云安全威胁和责任 | 学习笔记

开发者学堂课程【云安全基础课 - 云安全概述：云安全威胁和责任】学习笔记，与课程紧密联系，让用户快速学习知识。

课程地址：https://developer.aliyun.com/learning/course/494/detail/6640

云安全威胁和责任

 

内容介绍：

一、云安全面临的安全威胁

二、云计算安全性分析

三、云计算12大安全威胁

 

一、云安全面临的安全威胁

常见的例子

1、身份与权限控制

在云安全环境下，一般大多数用户都会比较缺乏信息，因为大多数人在传统使用IT系统中都已经习惯，在云环境新的模式下身份和权限都会有所顾虑，在云安全问题中，身份与权限控制是最核心的一个问题.

2、WEB 安全防护

即使在云模式下，也是提供 web 服务的，因为 web 是最便捷的方式，在 web 服务前提下，web 的工具手段又非常多，直接影响大家使用云计算的心理，所以也是一个传统的云安全问题。

3、用户使用习惯

人们对传统的IT管理方式已经比较依赖，而在新的云模式中需要长期的挑战.

4、虚拟化的安全

云环境多数使用虚拟化的问题，例如虚拟化存储，就会面临新的数据隔离和数据清除问题。而虚拟化的网络缺少非域保护的措施，云环境会变得更加困难。

 

二、云计算安全性分析

 

三、云计算12大安全威胁

威胁1 ∶数据泄露

威胁2∶身份、登录信息和访问管理不到位

威胁3 :不安全的接口和 API

威胁4 ∶系统安全漏洞

威胁5 ︰账户劫持

威胁6 ︰恶意内部人员

威胁7︰高级持续性威胁(APT)

威胁8∶数据丢失

威胁9：尽职调查不到位

威胁10：滥用和违法使用云服务

威胁11:拒绝服务

威胁12:共享技术问题

讲解：

威胁1∶数据泄露

描述

1)云环境面对的威胁中有很多都与传统企业网络面对的威胁相司

2)但由于有大量数据存储在云服务器上，云环境中的数据便成为攻击目标

影响

1)品牌形象

2)招致罚款、面临法律诉讼或刑事指控

3)业务流失

4)数据泄露调查和客户通知的花费

威胁2∶身份、登录信息和访问管理不到位

描述

身份验证不严格、弱密码横行、密钥或凭证管理松散会导致数据泄露和其他攻击

影响

1) 导致身份管理的混乱

2) 数据泄露

3) 未即时撤销或变更用户的权限导致问题

威胁3∶不安全的接口和 API

描述

1)从身份验证和访问控制，到加密和行为监测，云服务的安全和可用性依赖于API的安全性

2)弱界面和有漏洞的API将使企业面临很多安全问题，机密性、完整性、可用性和可靠性都会受到考验。

影响

1)数据机密性、完整性

2)拒绝服务 

威胁4∶系统安全漏洞

描述

1)系统漏洞，或者程序中可供利用的漏洞

2)共享内存、数据库和其他资源，也会产出新的攻击方式。

影响

1) 系统遇受破坏

2) 租户之间互相影响

或胁5∶账户劫持

描述

云服务的出现，攻击者依然会利用网络钓鱼、诈骗、软件漏洞，来监听用户活动、操纵交易、修改数据。

影响

1) 数据泄露

2) 凭证被盗

威胁6∶恶意内部人员

描述

现员工或前雇员、系统管理员、承包商、商业合作伙伴等内部人员可以破坏掉整个基础设施，或者操作篡改数据

影响

1) 数据泄露

2) 名誉受损

3) 法律惩罚

威胁7∶高级持续性威胁(APT)

描述

APT 渗透进系统，建立起桥头堡，然后，在相当长一段时间内，源源不断地，悄悄地偷走数据和知识产权

影响

1) 数据泄露

2) 名誉受损

3) 法律惩罚

威胁8∶数据丢失

描述

随着云服务的成熟，由于提供商失误导致的永久数据丢失已经极少见了，但攻击者利用安全控制的缺失来盗取云租户的数据

影响

数据泄露 

威胁9∶尽职调查不到位

描述

一个组织若在没有完全理解云环境及其相关风险的情况下，就使用云计算服务或和一家云计算公司合作，那么后期会带来巨大的风险。

影响

1) 数据泄露

2) 业务中断

3) 名誉

威胁10∶滥用和违法使用云服务

描述

云服务可能被用于支持违法活动，比如利用云计算资源破解密钥、发起分布式拒绝服务( DDoS )攻击、发送垃圾邮件和钓鱼邮件、托管恶意内容等。

影响

1) 法律惩罚

2) 数据泄露

3) 业务中断

4) 名誉

威胁11:拒绝服务

描述

由于云计算，拒绝服务攻击这种攻击方式犹如枯木逢春。

影响

1) 业务中断

2) 名誉

威胁12∶共享技术问题

描述

1)云服务提供商共享基础设施、平台和应用，一旦其中任何一个层级出现漏洞，每个人都会受到影响。

2)—个漏洞或错误配置，就能导致整个提供商的云环境遭到破坏。

影响

1) 数据泄露

2) 业务中断