這年頭，許多公司在以絕對驚人的速度生成數(shù)據(jù)，沒有理由認(rèn)為這種情形會有所改變。雖然其中一些信息不是特別值得關(guān)注，但是要是其他種類的信息最后落到壞人手里，會要了企業(yè)組織的命。

這就是為什么你考慮將貴公司的數(shù)據(jù)放在哪里：放在本地還是云端如此重要的緣故。雖然兩者各有相對的優(yōu)點，但在數(shù)據(jù)泄密屢見不鮮的這個時代，最重要的還是安全。

本文中，我們將探討這兩種方案的利弊、數(shù)據(jù)泄密可能發(fā)生的途徑，以及我們剛才提到的這兩種方案之間有沒有一種更安全的選擇。

　　將數(shù)據(jù)存儲在本地

將數(shù)據(jù)存儲在本地是指公司擁有自己的專用數(shù)據(jù)中心。傳統(tǒng)上，這是許多企業(yè)組織設(shè)計和維護網(wǎng)絡(luò)的方式。拋開其他方面不說，這需要物理硬件、該硬件所需的場地，以及備份和災(zāi)難恢復(fù)服務(wù)。

盡管云越來越流行，但是許多公司還是偏愛本地系統(tǒng)。之所以如此青睞本地，主要原因是出于安全。許多企業(yè)對于將網(wǎng)絡(luò)外包出去或者放棄對網(wǎng)絡(luò)防御的控制權(quán)根本就不放心。

將數(shù)據(jù)存儲在云端

云其實是一個服務(wù)器網(wǎng)絡(luò)，每臺服務(wù)器滿足不同的功能。有些服務(wù)器存儲數(shù)據(jù)，有些運行應(yīng)用程序。你可能注意到，自己越來越不從商店購買盒裝軟件;你支付月費在網(wǎng)上訪問平臺;這就是一種實際運行的云。

另一個常見的例子是將照片上傳到社交媒體網(wǎng)站。如果你用自己的手機拍照，照片存儲在手機的內(nèi)部存儲驅(qū)動器中。一旦你將照片上傳到社交媒體網(wǎng)站，照片隨后存儲到該公司的云服務(wù)器上。

大多數(shù)人會熟悉的使用云的其他常見例子包括：

·SkyDrive

·Google Drive

·Dropbox

·Evernote

·iCloud

在企業(yè)層面，云可以用來存儲整個企業(yè)的數(shù)據(jù)。簡而言之，這些公司不再需要自己的本地數(shù)據(jù)中心用來放置數(shù)據(jù)。這樣一來，員工也很容易使用諸多不同的設(shè)備，從任何地方訪問公司網(wǎng)絡(luò)。

正如我們之前提到的那樣，如今有的公司將網(wǎng)絡(luò)放在云端，有的公司青睞本地環(huán)境，安全是主要原因之一。為了幫助確定你的數(shù)據(jù)到底放在哪里最安全，不妨先看一下過去泄密事件出現(xiàn)在哪里。

哪里出現(xiàn)的泄密事件更多?

要想準(zhǔn)確地分類針對云端的攻擊更多還是針對本地的攻擊更多，那是不可能的。首先，我們根本不知道外頭到底發(fā)生了多少起攻擊，另外也無法開展準(zhǔn)確的調(diào)查，即便我們想這么做。

我們只能看一下已知的攻擊，盡量做出有根據(jù)的猜測。

在此之前，有必要指出：近些年來，針對基于云的服務(wù)器攻擊有所增加。然而，這根本不足以宣稱本地環(huán)境更安全。隨著越來越多的公司開始采用云，黑客會亦步亦趨自在情理之中。

此外，我們談?wù)摰氖瞧髽I(yè)層面的安全問題。2014年曾爆出新聞：有人從無數(shù)名人的蘋果設(shè)備竊取了私密照片，原因是名人把照片存儲在云端。黑客只要找到與某個帳戶有關(guān)的電子郵件地址，可以說成功了一半。

雖然這些攻擊引起了合理的關(guān)注，但這不是我們在談?wù)?ldquo;云”時所指的那種存儲。另外，這些攻擊也與我們在這里所說的泄密毫無關(guān)系。

