[来自IT168]伴着云计算概念的提出以及各种关于云概念的推广，随之而来的云安全也成为目前很多行业关注对象。虽然云计算可以带来很多技术上的进步，比如提高效率，降低企业关于数据中心运维成本等，但是任何新鲜的事物都有利有弊。云计算与虚拟化密不可分，并且云计算要求强大的技术来支撑，完成各项远程信息交互和相关虚拟化业务实施，于是，关于云计算安全问题便成为目前云的另外一个讨论热点。云计算在信息安全上的应用将会日渐成熟，正如所有崭新的技术，它既能为企业保障自身安全，也能为不法份子提供方便。企业管理者需要尽快做足准备，便能体验云计算安全服务所带来的灵活性及效益。

基于云计算的虚拟化能够获得更多的好处。你可以自定义”安全”或者”可靠”的状态，并且创建属于自己的VM镜像同时不被克隆。不过，需要指出的是这可能要求有第三方工具的配合。通过离线安装补丁，可以极大减少系统漏洞。镜像可以在安全的状态下做到实时同步，而即使离线VM也可以很方便地在断网情况下安上补丁。虽然云计算应用非常广泛，但是云计算的强大资源很可能被网络攻击者利用，企业在面对某些安全威胁时，可能会更为束手无策。比方说，有了云计算所提供的廉价且庞大运算能力，破解加密安全密钥等不法活动将变得更轻易。对于云计算技术的应用，带来最直观的表象就是完成了数据集中存储，数据集中存储更容易实现安全监测。如果数据被盗，后果不堪想象。通过存储在一个或者若干个数据中心，数据中心的管理者可以对数据进行统一管理，负责资源的分配、负载的均衡、软件的部署、安全的控制，并拥有更可靠的安全实时监测，同时，还可以降低使用者成本。云安全在技术方面需要强大的分布式计算集群，也就是通常所说云端，再结合配以客户端，才能够构建实现有效的智能威胁收集系统、计算云系统、服务云分发系统。虽然云计算有如此多的诱惑力，但是许多企业并没有打算马上跟进，其中最主要的原因就是处于安全考虑。因为使用了云计算，就意味着企业要将自己全部的数据都要放置到云计算服务提供商的计算机中，这是很多企业不敢尝试的。专家眼中的云安全质疑有不少分析人士声称，如今的云计算炒作过于夸大，许多厂商纷纷跟风推出云安全解决方案，于是相关专业人员提出了关于云安全的五点疑问：第一、一个强壮、安全的云安全方案，是否会影响企业网络本身的性能，甚至带来额外的故障点。第二、很多用户希望能够快速、精准地检测到来自Web的安全威胁，但是用户有没有关心安全设备自身的威胁签名列表数据库容量是否足够大。第三、随着越来越多的安全威胁嵌入到应用程序之中，简单、传统的封包检测是否还能应付。第四、如果厂商不能提供多区域分布数据库的主机服务，拥护是否会面临有云无响应的风险。第五、不同厂商提供的云安全方案横跨终端与网关，应用与更新过程中是否会出现兼容性风险。云计算技术的提出得到了社会各界的广泛关注，每个行业都渴望从云计算中获得些许利益，不过话又说回来，在考虑采用新兴技术时，要充分意识到其弊端，正如我们这里所说的“云安全”，其实很多企业面对云计算这个新技术时都持有怀疑或者否定态度，虽然云计算概念的传播已经得到了不少用户的关注，但是实施起来却有很大的难度，不过值得肯定的是，未来的企业关于数据中心的应用必将会被铺天盖地的“云”所覆盖。

如果您是通过Internet连接从事大量工作的人，则可能不会忽视云计算技术。云计算中的云一词是关于Internet连接的。云用户可以通过Internet连接访问位于任何地方的文件，他或她也可以利用该技术共享文件，音频或照片等。另一个突出的问题是，更新可以自动更新，而用户无需在自己的设备上自行安装软件。

此外，云技术还可以帮助用户减少安装或购买新设备所需的费用，因为他们的所有设备都可以在网络上共享。最后但同样重要的是，云计算被很多人采用的原因在于它在降低成本，提供全天候访问，帮助共享服务器和源以及能够增加负载容量等方面非常有用。

尽管如此，除了可能激励人们开始采用的优势之外，这项技术仍有很多缺点，特别是安全漏洞。本文将介绍一些威胁以及如何防止它们发生。

数据泄露：

在本地计算机上保存数据备份计划可以帮助您消除丢失所有数据的风险; 但是，这种方法可能会导致数据暴露的风险。更准确地说，虚拟机可以毫不费力地处理您的信息，以便在同一网络上窃取您的密钥，这些密钥也被其他计算机使用。如果您的基础架构管理不当，您将为攻击者创造机会。

此问题的解决方案是选择一个您可以信任的合适云供应商，将部分责任转移给他们。此外，您可以安装用于加密数据的适当系统，以便提高数据安全性。

云滥用

在云的许多功能中，名为基础架构即服务的功能为用户提供设备虚拟化，存储以及网络，并没有安全的注册过程。换句话说，用户只要拥有一张信用卡就可以注册一个账户。由于这个原因，任何云网络都可能被垃圾邮件或其他类型的罪犯轻易攻击。

