近年來，云計算已經(jīng)成為整個互聯(lián)網(wǎng)科技行業(yè)市場常常掛在嘴邊的名詞，云計算的發(fā)展為國內(nèi)眾多企業(yè)注入了新的活力，由于云計算的技術(shù)先進性以及共享的商業(yè)模式帶來的巨大優(yōu)勢，大量企業(yè)已經(jīng)或正在將自己的數(shù)據(jù)中心“云化”。
根據(jù)美國市場研究機構(gòu)Synergy Research Group公布的2017 Q1～2018 Q4中國云基礎(chǔ)設(shè)施服務（IaaS）市場份額：
在中國市場，阿里云以40.5%的市場份額仍舊位列第一，騰訊云緊追其后，第四季度份額達到16.5%，收入環(huán)比增速34.3%，中國區(qū)排名第二。Top5的另外三名則被光環(huán)新網(wǎng)（AWS）、中國電信和中國聯(lián)通包攬。報告中數(shù)據(jù)還顯示，騰訊云在2018年全年的市場份額中占據(jù)15.3%,年收入增速達到104.7% ，在Top5廠商中增速最快，市場潛力不容小覷。
而目前國內(nèi)云計算龍頭企業(yè)在2018年實現(xiàn)了213.6億元的營收額，足以說明國內(nèi)云計算市場發(fā)展前景。
大量CIO表示業(yè)務上云之前會綜合考慮上云后的安全問題；同時，一部分的CIO由于對云的不信任導致上云失敗，因此，安全已然成為阻礙企業(yè)向云遷移的公認事實。
在此背景下，本文簡單探討了云內(nèi)各類安全風險以及風險的部分應對措施，希望本文對讀者有所幫助。
二、云內(nèi)安全風險綜述
圍繞安全這個話題，我們永遠繞不開GRC（Governance、Risk、Compliance），即治理、風險和合規(guī)。從某種程度上來說，合規(guī)也是安全風險。本節(jié)將以此為出發(fā)點，集中討論云內(nèi)的各類安全風險。
云內(nèi)風險涵蓋面非常廣泛，為了便于閱讀，筆者將云內(nèi)風險按照不同類別進行分類，并分別闡述各個類別下需要注意的安全風險。
2.1基于部署模型的風險
�。�1）私有云風險
私有云是數(shù)據(jù)中心的傳統(tǒng)形態(tài)，企業(yè)控制所有基礎(chǔ)架構(gòu)，因此，相對于傳統(tǒng)數(shù)據(jù)中心可能出現(xiàn)的安全風險，私有云數(shù)據(jù)中心也均有可能出現(xiàn)。例如：
- 人員威脅：包括無意和惡意的威脅，如云架構(gòu)師錯誤的Hypervisor配置導致隔離失效、惡意管理員“刪庫跑路”。
- 外部攻擊：如未經(jīng)授權(quán)的訪問、竊聽和DDOS攻擊、惡意軟件等
- 監(jiān)管不合規(guī)：相對于公有云、社區(qū)云，私有云中的監(jiān)管合規(guī)問題相對來說容易解決，因為一切盡在自己的控制之下。
- 自然災害：洪水火災泥石流等。
（2）社區(qū)云風險
在社區(qū)云中，企業(yè)之間共享和分散資源，這種共享和分散資源在為社區(qū)提供便利的同時也帶來了下述風險：
- 分散的決策風險：由于社區(qū)云由整個社區(qū)共同出資、共同所有、共同維護，網(wǎng)絡所有權(quán)和運營也分散在了各個社區(qū)成員之間。因此，每個節(jié)點都有自己的入口，任一節(jié)點中的漏洞都可能導致對其他節(jié)點的入侵。同時，幾乎無法實現(xiàn)統(tǒng)一的配置管理、統(tǒng)一的基線。很明顯，由于社區(qū)云屬于大家共同維護，這種分散的運營維護將導致策略和管理方面巨大的困難。
- 訪問控制難以實現(xiàn)：由于社區(qū)成員分擔基礎(chǔ)架構(gòu)的開銷和成本，訪問控制策略措施難以做到統(tǒng)一滿足各個組織的需要。
- 性能和檢測的集中化管理缺失：各個社區(qū)成員無法實現(xiàn)質(zhì)量標準統(tǒng)一的集中化性能和安全檢測帶來的可靠性。
�。�3）公有云風險
這是企業(yè)上云最常使用的部署模式。私有云和社區(qū)云中所有的風險在公有云中均存在，當然，本文將討論除此以外的公有云特有風險。
