物联网、云计算、大数据和移动互联网被称为新一代信息技术的“四驾马车”，它们提供了科技发展的核心动力，在给政府、企业、社会和人民带来极大便利的同时，也催生了不同于以往的安全问题和威胁。在传统的安全防护体系中，“防火墙”起着至关重要的作用。防火墙是一种形象的说法，其实它是一种计算机硬件和软件的组合，在内部网络与外部网络之间建立起一个安全网关，从而保护内部网络免受外部非法用户的侵入。然而在云计算时代，公有云是为多租户服务的，很多不同用户的应用都运行在同一个云数据中心内，这就打破了传统的安全体系中的内外之分。对于企业和用户来说，不仅要防范来自数据中心外部的攻击，还要堤防云服务的提供商，以及潜藏在云数据中心内部的其他别有用心的用户，形象地说就是“家贼难防”。这就使得用户与云服务商的信任关系的建立、管理和维护更加困难，同时对用户的服务授权和访问控制也变得更加复杂。
现有的安全理论与实践大多针对传统的计算模式，不能完全适用于云计算的新商业模式和技术架构。在安全隐私方面，大部分云计算服务商无法在短期内达到企业内部网的成熟度，更不用说提供比内网更高的安全服务。据调查显示，当前所有云服务商都无法通过完全的合规审计，更无法抵御“坏分子”（黑客和其他犯罪者）的多方攻击，所以任何云服务商都不敢向企业用户提供敏感隐私数据的安全服务等级协议。安全与合规已经成为大多数企业IT向云转型的头号顾虑，它们无法放心地将高价值数字资产放入云中。
云时代安全攻击的具体方式有很多种分类，根据美国知名市场研究公司Gartner发布的“云计算风险评估”研究报告，企业存储在云服务商处的数据，存在7种潜在安全风险：特权用户准入风险、法律遵从、数据位置、数据隔离、数据恢复、审计支持和数据长期生存性。ENISA（欧洲网络与信息安全署）提出了一个采用ISO 27000系列标准的云计算信息安全保障体系架构，主要涉及的安全风险包括：隐私安全、身份和访问管理、环境安全、法规和物理安全等。总体来说，在业界得到广泛认可的安全风险主要包括以下8种类型。
（一）滥用和非法使用云计算
云计算的一大特征是自助服务，在方便用户的同时，也给了黑客等不法分子机会，他们可以利用云服务简单方便的注册步骤和相对较弱的身份审查要求，用虚假的或盗取的信息注册，冒充正常用户，然后通过云模式的强大计算能力，向其他目标发起各种各样的攻击。攻击者还可以从云中对很多重要的领域开展直接的破坏活动，比如垃圾邮件的制作传播，用户密钥的分布式破解，网站的分布式拒绝服务攻击，反动、黄色和钓鱼欺诈等不良信息的云缓冲，以及僵尸网络的命令和控制等。
（二）恶意的内部人员
所有的IT服务，无论是运行在云中的系统还是内部网，都有受到内部人员破坏的风险。内部人员可以单独行动或勾结他人，利用访问特权进行恶意的或非法的危害他人的行动。内部人员搞破坏的原因是多种多样的，比如为了某件事进行报复，或者发泄他们心中对社会的不满，或者为了物质上的利益等。
在云计算时代，这种威胁对于消费者来说大大增加了。首先，由于云服务商一般拥有大量企业用户，雇佣的IT管理人员数量比单独一个企业的IT管理人员多得多；其次，云计算也是IT服务外包的一种形式，所以也继承了外包服务商的恶意内部人员风险。因此，云计算中的监管不仅在操作上更为困难，而且风险也是个未知数。
（三）不安全的应用编程接口
云服务商一般都会为用户提供应用程序接口（API），让用户使用、管理和扩展自己的云资源。云服务的流程都要用到这些API，比如创建虚拟机、管理资源、协调服务、监控应用等。大量的API多多少少都会有安全漏洞，有些属于设计缺陷，有些属于代码缺陷。黑客利用软件漏洞，就可以攻击任何用户。
