云本質(zhì)上是一個(gè)計(jì)算能力的黑池,，而這種神秘性往往讓我們陷入一種謎之自信。如果我們不知道自己的芯片在哪里,，那么攻擊者也不知道,。

云本質(zhì)上是計(jì)算能力的黑池（dark pool），而其神秘性也常常讓我們掉以輕心,，忽略了其鮮為人知的陰暗面。

云計(jì)算的發(fā)展前景不可阻擋,。作為一種通過(guò)Internet云服務(wù)平臺(tái)按需提供計(jì)算能力,、數(shù)據(jù)庫(kù)存儲(chǔ)、應(yīng)用程序和其他 IT 資源的服務(wù)模式,。無(wú)論是在運(yùn)行擁有數(shù)百萬(wàn)移動(dòng)用戶的照片共享應(yīng)用程序,，還是要為業(yè)務(wù)的關(guān)鍵運(yùn)營(yíng)提供支持，云服務(wù)平臺(tái)都讓使用者可以快速訪問(wèn)IT資源,。

通過(guò)云計(jì)算,，使用者無(wú)需先期花費(fèi)巨資投入硬件并用大量時(shí)間維護(hù)和管理這些硬件。相反地,，可以精準(zhǔn)配置所需適當(dāng)類型和規(guī)模的計(jì)算資源,，幫助運(yùn)作IT部門(mén)。使用者可以根據(jù)需要實(shí)時(shí)訪問(wèn)任意資源,，而且只需按實(shí)際用量付費(fèi),。

但是，技術(shù)的發(fā)展往往會(huì)伴隨雙面效應(yīng)。隨著云計(jì)算的日益普及,，惡意行為者也盯上了這塊“大蛋糕”,，試圖利用云計(jì)算漏洞實(shí)施攻擊活動(dòng)。

最初,，鑒于一些基本原因（包括有關(guān)安全性和隱私性的問(wèn)題）,，企業(yè)對(duì)于將數(shù)據(jù)和工作負(fù)載遷移至云端持警惕和懷疑態(tài)度。

盡管目前,，這種早期的顧忌和恐慌,，已經(jīng)轉(zhuǎn)變成了信任和依賴，但是隨著企業(yè)對(duì)云服務(wù)的依賴日趨嚴(yán)重,，以及近年來(lái)國(guó)內(nèi)外云安全事件頻發(fā),，企業(yè)也開(kāi)始重新審視云安全問(wèn)題。

以下是企業(yè)在云中開(kāi)展業(yè)務(wù)的12個(gè)陰暗面,，希望可以幫助企業(yè)樹(shù)立正確的安全觀,，最大限度地發(fā)揮云計(jì)算的效益。

相同的安全漏洞仍然存在

云實(shí)例與臺(tái)式機(jī)或獨(dú)立服務(wù)器其實(shí)運(yùn)行著相同的操作系統(tǒng),。如果Ubuntu 14中有一個(gè)后門(mén),，可以讓攻擊者闖入已加固的服務(wù)器機(jī)房中的機(jī)器，幾乎可以肯定,，同一個(gè)后門(mén)也會(huì)讓攻擊者闖入在云中運(yùn)行的服務(wù)器版本,。我們鐘愛(ài)的云實(shí)例旨在與我們的私有硬件互換，遺憾的是,，同樣的漏洞也會(huì)被替換到云端,。

你無(wú)法確定自己得到了什么

當(dāng)啟動(dòng)云設(shè)備時(shí)，你單擊了Ubuntu 18.04或FreeBSD按鈕,。但是,，你確定自己正在運(yùn)行標(biāo)準(zhǔn)發(fā)行版嗎？一位在共享硬件托管中心工作的朋友聲稱,，其公司在其發(fā)行版中插入了秘密賬戶,，然后干預(yù)了ps和top的標(biāo)準(zhǔn)UNIX例程，以確保其活動(dòng)不可見(jiàn),。他說(shuō),，存在后門(mén)的版本是在考慮客戶的情況下創(chuàng)建的，一切都是為了提高客戶服務(wù)和系統(tǒng)調(diào)試的效率,。但是,，不可否認(rèn)的是，這種做法也可能會(huì)被用于惡意目的,。

