强化你的云账户

本课程前三课讲了谁该对什么负责、为什么身份才是真正的边界,以及数据一旦被存储之后会发生什么。这一课把这些内容变成一次简短的、周期性的检查——一种小型组织实际上能坚持下去的日常维护,而不是一次性设置好之后就悄悄过时的东西。

检查活跃会话与设备

每一家主要的账户服务商都会保留一份当前已登录的设备和会话清单,以及一份最近活动的记录。定期检查它能回答一个简单的问题:除了本该在这个账户里的人之外,还有别人吗?一台陌生的设备、一次来自意外地点的登录,或者一个在你已不再使用的设备上从未退出过的会话,都值得立刻采取行动——结束该会话并更改密码。这直接呼应了本课程前面身份那一课的内容:一个被盗的密码,只有在由此产生的会话未被察觉的这段时间里,才对攻击者有用。

检查第三方应用的访问权限

身份那一课也讲过 OAuth:每一次“使用……继续”的连接,或者每一个日历集成,都是一次持续有效的访问授权,直到被撤销为止。大多数服务商都会在账户的安全或隐私设置里列出每一个已连接的应用,显示出每个应用被授予了什么——读取邮件、管理日历、访问文件——而这些应用往往是你多年前尝试过一次、早已忘记的服务。反复地、偶尔地清理这份清单,移除任何不再使用或不认识的应用,能在完全不动密码的情况下,减少进入账户的途径。

确认备份确实存在,以及存放在哪里

云账户本身出问题——被锁定、误删除、服务中断——本身就是责任共担那一课划归客户一侧的风险。本课交叉参照的、GitHub 上发布的云安全指南,把“备份、经过测试的恢复流程”列为它建议的核心弹性实践之一,与常规的凭证轮换和访问审查并列;这与各大服务商为自己客户发布的对应指导是一致的。对个人或小型组织来说,这转化为两个具体的习惯:清楚知道你的备份究竟存放在哪里(第二个云服务、一块加密的外部硬盘,或者两者都有),以及偶尔真正测试一下从备份中恢复的过程,因为一份从未被人打开过的备份,只是一种希望,而不是一份可靠的计划。

在有相应功能的地方开启日志与提醒

大多数面向消费者和小型企业的云账户都提供某种形式的安全提醒——新登录、密码更改或新增设备时发送的邮件或推送提醒。这些通常是需要手动开启的选项,而不是默认设置,甚至常常被藏在设置深处。开启它们不需要任何成本,却能直接缩短账户被攻陷与有人注意到这之间的时间差,而这往往是决定一次入侵造成多大损害的最关键因素。

让它成为一种习惯,而不是一次性的任务

以上四项检查,单独来看每一项都花不了几分钟,也都不需要任何安全背景知识。真正让它们奏效的是重复:每季度过一遍会话、已连接的应用、备份状态和提醒设置,能捕捉到那些一次性设置永远抓不住的、被遗忘的访问权限的缓慢积累。这也回应了本课程开篇责任共担模型所打开的话题:服务商一次性地保护好基础设施,并持续维护它;而客户这一侧对应的那部分承诺,是一种习惯,而不是一件能被完成的任务。