隨著云計算等企業(yè)級技術應用的發(fā)展普及，產(chǎn)業(yè)互聯(lián)網(wǎng)實際已經(jīng)在各行各業(yè)展開實踐。廣度上不僅覆蓋服務業(yè)、工業(yè)和農(nóng)業(yè)，還從商業(yè)擴展到公益和政府，整個社會走向全面互聯(lián)網(wǎng)；深度上，從營銷服務、生產(chǎn)研發(fā)到運營管理，互聯(lián)網(wǎng)滲透到組織內(nèi)部的各個環(huán)節(jié)。數(shù)據(jù)信息由此實現(xiàn)從消費端到供給端的高效流通，數(shù)字產(chǎn)業(yè)與傳統(tǒng)產(chǎn)業(yè)相互協(xié)同帶動，助推中國經(jīng)濟邁向高質(zhì)量發(fā)展階段。
在新舊動能接續(xù)轉(zhuǎn)換的過程中，傳統(tǒng)產(chǎn)業(yè)的數(shù)字化升級和新興產(chǎn)業(yè)的數(shù)字化能力建設，使當前的安全趨勢發(fā)生了變化。該報告基于互聯(lián)網(wǎng)、產(chǎn)業(yè)互聯(lián)網(wǎng)及相關領域在上云過程當中面臨的安全態(tài)勢、風險趨勢、應對力量以及監(jiān)管狀態(tài)等進行梳理，以期為行業(yè)提供階段性的總結和建議，助力云上各方有策略地建立安全能力，更好應對安全風險。
國內(nèi)云平臺總體資產(chǎn)情況
2020年，累計監(jiān)測發(fā)現(xiàn)云平臺上中大型單位的（除去大量個人、小型企業(yè)等）網(wǎng)站與WEB業(yè)務系統(tǒng)數(shù)量有6,507,161個，覆蓋單位604,614個，主要是阿里云網(wǎng)站和騰訊云網(wǎng)站，分別占比59.52%和27.99%，云平臺網(wǎng)站數(shù)量分布情況如下。
根據(jù)對云平臺網(wǎng)站區(qū)域進行分析，發(fā)現(xiàn)主要分布在北京、香港、廣東等區(qū)域。
全國重要行業(yè)網(wǎng)站有45.9萬，其中在云平臺上的重要行業(yè)網(wǎng)站有67,401個，覆蓋單位18,363個，重要行業(yè)網(wǎng)站上云情況如下。
目前國內(nèi)已有14.66%的重要行業(yè)網(wǎng)站已經(jīng)上云，并且主要是醫(yī)療與政府行業(yè)。這一方面是大量互聯(lián)網(wǎng)醫(yī)療等新型醫(yī)療企業(yè)的開辦，另一方面也是由于云資源的便捷性與價格更廉價。
云安全面臨威脅的總體狀況
1. 云平臺側面臨的安全威脅
云計算平臺安全與傳統(tǒng)信息安全并無本質(zhì)區(qū)別，但是云計算大量使用虛擬資源、資源界面不確定、動態(tài)數(shù)據(jù)流等特性，相對于傳統(tǒng)信息安全，云計算新的安全威脅主要來自硬件資源、軟件資源、基礎資源的集中，針對這些龐大的資源無法實現(xiàn)有效保護，例如，云平臺使云上用戶的重要數(shù)據(jù)和業(yè)務應用都處于云服務提供商或運營建設方的云平臺環(huán)境中，云服務提供商如何實施嚴格安全管理和訪問控制措施，避免內(nèi)部員工或者其他使用云服務的用戶、入侵者等對云內(nèi)數(shù)據(jù)的竊取及濫用的安全風險。如何實施有效的安全審計、對數(shù)據(jù)的操作進行安全監(jiān)控，以及開放環(huán)境中如何保證數(shù)據(jù)連續(xù)性，業(yè)務不中斷等，這些都是需要重點考慮的問題。總體來看，云計算平臺側主要面臨以下威脅。
云計算平臺離不開物理基礎設施的建設，云計算數(shù)據(jù)中心也可歸為傳統(tǒng)數(shù)據(jù)中心IT機房的范疇。隨著大量云計算數(shù)據(jù)中心的建設，逐步實現(xiàn)了各區(qū)域各節(jié)點基礎設施的集中化管理，由小變大的運營方式帶來了比傳統(tǒng)IT機房環(huán)境更多的安全風險：
云計算數(shù)據(jù)中心依然面臨傳統(tǒng)安全中主要的安全風險威脅，如物理邊界安全、非授權訪問檢測、人員識別和入侵檢測響應等
云計算數(shù)據(jù)中心的數(shù)據(jù)相對集中，更容易遭受地震、水災、火災等不可抗拒的自然災害破壞
