• 零售行业公有云信息安全探讨

    ⚠️公有云安全事件⚠️

    最近小半年接连处理了几起零售行业公有云安全事件,都是因为某种原因造成的数据泄露。有防护措施不当的,也有因为应用漏洞泄露被黑的,也有内部人员不慎造成的。
    事后总结发现主要原因有三个:安全意识不足没有按照公有云安全架构最佳实践配置云安全投入不足

    📍安全意识不足方面

    政府和金融行业是强监管的,安全不达标应用系统不能上线,因此这些行业从领导到技术人员,信息安全意识都很强。
    零售行业往往是业务导向,经常是出了安全事件造成损失,才意识到安全的重要性,然后开始亡羊补牢。

    📍没有按照公有云安全架构最佳时间配置方面

    接触到一些零售企业,公有云环境基本的安全配置很不规范。VPC就划分了一个,云的超级账号口令技术人员全员共享,也没有开启二次认证,安全组全部放开。
    其实如果能够按照公有云安全架构最佳实践配置,在不怎么花钱的情况下,也可以取得基本的防护效果。

    📍安全措施云安全投入不足方面

    许多零售行业的领导不愿意在安全上面花钱,在这方面存在误区。有些领导认为安全投入性价比不高看不见摸不着,钱要花到刀刃上干脆先不投入了,往往是出了事情再手忙脚乱的花钱补课。也有些领导认为安全是一个无底洞花多少费用都没有用,做了和没做一个样。
    在安全投入方面有两个事实,第一安全投入遵循木桶原理,如果钱能花到刀刃上,通过拟补薄弱的环节,可以极大的减少风险。第二安全投入遵循二八原则,在一定范围内,可以做到投入性价比很高。

    SECURITY

    针对以上情况,对应的解决方案为专人负责云安全架构优化适当的加大投入

    ☁️专人负责

    专人负责意味着对安全的重视,对一些中小企业来说,专人负责并不意味着必须是全职负责,可以指定一个人占有一部分工作时间。有人负责才会体系化的考虑安全,落实安全措施持续优化安全。
    另外,近年来国家对信息安全越来越重视,零售行业因为往往有大量的用户信息,在监管方面要考虑合规,等级保护需要提上日程,安全建设需要按照等级保护规范建设。

    ☁️云安全架构优化

    许多人看到云安全产品很多而且费用比较高,往往不知道如何选择安全产品,也不太愿意使用。根据新钛云服实战经验,对于零售行业的企业来说,做好以下基本的安全配置,就可以取得不错的效果。

    01

    账号

    · 最小权限原则,根据权限需求范围不同划分子帐号
    · 所有账号开启两步认证
    · 如果需要使用,acesskey通过创建子账号的方式分配最小的权限,将acesskey保存在配置中心中,以其它凭据获取需调用的accesskey

    02

    VPC

    · 生产环境和研发测试环境划分到不同的VPC,根据业务规模,可以进一步划分PRO、UAT、TEST等VPC· 如果对外的业务比较多,可以划分DMZ VPC,所有的对外业务部署在DMZ VPC。如果业务规模不大,DMZ VPC和PRO VPC可以是一个· VPC之间通讯遵循白名单原则,默认不允许打通

    03

    缩小公网暴露范围,暴露在公网的地方一定要有防护

    · 对外永远只开放具体的端口,而不是IP
    · 确实需要对外的业务才开放端口,对内的业务比如OA等,尽量通过VPN访问,如果企业人比较多并且分散在各地,通过VPN控制有困难,也需要落实复杂密码定期修改等措施,并有必要的安全防护措施。技术部门使用的系统一定通过VPN访问,不暴露在公网。
    · 对外的公网IP绑定在SLB上,尽量不要绑定在云主机上,SLB之前部署云防火墙、WAF、防DDoS等云安全产品,进行多重防护。
    · 云主机访问通过堡垒机访问,进行细粒度的权限划分。

    04

    预算有限的情况下,开启免费或者少花钱的云安全产品

    · 通常公有云的云安全中心,DDoS都有免费版本,建议开启;如果临时需要,可以购买短期或者按量版本。
    · 日志审计服务往往按照存储量收费,规则配置恰到的情况下,可以少花钱,建议开启。

    ☁️适当的加大投入

    一般来说,IT预算的5-10%用于信息安全是合适的。
    根据新钛云服的经验,对于不同规模的零售企业,可以采用以下的安全投入方案。

    · 对应小型零售企业来说,主机规模小于20台,如果没有监测到恶意攻击,使用WAF等安全产品费用上往往难以承受。建议一方面按照云安全架构优化,一方面考虑购买主机安全产品,构建好安全的最后一道防线。所有的攻击最终都是针对主机,主机安全产品可以实时发现系统和应用漏洞,发现实时的攻击。
    · 对应中型零售企业来说,主机规模在20-100台之间,需要考虑WAF、云防火墙、云安全中心等云产品,这些其实也是等保三级要求的产品,可以对安全起到比较好的防护。
    · 对应更大的零售企业来说,在上面的基础上,可以考虑更复杂的云产品,更好的起到安全加固的作用。
    最后,还需要强调的是,安全是需要持续运营的,不是购买产品配置完成就结束了,需要不断的查看报警,修补漏洞,根据业务情况优化配置,才能取得良好的效果。
    «
    »
以专业成就每一位客户,让企业IT只为效果和安全买单

以专业成就每一位客户,让企业IT只为效果和安全买单