近年來，云計算已經(jīng)成為整個互聯(lián)網(wǎng)科技行業(yè)市場常常掛在嘴邊的名詞，云計算的發(fā)展為國內(nèi)眾多企業(yè)注入了新的活力，由于云計算的技術(shù)先進性以及共享的商業(yè)模式帶來的巨大優(yōu)勢，大量企業(yè)已經(jīng)或正在將自己的數(shù)據(jù)中心“云化”。
根據(jù)美國市場研究機構(gòu)Synergy Research Group公布的2017 Q1～2018 Q4中國云基礎(chǔ)設(shè)施服務(wù)（IaaS）市場份額：
在中國市場，阿里云以40.5%的市場份額仍舊位列第一，騰訊云緊追其后，第四季度份額達到16.5%，收入環(huán)比增速34.3%，中國區(qū)排名第二。Top5的另外三名則被光環(huán)新網(wǎng)（AWS）、中國電信和中國聯(lián)通包攬。報告中數(shù)據(jù)還顯示，騰訊云在2018年全年的市場份額中占據(jù)15.3%,年收入增速達到104.7% ，在Top5廠商中增速最快，市場潛力不容小覷。
而目前國內(nèi)云計算龍頭企業(yè)在2018年實現(xiàn)了213.6億元的營收額，足以說明國內(nèi)云計算市場發(fā)展前景。
大量CIO表示業(yè)務(wù)上云之前會綜合考慮上云后的安全問題；同時，一部分的CIO由于對云的不信任導(dǎo)致上云失敗，因此，安全已然成為阻礙企業(yè)向云遷移的公認(rèn)事實。
在此背景下，本文簡單探討了云內(nèi)各類安全風(fēng)險以及風(fēng)險的部分應(yīng)對措施，希望本文對讀者有所幫助。
二、云內(nèi)安全風(fēng)險綜述
圍繞安全這個話題，我們永遠繞不開GRC（Governance、Risk、Compliance），即治理、風(fēng)險和合規(guī)。從某種程度上來說，合規(guī)也是安全風(fēng)險。本節(jié)將以此為出發(fā)點，集中討論云內(nèi)的各類安全風(fēng)險。
云內(nèi)風(fēng)險涵蓋面非常廣泛，為了便于閱讀，筆者將云內(nèi)風(fēng)險按照不同類別進行分類，并分別闡述各個類別下需要注意的安全風(fēng)險。
2.1基于部署模型的風(fēng)險
�。�1）私有云風(fēng)險
私有云是數(shù)據(jù)中心的傳統(tǒng)形態(tài)，企業(yè)控制所有基礎(chǔ)架構(gòu)，因此，相對于傳統(tǒng)數(shù)據(jù)中心可能出現(xiàn)的安全風(fēng)險，私有云數(shù)據(jù)中心也均有可能出現(xiàn)。例如：
- 人員威脅：包括無意和惡意的威脅，如云架構(gòu)師錯誤的Hypervisor配置導(dǎo)致隔離失效、惡意管理員“刪庫跑路”。
- 外部攻擊：如未經(jīng)授權(quán)的訪問、竊聽和DDOS攻擊、惡意軟件等
- 監(jiān)管不合規(guī)：相對于公有云、社區(qū)云，私有云中的監(jiān)管合規(guī)問題相對來說容易解決，因為一切盡在自己的控制之下。
- 自然災(zāi)害：洪水火災(zāi)泥石流等。
�。�2）社區(qū)云風(fēng)險
在社區(qū)云中，企業(yè)之間共享和分散資源，這種共享和分散資源在為社區(qū)提供便利的同時也帶來了下述風(fēng)險：
- 分散的決策風(fēng)險：由于社區(qū)云由整個社區(qū)共同出資、共同所有、共同維護，網(wǎng)絡(luò)所有權(quán)和運營也分散在了各個社區(qū)成員之間。因此，每個節(jié)點都有自己的入口，任一節(jié)點中的漏洞都可能導(dǎo)致對其他節(jié)點的入侵。同時，幾乎無法實現(xiàn)統(tǒng)一的配置管理、統(tǒng)一的基線。很明顯，由于社區(qū)云屬于大家共同維護，這種分散的運營維護將導(dǎo)致策略和管理方面巨大的困難。