为了应对这种威胁，云供应商应该更加注意授权注册和验证流程。此外，他们可以通过控制信用卡使用来防止欺诈。最后，始终注意网络上列入黑名单的用户。

不安全的API

从API，软件到其他界面，云中的所有用户都可以共享所有内容。在此功能中，安全性由应用于API和软件的策略定义。这意味着应用程序用户界面以及将在云上共享的软件应具有严格的安全性，以便用户可以避免未经授权的攻击。

如果您想避免使用不安全的API，最好向您的云供应商询问安全标准。此外，您应该确保您的云应用了严格的身份验证以及有效的加密。

攻击

由于暴露的可见性较低，云网络很容易应对恶意软件攻击。由于此威胁经常发生，因此云供应商可能无法向您提供有关其如何提供对软件的访问权限或其如何控制用户以及其策略如何工作的足够信息。这为攻击者闯入软件并带来病毒等创造了更多机会。

在解决方案方面，您应该对授权的链管理做好充分准备，并向IT工程师寻求帮助。

共享技术的缺点

基础架构即服务功能的云环境将为用户提供高端可扩展性，以便他们能够访问共享设备。由于此功能，云将面临更多风险，因为客户操作系统可能具有更多访问权限，这可能会对同一网络上的其他系统产生影响。

当涉及到这种威胁时，有必要获得用于安装或配置的更好的安全方法。其次，用户最好审核未经授权的更改和操作。获得更多授权流程的需求也很重要。最后但同样重要的是，不要忘记定期扫描威胁以便及早发现。

数据丢失

敏感和重要数据的妥协是由于删除，更改，取消链接记录或在不可靠的位置保存数据等活动造成的，这也是一个非常严重的问题。这可能是丢失重要数据，贵公司声誉，客户诚实以及更严重的原因，您可能会失去客户。

有一些解决方案可以用来减少这种威胁的可能性。他们通过使用SSL加密，检查数据的运行时间和设置持续时间以及从提供商发现备份计划来强制执行API安全，保证数据安全。

帐户黑客

欺诈或软件开发等问题属于称为帐户黑客攻击的问题。一般来说，这些活动是通过不恰当地访问某人的帐户来完成的。关注后果，这个问题可能会破坏您公司的诚信和声誉。黑客能够破解您的数据，然后将其用于非法目的，例如将您引导到有害网站或向系统添加有害来源。

为了防止这种威胁，您应该限制在组织内部员工之间共享凭据的能力。此外，还需要使用强大的双因素身份验证（F2A）。最后，您必须始终控制您的员工，以便您可以检测是否有任何未经授权的操作，因为问题可能由外人造成

如今，英国几乎所有(88%)组织都采用了云计算技术，这与2012年相比大幅增加，当时只有一半以上。这不可避免地导致了存储在云中的客户数据量的增加，以支持从在线服务和网站到销售和基础设施的所有内容。保持这些数据安全对于企业的顺利运营和客户保护至关重要。

然而，许多组织在云平台中仍在没有很好地保护他们的数据。例如在去年，Verizon公司存储在的AWS公司服务器中的600万个客户详细信息对外泄露。这只是企业迁移业务的一个案例，却没有很好理解如何正确保护其数据。使问题进一步复杂化的是，企业通常跨多个云平台运行，例如AWS、微软Azure，Google等，每个云平台都有不同的安全流程和协议。

更糟糕的是，许多组织似乎不愿意解决目前的问题：三分之一(34%)的人认为组织自己有责任在云中保护他们的数据，而三分之二(62%)的人认为，云计算提供商要对客户的数据负责。由于不到一半(46%)的企业明确定义了保护云中机密或敏感信息的角色和责任，显然很多企业都在努力让自己的数据井然有序。

负责云计算安全

通用数据保护条例(GDPR )在2018年5月25日开始实施，这迫使云安全的所有权牢牢掌握在企业手中。根据该规定，如果任何无担保的欧盟客户数据遭到入侵、被盗或放错位置，无论是内部存储在数据中心还是云中，持有该数据的企业都将被追究责任。

没有充分措施保护数据的组织在监管机构发现之后将受到巨额罚款和法律诉讼。此外，超过三分之二的客户(70%)将在违规事件后放弃与其供应商的合作。那么，组织可以做些什么来避免这种情况呢?

需要的是组织的领导力。虽然云计算服务本身通常是安全的，但安全配置和使用它们的任务通常由组织的IT 管理人员、开发团队甚至业务经理负责。但是，围绕谁应该实施云计算安全的这个问题比较混乱，将会让数据缺乏保护。组织现在必须在他们使用的任何云平台中完全拥有安全性。

必须为企业董事会指定一名负责人(例如首席信息安全官)，需要向企业其他高层管理人员阐述数据安全的重要性，并在发生违规时对数据安全负责。这可以确保企业获得董事会的支持，广泛推广云计算安全策略，并教育员工具有良好的网络安全措施和习惯，从而最大限度地降低内部风险。

一旦这位负责人被任命为企业董事会成员，就必须着手确保云平台受到保护。以下是帮助解决这个问题的六个步骤：

云计算安全的6个步骤

(1)了解自己的数据

在实施任何网络安全策略之前，企业必须首先对自己的数据进行审计。这有助于他们了解所收集或生成的数据，以及最敏感和最有价值的数据所处的位置。如果企业不知道他们拥有和生产什么数据，他们甚至无法开始保护它。在欧盟实施的通用数据保护条例(GDPR )监管下，如果发现的任何数据未使用，企业还必须确保安全地删除。

