云卫士安全检查清单_27页_828kb

云安全检查清单总结

一、基础安全健康

• 身份管理：

  • 统一强制执行多因素认证（MFA）覆盖所有云身份。
  • 定期审查特权访问，禁止残留访问路径。
  • 账户需及时清理，消除长期不活跃账户。

• 访问控制：

  • 上次全面审查跨云服务的权限配置。
  • 禁止使用通配符权限，通过策略即代码实现最小权限控制。
  • 定期自动轮换密钥，记录访问日志并实现自动化归因。

二、数据保护与隐私

• 数据分类与发现：

  • 全面识别敏感数据存储位置，包括非托管环境。
  • 通过自动化工具建立动态数据分类机制，覆盖对象存储、数据库及临时资源。
  • 对生产中资产实现100% CMK加密。

• 加密策略：

  • 单点负责制，模型清单需包含训练数据集、推理接口及依赖关系。

三、运行时安全与工作负载保护

• 工作负载行为监控：

  • 部署前扫描，拦截高风险镜像及代码。
  • 生产环境部署内核级安全防护，如 eBPF、seccomp 等。
  • 行为基线检测，实时发现异常进程或权限提升。

• 工作负载隔离：

  • 定义信任层级，隔离开发、测试与生产环境。
  • 东西向流量加密，覆盖容器组及虚拟机通信。

四、网络与边界防御

• 分段与访问策略：

  • 默认拒绝所有入站规则，仅批准必要端口。
  • 按功能与敏感性进行子网分段，限制跨账户、跨区域连通。
  • 审核和归因所有内部网络连接。

• 零信任网络：

  • 微服务间通信加密，使用 mTLS 或服务网格。
  • 基于情境的访问控制，要求身份验证和属性检查。

五、威胁检测与响应

• 日志采集与规范化：

  • 审核追踪集中化，长期保留审核日志。
  • 通过 OCSF、ECS 跨来源日志规范化，支持跨事件关联。

• 检测与响应：

  • 开发情境感知检测产品，规则覆盖配置、行为及身份。
  • 自动响应剧本部署，连接 SOAR 工作流，实现自动化防御。

六、软件供应链与自动化

• 管道安全加固：

  • 将 SAST、DAST、依赖扫描集成到 CI/CD，构建失败拦截高风险元件。
  • 签名验证所有关键工件，阻断未经批准的组件引入。

• SBOM 生成与溯源：

  • 发布即生成可机器读取的 SBOM，存储与工件不可分割。
  • 验证签名完整性，确保部署组件可信。

七、治理、风险与合规

• 策略定义与执行：

  • 通过 IaC 把策略写死为代码，强制执行配置标准。
  • 资产标记支持审计追踪，明确责任人及数据分类。

• 自动化合规：

  • 集成 CSPM、CloudTrail、CloudGuard，生成证据支持构建控制矩阵和自动化报告。

八、持续威胁暴露管理

• 攻击面可视化：

  • 内外扫描工具全覆盖所有云账户、区域中的互联网暴露面。
  • 实时映射影子资产、未授权代理及配置不当存储。

• 风险优先级排序：

  • 结合数据分类、威胁情报及攻击路径绘制风险优先级。
  • 72小时内完成高风险暴露优先级下补救。

结论

云安全检查清单围绕身份、数据、运行时、网络、检测、供应链及治理等维度提出完整策略框架。其基于自动化、策略即代码及持续发现，旨在建立从设计、部署到运行时的全生命周期防护。建议从业者首先聚焦身份与访问控制，再逐步实现自动化与威胁运维整合，最终构建可扩展、零信任云环境。