自被提出以來(lái)，安全問(wèn)題就如影隨形，云計(jì)算的落地也因?yàn)榘踩珕?wèn)題遲遲未能大范圍的落地，但隨著技術(shù)的發(fā)展，盡管安全問(wèn)題已逐漸褪去“云計(jì)算阻礙者”的包袱，但依舊還是云計(jì)算服務(wù)提供商和用戶(hù)的頭疼的大問(wèn)題。
云計(jì)算安全聯(lián)盟CSA近日發(fā)布了一項(xiàng)關(guān)于云計(jì)算安全的最新調(diào)查報(bào)告，調(diào)查發(fā)現(xiàn)在安全專(zhuān)家們看來(lái)，網(wǎng)絡(luò)犯罪分子和黑客造成的混亂是云計(jì)算領(lǐng)域面臨的最大的威脅。CSA云計(jì)算安全聯(lián)盟列出的云計(jì)算行業(yè)面臨的九大安全威脅，排序依次是 1.數(shù)據(jù)泄露 2.數(shù)據(jù)丟失 3.帳戶(hù)劫持 4.不安全的API 5.拒絕服務(wù)攻擊 6.內(nèi)部人員的惡意操作 7.云計(jì)算服務(wù)的濫用 8.云服務(wù)規(guī)劃不合理 9.共享技術(shù)的漏洞問(wèn)題。
安全重點(diǎn)發(fā)生變化
從云計(jì)算安全聯(lián)盟CSA這項(xiàng)調(diào)查報(bào)告我們可以發(fā)現(xiàn)云計(jì)算安全領(lǐng)域的重點(diǎn)發(fā)生了變化，主要以盜取數(shù)據(jù)的網(wǎng)絡(luò)攻擊為主，而且危害也越來(lái)越嚴(yán)重。相比2010年，此次CSA列出的威脅發(fā)生了較大的變化，數(shù)據(jù)泄露和帳戶(hù)劫持的比例分別上升了1和3個(gè)百分點(diǎn)，與此同時(shí)，拒絕服務(wù)攻擊也首次上升到安全威脅榜第五的位置。
【圖：數(shù)據(jù)泄露】
云安全聯(lián)盟CSA的報(bào)告指出這些威脅主要發(fā)生在企業(yè)用戶(hù)在進(jìn)行數(shù)據(jù)和業(yè)務(wù)交互過(guò)程此外，這種威脅已經(jīng)開(kāi)始慢慢滲入到企業(yè)、政府和教育機(jī)構(gòu)的Web站點(diǎn)和服務(wù)提供商。
根據(jù)隱私權(quán)信息交流中心的數(shù)據(jù)來(lái)看，截止到今年有黑客攻擊造成的數(shù)據(jù)泄露已有起，導(dǎo)致117000條記錄丟失，被攻擊的服務(wù)提供商包括Zendesk和。2012年，至少發(fā)生了230起數(shù)據(jù)泄露，造成至少900萬(wàn)條記錄的丟失。受此困擾的服務(wù)提供商包括Yahoo、eHarmony和LinkedIn。
專(zhuān)家一致認(rèn)為只要企業(yè)在互聯(lián)網(wǎng)進(jìn)行業(yè)務(wù)就無(wú)法避免黑客的攻擊，因?yàn)椤暗叵潞诳汀卑l(fā)展越來(lái)越復(fù)雜，黑客總是能獲取到相關(guān)的軟件工具已達(dá)到自己的目的。
Gartner分析師Lawrence Pingree表示，“所有預(yù)置的非和非云部署的漏洞和安全問(wèn)題仍存在云中，如果整個(gè)云計(jì)算供應(yīng)商的基礎(chǔ)設(shè)施被破壞，那些為了云化和虛擬化而引入的虛擬化軟件反而增加了數(shù)據(jù)外泄的風(fēng)險(xiǎn)。”
黑客行為并不是唯一的威脅
令人驚訝的是在CSA的列表的第二大威脅并不是來(lái)自網(wǎng)絡(luò)犯罪的攻擊造成的數(shù)據(jù)丟失，卻是來(lái)自云服務(wù)商本身，云計(jì)算服務(wù)商內(nèi)部人員的意外刪除操作導(dǎo)致的數(shù)據(jù)丟失，這種情況的數(shù)據(jù)丟失更是時(shí)常發(fā)生，而且發(fā)生的概率絕對(duì)大于人們的想象。
【圖：內(nèi)部人員誤操作】
在一月份針對(duì)3200個(gè)組織機(jī)構(gòu)的調(diào)查中，發(fā)現(xiàn)超過(guò)40%的企業(yè)丟失了云中的數(shù)據(jù)，不得不依靠備份數(shù)據(jù)進(jìn)行數(shù)據(jù)的恢復(fù)，這樣的數(shù)據(jù)實(shí)在驚人。
無(wú)論是因?yàn)楹诳偷墓暨€是因?yàn)榉?wù)提供商，數(shù)據(jù)的丟失無(wú)疑是傷害了多方的利益，不管是誰(shuí)的錯(cuò)，客戶(hù)和服務(wù)提供商的利益都將收到損害，他們損失的不僅僅是營(yíng)收，還有可能連同客戶(hù)的信任一起失去，所以數(shù)據(jù)丟失才會(huì)名列威脅榜首。
【圖：API安全】
2010年排在威脅榜第四的API目前有所改善，今年的名次下降到了第四，應(yīng)該說(shuō)是一件好事吧。
API中文為應(yīng)用程序編程接口，顧名思義就是連接云服務(wù)和本地應(yīng)用的接口，通過(guò)bending應(yīng)用來(lái)管理云服務(wù)。但隨著技術(shù)的進(jìn)步，從目前的形勢(shì)來(lái)看，云服務(wù)商在對(duì)API的鎖定上仍有很長(zhǎng)的路要走，看API的排名就再清楚不過(guò)了。
云服務(wù)濫用嚴(yán)峻
內(nèi)部員工惡意操作、云服務(wù)的濫用、云服務(wù)規(guī)劃不足和共享技術(shù)的漏洞這些都很有可能發(fā)生在云服務(wù)提供商內(nèi)部的基礎(chǔ)設(shè)施架構(gòu)中，所以如果出意外，所有的客戶(hù)都將受到影響。
【圖：云服務(wù)濫用】
云服務(wù)的濫用指的的是黑客侵入云計(jì)算服務(wù)提供商內(nèi)部的執(zhí)行惡意操作，例如發(fā)動(dòng)拒絕服務(wù)攻擊和垃圾軟件。而這四個(gè)應(yīng)用在2010的排名還很靠后，現(xiàn)在的危害也越來(lái)越明顯。
總體來(lái)看，2013年的云安全問(wèn)題真是魚(yú)龍混雜。很多領(lǐng)域得到改善，但數(shù)據(jù)保護(hù)的需求也越來(lái)越明顯，Gartner預(yù)測(cè)2016年公共云的營(yíng)收將達(dá)到2066億美元，不過(guò)筆者認(rèn)為除非數(shù)據(jù)安全問(wèn)題得到很好的解決，否則這樣高的收入不太容易實(shí)現(xiàn)。