(2)必须保护所有敏感数据

虽然企业限制谁可以访问敏感数据至关重要，但是广泛使用的技术(如加密技术)将确保在未经授权的人员访问时不能使用这种技术。

因此，在这个步骤发生之前，企业必须了解其最有价值数据的存储位置。也许在他们自己的服务器上、在公共云中，或在混合环境中，但无论数据在何处，都必须始终使用加密等协议来保护数据。

(3)安全存储密钥

加密数据时，会创建加密密钥。这些密钥是解锁和访问加密数据所必需的。因此，企业必须确保安全地存储这些密钥。

通过异地存储物理密钥，有助于确保它不能链接到云中的任何加密数据。加密仅与所采用的密钥管理策略一样好，并且企业必须将密钥保存在安全位置，例如远离数据本身的外部系统，以防止它们被窃取。

(4)引入双因素身份验证

接下来，企业应采用强大的双因素身份验证，以确保只有授权员工才能访问他们需要使用的数据。

双因素身份验证涉及个人采用他们拥有的东西保护自己的账户，例如智能手机上的消息。以及他们知道的东西，比如密码。这比单独依赖密码更安全，因为密码很容易被黑客窃取。

(5)始终安装最新的补丁

随着漏洞和缺陷的出现，硬件和软件不断被其供应商修补，以防止黑客利用它们。许多企业不能足够快地安装补丁或使用不再接收常规补丁的软件。Net Marketshare公司的数据显示，尽管已停止使用补丁，但20个组织中仍有一个组织在使用Windows XP。企业必须在可用时安装补丁，以避免成为黑客轻松攻击的目标。

(6)评估并重复

一旦企业实施了上述步骤，就必须对进入其系统的所有新数据重复每个步骤，这至关重要。网络安全和通用数据保护条例(GDPR )合规是一个持续的过程。这些步骤最终将有助于使企业的数据对于攻击者不具有吸引力或不可行，即使在发生违规行为时，他们也无法使用、窃取或保留他们的数据以获取赎金。

由于任何数据泄露事件会带来巨大的是影响和损失，因此声誉和财务成为目前企业开展业务的重中之重，对企业来说，对数据拥有完全的所有权从未如此重要。

由于欧盟已经颁布实施通用数据保护条例(GDPR)，消费者拥有比以往更多的数据权利，组织的管理人员必须提供网络安全策略，并教育员工应对所面临的网络风险。

关注佳源信息，关注更多资讯

【版权与免责声明】如发现内容存在版权问题，烦请提供相关信息发邮件至jy@jiayuaninfo，我们将及时沟通与处理。

由于云计算特性和已有的IT模式有很大差异，自从云计算诞生之后，在安全方面受到极大非议，安全问题是企业内部引入云计算的最大顾虑。不可否认在安全方面，云计算确实面临许多挑战，但是云计算的一些优秀的特性将不仅能够有效应对这些挑战，而且也将会比已有模式更安全。

简介

挑战：信任边界变化，更多利益相关方，公有云暴露在互联网上，虚拟化技术引入，数据存放的讨论。

公有云是暴露给所有互联网用户的，这一点无疑是企业安全者最担心的问题，通常大家都认为“放在自己家里更安全”。

现有安全系统不足：成本高，复杂度也很高，内部盗窃等。很多企业都不会配备自己专门的安全团队，采用第三方的运维解决方案满足安全方面得需求，大部分企业内部核心数据丢失是内部人员所为。

云计算优势：管理、信誉和容灾方面都有很大的优势。一般都是国内外知名的厂商，而且有专业的管理和技术团队保障我们正常的业务。

安全架构

在安全方面云计算不仅需要应对已有传统IT挑战，还需要应对云计算特定的挑战。下面我们一起来看一下云计算的安全架构。

云客户端：客户端一般和用户体验相关，确保用户在安全和稳定的情况下使用云应用，需要很多方面得增强，主要采用防火墙、杀毒软件、补丁和沙盒机制等使客户端免受侵害。并通过云端检测和计算能力进行快速的安全解析，且进行相应的处理。

云端：是云计算核心，安全通信、用户管理、数据管理、应用保护、系统和网络等整体监管以及合规性等等。

第三方机构：一般具备很好的公信力，且在安全领域具备丰富的经验和技术，可以提供认证和安全级别评估，使用户有信息将数据存储在云端和使用云服务。并且可以进行监管，确保在安全范围内运行，提供用户的信任度。

Salesforce的安全机制

从云端的模块角度说明安全性，用户管理方面采用禁止cookie存储用户信息和会话信息，支持集成认证和基于SAML协议来在多个相关web服务之间传递认证和授权信息的方式。在数据管理方面对数据进行有效的隔离和加密等方式确保数据安全，在网络方面使用SPI、防御主机、双因素认证和全程加密机制确保网络传输安全等等。

AWS的安全机制

在用户管理角度AWS使用多种手段保障用户安全，使用安全token，这个token不仅用户SSH协议登录，也用户API的调用，提供多因素认证和密钥循环机制保障用户账号和访问控制。数据安全放面采用两层ACL控制机制，并使用HMAC-SHA1签名认证，所有通信都是会用SSL协议等等。

