39、云安全威胁与检测策略

云安全威胁与检测策略

1. 异常登录活动

异常登录活动可能出现在共享账户的系统中，包括用户、管理员或服务账户。例如，一个账户同时登录多个系统；多个账户同时登录同一台机器；账户在非工作时间或异常时间登录。活动可能来自交互式登录会话，或者账户用于在远程系统上以特定账户执行二进制文件的进程所有权。可以将其他安全系统与登录信息进行关联，例如，用户有活跃的登录会话，但未进入建筑物或没有VPN访问权限。

2. 数据收集威胁与检测

2.1 从云存储对象收集数据

攻击者可能会访问未正确保护的云存储中的数据对象。许多云服务提供商提供在线数据存储解决方案，如亚马逊S3、Azure存储和谷歌云存储。这些解决方案与其他存储解决方案（如SQL或ElasticSearch）不同，因为没有统一的应用程序。可以直接使用云提供商的API检索这些解决方案中的数据。

然而，最终用户的配置错误是一个常见问题。曾发生过许多云存储未正确保护的事件（通常是无意中允许未经身份验证的用户进行公共访问，或所有用户拥有过于广泛的访问权限），从而导致信用卡信息、个人身份信息、医疗记录和其他敏感信息被公开访问。攻击者还可能通过源代码库、日志或其他方式获取泄露的凭证，以访问具有访问权限控制的云存储对象。

检测方法如下：
- 监控对云提供商存储服务的异常查询。来自意外来源的活动可能表明设置了不当的权限，从而允许访问数据。
- 检测用户对某个对象的失败尝试，随后同一用户提升权限并访问同一对象，这可能是可疑活动的迹象。

2.2 从信息存储库收集数据

攻击者可能会利用信息存储库挖掘有价值的信息。信息存储库是用于存储信