云計算數(shù)據(jù)中心面臨嚴峻的安全管理風險，數(shù)據(jù)中心的存儲介質(zhì)和設備一旦被毀或被盜，將造成信息泄漏及數(shù)據(jù)丟失事故
云計算通過網(wǎng)絡傳輸各類型數(shù)據(jù)，用戶和云服務器一般不在同一個區(qū)域，數(shù)據(jù)傳輸過程面臨被非法竊取、破壞和修改的挑戰(zhàn)
1.2 網(wǎng)絡隔離和監(jiān)測非常困難
對于現(xiàn)階段大型數(shù)據(jù)中心的云平臺，出于操作和安全的原因，將云的網(wǎng)絡進行隔離和監(jiān)控是非常重要的，對于云平臺來說，至少要包含以下五個方面的隔離和監(jiān)測：
不同云租戶網(wǎng)絡之間的隔離和監(jiān)測
同一云租戶不同虛擬機之間的隔離和監(jiān)測
虛擬機和互聯(lián)網(wǎng)邊界之間的隔離和監(jiān)測
存儲網(wǎng)絡與業(yè)務網(wǎng)絡之間的隔離和監(jiān)測
管理網(wǎng)絡和業(yè)務網(wǎng)絡之間的隔離和監(jiān)測
而在云平臺實際運行過程中，要實現(xiàn)這5個部分的隔離和監(jiān)測還是非常困難，這有些是受制于目前安全技術的發(fā)展，也有一些是因為網(wǎng)絡設計的限制。比如，傳統(tǒng)的網(wǎng)絡入侵檢測系統(tǒng)（IDS），在傳統(tǒng)網(wǎng)絡中，是通過交換機鏡像的方式采集流量進行監(jiān)控，但在云環(huán)境中，入侵檢測系統(tǒng)就非常難采集到流量進行監(jiān)控，因為虛擬機之間的流量交互可能直接在某個宿主機上就完成了，根本不會到物理交換機上，所以通過傳統(tǒng)的鏡像方式根本無法監(jiān)控。
1.3 宿主機和虛擬機之間存在相互影響
云計算環(huán)境下，用戶大部分業(yè)務的運行載都是云主機，而云主機又運行于宿主機之上，云主機一旦發(fā)生安全事故，將會直接或間接地影響到宿主機，如虛擬機逃逸問題，進而將直接威脅到用戶的整個業(yè)務系統(tǒng)的安全性，通常云環(huán)境下存在以下安全風險：
服務器、宿主機、虛擬機的操作系統(tǒng)和數(shù)據(jù)庫被暴力破解、非法訪問
對服務器、宿主機、虛擬機等進行操作管理時被竊聽
同一個邏輯卷被多個虛擬機掛載導致邏輯卷上的敏感信息泄漏
服務器、宿主機、虛擬機的補丁更新不及時導致的漏洞利用以及不安全的配置和非必要端口的開放導致的非法訪問和入侵
虛擬機因異常原因產(chǎn)生的資源占用過高而導致宿主機或宿主機下的其他虛擬機的資源不足
1.4 大數(shù)據(jù)帶來了大威脅
數(shù)據(jù)安全是信息和數(shù)據(jù)治理的關鍵。與云安全所有領域一樣，由于數(shù)據(jù)安全并不適合對所有內(nèi)容提供同等保護，所以應基于風險應用數(shù)據(jù)安全。
應用數(shù)據(jù)安全是目前云計算用戶最為擔心的安全風險，也是用戶數(shù)據(jù)泄漏的重要途徑。因此有一些人認為，云安全就是數(shù)據(jù)安全。
用戶數(shù)據(jù)在云計算環(huán)境中進行傳輸和存儲時，用戶本身對于自身數(shù)據(jù)在云中的安全風險并沒有實際的控制能力，數(shù)據(jù)安全完全依賴于服務商，如果服務商本身對于數(shù)據(jù)安全的控制存在疏漏，則很可能導致數(shù)據(jù)泄漏或丟失�，F(xiàn)階段可能導致安全風險的有以下幾種典型情況：
由于服務器的安全漏洞導致黑客入侵造成的用戶數(shù)據(jù)丟失
由于虛擬化軟件的安全漏洞造成的用戶數(shù)據(jù)被入侵的風險
數(shù)據(jù)在傳輸過程中沒有進行加密導致信息泄漏
加密數(shù)據(jù)傳輸?shù)敲荑�管理存在缺失導致數(shù)據(jù)泄漏
不同用戶的數(shù)據(jù)傳輸之間沒有進行有效隔離導致數(shù)據(jù)被竊取
用戶數(shù)據(jù)在云中存儲沒有進行容災備份等
云計算服務商在對外提供服務的過程中，如果運營商的身份認證管理機制存在缺陷，或者運營商的身份認證管理系統(tǒng)存在安全漏洞，則可能導致企業(yè)用戶的賬號密碼被仿冒，從而使得非法用戶堂而皇之地對企業(yè)數(shù)據(jù)進行竊取。因此，如何保證不同企業(yè)用戶的身份認證安全，是保證用戶數(shù)據(jù)安全的第一道屏障。
