聊聊：云计算漏洞风险的识别与应对措施

yizhongqiao

在十不到的时间里云计算已从一个有趣的新概念发展成为业界的一大主流市场。业界对云计算未来的期望普遍较高摩根士丹利预测A络服务AWS将在2022突破二百四十亿美收入的大关。当然任何单一一家供应商云计算业务的成功都完全取决于它帮助用户消除关于云计算安全性担忧的能力相关的问题仍然出现在一些按需部署的项目中。未来随着企业上云需求的增长，将会带动更多云服务基础资源的消耗，特别在灾备中心服务的水平上，企业也会更加关注云化转型过程中，云服务与核心业务场景和产业生态的深度结合。

高度虚拟化、多租户环境更易于受到攻击这一说法只是源于某种信念即让云计算如此吸引客户的高水平可访问性和灵活性也为居心叵测的黑客开启了机会之门。

这些关于云计算漏洞的担忧往往会影响客户是否把最重要应用程序迁往云计算的决策。然而有迹象表明云计算安全性已越来越不如以那样成为云计算发展的障碍。按需模式的魅力是如此巨大以至于众多企业都愿意放下对数据安全性和私密性的担心至少在实验基础上使用基于项目的基础设施即服务IS部署以支持对短期资源的需求。

自信心差距

好消息就是云计算的下一波部署已取得相当的成功这有助于增强用户使用这一模式的信心。但是在仍未使用云计算的企业与已使用云计算的企业之间仍然存在着信心差距。研究S I受微软委托对200多家中小型企业SMB进行了一次调查结果发现不使用云计算服务的企业中有42认为云计算是根本不可靠的。相比之下在20136进行的一次调查中94的中小型受访企业表示他们所使用的基于云计算的应用程序的安全等级要高于他们在内部实施的安全等级。这些调查结果都有力地支持如下观点即很多企业事实上发现云计算最引人注目的好处之一竟然是供应商可以提供一定程度的专业知识和集成安全性这要比很多企业自身在内部实施的水平更高。简而言之安全性是云计算供应商的一个关键区分点。

那么什么样的云计算特定漏洞和威胁是最危险的以及供应商如何才能最好地保护他们的云计算环境呢？现实情况是既不是安全威胁的一般性质也不是部署迁移风险的类型与传统环境有根本性的差别。攻击者倾向于遵循相似的模式并使用在传统环境中已习惯使用的相同方法：绕过访问控制、发现有价值的数据、控制数据所在的资产然后盗取或泄露数据。但是云计算的本质特性就意味着供应商需要调整他们的方法以解决按需环境的具体问题。

采用分层方法减少云计算漏洞的负面影响

正如他们保护传统IT环境一样云计算供应商需要一个多层的方法来全面地解决安全性问题这个方法将集多种技术于一体如访问管理、周边安全性和威胁管理、加密、分布式拒绝服务DDS缓解以及私密性和合规性管理。但是在一个共享的云计算环境中诸如识别与访问管理这样的组件已变得尤为重要因为来自于多个客户的数据都被存储在同一个共享环境中并通过同一个共享环境被访问。云计算供应商需要向客户确保他们能够提供一个高效的解决方案它不仅能够授权访问而且能够在虚拟环境中使用诸如多重因素身份验证的方法进行身份验证。

供应商还需要通过使用监控工具来解决管理程序安全性的问题这些监控工具能够检测可疑行为其中包括非正常的流量模式和非正常的交易行为这些非正常的现象有可能意味着一个影响环境完整性的威胁。供应商还需要通过介绍他们是如何在逻辑上区分客户数据从私密性和兼容性两方面回答关于数据混合的问题。

很多黑客都会在云计算上发动大规模攻击其目的在于让环境超负荷运行而暴露出漏洞。至此供应商需要采取正确的DS缓解措施以便于在攻击行为影响环境之发现异常流量。

此外在一个多租户的环境中供应商需要确保把应用程序工作负载从传统环境迁移出的企业已对一些因素正确配置宽带设置其中包括加密或非加密的数据通道、IP地址和主机名所以它们是通过一个安全的通道进行传输。

供应商在保护云计算数据时会面临着一系列的挑战但是事实上真正的考验在于学习如何努力有效地与客户进行沟通这将涉及介绍安全控制和突出供应商应对漏洞的突发事件等内容。

云计算的成功取决于很多的因素。虽然诸如价格和数据地理位置这样的问题是很重要的但是真正体现云计算供应商能力的在于它能够成为其客户可信赖的伙伴不仅提供适当的基础设施而且还能因为信守承诺而变得值得信赖。