3.2.4  惡意的內(nèi)部行為

大多數(shù)企業(yè)都被內(nèi)部惡意人員的問題所困擾，在云計(jì)算環(huán)境下，這種威脅進(jìn)一步增加。在此場景下，所有IT設(shè)備或數(shù)據(jù)被集中管理，內(nèi)部人員擁有的權(quán)限能夠讓其獲取敏感數(shù)據(jù)甚至整個(gè)云計(jì)算服務(wù)平臺(tái)的完全控制權(quán)，并且難以被發(fā)現(xiàn)。

Verizon Business最新一次的數(shù)據(jù)泄漏調(diào)查報(bào)告(DBIR 2013)顯示，48%的數(shù)據(jù)泄漏都是由惡意的內(nèi)部人員引起的。云計(jì)算的服務(wù)模式使得有權(quán)限、有能力接觸并處理用戶數(shù)據(jù)的人員范圍進(jìn)一步擴(kuò)大。這種訪問范圍的擴(kuò)大，增加了惡意的內(nèi)部員工濫用數(shù)據(jù)和服務(wù)，甚至實(shí)施犯罪的可能性。

對(duì)企業(yè)存在威脅的惡意內(nèi)部人員可能是那些有進(jìn)入企業(yè)網(wǎng)絡(luò)、系統(tǒng)、數(shù)據(jù)庫權(quán)限的在任或離任員工，第三方服務(wù)提供商或者其他業(yè)務(wù)伙伴，其任何的惡意行為都有可能導(dǎo)致企業(yè)系統(tǒng)和數(shù)據(jù)的機(jī)密性、完整性和可用性受損。如果惡意內(nèi)部人員為系統(tǒng)管理員，他們擁有訪問企業(yè)敏感信息和關(guān)鍵領(lǐng)域的權(quán)限，一旦信息被破壞或者毀滅，內(nèi)部人員就可以獲取關(guān)鍵的用戶檔案和數(shù)據(jù)庫并且刪除數(shù)據(jù)，引入病毒、蠕蟲或者引入邏輯炸彈來破壞或擦除數(shù)據(jù)。因此，由云服務(wù)提供商進(jìn)行安全管理的企業(yè)系統(tǒng)都面臨著巨大的安全風(fēng)險(xiǎn)。

用戶的核心數(shù)據(jù)在云計(jì)算環(huán)境中的存儲(chǔ)，離不開管理員的操作和審核。如果云服務(wù)提供商內(nèi)部的管理出現(xiàn)疏漏，將可能導(dǎo)致內(nèi)部人員私自竊取用戶數(shù)據(jù)，從而對(duì)用戶的利益造成損害。例如，商業(yè)秘密、工程文件、財(cái)務(wù)數(shù)據(jù)、客戶數(shù)據(jù)和許多其他有價(jià)值的資產(chǎn)可能被復(fù)制，并出售給出價(jià)最高的人或者任何地方的人，這種情況僅僅通過廉價(jià)的USB閃存即可做到。

另外，錯(cuò)誤的指令也會(huì)對(duì)用戶系統(tǒng)、服務(wù)和數(shù)據(jù)產(chǎn)生負(fù)面影響。例如，一個(gè)操作員或者技術(shù)人員可能會(huì)收到特殊服務(wù)的命令，或者可能是更新特定服務(wù)的命令，由于缺乏培訓(xùn)輸入了錯(cuò)誤的命令，以至于意外地訪問了錯(cuò)誤的用戶數(shù)據(jù)庫，甚至損壞整個(gè)數(shù)據(jù)庫。