2. 云租戶側面臨的安全威脅
2.1 網(wǎng)絡攻擊威脅
云環(huán)境下，云租戶的業(yè)務都由云平臺承載，而不法分子也會通過對云平臺的攻擊，對云租戶的業(yè)務安全造成威脅。通常云環(huán)境下，存在以下威脅：
重要網(wǎng)段暴露導致來自外部的非法訪問和入侵
業(yè)務高峰時段或遭遇DDos攻擊時的大流量導致網(wǎng)絡擁堵或網(wǎng)絡癱瘓
單臺虛擬機被入侵后對整片虛擬機進行的滲透攻擊，并導致病毒等惡意行為在網(wǎng)絡內(nèi)傳播蔓延
虛擬機之間進行的ARP攻擊、嗅探
云內(nèi)網(wǎng)絡帶寬的非法搶占
重要的網(wǎng)段、服務器被非法訪問、端口掃描、入侵攻擊
云平臺管理員因賬號被盜等原因?qū)е碌膹幕ヂ?lián)網(wǎng)直接非法訪問云資源
內(nèi)部用戶或內(nèi)部網(wǎng)絡的非法外聯(lián)
內(nèi)部用戶之間或者虛擬機之間的端口掃描、暴力破解、入侵攻擊等
2.2 主機攻擊威脅
云環(huán)境下，用戶的業(yè)務都由云主機承載，云主機的安全問題將直接威脅到用戶的整個業(yè)務系統(tǒng)的安全性，通常云環(huán)境下存在以下安全風險：
服務器、宿主機、虛擬機的操作系統(tǒng)和數(shù)據(jù)庫被暴力破解、非法訪問
對服務器、宿主機、虛擬機等進行操作管理時被竊聽
同一個邏輯卷被多個虛擬機掛載導致邏輯卷上的敏感信息泄露
服務器、宿主機、虛擬機的補丁更新不及時導致的漏洞利用以及不安全的配置和非必要端口的開放導致的非法訪問和入侵
虛擬機因異常原因產(chǎn)生的資源占用過高而導致宿主機或宿主機下的其它虛擬機的資源不足
2.3 應用安全威脅
對于提供各種云服務（IaaS、PaaS、SaaS）的供應商而言，第一，Web應用安全方面，由于云服務選擇將Web作為絕大多數(shù)應用的入口，因而其面臨的各種攻擊可能都會轉(zhuǎn)嫁至云應用上；第二，應用內(nèi)容安全方面，云計算通過互聯(lián)網(wǎng)提供服務，網(wǎng)絡上的信息內(nèi)容安全問題（惡意郵件、虛假欺詐信息等）將不可避免地影響云服務的信譽；第三，用戶管理方面，當前云應用中簡單的身份認證和不嚴格的訪問控制給許多黑客提供了可趁之機云環(huán)境下。綜上而言，用戶的云上應用面臨各種各樣的安全威脅問題：
Web 應用入侵、上傳木馬、上傳Webshell等攻擊
網(wǎng)頁被惡意篡改，展示敏感或不當內(nèi)容
權限認證和訪問控制機制缺失，容易滲入云內(nèi)
應用對外接口被利用，對云平臺進行攻擊
應用系統(tǒng)健康狀況不明確
2.4 數(shù)據(jù)安全威脅
在傳統(tǒng)環(huán)境下，用戶的數(shù)據(jù)和業(yè)務系統(tǒng)都位于自己的數(shù)據(jù)中心，在其直接管理和控制范圍之內(nèi)。但是在云計算環(huán)境里，用戶的數(shù)據(jù)和業(yè)務系統(tǒng)都遷移到了云上，使得數(shù)據(jù)的所有權和管理權分離。又由于云計算技術架構在傳統(tǒng)服務器設施上，所以傳統(tǒng)IT架構上的數(shù)據(jù)安全問題都有可能在云計算中出現(xiàn)，因此，在云環(huán)境下，數(shù)據(jù)生命周期的每個階段都會出現(xiàn)一系列新的數(shù)據(jù)安全問題。云上的數(shù)據(jù)安全通常存在以下風險：
數(shù)據(jù)在傳輸過程中受到破壞而無法恢復
在虛擬環(huán)境傳輸?shù)奈募蛘邤?shù)據(jù)被監(jiān)聽
云用戶從虛擬機逃逸后獲取鏡像文件或其他用戶的隱私數(shù)據(jù)
因各種原因或故障導致的數(shù)據(jù)不可用
敏感數(shù)據(jù)存儲漂移導致的不可控
數(shù)據(jù)安全隔離不嚴格導致惡意用戶可以訪問其他用戶數(shù)據(jù)
上半年云端威脅態(tài)勢分析
