(網(wǎng)經(jīng)社訊)阿里云發(fā)現(xiàn)的核彈級(jí)漏洞，第一反應(yīng)報(bào)給了國(guó)外。過(guò)了半個(gè)月，工信部看新聞才知道......
12月22日，工業(yè)和信息化部網(wǎng)絡(luò)安全管理局通報(bào)稱(chēng)，阿里云公司發(fā)現(xiàn)阿帕奇（Apache）Log4j2組件嚴(yán)重安全漏洞隱患后，未及時(shí)向電信主管部門(mén)報(bào)告，未有效支撐工信部開(kāi)展網(wǎng)絡(luò)安全威脅和漏洞管理。
經(jīng)研究，現(xiàn)暫停阿里云公司作為上述合作單位6個(gè)月。暫停期滿后，根據(jù)阿里云公司整改情況，研究恢復(fù)其上述合作單位。
簡(jiǎn)單來(lái)說(shuō)，阿里云技術(shù)非常好，率先發(fā)現(xiàn)了個(gè)核彈級(jí)的Log4j2漏洞，并且第一時(shí)間上報(bào)到國(guó)外Apache。
美國(guó)確實(shí)有有數(shù)千枚核彈，但不一定有數(shù)千個(gè)這樣的漏洞！
而我們國(guó)家，要通過(guò)公開(kāi)新聞，才知道上述漏洞。而那時(shí)候，距離阿里云首次發(fā)現(xiàn)漏洞，已過(guò)去了15天。
阿里云發(fā)現(xiàn)了個(gè)核彈
11月24日，阿里云安全團(tuán)隊(duì)，向Apache報(bào)告了Apache Log4j2遠(yuǎn)程代碼執(zhí)行（RCE)漏洞。
一時(shí)間，這個(gè)高危漏洞，引發(fā)全球網(wǎng)絡(luò)安全震蕩！
美國(guó)國(guó)家安全局、德國(guó)電信CERT、中國(guó)國(guó)家互聯(lián)網(wǎng)應(yīng)急中心（CERT/CC）等，多國(guó)安全機(jī)構(gòu)，相繼發(fā)出警告。
目前，包括蘋(píng)果、亞馬遜、特斯拉、谷歌、百度、騰訊、網(wǎng)易、京東、Twitter、 Steam等平臺(tái)服務(wù)器，都證實(shí)了，有被攻擊的風(fēng)險(xiǎn)。
已經(jīng)有網(wǎng)友證實(shí)，更改iPhone名稱(chēng)，就可以觸發(fā)漏洞。。。
有關(guān)報(bào)道顯示，黑客在72小時(shí)內(nèi)利用Log4j2漏洞，向全球發(fā)起了超過(guò)84萬(wàn)次的攻擊。
利用這個(gè)漏洞，攻擊者幾乎可以獲得無(wú)限的權(quán)利。
比如他們可以提取敏感數(shù)據(jù)、將文件上傳到服務(wù)器、刪除數(shù)據(jù)、安裝勒索軟件、或進(jìn)一步散播到其它服務(wù)器。
有業(yè)內(nèi)人士戲稱(chēng)，這個(gè)漏洞可以參選：“計(jì)算機(jī)歷史上最大的漏洞”。
為什么阿里云先報(bào)告給國(guó)外？
卻遺忘了，上報(bào)給工信部？
根據(jù)工信部這次重錘阿里云的通報(bào)，有兩個(gè)重點(diǎn)：
1、并沒(méi)有禁止阿里云，向產(chǎn)品供應(yīng)方Apache通報(bào)漏洞。
2、對(duì)阿里云未及時(shí)向電信主管部門(mén)報(bào)告。
工信部在意的是太遲報(bào)告了！阿里云報(bào)告給了apache，反饋給開(kāi)源社區(qū)沒(méi)問(wèn)題，但是只反饋給開(kāi)源社區(qū)那問(wèn)題就大了。
網(wǎng)絡(luò)安全漏洞，打的就是時(shí)間差。我們順下時(shí)間，大家知道問(wèn)題有多嚴(yán)重。
11月24日，阿里云安全團(tuán)隊(duì)發(fā)現(xiàn)漏洞，報(bào)告給了Apache。
12月7日，Apache官方發(fā)布了安全補(bǔ)丁，可并沒(méi)有多大作用。
12月9日，漏洞已經(jīng)“完全武器化”，網(wǎng)絡(luò)上出現(xiàn)大量利用漏洞的攻擊行為。
到了這時(shí)候，工信部才知道，立即組織有關(guān)網(wǎng)絡(luò)安全專(zhuān)業(yè)機(jī)構(gòu)開(kāi)展漏洞風(fēng)險(xiǎn)分析，召集阿里云、網(wǎng)絡(luò)安全企業(yè)、網(wǎng)絡(luò)安全專(zhuān)業(yè)機(jī)構(gòu)等開(kāi)展研判，通報(bào)督促阿帕奇軟件基金會(huì)及時(shí)修補(bǔ)該漏洞，向行業(yè)單位進(jìn)行風(fēng)險(xiǎn)預(yù)警。
直到12月10日凌晨，斗魚(yú)、京東、網(wǎng)易等企業(yè)才相繼發(fā)出了公告。
中間足足17天時(shí)間，我們的某些科研院所，或者核心位置，是否一直暴露在危險(xiǎn)范圍內(nèi)呢？
這17天，如果利用漏洞發(fā)起攻擊，影響的范圍將堪比2017年“永恒之藍(lán)”病毒。
當(dāng)年的WannaCry勒索病毒，致使美國(guó)、英國(guó)、俄羅斯、中國(guó)等至少150個(gè)國(guó)家，30萬(wàn)名用戶中招。