為了幫助探討這個話題，我們請教了這個領(lǐng)域的專家杰夫·威廉姆斯(Jeff Williams)。威廉姆斯先生是Contrast Security公司的聯(lián)合創(chuàng)始人兼首席技術(shù)官。他最近接受了《福布斯》雜志的采訪，闡述了他對于數(shù)據(jù)泄密的認(rèn)識。

據(jù)威廉姆斯先生聲稱，說到我們都熟悉的成為頭條新聞的攻擊，“大多數(shù)泄密與存儲在云端的數(shù)據(jù)無關(guān)。比如說，美國百貨公司塔吉特(Target)的安全泄密完全出在內(nèi)部，攻擊者設(shè)法潛入到了銷售點(POS)網(wǎng)絡(luò)。”

不妨先從這個案例說起。

2014年塔吉特被黑

正如威廉姆斯先生指出，這次攻擊之所以得逞，是由于犯罪分子能夠訪問POS網(wǎng)絡(luò)。之后，他們得以竊取與4000多萬個借記卡和信用卡賬戶有關(guān)的信息。這些信息包括：

·全名

·地址

·電話號碼

·電子郵件地址

另外值得指出的是，在之前一年，3000萬顧客已淪為一次類似攻擊的受害者。實際上，由于塔吉特仍擁有數(shù)據(jù)，許多顧客中了兩次招。

這兩次攻擊據(jù)信給塔吉特造成的損失總共達(dá)到1.48億美元至1.62億美元。CEO和CIO也因此丟掉了飯碗。

這些攻擊讓塔吉特上了一份長長的“恥辱榜”，其他零售店也淪為了這種攻擊的受害者。其他零售店包括：

·奶品皇后(Dairy Queen)

·Jimmy Johns

·HEI酒店集團

有許多不同類型的POS惡意軟件，但是一旦犯罪分子盯上了某種類型的機器，并找到了用來攻擊的相應(yīng)軟件，會有不計其數(shù)的公司淪為受害者。

2015年Anthem被黑

美國第二大健康保險公司Anthem在2015年被黑時，這在業(yè)界引起了恐慌。突然之間，其他的醫(yī)療公司不是得迅速查明自己是不是同樣易受攻擊(大多數(shù)如此，許多現(xiàn)在仍是如此)。

2015年Anthem被黑仍是同類中規(guī)模最大的一次。多達(dá)8000萬個記錄受到影響，但是這起事件讓這家公司實際損失多少根本不得而知。在這起歷史性泄密事件之后，它已經(jīng)花了近1億美元。

雖然許多人將這起攻擊怪罪中國，但是并沒有抓到元兇。不過我們確實知道，攻擊者竊取了病人的個人信息，這包括如下：

·全名

·出生日期

·家庭地址

·社會保障號

·收入數(shù)據(jù)

雖然這家醫(yī)療保險公司采取了足夠的措施，以便將敏感數(shù)據(jù)發(fā)送到第三方時保護數(shù)據(jù)，但是它對于自家網(wǎng)絡(luò)的安全似乎自信過頭了。

2014年JP摩根·大通被黑

另一起載入史冊的攻擊發(fā)生在2014年。這回，JP摩根·大通是攻擊對象，不過后來發(fā)現(xiàn)對此事負(fù)責(zé)的犯罪分子攻擊了十多家公司;自2007年以來，可能撈到了數(shù)億美元的不義之財。

針對這家金融機構(gòu)的這次成功攻擊是有史以來發(fā)現(xiàn)的最大規(guī)模的網(wǎng)絡(luò)犯罪活動之一。大約8000萬客戶的姓名、電子郵件地址及其他信息被竊取。

黑客的目標(biāo)不是直接撈錢，而是獲取信息。獲取信息后，他們可以用信息誘騙客戶購買黑客自己已購買的便士股票。實際上，他們在策劃一場“拉高出貨”騙局，只是規(guī)模之大是世人之前從未見過的。他們在之前的其他活動中已經(jīng)得逞，打算使用竊取而來的數(shù)據(jù)，開辦自己的金融服務(wù)公司。

他們竊取這些數(shù)據(jù)的方式似乎是利用了一個名為Heartbleed的加密安全軟件漏洞。一旦他們獲得了訪問權(quán)，甚至可以修復(fù)加密軟件，掩蓋行蹤。