隨著云計算的快速發(fā)展，越來越多的企事業(yè)單位和業(yè)務場景向云平臺上遷移，大量的應用系統(tǒng)聚集到云平臺上。不少單位認為云服務商提供的基礎安全防護策略已經(jīng)足以應對網(wǎng)絡安全，因而疏于本單位的運維管理，甚至部分云網(wǎng)站由于沒有管理人員進行運維已經(jīng)逐漸成為僵尸網(wǎng)站。但實際上，云上網(wǎng)站依舊面臨著系統(tǒng)架構、非硬件層的故障、系統(tǒng)性能、數(shù)據(jù)安全等眾多安全問題，各種網(wǎng)頁篡改、不良信息等網(wǎng)站入侵問題依舊是無法避免的。本章針對2020年云端DDoS攻擊態(tài)勢和云端Web應用面臨的威脅進行分析。
1. 云端DDoS攻擊態(tài)勢分析
當前，攻擊者使用虛假身份開設云帳戶，或者利用漏洞攻陷云端系統(tǒng)發(fā)起DDoS攻擊越來越普遍。今年上半年，來自云端的DDoS攻擊源占所有攻擊源的14%，占所有流量的22%。
云計算技術的諸多優(yōu)點使得云服務得以廣泛應用，越多來越多的用戶將業(yè)務遷移至云端，云端的流量也越來越大，但這也被大流量DDoS攻擊所利用。從各流量區(qū)間分布來看，在大流量攻擊中，攻擊主力來自云端。
在攻擊峰值在100Gbps以上的大型攻擊中，來自云端的攻擊占比77%。
從上半年各月來看，云端攻擊源數(shù)量逐月上升，從攻擊次數(shù)來看，三、四月份為云端DDoS攻擊高峰，從攻擊峰值來看，五月峰值最高為634.6Gbps。
從攻擊類型來看，云端DDoS主要的攻擊類型是SYN Flood，占總攻擊次數(shù)的37%。從流量占比來看，UDP Flood發(fā)起的攻擊流量占比最高，占比91%。
2. 云端Web應用威脅分析
2.1 威脅整體概況
2.1.1 安全事件數(shù)量趨勢
2020年上半年，主要針對網(wǎng)頁篡改、不良信息和僵尸網(wǎng)站等進行監(jiān)測，累計發(fā)現(xiàn)云端Web應用安全事件數(shù)量18,257起，覆蓋單位10,324個，每個月的安全事件影響單位數(shù)情況如下。
總體來看，從1月份開始云端Web應用安全事件呈上升趨勢，在2-3月份安全事件數(shù)量達到高峰，隨后逐步下降，整體攻擊趨勢與疫情發(fā)展情況存在一定的同步。
2.1.2 安全事件類型分布
對云端Web應用存在的安全事件類型進行統(tǒng)計，主要是以僵尸網(wǎng)站為主，其次不良信息類資產(chǎn)（黃賭毒類站點）與網(wǎng)頁篡改均占有較大比重。
分析發(fā)現(xiàn)云端Web應用存在大量的僵尸網(wǎng)站情況，僵尸網(wǎng)站的存在往往是網(wǎng)站所屬單位疏于對網(wǎng)站的管理，網(wǎng)站無法提供有效的服務信息，此類站點無人運營，漏洞修復不及時，防護措施不到位，容易產(chǎn)生安全事件，需要盡快整治。
2.1.3 安全事件區(qū)域分布
根據(jù)對存在安全事件的云端Web應用IP所在區(qū)域進行分析，發(fā)現(xiàn)主要分布在北京、浙江、廣東等區(qū)域。
2.2 安全事件重點行業(yè)情況
2.2.1安全事件行業(yè)分布
存在安全事件的云平臺網(wǎng)站中，有1033個為重要行業(yè)網(wǎng)站，重要行業(yè)云平臺網(wǎng)站安全事件情況如下。
分析發(fā)現(xiàn)，主要受影響的重要行業(yè)為醫(yī)療，占比43.76%，此外教育和政府行業(yè)也有一定的影響。
2.2.2 醫(yī)療行業(yè)受影響情況
2020年上半年，監(jiān)測發(fā)現(xiàn)醫(yī)療行業(yè)云端Web應用安全事件數(shù)量有452起，覆蓋單位257個，每個月的安全事件影響醫(yī)療行業(yè)單位數(shù)情況如下。
總體來看，從1月份開始云端Web應用安全事件呈上升趨勢，在2月份安全事件數(shù)量達到高峰，隨后逐步下降，在5月份有一定回彈。
根據(jù)對存在安全事件的云端Web應用IP所在區(qū)域進行分析，發(fā)現(xiàn)主要分布在北京、廣東、浙江等區(qū)域，與整體安全事件情況基本吻合。
對醫(yī)療行業(yè)云端Web應用存在的安全事件類型進行統(tǒng)計，主要以網(wǎng)頁篡改為主，其次為僵尸網(wǎng)站。
網(wǎng)頁篡改往往是由于黑客利用網(wǎng)站存在的漏洞或?qū)W(wǎng)頁內(nèi)容進行惡意破壞，插入非正常網(wǎng)頁內(nèi)容，建議網(wǎng)站管理單位對安全事件再次確認，并進行溯源分析，由專業(yè)安全公司做一次攻擊滲透測試后再重新上線，同時需要加強網(wǎng)站的日常安全管理工作。
