云時(shí)代的安全問(wèn)題是當(dāng)務(wù)之急，因?yàn)樵茷閻阂庑袨檎咛峁┝吮纫酝嗟哪繕?biāo)集，并提供了進(jìn)行攻擊的新工具。這些攻擊所基于的啟動(dòng)點(diǎn)范圍很廣——從一般憑據(jù)(例如被遺忘的或被盜的憑據(jù))到使用AWS Glue和Sage Maker等數(shù)據(jù)科學(xué)工具的新憑證，以及使用Kubernetes等強(qiáng)大的工具實(shí)施的復(fù)雜攻擊等等。

2021年，我們勢(shì)必將看到更多針對(duì)云服務(wù)的攻擊活動(dòng)，以下是云安全在接下來(lái)一年的威脅預(yù)測(cè)：

持續(xù)性攻擊

當(dāng)創(chuàng)建新實(shí)例并運(yùn)行可以匹配所需任何硬件或軟件環(huán)境的虛擬機(jī)時(shí)，云體系結(jié)構(gòu)可提供完全的靈活性。但是，這種靈活性(如果不能得到適當(dāng)保護(hù)的話(huà))又會(huì)誘發(fā)惡意行為者發(fā)動(dòng)攻擊，并在保持對(duì)初始攻擊的控制權(quán)的情況下發(fā)起持續(xù)性攻擊。

像Amazon Web Services這樣的云服務(wù)使開(kāi)發(fā)人員可以輕松地以漸進(jìn)式或間斷式的方法構(gòu)建環(huán)境。例如，AWS允許開(kāi)發(fā)人員在每次重新啟動(dòng)Amazon EC2實(shí)例(即為用戶(hù)數(shù)據(jù))時(shí)自動(dòng)執(zhí)行腳本，這就意味著如果黑客設(shè)法使用可能已傳遞到云實(shí)例的有毒shell腳本來(lái)利用實(shí)例，那么他們將能夠持續(xù)不斷地利用其與服務(wù)器的連接。

通過(guò)這種方式，黑客將能夠在服務(wù)器內(nèi)橫向移動(dòng)，竊取數(shù)據(jù)或獲取特權(quán)，使他們能夠進(jìn)一步利用組織的資產(chǎn)。當(dāng)然，管理員可以關(guān)閉此選項(xiàng)，并要求開(kāi)發(fā)人員每次返回環(huán)境時(shí)都要進(jìn)行登錄——但是實(shí)現(xiàn)這一步需要開(kāi)發(fā)人員積極主動(dòng)配合才行。本質(zhì)上來(lái)說(shuō)，AWS的靈活性也正是其弱點(diǎn)所在;除了過(guò)多的配置選項(xiàng)外，服務(wù)錯(cuò)誤配置的機(jī)會(huì)也更多，從而給黑客留下了更多的攻擊入口。

數(shù)據(jù)科學(xué)工具攻擊

事實(shí)證明，筆記本(Notebook)對(duì)于數(shù)據(jù)科學(xué)家來(lái)說(shuō)是必不可少的存在，能夠幫助他們快速集成和分析數(shù)據(jù)。像是AWS Sage Maker這類(lèi)工具可以使該流程更加高效，幫助數(shù)據(jù)科學(xué)家構(gòu)建、訓(xùn)練和部署機(jī)器學(xué)習(xí)模型。但是，作為一種相對(duì)較新的工具，其受眾范圍并非全是安全領(lǐng)域的人士，自然地，安全意識(shí)也會(huì)相對(duì)薄弱，這也給了惡意行為者可乘之機(jī)。

與其他Amazon產(chǎn)品一樣，Sage Maker之類(lèi)的工具同樣非常靈活，且具有很多選項(xiàng)。研究表明，惡意行為者可以利用這些選項(xiàng)中一些來(lái)提升他們的特權(quán)，甚至給自己授予更高的管理員特權(quán)。該攻擊路徑可能使惡意行為者能夠打開(kāi)云實(shí)例上的終端功能，并繞過(guò)Amazon GuardDuty(可用于訪問(wèn)高級(jí)角色和權(quán)限)泄露憑證數(shù)據(jù)。同樣地，惡意行為者還可以利用CloudGoat等開(kāi)源項(xiàng)目，并使用AWS Glue、CodeBuild和S3以及未使用的組和角色來(lái)進(jìn)行特權(quán)升級(jí)。面對(duì)這種情況，管理員和數(shù)字科學(xué)家也需要熟悉自身正在使用的系統(tǒng)的體系架構(gòu)，以保護(hù)自身安全，并最大限度地縮小惡意行為者的活動(dòng)空間。

機(jī)器人可能會(huì)感染云遺留資產(chǎn)

