云安全态势管理:从错误配置到攻击路径

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。

Wiz Research 基于 NordStellar 数据梳理信息窃取木马针对的凭据类型，剖析 Malware-as-a-Service 与 Initial Access Broker 组成的窃密供应链，揭示失窃密钥和会话令牌如何让攻击者进入 AWS、Azure、GitHub 及 AI 环境。

Wiz 在 Forrester 2026 年 Q3《Proactive Security Platforms》Wave 评估中获评领导者，在 21 项标准中的 8 项拿到 5.0 满分，涵盖云与应用可见性、暴露验证、修复增强等维度。Forrester 认为 Wiz 适合寻求云优先、具备图谱化上下文与代码到云可见性的主动安全平台的企业，这一评价也印证了行业正从单一 CNAPP 走向基于 CTEM、覆盖云、SaaS、AI 管道与本地环境的横向安全布局。

一则安全社区成功案例：GitHub Actions 与 AWS IAM 角色集成时缺失 sub 条件，导致任意仓库可扮演角色入侵账户；多方协作推动平台改进，使该错误配置大幅减少。

云安全支出预计超 2000 亿美元/年，文章梳理影子 IT、攻防资源不对等、一处配置错误即可酿成灾难等五大云安全挑战，主张以专为云设计的渗透测试弥补传统手段不足。

Gartner 估算高达 95% 的云安全事件源于人为配置错误：许多云服务默认未启用 MFA、云与本地网络通过联邦认证打通扩大横向移动风险、GitHub 等公开仓库频现凭据泄露；建议从环境隔离与最小权限做起，并开展常态化渗透测试。