云計(jì)算必須汲取的五個(gè)教訓(xùn)

沈建苗

目前的經(jīng)濟(jì)衰退使云計(jì)算成了一個(gè)熱門話題，新興公司和小企業(yè)正競(jìng)相使用互聯(lián)網(wǎng)上的虛擬機(jī)來(lái)節(jié)省資金，而大企業(yè)則試圖把客戶關(guān)系管理等應(yīng)用程序放到Salesforce.com之類的平臺(tái)上。不過(guò)，專家們則提示，許多公司把自己的基礎(chǔ)架構(gòu)轉(zhuǎn)移到云中時(shí)要更留意安全陷阱。

安全公司SensePost的技術(shù)主管Haroon Meet說(shuō)：“低端用戶希望利用云基礎(chǔ)架構(gòu)來(lái)節(jié)省資金，但是危險(xiǎn)在于．高端用戶也正在未經(jīng)任何審計(jì)的情況下開(kāi)始使用云基礎(chǔ)架構(gòu)。”他在黑帽安全大會(huì)上討論了他所領(lǐng)導(dǎo)的小組對(duì)亞馬遜彈性計(jì)算云(EC2)進(jìn)行的研究。

他們的實(shí)驗(yàn)表明，許多公司經(jīng)常不會(huì)看一眼從一些提供商處獲得的第三方機(jī)器實(shí)例。Meer表示，惡意實(shí)例很容易被設(shè)計(jì)成特洛伊木馬，從而闖入公司的內(nèi)部網(wǎng)絡(luò)。

這里我們找來(lái)了黑帽安全大會(huì)報(bào)告上汲取的五個(gè)教訓(xùn)，希望對(duì)各位云計(jì)算的熱衷者一些警示：

云計(jì)算提供的法律保護(hù)仍不充足

公司需要認(rèn)識(shí)到：云中的數(shù)據(jù)在搜查和沒(méi)收方面受制于比較低的法律標(biāo)準(zhǔn)。政府部門或負(fù)責(zé)發(fā)現(xiàn)數(shù)據(jù)的律師沒(méi)有搜查令就可以命令服務(wù)商交出數(shù)據(jù)。iSec Partners公司的首席安全顧問(wèn)Alex Stamos表示，云服務(wù)提供商比較關(guān)心的是保護(hù)自己，而不是保護(hù)客戶，所以別指望服務(wù)協(xié)議的法律條款會(huì)有利于貴公司。

Stamos說(shuō)：“所有這些云服務(wù)公司都有非常活躍、訓(xùn)練有素的法律部門。因而，你在購(gòu)買這些服務(wù)后簽訂的協(xié)議基本上保證你絕對(duì)占不到任何便宜。”他表示，如果有人因提供商的過(guò)失而非法闖入，客戶同意提供商不用負(fù)責(zé)。如果數(shù)據(jù)因數(shù)據(jù)中心故障而出現(xiàn)丟失，提供商也沒(méi)有義務(wù)為你采取任何補(bǔ)救措施。

要是有條款表明對(duì)方會(huì)盡力幫助你，就算很不錯(cuò)了。

Stamos說(shuō)：“如果他們?cè)诤贤凶⒚鳁l款表明要是出現(xiàn)安全泄密事件，他們會(huì)盡力幫助你，這就已經(jīng)很不錯(cuò)了。提供商出于職業(yè)道德有一副古道熱腸，但它們的律師卻冷酷無(wú)情。”

硬件不歸你所有

如果企業(yè)想要審計(jì)提供商、自己進(jìn)行一番測(cè)試，就要記住：硬件實(shí)際不歸企業(yè)自己所有。Stamos提醒．進(jìn)行漏洞掃描或滲透測(cè)試需要得到云服務(wù)提供商的明確許可。不然，就相當(dāng)于客戶在非法闖入提供商的系統(tǒng)。他表示，盡管有些服務(wù)協(xié)議(比如亞馬遜的協(xié)議)明確規(guī)定：客戶可以測(cè)試在提供商系統(tǒng)上運(yùn)行的自有軟件，但關(guān)鍵是要得到明確許可。