- 云服務供應商Lock-in：想象三種場景，（1）如果企業(yè)沒有做好盡職調(diào)查（Due Diligence），云服務商很可能使用專有的數(shù)據(jù)格式存儲企業(yè)的各類數(shù)據(jù)；（2）企業(yè)是個零售機構(gòu)，受理全球訂單，云內(nèi)主要處理訂單支付，因此需要滿足PCI-DSS支付卡行業(yè)標準要求，而目前國內(nèi)能夠滿足合規(guī)要求的云服務商寥寥無幾；（3）業(yè)務已經(jīng)在云內(nèi)運行5年，且產(chǎn)生了海量數(shù)據(jù)合同期滿后需要遷移到其他云供應商。這三個常見的場景將會帶來三個相同的安全風險：（1）數(shù)據(jù)格式專有，導致無法更換新的云服務商；（2）假使國內(nèi)僅有一家云服務提供商滿足PCI-DSS合規(guī)要求，在合同期滿后，云服務供應商增加使用成本，企業(yè)將失去談判能力且無法變更云供應商；（3）產(chǎn)生的海量數(shù)據(jù)遷移需要足夠的帶寬和時間，同時短期大量的遷移流量根據(jù)云服務商的階梯式流量費率，可能導致遷移費用大增而放棄遷移。
上述情況均會導致企業(yè)上云后被云服務商綁死（Lock-in）。
- 云服務商Lock-out：想象兩種場景，（1）云服務商被收購、破產(chǎn)重組（2）云服務商由于違法導致受到制裁停止運營。筆者不將窮舉所有可能導致云服務商無法提供服務的原因，但是這導致企業(yè)上云后的確面臨Lock-out的風險：云服務商停止運營后如何保護我們的業(yè)務和數(shù)據(jù)持續(xù)運行？這里需要綜合考慮云服務提供商的生命周期、核心競爭力、司法管轄權(quán)、供應鏈依賴性和適用的立法環(huán)境，在前期盡量做好云供應商的選擇。
- 多租戶風險：進入公有云意味著進入多租戶環(huán)境，多租戶帶來的風險包括：（1）利益沖突，想象和你運營相同業(yè)務的競爭對手的虛擬機和你在同一朵云中，會發(fā)生什么？如果云數(shù)據(jù)庫管理員與競爭對手的關(guān)系非常好呢？你的數(shù)據(jù)很有可能被數(shù)據(jù)庫管理員泄露給競爭對手。很明顯，從安全的角度來說，這種風險并非不存在，但是使用Brewer-Nash（也叫中國墻）訪問控制模型可以有效解決這個風險；（2）特權(quán)提升，Vm Escape和Host Escape，即虛擬機逃逸和主機逃逸，可以在云中輕松實現(xiàn)特權(quán)提升，并訪問同一Host不同Vm或者不同Host中的虛擬機；（3）信息泄露，側(cè)信道攻擊方式可以通過多種方式判斷、檢測到同一Host不同云客戶的活動跡象信息，如客戶處理數(shù)據(jù)的時長等，這并非無害，這可能幫助別有用心的人判斷你選擇的數(shù)據(jù)處理產(chǎn)品，進而有針對性的進行漏洞利用；（4）法律活動，想象由于觸犯法律導致和你處于同一Host中的客戶硬盤被司法部門取證沒收用以調(diào)查，很明顯，由于分布式存儲的特性，你的數(shù)據(jù)可能也在那塊被取證沒收的磁盤中，風險不言而喻。
�。�4）混合云風險
混合云風險包含私有云、社區(qū)云、公有云的所有風險，這里不再贅述。
2.2基于服務模型的風險
�。�1）IaaS模型風險
- 人員威脅
- 外部威脅
- 缺乏特定技能：企業(yè)管理員不一定精通云計算環(huán)境的配置和部署，業(yè)務的運營可能面臨巨大的風險。
- 互操作性風險：PaaS模型中操作系統(tǒng)OS由云服務提供商進行管理和更新，所以當環(huán)境有調(diào)整時，企業(yè)自己部署的軟件由于兼容性不一定能正常運行在云服務商的OS上。
- 后門風險：PaaS常用于軟件開發(fā)和DevOps，這些軟件產(chǎn)品發(fā)布后開發(fā)人員常常忘記把前期自己留的后門刪除，導致后期出現(xiàn)0day漏洞。
�。�3）SaaS模型風險
- 專有格式：SaaS意味著使用云提供商的應用，他們可能使用自己的專有格式收集、存儲和現(xiàn)實數(shù)據(jù)，這可能導致可移植性的降低。
- Web應用安全：大多數(shù)SaaS產(chǎn)品依賴于瀏覽器訪問，通過web的訪問導致Owasp Top10中所有風險均存在于SaaS云環(huán)境中。
2.3基于虛擬化類型的風險
�。�1）Type1類型風險
