安全責(zé)任不清是云安全時(shí)代最大風(fēng)險(xiǎn)
云安全時(shí)代的來臨，將互聯(lián)網(wǎng)的資源共享特點(diǎn)發(fā)揮到極致，但同時(shí)對(duì)于云計(jì)算安全的爭(zhēng)議也是沸沸揚(yáng)揚(yáng)。越來越多的公司將自己的企業(yè)安全轉(zhuǎn)向企業(yè)云計(jì)算安全產(chǎn)品廠商，試圖利用新技術(shù)來保證自己的企業(yè)數(shù)據(jù)不被泄露。但是在實(shí)際操作之中，由于IT服務(wù)客戶想當(dāng)然的認(rèn)為他們的云計(jì)算提供商應(yīng)當(dāng)承擔(dān)安全責(zé)任，這使得這些客戶變得易于遭受攻擊。與此同時(shí)，虛擬化和云計(jì)算也在其中起到推波助瀾的作用。
科技商務(wù)研究公司負(fù)責(zé)服務(wù)器問題的分析師Ezra Gottheil稱："安全和云托管是兩個(gè)獨(dú)立的事物，入門的花費(fèi)很低，通常也十分簡(jiǎn)單?？蛻艋蛟S不會(huì)花很多心思考慮許應(yīng)當(dāng)為安全負(fù)責(zé)。"
在本周公布的報(bào)告中，市場(chǎng)研究公司Gartner認(rèn)為云計(jì)算的安全責(zé)任并不明確。他們認(rèn)為有必要獲得云服務(wù)是如何工作的信息列表以及明確寫明了客戶的希望與要求的服務(wù)級(jí)協(xié)議。
在今年三月份，云安全聯(lián)盟進(jìn)行的研究列出了云計(jì)算存在的七個(gè)頂級(jí)安全風(fēng)險(xiǎn)，其中有一項(xiàng)就是客戶忽視了安全實(shí)踐，而服務(wù)提供商拒絕提供信息以解決這一安全風(fēng)險(xiǎn)。據(jù)云安全聯(lián)盟的研究顯示，云項(xiàng)目和它們面臨的風(fēng)險(xiǎn)可能會(huì)受到云部署的事實(shí)而變得極為復(fù)雜。如今云所展示出來的優(yōu)勢(shì)以及一些團(tuán)體正積極推動(dòng)云部署。值得擔(dān)憂的是這些團(tuán)體可能并沒能緊跟上安全形勢(shì)的發(fā)展。
451集團(tuán)分析師Josh Corman稱，云計(jì)算業(yè)務(wù)的特性意味著許多客戶或潛在客戶并不清楚當(dāng)他們將一個(gè)網(wǎng)站或是公司的應(yīng)用放在其他人的硬件上時(shí)，他們是如何暴露在風(fēng)險(xiǎn)之中的。
負(fù)責(zé)托管和保護(hù)客戶應(yīng)用安全的云服務(wù)商FireHost公司的首席執(zhí)行官Chris Drake稱，即便不是如此，大多數(shù)云和網(wǎng)站托管客戶也都想當(dāng)然的認(rèn)為他們的服務(wù)提供商負(fù)有保護(hù)他們網(wǎng)站的安全責(zé)任。
云計(jì)算客戶是如何受害的
金融服務(wù)公司LawLeaf是FireHost最近才發(fā)展的一個(gè)客戶，該公司主要業(yè)務(wù)是為那些籌資打官司的人提供貸款。在經(jīng)歷了一場(chǎng)幾乎導(dǎo)致公司倒閉的攻擊后，LawLeaf最終放棄了他們?cè)冗x擇的網(wǎng)絡(luò)托管服務(wù)商BlueHost。
LawLeaf公司的總經(jīng)理Tim Burke稱他在2007年以很少的資金開始運(yùn)營(yíng)這個(gè)公司，當(dāng)時(shí)他的主要工作是向非營(yíng)利公司出售成員管理軟件，運(yùn)營(yíng)公司只是他的一個(gè)副業(yè)。他最初選擇了BlueHost托管LawLeaf.com，選擇BlueHost的原因是該公司的名聲和每月6.95美元的服務(wù)費(fèi)用。Burke稱，在今年年初LawLeaf.com開始走下坡路之前，他對(duì)BlueHost的服務(wù)還中相當(dāng)滿意的。
