企业云IAM没有想的那么安全

[[172828]]

对于保护企业免受外部和内部威胁来说，云IAM策略是非常重要的。专家Rob Shapland介绍了如何加强云IAM。

云安全联盟的一份最新报告显示，身份认证与访问管理是众多正在部署云应用的企业所面临的最大问题之一。有超过二成的受访者表示，凭证泄露被证明是数据泄露的直接原因。攻击者总是青睐窃取合法凭证;对于绝大多数企业的监控系统来说，他们是很难区分黑客使用真实用户名密码登录和真实用户登录的。只有更为先进的防御系统才能够检测到已登录用户的不正常行为。

在CSA报告中，只有大约一半的企业表示，他们正在使用单点登录，这意味着在很多情况下，用户是使用密码方式来访问云计算应用程序的，而其帐户策略可能与企业政策不符。这也就意味着，工作人员需要记住更多的密码，这将有可能导致一些不好的使用习惯，例如使用相同密码或者写下密码。没有SSO的云计算应用程序也不可能被连接到企业监控软件，所以成功和失败的的登录尝试都不会被记录下来。这是黑客们所梦寐以求的，因为利用密码管理不善的漏洞是入侵任何组织的最简单方法之一。

黑客如何利用云IAM弱点

大多数企业都采用了过期密码的策略——例如，八个具有一定复杂性的字符，这个策略无助于抵御黑客用来获得访问密码的方法。防范密码猜测攻击的正确方法是使用密码短语。但是，即便是那些正确实施密码短语的企业也可能会发现中云中使用这个策略，因为很多云应用都限制了密码的最大长度。

密码猜测并不是黑客用于获取帐户访问权限的唯一方法;通过电子邮件钓鱼方式盗窃访问凭证通常更为简单，这是民族主义黑客和有组织犯罪攻击者最喜欢使用的一种方式。云IAM策略需要反映这一风险，而企业应当竭尽所能降低这一风险的发生概率，例如在所有面向互联网的服务中使用多重身份验证。

加强企业的IAM策略

确保正确管理云IAM的第一步就是验证正确的IAM策略，以便防范现代黑客用于获取用户帐户的实际方法。现有的IAM策略在推出应用于云服务之前，应确保IAM策略的现代化和强大。一旦策略实施到位并经过测试，那么下一步就是将这个策略扩展覆盖云应用。但是，该策略不应只是应用于企业本身，它还应覆盖外包IT、供应商以及第三方。然后应集中控制策略，这是关键的挑战之一。

云IAM并不完全就是关于密码的配置;它还涉及确保在雇员变更岗位或离职时的应对措施，如改变访问权限或删除访问帐户。这就要求一个涵盖所有云服务的强大参与者、变岗者和离职者策略，要求企业能够了解和理解影子云服务。不理解谁有访问云应用的权限，以及为什么外部黑客和内部用户有可能显著增加风险。

云IAM是安全扩展企业网络边界并囊括云的一个主要挑战。其中关键的一点就是理解谁有访问权限以及访问了哪些应用。企业IAM策略需要扩展涵盖用户已经确定的云应用，然后整合能够报告云服务中异常登录活动的报警机制。通过实施这一过程，它能减少在企业没有意识到的情况下访问凭证被盗和误用的可能性。