看一看云计算发展惹质疑安全厂商竞逐“云安全”

yizhongqiao

人无信不立云同样如此。不久之发生的支付宝故障和携程瘫痪等事件再次将信息安全推至风口浪尖。技术从来都是把双刃剑在提高生产力的同时也使得安全更为脆弱。鉴于社会的实际需要，云管理需要改变一些原有的问题，更好的服务于社会，造福于人们。

这一点在云计算领域表现的尤其明显。云计算将资源集中在一起可以想象一旦发生安全问题那么所有的服务将不可用。全球首屈一指的云服务提供商亚马逊曾经在一半的时间内发生过5次云服务器宕机的事件导致许多无法正常访问。

而随着越来越多的云落地针对云服务的攻击越来越多。在国家互联应急中心(CNCERT)4底发布的《2014中国互联安全报告》中指出云服务益成为络攻击的重点目标。

报告指出2014先后发生了多起因电力、机房线路和络故障导致的云服务宕机事件针对云平台的攻击事件也逐增多仅由CNCERT协助处置的大规模攻击事件就达十余起涉及UC、浙江宁波某IDC机房等国内云平台。　

师夷长技以制夷。国内诸多互联厂商提出云安全的概念借云之力保护云服务的安全。他们的计划是通过大量客户端对络中软件行为进行监测获取互联中木马、恶意程序的最新信息推送到服务端进行自动分析和处理再把病毒和木马的解决方案分发到每一个客户端。

将整个互联变成了一个超级大的杀毒软件这就是云安全计划的宏伟目标。在百度百科中给出了这样的解释。

传统的安全厂商则是通过传统安全产品虚拟化的方式为云服务提供商和云用户提供灵活的、可扩展的安全防护。

坦白来说和传统IDC安全不同云安全还处于起步阶段市面上没有十分完善和成熟的解决方案。不过随着越来越多厂商加入云安全的生态圈相信云服务的安全方案也会渐趋成熟。来自中国联通云计算的一位专家向记者表示。

攻击升温

事实上自云计算诞生以来云服务的安全问题就伴随其左右并成为其走向规模商用的最大掣肘。早在20105埃森哲与中国电子学会共同发布的一份名为《中国云计算发展的务实之路》的报告指出安全问题是全球对云计算最大的质疑。而这种担忧在中国尤为突出以至于首席信息官们如履薄冰特别是面对公有云服务时。

阿里巴巴集团安全部资深专家魏兴国表示当云计算面临着非常恶劣的络环境。报告显示在国外的主流云服务提供商中他们的云主机很大比例都是被入侵过的云主机而且很多用户对入侵完全不知情。

魏兴国说事实上阿里云遭遇攻击的频率也非常之高。就DDS攻击来说每周就有2000次左右的攻击而且每次攻击流量都很高;密码破解类的攻击则每周发生上亿次。

就在618阿里云安全在微博上透露当天阿里云用户遭受多次超大流量DDS攻击攻击峰值接300G此次被攻击的阿里云用户多属于电商行业。

尽管通过流量清洗等技术手段成功化解了攻击但是可以看到未来云服务遭受攻击次数将逐步上升可能一天之内就会发生多次攻击。

针对云服务的攻击将会越来越多。而且DDS和APT攻击将成为主要的攻击手段。IDC安全领域分析师王培接受记者采访时表示。

安全狗给出的分析报告显示针对云服务器的攻击类型主要包括三种。一是针对云服务器上应用系统的攻击这类攻击也是在所有攻击中占比最高的;二是针对云服务器远程登录密码的暴力破解攻击;三是针对云服务器的DDS攻击。

2014全球范围内的云服务出现了大量的DDOS攻击事件。12中旬某大型互联服务商的云平台上一家知名游戏遭受DDS攻击攻击峰值流量超过450G。

与此同时《2014中国互联安全报告》指出除了DDS攻击之外钓鱼站点逐渐向云平台迁移。云服务申请和使用方便、成本低廉、安全审核不严且云平台同时承载多种不同类型的业务传统基于IP地址的追踪处置手段难以适用益成为钓鱼栖息的温床。

《2014中国互联安全报告》针对2014处置的银行类钓鱼分析按所承载的钓鱼数据排序排名十的IP地址有4个属于云服务提供商。报告认为云平台的逐步普及将加大数据泄露和络攻击风险防护措施和管理机制有待完善。云计算技术的发展推动数据的集中化在大数据时代海量数据既是企业和用户的核心资产也成为络攻击瞄准的目标。以窃取数据为主要目的的攻击事件将越来越多云平台自身的络安全防护特别是对海量数据安全的防护将面临挑战。