云计算为什么安全？

安全管理：专业的安全管理团队，保障云计算中心的同构型和专业性，有效的保证安全管理。

高可用性：普通的企业数据中心在高可用方面得投入肯定不如云计算中心，所以在保障核心应用角度很难和云计算相比。

数据安全：避免内部人员对数据危害，采用快照、备份和容灾等手段来保护数据的安全。

举一个不是很恰当的例子，大多数人选择把钱存在银行，而不是自己修建金库，其实就是这个道理，从成本、技术和安全角度来说，云计算能够给我们低成本、高安全的保障。

释放价值，分享知识和经验，解读IT前沿和技术。帮助他人，提升自己。

云计算在IT技术领域大放异彩，成为引领技术潮流的新技术。云计算的高速发展为试图重新聚焦关键业务目标的企业带来了许多利好，例如提高产品上市的速度、增加企业竞争的优势以及降低资本和/或运行的开支等等。为了管理好云计算风险，首先了解风险到底是什么将是非常重要的。

所谓风险，也就是指我们不希望发生的事件发生的概率。在信息安全领域，风险就是一个恶意或非恶意暴露机密信息事件、或威胁数据一致性以及干扰系统和信息可用性事件发生的概率。任何接入互联网的组织都处于风险之中，他们都应考虑黑暗网络的弹性特性和扩展私有云计算和公共云计算网络的能力。

根据学习，发现云计算技术面临着下面几个方面层次的安全威胁：

一、技术风险

1. IaaS层风险分析

基础设施即服务(IaaS)为用户提供计算、存储、网络和其它基础计算资源，用户可以在上面部署和运行任意的软件，包括操作系统和应用程序，用户不用管理和控制底层基础设施，但要控制操作系统、存储、部署应用程序和具有对网络组件(如主机防火墙)具有有限的控制权限的能力。许多最严重的IaaS风险很大程度是由于云管理员对操作系统，应用程序和云管理界面的错误配置或缺乏安全控制。

其中一个主要风险是缺乏安全的API，这些API是由云提供商提供以允许用户与他们的服务以及服务管理更无缝的集成。尽管提供商负责提供安全的API和补丁，客户应该自己对这些API进行评估，包括支持的传输方法以及什么样的数据在与供应商的交互过程中被来回发送。API或应用程序的更新很容易导致兼容性问题，甚至也可能引发数据泄露的场景，因此客户应该定期测试他们的程序和API交互的部分。

小招数：建议云客户要在选定IaaS前彻底调研云服务提供商的安全控制和服务水平协议。客户应尽可能利用多因素身份验证，对数据进行加密以减少内部威胁，维护密钥的控制权，并开始比以往任何时候都更关注在云环境中的可用日志。定期扫描基于云的系统漏洞也是一个最佳做法。

2. PaaS层风险分析

PaaS平台资源的容器是基于操作系统的虚拟化，与IaaS基础环境实现解耦，平台自身的实现多数是应用较广的开发框架和标准 API，能够有效提升资源管理水平，有效避免厂商绑定;同时，合理调整单个操作系统之上容器密度的有效部署，可以更好提升资源使用率，降低硬件采购成本。

PaaS主要以容器云形式实现，容器云依赖容器基础技术，目前常见的有Docker和garden两种类型。

平台即服务(PaaS)上进行网络应用开发是存在着一定风险漏洞的。具体的威胁风险包括黑客、软件设计缺陷或者不良的测试方法。这些风险有可能会利用漏洞来影响应用或大幅度降低应用的性能。

3. SaaS层风险分析

SaaS(Software-as-a-Service，软件即服务)，通过网络在线交付服务，企业可以节省更多的成本，把更多的精力用在促进业务发展上而不必被ERP这些软件的升级维护琐事而困扰，极大的提升运营效率。

但是很多企业，尤其是大型企业，很不情愿使用SaaS正是因为安全问题，SaaS解决方案缺乏标准化，企业要保护核心数据，不希望这些核心数据由第三方来负责。以前看到过一篇文章，据说多达20%的SaaS部署项目之所以以失败告终，原因是数据集成方面存在严重问题。因此，企业在采用某一种部署模式之前，需要认真分析各种部署模式在系统生命周期所有阶段的优缺点，这一点还挺重要哒。

二、管理风险

1. 云服务无法满足SLA

企业依靠服务等级协议(SLA)来要求云计算供应商为所提供的服务提供保障，并在发生服务故障时提出维权主张。比如，SLA明确规定了供应商的责任，在什么样的时限内供应商应当能够解决问题，以及发生停机时间和客户失去业务情况下应当由供应商承担的责任。但是，当谈及云计算SLA时，问题的症结往往在于细节。比如，涉及客户退还的内容就是存在问题的。

2. 云服务不可持续风险

企业用户必须确认保存在云中的数据是长期可用的。当出现问题时，用户可以在多长时间内把你关心的数据交还给你。

3. 身份管理

业务专家理解和接受与云计算客户和云计算供应商相关的风险。无论你担任了什么样的角色，要管理什么样不想要发生的潜在事件，都必须实施风险管理。在云计算关系的特定情况下，双方的风险管理工作都是必要的，其中企业用户和云计算供应商都必须拥有成熟的风险管理计划。成熟度是通过一个有管理、有周期性报告以及维持低风险状态定量证据的计划来证明的。

三、法律法规风险

1. 数据跨境

随着大数据时代的来临，传统的存储架构无法解决高速的数据增长，越来越多的企业使用大数据平台存储数据。大数据平台大多是基于一些开源软件开发而成，其复杂的架构，模块的不稳定，数据的跨地域传输等特点，都会给大数据平台的安全带来极大的威胁。当使用云计算后，你将无法知道数据确切的存放位置，甚至不知道是被存放在了哪个国家。

