01 · 多云与混合云架构形态分类
1.1 五种基本形态
NIST SP 800-145定义的四大部署模式（公有云、私有云、社区云、混合云）解决了「云在哪里」的问题，但无法描述「组织如何同时使用多个云」。实践中，多云与混合云呈现为以下五种可组合的形态，安全治理策略必须按形态差异定制：
| 形态 | 定义与典型场景 | 安全治理要点 |
|---|---|---|
| 应用孤岛式多云 （Siloed） | 不同应用整体部署在不同云上，云间无直接交互；历史上占比最高（Flexera 2024年为57%），常源于并购、部门选型或议价策略 | 各云独立治理即可起步，但需统一身份与审计汇聚，防止「各自为政」演变为「无一可靠」 |
| 异构最佳选型 （Best-of-breed） | 按服务能力刻意选型：如AI负载用GCP、企业应用用Azure、电商用AWS | 跨云数据流与身份联邦成为刚需；策略等价性核查（KQ-1）是核心难题 |
| 主动-主动/灾备式 （Active-Active / DR） | 同一应用跨云部署实现厂商级故障容灾；Flexera 2024年有44%的组织以此为目的 | 数据复制的加密与一致性、故障切换时的安全策略同步、双平面同时暴露的攻击面倍增 |
| 混合云 （Hybrid） | 私有云/本地与公有云整合为单一实体，工作负载可双向迁移；常见于合规敏感行业 | 统一控制平面（Azure Arc、AWS Outposts、Google Distributed Cloud等）的权限模型与本地AD/身份体系的桥接是难点 |
| 分布式云/主权云 （Distributed / Sovereign） | 公有云服务在本地、边缘或特定法域运行，控制面归云厂商；含欧盟Gaia-X式主权云方案 | 管辖权与取证权界定、密钥控制归属、供应链信任根需合同与技术双重锚定 |
数据说明：上述形态占比为Flexera官方发布口径（多选，故合计可超过100%）。本页正文仅采用可复核数据：多云采用率89%（Flexera 2024，N=753）、73%为混合云形态（Flexera 2024分类）、平均每组织使用2.4个公有云（Flexera 2025）；历史年份的具体多选占比以各年度报告原文为准，引用时标注年份。
1.2 形态决定治理模式
| 治理维度 | 应用孤岛式 | 主动-主动/灾备式 | 混合云 |
|---|---|---|---|
| 身份 | 各云独立IAM起步，逐步联邦 | 必须统一身份（单点登录+跨云角色映射） | 本地AD/Entra与云IAM双向同步，遗留协议收敛 |
| 网络 | 云间连接最少，出口分散 | 跨云高速互联+双平面安全组等价 | 本地—云专线+统一出口架构 |
| 配置 | 各云CIS基线分别落地 | 配置模板跨云等价校验 | IaC统一描述云与本地资源 |
| 检测 | 日志汇聚即可 | 双平面同时遥测+切换演练 | 本地SIEM/EDR与云日志统一管道 |
| 合规 | 按系统分别定级 | 灾备数据副本的定级与驻留一并评估 | 等保边界跨环境划定的测评方法 |
02 · 跨云控制面解构：四大原生机制对照
多云治理的第一个工程现实是：没有任何两个云平台使用同一套机制表达同一安全意图。下表将多云安全最关键的四大控制面在各主流平台的原生机制进行对照——这是后续一切「策略等价性」（第4页）与「基线映射」（第8页）工作的底表。产品能力描述以各厂商官方文档为准，版本演进较快，实施时应核对最新文档。
| 控制面 | AWS | Microsoft Azure | Google Cloud |
|---|---|---|---|
| 身份目录与单点登录 | IAM + IAM Identity Center（原AWS SSO，2022年更名） | Microsoft Entra ID（原Azure AD，2023年7月更名）+ 条件访问 | Google Cloud Identity / Workforce Identity Federation |
| 组织级护栏 | Organizations + SCP（服务控制策略） | Management Groups + Azure Policy | Resource Manager + Organization Policy |
| 网络隔离单元 | VPC + Security Group/NACL + Transit Gateway | VNet + NSG + Virtual WAN | VPC + VPC Firewall/防火墙 + Network Connectivity Center |
| 审计日志 | CloudTrail（管理事件/数据事件） | Azure Activity Log + Resource Log | Cloud Audit Logs（Admin Activity/Data Access/System Event） |
