文章核心观点 Tenable发布2025年云安全风险报告，揭示不安全的云配置带来广泛风险，强调统一云暴露管理的紧迫性，报告分析了影响数据、身份、工作负载和AI资源的云安全问题并提供缓解策略 [1][2] 报告研究信息 - 基于2024年10月至2025年3月对不同公共云和企业环境中工作负载的遥测数据进行分析 [5] 云安全风险问题 敏感数据暴露 - 9%的可公开访问云存储包含敏感数据，其中97%被列为受限或机密数据，增加被利用风险 [1] 秘密存储问题 - 超半数（54%）组织在亚马逊网络服务（AWS）弹性容器服务（ECS）任务定义中直接存储至少一个秘密，谷歌云平台（GCP）云运行（52%）和微软Azure逻辑应用工作流（31%）也存在类似问题 [7] - 3.5%的所有AWS弹性计算云（EC2）实例在用户数据中包含秘密，因EC2使用广泛而带来重大风险 [7] 有毒组合风险 - 存在“有毒云三部曲”（公开暴露、严重漏洞和高度特权的工作负载）的组织比例从38%降至29%，但仍构成显著且常见风险 [7] 身份管理风险 - 83%的AWS组织在使用身份提供商（IdP）服务管理云身份方面遵循最佳实践，但过度宽松的默认设置、过多权限和常设权限仍使其面临基于身份的威胁 [7] 应对建议 - 安全团队需全面了解环境，在威胁升级前对修复工作进行优先级排序和自动化处理，云环境需要持续、主动的风险管理而非被动修补 [5] 公司介绍 - Tenable是暴露管理公司，其人工智能驱动的暴露管理平台统一攻击面的安全可见性、洞察力和行动，为全球超44000家客户降低业务风险 [6]