新闻链接：http://security.chinaitlab.com/yaq/945572.html
新闻时间：2013-11-25
新闻正文：在十年不到的时间里，云计算已从一个有趣的新概念发展成为业界的一大主流市场。业界对云计算未来的期望普遍较高，摩根士丹利预测Amazon网络服务（AWS）将在2022年突破二百四十亿美元年收入的大关。当然，任何单一一家供应商云计算业务的成功都完全取决于它帮助用户消除关于云计算安全性担忧的能力，相关的问题仍然出现在一些按需部署的项目中。

　　"高度虚拟化、多租户环境更易于受到攻击"这一说法只是源于某种信念，即让云计算如此吸引客户的高水平可访问性和灵活性也为居心叵测的黑客开启了机会之门。

　　这些关于云计算漏洞的担忧往往会影响客户是否把最重要应用程序迁往云计算的决策。然而，有迹象表明，云计算安全性已越来越不如以前那样成为云计算发展的障碍。按需模式的魅力是如此巨大，以至于众多企业都愿意放下对数据安全性和私密性的担心，至少在实验基础上使用基于项目的基础设施即服务（IaaS） 部署以支持对短期资源的需求。

　　自信心差距

　　好消息就是云计算的下一波部署已取得相当的成功，这有助于增强用户使用这一模式的信心。但是，在仍未使用云计算的企业与已使用云计算的企业之间仍然存在着信心差距。研究公司comScore Inc.受微软公司委托对200多家中小型企业（SMB）进行了一次调查，结果发现不使用云计算服务的企业中有42%认为云计算是根本不可靠的。相比之下，在2013年6月进行的一次调查中94%的中小型受访企业表示，他们所使用的基于云计算的应用程序的安全等级要高于他们在内部实施的安全等级。这些调查结果都有力地支持如下观点，即很多企业事实上发现云计算最引人注目的好处之一竟然是，供应商可以提供一定程度的专业知识和集成安全性，这要比很多企业自身在内部实施的水平更高。简而言之，安全性是云计算供应商的一个关键区分点。

　　那么，什么样的云计算特定漏洞和威胁是最危险的，以及供应商如何才能最好地保护他们的云计算环境呢？现实情况是，既不是安全威胁的一般性质，也不是部署迁移风险的类型与传统环境有根本性的差别。攻击者倾向于遵循相似的模式，并使用在传统环境中已习惯使用的相同方法：绕过访问控制、发现有价值的数据、控制数据所在的资产，然后盗取或泄露数据。但是，云计算的本质特性就意味着供应商需要调整他们的方法以解决按需环境的具体问题。

　　采用分层方法，减少云计算漏洞的负面影响

　　正如他们保护传统IT环境一样，云计算供应商需要一个多层的方法来全面地解决安全性问题，这个方法将集多种技术于一体，如访问管理、周边安全性和威胁管理、加密、分布式拒绝服务（DDoS）缓解，以及私密性和合规性管理。但是，在一个共享的云计算环境中，诸如识别与访问管理这样的组件已变得尤为重要，因为来自于多个客户的数据都被存储在同一个共享环境中，并通过同一个共享环境被访问。云计算供应商需要向客户确保他们能够提供一个高效的解决方案，它不仅能够授权访问，而且能够在虚拟环境中使用诸如多重因素身份验证的方法进行身份验证。

　　供应商还需要通过使用监控工具来解决管理程序安全性的问题，这些监控工具能够检测可疑行为，其中包括非正常的流量模式和非正常的交易行为，这些非正常的现象有可能意味着一个影响环境完整性的威胁。供应商还需要通过介绍他们是如何在逻辑上区分客户数据，从私密性和兼容性两方面回答关于数据混合的问题。

　　很多黑客都会在云计算上发动大规模攻击，其目的在于让环境超负荷运行而暴露出漏洞。至此，供应商需要采取正确的DdoS缓解措施以便于在攻击行为影响环境之前发现异常流量。

　　此外，在一个多租户的环境中，供应商需要确保把应用程序工作负载从传统环境迁移出的企业已对一些因素正确配置通信设置--其中包括加密或非加密的数据通道、IP地址和主机名--所以它们是通过一个安全的通道进行传输。

　　供应商在保护云计算数据时会面临着一系列的挑战，但是事实上真正的考验在于学习如何努力有效地与客户进行沟通，这将涉及介绍安全控制和突出供应商应对漏洞的突发事件等内容。

　　云计算的成功取决于很多的因素。虽然诸如价格和数据地理位置这样的问题是很重要的，但是真正体现云计算供应商能力的在于它能够成为其客户可信赖的伙伴，不仅提供适当的基础设施，而且还能因为信守承诺而变得值得信赖。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)