全球網(wǎng)絡(luò)安全領(lǐng)導(dǎo)企業(yè)Palo Alto Networks（派拓網(wǎng)絡(luò)）近日發(fā)布《Unit 42云威脅報告，第7卷》。該報告通過對1,300多家企業(yè)開展調(diào)查研究，分析了所有的主要云服務(wù)提供商（CSP）的21萬個云賬戶、訂閱服務(wù)和項目中的工作負(fù)載，幫助安全領(lǐng)導(dǎo)者和從業(yè)者從多個視角了解云安全。

研究發(fā)現(xiàn)，企業(yè)的上云速度絲毫沒有放緩的跡象。到2025年，該市場預(yù)計將從2021年的3,700億美元增長至8,300億美元。威脅者往往會利用云中的常見問題發(fā)動入侵，例如配置錯誤、憑證弱、身份驗證不足、漏洞未修復(fù)、惡意OSS資源包等。

派拓網(wǎng)絡(luò)副總裁兼亞太及日本地區(qū)首席安全官Sean Duca表示：“云技術(shù)的發(fā)展日趨成熟。但隨著云使用量不斷上漲，威脅者也變得更加狡猾和強大，他們會利用隱藏的薄弱環(huán)節(jié)和漏洞實施攻擊。云對象存儲服務(wù)的大范圍采用加劇了企業(yè)的安全緊張態(tài)勢，使攻擊者能夠更快、更輕易地入侵共享軟件供應(yīng)鏈，同時伏擊大量受害者。云給威脅者提供了可乘之機——一旦管理不當(dāng)，企業(yè)就會暴露于風(fēng)險之中。因此，企業(yè)需要采取全面的平臺策略，在云環(huán)境被入侵之前實時發(fā)現(xiàn)和消滅威脅。”

該報告的一些重要發(fā)現(xiàn)包括：

● 多數(shù)安全警報是由于云用戶重復(fù)發(fā)生常見錯誤而導(dǎo)致的。在多數(shù)企業(yè)的云環(huán)境中，80%的警報由5%的安全規(guī)則觸發(fā)。企業(yè)的云工作負(fù)載中存在一小部分風(fēng)險行為，比如不受限制的防火墻策略、暴露的數(shù)據(jù)庫和未堅決執(zhí)行的多重身份驗證（MFA）等。優(yōu)先修復(fù)這些問題可以幫助將安全投資的回報最大化。

● 安全警報的解決時間過長。安全團(tuán)隊平均需要145個小時（6天）解決一個警報，給潛在攻擊者留下了大量可乘之機。

● 云中的敏感數(shù)據(jù)面臨風(fēng)險。66%的存儲桶和63%的公開存儲桶中存在敏感數(shù)據(jù)，它們?nèi)菀自馐軄碜詢?nèi)外部的威脅。如果對所存儲的信息缺乏洞察，那么要想防范敏感數(shù)據(jù)意外泄露就會變得很困難。

● 憑證泄露問題普遍存在，且在云泄露中首當(dāng)其沖。83%的企業(yè)的源碼控制管理系統(tǒng)中含有硬編碼憑證，85%的企業(yè)的虛擬機用戶數(shù)據(jù)中含有硬編碼憑證。憑證訪問仍是云威脅者的常用手段。

● 未對云用戶強制采用MFA。76%的企業(yè)未對控制臺用戶強制采用MFA，58%的企業(yè)未對根/管理員用戶強制采用MFA，導(dǎo)致控制臺訪問容易遭到蠻力攻擊。

● 針對軟件供應(yīng)鏈的攻擊呈上升趨勢。僅2022年，被發(fā)現(xiàn)的影響科技巨頭和其他企業(yè)的惡意OSS資源包就超過7,300個。

● 管理代碼依賴性的難度較大。51%的代碼庫依賴于100多個開源資料包，而其中只有23%由開發(fā)人員直接導(dǎo)入。非root資料包會帶來漏洞，使整個云基礎(chǔ)設(shè)施面臨風(fēng)險隱患。

● 未打補丁的漏洞是唾手可得的攻擊目標(biāo)。63%的生產(chǎn)代碼庫和11%的公有云主機存在嚴(yán)重或關(guān)鍵的未修補漏洞，這已經(jīng)成為整個云基礎(chǔ)設(shè)施的安全隱患。

針對云基礎(chǔ)設(shè)施錯誤配置、API和軟件供應(yīng)鏈的攻擊手段層出不窮，企業(yè)需要做好準(zhǔn)備以應(yīng)對云原生攻擊面的持續(xù)擴大。為了加強對這些威脅的安全防御，行業(yè)將轉(zhuǎn)向云原生應(yīng)用保護(hù)平臺（CNAPP），它可以為應(yīng)用開發(fā)的整個過程提供全面的防護(hù)能力。Gartner的數(shù)據(jù)證明了這一點——從2021到2022年，有關(guān)CNAPP的客戶咨詢驟增70%。