提升安全配置管理能力,保障云计算基础设施算力安全.pdfVIP

网域前沿

InfosecSpotlights

提升安全配置管理能力，

保障云计算基础设施算力安全

文│深圳市信息安全管理中心穆端端

传统IT环境相比，云计算环境中的资针对信息系统和云上资产的安全配置管理，

与我国现行的国家标准《信息安全技术云计算服务

产通常规模更庞大且具有更高的动态

性，配置管理能力的自动化程度不足可能导致工安全能力要求》（GB/T31168-2014）和《信息

作量大和复杂性上升，从而增加了人为操作失误安全技术网络安全等级保护基本要求》（GB/T

的风险。近年来发生的多起云计算安全事件显示，22239-2019），为保障信息系统安全运行提供了

云计算环境中的配置错误以及缺乏安全基线管理实施指引。两个标准均针对网络服务和信息处理

是造成云上安全事件的重要原因之一。因此，提的提供者，要求为信息系统服务的网络安全负责，

升云计算环境配置管理能力成为提高云计算环境以推动《网络安全法》相关规定的落地实施，其

安全性和可靠性的关键。中也包括了针对安全配置管理的要求。

（一）安全配置管理定义与目的

一、云上安全配置管理概述以美国国家标准与技术研究院（NIST）给出

的定义为例，安全配置管理（SCM）是指以实现安

2024年5月，中央网信办等四部门发布了《互全和管理风险为目标，为系统设置一套标准安全

联网政务应用安全管理规定》，其中第二十四条指配置要求并持续监控各个指标，以此组织可以迅

出，党政机关建设互联网政务应用采购云计算服务，速识别违规行为，减少系统攻击面。

应当选取通过国家云计算服务安全评估的云平台，信息系统随着业务需求的变化不断调整，系

并加强对所采购云计算服务的使用管理。云上安全统变更伴随着必要的配置调整。为确保系统配置

配置管理作为云安全评估的重点内容，以及云上租所需的调整不会对系统安全产生不利影响，系统

户的重点安全责任再次成为关注的焦点。管理员需要建立一个明确定义的配置管理流程，

Fortinet于2023年发布的云安全报告显示，并在其中融入安全控制措施。

59%的网络安全专业人员认为，配置错误仍是首（二）云环境下配置管理的独特性

要的云安全风险。绿盟科技统计的2023年重大云相较于传统的IT环境，云计算环境呈现出资

安全事件中，约四成是因为人为错误配置导致的产类型多样化、资产的动态性和更大的资产规模

云存储桶数据泄露，这些事件暴露了用户在使用等特点，导致云计算环境下的配置管理更为复杂。

存储桶服务时存在访问控制配置不当和缺乏加密其配置管理需具备适应性强和自动化的特点，以

保护等安全问题。应对不断变化的资源状态，以及确保配置的可靠

2024年，由于云存储服务器配置错误，某公性和安全性。

司大量敏感信息遭到未授权访问和泄露。事件源资产类型的多样化。云计算被