客戶對(duì)云計(jì)算服務(wù)商的信任是無(wú)條件的,，我們必須堅(jiān)信他們的廉潔和公正。但是，我們卻很難相信其所有員工也都是毫無(wú)二心的,。

不可控的額外層

云實(shí)例通常在操作系統(tǒng)下附帶一個(gè)額外的軟件層,，其完全在使用者控制范圍之外。使用者可能具有對(duì)操作系統(tǒng)的root訪問(wèn)權(quán)限,，但卻不會(huì)知道其內(nèi)部發(fā)生了什么,。這個(gè)大多數(shù)情況下都無(wú)文檔記錄可循的層，可以用來(lái)對(duì)客戶數(shù)據(jù)流執(zhí)行任何操作,。

員工并非為你工作

云服務(wù)提供商喜歡吹噓自己能夠?yàn)槠湓茖?shí)例的安全性和穩(wěn)定性提供額外的支持和安全團(tuán)隊(duì),。而大多數(shù)公司的規(guī)模不足以支持這樣的團(tuán)隊(duì)，因此云計(jì)算公司很容易解決小公司無(wú)法解決的問(wèn)題,。

但有一個(gè)問(wèn)題需要注意,，該團(tuán)隊(duì)并不是為你工作的。他們不會(huì)向你報(bào)告安全問(wèn)題,，他們的職業(yè)前景與你的企業(yè)發(fā)展規(guī)劃沒(méi)有任何關(guān)系,。使用者可能不會(huì)知道他們的名字，并且唯一的交流方式也是通過(guò)不露面的故障單,，前提還是如果他們有回信的話,。也許這就是你所需要的一切，或者,，你也可以雙手合十祈禱,。

你不知道誰(shuí)在你的服務(wù)器上

云計(jì)算的巨大經(jīng)濟(jì)優(yōu)勢(shì)在于，使用者可以與其他人分?jǐn)傔\(yùn)維和物理維護(hù)的成本,。但是代價(jià)是,，使用者同時(shí)也將失去對(duì)硬件的完全控制能力。你將不會(huì)知道正在與誰(shuí)共享同一臺(tái)機(jī)器——可能是一些心地善良的教堂修女正在維護(hù)一個(gè)教區(qū)居民的數(shù)據(jù)庫(kù),，也可能是一名精神病患者,。更糟糕的是，他還可能是一個(gè)試圖竊取你的秘密或資金的竊賊,。

規(guī)模經(jīng)濟(jì)是柄雙刃劍

云計(jì)算的絕對(duì)優(yōu)勢(shì)在于，云計(jì)算公司擁有大量的機(jī)架和硬件,，規(guī)模經(jīng)濟(jì)意味著成本很低,。這有助于降低成本，但同時(shí)也會(huì)導(dǎo)致單一化,，使攻擊活動(dòng)變得更簡(jiǎn)單,。在一個(gè)實(shí)例中發(fā)現(xiàn)的一個(gè)漏洞足以快速覆蓋成千上萬(wàn)個(gè)類似實(shí)例。

安全性權(quán)衡會(huì)導(dǎo)致成本增加

云計(jì)算公司已經(jīng)陷入了困境,。他們可以通過(guò)關(guān)閉分支預(yù)測(cè)來(lái)抵御針對(duì)分支預(yù)測(cè)類的攻擊,，但這會(huì)導(dǎo)致一切運(yùn)行變慢。那么，他們?cè)敢馔讌f(xié)來(lái)降低性能嗎,？客戶愿意接受這樣的服務(wù)嗎,？結(jié)果是否定的。在云中,，較慢的機(jī)器沒(méi)有價(jià)格優(yōu)勢(shì),。