| 密钥管理 | KMS + CloudHSM（外部密钥可经XKS） | Key Vault + Managed HSM | Cloud KMS + Cloud EKM（外部密钥管理） |
| 配置查询 | AWS Config | Azure Resource Graph / Azure Policy Guest Config | Cloud Asset Inventory + Config Controller |
| 原生安全态势 | Security Hub + IAM Access Analyzer | Microsoft Defender for Cloud + Entra Permissions Management | Security Command Center (Premium) + IAM Recommender |
| 托管K8s | EKS | AKS | GKE |
注意：上表为机制层对照而非能力等同声明——同名概念在各平台语义存在实质差异（如AWS SCP与Azure Policy的作用域继承模型不同、NACL为无状态而GCP防火墙为全局有状态）。第4页的「语义间隙」研究即针对此类差异建立核查矩阵。
03 · 多云攻击面图谱与威胁谱系
3.1 五层攻击面图谱
| 攻击面 | 多云特有暴露 | 典型攻击路径 |
|---|---|---|
| 身份面 | N套IAM体系+SaaS身份+CI/CD身份并存；离职回收跨云不一致 | 凭证填充/钓鱼→SaaS会话→云控制台（2024 Snowflake事件路径） |
| 配置面 | 同一错误模式在不同云有不同表达；护栏只覆盖部分平台 | 公开存储桶/快照→敏感数据批量读取（Capital One 2019为单云版本，多云下同模式可复制） |
| 数据面 | 跨云复制管道、影子数据副本、备份滞留 | 快照/备份窃取→跨环境聚合（IBM 2025：多环境泄露成本最高） |
| 网络面 | 跨云互联通道本身成为高速横向通道；出口分散致DLP失明 | 单云立足→经Peering/VPN跨云横向→数据外渗 |
| 供应链/SaaS面 | 身份提供商、CI/CD、SaaS平台本身成为跨云信任根 | 第三方支持厂商被入侵→租户凭证泄露（Okta/Sitel 2022路径） |
3.1.1 实例元数据服务（IMDS）：多云共有的凭证放大器
实例元数据服务向云内工作负载提供临时凭证、用户数据与实例信息，是SSRF类攻击的经典目标——Capital One事件（2019）中，攻击者正是借助SSRF获取EC2实例元数据中的临时凭证进而读取S3。三大平台均已提供加固机制，多云基线必须统一强制：
| 平台 | 机制 | 跨云统一强制基线 |
|---|---|---|
| AWS | IMDSv2（基于会话令牌的加固版本，2019年推出） | 组织级强制IMDSv2（SCP拒绝非v2调用）；实例内禁用长期凭证，角色临时凭证时长压至最小必要 |
| Azure | Instance Metadata Service（仅限链路本地地址169.254.169.254）+ 托管身份（Managed Identity） | 全面以托管身份替代应用代码中的静态凭证；禁止订阅级共享凭据类实践 |
| GCP | metadata server（需自定义header校验的查询）+ Workload Identity | GKE环境以Workload Identity for GKE替代服务账号长期密钥；组织级禁用服务账号密钥自动签发 |
核查要点：任一云上存在未加固的IMDSv1或等效弱元数据接口，即等价于该云全部工作负载凭证可被SSRF窃取；该项纳入第4页配置漂移必查清单与第8页落地检查清单。
3.2 威胁谱系：多云标志性公开事件档案
| 时间 | 事件 | 暴露的多云命题 |
|---|---|---|
| 2018.2 | Tesla AWS Kubernetes控制台未授权访问被用于挖矿（RedLock发现） | 云控制台暴露面在多云下按平台数倍增 |
| 2019.3—7 | Capital One事件：SSRF→EC2实例元数据临时凭证→S3约1亿客户数据 | 单云凭证滥用范式；多云下任一云的元数据面失守即可能跨云扩散 |
| 2022.1—3 | LAPSUS$入侵Okta第三方支持厂商Sitel设备，接触支持工单系统；Okta评估影响上限为366家客户 | 身份平台第三方供应链=多云信任根；JIT支持与权限最小化的必要性 |
| 2023.7—9 | 微软披露Storm-0558使用窃取的签名密钥伪造令牌访问Exchange Online政府邮箱；微软后续技术报告将根因指向令牌签名密钥经崩溃转储泄露 | 云服务商自身签名体系安全直接决定租户信任；密钥与令牌体系的多云冗余设计 |
