隱秘的角落 | 探索云安全不為人知的12個(gè)黑暗面

云本質(zhì)上是計(jì)算能力的黑池(dark pool)，而其神秘性也常常讓我們掉以輕心，忽略了其鮮為人知的陰暗面。

云計(jì)算的發(fā)展前景不可阻擋。作為一種通過(guò)Internet云服務(wù)平臺(tái)按需提供計(jì)算能力、數(shù)據(jù)庫(kù)存儲(chǔ)、應(yīng)用程序和其他 IT 資源的服務(wù)模式，無(wú)論您是在運(yùn)行擁有數(shù)百萬(wàn)移動(dòng)用戶的照片共享應(yīng)用程序，還是要為您的業(yè)務(wù)的關(guān)鍵運(yùn)營(yíng)提供支持，云服務(wù)平臺(tái)都讓您可以快速訪問(wèn)靈活且成本低廉的IT資源。

通過(guò)云計(jì)算，您無(wú)需先期巨資投入硬件，再花大量時(shí)間來(lái)維護(hù)和管理這些硬件。相反地，您可以精準(zhǔn)配置所需的適當(dāng)類型和規(guī)模的計(jì)算資源，幫助運(yùn)作您的IT部門(mén)。您可以根據(jù)需要訪問(wèn)任意多的資源，基本是實(shí)時(shí)訪問(wèn)，而且只需按實(shí)際用量付費(fèi)。

但是，技術(shù)的發(fā)展往往會(huì)伴隨雙面效應(yīng)。隨著云計(jì)算的日益普及，惡意行為者也盯上了這塊“大蛋糕”，試圖利用云計(jì)算漏洞實(shí)施攻擊活動(dòng)。

最初，鑒于一些基本原因(包括有關(guān)安全性和隱私性的問(wèn)題)，企業(yè)對(duì)于將數(shù)據(jù)和工作負(fù)載遷移至云端持警惕和懷疑態(tài)度。盡管目前，這種早期的顧忌和恐慌，已經(jīng)轉(zhuǎn)變成了信任和依賴，但是隨著企業(yè)對(duì)云服務(wù)的依賴日趨嚴(yán)重，以及近年來(lái)國(guó)內(nèi)外云安全事件頻發(fā)，企業(yè)也開(kāi)始重新審視云安全問(wèn)題。

以下是企業(yè)在云中開(kāi)展業(yè)務(wù)的12個(gè)陰暗面，希望可以幫助企業(yè)樹(shù)立正確的安全觀，最大程度地發(fā)揮云計(jì)算的效益。

1. 相同的安全漏洞仍然存在

云實(shí)例與我們的臺(tái)式機(jī)或獨(dú)立服務(wù)器其實(shí)運(yùn)行著相同的操作系統(tǒng)。如果Ubuntu 14中有一個(gè)后門(mén)，可以讓攻擊者闖入您加固的服務(wù)器機(jī)房中的機(jī)器，那幾乎可以肯定，同一個(gè)后門(mén)也會(huì)讓攻擊者闖入您在云中運(yùn)行的服務(wù)器版本。我們鐘愛(ài)的云實(shí)例旨在與我們的私有硬件互換，遺憾的是，同樣的漏洞也會(huì)被替換到云端。

2. 你可能無(wú)法確定自己得到了什么

當(dāng)啟動(dòng)云設(shè)備時(shí)，你單擊了Ubuntu 18.04按鈕或FreeBSD按鈕。但是，你確定自己正在運(yùn)行標(biāo)準(zhǔn)發(fā)行版嗎?一位在共享硬件托管中心工作的朋友聲稱，其公司在其發(fā)行版中插入了秘密帳戶，然后干預(yù)了ps和top的標(biāo)準(zhǔn)UNIX例程，以確保其活動(dòng)不可見(jiàn)。他說(shuō)，存在后門(mén)的版本是在考慮客戶的情況下創(chuàng)建的，一切都是為了提高客戶服務(wù)和系統(tǒng)調(diào)試的效率。但是，不可否認(rèn)的是，這種做法也可能會(huì)被用于惡意目的。