不同公司有不同安全需求

有些客戶可能需要進(jìn)行數(shù)十億美元的銀行業(yè)務(wù)。但并不是每個(gè)客戶都需要在云中開(kāi)展同樣的業(yè)務(wù),，或者具備同等的規(guī)模,。事實(shí)上，一個(gè)規(guī)模并不適用于所有安全業(yè)務(wù),，但云計(jì)算公司屬于大宗商品業(yè)務(wù),。他們是否具備很高的目標(biāo)并致力于支持關(guān)鍵應(yīng)用程序？還是偷工減料為非關(guān)鍵應(yīng)用程序提供低價(jià)套餐,？這個(gè)問(wèn)題沒(méi)有正確的決定,，因?yàn)槊總€(gè)客戶都是不同的，而且實(shí)際上,，客戶也有不同的需求,，甚至每個(gè)應(yīng)用程序內(nèi)的每個(gè)微服務(wù)都是不同的。

一切都是不透明的

云本質(zhì)上是一個(gè)計(jì)算能力的黑池,，而這種神秘性往往讓我們陷入一種謎之自信,。如果我們不知道自己的芯片在哪里，那么攻擊者也不知道,。但是,，我們只是十指交叉地祈禱并假設(shè)攻擊者無(wú)法找到共享我們機(jī)器的方法，因?yàn)槲覀冏约阂膊恢罊C(jī)器的分配方式,。如果有可以利用的模式怎么辦,？如果存在一些秘密漏洞可以用來(lái)極大地改變這種可能性呢？

攻擊者有能力控制資源

云計(jì)算的一個(gè)關(guān)鍵特性是,，它可以自動(dòng)升級(jí)擴(kuò)容來(lái)匹配需求,。如果訪問(wèn)請(qǐng)求數(shù)量激增，云計(jì)算可以啟動(dòng)新的實(shí)例來(lái)保證性能,。

麻煩的是,，創(chuàng)造虛假需求非常容易。攻擊者可以觸發(fā)云計(jì)算中的某個(gè)應(yīng)用,，通過(guò)數(shù)千次快速訪問(wèn)來(lái)啟動(dòng)新實(shí)例,。如果云計(jì)算公司在需求激增時(shí)啟動(dòng)新硬件怎么辦？如果所有新實(shí)例都卡在這個(gè)新啟動(dòng)的硬件上怎么辦,？攻擊者可以在觸發(fā)云擴(kuò)展后立即請(qǐng)求新實(shí)例,，這樣一來(lái),，每個(gè)人共享相同內(nèi)存空間的可能性要大得多。

克隆太多導(dǎo)致攻擊面激增

很多云架構(gòu)師喜歡使用許多小型機(jī)器的模塊,，這些機(jī)器可以隨著需求的上升和下降而啟動(dòng)和停止,。大量克隆的小機(jī)器同時(shí)也意味著私密數(shù)據(jù)會(huì)被不斷克隆。如果有用于簽名文檔或登錄數(shù)據(jù)庫(kù)的私鑰,，那么所有克隆的實(shí)例都將擁有該信息,。這也就意味著，攻擊者有了N個(gè)目標(biāo),，從而大大增加了攻擊者瞄準(zhǔn)相同物理硬件的可能性,。

我們的贏面也許沒(méi)想象中大

雖然實(shí)踐起來(lái)可能沒(méi)有那么容易，但針對(duì)云計(jì)算的攻擊已不再是僅存于假設(shè)中的事情,。云安全的最大優(yōu)勢(shì)在于,，它是計(jì)算能力的一個(gè)巨大黑池。攻擊者如何才能撥開(kāi)重重阻礙直擊目標(biāo),？他們闖入同一個(gè)內(nèi)存空間的幾率是多少,？攻擊者能否找到我們？云計(jì)算所帶來(lái)的神秘感使我們內(nèi)心虛假的安全感逐漸膨脹,。事情真的有我們想象的美好嗎,？可能未必如此。