光這三起事件可能會讓你認(rèn)為：將貴公司的數(shù)據(jù)存放在云端顯然是明智之舉。然而，現(xiàn)在不妨看一下幾起臭名昭著的攻擊：遭殃的正是采取了這同一建議的公司。

2012年Dropbox被黑

最近才發(fā)現(xiàn)，四年前發(fā)生的Dropbox被黑事件導(dǎo)致6800多萬用戶的電子郵件帳戶信息泄密。

Dropbox被黑是個典例，它表明了許多IT專業(yè)人員在云方面擔(dān)心的問題。也就是說，如果黑客成功地闖入一家公司，他們對這家公司的數(shù)據(jù)就可以為所欲為。然而，如果黑客成功地闖入一家云服務(wù)提供商，那么眨眼之間，數(shù)百家、甚至數(shù)千家公司就會岌岌可危。

我們稍后會更深入地探討這個話題，但是暴露于黑客面前，攻擊Dropbox、獲得與成千上萬個帳戶有關(guān)的敏感信息的那個安全漏洞只是危及了一名員工。

這再次讓IT行業(yè)的許多人士不寒而栗。你總是可以采取更多的措施，確保自己的員工不上這種花招的當(dāng)，確保他們的訪問保持在最基本的權(quán)限。但是一旦你信任第三方，確實需要信任對方。

2014年Code Spaces被黑

通過云攻擊的另一個例子發(fā)生在2014年，這回遭殃的是流行的Code Spaces托管公司。多年來，這家公司獲得來自世界各地的客戶，而且頗受好評。

2014年6月17日，第一次攻擊是通過DDoS攻擊發(fā)動的，后來進入到了該公司的亞馬遜EC2控制面板。黑客索取贖金，那樣這家公司才能重新獲得面板控制權(quán)。Code Spaces試圖通過恢復(fù)來重新獲得控制權(quán)后，黑客使用之前創(chuàng)建的備用登錄資料，開始刪除文件。

等到Code Spaces從黑客手里重新奪得控制權(quán)后，破壞已造成，而且相當(dāng)嚴(yán)重。大部分?jǐn)?shù)據(jù)、備份、異地備份和機器配置已部分或全部遭到破壞。

工作人員在網(wǎng)站上給出解釋，并表示歉意，描述了云提供商被黑后客戶公司可能面臨的糟糕局面：

“Code Spaces暫時無法運營，迄今為止解決這個問題所花的費用以及預(yù)計向無法正常享用服務(wù)的付費客戶退還所產(chǎn)生的費用，將讓Code Spaces在財務(wù)和信譽方面都處于無法挽回的地步。正因為如此，我們除了停止交易，致力于支持受影響的客戶將他們放在我們處的任何剩余數(shù)據(jù)導(dǎo)出去，別無選擇。”

結(jié)果，成千上萬家公司永遠(yuǎn)丟失了全部或部分?jǐn)?shù)據(jù)。

2010年美國財政部被黑

雖然那不是一起驚天動地的事件，但美國財政部是在改用云提供商后才過了一年(即在2010年)被黑的。因而，財政部的網(wǎng)站停運了四天。在最后無法正常上網(wǎng)之前，新訪客受到了惡意軟件的攻擊。

雖然許多人認(rèn)為美國政府在網(wǎng)絡(luò)安全方面會走在最前沿，但這起攻擊是通過Eleonore Exploit Pack得逞的，這個惡意工具包當(dāng)時只要花700美元就能搞到，基本上不需要什么技能就能使用。

這根本不是美國政府遭受的最嚴(yán)重的網(wǎng)絡(luò)攻擊;從最近的事件來看，相比之下它的危害性基本上不大。然而，那是公眾首次認(rèn)識到政府將系統(tǒng)處包給第三方云提供商，這種程序可能是個問題。

遺憾的是，要是全面比較云攻擊和本地攻擊，我們可能要忙活好幾個月。這里亮明的主要觀點是，兩者同樣遭到不少的攻擊。雖然這應(yīng)該會讓你對自家網(wǎng)絡(luò)的安全漏洞有一番了解，但是仍沒有解答我們的問題。

為此，進一步的信息必不可少，比如你竭力防范的是什么樣性質(zhì)的安全泄密。我們會在后續(xù)的文章中繼續(xù)探討。

原文標(biāo)題：Where Is Your Data Safer? In the Cloud Or On Premise?