gè)云基礎(chǔ)設(shè)施的安全隱患。

針對(duì)云基礎(chǔ)設(shè)施錯(cuò)誤配置、API和軟件供應(yīng)鏈的攻擊手段層出不窮，企業(yè)需要做好準(zhǔn)備以應(yīng)對(duì)云原生攻擊面的持續(xù)擴(kuò)大。為了加強(qiáng)對(duì)這些威脅的安全防御，行業(yè)將轉(zhuǎn)向云原生應(yīng)用保護(hù)平臺(tái)（CNAPP），它可以為應(yīng)用開(kāi)發(fā)的整個(gè)過(guò)程提供全面的防護(hù)能力。Gartner的數(shù)據(jù)證明了這一點(diǎn)——從2021到2022年，有關(guān)CNAPP的客戶咨詢驟增70%。