2. 隐私保护

在使用云计算提供的服务时，虽然可以通过SSL对数据进行加密，但是由于云计算同时为多个用户提供服务，你的数据很有可能与其他云客户的数据存放在一起。

3. 犯罪取证

云计算同时为多个企业提供服务，同时记录了多个企业使用云计算的情况，当某一个企业需要被调查时，这种多个企业使用云计算的日志被记录在一起的情况增加了司法调查的难度。

这对云计算普及提出了更高的要求和更大的挑战。在网络安全等级保护制度中，云服务商和云租户应该共同承担安全责任，建设安全防护措施。而现有云环境下，除提供边界的安全防护和基本虚拟网络保护外，缺少更丰富的安全服务，更无法直接为租户提供安全服务，云租户难以便利实现其网络安全防护，履行其安全职责，存在合规性风险。

云计算在为企业带来便利的同时也带来了一系列新的安全威胁和挑战，随着企业将大量的数据存储在云端，尤其是公共云，那么这些资源就很容易成为犯罪分子攻击的目标。

调研机构 Gartner公司副总裁兼云计算安全负责人Jay Heiser说：“公共云的应用正在快速增长，因此不可避免地会导致出现更多的潜在风险敏感内容。”

与许多人认为的相反，保护云端中的企业数据的主要责任不在于云计算服务提供商，而在于云客户。Heiser说：“我们正处在一个云计算安全过渡期，重点正从供应商转向客户。很多企业花费大量时间来确定某个特定的云服务提供商是否安全，但几乎没有什么结果，因为在于其自身。”

为了让企业了解云安全问题，以便他们能够就云采用策略做出明智的决策，行业专家进行了调查，就云计算中最严重的安全问题汇总编写了一些专业的意见和建议。以下是人们面临的12个最重要的云安全问题(按照调查结果的严重程度排列)：

1.数据泄露

数据泄露是具有针对性攻击的主要目标，也可能是人为错误、应用程序漏洞或安全措施不佳的结果。它可能涉及任何不适合公开发布的信息，包括个人健康信息、财务信息、个人可识别信息、商业秘密和知识产权。由于不同的原因，组织基于云端的数据可能对某些组织具有更大的价值。数据泄露的风险并不是云计算独有的情况，但它始终是云计算用户的首要考虑因素。

2.身份、凭证和访问管理不善

网络犯罪分子伪装成合法用户、运营人员或开发人员可以读取、修改和删除数据，获取控制平台和管理功能，在用户传输数据的过程中进行窥探，发布似乎来源于合法来源的恶意软件。因此，身份不足、凭证或密钥管理不善可能导致未经授权的数据访问，并可能对组织或最终用户造成灾难性的损害。

3.不安全的接口和应用程序编程接口(API)

云计算提供商提供了一组客户使用的软件用户界面(UI)或API来管理和与云服务交互。云计算安全联盟称，其配置、管理和监控都是通过这些接口来执行的，通常情况下，云服务的安全性和可用性取决于API的安全性。他们需要进行设计以防止意外和恶意的企图。

4.系统漏洞

系统漏洞是攻击者可以用来侵入系统窃取数据、控制系统或破坏服务操作的程序中可利用的漏洞。云计算安全联盟表示，操作系统组件中的漏洞使得所有服务和数据的安全性都面临重大风险。随着云端出现多租户，来自不同组织的系统彼此靠近，并且允许访问共享内存和资源，从而创建新的攻击面。

5.账户劫持

账户或服务劫持并不是什么新鲜事物，但云服务为这一景观增添了新的威胁。如果攻击者获得对用户凭证的访问权限，他们可以窃听活动和交易，操纵数据，返回伪造的信息并将客户重定向到非法的站点。账户或服务实例可能成为攻击者的新基础。由于凭证被盗，攻击者经常可以访问云计算服务的关键区域，从而危及这些服务的机密性、完整性、可用性。

6.怀有恶意的内部人士

虽然有些威胁的严重程度是有争议的，但内部威胁是一个真正的威胁。怀有恶意的内部人员(如系统管理员)可以访问潜在的敏感信息，可以更多地访问更重要的系统，并最终访问数据。仅依靠云服务提供商提供安全措施的系统将面临更大的风险。

7.高级持续性威胁(APT)

高级持续性威胁(APT)是一种寄生的网络攻击形式，它渗透到目标公司IT基础设施建立立足点的系统，从中窃取数据。高级持续性威胁(APT)在很长一段时间内逐步达到目标，经常能够适应抵御它们的安全措施。一旦部署到位，高级持续性威胁(APT)可以通过数据中心网络横向移动，并与正常的网络流量融合，达到他们的目的。

8.数据丢失

存储在云端的数据可能因恶意攻击以外的原因而丢失。云计算服务提供商遭遇意外删除、火灾或地震等物理灾难可能导致客户数据的永久丢失，云计算提供商或客户应当采取适当的措施来备份数据，遵循业务连续性的最佳实践，实现灾难恢复。

9.尽职调查不足

企业当高管制定业务战略时，必须对云计算技术和服务提供商进行考量。在评估云计算技术和提供商时，制定一个良好的路线图和尽职调查清单对于获得最大的成功至关重要。而急于采用云计算技术并选择提供商没有执行尽职调查的组织将面临诸多风险。

