云计算面临的七大安全威胁分析

　　安全问题是挡在云计算规模商用道路上的巨大障碍。帮助人们解决对云计算安全威胁担心的第一步，就是正确地识别安全威胁，以下是目前云计算面临的七大安全威胁。

　　威胁一：拒绝服务攻击

　　首先，云计算以宽带网络和Web方式提供服务，其可用性方面将会受到挑战，针对云计算服务的拒绝服务攻击，需要云计算服务提供商认真调查、采取相应的专门保护措。其次，云计算快速弹性的特征，要求服务提供商自身必须具备非常强大的网络和服务器资源，按需服务的特征，又对业务开通和服务变更等环节提出了灵活性的要求。这两个特征结合在一起，使得云计算服务很容易成为滥用、恶意使用服务的温床。在2010年Defcon大会上，David Bryan公开演示了如何在Amazon的云计算服务平台上以6美元的成本对目标网站发起致命的拒绝服务攻击。利用云计算服务来破解密码、搭建僵尸网络等恶意使用案例也屡有发生。

　　威胁二：不安全的接口和API

　　“开放”是云计算时代的一个重要的业务变革方向。云计算服务商需要提供大量的网络接口和API(应用程序编程接口)来整合上下游、寻找业务伙伴，甚至直接提供业务。

　　但是，开发过程中的安全测试、运行过程中的渗透测试，以及测试工具、测试方法等，在针对网络接口和API上都还不够成熟，这些通常工作于后台相对安全环境的功能被开放出来后，将会带来新的安全威胁。

　　威胁三：恶意的内部员工

　　Verizon Business最新的数据泄漏调查报告显示，48%的数据泄漏是由于恶意的内部人士所为。云计算服务作为某种程度上的外包业务，工作上有权限、有能力接触并处理用户数据的范围进一步扩大，其中包括用户自己的内部人士、供应商员工、云计算服务商的管理维护人员、云计算服务商的供应商员工等。这种访问范围的扩大，增加了恶意的“内部员工”滥用数据和服务的可能性。

　　威胁四：共享技术产生的问题

　　资源的虚拟池化和共享是云计算的根本，但是这种共享并不是没有代价的，最为典型的代价就是使得安全性降低。事实上，针对虚拟层的安全研究已经被广为重视，从2007年开始，主流的虚拟层软件屡有漏洞被发现。

　　威胁五：数据泄漏

　　数据泄漏是云计算、尤其是公共“云”最被人们担心的问题。企业或组织的管理层和IT决策者，需要仔细评估云计算提供商对数据的保护能力。很多威胁都可能导致云中的数据丢失和泄漏。云中关键数据的高密度聚合，给潜在的攻击者带来极大的诱惑。

　　密钥的管理也是一个挑战，密钥的丢失会导致数据毁坏，密钥的国度分享又会削弱加密的效果。另外，由于同宿主机上其他客户的法律取证要求，也可能会导致不必要的数据外泄和损失。

　　威胁六：账号和服务劫持

　　传统的服务和会话劫持已经广为人知，云计算给账号和服务“劫持”又增添了不少新的含义。在云环境中，如果攻击者能够获得你的账号信息，他们就可以窃听你的活动和交易，操纵处理的数据，发送虚假的信息，将你的客户引到假冒的站点，并且被“劫持”的服务和账号可能会被利用，以便发起新的攻击。

　　威胁七：未知的风险场景

　　云计算服务商和用户之间存在很大的信息不对称性。一方面，用户选择将自己的IT计算和服务外包给云服务提供商，就是为了解放和优化自己的资源，所以没有必要也没有足够的资源去全面洞察“云”中的所有细节;另一方面，云服务提供商出于商业机密和安全考虑，并不情愿分享所有的关键信息(即使是和安全直接相关的)。在这种情形下，云计算的用户必然需要处理大量的未知安全风险。

　　实际上，这些未知安全风险，也就是说那些未知漏洞是云中真正的危险，而软件版本、安全实践、代码更新、漏洞情况、入侵企图、安全设计等，都是可以帮助评估自身所面临的安全风险的重要因素。