云計(jì)算安全聯(lián)盟(CSA)近期發(fā)布的報(bào)告總結(jié)了9種威脅云計(jì)算安全的“罪魁禍?zhǔn)?rdquo;。在這其中，數(shù)據(jù)泄露、數(shù)據(jù)丟失和數(shù)據(jù)劫持三類威脅排名靠前。

[[73960]]

現(xiàn)如今，云計(jì)算已經(jīng)成為備受業(yè)界關(guān)注的焦點(diǎn)。很多廠商都在推出幫助IT人員掌控云計(jì)算運(yùn)行環(huán)境的產(chǎn)品和服務(wù)。但是對(duì)企業(yè)來(lái)說(shuō)，要做的第一步不應(yīng)該是倉(cāng)促上馬項(xiàng)目，而是清楚認(rèn)知云計(jì)算的最大安全威脅是什么。

為此，CSA(Cloud Security Alliance，云計(jì)算安全聯(lián)盟)列出了2013年云計(jì)算領(lǐng)域的9個(gè)安全威脅。云計(jì)算安全聯(lián)盟的這篇報(bào)告題目是《9大禍害：2013年云計(jì)算威脅排名》(The Notorious Nine: Cloud Computing Top Threats in 2013)。這一報(bào)告體現(xiàn)了行業(yè)專家對(duì)于云計(jì)算安全的看法，并著重列出了與云計(jì)算有關(guān)的各類威脅。

安全威脅1:數(shù)據(jù)泄露

為了表明數(shù)據(jù)泄露對(duì)企業(yè)的危害程度，CSA在報(bào)告中提到了其在2012年11月發(fā)表的一篇研究文章，該文章描述了黑客如何利用邊信道(Side-Channel)時(shí)間信息，通過(guò)侵入一臺(tái)虛擬機(jī)來(lái)獲取同一服務(wù)器上的其他虛擬機(jī)所使用的私有密鑰。不過(guò)，其實(shí)不懷好意的黑客未必需要如此煞費(fèi)苦心，就能確保這種攻擊得逞。要是多租戶云服務(wù)數(shù)據(jù)庫(kù)設(shè)計(jì)不當(dāng)，哪怕某一個(gè)用戶的應(yīng)用程序只存在一個(gè)漏洞，都可以讓攻擊者獲取這個(gè)用戶的數(shù)據(jù)，而且還能獲取其他用戶的數(shù)據(jù)。

要應(yīng)對(duì)數(shù)據(jù)丟失和數(shù)據(jù)泄露方面的威脅，難就難在其有可能造成“拆東墻補(bǔ)西墻”般的效果。CSA報(bào)告認(rèn)為：“你落實(shí)到位的措施可能可以緩解一種威脅，但是會(huì)加大遭遇另一種威脅的風(fēng)險(xiǎn)。”用戶可以對(duì)數(shù)據(jù)進(jìn)行加密，以減小泄露的風(fēng)險(xiǎn)，不過(guò)一旦用戶丟失了加密密鑰，就再也無(wú)法查看數(shù)據(jù)了。反過(guò)來(lái)說(shuō)，如果用戶決定對(duì)數(shù)據(jù)進(jìn)行異地備份以減小數(shù)據(jù)丟失風(fēng)險(xiǎn)，卻就又加大了數(shù)據(jù)泄露的幾率。

安全威脅2:數(shù)據(jù)丟失

CSA認(rèn)為，云計(jì)算環(huán)境的第二大威脅是數(shù)據(jù)丟失。用戶有可能會(huì)眼睜睜地看著那些寶貴數(shù)據(jù)消失得無(wú)影無(wú)蹤，但是卻對(duì)此毫無(wú)辦法。不懷好意的黑客會(huì)刪除攻擊對(duì)象的數(shù)據(jù)。粗心大意的服務(wù)提供商或者災(zāi)難(如大火、洪水或地震)也可能導(dǎo)致用戶的數(shù)據(jù)丟失。讓情況更為嚴(yán)峻的是，要是用戶丟失了加密密鑰，那么對(duì)數(shù)據(jù)進(jìn)行加密的行為反而會(huì)給用戶帶來(lái)麻煩。