| 2024.2—6 | CISA发布AA24-038A联合通报：Volt Typhoon（中国政府支持背景）滥用合法云服务与LOTL技术潜伏美国关键基础设施 | 「活在云上」的对抗：合法云API调用难以与传统恶意流量区分，跨云行为基线成为刚需 |
| 2024.5—6 | Snowflake凭证填充攻击活动（Mandiant归因UNC5537）：数百家企业客户凭弱口令与未启用MFA的账号失陷，Ticketmaster、Santander、AT&T等知名机构受影响（Mandiant受害者通报共165家客户组织，其中79.7%的失陷账号曾在历史信息窃取木马日志中暴露凭证；美国司法部2024年11月对两名嫌疑人提起刑事指控） | SaaS+多云数据平台身份成为「一钥多库」：单点凭证失守波及所有云的数据仓库 |
档案解读：六个事件无一需要攻破云服务商底层设施——全部立足客户侧责任面（凭证、配置、第三方、密钥管理）。这与Gartner「99%云安全失效由客户造成」的研判互为印证，也确立了本子课题的控制优先级：身份与配置优先于网络与端点。
04 · 威胁战术框架与行为基线
MITRE ATT&CK已建立覆盖云场景的战术与技术矩阵（ATT&CK Cloud Matrix），其中与多云高度相关的战术包括：初始访问（可信关系、有效账号）、持久化（创建云账号、额外云角色）、权限提升（附加IAM策略）、防御规避（禁用云日志/删除云日志）、发现（云资产发现）、横向移动（跨云角色滥用、SaaS会话劫持）、收集（云对象存储数据收集）、渗出（经云服务的渗出）。Volt Typhoon类「活在云上」的对抗活动表明：攻击者越来越多地只使用各云平台原生提供的合法API与功能，使传统IOC（域名、文件哈希）检测范式失效，行为基线（谁在何时以何种频率调用何种API）成为唯一可靠的检测锚点。
| 战术域 | 多云检测要点 | 数据依赖 |
|---|---|---|
| 初始访问/有效账号 | 跨云不可能旅行、异常ASN、MFA疲劳尝试 | 各云登录日志+身份提供商日志 |
| 持久化 | 新建访问密钥/服务账号/联合身份配置的突增与离群 | IAM变更事件（CreateAccessKey/AddRole等） |
| 权限提升 | 通配符策略附加、角色信任关系修改 | 策略变更事件+CIEM持续基线 |
| 防御规避 | 日志服务被停用/删除/缩短保留期（StopLogging/DeleteTrail类事件） | 审计服务状态遥测（第7页） |
| 横向移动 | 跨云角色Assume/Token交换链路图谱中的异常跳数 | 联邦令牌颁发日志+云审计日志关联 |
| 渗出 | 非常规区域首次出现、出境流量激增、打包压缩行为 | 网络流日志+数据面API调用频次 |
4.1 攻击面盘点清单（交付物预览）
- 云账号清单：账号ID、归属主体、是否纳管、根账号管控状态、MFA覆盖率
- 信任链清单：所有跨账号角色信任、SaaS与CI/CD的OIDC联邦关系、第三方厂商访问授权
- 暴露面清单：公网IP/负载均衡/存储桶/数据库端点按云聚合，标注责任团队
- 数据流清单：跨云复制管道、备份滞留点、影子数据副本位置
- 日志清单：各云审计类日志的启用状态、留存期限、汇聚目的地
本节参考来源（第2页）
Flexera《2024 State of the Cloud Report》：多云实现形态分布（57%应用孤岛、45%跨云数据集成、44%灾备/故障转移）：flexera.com官方博客。
NIST SP 800-145（2011）部署模式定义：csrc.nist.gov。
各云官方文档：AWS IAM Identity Center、Microsoft Entra ID、Google Cloud IAM与Audit Logs、Azure Activity Log、CloudTrail等（产品页以当前版本为准）。
MITRE ATT&CK Cloud Matrix：attack.mitre.org（企业矩阵，含IaaS/SaaS/身份提供方等云平台）。
CISA联合通报AA24-038A《PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure》（2024年2月）：cisa.gov。
Microsoft关于Storm-0558活动的披露与技术报告（2023年7月与9月）：MSRC官方博客（2023年7月11日）；根因技术报告见MSRC 2023年9月6日《Results of Major Technical Investigations for Storm-0558 Key Acquisition》。
Okta关于LAPSUS$事件的官方声明（2022年3月22日更新）：okta.com官方博客。
Mandiant/Google Cloud关于UNC5537（Snowflake凭证填充活动）的公开报告（2024年6月10日）：cloud.google.com威胁情报博客。