他說(shuō)：“如果你需要對(duì)云中的應(yīng)用程序進(jìn)行滲透測(cè)試，他們(法律專家)建議，你應(yīng)當(dāng)?shù)玫綄?duì)方公司某個(gè)人的許可。因?yàn)榘凑辗傻淖置嬉馑迹@些機(jī)器在法律上歸誰(shuí)所有非常重要。”

需要強(qiáng)有力的政策和用戶教育

盡管云計(jì)算為企業(yè)帶來(lái)了巨大的好處，比如允許從任何地方訪問(wèn)數(shù)據(jù)、為IT人員消除了頭痛的維護(hù)問(wèn)題，但隨時(shí)可用的服務(wù)也意味著，那些原本只會(huì)對(duì)在家辦公的員工產(chǎn)生威脅的網(wǎng)絡(luò)釣魚(yú)攻擊，現(xiàn)在也可能危及到公司。iSEC的Starnos表示，關(guān)鍵是讓用戶知道，不但自己面臨那些危險(xiǎn)，自己所在的公司也將因自己的行為而面臨同樣的風(fēng)險(xiǎn)。

他說(shuō)：“讓貴公司的所有非技術(shù)用戶懂得如何避免成為網(wǎng)絡(luò)釣魚(yú)的目標(biāo)非常難，但事實(shí)是，就軟件即服務(wù)(SaaS)而言，網(wǎng)絡(luò)釣魚(yú)攻擊不會(huì)僅僅是個(gè)人問(wèn)題，而是正逐漸成為殃及整個(gè)企業(yè)的安全問(wèn)題。”

不要相信機(jī)器實(shí)例

Meer表示，使用提供商提供的虛擬機(jī)時(shí)，比如在亞馬遜EC2基礎(chǔ)架構(gòu)上創(chuàng)建的第三方實(shí)例，公司千萬(wàn)不要完全相信這種系統(tǒng)。SensePost公司的研究人員粗粗瀏覽了許多預(yù)配置的實(shí)例后，發(fā)現(xiàn)了緩存中的驗(yàn)證密鑰、信用卡數(shù)據(jù)，也證實(shí)惡意軟件有可能隱藏在系統(tǒng)里面。更讓人擔(dān)心的是，大多數(shù)客戶尚沒(méi)有意識(shí)到使用第三方開(kāi)發(fā)人員開(kāi)發(fā)的機(jī)器映像會(huì)帶來(lái)什么安全隱患。

Meet說(shuō)：“有些客戶把整臺(tái)驗(yàn)證服務(wù)器都建立在云計(jì)算服務(wù)商的預(yù)置映像上，這或許比忘記修改銀行帳號(hào)默認(rèn)密碼還危險(xiǎn)。”

他表示，公司應(yīng)當(dāng)建立自己的映像供內(nèi)部使用，或者借助技術(shù)和法律手段保護(hù)自己，遠(yuǎn)離可能不懷好意的第三方開(kāi)發(fā)人員。

重新考慮假定的想法

在任何情況下，企業(yè)的信息技術(shù)管理人員在考慮安全時(shí)，都要重新考慮在云方面的假定想法。

比方說(shuō)，在你部署一款應(yīng)用程序以便在虛擬化數(shù)據(jù)中心的計(jì)算實(shí)例上運(yùn)行時(shí)，本想依靠隨機(jī)數(shù)生成功能來(lái)產(chǎn)生一些差異的特性代碼，從而避免非授權(quán)者以系統(tǒng)默認(rèn)方式輕易入侵。但有時(shí)，這一手段未必會(huì)按預(yù)期的那樣正常工作。iSEC的Starnos表示，問(wèn)題在于，虛擬系統(tǒng)的隨機(jī)性要比物理系統(tǒng)弱得多，所以隨機(jī)數(shù)可能會(huì)被猜中。他說(shuō)：“你必須考慮更多細(xì)節(jié)方面的問(wèn)題，以完善云中的虛擬應(yīng)用防護(hù)體系。”