10.滥用和恶意使用云服务

安全性差的云服务部署，免费的云服务试用，以及通过支付工具欺诈进行的欺诈性账户登录将云计算模式暴露在恶意攻击之下。攻击者可能会利用云计算资源来定位用户、组织或其他云计算提供商。滥用云端资源的例子包括启动分布式拒绝服务攻击、垃圾邮件和网络钓鱼攻击。

11.拒绝服务(DoS)

拒绝服务(DoS)攻击旨在防止服务的用户访问其数据或应用程序。可以通过强制目标云服务消耗过多的有限系统资源，如处理器能力，内存，磁盘空间或网络带宽，攻击者可能会导致系统速度下降，并使所有合法的用户无法访问服务。

12.共享的技术漏洞

云计算服务提供商通过共享基础架构，平台或应用程序来扩展其服务。云技术将“即服务”产品划分为多个产品，而不会大幅改变现成的硬件软件(有时以牺牲安全性为代价)。构成支持云教育处服务部署的底层组件可能并未设计成为多租户架构或多客户应用程序提供强大的隔离属性。这可能会导致共享的技术漏洞，可能在所有交付模式中被攻击者利用。

现在IT领域最火的话题无疑就是云计算，然而，在云计算高速增长的过程中，我们也越来越担心：面对如此庞大而且复杂的“云”，我们该如何保证云本身和其中的数据安全。

我们应该怎样面对云威胁。

安全问题往往是随着平台的改变而不断变化的，对于云计算而言，面对的安全问题更加复杂，解决这些问题也需要更多的时间和精力。

首先，传统环境所面临的各种威胁，云不可避免地要继续面对。例如，病毒、木马、各类恶意软件，黑客攻击和僵尸网络，系统、应用程序的漏洞等。

其次，由于大多数的云计算服务中心都采用了虚拟化技术，它必然还要面对虚拟环境需要应对的威胁。虚拟化的大规模采用，让一台高性能服务器可以虚拟出几十个甚至上百个系统应用，然而，如果其中一个系统被感染，很有可能会扩散到这台服务器上的左右系统，所以，除了在外围加入基本防护设备，对于虚拟环境也必须采取有效的安全防护手段。

另外，存储在云中的数据也要面对各种各样的网络威胁；越来越多的隐私数据被迁移到云端，例如一些企业将内部的财务，人事系统放到第三方平台，这就构成了很大的安全隐患，使公司的隐私信息更加的容易受到威胁，泄露的概率也大大提升；所以，存储在云中的数据更需要特别的防护方式。

因为云计算和云数据存储所面对的安全威胁的特殊性，要想保护云计算数据的安全，必须具备以下三大特性。

1、全面性；必须能够有效的防范物理环境和虚拟环境所面临的各种潜在威胁。

2、开放性；云计算的环境是极其复杂的，可能是物理环境，也可能是虚拟环境，还有可能是混合模式，甚至是需要跨平台。

广泛推广云安全

“云安全”是“云计算”的重要分支，已经在安全防护领域得到了广泛的应用，其通过网状的大量客户端对网络中的软件行为进行异常监测，获取互联网中木马、恶意程序的最新信息，并推送到服务端进行分析和处理，之后把病毒和木马的解决方案分发到每一个客户端，使整个互联网变成一个超大规模的杀毒软件。

采用云安全技术之后，识别和查杀病毒就不用仅仅依靠本地的防护软件，而是依靠庞大的网络服务进行实时分析和处理，整个互联网就是一个巨大的"杀毒软件"，参与者越多，每个参与者就越安全，整个互联网就会更安全！

先说云计算：

被喻为第四次信息革命开端，云计算充分使用互联网的渗透性，并与移动互联装置完美融合，为用户提供了几乎无所不能的超级服务！

基于云计算背景下的云数据，具有以下几个显著特点：

1.云存储服务类型 2.完美兼容MySQL协议、高性能、高可靠、易用、便捷的MySQL集群服务 3.兼具备份、扩容、迁移等功能，用户可以方便的进行数据库的管理 4.高度的虚拟化包括服务器、存储、网络、应用等虚拟化等

5.更加智能化、自动化、便捷化、规模化和标准化

云存储的一大优势在于其弹性，其实更准确说最初云存储产品的安全性是产品的附加属性。企业最初选择云计算也绝不是冲着云计算的“安全”，而是因为云计算足够便捷、方便、高性价比和弹性。

大数据时代下的云存储：

在大数据的时代，原来局限在私有网络的资源和数据因为网络而链接，并且这些资源和数据放到了公有云服务提供商共享公共网络上。

通过云存储模式，这些数据一方面创造着无限价值，另一方面却也正在成为超级黑客、网络不法组织、APT攻击的“标靶”。最近的病毒勒索事件便是给我们敲响了一个警钟！

一旦发生某云计算平台泄漏了用户的数据隐私，或是数据在云端存储的过程中由于设备故障而导致大量丢失，亦或是数据在传输过程中被其他用户任意篡改，这种后果所造成的不良影响是难以估量

数据安全问题也越发成为不可忽视的重点，云存储领域也必须正面和直视这个问题！

那么，云计算技术又如何保障数据安全呢？

1.安全的相对性：

没有绝对的安全，安全总是相对的！

依据目前的状况来看，基于良好、稳定、达到一定安全级别的「软件技术、硬件技术、机房环境」等因素，这样的情况下云存储相对于在本地的存储会安全很多！依靠软件+硬件结合的方式来设计：

