【51CTO獨(dú)家譯稿】安全研究者們說：像亞馬遜那樣的云計(jì)算服務(wù)提供商們必須要防止它們強(qiáng)大的計(jì)算能力被非法的攻擊所利用。那么，什么樣安全措施可以防止云成為犯罪者的天堂呢？

想要攻擊其他人的犯罪者可以租用已經(jīng)被控制的計(jì)算機(jī)網(wǎng)絡(luò)或僵尸網(wǎng)絡(luò)，或其他犯罪者在地下的社區(qū)中提供的服務(wù)。在它們自己的領(lǐng)域中，這些資源也被當(dāng)成了“云”，但是安全研究者們警告說：合法的云服務(wù)提供商也必須要防止它們強(qiáng)大的計(jì)算能力被非法的攻擊者所利用。

在8月召開的DEFCON黑客大會上，在一個(gè)演示中，兩個(gè)研究者做了這樣的事情：Trustwave的David Bryan和NetSPI的Michael Anderson建立了幾個(gè)虛擬服務(wù)器來攻擊一個(gè)小型的財(cái)務(wù)公司——這個(gè)客戶希望測試自己對這樣的攻擊的防御能力。這兩個(gè)研究者并沒有租用其他犯罪者提供的僵尸網(wǎng)絡(luò)，而是使用亞馬遜提供的Elastic Computing Cloud (EC2)租用了不到一打的虛擬服務(wù)器，通過流量來擁塞攻擊目標(biāo)的網(wǎng)絡(luò)。

這兩個(gè)研究者表示：并沒有什么跡象表明亞馬遜探測到了這次攻擊。同時(shí)，他們呼吁所有的云服務(wù)提供商們，在監(jiān)控資源的使用方式方面，要多加注意。

Trustwave的Bryan說：“在它變得一發(fā)不可收拾之前，讓我們先解決掉它。”

雖然亞馬遜并沒有抓到那兩個(gè)特定的安全研究者，但是亞馬遜表示，在云中，要抓到那些壞家伙是很容易的。

在一份發(fā)送給CIO.com的聲明中，亞馬遜表示：“在云出現(xiàn)以前，通過互聯(lián)網(wǎng)進(jìn)行的違法犯罪活動(dòng)就已經(jīng)相當(dāng)普遍了。那些非法使用者們選擇在Amazon EC2環(huán)境中運(yùn)行他們的軟件，只會讓我們更容易地訪問和禁用他們的軟件。對于整個(gè)互聯(lián)網(wǎng)來說，這是一個(gè)重大的改進(jìn)，在云環(huán)境中，非法使用的主機(jī)不能被訪問，而且，這種情況會持續(xù)很長時(shí)間。”

然而，在這種情況下，公司必須要監(jiān)控它們自己的云空間。

下面是亞馬遜和其他的云服務(wù)提供商們提供的一些安全策略。

1，讓客戶更方便，就是讓攻擊者更方便

惠普（Hewlett-Packard）負(fù)責(zé)Secure Advantage與Cloud Security的首席技術(shù)官 Archie Reed說：“優(yōu)秀的云服務(wù)應(yīng)該讓云資源更方便消費(fèi)者和內(nèi)部的客戶使用。但是，這些優(yōu)秀的特性也很容易被攻擊者們利用。”

Reed說：“我們給云提供的所有優(yōu)秀的特性，尤其是給公有云提供的所有優(yōu)秀的特性——包括相對較低的成本，instant provisioning，以及在任何時(shí)間，任何地點(diǎn)都能訪問云服務(wù)的能力。所有這些優(yōu)秀的特性可以被任何一個(gè)人利用——只要他有相關(guān)的知識，并且他希望這樣做。”

與其做出決定關(guān)閉那些信息不完整的潛在客戶的賬戶，倒不如少做一些黑白分明的選擇。與其阻止一個(gè)潛在的惡意用戶，倒不如利用惠普的技術(shù)限制他們的帶寬。這就是惠普的策略。

