13、云平台与基础设施安全全解析

云平台与基础设施安全全解析

1. 云存储安全

云存储存在诸多潜在安全问题，客户和云服务提供商（CSP）需共同承担责任。具体分工如下：
|责任主体|责任内容|
| ---- | ---- |
|CSP|负责数据中心的物理保护，以及数据存储技术和所提供数据服务（如 AWS S3 存储桶）的安全补丁和维护|
|客户|负责数据和客户信息的安全与隐私，以及安全使用存储工具|

CSP 提供的存储工具带有安全控制功能，客户需评估这些控制的充分性，并正确配置和使用。例如，要考虑数据的访问方式（通过公共互联网或 VPN）以及数据在静止和传输时的保护措施。若未能正确配置安全存储，责任在于客户。

在云环境中，客户虽失去对数据存储物理介质的控制，但仍需负责数据安全和隐私。这会面临一些挑战，如无法安全擦除物理存储、其他租户可能被分配到曾属于自己的存储空间，导致数据碎片残留。客户可采取的补偿控制措施包括仅以加密方式存储数据，以及在数据不再需要时采用加密销毁。

2. 管理平面安全

管理平面提供配置、监控和控制云环境所需的工具（Web 界面和 API），与控制平面和数据平面相互独立又协同工作。控制管理平面至关重要，首先要限制和控制对其的访问，若失去控制，就无法掌控云环境。

保护管理平面的关键在于保护具有管理/超级用户功能的账户，如 root 账户。具体措施如下：
- 强密码策略 ：依据 NIST 的 SP 800 - 63《数字身份指南》，密码越长越好，使用易记且难猜的密码短语更佳。
- 多因素认证（MFA） ：最