2022年雲端運算暴露了許多安全問題，雲端服務中斷、敏感性資料洩露、雲端基礎架構漏洞等安全問題層出不窮。然而，即便存在諸多安全問題，企業上雲已經成為一種難以改變的趨勢，並且在快速增長中。
為了説明企業組織更好瞭解上雲後的安全威脅與挑戰並加以改善，Orca.security公司對2023年雲端安全發展趨勢進行了研究和預測，總結應關注的5大雲端安全威脅。
1. 雲端暴力密碼攻擊
調查資料顯示，與2021年相比，2022年針對企業組織的網路暴力攻擊數量增加了31%。值得一提的是，其峰值與重大地緣政治和社會經濟事件存在很大關聯。因此，攻擊者試圖用暴力手段或其他可用的漏洞入侵企業雲端資產只是時間問題，並且很快就會到來。
2022年1月至11月，Orca平臺觀察到的暴力攻擊數量
研究人員預計，2023年的網路暴力攻擊活動仍然會出現類似的情況，即攻擊活動與地緣政治、全球性社會經濟事件高度相關。Orca平臺觀察到2022年5月開始俄羅斯入侵烏克蘭、歐盟頒布俄國石油禁令以及11月美國期中選舉時，雲端暴力攻擊顯著增加。這意味著在重大全球性事件發生期間，企業組織應該提高警惕，並加強關注雲端環境中的異常安全事件和行為。
2. API威脅
隨著雲端微服務架構的流行，API使用變得越來越普遍。根據資料顯示，目前整個Web應用系統中，有超過83%的流量都是通過API來存取的。與此同時，超過44%的受訪企業表示，其正在創建和維護的API應用數量超過了100個。然而，企業對於如何保護API的安全意識仍然很低，甚至在很大程度上忽視了API的安全防護。
根據另一份Orca《2022年公共雲端安全狀況報告》資料顯示，高達70%的企業組織的K8 API伺服器可被公開訪問，這使得API服務面臨著巨大的網路攻擊安全隱患。
包括Gartner在內的安全研究公司一直警告稱，API伺服器攻擊預計將在未來幾年持續增長，而且在2022年也已顯露苗頭。有鑑於此，研究人員預計保護雲端API應用安全將在2023年成為企業組織和安全運營團隊的重要任務。
3. 錯誤的雲端配置和影子資料
在雲端中，資料被大量儲存在資料庫、儲存貯體或Blob儲存體中，隨著雲端儲存的資料不斷增長，資料攻擊面每年也在快速增加。2022年裡，Orca目睹了很多嚴重的雲端資料安全事件，其中很多都是由錯誤的雲端配置所引起的。
Orca發現72%的企業組織至少存在一個具有讀取許可權的儲存貯體，36%的企業組織甚至在這些雲端服務中存放了未加密的個資。
影子資料（Shadow data）是另一個日益嚴峻的挑戰，因為開發人員很容易在無意中將一些重要資料複製存儲到雲端，卻沒有意識到其中包含敏感性資料。資料顯示，大多數的企業IT和安全團隊目前缺少一套規範的雲端資料處理流程。這對於保護企業雲端資料資產而言，是一個巨大的安全隱患。
Orca發現72%的企業組織至少存在一個具有讀取許可權的儲存貯體。
4. CI/CD和供應鏈攻擊
對駭客而言，CI/CD環境是極具吸引力的攻擊目標， npm及python軟體相依混淆（Dependency Confusion）的供應鏈攻擊方式這些都是攻擊者們可能發起攻擊的新途徑。在2022年，一些部署了這些攻擊戰術的惡意軟體已經具體展示供應鏈攻擊的容易程度。
2023年，全球經濟發展存在大量不確定因素，網路犯罪的發展趨勢也將繼續不斷上升。因此，我們可以預測，雲端CI/CD和供應鏈攻擊的數量將會快速增加，企業應該提前做好準備。
5. 安全性漏洞
據美國國家漏洞庫（NVD）資料所示，自2017年以來，已知的CVE數量正在不斷增加。在即將到來的2023年，我們將繼續看到越來越多的安全性漏洞，這意味著組織將面臨更多的修補工作。因此，優先順序排序和瞭解應該首先修補哪個漏洞將變得更加重要。
除了應用程式方面的漏洞外，Orca繼續在雲端提供商基礎設施中發現漏洞。事實上，Orca 研究人員僅在今年就在公有雲平臺上發現了7個重大漏洞，並與平台商合作，協助修復這些漏洞。
結語
對企業組織而言，目前沒有保護雲端運算應用安全的「水晶球」，可以精准預測其在2023年的安全狀況。對於組織來說，最佳安全性原則就是盡可能地做好準備：提前知道有價值的雲端資產在哪裡？有哪些雲端應用缺陷可能危及業務開展？在此基礎上，安全人員需要儘快解決這些問題。
需要注意的是，無論企業進行了哪些安全防護準備，都不能實現百分百可靠的安全，攻擊者仍然有可能滲透到雲端環境中。因此，企業需要通過減少橫向移動的機會，確保雲端資料資產得到強有力的保護，將潛在的攻擊傷害維持在最低水準。
本文轉載自Orca.security 官網。