Reed說：“我們正在和客戶們一起努力，來檢測各種可疑的行為，為了讓客戶更快地做出反應(yīng)，我們特意讓一些事情慢了下來。你不要關(guān)閉客戶們的賬戶，但是你也不要給各種惡意行為提供主機(jī)服務(wù)。”

2，從第一天起就把安全性考慮在內(nèi)

來自于Trustwave和NetSPI的研究者的拒絕服務(wù)攻擊，在最高峰的時(shí)候可以達(dá)到150MB/s。在兩個(gè)多小時(shí)里，他們一共發(fā)送了大約10GB的數(shù)據(jù)，成本不到6美金。

他們認(rèn)為，這樣的惡意行為應(yīng)該被探測到。

雖然亞馬遜并沒有對這次的事件做出任何的評論，但是亞馬遜表示，給云提供必要的安全措施是很重要的——它的工程師一直在做這樣的事情。

在一個(gè)聲明中，亞馬遜表示：“提供按需分配的基礎(chǔ)設(shè)施，同時(shí)提供安全隔離，和在公司現(xiàn)有的私有環(huán)境下并沒有什么本質(zhì)性的不同。”

3，把所有事情都記錄在日志里

現(xiàn)在，所有公司都應(yīng)該投資的一種技術(shù)是日志管理。在最近的Data Breach Investigations Report中，Verizon公司發(fā)現(xiàn)：90%以上對企業(yè)的攻擊都可以反映在日志數(shù)據(jù)里，但是只有不到5%的公司監(jiān)控這些通常足以探測到各種攻擊的數(shù)據(jù)。

基于云的日志管理公司Loggly的創(chuàng)始人兼首席運(yùn)營官 Raffael Marty說：“實(shí)現(xiàn)日志管理對每個(gè)人來說都很重要，尤其是在你的數(shù)據(jù)中心里。你必須要管理已經(jīng)發(fā)生的一些事情的日志，這不僅僅是為了遵守SLA（service level agreement），也是為了安全性。”

他說：“云服務(wù)提供商們（例如：亞馬遜），應(yīng)該專門開發(fā)一些技術(shù)，以便于更快地從日志中收集信息。”

4，不只是計(jì)算要具有可擴(kuò)展性，安全也要具有可擴(kuò)展性

亞馬遜表示：“云計(jì)算的一個(gè)主要的優(yōu)勢是：大型的提供商們可以利用經(jīng)濟(jì)規(guī)模的優(yōu)勢，提供低成本的虛擬系統(tǒng)。但是，提供商們也不得不提供相應(yīng)的可擴(kuò)展性，來更好地保護(hù)它們的資源。”

亞馬遜公司說：“龐大的經(jīng)濟(jì)規(guī)模可以讓我們提供低成本的，靈活的服務(wù)，同時(shí)，可以讓我們構(gòu)建有效的，可擴(kuò)展的防護(hù)。”

和其他沒有這樣的經(jīng)濟(jì)規(guī)模的公司相比，亞馬遜可以在安全方面投入更多地資金。使用亞馬遜提供的API，一個(gè)負(fù)責(zé)安全或操作的人員可以識別出運(yùn)行在云中的每個(gè)機(jī)器實(shí)例。

5，觀察那些已經(jīng)變壞的客戶

云安全聯(lián)盟表示：在云系統(tǒng)上，最常見的攻擊是賬戶劫持。在云安全聯(lián)盟2010年3月做出一份報(bào)告中，在所有和云計(jì)算相關(guān)的頂級威脅中，云資源的非法使用是最危險(xiǎn)的。但是在列出的威脅中，有六個(gè)涉及到攻擊者對賬戶的非法使用。

惠普的Reed建議所有云服務(wù)提供商使用雙重認(rèn)證來限制賬戶劫持。

Reed說：“云服務(wù)提供商們必須要提供一般水平的防護(hù)，來保護(hù)它們的基礎(chǔ)設(shè)施和品牌。現(xiàn)在攻擊者們知道你可以得到什么——不僅是從亞馬遜得到一本書那么簡單了，而是整個(gè)計(jì)算環(huán)境，那些賬戶成為了攻擊目標(biāo)。”