云安全。如果不加限定，这个术语本身其实没有明确含义。您指的是构成“云”的底层基础设施的安全性，还是用于在“云”中配置和管理计算、存储及服务的命令与控制API的安全性？
因为我知道，您所说的并不是云能神奇地保护您免受自身失误的影响。比如，您主动更改Amazon S3存储桶的默认安全策略，允许任何知道其IP地址的人访问其中存储的数据。
如果您觉得这种想法很荒谬，那确实如此。但如果因此认为具备一定安全能力的组织不会这样做，那就错了。
举个例子：最近有消息披露，某系统集成商将各种敏感数据置于Amazon S3中，任何人都可公开访问。比如凭据、私钥之类的数据。据称，这一“错误”很快得到了纠正，但事实是，要让S3中的数据处于任何人都可访问的状态，操作人员必须主动执行相关操作。
必须主动解锁这扇门。Amazon S3默认配置了严格的访问安全控制。Amazon文档中写道：
默认情况下，所有Amazon S3资源均为私有资源，这意味着只有资源所有者才能访问。
因此，要将其设置为任何拥有正确IP地址的人都能浏览存储桶内容的状态，必须由人工有意识地执行相关操作。
上述系统集成商并非首个因自行取消Amazon S3安全保护而受害的企业。早在2017年2月，研究人员Troy Hunt详细介绍了一系列引人关注的云安全失误事件，这些事件与物联网玩具Cloud Pets有关，其中包括“一个无需任何特定授权即可访问的Amazon S3存储桶”。同年7月，我们获悉三大服务提供商之一因Amazon S3配置错误而泄露了订阅用户记录。
为了说明这一问题有多么普遍，Rhino Security Labs分享了其对Alexa排名前10,000的网站进行Amazon S3测试的情况，提供了颇具启发性的视角。测试发现：“共有107个存储桶（1.07%）具有列出权限，涉及68个不同的域名。在这107个存储桶中，61个（57%）向任何查看者开放了下载权限，13个（12%）开放了上传权限，另有8%同时开放了上述三种权限。”
开放下载权限已经够糟糕了，因为这会使数据面临被盗风险。但还开放上传权限？这无异于鼓励员工点击网络钓鱼邮件。
云无法防范因自身疏忽造成的风险。无论是缺少安全关卡、检查还是监督，都不能直接开放云存储权限，然后寄希望于无人发现。这就像安装了闭路电视监控系统，却将telnet访问权限向外部网络开放。
哎呀，是吧？
关键在于，应用和数据的安全性取决于用于保护它们的策略和流程。S3等云存储有时确实需要启用“开放”访问。但这就像企业防火墙上的端口一样，除非有充分的理由，否则不应将其完全开放。
如果尚未制定相关政策，要求在启用应用或分享URL之前审查“云安全”，就必须立即制定。现在就停止阅读，着手落实。
不要让自己成为最大的安全隐患。检查相关政策和流程，确保安全措施与云端存储数据的重要性及指定用途相匹配。
只有您能防止S3配置错误成为新闻焦点。
如果需要帮助加强Amazon S3存储桶的安全防护，Amazon不仅贴心地提供了文档，还提供了相关工具。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。