组织需要知道谁在云计算环境中潜伏

小提示：您能找到这篇{组织需要知道谁在云计算环境中潜伏}绝对不是偶然，我们能帮您找到潜在客户，解决您的困扰。如果您对本页介绍的组织需要知道谁在云计算环境中潜伏内容感兴趣，有相关需求意向欢迎拨打我们的服务热线，或留言咨询，我们将第一时间联系您！

安全研究人员指出了云平台可见性不佳面临的风险，并提出了评估谷歌云平台中身份和访问管理(IAM)的一种新策略。

大多数组织无法完全了解用户在环境中可以做什么。他们不知道谁可以假冒其他身份来升级权限，或者将能够获得哪些权限——缺乏洞察力可能会使组织的业务面临风险。

Netskope公司高级安全研究员Colin Estep大约一年前开始研究谷歌云平台中的潜在安全漏洞。他试图了解组织如何评估其完整身份和访问管理(IAM)泄露，从而能够回答这样一个问题：你知道用户在你的云计算环境中可以做什么吗?

Estep说，“总的来说，对于任何一个云平台，我都很感兴趣。而对于提出的这个真正基本的问题，没有人能够真正回答。很多人的回答是，‘不，我不知道每个用户都能做什么。我不知道其全部功能是什么。’”

他表示，云平台中的身份和访问管理(IAM)的普遍问题源于云计算环境的动态性质。不断变化的资源、正在兴起的新服务，以及云计算技术快速发展，使组织很难及时了解这些新服务的含义、它们的工作方式，以及对云中各种资源权限的含义。

Estep解释说：“这只是一件令人关注的事情。身份验证确实是关键领域之一，因为如果没有身份和访问管理(IAM)解决方案，那么可能会泄露敏感数据、滥用或删除资源。而在云计算环境中，各种事情都可能发生。”

Netskope公司以往一直采用AWS 云平台，由于该公司为了满足增加的客户需求而开始采用谷歌云平台。Estep发现谷歌云平台很有趣，并且在结构和授予员工权限的方式上与AWS 云平台有所不同。

他解释说：“我觉得谷歌云平台在设计布局时考虑了更多的明星公关危机处理案例陈赫问题……他们在云计算环境中有一个层次结构，用户可以在这个层次结构中分配权限。”谷歌云平台也没有设置“拒绝”政策。Estep表示，虽然谷歌云平台试图简化权限策略，但当管理员必须将不同的层放在一起以弄清楚到底发生了什么时，事情将可能会变得复杂。

这也是他决定将研究重点放在谷歌云平台上的部分原因，这也是他将在即将举办的欧洲黑帽大会上发布“谷歌云平台中的许可挖掘”演讲报告的主题。

Estep说，“如果攻击者获得更多访问权限，最糟糕的情况是什么?这难以想像。”作为研究的一部分，他开发了一个概念验证工具(PoC)，供组织学习在云计算环境中授予员工的权限。当这个工具在生产环境中使用时，其应用结果比他预期的要糟糕。例如，发现了云平台的拥有者不知道有多少用户实际上是“影子管理员”的情况，这意味着他们可以升级权限，直到在组织级别上对云计算环境拥有完全的控制能力。Estep解释说，谷歌云平台有一个“组织”的概念，它是云计算环境的最高层，拥有组织管理级别的员工将会继承所有级别的管理功能。

他说：“获得这些权限的员工可以进入云平台，更改日志记录、创建资源、删除内容、访问所有数据，为自己添加用户。除了删除整个环境，他们可以做所有事情。”

通过了解谁拥有哪些权限，组织可以在发生数据泄露或其他安全事件发生之前消除风险。

服务驱动的复杂性降低了可见性

Estep指出，谷歌公司一直在关注这个问题，该公司在身份验证与授权方面做得很好。然而，云计算提供商之间存在一个广泛的问题，即提供更多的服务会提高复杂性。许多云计算提供商并没有为客户简化流程，而是创建更多的服务，并以某种方式解决其复杂性问题。

他以附加的控件为便，这些控件声明权限只能在特定情况下或在组织的特定部分中使用。但是，由于这些控件可能属于不同的服务，因此超出了正常权限。这为管理员查询用户的权限以查看他们能够访问的内容带来了问题。

Estep解释说：“这并不是全部，因为这些外部控件会对它们产生一定的影响。这些带来了更多复杂性的问题并非谷歌云平台独有。现在更让人头疼的是，作为用户必须考虑到这一点，也许他们不知道存在这些问题。”

解决方案成为焦点

Estep指出，谷歌云平台有许多层次结构和权限。为了理解这些，管理员必须同时查看所有层，这在控制台中很难做到。其解决方案旨在为组织提供一种简单的方法来规划授予成员的权限、谷歌云平台环境结构和服务帐户。

他说，“这个项目最初是一个PoC，我想知道是否能回答‘危机公关有什么作用知道所有用户都能做什么吗’这个问题。”Netskope公司开发的解决方案将在BHEU发布，可以检查用户及其权限，以了解可以模拟哪些服务帐户。

该解决方案使用图表来映射实体和关系，以便管理员可以查看哪些权限已附加到谷歌云平台用户。一旦通过API调用获取了相关数据，该图表就会以一种易于理解的方式映射出管理员需要的信息。虽然Estep最初不想使用图形，但这是同时考虑许多不同层的最佳方法。

Estep表示，虽然没有考虑其他服务的解决可见性问题的这种方法并不成熟，但希望将来集成这种功能。

他说，“我们首先将所有权限汇总在一起，然后可以开始添加。”

作者：Kelly Sheridan

文章来源：企业网D1Net