勒索病毒引出重大话题：公有云比私有云更安全？
公有云比私有云更安全?这似乎与惯性思维恰恰相反……
3天，150个国家，20余万台机器中毒，始于上周五的WannaCry索病毒真的让很多人急了。
美国联邦快递FedEx、西班牙电信运营商Telefonica、法国汽车制造商雷诺、德国联邦铁路系统以及俄罗斯内政部纷纷中招，最深受其害的是英国公众医疗系统，手术排期被扰乱，患者无法实施抢救，而在中国，数所大学、政务网站、出入境公安网，甚至加油站都已经被爆出现问题。
德国联邦铁路系统中毒后的候车大厅屏幕
表面上看，勒索病毒索要比特币，但企业机构因此而引发的后果往往是人财两失，这也是服务器主机安全防护对稳定性和性能更为强调，对事前防护更为看中的原因。
WannaCry勒索病毒这一重大信息安全事件虽已渐渐平息，但也引发了更深层次的思考：
- 把数据牢牢揣在怀里的私有云反而比采用公有云的企业，受到攻击更广，损失更严重;
- 从政务网站等政府机构纷纷中招来看，号称最安全的内外网隔离也没能逃过一劫;
- 如果说10年前引发大面积机器瘫痪的蠕虫病毒尼姆达、熊猫烧香还主要影响PC端，那么在企业业务互联网化，联网设备IOT化的今天，WannaCry勒索病毒这样的病毒很可能会常态化，影响也会越来越重大;
- ……
1. 公有云比私有云更安全?
5月15日，A股市场上网络安全企业股票大片一字涨停，大家似乎都把抑制WannaCry病毒的期望寄托在这些“专业救火队”的身上。而颇具讽刺意味的是，其中一家涨停安全公司的最大客户，却是被WannaCry勒索病毒肆虐的大型企业受害者之一。
外行看热闹，内行看门道——“防患于未然”其实远比事后“救火”要更有效。那么，谁能做好“防患于未然”谁显然就更为有意义。
私有云+专业安全企业的服务方式，将一切都交给公有云企业的租用方式，在新的万物互联时代到底谁更安全?
据阿里云安全资深技术总监肖力表示，早在4月初NSA就爆出这一漏洞，阿里云当是在6小时内根据漏洞分析和客户场景做出分析报告，并在云平台外围构建了防御层，以便公有云用户有更多时间修复与补丁。也就是说，在513 WannaCry勒索病毒爆发之前，公有云就做到了“防患于未然”。
难道专业安全厂商不可以这么做吗?
私有云+专业安全的模式通常是：客户数据分散在上千个不同IDC中，而客户对于安全产品的采购也往往是不同种类采购不同品牌，这种碎片化的结构和部署，也造成私有云安全防范的不统一和不及时。
- 第一，专业安全厂商尽管有云安全的理念，但收集异常数据只能根据自身产品品类和覆盖量发现病毒爆发异常，而无法像公有云企业一样通盘看到从网络层、应用层、系统层到数据层的实时异常问题。
- 第二，由于专业安全厂商收集到的信息有限，无法像公有云企业一样做到全数据分析，更难以基于大量网络、系统、应用状态来建立自动化的事前防御机制。
- 第三，专业安全厂商发现问题可以做到第一时间通知客户，但更重要的防范措施却由于自身产品类别所限，或是客户采购的安全产品种类和品牌碎片化，而无法实现多层级联动技术防护。
实际上，在今年2月全球顶级安全行业盛会RSA大会上，传统安全厂商已经意识到这一问题：
以前，全球的安全厂商无一例外地出售包装在“盒子”内的产品和服务;从去年开始，基于 API 接口的云化服务开始冒头;而今年，寻求与云服务提供商合作，提供基于公有云的云安全SaaS服务，成为大部分安全厂商的发展趋势。
此外，今年4月底，Bitglass发布的对3000多名IT专业人士的《Threats Below the Surface》报告中也显示：
| IaaS和SaaS安全分别被33%和31%的受访者列为首要投资重点。 |
公有云的云安全服务受到重视，这对AWS、Azure和阿里云这样全方位的云服务提供商也是个好消息。但是，这样的结论在多数企业用户印象中，却与“私有云比公有云安全”的惯性思维恰恰相反。
私有云数据在防火墙内，客户对数据似乎有着绝对的所有权和控制权，但这并不意味着数据更安全。
对于重要的数据隐私性方面，目前主流公有云提供商都引入第三方硬件加密机(HSM)，密钥交与用户，一定程度上消除了数据隐忧。
而在信息安全事件面前，由于目前主流的大型公有云企业自身可能就是超级大用户，他们的应用遭受安全攻击更多，更集中，安全人员的分类也更广更细，在安全“魔高一尺道高一丈”的攻防对峙中，最好的战场总是锻炼出最好的士兵。
对于多数用户，公有云正在成为一个更专业更集中的安全避风港。
2. 内外网隔离也非世外桃源
那么私有云当中可能出现的极端情况——内外网隔离，是不是会更安全呢?
可为什么这次WannaCry勒索病毒事件中还是有公安网、政务网依然中招?其实，早在2010年伊朗首座核电站——布什尔核电站就遭受过蠕虫病毒“震网”的袭击，从而导致故障频发，关键设备损毁。这样的机要部门内外网隔离是必要手段，但事后分析发现，“震网”原来是通过U盘在局域网内部进行传播的。
实际上，就算是安全最严格的物理隔离，内外网之间的通信在实际操作中也不可避免，只不过是通过指定端口，最常见的是通过USB来完成通信过程。而WannaCry勒索病毒也属于蠕虫病毒，它的可怕性就在于无孔不入，任何漏洞和端口都会成为入侵入口。
此外，此次WannaCry的受害者包括加油站、机场、医院等实体经济行业时，不得不承认万物互联的IoT时代已经悄然到来，内外网隔离的手段也会“因噎废食”，在越来越多的场景下无法实施。
3. 公有云的价值
WannaCry的第一波攻击似乎渐渐平息，但此类攻击“一波未平一波又起”将呈常态化，企业在享受互联网+红利的同时，必然要有面临更多风险的心理准备。