Type1類型即裸金屬架構(gòu)，采用虛擬化管理軟件Hypervisor作為虛擬化實例和主機資源之間的接口和控制器。惡意黑客認為Hypervisor是一個潛在的攻擊目標，因為系統(tǒng)中較低層提供了更大的控制。通過破壞Hypervisor，可以控制已安裝的VM、物理系統(tǒng)和托管應用程序。
常見攻擊包括超級劫持（安裝可以完全控制服務器的流氓虛擬機管理程序），例如SubVir，Blue Pill（使用AMD安全虛擬機[SVM]的hypervisor rootkit），Vitriol（使用Intel VT-x的Hypervisor rootkit），以及直接內(nèi)核結(jié)構(gòu)操作（DKSM）。
（2）Type2類型風險
Type2類型即宿主架構(gòu)，它具有Type1類型的所有風險，同時相比于Type1類型，Type2類型多了一層OS，從安全的角度來看，新加入的OS引入了更多的攻擊面，這個OS比VMM更復雜，可能含有更多的漏洞。
2.4其他類型的風險
上述根據(jù)不同分類列舉的風險難以囊括云環(huán)境中企業(yè)可能面臨的所有安全風險，筆者也不打算將所有云內(nèi)風險全部羅列出來，本文僅討論以下重要的云內(nèi)風險內(nèi)容。下面簡單闡述每個所列舉風險的基本含義，有時間再進行詳細說明。
- 隱私風險：云內(nèi)數(shù)據(jù)大集中意味著風險大集中，隱私安全作為數(shù)據(jù)安全的一部分在國內(nèi)外均格外受到重視。云存儲中可能包含眾多的公民隱私PII數(shù)據(jù)，這些PII數(shù)據(jù)如果沒有得到有效的保護，將會受到法律的制裁。國際上，歐盟GDPR立法對公民隱私保護提出了現(xiàn)有最高要求，各國處理、存儲、采集歐盟成員國公民PII數(shù)據(jù)均需要滿足GDPR或者簽署具有同等效力的合同約束，或者制定專門法律以滿足GDPR要求，如美國的安全港協(xié)議和隱私保護盾協(xié)議。除了歐盟，美國GAPP、國際ISO 27018、OECD均對公民個人隱私保護提出了安全保護要求，在考慮云環(huán)境時需要考慮業(yè)務環(huán)境是否面臨滿足上述隱私安全合規(guī)風險。同時，隱私保護也不僅僅時為了合規(guī)，合規(guī)只是下線，如何確保業(yè)務數(shù)據(jù)中的隱私信息能夠滿足實際生產(chǎn)需求，可能需要更多考慮，這里可以考慮匿名化、加密、脫敏、hash、去標簽化、屏蔽等各種隱私數(shù)據(jù)模糊化技術(shù)手段。
- 審計風險：云環(huán)境導致數(shù)據(jù)全球化存儲、地域分散式存儲，云技術(shù)導致數(shù)據(jù)高度動態(tài)存儲，多數(shù)據(jù)中心導致數(shù)據(jù)位置與企業(yè)地理分離，這些因素都導致傳統(tǒng)的審計無法或難以適用于云環(huán)境。
- 合規(guī)風險：云計算業(yè)務在國際上飛速發(fā)展，每個國家針對云計算業(yè)務安全性制定了專門的規(guī)章和標準，如國內(nèi)等保2.0云計算安全擴展要求、美國FedRamp等，企業(yè)需要根據(jù)實際情況驗證云供應商是否能夠提供滿足合規(guī)要求的安全能力。對于一些國際貿(mào)易公司、跨國企業(yè)，這里推薦采用CCSL、CSA STAR（包括CCM和CAIQ）兩個工具交叉驗證云供應商合規(guī)性滿足能力。同時，云計算導致企業(yè)更加難以應對合規(guī)性要求。尤其對于運行在公有云環(huán)境中的組織。國內(nèi)企業(yè)可能在這一點上稍微好處理，對于跨國企業(yè)，企業(yè)數(shù)據(jù)分布在世界各地，可能面臨各國合規(guī)性要求不同帶來的違法違規(guī)風險。比如美國FIPS 140-2標準要求所有密鑰存儲設(shè)備均有硬件保護機制，很明顯，云中運行的應用難以滿足FIPS 140-2要求。
- 數(shù)據(jù)風險：數(shù)據(jù)從創(chuàng)建、傳輸、存儲、共享、歸檔、銷毀的各個生命周期均面臨不同的安全風險，展開來講可能需要20頁的A4紙才能闡述清楚，這個不做過多介紹。
- 應用風險：應用遷移風險、應用開發(fā)文檔缺失風險、傳統(tǒng)應用不一定適用于云環(huán)境、應用隔離風險、API風險（未經(jīng)驗證的API和API供應鏈安全）、應用整合風險等對應用安全提出了較高的挑戰(zhàn)，每一項都具有很大的威脅性。