對醫(yī)療行業(yè)云端Web應用安全事件所屬云服務廠商進行統(tǒng)計分析，87.39%為阿里云的網(wǎng)站。
2.2.3 教育行業(yè)受影響情況
2020年上半年，監(jiān)測發(fā)現(xiàn)教育行業(yè)云端Web應用安全事件數(shù)量有186起，覆蓋單位134個，每個月的安全事件影響教育行業(yè)單位數(shù)情況如下。
根據(jù)對存在安全事件的云端Web應用IP所在區(qū)域進行分析，發(fā)現(xiàn)主要分布在北京、山東、浙江等區(qū)域。
對教育行業(yè)云端Web應用存在的安全事件類型進行統(tǒng)計，主要以網(wǎng)頁篡改為主，其次為僵尸網(wǎng)站。
網(wǎng)頁篡改往往是由于黑客利用網(wǎng)站存在的漏洞或?qū)W(wǎng)頁內(nèi)容進行惡意破壞，插入非正常網(wǎng)頁內(nèi)容，建議網(wǎng)站管理單位對安全事件再次確認，并進行溯源分析，由專業(yè)安全公司做一次攻擊滲透測試后再重新上線，同時需要加強網(wǎng)站的日常安全管理工作。
對教育行業(yè)云端Web應用安全事件所屬云服務廠商進行統(tǒng)計分析，69.89%為阿里云的網(wǎng)站。
2.2.4 政府行業(yè)受影響情況
2020年上半年，監(jiān)測發(fā)現(xiàn)政府行業(yè)云端Web應用安全事件數(shù)量有161起，覆蓋單位97個，每個月的安全事件影響政府行業(yè)單位數(shù)情況如下。
根據(jù)對存在安全事件的云端Web應用IP所在區(qū)域進行分析，發(fā)現(xiàn)主要分布在浙江、山東、北京等區(qū)域。
對政府行業(yè)云端Web應用存在的安全事件類型進行統(tǒng)計，主要以網(wǎng)頁篡改為主，其次為僵尸網(wǎng)站。
對政府行業(yè)云端Web應用安全事件所屬云服務廠商進行統(tǒng)計分析，79.50%為阿里云的網(wǎng)站。
五 未來云安全面臨的挑戰(zhàn)
IDC以及業(yè)界多位專家對未來的云計算發(fā)展趨勢進行了評估預測，研究表明，多云及混合云模式將逐漸成為主導。云計算的不可知論將在2020年繼續(xù)增長。根據(jù)企業(yè)的技術和業(yè)務需求，企業(yè)將針對不同的應用工作負載使用多個公有云和私有云，并將公有云與內(nèi)部部署基礎設施結合使用，同時考慮許多其他因素。這其中的關鍵是，整合多云基礎設施，使其能夠無縫協(xié)作。
市場上云服務廠商眾多，用戶往往將業(yè)務部署在多個云平臺上，多云和混合云的場景逐漸成為云計算行業(yè)應用的發(fā)展趨勢，并且在國內(nèi)市場上將會長期存在。因此，多云或混合云環(huán)境下的云安全管理和云安全攻擊風險將成為未來云安全領域面臨的新挑戰(zhàn)。
1. 云安全管理風險和挑戰(zhàn)
對于云平臺而言，云安全產(chǎn)品和云安全管理相當于其左膀右臂。在傳統(tǒng)的信息服務平臺中，安全管理主要負責監(jiān)視和記錄系統(tǒng)中的服務器、網(wǎng)絡設備以及所有應用系統(tǒng)的安全狀況。和傳統(tǒng)平臺相比，云安全管理需要進行的監(jiān)管范圍更大，所需要的監(jiān)管力度也更強，它需要負責監(jiān)視和記錄云平臺中重要的服務器、網(wǎng)絡設備及所有應用的安全情況，也需要對所涉及的計算機、網(wǎng)絡以及應用系統(tǒng)的安全機制實施統(tǒng)一管理、統(tǒng)一監(jiān)控、協(xié)同防護，從而發(fā)揮安全機制的整體作用。
1.1 多云環(huán)境無法有效管理
現(xiàn)階段，政務云的建設過程中，每個云服務商往往會為政府單位量身打造政務云平臺，在實際使用時，多云之間的壁壘問題十分嚴重，多云難以實現(xiàn)真正的連通，無法通過統(tǒng)一視角對多云環(huán)境及多云的資源進行有效的可視化管理。
1.2 多云安全運維管理困難
傳統(tǒng)環(huán)境下，大部分安全產(chǎn)品以硬件的形式交付給客戶，安全產(chǎn)品也是采用分散管理的形式，而在多云環(huán)境下，存在著成千上萬的云上資產(chǎn)，對于運維人員來說是十分大的挑戰(zhàn)和考驗，傳統(tǒng)的運維方式效率低且容易出錯，難以適應多云的環(huán)境。