有心人，完全可以利用這個(gè)公布漏洞的時(shí)間差，來(lái)做很多以前做不到，或難以做到的事，后果不堪設(shè)想。
作為阿里云，有沒(méi)有責(zé)任？
阿里云
讓人失望的合作方
阿里云和國(guó)家信安部是合作方，乙方發(fā)現(xiàn)了個(gè)漏洞，可能會(huì)危害甲方，第一時(shí)間提醒下甲方，這要求不過(guò)份吧？
而這次，阿里云似乎忘了。
要知道，這不單是工程倫理問(wèn)題，也是個(gè)國(guó)家安全問(wèn)題。
根據(jù)工業(yè)和信息化部 、網(wǎng)信辦、公安部《關(guān)于印發(fā)網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定的通知》，明確規(guī)定。
關(guān)于漏洞的規(guī)定是：應(yīng)立即通知產(chǎn)品提供者，應(yīng)當(dāng)在2日內(nèi)向工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)報(bào)送相關(guān)漏洞信息。
也就是說(shuō)，發(fā)現(xiàn)漏洞，你當(dāng)然可以通知Apache，但同時(shí)也應(yīng)該要通報(bào)給工信部。
成年人能不做選擇，兩個(gè)都上報(bào)啊，中間完全沒(méi)有難度。
但阿里這次半個(gè)月都不上報(bào)，漏洞還得工信部自己看新聞發(fā)現(xiàn)，也難怪工信部，重錘處罰阿里云了。
阿里巴巴美股股價(jià)，盤(pán)前跳水，跌約3.81%。
海外擴(kuò)張中的阿里云
阿里2021投資者日上，董事會(huì)主席兼首席執(zhí)行官張勇表示，海外市場(chǎng)潛力巨大，海外業(yè)務(wù)增長(zhǎng)迅速，并將其確定為阿里未來(lái)幾年的主要增長(zhǎng)動(dòng)力之一。
張勇認(rèn)為，全球市場(chǎng)的拓展離不開(kāi)數(shù)字基礎(chǔ)設(shè)施建設(shè)，阿里云在海外市場(chǎng)的產(chǎn)業(yè)數(shù)字化探索、螞蟻在海外支付的多年投入，這些都將長(zhǎng)期支持未來(lái)全球化戰(zhàn)略的發(fā)展。
阿里云智能總裁張建鋒表示：阿里云正在加速拓展海外市場(chǎng)，東南亞市場(chǎng)的營(yíng)收增長(zhǎng)超60%。
張建鋒透露：我們的服務(wù)團(tuán)隊(duì)、解決方案團(tuán)隊(duì)在逐漸實(shí)現(xiàn)本地化，這是我們?cè)?a href="http://www.99poke.cn/zt/world/" target="_blank">國(guó)際化過(guò)程中非常重要的一步。
這阿里云通報(bào)漏洞，或許也應(yīng)該是本地化的一部分吧？
據(jù)公開(kāi)數(shù)據(jù)，阿里云在馬來(lái)西亞、新加坡、印尼、菲律賓、日本、德國(guó)、迪拜、美國(guó)等25個(gè)地域建立了數(shù)百座云數(shù)據(jù)中心，付費(fèi)客戶數(shù)量超過(guò)400萬(wàn)。
阿里的第二個(gè)新引擎
根據(jù)阿里發(fā)布財(cái)報(bào)顯示，2021財(cái)年，阿里云營(yíng)收達(dá)601.2億元，比上一財(cái)年400億元收入大幅增長(zhǎng)50%。
對(duì)比歷史數(shù)據(jù)，2015財(cái)年，阿里巴巴首次披露云計(jì)算營(yíng)收，當(dāng)年阿里云全年收入為12.71億元，到2021財(cái)年?duì)I收601.2億元，7年間增長(zhǎng)46倍。
其中，阿里云深耕政企服務(wù)市場(chǎng)，政企行業(yè)收入占比持續(xù)上升。
據(jù)IDC數(shù)據(jù)，阿里云在工業(yè)云市場(chǎng)、數(shù)字政府市場(chǎng)、金融云市場(chǎng)均排名市場(chǎng)第一。
此前 Canalys 發(fā)布中國(guó)云計(jì)算市場(chǎng) 2021 年第三季度報(bào)告顯示，阿里云、華為云、騰訊云和百度智能云依舊占據(jù)市場(chǎng)第一梯隊(duì)，其中阿里云市場(chǎng)份額排名第一。
一鯨落，萬(wàn)物生。
而顯然，此次被工信部暫停信息共享平臺(tái)合作，顯然會(huì)對(duì)阿里云的營(yíng)收和市場(chǎng)份額，造成一定的影響。
我們無(wú)法知道阿里云怎么想的，但是他至少可以看看他怎么做的。雖然截稿前，月月鳥(niǎo)還沒(méi)看到，阿里云的回應(yīng)。
犯錯(cuò)要認(rèn)罰，認(rèn)罰要誠(chéng)懇。
云服務(wù)，看來(lái)注定是個(gè)分散的市場(chǎng)，需要隨時(shí)有隨時(shí)替補(bǔ)的廠商。互聯(lián)網(wǎng)野蠻生長(zhǎng)的終點(diǎn)近在眼前。一鯨落，萬(wàn)物生。
華為云、騰訊云、電信都是有力的候選，云市場(chǎng)的競(jìng)爭(zhēng)將不斷升級(jí)。