客戶對(duì)云計(jì)算服務(wù)商的信任是無(wú)條件的，我們必須堅(jiān)信他們的廉潔和公正。但是，我們卻很難相信其所有員工也都是毫無(wú)二心的。

3. 還有你無(wú)法控制的額外層

云實(shí)例通常在操作系統(tǒng)下附帶一個(gè)額外的軟件層，其完全在您的控制范圍之外。您可能具有對(duì)操作系統(tǒng)的root訪問(wèn)權(quán)限，但卻不會(huì)知道下面發(fā)生了什么。這個(gè)大多數(shù)情況下都無(wú)文檔記錄可循的層，可以用來(lái)對(duì)客戶數(shù)據(jù)流執(zhí)行任何操作。

4. 員工并非為你工作

云服務(wù)提供商喜歡吹噓自己能夠?yàn)槠湓茖?shí)例的安全性和穩(wěn)定性提供額外的支持和安全團(tuán)隊(duì)。而大多數(shù)公司的規(guī)模不足以支持這樣的團(tuán)隊(duì)，因此云計(jì)算公司很容易解決小公司無(wú)法解決的問(wèn)題。

但有一個(gè)問(wèn)題需要注意，該團(tuán)隊(duì)并不是為你工作的。他們不會(huì)向你報(bào)告安全問(wèn)題，他們的職業(yè)前景與你的企業(yè)發(fā)展規(guī)劃也沒(méi)什么關(guān)系。您可能不會(huì)知道他們的名字，并且唯一的交流方式也是通過(guò)不露面的故障單，前提還是如果他們有回信的話。也許這就是你所需要的一切，或者，你也可以雙手合十祈禱。

5. 你不知道誰(shuí)在你的服務(wù)器上

云計(jì)算的巨大經(jīng)濟(jì)優(yōu)勢(shì)在于，您可以與其他人分?jǐn)傔\(yùn)維和物理維護(hù)的成本。但是代價(jià)是，你也將失去對(duì)硬件的完全控制能力。你不知道正在與誰(shuí)共享同一臺(tái)機(jī)器—;—;可能是一些心地善良的教堂修女正在維護(hù)一個(gè)教區(qū)居民的數(shù)據(jù)庫(kù)，也可能是一名精神病患者。更糟糕的是，他還可能是一個(gè)試圖竊取你的秘密或資金的竊賊。

6. 規(guī)模經(jīng)濟(jì)是柄雙刃劍

云計(jì)算的絕對(duì)優(yōu)勢(shì)在于，規(guī)模經(jīng)濟(jì)意味著成本很低，因?yàn)樵朴?jì)算公司擁有大量的機(jī)架和硬件。這有助于降低成本，但同時(shí)也會(huì)導(dǎo)致單一化，使攻擊活動(dòng)變得更簡(jiǎn)單。在一個(gè)實(shí)例中發(fā)現(xiàn)的一個(gè)漏洞就足以快速覆蓋成千上萬(wàn)個(gè)類似實(shí)例。

7. 對(duì)安全性的權(quán)衡會(huì)導(dǎo)致成本增加

云計(jì)算公司已經(jīng)陷入了困境。他們可以通過(guò)關(guān)閉分支預(yù)測(cè)來(lái)抵御分支預(yù)測(cè)之類的攻擊，但這會(huì)導(dǎo)致一切都變慢。那么，他們?cè)敢馔讌f(xié)來(lái)降低性能嗎?客戶愿意接受這樣的服務(wù)嗎?我想，結(jié)果都是否定的。在云中，較慢的機(jī)器沒(méi)有價(jià)格優(yōu)勢(shì)。

