安全責(zé)任不清是云安全時代最大風(fēng)險
云安全時代的來臨，將互聯(lián)網(wǎng)的資源共享特點發(fā)揮到極致，但同時對于云計算安全的爭議也是沸沸揚揚。越來越多的公司將自己的企業(yè)安全轉(zhuǎn)向企業(yè)云計算安全產(chǎn)品廠商，試圖利用新技術(shù)來保證自己的企業(yè)數(shù)據(jù)不被泄露。但是在實際操作之中，由于IT服務(wù)客戶想當(dāng)然的認(rèn)為他們的云計算提供商應(yīng)當(dāng)承擔(dān)安全責(zé)任，這使得這些客戶變得易于遭受攻擊。與此同時，虛擬化和云計算也在其中起到推波助瀾的作用。
科技商務(wù)研究公司負(fù)責(zé)服務(wù)器問題的分析師Ezra Gottheil稱："安全和云托管是兩個獨立的事物，入門的花費很低，通常也十分簡單。客戶或許不會花很多心思考慮許應(yīng)當(dāng)為安全負(fù)責(zé)。"
在本周公布的報告中，市場研究公司Gartner認(rèn)為云計算的安全責(zé)任并不明確。他們認(rèn)為有必要獲得云服務(wù)是如何工作的信息列表以及明確寫明了客戶的希望與要求的服務(wù)級協(xié)議。
在今年三月份，云安全聯(lián)盟進行的研究列出了云計算存在的七個頂級安全風(fēng)險，其中有一項就是客戶忽視了安全實踐，而服務(wù)提供商拒絕提供信息以解決這一安全風(fēng)險。據(jù)云安全聯(lián)盟的研究顯示，云項目和它們面臨的風(fēng)險可能會受到云部署的事實而變得極為復(fù)雜。如今云所展示出來的優(yōu)勢以及一些團體正積極推動云部署。值得擔(dān)憂的是這些團體可能并沒能緊跟上安全形勢的發(fā)展。
451集團分析師Josh Corman稱，云計算業(yè)務(wù)的特性意味著許多客戶或潛在客戶并不清楚當(dāng)他們將一個網(wǎng)站或是公司的應(yīng)用放在其他人的硬件上時，他們是如何暴露在風(fēng)險之中的。
負(fù)責(zé)托管和保護客戶應(yīng)用安全的云服務(wù)商FireHost公司的首席執(zhí)行官Chris Drake稱，即便不是如此，大多數(shù)云和網(wǎng)站托管客戶也都想當(dāng)然的認(rèn)為他們的服務(wù)提供商負(fù)有保護他們網(wǎng)站的安全責(zé)任。
云計算客戶是如何受害的
金融服務(wù)公司LawLeaf是FireHost最近才發(fā)展的一個客戶，該公司主要業(yè)務(wù)是為那些籌資打官司的人提供貸款。在經(jīng)歷了一場幾乎導(dǎo)致公司倒閉的攻擊后，LawLeaf最終放棄了他們原先選擇的網(wǎng)絡(luò)托管服務(wù)商BlueHost。
LawLeaf公司的總經(jīng)理Tim Burke稱他在2007年以很少的資金開始運營這個公司，當(dāng)時他的主要工作是向非營利公司出售成員管理軟件，運營公司只是他的一個副業(yè)。他最初選擇了BlueHost托管LawLeaf.com，選擇BlueHost的原因是該公司的名聲和每月6.95美元的服務(wù)費用。Burke稱，在今年年初LawLeaf.com開始走下坡路之前，他對BlueHost的服務(wù)還中相當(dāng)滿意的。
在今年一月份，LawLeaf.com遭到了SQL注入式攻擊。攻擊導(dǎo)致網(wǎng)站頻繁崩潰，更為糟糕的是網(wǎng)站還在沒有任何防備的用戶電腦中強行安裝惡意插件。Burke稱，到了二月份，網(wǎng)站每周都會崩潰兩次，而到了三月份，網(wǎng)站的崩潰頻率已經(jīng)到了一天一次的地步。
惡意插件的下載使得LawLeaf受到了來自谷歌的警告。Burke稱，如果LawLeaf不履行自己的安全責(zé)任解決這一問題，那么谷歌將禁止他們的網(wǎng)站出現(xiàn)在搜索結(jié)果列表中。
由于LawLeaf的大多數(shù)業(yè)務(wù)來自自己的網(wǎng)站，頻繁的崩潰導(dǎo)致公司的業(yè)務(wù)下滑，影響到了公司的信譽。
Burke稱："由于網(wǎng)站問題，我們失去了許多業(yè)務(wù)，我們每天都會損失數(shù)千美元。我最為擔(dān)心的是向客戶推薦我們服務(wù)的律師。客戶向我們提供了機密文件，律師向客戶推薦我們進行融資。如果我們的網(wǎng)站每時每刻都在受到黑客攻擊，那么客戶根本不會信任我們。"
對于LawLeaf來說，幸運的是通過電子郵件發(fā)過來的客戶文件并沒有受到影響。Burke稱，盡管如此，網(wǎng)站的每一次崩潰都對公司的聲譽產(chǎn)生了嚴(yán)重的負(fù)面影響。
Burke指出，在網(wǎng)站崩潰時，BlueHost會對他進行提醒，并做出一些初步分析以確定問題并不在他們的服務(wù)器上。他稱，BlueHost從來就沒有采取進一步行動以解決這一問題。
Burke稱："他們僅僅是不停的告訴我殺毒或是關(guān)閉我們的網(wǎng)頁。我按他們的說法嘗試了許多次，但是網(wǎng)站還是不斷的崩潰。"
BlueHost公司的重點是為客戶和規(guī)模較小的公司提供低廉的托管服務(wù)。除了每月收費只有6.95美元的基本服務(wù)外，他們并不提供更為高級的服務(wù)，也不會對客戶多次反應(yīng)的問題做出回應(yīng)。
由于LawLeaf.com的問題一直沒有解決，Burke將服務(wù)商換成為了FireHost。FireHost承諾將阻止今后的攻擊或是在出現(xiàn)攻擊后進行防范。Burke稱，現(xiàn)在他們每月要支付400美元的服務(wù)費。在接管了LawLeaf.com后，F(xiàn)ireHost就分離了基于PHP的頁面，清除了問題代碼。
FireHost的首席執(zhí)行官Drake稱："實際上，LawLeaf在關(guān)閉PHP頁面方面采取了很好的措施。但是之所以還是不斷的出現(xiàn)問題是因為數(shù)據(jù)庫中存在有大量的SQL注入代碼。"
Burke稱為了得到更好的服務(wù)，他們曾經(jīng)向BlueHost公司支付了不少錢。到目前為止，Burke仍然認(rèn)為BlueHost應(yīng)當(dāng)對網(wǎng)站負(fù)起安全責(zé)任，有義務(wù)解決惡意插件問題。
盡管BlueHost的承諾中正常運行率和可靠性高達99.5%，但是公司并沒有對LawLeaf.com的安全問題負(fù)起責(zé)任。科技商務(wù)研究公司分析師Gottheil稱："在這個案例中，我并不能確定這是機制問題。但是由于SQL注入攻擊經(jīng)常會通過他們自己的網(wǎng)頁進行攻擊，無論客戶知道與否，防范這類攻擊應(yīng)當(dāng)是客戶的責(zé)任。"
LawLeaf和BlueHost的案例向我們展示了為什么云計算客戶需要搞清楚誰應(yīng)當(dāng)承擔(dān)安全責(zé)任的原因。
【編輯推薦】
