雲上數據安全風險及應對策略

目前雲計算的建設發展如火如荼，越來越多的企業在考慮將應用和數據遷移到雲端，而雲環境的開放，加速了安全的隱患，企業在考慮上雲的時候也在考慮存在的安全風險，及如何將安全風險降到最低？筆者就主要的安全風險、防護方案現狀及應對策略幾個方面給出一些參考。

雲端安全風險最小化，首要認清雲端主要安全威脅

75%的用戶對於上雲的最大擔心是數據的泄露和篡改風險

雲計算平台聚集了大量雲租戶的應用系統和數據資源，因而更容易成為被攻擊的目標，一旦遭受攻擊，會導致嚴重的數據丟失、篡改或泄露。且在雲計算環境下，數據的實際存儲位置往往不受雲租戶控制，雲租戶的數據可能存儲在境外，易造成數據泄露。

身份識別與管理問題易發生非授權的數據訪問行為

雲計算基於網路提供服務，應用系統都放置於雲端，如果身份認證不足、憑證或密鑰管理不善，容易讓攻擊者獲取到用戶的身份驗證信息。不懷好意的攻擊者可能假冒合法用戶，盜取或篡改雲中數據。

不安全介面或API造成的安全風險愈發嚴重

攻擊者利用非法獲取的介面訪問密鑰，獲得資料庫訪問權，直接訪問用戶數據，導致敏感數據泄露；通過介面實施注入攻擊，可能篡改或破壞用戶數據；通過介面漏洞，攻擊者可繞過虛擬機監視器的安全控制機制獲取到系統管理許可權，將給雲租戶帶來無法估計的損失。

系統漏洞的問題不可忽視

系統漏洞是系統程序中存在的可用漏洞，利用這些漏洞，攻擊者能夠滲透進系統，並竊取數據、控制系統或中斷服務操作。操作系統組件中存在的漏洞，使得所有服務和數據的安全性都面臨了重大的安全風險。

平台管理者越權訪問和誤操作的風險

雲租戶的應用系統和業務數據處於雲計算環境中，雲計算平台的運營管理和運維管理歸屬於雲服務方，運營管理和運維管理等人員的惡意破壞或誤操作在一定程度上會造成雲租戶應用系統的運行中斷和數據丟失、篡改或泄露。

多租戶隔離措施失效的風險

由於雲服務是多租戶共享，如果雲租戶之間的隔離措施失效，一個雲租戶有可能侵入另一個雲租戶的環境，或者干擾其他雲租戶應用系統的運行。而且，很有可能出現專門從事攻擊活動的人員繞過隔離措施，干擾、破壞其他雲租戶應用系統的正常運行。

綜上，雲端的安全問題覆蓋網路層、系統層、應用層和數據層各個層面，每一個地方都可能是風險的爆發點，而作為雲租戶，不能過多依賴雲服務商的安全措施，且有些安全防護是雲服務商無法替代的，像IaaS模式下，虛擬化以上的客戶機的安全防護，中間件層保護、應用及數據的防護；PaaS模式下，軟體開發平台中間件以及應用和數據本身的安全防護；SaaS模式下，應用的簡單的安全配置及數據安全防護等。且這些風險責任在國家信息安全等級保護中也做了明確規定，由雲租戶來承擔。

市面上常見的抗DDoS、雲WAF、雲堡壘機等產品，在網路層和應用層等層面做了主要防護，但在承載企業核心數據資產的資料庫層，防護措施欠缺。比如：

網路防火牆產品不對資料庫通訊協議進行控制；

IPS/IDS/網路審計不能防範那些看起來合法的數據訪問；

WAF系統僅針對HTTP協議進行檢測控制，繞過WAF有150多種方法；

黑客會通過訪問控制缺陷、SQL注入漏洞、超級許可權等攻擊資料庫，造成安全事件等。

而資料庫本身也存在一些安全漏洞，CVE上公布的資料庫漏洞早已超過2000個，且各種內部/外部人員直接訪問資料庫，也帶來了很多潛在的安全風險，據Verizon統計， 2016年全球數據泄露高達14億條，2017年僅上半年就高達19億條。企業必須引入資料庫層面的保護作為最後一道安全防線。

目前一些DBaaS平台開始提供本機保護，檢測和數據驅動的安全功能（例如，Microsoft Azure SQL和Amazon Redshift、阿里雲RDS）。然而，更複雜、專業的功能（如特權分析，DCAP，數據屏蔽和子集，集中監控等）只能通過第三方服務來獲得。且從數據安全本身的角度，數據管理系統和數據安全的產品應該是各自獨立，不是同一個服務商。

安華金和雲安全團隊基於安華金和9年的資料庫安全專業積累，在雲端圍繞數據使用全周期，形成了一套整體雲數據安全治理解決方案，產品從數據分類到使用過程式控制制再到分發追根溯源，覆蓋國內外各大雲平台，幫助雲端用戶解決數據安全問題。目前已廣泛應用於金融、教育、醫療、零售等領域。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！