8. 不同的公司有不同的安全需求

您可能需要進(jìn)行數(shù)十億美元的銀行業(yè)務(wù)。但并不是每個(gè)客戶都需要在云中開(kāi)展同樣的業(yè)務(wù)，或者具備同等的規(guī)模。事實(shí)上，一個(gè)規(guī)模并不適用于所有安全業(yè)務(wù)，但云計(jì)算公司屬于大宗商品業(yè)務(wù)。他們是否具備很高的目標(biāo)并致力于支持關(guān)鍵應(yīng)用程序?還是偷工減料為非關(guān)鍵應(yīng)用程序提供低價(jià)套餐?這個(gè)問(wèn)題沒(méi)有正確的決定，因?yàn)槊總€(gè)客戶都是不同的，而且實(shí)際上，客戶也有不同的需求。甚至每個(gè)應(yīng)用程序內(nèi)的每個(gè)微服務(wù)都是不同的。

9. 一切都是不透明的

云本質(zhì)上是一個(gè)計(jì)算能力的黑池，而這種神秘性往往讓我們陷入一種謎之自信。如果我們不知道自己的芯片在哪里，那么攻擊者也不知道。但是，我們只是十指交叉地祈禱并假設(shè)攻擊者無(wú)法找到共享我們機(jī)器的方法，因?yàn)槲覀冏约阂膊恢罊C(jī)器的分配方式。但是，如果有可以利用的模式怎么辦?如果存在一些秘密漏洞可以用來(lái)極大地改變這種可能性呢?

10. 攻擊者有能力控制我們的資源

云計(jì)算的一個(gè)關(guān)鍵特性是，它可以自動(dòng)升級(jí)擴(kuò)容來(lái)匹配需求。如果訪問(wèn)請(qǐng)求數(shù)量激增，云計(jì)算可以啟動(dòng)新的實(shí)例來(lái)保證性能。麻煩的是，創(chuàng)造虛假需求非常容易。攻擊者可以觸發(fā)您的某個(gè)應(yīng)用，通過(guò)數(shù)千次快速訪問(wèn)來(lái)啟動(dòng)新實(shí)例。如果云計(jì)算公司在需求激增時(shí)啟動(dòng)新硬件怎么辦?如果所有新實(shí)例都卡在這個(gè)新啟動(dòng)的硬件上怎么辦?攻擊者可以在觸發(fā)云擴(kuò)展后立即請(qǐng)求新實(shí)例，這樣一來(lái)，每個(gè)人共享相同內(nèi)存空間的可能性要大得多。

11. 克隆太多導(dǎo)致攻擊面激增

許多云架構(gòu)師喜歡使用許多小型機(jī)器的模塊，這些機(jī)器可以隨著需求的上升和下降而啟動(dòng)和停止。大量克隆的小機(jī)器同時(shí)也意味著私密數(shù)據(jù)會(huì)被不斷克隆。如果有用于簽名文檔或登錄數(shù)據(jù)庫(kù)的私鑰，那么所有克隆的實(shí)例都將擁有該信息。這也就意味著，攻擊者有N個(gè)目標(biāo)而不僅僅是一個(gè)，從而大大增加了攻擊者瞄準(zhǔn)相同物理硬件的可能性。

12. 我們的贏面也許沒(méi)想象中大

針對(duì)云計(jì)算的攻擊不再是僅存于假設(shè)中的事情，但是實(shí)踐起來(lái)可能也沒(méi)那么容易。云安全的最大優(yōu)勢(shì)在于，它是計(jì)算能力的一個(gè)巨大黑池。攻擊者如何才能撥開(kāi)重重阻礙直擊目標(biāo)?他們闖入同一個(gè)內(nèi)存空間的幾率是多少?攻擊者能否找到我們?云計(jì)算所帶來(lái)的神秘感使我們內(nèi)心虛假的安全感逐漸膨脹。事情真的有我們想象的美好嗎?未必如此吧!