- 訪問控制難以實現(xiàn)：由于社區(qū)成員分擔(dān)基礎(chǔ)架構(gòu)的開銷和成本，訪問控制策略措施難以做到統(tǒng)一滿足各個組織的需要。
- 性能和檢測的集中化管理缺失：各個社區(qū)成員無法實現(xiàn)質(zhì)量標(biāo)準(zhǔn)統(tǒng)一的集中化性能和安全檢測帶來的可靠性。
�。�3）公有云風(fēng)險
這是企業(yè)上云最常使用的部署模式。私有云和社區(qū)云中所有的風(fēng)險在公有云中均存在，當(dāng)然，本文將討論除此以外的公有云特有風(fēng)險。
- 云服務(wù)供應(yīng)商Lock-in：想象三種場景，（1）如果企業(yè)沒有做好盡職調(diào)查（Due Diligence），云服務(wù)商很可能使用專有的數(shù)據(jù)格式存儲企業(yè)的各類數(shù)據(jù)；（2）企業(yè)是個零售機構(gòu)，受理全球訂單，云內(nèi)主要處理訂單支付，因此需要滿足PCI-DSS支付卡行業(yè)標(biāo)準(zhǔn)要求，而目前國內(nèi)能夠滿足合規(guī)要求的云服務(wù)商寥寥無幾；（3）業(yè)務(wù)已經(jīng)在云內(nèi)運行5年，且產(chǎn)生了海量數(shù)據(jù)合同期滿后需要遷移到其他云供應(yīng)商。這三個常見的場景將會帶來三個相同的安全風(fēng)險：（1）數(shù)據(jù)格式專有，導(dǎo)致無法更換新的云服務(wù)商；（2）假使國內(nèi)僅有一家云服務(wù)提供商滿足PCI-DSS合規(guī)要求，在合同期滿后，云服務(wù)供應(yīng)商增加使用成本，企業(yè)將失去談判能力且無法變更云供應(yīng)商；（3）產(chǎn)生的海量數(shù)據(jù)遷移需要足夠的帶寬和時間，同時短期大量的遷移流量根據(jù)云服務(wù)商的階梯式流量費率，可能導(dǎo)致遷移費用大增而放棄遷移。
上述情況均會導(dǎo)致企業(yè)上云后被云服務(wù)商綁死（Lock-in）。
- 云服務(wù)商Lock-out：想象兩種場景，（1）云服務(wù)商被收購、破產(chǎn)重組（2）云服務(wù)商由于違法導(dǎo)致受到制裁停止運營。筆者不將窮舉所有可能導(dǎo)致云服務(wù)商無法提供服務(wù)的原因，但是這導(dǎo)致企業(yè)上云后的確面臨Lock-out的風(fēng)險：云服務(wù)商停止運營后如何保護我們的業(yè)務(wù)和數(shù)據(jù)持續(xù)運行？這里需要綜合考慮云服務(wù)提供商的生命周期、核心競爭力、司法管轄權(quán)、供應(yīng)鏈依賴性和適用的立法環(huán)境，在前期盡量做好云供應(yīng)商的選擇。
- 多租戶風(fēng)險：進入公有云意味著進入多租戶環(huán)境，多租戶帶來的風(fēng)險包括：（1）利益沖突，想象和你運營相同業(yè)務(wù)的競爭對手的虛擬機和你在同一朵云中，會發(fā)生什么？如果云數(shù)據(jù)庫管理員與競爭對手的關(guān)系非常好呢？你的數(shù)據(jù)很有可能被數(shù)據(jù)庫管理員泄露給競爭對手。很明顯，從安全的角度來說，這種風(fēng)險并非不存在，但是使用Brewer-Nash（也叫中國墻）訪問控制模型可以有效解決這個風(fēng)險；（2）特權(quán)提升，Vm Escape和Host Escape，即虛擬機逃逸和主機逃逸，可以在云中輕松實現(xiàn)特權(quán)提升，并訪問同一Host不同Vm或者不同Host中的虛擬機；（3）信息泄露，側(cè)信道攻擊方式可以通過多種方式判斷、檢測到同一Host不同云客戶的活動跡象信息，如客戶處理數(shù)據(jù)的時長等，這并非無害，這可能幫助別有用心的人判斷你選擇的數(shù)據(jù)處理產(chǎn)品，進而有針對性的進行漏洞利用；（4）法律活動，想象由于觸犯法律導(dǎo)致和你處于同一Host中的客戶硬盤被司法部門取證沒收用以調(diào)查，很明顯，由于分布式存儲的特性，你的數(shù)據(jù)可能也在那塊被取證沒收的磁盤中，風(fēng)險不言而喻。
