云計算安全聯盟(CSA)近期發布的報告總結了9種威脅云計算安全的“罪魁禍首”。在這其中，數據泄露、數據丟失和數據劫持三類威脅排名靠前。

[[73960]]

現如今，云計算已經成為備受業界關注的焦點。很多廠商都在推出幫助IT人員掌控云計算運行環境的產品和服務。但是對企業來說，要做的第一步不應該是倉促上馬項目，而是清楚認知云計算的最大安全威脅是什么。

為此，CSA(Cloud Security Alliance，云計算安全聯盟)列出了2013年云計算領域的9個安全威脅。云計算安全聯盟的這篇報告題目是《9大禍害：2013年云計算威脅排名》(The Notorious Nine: Cloud Computing Top Threats in 2013)。這一報告體現了行業專家對于云計算安全的看法，并著重列出了與云計算有關的各類威脅。

安全威脅1:數據泄露

為了表明數據泄露對企業的危害程度，CSA在報告中提到了其在2012年11月發表的一篇研究文章，該文章描述了黑客如何利用邊信道(Side-Channel)時間信息，通過侵入一臺虛擬機來獲取同一服務器上的其他虛擬機所使用的私有密鑰。不過，其實不懷好意的黑客未必需要如此煞費苦心，就能確保這種攻擊得逞。要是多租戶云服務數據庫設計不當，哪怕某一個用戶的應用程序只存在一個漏洞，都可以讓攻擊者獲取這個用戶的數據，而且還能獲取其他用戶的數據。

要應對數據丟失和數據泄露方面的威脅，難就難在其有可能造成“拆東墻補西墻”般的效果。CSA報告認為：“你落實到位的措施可能可以緩解一種威脅，但是會加大遭遇另一種威脅的風險。”用戶可以對數據進行加密，以減小泄露的風險，不過一旦用戶丟失了加密密鑰，就再也無法查看數據了。反過來說，如果用戶決定對數據進行異地備份以減小數據丟失風險，卻就又加大了數據泄露的幾率。

安全威脅2:數據丟失

CSA認為，云計算環境的第二大威脅是數據丟失。用戶有可能會眼睜睜地看著那些寶貴數據消失得無影無蹤，但是卻對此毫無辦法。不懷好意的黑客會刪除攻擊對象的數據。粗心大意的服務提供商或者災難(如大火、洪水或地震)也可能導致用戶的數據丟失。讓情況更為嚴峻的是，要是用戶丟失了加密密鑰，那么對數據進行加密的行為反而會給用戶帶來麻煩。

報告特別指出，數據丟失帶來的問題不僅僅可能影響企業與客戶之間的關系。按照法規，企業必須存儲某些數據存檔以備核查，然而這些數據一旦丟失，企業由此有可能陷入困境，遭到政府的處罰。

安全威脅3: 數據劫持

第三大云計算安全風險是賬戶或服務流量被劫持。CSA認為，云計算在這方面增添了一個新的威脅。如果黑客獲取了企業的登錄資料，其就有可能竊聽相關活動和交易，并操縱數據、返回虛假信息，將企業客戶引到非法網站。報告表示：“你的賬戶或服務實例可能成為攻擊者新的大本營。他們進而會利用你的良好信譽，對外發動攻擊。”CSA在報告中提到了2010年亞馬遜曾遭遇到的跨站腳本(XSS)攻擊。

要抵御這種威脅，關鍵在于保護好登錄資料，以免被偷竊。CSA認為：“企業應考慮禁止用戶與服務商之間共享賬戶登錄資料。可能的話，企業應該盡量采用安全性高的雙因子驗證技術。”

安全威脅4:不安全的接口

第四大安全威脅是不安全的接口(API)。IT管理員們會利用API對云服務進行配置、管理、協調和監控。API對一般云服務的安全性和可用性來說極為重要。企業和第三方因而經常在這些接口的基礎上進行開發，并提供附加服務。CSA在報告中表示：“這為接口管理增加了復雜度。由于這種做法會要求企業將登錄資料交給第三方，以便相互聯系，因此其也加大了風險。”

CSA在此給出的建議是，企業要明白使用、管理、協調和監控云服務會在安全方面帶來什么影響。安全性差的API會讓企業面臨涉及機密性、完整性、可用性和問責性的安全問題。

安全威脅5: 拒絕服務攻擊

分布式拒絕服務(DDoS)被列為云計算面臨的第五大安全威脅。多年來，DDoS一直都是互聯網的一大威脅。而在云計算時代，許多企業會需要一項或多項服務保持7×24小時的可用性，在這種情況下這個威脅顯得尤為嚴重。DDoS引起的服務停用會讓服務提供商失去客戶，還會給按照使用時間和磁盤空間為云服務付費的用戶造成慘重損失。雖然攻擊者可能無法完全摧垮服務，但是“還是可能讓計算資源消耗大量的處理時間，以至于對提供商來說運行成本大大提高，只好被迫自行關掉服務。”

安全威脅6: 不懷好意的“臨時工”

第六大威脅是不懷好意的內部人員，這些人可能是在職或離任的員工、合同工或者業務合作伙伴。他們會不懷好意地訪問網絡、系統或數據。在云服務設計不當的場景下，不懷好意的內部人員可能會造成較大的破壞。從基礎設施即服務(IaaS)、平臺即服務(PaaS)到軟件即服務(SaaS)，不懷好意的內部人員擁有比外部人員更高的訪問級別，因而得以接觸到重要的系統，最終訪問數據。在云服務提供商完全對數據安全負責的場合下，權限控制在保證數據安全方面有著很大作用。CSA方面認為：“就算云計算服務商實施了加密技術，如果密鑰沒有交由客戶保管，那么系統仍容易遭到不懷好意的內部人員攻擊。”

安全威脅7:濫用云服務

第七大安全威脅是云服務濫用，比如壞人利用云服務破解普通計算機很難破解的加密密鑰。另一個例子是，惡意黑客利用云服務器發動分布式拒絕服務攻擊、傳播惡意軟件或共享盜版軟件。這其中面臨的挑戰是，云服務提供商需要確定哪些操作是服務濫用，并且確定識別服務濫用的最佳流程和方法。

安全威脅8:貿然行事

第八大云計算安全威脅是調查不夠充分，也就是說，企業還沒有充分了解云計算服務商的系統環境及相關風險，就貿然采用云服務。因此，企業進入到云端需要與服務提供商簽訂合同，明確責任和透明度方面的問題。此外，如果公司的開發團隊對云技術不夠熟悉，就把應用程序貿然放到云端，可能會由此出現運營和架構方面的問題。CSA的基本忠告是，企業要確保自己有足夠的資源準備，而且進入到云端之前進行了充分的調查工作。

安全威脅9:共享隔離問題

最后，CSA將共享技術的安全漏洞列為云計算所面臨的第九大安全威脅。云服務提供商經常共享基礎設施、平臺和應用程序，并以一種靈活擴展的方式來交付服務。CSA在報告中表示：“共享技術的安全漏洞很有可能存在于所有云計算的交付模式中，無論構成數據中心基礎設施的底層部件(如處理器、內存和GPU等)是不是為多租戶架構(IaaS)、可重新部署的平臺(PaaS)或多用戶應用程序(SaaS)提供了隔離特性。”

如果極其重要的數據中心組成部分，比如虛擬機管理程序、共享平臺組件或者應用程序受到攻擊，那么由此可能導致整個環境遭受到損害。CSA建議采用更深入的整體防御策略，通過涵蓋計算、存儲、網絡、應用程序、用戶安全執行以及監控等多個層面的解決方案，來應對相應的安全挑戰。