关注云计算时代正在发生变迁的安全威胁

云计算安全一直成为业界关注焦点，近日从CSA报告(点击下载)中对云领域的威胁进行了分析，并对2013年云计算的一些威胁进行了排名。

从报告中可以看到，2013年前三大威胁是数据泄露、数据丢失和账户劫持。在2010年，云计算中前三个是云服务的滥用、不安全接口和API、内部人员恶意破坏。这三个威胁仍在今年的名单上，但排名分别下跌到第7、4、6位。

从报告中总结2013年九个云计算的威胁：

1. 数据泄露

对于企业，数据泄露是一个老生常谈的问题，但云计算加重了这种威胁，特别是对于一个设计不当的云服务数据库将使攻击者不仅仅进入一个帐户，而且会进入与该服务相关的其他帐户。

2. 数据丢失

对于数据丢失也是经常发生的，用户设备被破解，造成数据被偷或被删除。同样天灾(比如飓风桑迪)可能会导致永久性的数据丢失，对于云计算而言如果一个企业的数据在上传到云之前就行加密，就能更好地保护加密密钥或数据。

3. 账户或服务信息劫持

黑客通过网络钓鱼或软件漏洞来劫持用户信息。通常根据一个密码就可以窃取用户多个服务中的资料。对于云供应商而言，如果被盗的密码可以登陆云端平台，那么用户的数据将被窃听、篡改，甚至重定向用户的服务到网站。

4. 不安全的接口和API

云端平台中的API允许任意数量的交互应用，对整体安全来说是一个薄弱的环节。API通过政策进行控制，开发人员须在质量和安全性设计方面有所变化，但因为API是跨领域的分层使得问题比较复杂。

5. 拒绝提供服务

通过对用户阻止访问资源和数据，并造成延迟成为破坏云服务的一个攻击方法，可能意味着在线服务的。其他形式的攻击，非对称应用级DoS攻击，直接利用弱点将Web服务器、数据库和其他云资源作为攻击目标。

6. 内部人员恶意破坏

数据的丢失，有一定程度上是内部人员恶意破坏造成的。尽管这种情况对于企业而言不一定发生，但当一旦造成破坏的伤害就会很大。CSA表示，完全依赖于云服务提供商的安全系统是云端最大的风险。

7. 云服务的滥用

作为大众化的云服务，可向任何人提供计算资源，但并不考虑使用者的目的，很可能是通过寻求资源，以破解用户的加密信息、发动拒绝服务攻击、服务器的恶意软件的黑客。

8. 不充分的审查

云计算的好处对于企业用户是显而易见，比如降低成本、提高效率、更好的安全性等，但迁移到云计算的风险中需要有足够的风险评估，特别对不了解云服务环境、应用程序或服务被推到云中、营运责任(比如事件响应、加密、安全监控等)都会对企业产生未知的风险。

9. 共享技术漏洞

所有的交付模型全面展示出共享基础设施、平台和应用程序所带来的特点。CSA强调深入安全保护策略，包括计算、存储、网络、应用程序和用户安全执行，以及对IaaS、PaaS和SaaS的监测。