由于 SQL 注入或跨站点脚本 (XSS) 等易受攻击的代码模式，应用程序可能存在易受攻击的内在漏洞。但是，如果部署和配置不正确，即使没有这些常见漏洞的应用程序也可能容易受到攻击。据 OWASP 称，大约 4.5% 的应用程序的配置或部署方式使其容易受到攻击。
虽然一般应用程序都是如此，但基于云的应用程序特别容易受到安全配置错误的影响。在最近的一项云安全调查中，超过四分之一 (27%) 的受访者经历过公共云安全事件。其中，23% 是由错误配置引起的，远远超过其他常见的云安全问题。这也比上一年增加了 10%。
云安全配置错误预计将成为未来几年的主要问题。据 Gartner 称，到 2025 年，99% 的云安全故障将是客户的错，而这些故障通常是由于安全配置错误造成的。快速预防、检测和纠正安全错误配置的能力对于企业云安全策略至关重要。
云安全配置错误的常见原因
在云安全的共同责任模型下，云客户负责保护他们自己的基于云的资源。然而，许多组织都在努力保护其基于云的基础设施。
这些使公司面临风险的安全配置错误的一些常见原因包括：
- 多云复杂性：大多数组织都有跨多个云提供商的平台的多云部署。由于这些平台中的每一个都有自己的一系列安全设置，因此很难跨环境正确配置和监视这些设置。此外，各种安全设置之间的任何不一致都会增加组织的风险。
- 未更改的默认值：在部署新应用程序或扩展到新的云环境时，组织的新云基础架构会为其安全配置设置提供默认值。如果默认情况下这些设置不安全，则重新配置这些设置失败可能会使组织容易受到攻击。
- 不安全的 DevOps：敏捷性是云基础架构的主要卖点之一。为了快速部署新功能，管理员可能会在测试期间设置“临时”安全配置。如果这些配置在发布后没有更改，它们会使组织面临风险。
- 技能差距：许多组织最近才过渡到云，并采用了复杂的多云环境。保护这些环境需要对每个平台的安全设置有深入的经验，由于现有的网络安全技能差距，这可能很难获得。
- 影子 IT：云平台设计为用户友好型，可以轻松启动应用程序、数据存储和其他云服务。因此，员工可能会在未经适当授权和未正确配置安全控制的情况下部署云资产。
云安全配置错误示例
企业云环境中可能存在各种安全配置错误。云安全配置错误的一些最常见示例包括：
- 默认帐户和密码：各种应用程序和服务使用的默认帐户和密码是众所周知的。未能禁用默认帐户或更改其密码可能会使云基础设施容易受到撞库攻击。
- 可公开访问的资产：许多云平台允许使用可公开访问的链接共享文件、文件夹等。此链接共享允许任何知道或猜到该链接的人访问潜在敏感的公司数据。
- 过度访问：用户和应用程序通常在云环境中被授予不必要的访问权限。这种过度访问会增加因凭据泄露、权限使用不当或员工疏忽而导致安全事件的可能性和影响。
- 不必要的功能：云服务、基于云的应用程序和云环境可能带有不必要的功能。未能禁用组织不使用的功能会扩大数字攻击面。
- 未加密存储：云数据存储正在增加，这意味着大量数据存储在经常与其他云客户共享的第三方平台上。如果此数据未加密存储，未经授权的用户可能会访问它。
- 缺少更新和补丁：在云提供商维护底层基础设施的同时，云客户负责将更新应用到他们的应用程序和底层软件组件。如果不这样做，可能会使应用程序暴露于未修补漏洞的利用之下。
