(網經社訊)阿里云發(fā)現的核彈級漏洞，第一反應報給了國外。過了半個月，工信部看新聞才知道......
12月22日，工業(yè)和信息化部網絡安全管理局通報稱，阿里云公司發(fā)現阿帕奇（Apache）Log4j2組件嚴重安全漏洞隱患后，未及時向電信主管部門報告，未有效支撐工信部開展網絡安全威脅和漏洞管理。
經研究，現暫停阿里云公司作為上述合作單位6個月。暫停期滿后，根據阿里云公司整改情況，研究恢復其上述合作單位。
簡單來說，阿里云技術非常好，率先發(fā)現了個核彈級的Log4j2漏洞，并且第一時間上報到國外Apache。
美國確實有有數千枚核彈，但不一定有數千個這樣的漏洞！
而我們國家，要通過公開新聞，才知道上述漏洞。而那時候，距離阿里云首次發(fā)現漏洞，已過去了15天。
阿里云發(fā)現了個核彈
11月24日，阿里云安全團隊，向Apache報告了Apache Log4j2遠程代碼執(zhí)行（RCE)漏洞。
一時間，這個高危漏洞，引發(fā)全球網絡安全震蕩！
美國國家安全局、德國電信CERT、中國國家互聯網應急中心（CERT/CC）等，多國安全機構，相繼發(fā)出警告。
目前，包括蘋果、亞馬遜、特斯拉、谷歌、百度、騰訊、網易、京東、Twitter、 Steam等平臺服務器，都證實了，有被攻擊的風險。
已經有網友證實，更改iPhone名稱，就可以觸發(fā)漏洞。。。
有關報道顯示，黑客在72小時內利用Log4j2漏洞，向全球發(fā)起了超過84萬次的攻擊。
利用這個漏洞，攻擊者幾乎可以獲得無限的權利。
比如他們可以提取敏感數據、將文件上傳到服務器、刪除數據、安裝勒索軟件、或進一步散播到其它服務器。
有業(yè)內人士戲稱，這個漏洞可以參選：“計算機歷史上最大的漏洞”。
為什么阿里云先報告給國外？
卻遺忘了，上報給工信部？
根據工信部這次重錘阿里云的通報，有兩個重點：
1、并沒有禁止阿里云，向產品供應方Apache通報漏洞。
2、對阿里云未及時向電信主管部門報告。
工信部在意的是太遲報告了！阿里云報告給了apache，反饋給開源社區(qū)沒問題，但是只反饋給開源社區(qū)那問題就大了。
網絡安全漏洞，打的就是時間差。我們順下時間，大家知道問題有多嚴重。
11月24日，阿里云安全團隊發(fā)現漏洞，報告給了Apache。
12月7日，Apache官方發(fā)布了安全補丁，可并沒有多大作用。
12月9日，漏洞已經“完全武器化”，網絡上出現大量利用漏洞的攻擊行為。
到了這時候，工信部才知道，立即組織有關網絡安全專業(yè)機構開展漏洞風險分析，召集阿里云、網絡安全企業(yè)、網絡安全專業(yè)機構等開展研判，通報督促阿帕奇軟件基金會及時修補該漏洞，向行業(yè)單位進行風險預警。
直到12月10日凌晨，斗魚、京東、網易等企業(yè)才相繼發(fā)出了公告。
中間足足17天時間，我們的某些科研院所，或者核心位置，是否一直暴露在危險范圍內呢？
這17天，如果利用漏洞發(fā)起攻擊，影響的范圍將堪比2017年“永恒之藍”病毒。
當年的WannaCry勒索病毒，致使美國、英國、俄羅斯、中國等至少150個國家，30萬名用戶中招。
有心人，完全可以利用這個公布漏洞的時間差，來做很多以前做不到，或難以做到的事，后果不堪設想。
作為阿里云，有沒有責任？
阿里云
讓人失望的合作方
阿里云和國家信安部是合作方，乙方發(fā)現了個漏洞，可能會危害甲方，第一時間提醒下甲方，這要求不過份吧？
而這次，阿里云似乎忘了。
要知道，這不單是工程倫理問題，也是個國家安全問題。
根據工業(yè)和信息化部 、網信辦、公安部《關于印發(fā)網絡產品安全漏洞管理規(guī)定的通知》，明確規(guī)定。
關于漏洞的規(guī)定是：應立即通知產品提供者，應當在2日內向工業(yè)和信息化部網絡安全威脅和漏洞信息共享平臺報送相關漏洞信息。
也就是說，發(fā)現漏洞，你當然可以通知Apache，但同時也應該要通報給工信部。
成年人能不做選擇，兩個都上報啊，中間完全沒有難度。
但阿里這次半個月都不上報，漏洞還得工信部自己看新聞發(fā)現，也難怪工信部，重錘處罰阿里云了。
阿里巴巴美股股價，盤前跳水，跌約3.81%。
海外擴張中的阿里云
阿里2021投資者日上，董事會主席兼首席執(zhí)行官張勇表示，海外市場潛力巨大，海外業(yè)務增長迅速，并將其確定為阿里未來幾年的主要增長動力之一。
張勇認為，全球市場的拓展離不開數字基礎設施建設，阿里云在海外市場的產業(yè)數字化探索、螞蟻在海外支付的多年投入，這些都將長期支持未來全球化戰(zhàn)略的發(fā)展。
阿里云智能總裁張建鋒表示：阿里云正在加速拓展海外市場，東南亞市場的營收增長超60%。
張建鋒透露：我們的服務團隊、解決方案團隊在逐漸實現本地化，這是我們在國際化過程中非常重要的一步。
這阿里云通報漏洞，或許也應該是本地化的一部分吧？
據公開數據，阿里云在馬來西亞、新加坡、印尼、菲律賓、日本、德國、迪拜、美國等25個地域建立了數百座云數據中心，付費客戶數量超過400萬。
阿里的第二個新引擎
根據阿里發(fā)布財報顯示，2021財年，阿里云營收達601.2億元，比上一財年400億元收入大幅增長50%。
對比歷史數據，2015財年，阿里巴巴首次披露云計算營收，當年阿里云全年收入為12.71億元，到2021財年營收601.2億元，7年間增長46倍。
其中，阿里云深耕政企服務市場，政企行業(yè)收入占比持續(xù)上升。
據IDC數據，阿里云在工業(yè)云市場、數字政府市場、金融云市場均排名市場第一。
此前 Canalys 發(fā)布中國云計算市場 2021 年第三季度報告顯示，阿里云、華為云、騰訊云和百度智能云依舊占據市場第一梯隊，其中阿里云市場份額排名第一。
一鯨落，萬物生。
而顯然，此次被工信部暫停信息共享平臺合作，顯然會對阿里云的營收和市場份額，造成一定的影響。
我們無法知道阿里云怎么想的，但是他至少可以看看他怎么做的。雖然截稿前，月月鳥還沒看到，阿里云的回應。
犯錯要認罰，認罰要誠懇。
云服務，看來注定是個分散的市場，需要隨時有隨時替補的廠商?；ヂ摼W野蠻生長的終點近在眼前。一鯨落，萬物生。
華為云、騰訊云、電信都是有力的候選，云市場的競爭將不斷升級。
