官方公众号企业安全新浪微博

FreeBuf+小程序把安全装进口袋

• 观点

关于SaaS数据和应用使用的调查发现

BetterCloud对500多名IT和安全专业人员进行的调查揭示了大规模SaaS管理的最新挑战，尤其是随着数字化转型的推进——IT持续保持这种势头。与2020年平均80个SaaS应用相比，2021年企业使用的应用数量达到110个，同比增长38%。自2017年以来，SaaS应用的使用量增长近7倍，自2015年以来增长近14倍。

• 更多的SaaS应用也带来了更多的挑战。55%的受访者表示，当前要解决的最大挑战是缺乏对用户活动和数据的可见性。其次是了解所有正在使用的SaaS应用程序并进行统一管理。
• 疏忽大意是迄今为止导致数据丢失的最大威胁。在数据泄露方面，最大的威胁并不是自黑客或内部员工，相反，72%的组织表示，员工通常并没有恶意，只是想做好自己的工作，但在此过程中可能会无意间暴露敏感信息。
• SaaS安全性是IT首要的考虑因素。69%的受访者担心未经批准的SaaS应用使用。此外，46%的人表示他们难以确保SaaS应用中的用户活动。今年，随着世界逐渐从疫情中恢复，SaaS平台文件安全违规行为增长134%。
• 未来3年SaaSOps自动化水平可能将翻倍。SaaS-Powered Workplaces报告称，他们 45%的SaaS运营已经实现自动化，并估计在未来三年内这一比例将上升到80%左右。
• SaaSOps角色将继续存在。60%的受访者已经在他们的职位/描述中使用了“SaaSOps”一词，或者计划在未来将其包括在内。

Slack的新消息通知、Trello看板连接到微软、用Boomerang管理收件箱。这些应用程序和平台相互配合，成为当今许多公司日常工作的一部分。它们不仅有助于使远程和混合办公成为可能，而且是建立并扩展公司和产品的关键。

但是数以千计的SaaS平台间的通信是对企业网络安全的一种新威胁。大多数现有的网络安全解决方案没有为应用程序和平台间的通信提供足够的保护或便捷方式的监控，并且无法有效地了解或控制哪些角色可以访问敏感的公司数据或个人信息。

一些热门的攻击事件——包括Imperva Security的数据泄露事件，攻击者窃取了软件在亚马逊云上可执行的API密钥，最终获取客户的敏感数据——就是利用了SaaS平台间的通信保护不足这一弱点。为了有效地保护企业，我们需要了解SaaS平台为什么会越来越脆弱、其面临的风险是什么以及需要采取哪些措施予以应对。

当前的云安全配置无法保护SaaS到SaaS间的通信安全

二十年来，基于云的SaaS平台一直在快速增长，它们提供了一种方便且成本相对较低的方式来获得工作和个人使用所需的技术服务。

SaaS是基于云计算的平台，传统的网络安全方案（例如保护本地网络、数据和软件的防火墙）不再有效。因此市场很快开发了CASB产品，它是基于云的服务与其用户或本地服务之间的代理，其可以基于软件或硬件。但其实，它只保护了SaaS产品与其用户之间的连接。起初还是不错的——直到更多的SaaS产品开始相互通信。

最近，出现了SSPM（SaaS Security Posture Management）解决方案。现在已经开始日渐流行，研究和咨询公司Gartner将其定义为未来的云和SaaS安全的顶级工具。虽然它确实比CASB监控到的方面更多，但仅可用于某些服务，对于监控无处不在的SaaS间通信一事，依旧算是无计可施。

互联应用程序为黑客带来更多机会

Slack普及了连接不同平台以协同工作的概念，现在大多数SaaS应用都在彼此协作。用户执行的每个操作，无论是发送消息还是更新日历，都可能导致平台中的其他若干自动操作和通知，并且SaaS平台的其他附加组件和应用程序需要访问更多数据（可能从其他SaaS平台）。这意味着，如果攻击者获得对某一平台的访问权限，他就有可能访问所有该用户使用的SaaS平台和连接的应用程序。

公司应该如何应对？

为提高SaaS安全性可采取的措施：

• 投资SaaS安全工具
• 统计员工当前使用的应用程序
• 重视服务帐户
• 撤销离职/调岗员工关联账户的访问权限
• 考虑成立SaaS运营部门
• 制定有关使用第三方SaaS平台的明确政策

公司不仅需要在SaaS安全工具上进行更多投资，还需要弄清楚自己员工正在使用的应用程序情况，以及在这些应用上共享了什么，以便网络安全部门准确、全面地了解潜在的威胁。企业逐渐意识到（55%的网络安全人员表示），最大的SaaS安全挑战是缺乏对SaaS使用和数据的可见性。一旦具备这一能力，便可使用这些情报来制定关于使用第三方SaaS应用和平台的明确策略，并考虑员工的工作流程。

公司应该小心诸如忽视服务帐户之类的情况，从而导致诸如被窃取停用的API令牌以访问特权信息。除了网络攻击威胁之外，SaaS产品网络还可能使企业遭受未授权用户或离职员工的攻击。

虽然出现了一些自动化解决方案，旨在解决SaaS平台的管理问题，但企业可以立即采取的一个做法是成立专门的SaaS运营部门，该部门负责监督SaaS产品的采购、安全和管理。最近的一项调查发现，40%的IT专业人员现在将SaaS运营视为一个关键角色。