浅谈云资产安全

这几天在整理之前的工作文档的时候看见了之前甲方让up写的很多方案，其中就有一份是关于建设安全架构的（就是没钱上安全设备还tua嘛让我增加安全系数来规避安全检查的），而老东家也是全云资产，妥妥的云租户，正好用来水这一期。

首先我们需要搞清一个问题，云租户虽然资产在云，可是正经来说安全责任在自己身上，虽然每次一出问题领导就想甩锅给云平台（反正up就是在这里大声谴责了）。我也认真看过一些附带的安全服务之类的，由于某些原因牵扯太广，我在这就不提及云平台自带的安全服务了。

直接进入正题，云资产存在的风险:

资产梳理混乱

不得不承认的一点，由于资产划分问题，很多云租户不一定有资产的全面把控权限，什么意思呢？诸如硬盘划分、CPU分配，甚至账号权限等，由于角色问题，资产的管理方和实际全权掌控方不属一个角色，这就有问题了，当操作方只能在有限的资源调配权利和有限的帐号权限下，会有一些不得已的操作——物尽其用，或者说，把鸡蛋装在一个篮子上。

简单来说，就是把一个IP下的主机塞进去多种功能组件，甚至是不同方向、不同用途的，尤其是中小型单位或公司的，甚至有同一组件给不同系统使用的状况，极其混乱，资只能理出个IP来，当然了，这种情况只是存在，不代表肯定会出现，但是毕竟现在全上云的不都是有能力去运维大系统的公司。

网络边界安全问题

这里的问题就有点多了，尤其是涉及与公网连接的部分时，拿我的老东家举例，接入公网的节点连个waf都没有的地方也能支撑这么久也是令人啧啧称奇了。当然了，绝大多数云租户的问题是:没有在公网和内网隔离资产之间设立绝对的缓冲区域或中转节点。我看过的半数拓扑几乎就是将内网与公网节点前加了个防火墙，甚至没有隔离网闸，当然，缺点资金也可以设立多一片缓冲区吧，这万一要是出点紧急状况连反应的时间都不会有。

其实现在云平台是可以做到给你单独划出一片区域在你的资产前的，我记得我曾经做个的一个方案就是给不愿意出钱的吝啬领导在资产前加个缓冲区的方案，只不过要多申请划分一个段的内网IP来也而已，真的不是什么难上天的事情。

代码迭代安全

这个点我好像还没看到有人讲过，确实是我在工作中想到的，对于需要频繁更新web服务的公司来说，代码的不确定性是很大的，尤其是喜欢用外包作为解决方案的公司来说，除了代码本身的运行稳定性，还有就是未经安全测试的代码频繁更新后是否存在网络安全漏洞隐患。这里需要解释一下为什么单独针对云租户来说，很简单，因为云资产不像本地资产，实在不行拔插头呢，虽然虽然虽然，好像云资产可以去快速回退或者恢复镜像快照.....吗？以我的工作经验来看，实操时只会遇到各种问题，不得不承认的就是这点，但是等下再来谈稳定性。

运行环境稳定性

这一点上可能就有得杠了，有些师傅觉得云资产更稳定，反正出事了找云平台关我什么事;有些师傅觉得实际生产环境还是本地服务器更容易把握，比如说我。

我已经数不清和云平台撕扯多少次、理论多少次甚至对骂多少次了，很简单的一个道理，如果半夜资产出现问题，关机了，怎么办？云平台:我道歉。啊？那又能怎么办呢？这实事求是的说，毕竟大家用的不全是大牌子的比如华为云之类的，出点问题很正常，但是真出问题了，虽然不至于崩盘 但是处理起来很是麻烦，也不要跟我说什么日常备份就好啦，实际上如果三凌晨点叫你来公司处理你是什么心情？这绝对不是up的亲身经历，绝对不是。

得声明一下，以上的风险点仅仅针对中小型单位的情况，我个人对全上云保持中立态度，如果公司能力雄厚，全私有云不是更好吗？如果公司并没有足够强的能力去运维 还要找外包牛马来做第三方，那我实在觉得大可不必。当然了，选对云品牌方是很关键的，因为up还没接到广告所以下次再打了，这几天还是没电脑，拿手机码的，大家见谅。

原文始发于微信公众号（一己之见安全团队）：浅谈云资产安全