（四）身份或服务账户劫持
身份或服务账户劫持是指在用户不知情或没有批准的况下，他人恶意地取代用户的身份或劫持其账户。账户劫持的方法包括网络钓鱼、欺骗和利用软件漏洞持续攻击等。(www.xing528.com)
在云时代，这类威胁也变得更为严重。云服务不同于传统的企业，它没有广泛的基于角色或团体接入的权限隔离，通常身份密码被重复使用在很多站点和服务上，同样的内部账户被用于管理软件系统、管理服务器和追踪账单。更加糟糕的是，账户经常在不同用户间共享。不管对于用户还是管理员，大多数云服务缺乏基础设施和流程去实现强验证。
一旦攻击者获取了用户的身份密码，他们就可以窃听用户的活动和交易，获取和操控数据，发布错误的信息，并将客户导向非法站点。客户的账户或服务还可能变成攻击者的新基地，他们从这里冒用受害者的名义和影响力再去发动新的攻击。他们还可以强制让账户所有者支付无用的CPU时间、存储空间或其他被计量付费的资源。
（五）资源隔离问题
通过共享基础设施和平台，IaaS和PaaS服务商可以以一种可扩展的方式交付他们的服务，这种多租户的体系结构、基础设施或平台的底层技术通常没有设计强隔离。资源虚拟化支持将不同租户的虚拟资源部署在相同的物理资源上，这也方便了恶意用户借助共享资源实施侧通道攻击。攻击者可以攻击其他云客户的应用和操作，或者获取没有进行授权访问的数据。取得管理员角色是一个更为严重的潜在危险，虚拟机一般对根物理机很难设防，通过物理机管理员角色可以配置命令和控制恶意软件来侵入其他用户的虚拟机。
（六）数据丢失和泄露
随着IT的云转型，敏感数据正在从企业内部数据中心向公有云环境转移，伴随着优点而来的是缺点，那就是云计算的安全隐私问题。云策略和数据中心虚拟化使防卫保护的现实变得更加复杂，数据被盗或被泄露的威胁在云中大大增加。数据被盗和隐私泄露可以对企业和个人产生毁灭性的影响，除了对云服务商品牌和名声造成损害外，还可能导致关键知识的损失，产生竞争力的下降和财产方面的损失。此外，丢失或泄露的数据可能会遭到破坏和滥用，甚至引起各种法律纠纷。
（七）商业模式变化风险
云计算的一个宗旨是减少用户对硬件和软件的维护工作，使他们可以将精力集中于自己的核心业务。云计算固然有着明显的财政和操作方面的优势，但云服务商必须解除用户对安全的担忧。当用户评估云服务的安全状态时，软件的版本、代码的更新、安全规则、漏洞状态、入侵尝试和安全设计都是重要的影响因素。除了网络入侵日志和其他记录，谁与自己分享基础架构的信息也是用户要知道的。
（八）对企业内部网的攻击
很多企业用户将混合云作为一种减少公有云中风险的方式。混合云是指混合地使用公有云和企业内部网络资源（或私有云）。在这种方案中，客户通常把网页前台移到公有云中，而把后台数据库留在内部网络中。在五和内部网络之间，一个虚拟或专用的网络通道被建立起来，这就开启了对企业内部网络攻击的机会，导致本来被安全边界和防火墙保护的企业内部网络随时可能受到来自云的攻击。但如果这一通道关闭，由混合云支持的业务将被停止，将会给企业带来重大的财产损失。
这里还要特别提到个人设备安全管理。随着移动互联网和大数据的快速发展，移动设备的应用也在不断增长。随着BYOD（携带自己的设备办公）风潮的普及，许多企业开始考虑允许员工自带智能设备使用企业内部应用，其目标是在满足员工自身追求新科技和个性化的同时提高工作效率，降低企业成本。然而，这样做带来的风险也是很大的，员工带着自己的设备连接企业网络，就可能让各种木马病毒或恶意软件到处传播，造成安全隐患。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
