2018年我們將面臨哪些雲數據安全問題？

總部位於密蘇里州聖路易斯的TierPoint公司，是一家私人投資支持的主機託管和混合雲服務供應商，目前已迅速成為數據中心行業一支不可忽視的力量。TierPoint經營著39個數據中心，數據中心空間共計超過60萬平方英尺，遍布美國18個州21個市場。經過僅僅5年的發展，它從一個小型本地數據中心整合者，演變成為一家為多個區域市場提供混合IT解決方案的成熟數據中心供應商。

對於數據安全問題，TierPoint也有自己的見解。2018年我們將面臨哪些雲數據安全問題？TierPoint提出了以下5種威脅。

1.共享技術中的漏洞

一般來說，採購雲服務也就意味著你默認與該供應商的其它客戶共享他們的基礎架構、平台或應用。供應商的底層基礎架構應該在多租戶基礎架構（IaaS）、平台即服務（PaaS）或軟體即服務（SaaS）解決方案的客戶之間採取強大的隔離措施（但在實際情況中，真正做到這一點的供應商到底有多少我們無從得知）。

諸如管理程序之類的共享平台組件中一旦產生漏洞或配置錯誤，攻擊者就有可能趁虛而入，攻擊該供應商系統，最終殃及大部分甚至所有客戶的雲端數據，造成後果極為嚴重的信息泄露事件。

保護雲數據安全的關鍵措施之一就是針對共享基礎架構管理制定嚴格的流程。圍繞客戶端實現和數據管理的最佳實踐有助於防範共享技術的漏洞。此外，還需要對內部服務交付和面向客戶的資源進行例行的漏掃和以合規為重點的掃描。

2.DDoS攻擊

DDoS攻擊指的是通過受感染計算機/互聯網設備上的殭屍網路發送大量垃圾流量，導致整個網路、網站和應用程序徹底癱瘓的過程。最著名的案例之一發生在2016年10月，DNS服務提供商Dyn公司的Managed DNS基建遭遇了一波非常嚴重的DDoS攻擊，不僅是Dyn，整個美國、歐洲的主要網站均淪陷。

DDoS攻擊還有一個容易被人忽略的危害屬性是為數據盜竊、惡意軟體感染「打掩護」，最終對雲數據安全產生威脅。例如，英國電信運營商Carphone Warehouse曾在2015年曝光受到大量在線流量的攻擊，同時240萬在線用戶的個人信息被竊取，其中包含加密的信用卡數據。

更悲催的是，DDoS攻擊發起成本低廉、持續時間長（數小時甚至數天）。有資料顯示，花150美金就能在暗網上買到針對小型組織展開為期一周的攻擊服務。

3. Web API惡意利用

Web service介面（也稱為web API或應用程序編程介面）能夠為開發人員和黑客提供雲應用程序的控制權。web API的「合法」作用是提供集成、管理、監控以及其它雲服務。Web API一旦落入非法用戶之手，他們就有可能訪問敏感數據、禁用伺服器、更改應用程序配置設置、通過雲資源竊取發起其它攻擊，最終對雲數據安全產生嚴重危害。

雲API中的數據安全往往比較脆弱。RedLock在其2017年的《雲基礎架構安全趨勢》報告中提出40%使用雲存儲服務的企業無意中都公開了一項或多項此類服務。

為了增強雲數據的安全性，雲服務API應通過加密密鑰進行訪問，用於API合法用戶的驗證。開發人員和雲提供商都應將其密鑰存儲在安全的文件存儲或硬體設備中。

4.勒索軟體

美國聯邦調查局有資料顯示，2016年每天發生4000起勒索軟體攻擊事件，相比2015年增長了300%。2017年，「想哭」勒索軟體損毀了全球無數企事業單位的海量數據。其中全球製藥業巨頭Merck因為「想哭」終止了其生產和配方作業，一個月後，又因勒索軟體的破壞導致無法完成訂單交付。

勒索病毒的傳播途徑多樣，例如受感染的電子郵件、視頻、PDF或網站，能夠連接的設備或者通過密碼破解進行感染。思科在其2017年年中網路安全報告中指出，越來越多單位的安全措施都在不斷完善，因此很多犯罪分子又開始採用電子郵件這種傳統的感染方式——看似無害的郵件內容，以及帶宏病毒的郵件附件。

勒索軟體會對受感染計算機中的一切加密，因此我們必須在雲上或另一個系統中進行資料備份。

5.APT高級持續性威脅

狡猾的APT威脅能夠完美地藏匿於計算基礎架構中，持續數月甚至數年地在目標受害者的網路中竊取數據、知識產權，獲取不法經濟利益或從事網路間諜活動。通常來說，APT威脅檢測難度大，防禦方式也不斷演變。APT所造成的數據泄露往往發生於無形之中，發現難度大。

雲安全聯盟在其《The Treacherous 12–Top Threats to Cloud Computing + Industry Insights》報告中指出，APT威脅通過魚叉式釣魚、直接攻擊、USB設備中的攻擊代碼等技術或通過對合作方網路的滲透以及使用不安全的或第三方網路等方式潛入包括雲服務在內的系統。

TierPoint研究人員認為，高級安全控制措施和嚴格的流程管理是防範雲數據安全威脅的關鍵。除此之外，針對數據內容本身的安全防護也至關重要，在面對各種漏洞和攻擊時，如果已經對需要保護的核心數據做了檢查定位、脫敏和監控等技術手段的防護，那麼雲數據的安全風險將大大降低。

*參考來源：

TierPoint，由世平信息SPINFO編譯，轉載請註明來自FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！