模块级保护：模块化、冗余设计，支持热插拔。电源模块、控制模块等都是冗余的

硬盘级保护：节点内磁盘级Raid，各个级别的Raid保护

数据级保护：节点间间数据对象写多份。除通常的RAID技术外，为解决双盘实效和其他故障导致的数据丢失，云存储将多个对象的副本分别写入其他的存储节点，当一个节点发生故障时，其他节点上的数据继续提供服务，同时通过其他节点中的数据副本，快速回复故障节点上丢失的数据

系统级保护：网络链路端到端冗余，所有存储模块是分布式的，甚至分布在不同的物理地点。

2.数据的三维度出发：可用性、完整性、隐私性

数据可用性：

数据可用性是指数据不因黑客攻击、物理设备故障等问题而导致数据不可使用的要素。

如果我们担心重要数据因计算机病毒、电源故障等问题而丢失，我们常常会采取数据备份的措施加以预防。

而在云计算中，保障数据可用性的常用措施与此相类似，我们称为冗余备份，利用系统的并联模型来提高系统可靠性的一种手段。

数据完整性：

数据完整性指在数据传输、存储的过程中，确保数据不被未授权的用户篡改、或在篡改后能被系统迅速发现的要素。

数字签名是保证数据完整性的常用方法 。数字签名为数据在云端传输保驾护航，保证数据在发送过程中未作任何修改或变动，同时，也可以确认数据传输的发送方与接收方身份。

数据隐私性：

数据隐私性是非常重要的另一维度，指在海量数据传输、存储和处理的每个环节保护用户个人数据及其信息的要素。

云计算应用主要通过基于共享密钥、基于生物学特征和基于公开密钥加密算法的身份验证三种方法来保护数据隐私。

此外，数据层面的对象去标识、漏洞保护、虚拟机扫描、数据隔离、混合云技术等也常被用于保障数据隐私和安全。

3.密钥更新频率&隐私保护级别划分：

云计算平台的存储系统中存在着许多种不同类型的数据：文档、视频、图片、电子邮件等等。

为了保障用户的隐私在其中加入了较为复杂的加密算法，当然不可忽略的现实是会使得云平台大量的资源被消耗掉，从而会使得整个云平台工作的效率大大的降低，成本自然也会增加；但是如果对于数据采用的都是较为简单的加密算法的话，数据在云平台存储或者是处理的过程中就有可能造成数据的泄露。

每种数据对于用户来讲，数据的安全性和重要性都是有所差别的，这是因为这些数据中所涉及的信息的重要程度是不同的。

如果要对云平台设置一个数据安全攻略，那么就需要将数据的隐私级别和用户的隐私级别联系起来。对于上述数据根据重要程度进行等级划分，划分的依据可以是数据的重要程度和数据的敏感程度。

作为云服务提供商可以根据数据对于用户隐私程度的不同来设定相应的隐私等级，可以将数据的隐私划分为三个等级：

level1：在这个数据隐私等级中不包括用户较为敏感的数据，该等级的数据可以采用较为简单的加密算法，使得系统的资源不至于被浪费太多。

level2：在这个等级的数据当中有部分数据对于用户来讲是非常敏感的，那么就要针对这些数据区域，采用与此等级相符的加密算法。

level3：在这个级别的数据当中存在着大量的用户隐私数据，那么应该对该等级的数据采取较为复杂的加密算法使得数据的安全得到保证

一句话总结就是：对于不同需求客户采取不同数据加密算法来对数据进行保护！

4.打造一个云数据保护的闭环网络：数据生成-数据迁移-数据使用- 数据共享-数据存储-数据销毁

数据生成—所有权问题

对于企业和客户的隐私数据，企业必须要了解自身的哪些数据被云平台提供商所获悉，并且作为客户要采取一定的措施来避免云计算平台商来获取自身的敏感的数据。

数据迁移—采取复杂的加密算法，保障数据安全性、隐私性

在数据迁移的过程中应该采取更加复杂有效的加密算法，防止这些数据被其他客户获取，另外还要保证数据在传输过程中的完整性应该采取一定的校验手段来保障数据的完整性，使得数据在迁移的过程中不会发生数据丢失的情况

数据使用—静态数据的保障

数据共享—需要慎重

在数据共享的过程中，如果与第三方实现数据共享的时候，数据的所有者应该采取一定的措施限制第三方没有约束的进行数据的传播对于客户共享的部分数据来讲，除了按照一定的方式进行数据的授权之外，还需要对数据的共享方式进行研究，并考虑在数据共享的过程中如何防止用户的敏感数据被共享。

数据存储—简单存储服务&复杂存储

将数据保存在云平台当中，要考虑到数据的完整性、安全性、可用性。解决这些问题的最为常用的办法就是对数据进行加密处理，为了使得数据的加密达到其应有的效果，要对算法的可靠性进行详细的验证。

随着云计算平台所传输、存储和处理数据量越来越大，在对数据进行加密的过程中要兼顾数据的传输速度以及数据的传输的效率，在云计算平台当中一般采取云对称式的加密算法来对云平台中的数据进行加密处理。

为了保证数据的完整性，要在数据传输的过程中对于相关数据进行检验，对于本地数据的使用以及迁移都要引起足够的重视。

数据销毁—同样需要注意

一般而言，计算机删除的方式，但是这种方式并没有将数据真正从计算机的硬盘上删除，其删除的只不过是文件的相应的索引。另外，对磁盘进行格式化也是如此，磁盘的格式化仅仅是为操作系统创建一个新的索引，将磁盘的扇区标记为未使用过，经过这样删除方式操作的数据一旦发生黑客的入侵采用一定的数据恢复方式就能够将磁盘上的数据恢复。

