交易管理 地缘经济的研究与案例

登录
注册
无标题

云安全的12个阴暗面

过去十年,云计算和云安全取得长足进步,越来越多的企业对云安全的认知,从顾忌和恐慌,转变为盲目信任和依赖。但是近年来随着国内外云安全事件的不断发作,企业必须重新审视云安全问题,制定不偏不倚的云安全策略。以下,CTOCIO列举企业云计算安全问题12个阴暗面
2019-09-12

【作者:王萌;源自:IT经理网《云安全的12个阴暗面》2019.07】

 

过去十年,云计算和云安全已经取得长足进步,越来越多的企业对云安全的认知,从最初的顾忌和恐慌,转变为盲目的信任和依赖。但是近年来随着国内外云安全事件的不断发作,企业必须重新审视云安全问题,制定不偏不倚的云安全策略。以下,CTOCIO列举企业云计算安全问题的12个阴暗面,以期能够抛砖引玉,帮助企业在云时代树立正确的安全观:

 

同样的安全漏洞仍然存在

 

云计算并非企业安全的革命,云实例与我们的台式机或独立服务器其实运行着相同的操作系统。如果Ubuntu 14中有一个后门,可以让攻击者闯入你的服务器机房中的机器,那几乎可以肯定,同一个后门也会让某人进入你的云端的服务器版本。我们热爱的云实例能够替换我们的私有硬件,遗憾的是,同样的漏洞也会被替换到云端。

 

云服务商善意的偷窥

 

你在云服务商提供的私家泳池中一丝不挂地裸泳,却没有留意到树梢里暗藏的监控头正注视着你的一举一动,以便在你你溺水时第一时间发出警报。云服务商往往会在客户的系统中暗中植入对客户不可见的账户,以提高客户服务和系统调试的效率,这一切都是为了客户,但是不可否认的是,这种做法也可能会被用于恶意目的。

客户对云计算服务商的信任是无条件的,包括对其商业伦理和廉洁的100%授信,然鹅,没有企业能够确保100%的员工三观无暇。

 

云计算还有一层你无法控制

 

云实例通常附带一层额外的软件,位于操作系统下,完全超出您的控制范围。你可以获得对操作系统的root访问权限,但你不会知道下面发生了什么。这个大多数情况下都无文档记录可循的层可对流经的客户数据执行任何操作。

 

工作人员的老板不是你

 

云提供商鼓吹自己能提供额外的支持和安全团队,这些团队有助于云实例的安全性和稳定性。而大多数公司都没有能力自建这样的团队,因此云计算公司很容易解决小公司无法解决的问题。

但有一个基本事实需要明确,云安全团队的老板不是作为用户的你。他们不会向你报告,他们的未来与你的底线也没什么关系。你可能不会知道他们的名字,你最终可能会通过不露面的故障单与他们沟通 – 如果他们回信的话。也许这就是你所需要的一切,或者,你也可以双手合十祈祷。

 

你不知道谁在你的服务器上

 

云的巨大经济优势在于您与其他人分摊运维和物理成本,作为代价,你也将失去硬件的完全控制权。你不知道正在与谁共享同一台机器,可能是一些心地善良的教堂修女正在维护一个教区居民的数据库,也可能是一个精神病患者。更糟糕的是,它可能是一个试图窃取你的秘密或资金的小偷。

 

规模经济是柄双刃剑

 

云计算规模经济的好处是能够降低成本,因为云计算公司拥有大量的机架和硬件,但这也会导致单一化,使攻击者变得更轻松和高效,在一个实例中找到的漏洞可以快速覆盖所有类似实例。

 

云安全会增加云成本

 

云计算公司已经陷入了困境。他们可以通过关闭分支预测来抵御分支预测等攻击,但这会导致一切都变慢。结果,云服务商不想降低性能,客户也不想。而且,在云中,较慢的机器没有价格优势。

 

不同的公司有不同的安全需求

 

你可能会经营一项数十亿美元的银行业务,但也有客户也许只是一个图片社交创业公司。事实上,市场上并没有“万灵药”类型的安全业务,但云计算公司从事着标准化和产品化的业务,他们的安全标准是面向关键业务和应用的高标准?还是偷工减料为非关键应用程序提供低价套餐?没有正确的决定,因为每个客户都是不同的,实际上,客户也有不同的需求。甚至每个应用程序内的每个微服务都是不同的。

 

一切都是不透明的

 

云本质上是一个黑暗的计算能力池,这个不透明往往使我们陷入一种蜜汁自信——如果我们不知道自己的芯片在哪里,攻击者也不知道。但我们只是祈祷并假设攻击者无法找到共享我们机器的方法,原因很可笑,因为我们也不知道云服务商如何分配机器。但是,如果有一种模式可以被利用呢?如果有一些秘密漏洞可以用来大幅改变攻防赔率怎么办?

