翻译文章：中国古代将军孙子有句名言：“知己知彼，百战不殆”。英文“If you know the enemy and know yourself, you need not fear the result of a hundred battles.”

这一提议与公司持续遭受对其云计算基础架构发起的无休止的网络攻击一样重要，90% 的黑客攻击是由发现和采取措施来阻止它们的入侵所导致的。为了实施任何安全产品或采用新的流程，请首先了解您的云环境以及它面临的独特威胁。

新的挑战局面

云基础设施与数据中心大为不同。开发人员和技术员需要依据需要构建自己的云基础架构，能够自我制定(并适时修改)此架构，其中包括安全关键的设定。这个特性非常重要，由于每次改变都可能造成错误配置，从而容易招致攻击，务必记住——坏人不会错过的

什么是云计算配置错误?

错误的设置是阻止黑客成功入侵的最致命的弱点，这种观点得到了众多研究者、分析师以及业内专家的普遍认同。它们可以从网络端口和服务器不加防护的漏洞开始（比如开放危险的端口）到安全团队更容易忽略的问题上，从个别问题发展成一个复杂的架构问题。我确信您的组织内肯定存在两种这样的错误配置问题。 在云环境下同样也存在着这种情况。

云计算的主要推动力在于应用编程接口 (API) ——允许不同应用程序互相交互的软件“中介”。它消除了集中式数据中心中固有、固定的基础架构需求，因此我们熟悉的传统网络安全模型——在其周边建立一个防御屏障来阻止侵入性的攻击——并不适用于云环境。

控制平面指的是云系统提供的可编程接口（API），用来配置和管理云系统的各个层面。例如：您可以使用这个控制平面构建容器、调整网络路由或者访问数据库中的数据或快照，黑客常常利用这种方式侵入实时生产数据库比破坏数据库更常见。简而言之，API 控制面是用于管理和配置云的API的一组可编程接口。

黑客致力于寻找并利用现有系统中的漏洞来进行API访问。因此，网络安全应包括设计、架构以及API操作本身，但不需要对正在运行的环境进行持续监测或入侵检测。当你发现某些行为异常的时候，它们就已经损害了你的安全网络结构。私家侦探，侦探公司，调查公司，查人找物，商务调查，出轨外遇调查，婚外情调查，私人调查，19209219596

遗憾的是，网络安全行业仍远落后于黑客，因为众多供应商缺乏保护客户免遭针对云计算控制平面的攻击的措施。坦白地说，大多数人都在会议上让高级管理层和安全团队感觉更好——直到他们被黑客入侵为止。这仍然是一个安全剧院，它在我们的业务中仍然很普遍。

云安全类别的字母汤

因此，高管和安全专业人士不断地被安全方案产品类别和缩略语(例如CWPP, CNAPP,和CSPM)淹没，这些攻击者可能对这些名称持有不同的看法，因为他们更注重侵入者的行动：他们的目标就是进入您的环境并造成破坏。

你需要把注意力集中在安全上，因为这是最需要关注的方面。不要用单一产品的安全来衡量所有产品，它们的意义不大。

从中汲取的真实云漏洞经验

仔细考虑一下2019年的Capital One数据泄露，这是自历史上打击大型金融机构的重大事件以来最大的一次。攻击者突破了配置错误的防火墙（该设置可能比预期更广泛的Capital One权限支持），访问服务器并最终窃取了超过1亿个消费者的信贷申请

黑客并不关心进入服务器，只是这样做使他们能够使用 API 密钥浏览身份和访问管理 (IAM) “网络”以查找和窃取数据。识别攻击媒介是阻止攻击的关键，而不是 Capital One 是否检查过他们已经安装了供应商的安全产品。

黑客不会受到组织的安全工具的限制。而现代云端的安全方案将会忽视这些分类，相反，它们将重点放在如何在每个环境与配置中发现并阻止黑客可能发生的行为了-因为这就是他们一直在做的。

典型的云黑客攻击主要包括身份管理、配置设置（不仅涉及资源分配还包括策略）和资源的可访问性，以及您可能用来加密的关键机制。在多数服务商提供的安全措施中，我们看到了差距，这部分主要来源于对于标准执行不够重视，因为他们认为自己的所有措施都已满足了清单中的所有项目。

答案是：因此这家公司有信心宣布：“我们的基础设施已经启用了静态加密”，但对它们可能有遗漏的关键信息表示质疑，例如它可能没有检查到数据来源的凭证以及所使用的加密密钥是否已长久存在并驻留在他们的云计算平台中。****私家侦探，侦探公司，调查公司，查人找物，商务调查，出轨外遇调查，婚外情调查，私人调查，19209219596**

请安心，这就是黑客在寻找的东西。他们不在乎分类和作为安全从业人员我们做的任何东西来让我们感觉舒服的事情，也从未关注过这类事物。要构建一个有效的云安全体系，您首先要了解这种威胁的存在。最为有效的方式是采用 Policy as Code 技术。

战略即代码

当开发者在云中构建应用时，他们正在为应用构建架构而不是购买一堆基础设施并将其添加到其中。这是一个基于软件工程的编码过程，开发人员是这个过程的一部分，因此安全团队的角色被重定为了向开发人员教授知识以便确保他们在安全环境中工作以专家。您可以使用策略即代码来达到这个目的。它允许您的团队按照应用程序可以用来检查配置正确性的编程语言来编写安全性和合规性规则。

策略代码旨在检测任何不必要情况的其他代码以及运行环境，并确保所有的云参与者都能安全地使用它们。这样可以避免规则与软件开发周期（SDLC）的两端的应用产生的歧义和分歧，从而提高所有利益相关者的安全性和灵活性。

使用自动化的技术

采用策略性编程，即代码不仅能够自动连续检测错误配置，并在必要情况下进行修复，还可以减轻您的安全和基础架构团队每天花费大量时间的手动执行这一操作的责任。整体来说，这有助于您确保开发、运行时以及持续集成/持续交付 (CI/CD) 管道中的所有工作都能遵循策略性编程。随着时间的推移，并随着您的技术成熟度的增长，这些事宜可以被制度化并纳入您的流程之中，以实现全自动化。

保护您的云基础设施首先要明白攻击者的工作方式及其操作模式，以及他们在面对本地数据中心系统的黑客时与之相比有何区别。可能您会发现，当前的安全部门已经使用了多种单点解决方案，这些解决方案都是从同一个产品线获得的，这在根本上和战略层面上无法有效地解决Code作为指导原则的问题。

原文作者：云安全和合规 SaaS 公司Fugue的联合创始人兼首席执行官Josh Stella