对于企业较为敏感甚至是秘密级的数据，云计算提供商可以考虑采用磁盘擦写的方式来完成对于数据的删除，或者采用一定的数据销毁的算法甚至是物理销毁来对用户的数据安全和隐私进行保护。

对于企业而言，是否选择云数据库来解决自身的数据存储方案，以及是否全部选择通过云服务，需要根据自身的实际行业环境、特点以及防止承担风险能力去评估！

对企业而言，选择「适合自身」的那一款更重要！

相对于传统的IDC行业，如今IDC行业已经在渐渐往云计算上靠拢了，就好比我们从笨重的大哥大到现在轻薄的智能手机一样，网络进程在不断加快，更强更方便的云计算也将比想象中更快的取代传统IDC。正如马云说大数据，他甚至能够知道全国胸最哪个小的省。因为互联网的存在，这个世界总是充满惊奇，但是凡事有利则有弊，云计算服务虽然大大减轻了用户的成本，但是在其他方面仍然有不可规避的风险。

1. 隐私方面

对于用户而言，隐私是一大问题。用户的数据是统一存放在云服务提供商那里的，云服务提供商能够看到每家公司的信息，对于用户而言，如何保证这些数据不被别人恶意利用就成了一个非常大的问题，这需要技术部门的不断完善才行。

2. 网络传输问题

云计算服务主要是依托网络的，一旦网络运行不稳定，那么对云计算服务影响也是非常大的。

3.虚拟化安全问题

虚拟化的可扩展性有利于加强在基础设施、平台、软件层面提供多租户云服务的能力，但虚拟化技术也会带来一些安全问题：如果物理主机受到破坏，其所管理的虚拟服务器由于存在和物理主机的交流，有可能被攻克，若物理主机和虚拟机不交流，则可能存在虚拟机逃逸的情况。

4. 数据集中的安全问题

云计算系统与用户的数据存储、处理、网络传输等都有关，包括怎么有效存储数据，避免数据丢失或损坏；怎么避免数据被非法访问或者被无故篡改；怎么对多租户应用进行数据隔离；怎么避免数据服务被阻塞等。

5.云平台可用性问题

当云平台遭受攻击时，用户的数据和业务应用将依赖于云平台服务连续性、SLA和IT流程、安全策略、事件处理和分析等。另外，当发生系统故障时，如何保证用户数据的快速恢复也成为一个重要问题。

6.云平台遭受攻击的问题

云计算平台的用户、信息资源的高度集中，比较容易成为黑客攻击的目标，因此由于服务造成破坏性将会大大超过传统的企业网络应用环境。

以上就是网时云为您整理的云计算服务存在的六个风险。云计算服务已是大势所趋，相信这些问题在后面都会迎刃而解。

　　云时代，什么最值钱？一定是数据！数据作为企业的核心资产，目前各行业对于云端数据安全的关注程度变得非常高，也因此把数据放到云上是否足够安全成为各个企业思考最多的问题。

　　事实上对于将数据存放到云上来说，任何的安全都是相对的，没有绝对的安全。安全和安全感是两个问题，更是一个出故障的概率问题。好比现金是放在家里还是存在银行，人们一般都会存在银行，因为整体来看，银行的安保措施更为专业，尽管银行也会爆出被抢劫、被监守自盗等问题。而云计算的优势在于他们有全球顶尖的安全专家、安全设施和安全保障。同样是遭遇攻击，云计算厂商的安全专家能够更快更好地处理。当然，在采用云计算之前也可以检查对方是否具备权威机构出具的安全认证。

　　除了IDC机构提供的安全服务之外，对于最终的数据安全问题，也需要用户自身的配合。以汽车为例，一般汽车都会提供安全技术，如安全带、气囊等，用户也可以选装更高级的安全技术如车道保持，但安全驾驶才是真正的安全底线。在云计算行业也是类似，选择那些通过安全认证的厂商、使用更高级的安全服务（比如说阿里云，提供有DDoS高防IP、WAF、主机安全等服务来增加黑客的攻击难度。），这些都是良好的安全习惯。

　　云计算的一个很大的优势就是在于用户在意识到数据安全受到威胁的时候能够利用公有云平台来准确定位威胁的涉及范围，从而能够更快速的改变基础设施的部署模式和应对模式，从而抵御数据安全所面临的威胁。

　　举个例子，例如基于SSD存储技术的阿里SSD云盘就是利用了VPC在公有云模式的基础之上来构建一个混合云从而来兼顾数据安全和便携的最佳方案。每秒20000次的读写，高达256MB的数据吞吐表现使得现在的公有云用户一举扫清了读写密集型行业的使用障碍

　　此外，云主机的数据安全更多的要从企业自身层面上着手，做好主机安全防护、数据备份、防攻击预警等工作。

　　虽然安全性非常重要，但事实上大部分企业直到他们发现被攻击后才会采取真正有效的安全措施。通常情况下，他们不会把足够的资金和资源放在安全防护上，而这些安全性投资通常被认为比安全风险所带来的损失更高，实际上却是相反。

　　随着世界越来越小，速度越来越快，连接越来越多，云计算越来越有意义。它比任何事情都更具有可扩展性，强大性，便宜性和敏捷性。那些拥抱变化并超越曲线的企业将会有乐趣和利润。因此人们需要关注云计算的发展，因为这是未来的浪潮。