機(jī)器人無(wú)所不在，云端也不例外;安全公司GlobalDots的一份調(diào)查報(bào)告顯示，超過(guò)80%的“惡意機(jī)器人”(即竊取數(shù)據(jù)、抓取內(nèi)容、分發(fā)垃圾郵件、運(yùn)行分布式拒絕服務(wù)攻擊等行為的機(jī)器人)都是基于云的數(shù)據(jù)中心運(yùn)行的。盡管許多機(jī)器人會(huì)投毒其他站點(diǎn)——使用它們控制的服務(wù)器去攻擊其他服務(wù)器和用戶(hù)，但是它們也可以簡(jiǎn)單地控制云基礎(chǔ)架構(gòu)來(lái)為其所有者執(zhí)行任務(wù)。研究表明，在這些任務(wù)中，更受歡迎的是加密貨幣挖礦(cryptomining)，在某種程度上，它也算是周邊最大的網(wǎng)絡(luò)威脅之一。

據(jù)研究人員稱(chēng)，如果說(shuō)竊取資源和資金還不夠，那么加密貨幣挖礦惡意軟件的新變種現(xiàn)在還會(huì)竊取AWS憑證。該蠕蟲(chóng)利用加密貨幣挖礦惡意軟件進(jìn)行封裝，并尋找未加密的AWS CLI文件，最后會(huì)從中提取憑證數(shù)據(jù)。解決方案是限制對(duì)這些數(shù)據(jù)的訪問(wèn)——但是這點(diǎn)同樣需要管理員的積極配合。

更多Kubernetes威脅到來(lái)

負(fù)責(zé)上述AWS憑證盜竊的同一網(wǎng)絡(luò)犯罪組織TeamTNT，利用常見(jiàn)的配置錯(cuò)誤問(wèn)題，開(kāi)發(fā)了濫用可視化和監(jiān)視工具Weave Scope的方法。黑客使用通過(guò)端口4040授予的默認(rèn)開(kāi)放訪問(wèn)權(quán)限，來(lái)安裝Weave Scope，并將其用作監(jiān)視系統(tǒng)、利用資源、安裝應(yīng)用程序、啟動(dòng)或關(guān)閉容器中Shell的后門(mén)程序，實(shí)現(xiàn)自己想要實(shí)現(xiàn)的一切事情。

根據(jù)網(wǎng)絡(luò)安全公司Intezer和Microsoft發(fā)布的最新研究顯示，Weave Scope已經(jīng)成功被納入基于云的攻擊中。

目前，黑客大多使用這些方法來(lái)安裝加密貨幣挖礦惡意軟件，但是卻找不到辦法阻止它們控制云系統(tǒng)用于惡意目的。攻擊媒介不斷變化，而且還在持續(xù)增長(zhǎng)。隨著谷歌Kubernetes項(xiàng)目的不斷發(fā)展，并持續(xù)添加新的特征和功能，越來(lái)越多的企業(yè)和開(kāi)發(fā)人員已經(jīng)將自己的工作轉(zhuǎn)移到了K8S上。這一切也成功吸引到了惡意行為者的目光，他們開(kāi)始針對(duì)Kubernetes項(xiàng)目的新功能進(jìn)行滲透測(cè)試并尋找可利用的機(jī)會(huì)——用戶(hù)不太可能填補(bǔ)的漏洞和錯(cuò)誤配置，因?yàn)樗麄兏静恢廊绾巫觯踔镣耆涣私釱ubernetes。

搶先防御，先發(fā)制人

隨著越來(lái)越多的企業(yè)組織安裝更多的云應(yīng)用，針對(duì)云的攻擊自然會(huì)不斷增長(zhǎng)。預(yù)計(jì)到2023年，公司的公共云支出將比2019年的分配額增加一倍以上，但是，隨著攻擊者不斷尋找他們能夠利用的“最薄弱環(huán)節(jié)”，相信未來(lái)我們會(huì)看到更多此類(lèi)攻擊以及其他類(lèi)型的攻擊。

可惜的是，大多數(shù)這些問(wèn)題以及仍在不斷涌現(xiàn)的新問(wèn)題，事實(shí)上都是可以予以糾正的，只是一般直到發(fā)生問(wèn)題之后，許多管理員和用戶(hù)才能真正地發(fā)現(xiàn)這些問(wèn)題。到那時(shí)，他們已然成了“受害者”，受害事跡也被公布在安全公司的博客上，之后，他們才會(huì)想辦法解決已經(jīng)出現(xiàn)的問(wèn)題。

為了避免這種情況，訣竅是通過(guò)發(fā)現(xiàn)“漏洞”或錯(cuò)誤配置為黑客提供的攻擊入口，從而在問(wèn)題演變成現(xiàn)實(shí)攻擊之前就將其解決填補(bǔ)。隨著2021年云應(yīng)用量的持續(xù)增加，用戶(hù)對(duì)于配置問(wèn)題的安全意識(shí)——以及解決它們的方法，必須同步增長(zhǎng)才行。

本文翻譯自：https://www.darkreading.com/cloud/cloud-security-threats-for-2021/a/d-id/1339454