報(bào)告特別指出，數(shù)據(jù)丟失帶來(lái)的問(wèn)題不僅僅可能影響企業(yè)與客戶之間的關(guān)系。按照法規(guī)，企業(yè)必須存儲(chǔ)某些數(shù)據(jù)存檔以備核查，然而這些數(shù)據(jù)一旦丟失，企業(yè)由此有可能陷入困境，遭到政府的處罰。

安全威脅3: 數(shù)據(jù)劫持

第三大云計(jì)算安全風(fēng)險(xiǎn)是賬戶或服務(wù)流量被劫持。CSA認(rèn)為，云計(jì)算在這方面增添了一個(gè)新的威脅。如果黑客獲取了企業(yè)的登錄資料，其就有可能竊聽(tīng)相關(guān)活動(dòng)和交易，并操縱數(shù)據(jù)、返回虛假信息，將企業(yè)客戶引到非法網(wǎng)站。報(bào)告表示：“你的賬戶或服務(wù)實(shí)例可能成為攻擊者新的大本營(yíng)。他們進(jìn)而會(huì)利用你的良好信譽(yù)，對(duì)外發(fā)動(dòng)攻擊。”CSA在報(bào)告中提到了2010年亞馬遜曾遭遇到的跨站腳本(XSS)攻擊。

要抵御這種威脅，關(guān)鍵在于保護(hù)好登錄資料，以免被偷竊。CSA認(rèn)為：“企業(yè)應(yīng)考慮禁止用戶與服務(wù)商之間共享賬戶登錄資料。可能的話，企業(yè)應(yīng)該盡量采用安全性高的雙因子驗(yàn)證技術(shù)。”

安全威脅4:不安全的接口

第四大安全威脅是不安全的接口(API)。IT管理員們會(huì)利用API對(duì)云服務(wù)進(jìn)行配置、管理、協(xié)調(diào)和監(jiān)控。API對(duì)一般云服務(wù)的安全性和可用性來(lái)說(shuō)極為重要。企業(yè)和第三方因而經(jīng)常在這些接口的基礎(chǔ)上進(jìn)行開(kāi)發(fā)，并提供附加服務(wù)。CSA在報(bào)告中表示：“這為接口管理增加了復(fù)雜度。由于這種做法會(huì)要求企業(yè)將登錄資料交給第三方，以便相互聯(lián)系，因此其也加大了風(fēng)險(xiǎn)。”

CSA在此給出的建議是，企業(yè)要明白使用、管理、協(xié)調(diào)和監(jiān)控云服務(wù)會(huì)在安全方面帶來(lái)什么影響。安全性差的API會(huì)讓企業(yè)面臨涉及機(jī)密性、完整性、可用性和問(wèn)責(zé)性的安全問(wèn)題。

安全威脅5: 拒絕服務(wù)攻擊

分布式拒絕服務(wù)(DDoS)被列為云計(jì)算面臨的第五大安全威脅。多年來(lái)，DDoS一直都是互聯(lián)網(wǎng)的一大威脅。而在云計(jì)算時(shí)代，許多企業(yè)會(huì)需要一項(xiàng)或多項(xiàng)服務(wù)保持7×24小時(shí)的可用性，在這種情況下這個(gè)威脅顯得尤為嚴(yán)重。DDoS引起的服務(wù)停用會(huì)讓服務(wù)提供商失去客戶，還會(huì)給按照使用時(shí)間和磁盤空間為云服務(wù)付費(fèi)的用戶造成慘重?fù)p失。雖然攻擊者可能無(wú)法完全摧垮服務(wù)，但是“還是可能讓計(jì)算資源消耗大量的處理時(shí)間，以至于對(duì)提供商來(lái)說(shuō)運(yùn)行成本大大提高，只好被迫自行關(guān)掉服務(wù)。”

安全威脅6: 不懷好意的“臨時(shí)工”