1.3 多云平臺建設成本高
多個云服務商基于自身提供的云平臺共同打造一朵具有特色的政務云，但多云的環(huán)境存在大量云基礎設施重復性投資建設，建設成本較高，且資源無法實現(xiàn)共享和高效利用。
1.4 安全責任界定不清
傳統(tǒng)模式下，信息系統(tǒng)通常遵照誰主管誰負責、誰運行誰負責的原則，信息安全責任相對清晰。在云計算模式下，云計算平臺的管理和運行主體（云服務提供方）與云端信息系統(tǒng)及數(shù)據(jù)的責任主體（云租戶）不同，相互之間的責任難以界定，服務模式的改變、部署模式的差異、云計算環(huán)境的復雜性都增加了界定云服務提供方與云租戶之間責任的難度。
1.5 需求不確定性問題
云環(huán)境下，云平臺管理者在云平臺建設初期一般不清楚各個云租戶的業(yè)務規(guī)模，也不清楚各個租戶的安全需求。因此管理者很難精確的判斷采購的安全產(chǎn)品種類、安全產(chǎn)品數(shù)量和安全產(chǎn)品性能，安全建設規(guī)劃困難。
2. 云安全攻擊風險和挑戰(zhàn)
2.1 AI致使云安全黑灰化
近幾年，由于人工智能等技術的快速發(fā)展，深度學習神經(jīng)網(wǎng)絡日趨成熟， AI 逐步開始替代許多勞動密集型工作，與此同時，全球針對云計算的黑灰產(chǎn)也日漸活躍。研究表明，通過云端提供的 GPU 高智能高密度智能服務結合智能算法來訓練惡意攻擊模型的事例越來越多�？梢灶A見，未來一到兩年云安全領域?qū)⒉坏貌幻媾R如何和 AI 斗智斗勇的問題。
2.2 未知風險漏洞風險周期變短
互聯(lián)網(wǎng)存在大量已知漏洞，軟硬件也不可避免存在些許Bug，由于黑客技術手段的不斷完善，針對新漏洞的探測和利用周期正在逐漸變短。過去針對新漏洞的大規(guī)模掃描需要過幾天才會出現(xiàn)，而現(xiàn)在往往在新漏洞被發(fā)現(xiàn)的第一時間，就會已經(jīng)爆發(fā)安全事故，導致企業(yè)的開發(fā)和安全運維人員幾乎無法在合理的短時間內(nèi)完成打補丁操作來應對安全威脅。
2.3 網(wǎng)絡犯罪國際化
東南亞、歐美等地區(qū)的部分國家漸漸成為賭博、詐騙類犯罪的溫床，例如曾出現(xiàn)的“東南亞殺豬盤”詐騙，以情感欺詐為切入口，再利用云上的博彩、非法交易等形式，誘騙對方充值，一旦對方被騙，網(wǎng)站會自動銷毀。對云服務商來說，如何監(jiān)管并減少用戶在線運營非法業(yè)務，也是一場持久戰(zhàn)。
2.4 云內(nèi)的針對性勒索愈演愈烈
自2017年“永恒之藍”漏洞曝光伊始，勒索病毒開始了3年的黃金期，大量云平臺上的資產(chǎn)或服務都遭遇過惡意勒索。從2020上半年發(fā)展趨勢來看，除了廣撒網(wǎng)式的勒索之外，針對性勒索也逐漸增多。黑客通過主動滲透方式針對云內(nèi)資產(chǎn)尤其是云內(nèi)東西向進行惡意軟件傳播，肆意蔓延，加密數(shù)據(jù)并勒索高額贖金，對云內(nèi)的資產(chǎn)及服務影響嚴重。針對性勒索未來可能占比更大。
云安全防范措施及建議
1. 不同云服務模式下的云安全建設
無論是云服務的IaaS、PaaS，還是SaaS模式，安全責任總是分為兩部分，一部分是由云計算服務提供商承擔，另一部分則由云上客戶來承擔。由于云服務模式的局限性，操作系統(tǒng)、應用和數(shù)據(jù)在預設場景下是無法管控的，所以云上的用戶需要與云服務提供商和安全廠商協(xié)同作戰(zhàn)。
對IaaS服務來說，云服務商保障物理環(huán)境、網(wǎng)絡環(huán)境等基礎設施的安全和虛擬化層面的安全，而云上用戶主要負責保障操作系統(tǒng)、應用程序和數(shù)據(jù)的安全；
對PaaS服務來說，底層基礎設施安全和操作系統(tǒng)安全歸云服務商負責，云上用戶只需要負責應用程序和數(shù)據(jù)安全；
對SaaS服務來說，云上用戶主要負責自身的應用安全和數(shù)據(jù)安全，而其他的所有部分都是由云服務商來保障。
綜上所述，根據(jù)安全責任模型和云計算服務模型，云安全大致可分為云平臺安全和云上安全兩部分，具體如下。
