确保云端安全的挑战及解决方案

重点要点

• 云端随时可用性带来便利，但同时也增加了安全风险。
• 拥有持续访问许可（standing access privileges）的风险需特别关注，必须考虑使用即时访问（just-in-time access，JIT）来降低这一风险。
• 像AWS等云服务提供商建议企业采用自动化和临时提升的访问权限来加强系统安全。
• 自动化JIT访问能减少手动管理的负担，并有助于组织朝向最小权限和零信任策略发展。

在当前的云端环境中，随时可用的特性既是优势也是挑战。虽然使用者可以随时随地存取计算系统，但这种普遍可用性同时也引发了重大的安全风险。

问题的核心在于持续访问许可（standing access privileges）
，这指的是对于人类或机器身份的持续许可，允许他们持有对特定资源（如数据库、软件工具等）的永久访问权限。这种「持续」意味著这些许可权是不会过期的，除非手动撤销或修改。这在便利的背后，却隐藏了潜在的网络攻击风险，简直就像是将前门的钥匙交给了所有人。

持续访问成为了针对管理员或特权用户的关键安全漏洞。对于特权用户来说，他们应该仅在执行必要任务的时候获得敏感资源的访问，即所谓的即时访问（just-in-
time access, JIT）。与持续访问相比，JIT许可需经请求、批准和审核，且在用户完成任务后会被撤销。

反观，安全团队也应该将JIT访问应用于普通（非特权）用户，特别是在他们需要临时访问敏感资源的情况下，例如在AWS生产环境中完成特定任务。因此，控制整个过程至关重要，即使用户的凭证被盗取，攻击也无法得逞。

许可权的重要性

合理管理用户许可权已经成为了亟需关注的问题。人为因素往往是安全链中最脆弱的环节，任何许可的漏洞都会转化为真实世界中的风险。尤其是在云端安全中，当今环境的复杂性——包括可能存在数千个身份和资源的多云框架——使得许可权和访问的管理变得相当艰巨。

不过，从零持续特权（Zero Standing Privileges,
ZSP）的角度出发来检视许可权通常是不切实际的，甚至不可能。人们需要访问系统和数据，如果组织要求过于繁琐，将影响商业生产力，甚至损害收益。

各大云服务提供商在身份和许可方面的做法各有不同。例如，AWS建议企业尽可能依赖自动化，这有助于避免人员访问那些不应该接触的系统。不过，AWS还建议使用临时提升的访问，搭配单一登录（SingleSign-On, SSO）来进一步锁住系统暴露。

临时提升的访问或JIT访问，直接针对持续许可进行改善，是实现零信任安全框架的良好起点。因为它能处理许多问题，包括请求和批准工作流程，以及请求和会话活动的记录。通过对身份管理和授权进行全面的优化，我们在云端中能够更好地控制持续许可，缩小攻击面，从而减少安全漏洞导致的风险。

管理提升访问

实施JIT需要了解