在今年一月份，LawLeaf.com遭到了SQL注入式攻擊。攻擊導(dǎo)致網(wǎng)站頻繁崩潰，更為糟糕的是網(wǎng)站還在沒有任何防備的用戶電腦中強(qiáng)行安裝惡意插件。Burke稱，到了二月份，網(wǎng)站每周都會(huì)崩潰兩次，而到了三月份，網(wǎng)站的崩潰頻率已經(jīng)到了一天一次的地步。
惡意插件的下載使得LawLeaf受到了來自谷歌的警告。Burke稱，如果LawLeaf不履行自己的安全責(zé)任解決這一問題，那么谷歌將禁止他們的網(wǎng)站出現(xiàn)在搜索結(jié)果列表中。
由于LawLeaf的大多數(shù)業(yè)務(wù)來自自己的網(wǎng)站，頻繁的崩潰導(dǎo)致公司的業(yè)務(wù)下滑，影響到了公司的信譽(yù)。
Burke稱："由于網(wǎng)站問題，我們失去了許多業(yè)務(wù)，我們每天都會(huì)損失數(shù)千美元。我最為擔(dān)心的是向客戶推薦我們服務(wù)的律師?？蛻粝蛭覀兲峁┝藱C(jī)密文件，律師向客戶推薦我們進(jìn)行融資。如果我們的網(wǎng)站每時(shí)每刻都在受到黑客攻擊，那么客戶根本不會(huì)信任我們。"
對(duì)于LawLeaf來說，幸運(yùn)的是通過電子郵件發(fā)過來的客戶文件并沒有受到影響。Burke稱，盡管如此，網(wǎng)站的每一次崩潰都對(duì)公司的聲譽(yù)產(chǎn)生了嚴(yán)重的負(fù)面影響。
Burke指出，在網(wǎng)站崩潰時(shí)，BlueHost會(huì)對(duì)他進(jìn)行提醒，并做出一些初步分析以確定問題并不在他們的服務(wù)器上。他稱，BlueHost從來就沒有采取進(jìn)一步行動(dòng)以解決這一問題。
Burke稱："他們僅僅是不停的告訴我殺毒或是關(guān)閉我們的網(wǎng)頁。我按他們的說法嘗試了許多次，但是網(wǎng)站還是不斷的崩潰。"
BlueHost公司的重點(diǎn)是為客戶和規(guī)模較小的公司提供低廉的托管服務(wù)。除了每月收費(fèi)只有6.95美元的基本服務(wù)外，他們并不提供更為高級(jí)的服務(wù)，也不會(huì)對(duì)客戶多次反應(yīng)的問題做出回應(yīng)。
由于LawLeaf.com的問題一直沒有解決，Burke將服務(wù)商換成為了FireHost。FireHost承諾將阻止今后的攻擊或是在出現(xiàn)攻擊后進(jìn)行防范。Burke稱，現(xiàn)在他們每月要支付400美元的服務(wù)費(fèi)。在接管了LawLeaf.com后，F(xiàn)ireHost就分離了基于PHP的頁面，清除了問題代碼。
FireHost的首席執(zhí)行官Drake稱："實(shí)際上，LawLeaf在關(guān)閉PHP頁面方面采取了很好的措施。但是之所以還是不斷的出現(xiàn)問題是因?yàn)閿?shù)據(jù)庫中存在有大量的SQL注入代碼。"
Burke稱為了得到更好的服務(wù)，他們?cè)?jīng)向BlueHost公司支付了不少錢。到目前為止，Burke仍然認(rèn)為BlueHost應(yīng)當(dāng)對(duì)網(wǎng)站負(fù)起安全責(zé)任，有義務(wù)解決惡意插件問題。
盡管BlueHost的承諾中正常運(yùn)行率和可靠性高達(dá)99.5%，但是公司并沒有對(duì)LawLeaf.com的安全問題負(fù)起責(zé)任?？萍忌虅?wù)研究公司分析師Gottheil稱："在這個(gè)案例中，我并不能確定這是機(jī)制問題。但是由于SQL注入攻擊經(jīng)常會(huì)通過他們自己的網(wǎng)頁進(jìn)行攻擊，無論客戶知道與否，防范這類攻擊應(yīng)當(dāng)是客戶的責(zé)任。"
LawLeaf和BlueHost的案例向我們展示了為什么云計(jì)算客戶需要搞清楚誰應(yīng)當(dāng)承擔(dān)安全責(zé)任的原因。
【編輯推薦】
