全球網(wǎng)絡(luò)安全領(lǐng)導(dǎo)企業(yè)Palo Alto Networks（派拓網(wǎng)絡(luò)）近日發(fā)布《Unit 42云威脅報告，第7卷》,。該報告通過對1,300多家企業(yè)開展調(diào)查研究，分析了所有的主要云服務(wù)提供商（CSP）的21萬個云賬戶,、訂閱服務(wù)和項目中的工作負載,，幫助安全領(lǐng)導(dǎo)者和從業(yè)者從多個視角了解云安全。

研究發(fā)現(xiàn),，企業(yè)的上云速度絲毫沒有放緩的跡象,。到2025年，該市場預(yù)計將從2021年的3,700億美元增長至8,300億美元,。威脅者往往會利用云中的常見問題發(fā)動入侵,，例如配置錯誤、憑證弱,、身份驗證不足,、漏洞未修復(fù),、惡意OSS資源包等。

派拓網(wǎng)絡(luò)副總裁兼亞太及日本地區(qū)首席安全官Sean Duca表示：“云技術(shù)的發(fā)展日趨成熟,。但隨著云使用量不斷上漲,，威脅者也變得更加狡猾和強大，他們會利用隱藏的薄弱環(huán)節(jié)和漏洞實施攻擊,。云對象存儲服務(wù)的大范圍采用加劇了企業(yè)的安全緊張態(tài)勢,，使攻擊者能夠更快、更輕易地入侵共享軟件供應(yīng)鏈,，同時伏擊大量受害者,。云給威脅者提供了可乘之機——一旦管理不當，企業(yè)就會暴露于風險之中,。因此,，企業(yè)需要采取全面的平臺策略，在云環(huán)境被入侵之前實時發(fā)現(xiàn)和消滅威脅,?！?/p>

該報告的一些重要發(fā)現(xiàn)包括：

● 多數(shù)安全警報是由于云用戶重復(fù)發(fā)生常見錯誤而導(dǎo)致的。在多數(shù)企業(yè)的云環(huán)境中,，80%的警報由5%的安全規(guī)則觸發(fā),。企業(yè)的云工作負載中存在一小部分風險行為，比如不受限制的防火墻策略,、暴露的數(shù)據(jù)庫和未堅決執(zhí)行的多重身份驗證（MFA）等,。優(yōu)先修復(fù)這些問題可以幫助將安全投資的回報最大化。

● 安全警報的解決時間過長,。安全團隊平均需要145個小時（6天）解決一個警報,，給潛在攻擊者留下了大量可乘之機。

● 云中的敏感數(shù)據(jù)面臨風險,。66%的存儲桶和63%的公開存儲桶中存在敏感數(shù)據(jù),，它們?nèi)菀自馐軄碜詢?nèi)外部的威脅。如果對所存儲的信息缺乏洞察,，那么要想防范敏感數(shù)據(jù)意外泄露就會變得很困難,。

● 憑證泄露問題普遍存在，且在云泄露中首當其沖,。83%的企業(yè)的源碼控制管理系統(tǒng)中含有硬編碼憑證,，85%的企業(yè)的虛擬機用戶數(shù)據(jù)中含有硬編碼憑證。憑證訪問仍是云威脅者的常用手段,。

● 未對云用戶強制采用MFA,。76%的企業(yè)未對控制臺用戶強制采用MFA，58%的企業(yè)未對根/管理員用戶強制采用MFA，導(dǎo)致控制臺訪問容易遭到蠻力攻擊,。

● 針對軟件供應(yīng)鏈的攻擊呈上升趨勢,。僅2022年，被發(fā)現(xiàn)的影響科技巨頭和其他企業(yè)的惡意OSS資源包就超過7,300個,。

● 管理代碼依賴性的難度較大,。51%的代碼庫依賴于100多個開源資料包，而其中只有23%由開發(fā)人員直接導(dǎo)入,。非root資料包會帶來漏洞,，使整個云基礎(chǔ)設(shè)施面臨風險隱患。

● 未打補丁的漏洞是唾手可得的攻擊目標,。63%的生產(chǎn)代碼庫和11%的公有云主機存在嚴重或關(guān)鍵的未修補漏洞,，這已經(jīng)成為整個云基礎(chǔ)設(shè)施的安全隱患。

針對云基礎(chǔ)設(shè)施錯誤配置,、API和軟件供應(yīng)鏈的攻擊手段層出不窮,，企業(yè)需要做好準備以應(yīng)對云原生攻擊面的持續(xù)擴大。為了加強對這些威脅的安全防御,，行業(yè)將轉(zhuǎn)向云原生應(yīng)用保護平臺（CNAPP）,，它可以為應(yīng)用開發(fā)的整個過程提供全面的防護能力。Gartner的數(shù)據(jù)證明了這一點——從2021到2022年,，有關(guān)CNAPP的客戶咨詢驟增70%,。