云错误配置：主要风险与实用检查清单

服务简介

云错误配置是指云账户中任何使数据或系统暴露程度超出预期、或使您无法发现问题并从中恢复的设置。随着团队扩大、项目快速创建、临时变更变成永久设置，这类问题往往会不断累积。在 AWS、Microsoft Azure 和 Google Cloud 中，主要类别基本一致。身份与访问：角色权限过宽、长期有效的访问密钥、共享账户以及未启用多因素身份验证。存储：任何人均可读取或共享范围过广的存储桶、Blob 或快照。网络：对所有地址开放的安全组或防火墙规则、暴露在外的管理端口，以及缺乏分段的扁平网络。密钥：存放在代码、环境文件或容器镜像中的凭据。日志：审计日志被禁用、未予保留或从未审查。加密：敏感数据未加密存储，或密钥管理不善。韧性：备份缺失、未经测试，或与其所保护的数据存放在同一账户中。治理：不明账户、未打标签的资源，以及无人负责的项目。

适用对象

本清单适用于：

• 云环境在缺乏正式设计的情况下快速扩张的初创企业和中小企业
• 正在为客户安全审查或尽职调查做准备的团队
• 计划在云上运行 AI 或数据工作负载的组织
• 从前员工或前供应商手中接手云账户的管理者

帮助厘清的问题

逐项完成本清单，有助于厘清：

• 谁拥有管理员权限，这些权限是否受到保护、是否仍有必要
• 哪些数据可被公开访问，无论是有意还是无意
• 您能否察觉可疑活动并进行调查
• 如果某个账户遭到入侵，您能否恢复关键系统

包含内容

• 为所有人工用户强制启用多因素身份验证，尤其是管理员和根账户或所有者账户
• 尽可能用角色或短期凭据替换长期有效的访问密钥
• 按最小权限原则审查角色，并删除未使用的用户和权限
• 默认阻止对存储的公开访问，并审查任何例外情况
• 将管理端口和数据库的访问限制在已知网络或私有访问范围内
• 将密钥迁移到托管的密钥管理服务中，并扫描代码仓库以查找泄露的密钥
• 在使用中的每个账户和区域启用审计日志，并安全地保留日志
• 为高风险事件设置告警，例如新增管理员、日志被禁用或存储被公开
• 对静态存储的敏感数据进行加密，并控制谁可以管理密钥
• 将关键数据备份到独立的账户或位置，并测试恢复
• 维护账户、项目和资源负责人的清单
• 使用基础设施即代码，并在变更应用前进行审查

不包含内容

• 声称经过审查的环境不会遭到入侵
• 正式的云审计、认证或合规批准
• 渗透测试，除非另行确定范围
• 持续监控或托管运维，除非另行约定

适用时机

当您已有一段时间未审查云账户、在客户或投资者开展安全审查之前、在人员或供应商变动之后，以及在引入 AI 或大型数据工作负载之前，请使用本清单。如果您无法迅速回答谁拥有每个账户的管理员权限，就从这里开始。

我们的方法

首先处理身份问题，因为大多数其他控制措施都依赖于它。然后消除公开暴露、保护好密钥，并确保日志和备份能够支持检测与恢复。将修复工作视为有负责人和变更控制的工程工作，而不是一次性的清理。我们的 Cloud Platform & Production Engineering 服务针对约定环境，涵盖架构决策、发布流水线、可观测性、备份以及恢复操作手册，且仅在获批方案和明确书面授权下进行生产环境变更。如果您首先需要一份有据可查的现状评估，Security Baseline Review 可以提供按严重程度分级的观察结果，而 AI & Cloud Readiness 评估则可提供侧重于 AI 工作负载基础的就绪评分卡和决策记录。针对云端托管应用程序的渗透测试可以另行确定范围。请定期重新检查本清单；随着团队和项目的变化，配置会逐渐偏离。

Cloud Platform & Production Engineering

常见问题

相关文章