- 運營風險：運營風險是指云內(nèi)運營時候可能出現(xiàn)的各種風險狀況。合理配置BIOS、合理使用TPM、正確配置存儲控制器（Vlan隔離、kerberos/SRP/CHAP身份驗證、IpSEC加密等）、網(wǎng)絡控制器（端口及端口組隔離、管理網(wǎng)隔離、網(wǎng)絡冗余、加密等）、對console-based訪問嚴格控制均需要注意。尤其注意云內(nèi)補丁維護，因為虛擬機鏡像無法打補丁，所以自動化補丁管理可能需要注意以文件形式存儲的虛擬機鏡像實例的補丁更新問題。
- 取證風險：云技術(shù)的發(fā)展不僅帶來了優(yōu)越性，也導致云環(huán)境中的司法取證過程變得更加困難。虛擬機漂移導致無法定位待取證虛擬機位置，分布式存儲帶來的數(shù)據(jù)分散化導致取證需要涉及多個物理位置，多租戶導致取證時可能侵犯其他租戶隱私數(shù)據(jù)，這些都是云計算帶來了特有安全風險。
- 供應鏈風險：不論采用公有云部署還是私有云部署，都可能遇到比傳統(tǒng)環(huán)境更加復雜的供應鏈問題。國內(nèi)大部分IaaS交付的云環(huán)境，其服務器、存儲物理設(shè)備一般采用第三方專業(yè)廠商產(chǎn)品，或者白牌產(chǎn)品，這將導致我們除了衡量云服務提供商以外，還需要考慮云服務提供商采用的下游供應商；同樣，PaaS和SaaS服務模型其操作系統(tǒng)、應用軟件、應用軟件代碼庫一般都可以有多個供應商可供選擇，這些二級供應商都是需要嚴格考慮的安全風險，畢竟經(jīng)濟損失可以轉(zhuǎn)移，安全責任是無法轉(zhuǎn)移的。
三、第三方機構(gòu)對云內(nèi)風險的總結(jié)
目前國際上可以借鑒的云內(nèi)風險報告包括2013年發(fā)布的Notorious 9、2016年發(fā)布的The Treacherous12和ENISA Top 8。
Notorious 9列出了9大云內(nèi)安全風險，包括：數(shù)據(jù)泄露、數(shù)據(jù)丟失（當客戶將加密信息上載到云環(huán)境時，加密密鑰將成為確保數(shù)據(jù)不會丟失并保持可用的關(guān)鍵組件。因為丟失相關(guān)的加密密鑰會導致數(shù)據(jù)丟失）、賬戶/服務流量劫持、不安全的接口和API、拒絕服務、惡意內(nèi)部人員、濫用云服務、盡職調(diào)查不足、共享技術(shù)漏洞（所有租戶共享相同底層架構(gòu)，相同的漏洞導致一損俱損）。
云計算頂級威脅The Treacherous12列出了12大安全風險，包括：數(shù)據(jù)泄露、憑據(jù)或身份驗證遭到攻擊或破壞、接口和API被黑客攻擊、利用系統(tǒng)漏洞、賬戶被劫持、來自企業(yè)內(nèi)部的惡意人員、APT攻擊、永久性的數(shù)據(jù)丟失、缺乏盡職調(diào)查、云服務的濫用、DoS攻擊、共享技術(shù)漏洞。
這兩份云環(huán)境安全風險調(diào)查報告有很多相同的部分，這里不再展開詳述，讀者可以自尋相同點，必定可以發(fā)現(xiàn)云內(nèi)重要安全風險所在。
除了上述CSA發(fā)布的云內(nèi)安全風險以外，歐盟ENISA也發(fā)布了云內(nèi)8個頂級安全風險，本文列出以供參考：
ENISA Top 8：治理缺失、lock-in、隔離失效、不安全或不完整的數(shù)據(jù)刪除、惡意內(nèi)部人員、管理平面失效、合規(guī)風險和數(shù)據(jù)保護。
四、云內(nèi)安全展望
從安全的角度來看，識別云計算風險只是風險管理的第一步，但只有識別清楚云內(nèi)風險，才能進行下一步的風險分析、設(shè)計風險控制措施、判斷殘余風險和實行風險監(jiān)督。
本文只是簡單的羅列出云內(nèi)可能出現(xiàn)的重要的安全風險，并進行了簡單的概括性闡述，希望對讀者有所幫助。
作者介紹：
張德俊，就職于國內(nèi)網(wǎng)絡安全公司，在網(wǎng)絡安全、云安全、云計算等方面有較多工作經(jīng)驗，獲得CISSP、CCSP、CCSK、CISP等云安全、網(wǎng)絡安全國際和國內(nèi)認證。