�。�4）混合云風(fēng)險
混合云風(fēng)險包含私有云、社區(qū)云、公有云的所有風(fēng)險，這里不再贅述。
2.2基于服務(wù)模型的風(fēng)險
�。�1）IaaS模型風(fēng)險
- 人員威脅
- 外部威脅
- 缺乏特定技能：企業(yè)管理員不一定精通云計算環(huán)境的配置和部署，業(yè)務(wù)的運營可能面臨巨大的風(fēng)險。
- 互操作性風(fēng)險：PaaS模型中操作系統(tǒng)OS由云服務(wù)提供商進行管理和更新，所以當(dāng)環(huán)境有調(diào)整時，企業(yè)自己部署的軟件由于兼容性不一定能正常運行在云服務(wù)商的OS上。
- 后門風(fēng)險：PaaS常用于軟件開發(fā)和DevOps，這些軟件產(chǎn)品發(fā)布后開發(fā)人員常常忘記把前期自己留的后門刪除，導(dǎo)致后期出現(xiàn)0day漏洞。
�。�3）SaaS模型風(fēng)險
- 專有格式：SaaS意味著使用云提供商的應(yīng)用，他們可能使用自己的專有格式收集、存儲和現(xiàn)實數(shù)據(jù)，這可能導(dǎo)致可移植性的降低。
- Web應(yīng)用安全：大多數(shù)SaaS產(chǎn)品依賴于瀏覽器訪問，通過web的訪問導(dǎo)致Owasp Top10中所有風(fēng)險均存在于SaaS云環(huán)境中。
2.3基于虛擬化類型的風(fēng)險
（1）Type1類型風(fēng)險
Type1類型即裸金屬架構(gòu)，采用虛擬化管理軟件Hypervisor作為虛擬化實例和主機資源之間的接口和控制器。惡意黑客認(rèn)為Hypervisor是一個潛在的攻擊目標(biāo)，因為系統(tǒng)中較低層提供了更大的控制。通過破壞Hypervisor，可以控制已安裝的VM、物理系統(tǒng)和托管應(yīng)用程序。
常見攻擊包括超級劫持（安裝可以完全控制服務(wù)器的流氓虛擬機管理程序），例如SubVir，Blue Pill（使用AMD安全虛擬機[SVM]的hypervisor rootkit），Vitriol（使用Intel VT-x的Hypervisor rootkit），以及直接內(nèi)核結(jié)構(gòu)操作（DKSM）。
�。�2）Type2類型風(fēng)險
Type2類型即宿主架構(gòu)，它具有Type1類型的所有風(fēng)險，同時相比于Type1類型，Type2類型多了一層OS，從安全的角度來看，新加入的OS引入了更多的攻擊面，這個OS比VMM更復(fù)雜，可能含有更多的漏洞。
2.4其他類型的風(fēng)險
上述根據(jù)不同分類列舉的風(fēng)險難以囊括云環(huán)境中企業(yè)可能面臨的所有安全風(fēng)險，筆者也不打算將所有云內(nèi)風(fēng)險全部羅列出來，本文僅討論以下重要的云內(nèi)風(fēng)險內(nèi)容。下面簡單闡述每個所列舉風(fēng)險的基本含義，有時間再進行詳細(xì)說明。
- 隱私風(fēng)險：云內(nèi)數(shù)據(jù)大集中意味著風(fēng)險大集中，隱私安全作為數(shù)據(jù)安全的一部分在國內(nèi)外均格外受到重視。云存儲中可能包含眾多的公民隱私PII數(shù)據(jù)，這些PII數(shù)據(jù)如果沒有得到有效的保護，將會受到法律的制裁。國際上，歐盟GDPR立法對公民隱私保護提出了現(xiàn)有最高要求，各國處理、存儲、采集歐盟成員國公民PII數(shù)據(jù)均需要滿足GDPR或者簽署具有同等效力的合同約束，或者制定專門法律以滿足GDPR要求，如美國的安全港協(xié)議和隱私保護盾協(xié)議。