公共云提供商的网络安全策略为何失败

美国政府可能出台的法规会影响AWS等云计算提供商及其客户。Cado Security公司首席技术官兼联合创始人克里斯?多曼讨论了通过建立更强大的网络安全防御来提高公共云安全性的策略。

通过KYC防止云托管提供商的滥用

新的国家网络安全战略中提出的一个想法是重新执行一项行政命令，这是特朗普政府提出但没有实施的新窗口。该行政命令旨在通过对国内云提供商实施更严格的了解客户(KYC)检查，使攻击者更难以在美国托管恶意软件和攻击。

虽然是出于好意，但这可能会产生负面影响。如今，云计算提供商善于发现并关闭被滥用的系统。此外，他们经常通过与执法部门或友好的研究人员分享潜在相关攻击的信息来进行合作。不太可能从海外“防弹”托管中获得这种合作。

Politico表示，这迫使攻击者了解他们在美国以外的攻击可能会更容易发现他们，从而更好地跟踪威胁:

“外国黑客经常租用美国的云基础设施，因为这样更容易从美国的IP地址混入看似正常的互联网流量，”这位高级政府官员告诉MC。在美国境内发动攻击还允许他们利用美国网络司令部和国家安全局的盲点，这些盲点被禁止监视美国网络。”

第一种说法是，更容易查明来自美国以外的攻击，这充其量只是一种极端情况。1995年，一家国防承包商可能有能力阻止或审查美国境外的通信。但在2023年，没有任何组织有能力阻止或审查所有流向美国境外的流量。此外，服务器的地理位置在任何情况下都不是特别可靠。

第二种说法，即美国国家安全局和美国网络司令部将能够拥有更大的可见度，似乎更可信。然而，美国已经有了一个国内情报机构——联邦调查局，它有权监视美国的网络，尽管附加了更多的条件。然而，如果从美国的服务器发起重大攻击，联邦调查局很可能能够访问服务器本身。最初的行政命令特别提到，在服务器被捕获和分析之前，攻击者破坏证据的问题打开了一个新的窗口。

提高云提供商的弹性

另一份由Politico发布的报告提供了可能即将出台的其他立法的背景。报告援引拜登政府网络主管肯巴?瓦尔登的话说，虽然云服务可以“减轻最终用户的大量安全负担……但当这些云提供商没有提供他们可以提供的安全级别时，问题就出现了。”

虽然云提供商应尽其所能确保其服务的适当安全性，但也应认识到云服务提供商和组织内部安全职能之间的共同责任模型。无论如何，迁移到云可以改善组织的整体安全状况，因此政府鼓励云迁移是有道理的。例如，勒索软件已经摧毁了小型企业，在云中运行重要文件和平台可以降低此类事件发生的可能性和影响。

然而，迁移到云并不能提供更高的安全性，而且可能会带来额外的挑战。例如，由于云资源的动态性和短暂性，组织通常没有必要的数据来执行适当的调查，一旦这些资源之一受到损害。由于某些云资源(如容器)不断地上下旋转，如果组织在事件发生后不能快速捕获数据，那么这些数据可能永远丢失。这有助于攻击者掩盖他们的踪迹。

当考虑到现行的或拟议的立法时，组织往往通过使自己的激励与公众的激励保持一致而得到最好的服务。云计算提供商已经有了维护客户的弹性和安全性的巨大动力，即使他们也从安全支出中获得了巨额利润。

小心松鼠

在关键基础设施领域，一个公认的观点是，松鼠对电网的威胁可能比网络更大。

一个专门追踪松鼠攻击关键基础设施的网站解释了这一现象，并附带了一个游戏，用户可以扮演松鼠攻击变电站。

同样，由于网络攻击而影响关键基础设施的灾难威胁与更多的物理威胁相比被夸大了，云计算提供商的灾难可能也是如此。就像在Cloudhopper操作中打开了一个新窗口，许多二级云托管公司和网络托管服务商受到了攻击，云计算公司被黑客攻击，这可能会通过供应链攻击导致更多的客户妥协。

鉴于所有关于针对云提供商的网络攻击的讨论，最具破坏性的云服务中断实际上是AWS停电和OVH数据中心烧毁的结果。