2020年关于云安全应该注意什么？

Marc Wilczek

當今世界正在全速进入数字化进程。为了征服数字世界，全球各地的公司都在尝试着通过重新振兴业务模型或从头开始构建新模型以保持竞争力。这些举措大部分都基于一个共同的基础：云计算。

实际上，在过去的十年中，云计算的使用出现了激增，并且这种增长在可以预见的范围内仍然没有停止的迹象。据多份行业报告显示，全球关于云计算的支出在2018年达到了2730亿美元，并可能在2025年超过6230亿美元。

云计算增长的原因很明确，主要是成本较低、灵活性更大且安全性更高。云技术为物理安全性带来了巨大提升。尽管这种提升超出了终端用户的期望或承受能力，但是安全性是服务商与用户双方共同的责任。换句话说，服务提供商负责监督云安全性，用户则负责自身在云端上的安全性，包括所存储和处理的数据的完整性以及与Web交互的所有应用程序和API的弹性。

大多数云程序包仅包含基本的安全性。如果不增加额外的安全保护，那么用户的整个IT价值链基本上就是一个个易受攻击的目标。由于越来越多的企业和用户数据驻留在云端，严格的IP访问策略可能会成为严重的制约瓶颈。如果云平台下线，那么整个游戏就结束了。

DDoS攻击导致服务瘫痪

这种可能性不仅仅存在于理论上。在2019年10月，亚马逊网络服务（AWS）遭受了长约八小时的严重DDoS攻击。期间，用户无法连接服务，因为AWS将其合法用户的查询也错误地分类为恶意行为。谷歌Cloud Platform大约在同一时间也遇到了许多麻烦，不过谷歌称这与DDoS无关。就在几周前，大量的DDoS攻击导致南非互联网服务提供商瘫痪了一整天，从而使得大量用户的互联网访问受到了影响。

实际上，在全球业务领域中，DDoS攻击是最大威胁之一。在欧洲刑警组织的《2019年网络有组织犯罪威胁评估》中，DDoS攻击也被认为是一个严重的问题。同样，美国国土安全部（DHS）也警告称，在过去的五年中，DDoS攻击的规模增长了十倍，并且“目前尚不清楚当前的网络基础设施是否能够承受未来的攻击，因为攻击规模还将继续扩大。”

世界经济论坛（WEF）指出，瘫痪一个云服务提供商可能会造成500～1200亿美元的经济损失，这一规模让人想起飓风桑迪和卡特里娜飓风之后的金融倒闭潮。

损坏的云服务

对损坏或受操纵的云服务器的攻击也在增加。例如，在数据泄露之后，不法分子经常会使用被盗的信用卡凭证创建伪造的云账户。

据Link11的2019年DDoS报告显示，在2019年上半年，涉及损坏的云服务器的DDoS攻击所占比例增加到51%。目前最大的已知攻击峰值是724 Gbps。由于许多大型企业使用的互联网连接为10 Gbps或1 Gbps，如此大规模的数据海啸比可用管道高70-700倍。研究发现，对云服务提供商的攻击数量大致与其市场份额相对应，AWS、微软Azure和谷歌Cloud有着更多的云损坏案例。

值得注意的是，Link11在2019年下半年处理的持续时间最长的DDoS攻击持续了6459分钟，相当于中断了100多个小时，或是连续五天。毋庸置疑，如此长时间的宕机会造成严重的损害，并导致依赖于“数字化存在”的企业（无论是在平台、电子商务还是应用程序中）陷入困境。

API将成为重灾区

DDoS问题正在蔓延到基础设施以外的地方。许多组织机构开始运行云计算原生应用程序，并且将其作为第四次工业革命的一部分，制造商、物流企业和公用事业企业正在为其生产线、仓库、工厂和其他设施配备传感器和无线连接。这些都需要API才能正常运行。

尽管API可以简化架构和产品交付，但是它们也可以成为各种风险和漏洞的通道。当基本业务应用程序或API受到威胁时，与业务相关的所有操作都将会瘫痪，并会引发一连串的连锁反应。因此，只保护OSI layers 3和4已经不行了。如今，layer-7攻击可以使用更少的带宽造成更严重的破坏。

用户的应对方案

当企业在云端上运行测试和开发实例时，云服务的基本安全级别可能就足以保护企业的数据和系统了。但是如果企业要在云端上运行关键任务，或与营收相关的服务，那么企业应彻底分析威胁状况，并确保拥有正确的工具。也就是说，这些企业提供的不仅是基本的安全性，还要（在尽可能的范围内）保证其系统拥有弹性，并让功能达到“企业级”。升级后的安全性包括自动报告和警报、仪表板、与现有SIEM系统集成以及其他一些功能。

许多服务提供商都提供一些附送功能，其服务套餐也大致相同。但是与所有的事情一样，魔鬼总在细节中。买家在购买之前应仔细评估其提供商的服务级协议，确保对所有的服务都进行了相互比较，同时确保服务水平能够满足自己的特定需求。

规模越来越大且越来越频繁的攻击、API带来的风险以及宕机所造成的经济损失加起来构成的综合性威胁远远大于其各种威胁的总和。用户应当以安全为首要考虑因素进行精心计划和实施。云计算具有非凡的意义的，除了经济原因外，它们还使得用户能够与合作伙伴和客户展开更深层次的协作，让产品以更快的时间上市成为可能。

本文作者Marc Wilczek为数字化战略家和首席信息官顾问，在信息和通信技术领域拥有20多年的丰富领导经验，其对所有数字事物充满热情，尤其是云计算、大数据和物联网服务。

原文网址

https：//www.cio.com/article/3528910/3-things-you-should-know-about-cloud-security-in-2020.html