云安全联盟(Cloud Security Alliance，CSA)发布了第一份云计算安全风险简明报告，有意与CSA发布的更冗长的“关键区域安全指南”(下载地址：http://bbs.ctocio.com.cn/thread-7912339-1-1.html)成对出现，对于报告中列出的最大威胁，CSA将长达76页的安全指南浓缩为7个最常见，危害程度最大的威胁，根据这些威胁的描述，CSA也提出了一些策略，尽可能减少损失。用户也应该检查云服务供应商是否有每项威胁对应的解决方案。

　　CSA是一个由来自不同科技公司的安全专家和研究人员组成的组织。

　　威胁名单：

　　威胁1：滥用和恶意使用云计算

　　威胁2：不安全的接口和API

　　威胁3：不怀好意的内部人员

　　威胁4：基础设施共享问题威胁5：数据丢失或泄漏

　　威胁6：帐户或服务劫持

　　威胁7：未知的风险

　　威胁1：滥用和恶意使用云计算

　　网络犯罪开始倾向于窃取银行卡密码和信用卡卡号，恶意软件如Zeus和InfoStealing木马将会在云中变得更强大，垃圾邮件发送者和恶意代码作者可以利用云服务中的匿名注册和云服务模式进行网络犯罪。

　　解决办法：严格设计首次注册和验证过程，实施信用卡欺诈行为监控和协调，监控公共黑名单，查看你自己的网络是否被列为垃圾邮件和恶意软件来源而被阻止。

　　威胁2：不安全的接口和API

　　不安全的API通常是想回收旧代码提高开发速度的结果，质量和安全都得不到保障，API上的第三方插件也可能引入更多的复杂性和更多的风险。

　　解决办法：了解API关联的依赖链，除加密传输外，确保实施强大的访问控制。

　　威胁3：不怀好意的内部人员

　　这是一个众所周知的威胁，当一个人渗透到组织中，从组织内部发起攻击时，危害程度更大，如果公司使用了云服务，威胁将会进一步放大，随着云服务的不断壮大，留给服务供应商做后台检查的时间的越来越少。

　　解决办法：放慢脚步，做更彻底的检查，由HR在合同上明确雇员的法律责任，在违反安全规定造成安全事故时有权送交司法机关。

　　威胁4：基础设施共享问题

　　IaaS供应商使用共享的，非隔离的基础设施，当一个攻击者得逞时，全部服务器都向攻击者敞开了大门，即使使用了hypervisor，有些客户机操作系统也能够获得基础平台不受控制的访问权。

　　解决办法：开发一个强大的分区和防御策略，IaaS供应商必须监控环境是否有未经授权的修改和活动。

　　威胁5：数据丢失或泄漏

　　云中不断增长的数据交互放大了数据丢失的风险，因为没有适当的安全控制和数据监控，很难监控和控制所发生的事情，这增加了错放上下文记录，丢失编码键和意外删除数据的可能。

　　解决办法：有一个定义良好，组织得当的密钥生成、存储、管理和销毁策略。

　　威胁6：帐户或服务劫持

　　许多常见的攻击方法仍然可以从攻击者获得可重用的凭据，在云环境中，如果攻击者能够获得你的凭据，他们可以看到你的活动，处理的数据，并给云服务供应商客户端导致问题。

　　解决办法：禁止用户和服务之间凭据共享，利用强大的双因子认证技术，主动检查是否有未经授权的活动。

　　威胁7：未知的风险

　　未知的安全漏洞是云中真正的危险，软件版本、安全实践、代码更新、漏洞研究和入侵企图都是消除安全风险的重要因素。了解这个领域需要做更多的工作和调查，做好这方面的工作就成功了一半。

　　解决办法：认清你的安全现状，为客户提供最大程度的透明性，让他们知道如何配置系统或及时为托管的软件打上补丁。