除了歐盟，美國GAPP、國際ISO 27018、OECD均對公民個人隱私保護提出了安全保護要求，在考慮云環(huán)境時需要考慮業(yè)務(wù)環(huán)境是否面臨滿足上述隱私安全合規(guī)風(fēng)險。同時，隱私保護也不僅僅時為了合規(guī)，合規(guī)只是下線，如何確保業(yè)務(wù)數(shù)據(jù)中的隱私信息能夠滿足實際生產(chǎn)需求，可能需要更多考慮，這里可以考慮匿名化、加密、脫敏、hash、去標(biāo)簽化、屏蔽等各種隱私數(shù)據(jù)模糊化技術(shù)手段。
- 審計風(fēng)險：云環(huán)境導(dǎo)致數(shù)據(jù)全球化存儲、地域分散式存儲，云技術(shù)導(dǎo)致數(shù)據(jù)高度動態(tài)存儲，多數(shù)據(jù)中心導(dǎo)致數(shù)據(jù)位置與企業(yè)地理分離，這些因素都導(dǎo)致傳統(tǒng)的審計無法或難以適用于云環(huán)境。
- 合規(guī)風(fēng)險：云計算業(yè)務(wù)在國際上飛速發(fā)展，每個國家針對云計算業(yè)務(wù)安全性制定了專門的規(guī)章和標(biāo)準(zhǔn)，如國內(nèi)等保2.0云計算安全擴展要求、美國FedRamp等，企業(yè)需要根據(jù)實際情況驗證云供應(yīng)商是否能夠提供滿足合規(guī)要求的安全能力。對于一些國際貿(mào)易公司、跨國企業(yè)，這里推薦采用CCSL、CSA STAR（包括CCM和CAIQ）兩個工具交叉驗證云供應(yīng)商合規(guī)性滿足能力。同時，云計算導(dǎo)致企業(yè)更加難以應(yīng)對合規(guī)性要求。尤其對于運行在公有云環(huán)境中的組織。國內(nèi)企業(yè)可能在這一點上稍微好處理，對于跨國企業(yè)，企業(yè)數(shù)據(jù)分布在世界各地，可能面臨各國合規(guī)性要求不同帶來的違法違規(guī)風(fēng)險。比如美國FIPS 140-2標(biāo)準(zhǔn)要求所有密鑰存儲設(shè)備均有硬件保護機制，很明顯，云中運行的應(yīng)用難以滿足FIPS 140-2要求。
- 數(shù)據(jù)風(fēng)險：數(shù)據(jù)從創(chuàng)建、傳輸、存儲、共享、歸檔、銷毀的各個生命周期均面臨不同的安全風(fēng)險，展開來講可能需要20頁的A4紙才能闡述清楚，這個不做過多介紹。
- 應(yīng)用風(fēng)險：應(yīng)用遷移風(fēng)險、應(yīng)用開發(fā)文檔缺失風(fēng)險、傳統(tǒng)應(yīng)用不一定適用于云環(huán)境、應(yīng)用隔離風(fēng)險、API風(fēng)險（未經(jīng)驗證的API和API供應(yīng)鏈安全）、應(yīng)用整合風(fēng)險等對應(yīng)用安全提出了較高的挑戰(zhàn)，每一項都具有很大的威脅性。
- 運營風(fēng)險：運營風(fēng)險是指云內(nèi)運營時候可能出現(xiàn)的各種風(fēng)險狀況。合理配置BIOS、合理使用TPM、正確配置存儲控制器（Vlan隔離、kerberos/SRP/CHAP身份驗證、IpSEC加密等）、網(wǎng)絡(luò)控制器（端口及端口組隔離、管理網(wǎng)隔離、網(wǎng)絡(luò)冗余、加密等）、對console-based訪問嚴(yán)格控制均需要注意。尤其注意云內(nèi)補丁維護，因為虛擬機鏡像無法打補丁，所以自動化補丁管理可能需要注意以文件形式存儲的虛擬機鏡像實例的補丁更新問題。
- 取證風(fēng)險：云技術(shù)的發(fā)展不僅帶來了優(yōu)越性，也導(dǎo)致云環(huán)境中的司法取證過程變得更加困難。虛擬機漂移導(dǎo)致無法定位待取證虛擬機位置，分布式存儲帶來的數(shù)據(jù)分散化導(dǎo)致取證需要涉及多個物理位置，多租戶導(dǎo)致取證時可能侵犯其他租戶隱私數(shù)據(jù)，這些都是云計算帶來了特有安全風(fēng)險。
