随着现代企业转向尖端的 SaaS 应用程序来提高业务能力和节省成本，基于云的工作负载的安全性成为首要要求。SaaS 平台为数字业务带来了巨大的好处，但仍然存在一个大问题；使用 SaaS 会使我的 IT 环境更安全还是更不安全？
这是一个很难回答的问题，因为对于大多数 SaaS 订户来说，安全是一项出色的体验。不幸的是，针对 SaaS 平台的几起备受瞩目的安全漏洞引发了人们对 SaaS 生态系统的担忧，并对下游供应链的威胁提出了质疑。在本文中，我们将了解 SaaS 的安全前景，调查重大数据泄露事件，并了解如何防御 SaaS 安全威胁。
什么是软件即服务？
市场上有无数的 SaaS 应用程序，您可能会以专业或个人身份使用这些产品中的至少一种。Google Docs (G Suite)、Microsoft Office 365、Salesforce、Slack、Teams 和 Zoom 只是其中的一部分。全球有超过11,000 家 SaaS 公司在运营，到 2025 年，85% 的企业将使用 SaaS 平台。
软件即服务通常涉及在线软件产品的数字交付，通常来自云提供商。用户在订阅服务后通过互联网访问软件。购买后，您将获得一个帐户；您登录并开始使用该服务。
SaaS 产品通常是通过按月订阅付费的商业应用程序。这为企业以负担得起的现收现付模式使用昂贵的企业级应用程序打开了大门。此外，SaaS 部署使用云服务器为应用程序提供动力，用户只需要一台功率适中的笔记本电脑或 PC 即可使用。
SaaS 平台很普遍。例如，流行的 Office 365 套件有3.45 亿活跃订阅。这个数字包括企业和个人账户。微软拥有 75% 的全球最大公司的 Office 账簿。
流行的 SaaS 平台必须走在安全最佳实践的前沿，以抵御复杂的网络攻击。不幸的是，SaaS 平台因其受欢迎程度而成为黑客的热门目标。
SaaS 数据泄露
2021 年 7 月，销售 SaaS 解决方案的科技公司Kaseya成为勒索软件的目标。他们的客户通常是小型企业或托管服务经销商。勒索软件影响了 Kaseya VSA，这是一个用于端到端 IT 基础设施管理、销售点系统、服务器、笔记本电脑、补丁和监控的一体化套件。
这次网络攻击是一个分水岭，因为虽然 Kaseya 是目标，但客户才是真正的受害者。毕竟，他们的系统遭到破坏，许多人经历了几天痛苦的停机，这都是因为 Kaseya 内部的安全性薄弱。
另一个重大的SaaS 数据泄露事件发生在 Zoom 上。视频会议软件在大流行期间看到了天文数字的增长，但很快成为黑客目标的公司。漏洞于 2020 年 4 月被发现，不久之后超过 500,000 个帐户凭据被盗并在暗网上被拍卖。
其他重大违规行为包括Office 365 帐户因欺骗和社会工程策略而受到损害。虽然这是一个孤立的事件，但随着黑客控制，拥有该帐户的企业被完全驱逐出该帐户。
SaaS 网络安全挑战
这些攻击成功的原因是什么？黑客可以通过多种方式破坏 SaaS 服务。以下是一些最常见的：
- 云配置错误：数据泄露的首要原因是应用程序配置不当，通常是公开共享机密信息。将数据库推送到公共云存储或错误配置用户权限是常见的例子。
- 第三方风险：当外包给 SaaS 提供商时，存在一个风险因素，即他们的员工可能会无意中将访问权限授予黑客。这就是最近的 Office 365 攻击中发生的事情。
- 供应链攻击：Kaseya 攻击凸显了如果关键服务提供商遭到破坏，供应链将变得多么脆弱。潜在的所有下游用户都可能成为受害者。当大型企业和政府机构成为目标时，我们在 Solarwinds 漏洞中看到了这一点。
- 零日漏洞：零日漏洞是 SaaS 提供商真正关心的问题，因为它们通常提供专有应用程序作为其主要服务。匆忙的代码可能等于安全性薄弱，但这是 SaaS 提供商投入大量时间和金钱的事情。
- 职责不明确：所有 SaaS 平台都有共同的责任要求，定义了供应商管理的内容、客户管理的内容以及共享的责任。这里的混乱可能会导致进一步的错误配置。
使用 SaaS 会使我的 IT 环境更安全还是更不安全？
在大多数情况下，是的，使用 SaaS 平台确实可以改善您的安全状况。但是，必须认识到安全要求在不断变化，因此您的网络安全策略必须保持相关性。此外，请记住，SaaS 平台通常会为客户提供出色的全方位体验。应用程序交付经过简化，可为订户提供卓越的体验，但请注意，没有任何服务是 100% 安全的，零日漏洞利用很有可能发生。
现在采取基本的网络安全举措将确保您的企业在发生影响您的 SaaS 安全事件时处于最佳位置。遵守文章中讨论的促进增强身份验证、数据加密、数据完整性审查和安全意识培训的最佳实践。然后，通过确保按照提供商的安全最佳实践配置 SaaS 服务来重新评估您的安全状况。
有了正确的技术和最佳实践，SaaS 可以比任何其他本地应用程序安全得多。企业可以保留对安全基础设施的控制，例如加密客户数据，并确保它们满足必要的合规性标准。
