用戶對(duì)云計(jì)算缺乏安全感是我們從事云安全工作以來(lái)一直從客戶角度所獲得的一個(gè)直觀感受，而這種不安全感的產(chǎn)生固然和云計(jì)算的多租戶的技術(shù)特點(diǎn)有關(guān)系，但在數(shù)據(jù)就是生產(chǎn)力的當(dāng)下，這種不安全感可以進(jìn)一步解讀為對(duì)數(shù)據(jù)上云的安全顧慮。
先簡(jiǎn)單介紹下阿里云的業(yè)務(wù)現(xiàn)狀。得益于云計(jì)算的低成本、高彈性和按需付費(fèi)模式的產(chǎn)業(yè)特點(diǎn)，目前基于阿里云云計(jì)算服務(wù)所構(gòu)建的網(wǎng)站用戶已達(dá)到60多萬(wàn)，這個(gè)其中不但有中小網(wǎng)站站長(zhǎng)也有各類行業(yè)用戶，其中行業(yè)用戶涉及金融、政府、游戲、中小企業(yè)、電商等各個(gè)領(lǐng)域，考慮到政務(wù)行業(yè)在中國(guó)不但是云計(jì)算的推動(dòng)者也是使用者，今天我將從政務(wù)行業(yè)用戶視角解讀下對(duì)制約其選擇和使用云計(jì)算服務(wù)的安全困惑以及我們的安全實(shí)踐。
作為一個(gè)云服務(wù)商，我們?cè)诤驼⻊?wù)客戶交流中被問(wèn)的最多的就是云端的數(shù)據(jù)安全如何保證，用戶是否有效隔離，最好每個(gè)級(jí)別的地方政府、甚至政府里面的每個(gè)機(jī)構(gòu)都能給他一個(gè)單獨(dú)的物理空間、物理資源去放他的數(shù)據(jù)，這種對(duì)云端數(shù)據(jù)安全的要求可能源自于對(duì)云計(jì)算多租戶業(yè)務(wù)模式的安全顧慮，但這種安全要求到底是不是政務(wù)類客戶最實(shí)際的安全需求呢？我們看一組數(shù)據(jù)：
根據(jù)CNCERT發(fā)布的《2013 年我國(guó)互聯(lián)網(wǎng)面臨的安全形勢(shì)和威脅報(bào)告》中“第五點(diǎn)、政府網(wǎng)站面臨威脅依然嚴(yán)重，地方政府網(wǎng)站成為“重災(zāi)區(qū)”。報(bào)告中的數(shù)據(jù)顯示我國(guó)境內(nèi)被篡改網(wǎng)站數(shù)量為 24034 個(gè)，這些網(wǎng)站中有90%為省市級(jí)以下的地方政府，據(jù)CNCER分析這些入侵事件發(fā)生一方面是由于地方政府網(wǎng)站存在技術(shù)和管理水平有限、網(wǎng)絡(luò)安全防護(hù)能力薄弱、人員和資金投入不足等問(wèn)題，另一方面是越來(lái)越多的有組織高級(jí)持續(xù)性威脅（APT）攻擊事件發(fā)生在我國(guó)政務(wù)類網(wǎng)站上，記得2013年 3 月 20 日，美、韓軍事演習(xí)期間，韓國(guó)多家廣播電視臺(tái)和銀行等金融機(jī)構(gòu)遭受歷史上最大規(guī)模的惡意代碼攻擊，導(dǎo)致系統(tǒng)癱瘓，引發(fā)韓國(guó)社會(huì)一度混亂。韓國(guó)媒體不約而同的把攻擊的發(fā)起說(shuō)成是中國(guó)干的，后來(lái)經(jīng)過(guò)CNCERT的協(xié)助調(diào)查，才澄清了相關(guān)謠言，但是APT攻擊帶來(lái)的攻擊目標(biāo)聚焦、攻擊手段隱蔽、攻擊規(guī)模巨大等特點(diǎn)的確不是每個(gè)地方政府靠有限的人力、物力能夠應(yīng)對(duì)的。所以如何運(yùn)用有限的人力、物力防御基于篡改網(wǎng)站數(shù)據(jù)為目的的安全攻擊就是當(dāng)下電子政務(wù)類業(yè)務(wù)最為迫切的安全需求。
根據(jù)我們?cè)破脚_(tái)的安全運(yùn)營(yíng)數(shù)據(jù)，篡改網(wǎng)站數(shù)據(jù)攻擊途徑主要有以下兩種：
1、 利用Web安全漏洞寫入Webshell后門；
2、 通過(guò)破解主機(jī)管理賬戶密碼實(shí)現(xiàn)入侵；
前者我們?cè)戮鶔呙璋l(fā)現(xiàn)高危漏洞近100萬(wàn)、檢測(cè)出webshell后門10000個(gè)以上；后者月均防御密碼暴力破解行為10億次以上。從入侵的途徑上可以得出一個(gè)結(jié)論，真正要有效的防御網(wǎng)站入侵，需要全面部署應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)等方面防入侵產(chǎn)品或服務(wù)，那傳統(tǒng)安全和云安全分別是如何實(shí)現(xiàn)上述安全需求呢？
很明顯，云安全的解決方案具有低成本和安全運(yùn)營(yíng)的優(yōu)勢(shì)，但政務(wù)行業(yè)在面對(duì)大規(guī)模的復(fù)雜模式DDoS攻擊和以國(guó)家為單位發(fā)動(dòng)的APT攻擊面前，安全防御的考量對(duì)象就不應(yīng)該僅僅局限于產(chǎn)品和服務(wù)的安全攻防，而更應(yīng)該補(bǔ)上IT架構(gòu)這個(gè)考量對(duì)象。下面以一個(gè)實(shí)際發(fā)生的DDoS流量攻擊防御案例來(lái)做下說(shuō)明，如下圖所示：
這是今年2月發(fā)生在阿里云的典型DDoS攻防案例，19點(diǎn)14分，在這個(gè)晚飯時(shí)間點(diǎn)，黑客發(fā)起DDoS攻擊，攻擊類型為SYN大包、攻擊流量從30Gbps迅速上升到60Gbps，在19點(diǎn)20分黑客察覺(jué)攻擊無(wú)效后變換策略，攻擊類型變?yōu)镾YN小包攻擊、攻擊流量從200萬(wàn)PPS升到到700萬(wàn)PPS，在19點(diǎn)27分黑客察覺(jué)到攻擊依然無(wú)效后再次變換策略，攻擊類型變?yōu)镃C攻擊、攻擊流量表現(xiàn)為每秒HTTP請(qǐng)求升到到5萬(wàn)。但依然被我們?cè)瓢踩⻊?wù)（云盾）自動(dòng)防御成功。我今天講這個(gè)案例是想請(qǐng)大家注意到當(dāng)前來(lái)自于互聯(lián)網(wǎng)大流量攻擊的特點(diǎn)，因?yàn)檫@樣的攻擊我們每周就要防御數(shù)千起：