- 供應(yīng)鏈風(fēng)險：不論采用公有云部署還是私有云部署，都可能遇到比傳統(tǒng)環(huán)境更加復(fù)雜的供應(yīng)鏈問題。國內(nèi)大部分IaaS交付的云環(huán)境，其服務(wù)器、存儲物理設(shè)備一般采用第三方專業(yè)廠商產(chǎn)品，或者白牌產(chǎn)品，這將導(dǎo)致我們除了衡量云服務(wù)提供商以外，還需要考慮云服務(wù)提供商采用的下游供應(yīng)商；同樣，PaaS和SaaS服務(wù)模型其操作系統(tǒng)、應(yīng)用軟件、應(yīng)用軟件代碼庫一般都可以有多個供應(yīng)商可供選擇，這些二級供應(yīng)商都是需要嚴(yán)格考慮的安全風(fēng)險，畢竟經(jīng)濟損失可以轉(zhuǎn)移，安全責(zé)任是無法轉(zhuǎn)移的。
三、第三方機構(gòu)對云內(nèi)風(fēng)險的總結(jié)
目前國際上可以借鑒的云內(nèi)風(fēng)險報告包括2013年發(fā)布的Notorious 9、2016年發(fā)布的The Treacherous12和ENISA Top 8。
Notorious 9列出了9大云內(nèi)安全風(fēng)險，包括：數(shù)據(jù)泄露、數(shù)據(jù)丟失（當(dāng)客戶將加密信息上載到云環(huán)境時，加密密鑰將成為確保數(shù)據(jù)不會丟失并保持可用的關(guān)鍵組件。因為丟失相關(guān)的加密密鑰會導(dǎo)致數(shù)據(jù)丟失）、賬戶/服務(wù)流量劫持、不安全的接口和API、拒絕服務(wù)、惡意內(nèi)部人員、濫用云服務(wù)、盡職調(diào)查不足、共享技術(shù)漏洞（所有租戶共享相同底層架構(gòu)，相同的漏洞導(dǎo)致一損俱損）。
云計算頂級威脅The Treacherous12列出了12大安全風(fēng)險，包括：數(shù)據(jù)泄露、憑據(jù)或身份驗證遭到攻擊或破壞、接口和API被黑客攻擊、利用系統(tǒng)漏洞、賬戶被劫持、來自企業(yè)內(nèi)部的惡意人員、APT攻擊、永久性的數(shù)據(jù)丟失、缺乏盡職調(diào)查、云服務(wù)的濫用、DoS攻擊、共享技術(shù)漏洞。
這兩份云環(huán)境安全風(fēng)險調(diào)查報告有很多相同的部分，這里不再展開詳述，讀者可以自尋相同點，必定可以發(fā)現(xiàn)云內(nèi)重要安全風(fēng)險所在。
除了上述CSA發(fā)布的云內(nèi)安全風(fēng)險以外，歐盟ENISA也發(fā)布了云內(nèi)8個頂級安全風(fēng)險，本文列出以供參考：
ENISA Top 8：治理缺失、lock-in、隔離失效、不安全或不完整的數(shù)據(jù)刪除、惡意內(nèi)部人員、管理平面失效、合規(guī)風(fēng)險和數(shù)據(jù)保護。
四、云內(nèi)安全展望
從安全的角度來看，識別云計算風(fēng)險只是風(fēng)險管理的第一步，但只有識別清楚云內(nèi)風(fēng)險，才能進行下一步的風(fēng)險分析、設(shè)計風(fēng)險控制措施、判斷殘余風(fēng)險和實行風(fēng)險監(jiān)督。
本文只是簡單的羅列出云內(nèi)可能出現(xiàn)的重要的安全風(fēng)險，并進行了簡單的概括性闡述，希望對讀者有所幫助。
作者介紹：
張德俊，就職于國內(nèi)網(wǎng)絡(luò)安全公司，在網(wǎng)絡(luò)安全、云安全、云計算等方面有較多工作經(jīng)驗，獲得CISSP、CCSP、CCSK、CISP等云安全、網(wǎng)絡(luò)安全國際和國內(nèi)認(rèn)證。