基于這樣一個綜合的云安全架構，從云平臺安全和云上安全兩大方面進行說明。云平臺安全主要指云平臺自身基礎設施及軟件的相關安全，主要涉及物理資源安全和虛擬資源安全，物理資源安全又包括物理環(huán)境完全和基礎設施安全等，虛擬資源安全包括計算資源、存儲資源及網(wǎng)絡資源的安全以及云管平臺的安全。而云上安全則是匹配云上業(yè)務的最佳安全體系架構。云上安全包括云上網(wǎng)絡與主機安全、云上軟件平臺安全、云上應用安全和云上數(shù)據(jù)安全。此外，云安全管理部分涵蓋了對整個平臺體系的集中管控，包括安全管理、系統(tǒng)管理、審計管理、統(tǒng)一認證和統(tǒng)一授權等，是智慧城市的云安全體系架構中必不可少的部分。
1.1云平臺自身安全建設要體系化
云服務商應提供如虛擬機隔離、租戶隔離、虛擬機遷移安全、數(shù)據(jù)完整性保護和備份與恢復等手段措施保證云平臺系統(tǒng)自身的安全，在此基礎上，還應建立健全云數(shù)據(jù)中心邊界安全防護體系，通過下一代防火墻、訪問控制、DDoS防護及WEB應用防火墻等安全能力，對云平臺邊界的進出總流量進行持續(xù)地檢測與防護，防止從外部發(fā)起的針對云平臺環(huán)境的惡意攻擊，切實提升云平臺環(huán)境的整體安全性。
1.2云上業(yè)務安全建設要全面
云上安全建設建議：基于云平臺之上搭建的業(yè)務系統(tǒng)安全，主要由安全廠商來負責。提供諸如云安全資源池這樣的云安全產(chǎn)品及整體防護方案，通過云安全資源池中網(wǎng)絡安全、主機安全、應用安全及數(shù)據(jù)安全等安全能力的加持，構建業(yè)務安全監(jiān)測體系、業(yè)務安全防御體系與業(yè)務審計體系，涵蓋云安全能力的事前監(jiān)測、事中防御和事后審計全生命周期，并互相協(xié)同工作，形成一個完整的云內(nèi)安全事件響應閉環(huán)。
1.3云安全管理建設全局化
為保障云平臺信息安全及云上業(yè)務安全而采取的一系列管理措施的總和，主要由運營方自行負責。通過建立健全組織機構規(guī)范、安全規(guī)章制度，對已有的安全能力統(tǒng)一管控以及通過人員安全管理、安全教育與培訓和各項管理制度的有效執(zhí)行，來落實人員職責，確定行為規(guī)范，切實保障云平臺基礎安全和云上業(yè)務系統(tǒng)安全的技術措施真正發(fā)揮效用。
2. 企業(yè)或個人的安全建設不可少
2.1 云上業(yè)務接入訪問要可信
云計算模式下，對于企業(yè)來說，難免存在員工通過賬號登錄，獲取相應權限，由互聯(lián)網(wǎng)訪問內(nèi)網(wǎng)業(yè)務的過程，員工可能存在使用不安全終端或處于不可信環(huán)境下辦公的情況，并且遠程訪問通道的開放，也增加云內(nèi)核心業(yè)務系統(tǒng)遭受惡意攻擊的風險。此外，也會存在員工身份鑒別不準確、賬號權限控制不足、遠程網(wǎng)絡鏈路不安全等問題。在這種情況下，對員工身份的認證管理、賬號權限的最小化控制和建立安全的傳輸通道尤為關鍵。
建議：通過建立健全零信任安全體系架構，輔以VPN和主機安全（EDR）等專有安全措施，對遠程接入終端和環(huán)境的進行安全檢測和評估，對存在安全風險的終端系統(tǒng)進行病毒查殺和加固，不可信的終端（如安全分值低于80分值）將不允許遠程接入辦公系統(tǒng)。從整體上加強對接入訪問用戶的全生命周期管理和最小化權限控制，動態(tài)生成用戶的接入訪問和行為模式，保證終端的安全可信，保證數(shù)據(jù)在傳輸過程中不被第三方竊取。
2.2 未知風險漏洞風險周期變短
互聯(lián)網(wǎng)存在大量已知漏洞，軟硬件也不可避免存在些許Bug，由于黑客技術手段的不斷完善，針對新漏洞的探測和利用周期正在逐漸變短。過去針對新漏洞的大規(guī)模掃描需要過幾天才會出現(xiàn)，而現(xiàn)在往往在新漏洞被發(fā)現(xiàn)的第一時間，就會已經(jīng)爆發(fā)安全事故，導致企業(yè)的開發(fā)和安全運維人員幾乎無法在合理的短時間內(nèi)完成打補丁操作來應對安全威脅。
2.3 云環(huán)境及云上業(yè)務系統(tǒng)內(nèi)生安全要可靠
