调查报告显示云安全问题过分夸张

云环境是不是根本上就比托管在企业数据中心的传统IT基础架构缺乏安全呢?

就这个问题，云安全即服务提供商Alert Logic去年做了全年的云安全状态的调查。2013年春天到来，调查结果也发布了，这也是这个报告的第三个版本，提供了另外六个月的数据分析。

该公司发现云环境目前不会比传统企业数据中心有更多的内在风险。除了Web应用攻击之外，调查发现云基础架构遭遇了更小的安全攻击量和种类。

该项报告累计了来自Alert Logic客户所遭遇的十亿多次安全事件，包括81%利用云托管提供商的基础架构即服务，以及19%的在传统企业数据中心管理自己的基础架构。在这些事件中，46475(46%)是Alert Logic已经查清楚的安全事故。该报告关注于这两种环境类型多容易受到特定攻击类型的攻击，多久会被攻击以及每一种环境有多少威胁类型。

Alert Logic声称企业数据中心环境平均受到2.5个种类的威胁;对比而言，云托管提供商环境是1.8个类型。报告指出这也未必就表明一种环境更安全，只是需要不同的安全态势。企业数据中心环境也经历了更频繁的前三类攻击事件类型，包括强力攻击(brute-force attacks)、Web应用攻击和恶意软件/僵尸网络。

根据Alert Logic市场副总裁Urvish Vashi所述，这个项目的统计学资料累计了一年，为任何云安全问题提供了有力的辩驳。

“说托管和云环境比企业数据中心环境内在的更易于受到攻击和威胁的论证，再次声明，且也是第三次声明，并不准确，”Vashi说道。

Alert Logic论证的主要依据是每一种环境引来的攻击类型。Vashi解释说，云托管提供商环境的事件中倾向于“机会犯罪”，而企业数据中心环境更像是遭遇了目标攻击。比如，他引证说49%的企业数据中心客户遭遇过恶意软件和僵尸网络事件。相对比，只有5%的云托管提供商的客户成为同类型攻击的目标。 Vashi还指出这些数字可能受到企业不愿意将大多数敏感且价值高昂的数据转到云端的影响。

“的确，实践中也会有一些因素，”他说，“我觉得转移一些基础架构到托管云环境中存在恐惧，相比其他的事情，客户最不可能把自己的敏感数据放到云端。因此我觉得遭受攻击的事实也正因为数据在那里。”

此外，Vashi也强调Alert Logic的一些客户就是完全的在线企业，意味着所有的敏感活跃数据都在云端。John Whiteside是Alert Logic的产品市场经理，他指出未来将会看到如果目标攻击追随敏感数据跑到云端，这也很有意思。

Ed Moyle是安全和法规咨询公司Security Curve的创始合伙人，并不重视敏感数据不会转移到云端的这个说法，因为就算企业尝试这样的运动，还是有数据悄悄的转移了。相反，他觉得数据转入云端可能更难成为这样的攻击的攻击对象。

“我想知道从一个攻击者的观点来看，这么难是否还必须要做，来发现特定企业在多租户环境中的源，”他说，“意味着如果你想攻击我，且就是我，是不是我在家睡觉时要比我站在人群中更容易，至少你想鬼鬼祟祟的这么做的话。”

Web应用需要更好的安全

毫不意外，Web应用攻击仍旧是云托管提供商环境主要的威胁，52%的Alert Logic监控云环境遭受了这种攻击。这也是云客户遭受的高百分比的攻击中唯一的攻击向量;相对比，企业数据中心客户中39%也遭受了Web应用攻击。

该报告认为SQL注入攻击是除了基础架构的棘手问题：Vashi高亮了自动化攻击工具Havij作为具体的问题，解释大约40%被记录为Web应用攻击。尽管Havij并不是意威胁Web应用的自动化工具。因为黑客团队招募了一些更不熟悉技术的人协助他们传播，Vashi将其描述为“广泛攻击”。

“熟练的攻击者编写了基于图形用户界面(GUI)工具协助他们进行攻击，”Vashi表示。

尽管被使用单一工具攻击的高百分比震惊，但是Moyle认为有很多应用易受到SQL注入攻击，且攻击者依赖于Havij。即时有Web应用威胁，他对于报告的结果还是乐观的。尤其是数据可能预示最初的可扩展云安全服务承诺对于小型企业可能成为现实。然而，他警告这也是报告中唯一引入的具体因素。

“由于这个报告并没有覆盖每一个环境的所有类型，对于认真谨慎计划自己的云战略的企业仍旧比较重要，”Moyle说道，“你不能基于你的实际决策制定，云可能在具体的约束中有具体的安全优势。”