第六大威脅是不懷好意的內(nèi)部人員，這些人可能是在職或離任的員工、合同工或者業(yè)務(wù)合作伙伴。他們會(huì)不懷好意地訪問(wèn)網(wǎng)絡(luò)、系統(tǒng)或數(shù)據(jù)。在云服務(wù)設(shè)計(jì)不當(dāng)?shù)膱?chǎng)景下，不懷好意的內(nèi)部人員可能會(huì)造成較大的破壞。從基礎(chǔ)設(shè)施即服務(wù)(IaaS)、平臺(tái)即服務(wù)(PaaS)到軟件即服務(wù)(SaaS)，不懷好意的內(nèi)部人員擁有比外部人員更高的訪問(wèn)級(jí)別，因而得以接觸到重要的系統(tǒng)，最終訪問(wèn)數(shù)據(jù)。在云服務(wù)提供商完全對(duì)數(shù)據(jù)安全負(fù)責(zé)的場(chǎng)合下，權(quán)限控制在保證數(shù)據(jù)安全方面有著很大作用。CSA方面認(rèn)為：“就算云計(jì)算服務(wù)商實(shí)施了加密技術(shù)，如果密鑰沒(méi)有交由客戶保管，那么系統(tǒng)仍容易遭到不懷好意的內(nèi)部人員攻擊。”

安全威脅7:濫用云服務(wù)

第七大安全威脅是云服務(wù)濫用，比如壞人利用云服務(wù)破解普通計(jì)算機(jī)很難破解的加密密鑰。另一個(gè)例子是，惡意黑客利用云服務(wù)器發(fā)動(dòng)分布式拒絕服務(wù)攻擊、傳播惡意軟件或共享盜版軟件。這其中面臨的挑戰(zhàn)是，云服務(wù)提供商需要確定哪些操作是服務(wù)濫用，并且確定識(shí)別服務(wù)濫用的最佳流程和方法。

安全威脅8:貿(mào)然行事

第八大云計(jì)算安全威脅是調(diào)查不夠充分，也就是說(shuō)，企業(yè)還沒(méi)有充分了解云計(jì)算服務(wù)商的系統(tǒng)環(huán)境及相關(guān)風(fēng)險(xiǎn)，就貿(mào)然采用云服務(wù)。因此，企業(yè)進(jìn)入到云端需要與服務(wù)提供商簽訂合同，明確責(zé)任和透明度方面的問(wèn)題。此外，如果公司的開(kāi)發(fā)團(tuán)隊(duì)對(duì)云技術(shù)不夠熟悉，就把應(yīng)用程序貿(mào)然放到云端，可能會(huì)由此出現(xiàn)運(yùn)營(yíng)和架構(gòu)方面的問(wèn)題。CSA的基本忠告是，企業(yè)要確保自己有足夠的資源準(zhǔn)備，而且進(jìn)入到云端之前進(jìn)行了充分的調(diào)查工作。

安全威脅9:共享隔離問(wèn)題

最后，CSA將共享技術(shù)的安全漏洞列為云計(jì)算所面臨的第九大安全威脅。云服務(wù)提供商經(jīng)常共享基礎(chǔ)設(shè)施、平臺(tái)和應(yīng)用程序，并以一種靈活擴(kuò)展的方式來(lái)交付服務(wù)。CSA在報(bào)告中表示：“共享技術(shù)的安全漏洞很有可能存在于所有云計(jì)算的交付模式中，無(wú)論構(gòu)成數(shù)據(jù)中心基礎(chǔ)設(shè)施的底層部件(如處理器、內(nèi)存和GPU等)是不是為多租戶架構(gòu)(IaaS)、可重新部署的平臺(tái)(PaaS)或多用戶應(yīng)用程序(SaaS)提供了隔離特性。”

如果極其重要的數(shù)據(jù)中心組成部分，比如虛擬機(jī)管理程序、共享平臺(tái)組件或者應(yīng)用程序受到攻擊，那么由此可能導(dǎo)致整個(gè)環(huán)境遭受到損害。CSA建議采用更深入的整體防御策略，通過(guò)涵蓋計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)、應(yīng)用程序、用戶安全執(zhí)行以及監(jiān)控等多個(gè)層面的解決方案，來(lái)應(yīng)對(duì)相應(yīng)的安全挑戰(zhàn)。