云時代的大潮勢不可擋，在云時代下，企業的應用場景發生了很大變化，過去的安全防護邊界逐漸消失，當我們的數據變得無維護化，安全問題變得前所未有的重要。最主要的一點就是面對威脅和網絡攻擊的脆弱性。 從云自身架構方面來看，傳統的安全問題，諸如災備、漏洞、病毒等等在云時代依然存在，只不過寄存的環境不一樣了，病毒等針對的對象有所不同而已。而從云自身來看，云平臺的控制臺以及管理接口等，本身就可以看做是一個web控制服務器，這就相當于一個網站，也使得云還會面臨網站安全威脅所要面臨的所有威脅。那么企業面臨的主要安全威脅和顧慮究竟有哪些呢？下面列舉的12種安全威脅不得不引起重視。1， 數據漏洞 云環境面臨著許多和傳統企業網絡相同的安全威脅，但由于極大量的數據被儲存在云服務器上，供應商成為了一個很吸引人的目標。
云供應商通常會部署安全控件來保護其環境，但最終還是需要企業負責自己來保護云中的數據。
企業可能會面臨：訴訟、犯罪指控、調查和商業損失。2， 憑證&證書 數據漏洞和其他攻擊通常來源于不嚴格的認證、較弱的口令和密鑰或者證書管理。 企業應當權衡集中身份的便利性和使儲存地點變成攻擊者的首要目標的風險性。 采用多種形式的認證，例如：一次性密碼、手機認證和智能卡保護。3， 界面&API入侵 IT團隊使用界面和API來管理和與云服務互動，這些服務包括云的供應、管理、編制和監管。 API和界面是系統中最暴露在外的一部分，因為它們通?？梢酝ㄟ^開放的互聯網進入。CSA也建議進行安全方面的編碼檢查和嚴格的進入檢測。 運用API安全成分，例如：認證、進入控制和活動監管。4，已開發的系統的脆弱性 企業和其他企業之間共享記憶、數據庫和其他一些資源，形成了新的攻擊對象。幸運的是，對系統脆弱性的攻擊可以通過使用“基本IT過程”來減輕。盡快添加補丁——進行緊急補丁的變化控制過程保證了補救措施可以被正確記錄，并被技術團隊復查。 容易被攻擊的目標：可開發的bug和系統脆弱性。5，賬戶劫持 釣魚網站、詐騙和軟件開發仍舊在肆虐，云服務又使威脅上升了新的層次，因為攻擊者可以竊聽活動，操控業務以及篡改數據。賬戶，甚至是服務賬戶，應該被監管，這樣每一筆交易都可以追蹤到一個所有者。關鍵點在于保護賬戶認證不被竊取。 有效的攻擊載體：釣魚網站、詐騙、軟件開發。 6，居心叵測的內部人員 內部人員的威脅來自諸多方面：現任或前員工、系統管理者、承包商或者是商業伙伴。惡意的來源十分廣泛，包括竊取數據和報復。
單一的依靠云服務供應商來保證安全的系統，例如加密，是最為危險的。有效的日志、監管和審查管理者的活動十分重要。
企業必須最小化暴露在外的訪問：加密過程和密鑰、最小化訪問。 7，APT寄生蟲 CSA稱高級持續威脅（Advanced Persistent Threats）是一種“寄生性”的攻擊。APT通過滲透系統來建立立足點，然后在很長的一段時間內悄悄地竊取數據和知識產權。 IT部門必須及時了解最新的高級攻擊。此外，經常地強化通知程序來警示用戶，可以減少被APT的迷惑使之進入。 進入的常見方式：魚叉式網絡釣魚、直接攻擊、USB驅動。 8，永久性的數據丟失 關于供應商出錯導致的永久性數據丟失的報告已經鮮少出現。但居心叵測的黑客仍會采用永久刪除云數據的方式來傷害企業和云數據中心。遵循政策中通常規定了企必須保留多久的審計記錄及其他文件。丟失這些數據會導致嚴重的監管后果。 建議云供應商分散數據和應用程序來加強保護：每日備份、線下儲存。 9，積極性不足 在沒有完全了解環境就使用云的企業會遭遇無數的商業、金融、技術、法律和遵守上的危機。 當部署應用程序到一個特定的云上時，如果一個公司的發展團隊缺少對云技術的熟悉了解，就會出現行動上和建筑上的問題。企業必須表現出廣泛而適當的積極性來了解他們云服務的風險。 面對以下幾點必須拿出適當的積極性：云的遷移、融合與外包。 10，云服務的濫用 云服務可能被強占用來支持不道德的行為，例如利用云計算資源來破解加密密鑰從而發起攻擊。客戶應當確保供應商提供了報告濫用的機制。雖然客戶不一定是惡意行為的直接對象，但云服務的濫用仍會導致服務可用性和數據丟失的問題。 濫用行為例子包括：分布式拒絕服務（DDoS）攻擊、垃圾郵件、包含惡意內容。 11，DoS攻擊 DoS攻擊已經存在很久，但因為他們經常影響可用性，通過云計算DOS攻擊才得以迅猛發展。系統可能會行進緩慢或者超時。 CSA稱，云供應商比客戶更容易處理DoS攻擊。關鍵在于在攻擊出現開始計劃如何削弱攻擊，這樣，管理員可以在需要資源的時候有權限進入。 DoS的攻擊原因多種多樣：敲詐勒索、騷擾。 12，共享技術、共享危機 共享技術的脆弱性為云計算帶來了很大的威脅。云服務供應商共享基礎設施、平臺以及應用程序，如果脆弱性出現在任何一層內，就會影響所有。 如果一個整體的部分被損壞——例如管理程序、共享的平臺部分或者應用程序——就會將整個環境暴露在潛在的威脅和漏洞下。 CSA推薦深層保護策略：多因素認證、侵入檢測系統、網絡分割和更新資源。