在过去的十年间，我们见证了云技术应用的前所未有的增长。今天，技术设备被运用在学校、政府机关、商业部门，甚至医院也将数据储存在云中，仅在需要使用的时候提取——俭省了人工劳力。

然而，云技术带来便利的同时也存在着一些缺点。最主要的一点就是面对威胁和网络攻击的脆弱性。正如我们熟知的，数据通常被储存在云基础的储存系统中。但是敏感的信息和应用程序也面临着威胁。

12个云的安全威胁

1. 数据漏洞

云环境面临着许多和传统企业网络相同的安全威胁，但由于极大量的数据被储存在云服务器上，供应商成为了一个很吸引人的目标。云供应商通常会部署安全控件来保护其环境，但最终还是需要企业负责自己来保护云中的数据。

●公司可能会面临：诉讼、犯罪指控、调查和商业损失。

2. 凭证 & 证书

数据漏洞和其他攻击通常来源于不严格的认证、较弱的口令和密钥或者证书管理。企业应当权衡集中身份的便利性和使储存地点变成攻击者的首要目标的风险性。

●采用多种形式的认证，例如：一次性密码、手机认证和智能卡保护。

3. 界面 & API的入侵

IT团队使用界面和API来管理和与云服务互动，这些服务包括云的供应、管理、编制和监管。API和界面是系统中最暴露在外的一部分，因为它们通常可以通过开放的互联网进入。CSA也建议进行安全方面的编码检查和严格的进入检测。

●运用API安全成分，例如：认证、进入控制和活动监管。

4. 已开发的系统的脆弱性

企业和其他企业之间共享记忆、数据库和其他一些资源，形成了新的攻击对象。幸运的是，对系统脆弱性的攻击可以通过使用“基本IT过程”来减轻。尽快添加补丁——进行紧急补丁的变化控制过程保证了补救措施可以被正确记录，并被技术团队复查。

●容易被攻击的目标：可开发的bug和系统脆弱性。

5. 账户劫持

钓鱼网站、诈骗和软件开发仍旧在肆虐，云服务又使威胁上升了新的层次，因为攻击者可以窃听活动，操控业务以及篡改数据。账户，甚至是服务账户，应该被监管，这样每一笔交易都可以追踪到一个所有者。关键点在于保护账户认证不被窃取。

●有效的攻击载体：钓鱼网站、诈骗、软件开发。

6. 居心叵测的内部人员

内部人员的威胁来自诸多方面：现任或前员工、系统管理者、承包商或者是商业伙伴。恶意的来源十分广泛，包括窃取数据和报复。单一的依靠云服务供应商来保证安全的系统，例如加密，是最为危险的。有效的日志、监管和审查管理者的活动十分重要。

●企业必须最小化暴露在外的访问：加密过程和密钥、最小化访问。

7. APT寄生虫

CSA称高级持续威胁(Advanced Persistent Threats)是一种“寄生性”的攻击。APT通过渗透系统来建立立足点，然后在很长的一段时间内悄悄地窃取数据和知识产权。IT部门必须及时了解最新的高级攻击。此外，经常地强化通知程序来警示用户，可以减少被APT的迷惑使之进入。

●进入的常见方式：鱼叉式网络钓鱼、直接攻击、USB驱动。

8. 永久性的数据丢失

关于供应商出错导致的永久性数据丢失的报告已经鲜少出现。但居心叵测的黑客仍会采用永久删除云数据的方式来伤害企业和云数据中心。遵循政策中通常规定了企必须保留多久的审计记录及其他文件。丢失这些数据会导致严重的监管后果。

●建议云供应商分散数据和应用程序来加强保护：每日备份、线下储存。

9. 积极性不足

在没有完全了解环境就使用云的企业会遭遇无数的商业、金融、技术、法律和遵守上的危机。当部署应用程序到一个特定的云上时，如果一个公司的发展团队缺少对云技术的熟悉了解，就会出现行动上和建筑上的问题。企业必须表现出广泛而适当的积极性来了解他们云服务的风险。

●面对以下几点必须拿出适当的积极性：云的迁移、融合与外包。

10. 云服务的滥用

云服务可能被强占用来支持不道德的行为，例如利用云计算资源来破解加密密钥从而发起攻击。客户应当确保供应商提供了报告滥用的机制。虽然客户不一定是恶意行为的直接对象，但云服务的滥用仍会导致服务可用性和数据丢失的问题。

●滥用行为例子包括：分布式拒绝服务(DDoS)攻击、垃圾邮件、包含恶意内容。

11. 磁盘操作系统(DOS)攻击

DoS攻击已经存在数年，但因为他们经常影响可用性，通过云计算DOS攻击才得以迅猛发展。系统可能会行进缓慢或者超时。CSA称，云供应商比客户更容易处理DoS攻击。关键在于在攻击出现开始计划如何削弱攻击，这样，管理员可以在需要资源的时候有权限进入。

●DoS的攻击原因多种多样：敲诈勒索、骚扰。

12. 共享技术、共享危机

共享技术的脆弱性为云计算带来了很大的威胁。云服务供应商共享基础设施、平台以及应用程序，如果脆弱性出现在任何一层内，就会影响所有。如果一个整体的部分被损坏——例如管理程序、共享的平台部分或者应用程序——就会将整个环境暴露在潜在的威胁和漏洞下。

●CSA推荐深层保护策略：多因素认证、侵入检测系统、网络分割和更新资源。

企业上云，选择正确的供应商可以避免风险

对于众多企业，这些顾虑可能会让他们打消转移到云基础服务器的念头。但是云为大小企业都可以提供许许多多的益处。不要让这些顾虑使你放弃转移。将公司数据转移到云上已经成为了一个必然趋势，并且伴随着巨大的好处，对大小企业都是如此。通过选择正确合适的供应商可以避免风险。

那么，选择购买云服务的企业往往面临着一个问题，如何选择最合适自己云方案、云供应商？针对这个问题，给出以下选择云计算供应商的三条大原则：

一、匹配需求和长期发展综合考量

短期、小规模业务需求会有很多方式来满足，比如虚拟化、手工调配资源和部署业务。但是随着企业业务的不断增长，如果构建了一个个虚拟化烟囱业务系统，初期的便捷会导致随着业务的增长而变成新的浪费、新的发展制约和新的管理失控。而云计算实现了弹性按需地管理调度资源，按需快速响应业务可帮助提升业务体验和同提升投资回报。所以构建云平台作为业务支撑系统，就必须考虑平台的业务兼容性、平台的可扩展性，考虑供应商对此平台的长期提供服务的能力。

二、选择最适合的厂商

云平台作为一个平台，可靠性是摆在第一位的，因为这一个平台往往承载多个业务，如果平台出问题，同时多个业务受影响是企业所不可接受的。云计算业内新秀畅行云计算，旗下云服务器实现毫秒级硬件故障检测，业务实现秒级倒换，管理节点主备/负荷分担设计避免单点故障，还具备主机容灾、双活数据中心等完善的可靠性设计和方案，能够确保企业业务无忧。

云计算的性能也非常重要，把资源集中起来的目的就在于充分发挥性能、资源集中作战的优势。如果集中管理调度（虚拟化和云调度）的性能损耗很大，那么获得云的大资源池的投入代价就太高了。

三、交付/运维保障能力，长期的服务能力

交付能力和售后服务能力是选择云平台的又一重要考量。集成商、代理商的交付、售后能力、原厂的保障能力，以及产品本身的统一易运维属性，都是业务上线后的可靠运行的保障。