 

恶意访问依然能够“耗干”你的云资源

 

云计算的一个关键特性是它可以自动升级扩容来匹配需求波动。如果访问请求数量激增(例如恶意访问),云计算可以启动新的实例来保证性能。麻烦的是,创造虚假需求非常容易。攻击者可以触发您的某个应用,通过数千次快速访问来启动新实例。如果云计算公司在需求激增时为新硬件供电,该怎么办?如果所有新实例都停留在这个新启动的硬件上怎么办?攻击者可以在触发云扩展后立即请求新实例,这样一来,每个人共享相同内存空间的可能性要大得多。

 

太多克隆增加了攻击面

 

许多云架构师喜欢使用许多小型机器的模块,这些机器可以随着需求的上升和下降而启动和停止。大量克隆的小机器同时也意味着私密数据被不断克隆。如果有一些私钥用于签署文档或登录数据库,则所有克隆的实例都将拥有它。这意味着攻击者有N个目标而不是一个,大大增加了攻击者登陆相同物理硬件的可能性。

 

云安全的黑暗森林法则

 

虽然云计算的攻击已经不是假设,但并不容易执行。云安全的一大优势在于它是一个体量庞大的暗黑计算池。攻击者很难找到特定的目标数据?而且他们闯入同一个内存空间的几率也不高?大多数客户相信,在云计算的暗黑森林中,黑客很难找到我们,因此我们是安全的,是吗?

  • 大兴机场,扎哈设计

    扎哈的大兴机场整体设计是共轭调和叶状结构,设计中心是叶状结构的奇异点。理论上,调和叶状结构都是可以自动计算出来的,但是现存于世的方法不超过两种。扎哈仅仅凭借敏锐的审美,就从本质上深刻洞察到这些抽象的几何理论。这也正是扎哈无与伦比的伟大之处。

    9 ¥ 0.00
  • 工业4.0,最难的路

    工业4.0玩家经过若干次探索后,他们知道,这条路可能是产业互联网的商业模式里最难走的一条。不过别低估互联网企业的学习速度,从小企业开始,迭代成熟的解决方案可以向更大规模的企业渗透,甚至可以通过投资的方式获得相对成熟的工业4.0解决方案,它们有机会。

    7 ¥ 0.00
  • 中国管理,当与德日同行

    英美模式最大的弊端就是“政府-企业-社会”非常不平衡,社会贫富分化过于严重。因为制度差异、文化差异、发展阶段和历史发展路径不同,英美不是中国学习的最好榜样,德国和日本才是。中国与德日在文化和制度方面的巨大相似性,使得这种学习和借鉴成为可能。

    19 ¥ 0.00
  • 机器视觉产业链

    目前机器视觉的基础功能可分为四大类:模式识别/计数、视觉定位、尺寸测量和外观检测,当前的应用也基本是基于这四大类功能来展开。从技术实现难度上来说,识别、定位、测量、检测的难度递增。目前看,3D视觉功能是当前机器视觉应用技术中最先进的方向之一。

    14 ¥ 0.00
  • 银行“大零售”之王

    以利润规模看,建行高居榜首,工行紧随其后;招行依然是股份行中零售业务的“翘楚”,利润甚至超越了国有大行中的邮储银行以及交通银行。股份行中的平安银行、民生银行也可见蓄势发力。上市城商行“大零售”体量则小到几乎可以忽略不计,但利润增速整体居首。

    4 ¥ 0.00
  • 中国数字经济规模31万亿

    苗圩介绍,1992年我国工业增加值突破了1万亿元人民币大关,2007年突破了10万亿元,2012年突破了20万亿元,2018年突破了30万亿元。2018年国家制造业增加值占全世界的份额达到了28%以上。在世界500多种主要工业产品当中,有220多种工业产品中国的产量占居全球第一。

    2 ¥ 0.00
  • A股游戏公司研发榜

    从2019年上半年来看,仅有4家企业在2.28亿元之上,意味着有高达70%的游戏公司研发投入是不足2.28亿元,这些企业大部分都或多或少存在各种问题。比如连续多年套现、高管频繁离职的掌趣科技;比如曾经的A股亏损王天神娱乐;再比如被质疑演变成投资公司的天神娱乐等。

    11 ¥ 0.00
  • 交通强国路线图

    《交通强国建设纲要》提出到2035年,基本建成交通强国。基本形成“全球123快货物流圈”(国内1天送达、周边国家2天送达、全球主要城市3天送达),在加强新型载运工具研发方面,提到实现3万吨级重载列车、时速250公里级高速轮轨货运列车等方面的重大突破。

