​CSA云安全指南V4.0 D11 D12

CSA云安全指南V4.0 D11 D12

D11数据安全和加密

数据安全控制

• 控制什么时候进入云端

• 保护和管理云中的数据

• 访问控制

• 加密

• 架构

• 监控/告警（使用情况、配置、生命周期）

• 附加控制-云提供商相关的具体产品、服务、平台、DLP以及企业权限管理

• 执行信息生命周期管理安全

• 管理数据位置、归属地

• 确保合规性，人工审计（日志，配置）

• 备份和业务连续性

云数据存储类型

• 对象存储

• 卷存储

• 数据库

• 应用程序/平台

管理数据迁移

• CASB云访问和安全代理

• URL过滤

• DLP

保护数据安全传输

• SFTP

• TLS

云数据访问控制

• 管理平面

• 公共和内部提供商默认策略是访问控制

• 应用程序级别控制

存储（AT-REST）加密和令牌

加密系统

• 数据

• 加密引擎

• 密钥管理

IAAS加密

• 实例管理的加密：加密引擎在实例中运行，密钥存储在卷中，但受密码短语或密钥对保护

• 外部管理加密：加密引擎在实例中运行，但密钥由外部管理，并请求发送给实例

对象和文件存储

• 客户端加密

• 服务器端加密

• 代理加密

PASS加密

• 应用层加密

• 数据库加密：透明数据库加密（TDE）

• 其他

SAAS加密

• 提供商管理的加密

• 代理加密

密钥管理

• HSM/设备

• 虚拟设备/软件

• 云提供商服务

• 混合

D12 身份、授权和访问管理

概念

IAM

确保适当的个人能够以正确的理由在正确的时间访问正确的资源的安全规则

实体

具有身份的人或事物。可以是个人、系统、设备或应用程序代码。

身份

一个实体在给定命名空间内的唯一标识。可以有多个身份，媒体身份和社交身份。

标识符

可以鉴别身份的方式。对于数字身份，可以是令牌，可以是护照。

属性

身份的各个方面。属性可以相对静态或高度动态

人物角色

具有语义指向的属性身份的一种表示

角色

不同的语义中，身份可以有多个角色。

认证

确认身份的过程

多因素认证（MFA）

在认证中使用多个因素。包括OTP一次性密码

访问控制

限制对资源的访问

授权

允许一个身份访问某些内容，也称AUTHZ

权利

将身份映射到授权

联邦身份管理

跨不同系统或组织鉴别身份的过程。是单点登录的推动者，也是IAM的核心

授权源

身份的根源，如工作身份的目录服务器

身份提供者

联邦中的身份来源，可能会有代理授权

依赖方

依赖于身份提供者进行身份鉴别的系统

IAM的标准

• 安全鉴别标记语言(SAML)2.0是联合身份管理的OASIS标准，支持身份验证和授权

• OAuth是一种非常广泛用于web服务的IETF授权标准（包括消费者服务）

• OpenID是联邦认证非常广泛支持的Web服务标准

• 可扩展访问控制标记语言(XACML)是用于定义基于属性的访问控制/授权的标准。可以与SAML和OAuth一起用，解决一个实体允许使用一组属性，而不是处理登录或授权

• 跨域身份管理系统SCIM是域之间交换身份信息的标准。它可用于外部系统中的账户配置和取消以及交换属性信息

联邦身份运行方式

联邦架构

free-form

内部身份提供者/来源（通常是目录服务器)直接连接到云提供商

hub and spoke

内部身份提供者/来源与集中代理通信，然后作为云提供商的城邦提供身份

自由格式模型问题

• 目录需要internet访问

• 访问云服务之前，可能需要用户将VPN重新连接到公司网络

• 根据现有的目录服务器，特别是不同的组织孤岛中有多个目录服务器，则外部提供可能采用联邦形式会比较复杂且技术上难以实现

• 身份代理处理身份提供商和依赖方之间的联盟

• 身份提供者不仅仅需要位于内部，许多云提供商现在支持基于云的目录服务器，以支持内部联盟和其他云服务

实施时进行流程和架构的决策

• 如何管理应用程序代码，系统，设备和其他身份识别

• 定义身份配置过程以及如何将其集成到云部署过程中

• 配置和支持单个云服务提供商并进行相应部署

• 对身份提供者或依赖方之间的属性（包括角色）进行映射

• 启用所需的监控/记录，包括身份相关的安全监控，如行为分析

• 建立一个权利矩阵

• 记录任何破解、修复情况，防止用于关系的联盟出现技术保障

• 确保存在潜在账户被盗用的事件响应机制，包括特权账号的盗用

• 对身份以及云服务提供商实施配置或权利变更的管理流程

MFA的形式

• 硬件令牌

• 软令牌

• 带外密码（手机邮件）

• 生物识别

FIDO（无密码强认证）是简化针对消费者的更强认证

授权

相对于RBAC，应优先选择ABAC

基于属性的访问控制 (ABAC)，以允许在 IAM 策略和 AWS KMS 密钥策略的策略条件中使用标签和别名。基于属性的访问控制是一种授权策略，它基于可附加到用户和 AWS 资源的标签来定义权限。此外，KMS 还支持在策略条件中使用关键别名。

AWS KMS 可让您轻松创建和管理加密密钥，并控制其在各种 AWS 服务和应用程序中的使用。AWS KMS 是一种安全且有弹性的服务，它使用经过 FIPS 140-2 验证的硬件安全模块。您可以使用 ABAC 功能来基于应用于密钥的标签或别名来控制在 KMS 中使用或管理加密密钥的权限。