值得一提的是云安全事件频发和企业云平台缺乏安全审核和管理机制也有着很大的关系。专家指出目大多数云服务商的安全审核机制并不完善用户租用后作何用途云服务商并不清楚知晓也未作严格审核或周期性检查因此出现黑客在云平台部署钓鱼、传播恶意代码或发动攻击的情况如不及时加强管理未来这种现象将继续增多。

师夷长技以制夷

从云计算诞生那天起安全厂商就开始投入到云相关安全产品的研发中去。而最早提出云安全概念的是趋势科技20085趋势科技在美国正式推出了云安全技术。

由于安全是内生问题将云安全作为一个单独的事物对待在当时曾经引起了广泛的争议。这个现象在百度百科上也可以查阅到：云安全的概念提出后曾引起了广泛的争议许多人认为它是伪命题。

事实胜于雄辩云安全的发展像一阵风瑞星、趋势、卡巴斯基、MA、赛门铁克、江民科技、金山、360安全卫士等都推出了云安全解决方案。

这些以纯软件为主的安全厂商倾向于借助互联的力量和云本身的优势来保护云的安全。他们对于云安全的策略构想是使用者越多每个使用者就越安全因为如此庞大的用户群足以覆盖互联的每个角落只要某个被挂马或某个新木马病毒出现就会立刻被截获。

同时利用云安全体系杀毒软件能够更快地收集病毒样本更快地对病毒进行处理并能在络威胁到达用户电脑就对其进行阻止反病毒的效率大大提升而且将更为智能化带来更完善的用户体验最终目的可让互联时代的用户都能得到更快、更全面的安全保护。

而传统的硬件安全厂商则开始推动安全产品的云化虚拟防火墙就是安全产品云化或是虚拟化的代表产品。例如以防火墙和入侵监测等安全设备都是以盒子的形式和服务器一起共同放到一个机架上云化之后这些产品就以虚拟机的形式存在。

未来安全产品将逐步软件化特别是随着NFV和SDN的逐步应用安全产品就更多以软件形式存在。上述中国联通云计算的专家向记者表示。

云计算的发展推动了大数据的应用。反过来借助大数据可以在很大程度上提升云的安全性。

要从本地络流量中发现未知威胁相对于互联世界而言仿佛研究森林中的一篇叶子效率很低。因此与其研究一片叶子不如研究整片森林。360副总裁谭晓生表示只有通过对互联海量多维数据的分析、挖掘和关联才能真正解决从被监控流量中快速发现未知威胁的难题。

无疑大数据将在未来云安全领域扮演着重要角色。

值得一提的是将安全作为一种服务也逐步受到业界的青睐。目阿里巴巴、腾和百度三大互联巨头都在推广这一服务理念例如阿里巴巴的云盾就是典型的安全即服务(S S)。与此同时涌现出越来越多的厂商推出安全即服务。

IDC认为安全即服务产品的优势在于价值生成时间(T V)短、对变化(签名、文件、更新、代码修复等等)的反应时间短、供应商的配置成本低、客户的使用成本低。

王培告诉记者目中小企业倾向于采用安全即服务的模式而大企业特别是金融、电信等行业还是倾向于自建云数据中心安全体系。

　重塑生态链

正如云计算重塑生态链一样云安全也在重塑生态链。

谭晓生表示云服务不是零和博弈云计算的复杂性超出了一家企业的掌控能力;安全威胁是云计算产业链中所有人的敌人。因此只有合作才能共赢赢得云安全。他说。

于是越来越多的厂商选择合作共建云安全生态体系。2013底安全宝和腾云开展战略合作今3华为和安全狗合作安全狗产品及安全狗加固系统环境服务入驻华为云应用超市。诸如此类的合作案例还有很多。

技术之外建立云安全标准体系也成为云安全的一条必经之路。云安全联盟(CSA)常务董事吉姆雷维斯认为由于企业迁移到云中的速度变得越来越快建立安全标准已经成为不可忽视的头等问题。他进一步指出尤其是虚拟化和云计算让越来越多的数据和资产都集中到单独的基础设施上带来风险集中的问题需要被认识到。

国内云计算专家指出目云安全的标准化尚处于初级阶段我们要尽快开展云安全标准研究填补国内外云安全标准空白。

看一看云计算发展惹质疑 安全厂商竞逐“云安全”

浏览过的版块

看一看云计算发展惹质疑安全厂商竞逐“云安全”