    7 ¥ 0.00
  • 日企研发投资大比拼

    这份研发投资问卷调查是日刊工业新闻社的固有项目,始于1988年。此次的问卷调查中,共有189家日本企业回复了其关于2019财年(2019年4月~2020年3月)研发预算计划。投资金额排名前四的分别是丰田、本田、日产和电装,且资金重点流向CASE(网联、智能、共享、电动)领域。

    5 ¥ 0.00
  • 消失的信用

    中国信用体系已经出现了从外围向核心的衰退:即民营和中小企业的信用萎缩,货币只能向政府和土地信用过度集中。如果做实业的企业家对经济前景信心仍不能有效改善,即便基础货币投放再宽松,也不能撑起一个新的信用和投资周期。何况,杠杆率已经几乎到了顶点。

    6 ¥ 0.00
  • 规划出的日本东京湾区

    依靠人工规划而建成的东京湾区,以日本国土面积的3.5%,创造了超过1/3的日本GDP。从上世纪50年代的25%左右占比,到30%左右,近年又进一步上升到35%左右,是日本经济的最重要组成。其成功,离不开日本五次综合开发计划、五次首都圈基本规划和首都圈大都市地区构想指导

    3 ¥ 0.00
  • 粤港澳湾区新材料产业分布

    就目前湾区来看,港澳主要以第三产业为主,新材料产业规模很小,主要是以创新研发及总部运营为主。而珠三角九市则形成了从研发到制造、再到应用的产业链完善的新材料产业体系。根据相关规划,2020年大湾区新材料产业总产值规模将超过10000亿元

    16 ¥ 0.00
  • 压垮清朝的一场产业跃进

    1879年,光绪五年,开平煤矿投产,光绪皇帝批准建设唐山至胥各庄铁路用于运输。两年后,蒸汽机车上路。铁路实实在在的好处改变了中国人的排斥心理,一股大兴铁路之风迅速蔓延。清政府也迫不及待想在全国推广铁路。只是在热闹背后,是一个没有准备好的农业社会。

    13 ¥ 0.00
  • 工业化造富主体:房地产

    过去10年,在中国买房的人都是人生赢家。房子越来越值钱,与中国工业化进程密不可分。工业化时期中国经济靠货币和地产驱动,两者互相强化,使得房地产成为经济和信贷的核心,以及居民财富的主要来源。但是随着工业化的结束,财富创造主体也将会发生相应变化。

    6 ¥ 0.00
  • 未来10年,房企洗牌

    最迫切的转型是住宅开发本身商业模式,有高周转率核心竞争力的房企将会胜出。高杠杆下被迫快速出货的不是真正的高周转,真正的高周转是三位一体的高周转:从资产转为库存+从库存到销售+从销售到回款的高周转。虽然RIETs大规模的机会还未开启,然而它已经开始

    7 ¥ 0.00
  • 人类演化的三次智力觉醒

    人类获得物种霸主的地位,带有很大的偶然性。回溯人类演化的各个阶段,三次智力觉醒扮演了关键性角色。获得讲故事本领的语言革命可能是致命武器;思维方式的科学革命,让人们希望成为自己命运的主人;心智革命是延续,主要发生在人工智能与脑科学领域。

    10 ¥ 0.00
  • 最隐秘LP:家族基金

    对于VC/PE而言,家族财富正是一群隐秘而阔绰的金主。20%左右体量比较大的家族基金配置中,私募股权占比最多在50%以上。2018年中国个人可投资资产1000万以上的高净值人群规模达到197万人,全国个人持有的可投资资产总体规模达到190万亿人民币,预计2019年底将突破200万亿。

    6 ¥ 0.00
  • 政府引导基金首次清理子基金

    深圳市引导基金投资有限公司、深创投发布通知,正式公布了25只清理子基金以及12只缩减规模子基金名单。清理总规模达645.526亿元,收回金额超过140亿元。这是政府引导基金首次公开大规模清理及缩减参投子基金规模,预计未来1-2年内可为创投行业带来千亿规模的资金释放

    12 ¥ 0.00
  • Costco低价之谜

    Costco定位中产、聚焦在中高收入群体聚集区。我们认为Costco同店增速领先的核心原因在于Costco拥有持续提供优质商品和服务的能力。会员制度一方面提高顾客转换成本,另一方面会员费这种“先期投入”,一定程度形成“自助餐效应”,提高顾客的购物频率从而带动同店增长。

    18 ¥ 0.00
  • Costco在中国能逆天吗

    雷军:进了Costco只要闭上眼睛买,这是一种信仰。Costco自问世起就致力于提供物美价廉的优质商品。Costco在发展中几乎未出现过颓势,一直处在稳步增长的路上。贝索斯视其为“最值得学习的零售商”,查理·芒格称之为“最想带进棺材的企业”。能否在中国市场续写商业传奇?

    11 ¥ 0.00

网站首页    多媒体    云安全的12个阴暗面