云平臺內(nèi)部的辦公業(yè)務系統(tǒng)及相應資產(chǎn)數(shù)眾多，需要滿足多種情況下的辦公業(yè)務需求，可能會導致云內(nèi)系統(tǒng)由于外部因素出現(xiàn)新的薄弱點，從而被黑客攻擊者惡意利用發(fā)起攻擊，因此，加強云內(nèi)的整體安全建設勢在必行。
建議：通過云防火墻防護引擎、云Web防護引擎、云入侵防御引擎、云漏洞掃描引擎、云主機安全管理引擎等安全措施，對云平臺內(nèi)部與外部的南北向流量和云內(nèi)東西向流量等進行深度的檢測與防護，防止從外部和內(nèi)部發(fā)起的惡意攻擊。持續(xù)地對云內(nèi)的重要資產(chǎn)進行安全監(jiān)測，為資產(chǎn)定期“量體溫”，及時發(fā)現(xiàn)云內(nèi)環(huán)境及資產(chǎn)的風險并自動進行隔離處置，同時，安全加固云內(nèi)資產(chǎn)，如主機、操作系統(tǒng)、數(shù)據(jù)庫等。加強對云內(nèi)核心Web應用系統(tǒng)的保護，全方位從云監(jiān)測到云防護全面提升云平臺環(huán)境及云內(nèi)業(yè)務系統(tǒng)的整體安全性。
2.4 云上業(yè)務系統(tǒng)運維與行為審計要細致
公有云服務模式下，對云內(nèi)系統(tǒng)的遠程訪問源分布廣、變化快，對云內(nèi)業(yè)務系統(tǒng)的操作頻繁復雜，常規(guī)的操作日志排查很難適應現(xiàn)階段靈活復雜的操作，遠程對云內(nèi)業(yè)務系統(tǒng)及核心資產(chǎn)的重要操作若是不可控制將會大大增加安全風險性，因此，對云內(nèi)的詳細操作安全審計變得尤為敏感和關鍵。
建議：通過運維審計、日志審計和數(shù)據(jù)庫審計等安全工具措施，針對性審計遠程用戶訪問業(yè)務系統(tǒng)的行為操作，對敏感高危操作及時作出告警處置，保證發(fā)生數(shù)據(jù)泄露等事故后可溯源定位分析，全面保障運維安全合規(guī)，審計不間斷，讓接入訪問者在云內(nèi)的一切操作可管、可控、可回溯分析。
2.5 云上安全態(tài)勢及運營要明晰
隨著業(yè)務系統(tǒng)上云的進程加快，云安全事件逐漸呈現(xiàn)出黑灰產(chǎn)化，在云平臺虛擬環(huán)境中，尤其是混合多云的復雜環(huán)境中，租戶數(shù)量多、資產(chǎn)數(shù)量多、業(yè)務系統(tǒng)繁雜，加之傳統(tǒng)安全建設方式無法適用于云計算的復雜環(huán)境，IT安全管理人員常常無法掌控云平臺的整體安全情況。因此，能夠簡單掌控云平臺內(nèi)部的整體安全態(tài)勢，及時作出安全決策是當下云安全建設的根本。
建議：通過云安全管理平臺相關服務或云安全SaaS化服務等方式，實時了解和掌控云平臺內(nèi)部環(huán)境、業(yè)務系統(tǒng)及重要資產(chǎn)的安全態(tài)勢情況及威脅風險感知情況，對潛在的安全風險及時發(fā)現(xiàn)和預警，結合運營分析作出合理化的處置建議，實現(xiàn)云安全問題全方位閉環(huán)，真正地讓云平臺安全無憂。
2.6 建立完善的安全管理體系
按照信息安全等級保護中安全管理部分的要求，參考ISO 27000系列標準的控制域和控制項，結合行業(yè)最佳實踐和監(jiān)管要求，需要基于自身業(yè)務情況和特點建立一套符合其狀況的安全管理體系，具體包括以下幾個方面：
制定安全策略，并根據(jù)策略完善相關制度體系
建立信息安全管理體系（ISMS），提升總體安全管理水平
參照行業(yè)監(jiān)管機構的相關規(guī)定和指引，并結合ISO 27000體系文件，實現(xiàn)ISMS落地實施
建立安全運營管理體系
結合信息安全建設規(guī)劃進行實施
結合安全域劃分進行實施
結合等級保護相關內(nèi)容進行實施
信息安全管理體系的主要任務是了解信息安全現(xiàn)狀，確定安全方針和目標，匯總現(xiàn)有制度體系，分析各項差異性，設計適合自身的信息科技風險狀況、技術水平以及管理體系，并輔助實施。
經(jīng)營性網(wǎng)站備案信息
可信網(wǎng)站信用評價
網(wǎng)絡警察提醒您
誠信網(wǎng)站
中國互聯(lián)網(wǎng)舉報中心
網(wǎng)絡舉報APP下載
