建站
咨詢
售后
建站咨詢
新聞中心
對于保護企業(yè)免受外部和內(nèi)部威脅來說，云IAM策略是非常重要的。專家Rob Shapland介紹了如何加強云IAM。
成都創(chuàng)新互聯(lián)公司堅持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：網(wǎng)站設(shè)計、網(wǎng)站建設(shè)、企業(yè)官網(wǎng)、英文網(wǎng)站、手機端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時代的燈塔網(wǎng)站設(shè)計、移動媒體設(shè)計的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！
云安全聯(lián)盟的一份最新報告顯示，身份認證與訪問管理是眾多正在部署云應(yīng)用的企業(yè)所面臨的最大問題之一。有超過二成的受訪者表示，憑證泄露被證明是數(shù)據(jù)泄露的直接原因。攻擊者總是青睞竊取合法憑證;對于絕大多數(shù)企業(yè)的監(jiān)控系統(tǒng)來說，他們是很難區(qū)分黑客使用真實用戶名密碼登錄和真實用戶登錄的。只有更為先進的防御系統(tǒng)才能夠檢測到已登錄用戶的不正常行為。
在CSA報告中，只有大約一半的企業(yè)表示，他們正在使用單點登錄，這意味著在很多情況下，用戶是使用密碼方式來訪問云計算應(yīng)用程序的，而其帳戶策略可能與企業(yè)政策不符。這也就意味著，工作人員需要記住更多的密碼，這將有可能導(dǎo)致一些不好的使用習(xí)慣，例如使用相同密碼或者寫下密碼。沒有SSO的云計算應(yīng)用程序也不可能被連接到企業(yè)監(jiān)控軟件，所以成功和失敗的的登錄嘗試都不會被記錄下來。這是黑客們所夢寐以求的，因為利用密碼管理不善的漏洞是入侵任何組織的最簡單方法之一。
黑客如何利用云IAM弱點
大多數(shù)企業(yè)都采用了過期密碼的策略——例如，八個具有一定復(fù)雜性的字符，這個策略無助于抵御黑客用來獲得訪問密碼的方法。防范密碼猜測攻擊的正確方法是使用密碼短語。但是，即便是那些正確實施密碼短語的企業(yè)也可能會發(fā)現(xiàn)中云中使用這個策略，因為很多云應(yīng)用都限制了密碼的最大長度。
密碼猜測并不是黑客用于獲取帳戶訪問權(quán)限的唯一方法;通過電子郵件釣魚方式盜竊訪問憑證通常更為簡單，這是民族主義黑客和有組織犯罪攻擊者最喜歡使用的一種方式。云IAM策略需要反映這一風(fēng)險，而企業(yè)應(yīng)當竭盡所能降低這一風(fēng)險的發(fā)生概率，例如在所有面向互聯(lián)網(wǎng)的服務(wù)中使用多重身份驗證。
加強企業(yè)的IAM策略
確保正確管理云IAM的第一步就是驗證正確的IAM策略，以便防范現(xiàn)代黑客用于獲取用戶帳戶的實際方法?，F(xiàn)有的IAM策略在推出應(yīng)用于云服務(wù)之前，應(yīng)確保IAM策略的現(xiàn)代化和強大。一旦策略實施到位并經(jīng)過測試，那么下一步就是將這個策略擴展覆蓋云應(yīng)用。但是，該策略不應(yīng)只是應(yīng)用于企業(yè)本身，它還應(yīng)覆蓋外包IT、供應(yīng)商以及第三方。然后應(yīng)集中控制策略，這是關(guān)鍵的挑戰(zhàn)之一。
云IAM并不完全就是關(guān)于密碼的配置;它還涉及確保在雇員變更崗位或離職時的應(yīng)對措施，如改變訪問權(quán)限或刪除訪問帳戶。這就要求一個涵蓋所有云服務(wù)的強大參與者、變崗者和離職者策略，要求企業(yè)能夠了解和理解影子云服務(wù)。不理解誰有訪問云應(yīng)用的權(quán)限，以及為什么外部黑客和內(nèi)部用戶有可能顯著增加風(fēng)險。
云IAM是安全擴展企業(yè)網(wǎng)絡(luò)邊界并囊括云的一個主要挑戰(zhàn)。其中關(guān)鍵的一點就是理解誰有訪問權(quán)限以及訪問了哪些應(yīng)用。企業(yè)IAM策略需要擴展涵蓋用戶已經(jīng)確定的云應(yīng)用，然后整合能夠報告云服務(wù)中異常登錄活動的報警機制。通過實施這一過程，它能減少在企業(yè)沒有意識到的情況下訪問憑證被盜和誤用的可能性。
分享標題：企業(yè)云IAM沒有想的那么安全
新聞來源：http://m.5511xx.com/article/dhpiddo.html
