• 祝全国人民新年快乐!

防止云账户被劫持的3种策略

网络安全 来源:中国科技网 2021年05月08日 1281次浏览 扫描二维码
安全从业人员都熟悉攻击者窃取特权账户的危险。当攻击者获得对域管理员凭据的访问权或获得对关键服务器的根访问权时,会带来真正灾难性的后果。而潜在的后果包括破坏业务,加密数据并用于勒索,或者将被损害设备作为执行进一步攻击的滩头阵地。

安全专家们深知恢复被损坏的企业数据是多么困难。攻击者通过获取高级访问权限,可以进行微妙的改变,从而使得安全团队难以确保IT环境是否已经完全恢复。

云环境中的情形也是类似。事实上,在某些方面情况甚至更糟。我们不但有用于虚拟机镜像的用户账户和口令(如IaaS环境),还有许多其他账户,包括应用程序账户和连接第三方服务(有可能拥有其自己相关联的API密钥)的账户。

此外,还有一些拥有对云供应商的控制台进行管理访问的用户账户,如公有云的会员账户,或者是用于访问服务供应商控制台的管理账户。根据配置,对这些账户的访问可以使恶意用户对账号进行更改,启用或禁用服务,启动新的虚拟机实例,删除或修改存储,并且还可以对大量的其他关键功能造成破坏。

云账户劫持如何运行

会员账户遭受损害将带来重大的安全问题。云账户的劫持即是对云环境的运行、管理和维护等至关重要的云账户遭到攻击或泄露。依据访问方式,这种劫持往往针对认购账户或可被利用造成破坏的非管理账户或其他账户。

上述危害的发生方式可有如下几种。首先,口令失窃或丢失。用户不能安全地保护口令或选择弱口令。同样,用户还有可能将工作之外的口令用于云控制台。由此,泄露应用或服务就有可能暴露云控制台的口令。

此外,用户凭据也有可能被错误地使用。例如,口令可能被包括在应用程序的源代码、脚本中,或是存储在文件系统或存储设备上。

最后一点,攻击者还可以尝试通过钓鱼、恶意软件以及暴力破坏等获取口令。

即使凭据没有失窃或丢失,这种账户访问对于攻击者来说也是很有价值的资产。恶意攻击者可以使用其他方法,如单击劫持,从而无需直接破坏凭据就可以破坏云供应商的认证模式。大型的更为专业和安全的云供应商可以利用策略来防止这种攻击。例如,可以实施控制页面呈现的响应头部等策略。但较小的云供应商可能并不提供这种保护。

减轻云账户劫持攻击的3种方法

云账户的劫持威胁可带来巨大危害。考虑到账户保护的重要性,安全领导者有责任确认云供应商能够采取哪些安全措施来防止遭受这种攻击。幸运的是,身份和访问管理是一个很好的解决方案。安全专家强化用于业务或其他应用的凭据,并且应当使用类似的方法来强化云管理员的凭据。

1.学会利用多因素的身份验证

多数云供应商都支持多种身份验证用于实施控制台的访问,并且应当成为在云环境中进行控制台访问的必选项。

企业还必须考虑自动访问云工具的各种方法,其中包括用于Web API的TLS相互认证的证书,以及认证令牌和所使用的API密钥。关键问题是,要理解用户如何登录,并且为每种访问方法采取适当的保护措施。

2.分离责任

会计部门往往要求访问云供应商控制台的付款和账单部分。其成员是否还要求能够创建新的存储空间、启动新的虚拟实例,或者是对运行在无服务器的PaaS中的功能做出更改?

可能并非如此。同样,负责监视IaaS环境中的对象的运营工程师们有可能并不需要访问详细的账单记录。企业应禁止对云供应商所支持范围的非必要访问。

3.信任但要验证

正如对待诸如Windows的域账户等内部账户一样,安全管理者也应当定期地验证访问等级是否适当。

要建立终止和工作的变更程序,以确保在个人放弃或改变角色时能够进行相应调整;要审核凭据的使用,确保其作用得到有效发挥;还要考虑是否存在一些工具,诸如在企业的访问策略中能够扮演某种角色的特权身份管理工具。

特权身份管理工具有助于记录凭据的使用,而云访问安全代理工具则有助于记录控制台的访问。


免责声明:
本网站(www.cennr.com)内容主要来自原创、合作媒体供稿和第三方投稿,凡在本网站出现的信息,均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性,但不保证有关资料的准确性及可靠性,读者在使用前请进一步核实,并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏,概不负任何法律责任。
本网站刊载的所有内容(包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等)版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时,请及时通知本站,予以删除。
喜欢 (0)
[]
分享 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址