(網(wǎng)經(jīng)社訊)阿里云發(fā)現(xiàn)的核彈級漏洞，第一反應(yīng)報(bào)給了國外。過了半個(gè)月，工信部看新聞才知道......
12月22日，工業(yè)和信息化部網(wǎng)絡(luò)安全管理局通報(bào)稱，阿里云公司發(fā)現(xiàn)阿帕奇（Apache）Log4j2組件嚴(yán)重安全漏洞隱患后，未及時(shí)向電信主管部門報(bào)告，未有效支撐工信部開展網(wǎng)絡(luò)安全威脅和漏洞管理。
經(jīng)研究，現(xiàn)暫停阿里云公司作為上述合作單位6個(gè)月。暫停期滿后，根據(jù)阿里云公司整改情況，研究恢復(fù)其上述合作單位。
簡單來說，阿里云技術(shù)非常好，率先發(fā)現(xiàn)了個(gè)核彈級的Log4j2漏洞，并且第一時(shí)間上報(bào)到國外Apache。
美國確實(shí)有有數(shù)千枚核彈，但不一定有數(shù)千個(gè)這樣的漏洞！
而我們國家，要通過公開新聞，才知道上述漏洞。而那時(shí)候，距離阿里云首次發(fā)現(xiàn)漏洞，已過去了15天。
阿里云發(fā)現(xiàn)了個(gè)核彈
11月24日，阿里云安全團(tuán)隊(duì)，向Apache報(bào)告了Apache Log4j2遠(yuǎn)程代碼執(zhí)行（RCE)漏洞。
一時(shí)間，這個(gè)高危漏洞，引發(fā)全球網(wǎng)絡(luò)安全震蕩！
美國國家安全局、德國電信CERT、中國國家互聯(lián)網(wǎng)應(yīng)急中心（CERT/CC）等，多國安全機(jī)構(gòu)，相繼發(fā)出警告。
目前，包括蘋果、亞馬遜、特斯拉、谷歌、百度、騰訊、網(wǎng)易、京東、Twitter、 Steam等平臺服務(wù)器，都證實(shí)了，有被攻擊的風(fēng)險(xiǎn)。
已經(jīng)有網(wǎng)友證實(shí)，更改iPhone名稱，就可以觸發(fā)漏洞。。。
有關(guān)報(bào)道顯示，黑客在72小時(shí)內(nèi)利用Log4j2漏洞，向全球發(fā)起了超過84萬次的攻擊。
利用這個(gè)漏洞，攻擊者幾乎可以獲得無限的權(quán)利。
比如他們可以提取敏感數(shù)據(jù)、將文件上傳到服務(wù)器、刪除數(shù)據(jù)、安裝勒索軟件、或進(jìn)一步散播到其它服務(wù)器。
有業(yè)內(nèi)人士戲稱，這個(gè)漏洞可以參選：“計(jì)算機(jī)歷史上最大的漏洞”。
為什么阿里云先報(bào)告給國外？
卻遺忘了，上報(bào)給工信部？
根據(jù)工信部這次重錘阿里云的通報(bào)，有兩個(gè)重點(diǎn)：
1、并沒有禁止阿里云，向產(chǎn)品供應(yīng)方Apache通報(bào)漏洞。
2、對阿里云未及時(shí)向電信主管部門報(bào)告。
工信部在意的是太遲報(bào)告了！阿里云報(bào)告給了apache，反饋給開源社區(qū)沒問題，但是只反饋給開源社區(qū)那問題就大了。
網(wǎng)絡(luò)安全漏洞，打的就是時(shí)間差。我們順下時(shí)間，大家知道問題有多嚴(yán)重。
11月24日，阿里云安全團(tuán)隊(duì)發(fā)現(xiàn)漏洞，報(bào)告給了Apache。
12月7日，Apache官方發(fā)布了安全補(bǔ)丁，可并沒有多大作用。
12月9日，漏洞已經(jīng)“完全武器化”，網(wǎng)絡(luò)上出現(xiàn)大量利用漏洞的攻擊行為。
到了這時(shí)候，工信部才知道，立即組織有關(guān)網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)開展漏洞風(fēng)險(xiǎn)分析，召集阿里云、網(wǎng)絡(luò)安全企業(yè)、網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)等開展研判，通報(bào)督促阿帕奇軟件基金會及時(shí)修補(bǔ)該漏洞，向行業(yè)單位進(jìn)行風(fēng)險(xiǎn)預(yù)警。
直到12月10日凌晨，斗魚、京東、網(wǎng)易等企業(yè)才相繼發(fā)出了公告。
中間足足17天時(shí)間，我們的某些科研院所，或者核心位置，是否一直暴露在危險(xiǎn)范圍內(nèi)呢？
這17天，如果利用漏洞發(fā)起攻擊，影響的范圍將堪比2017年“永恒之藍(lán)”病毒。
當(dāng)年的WannaCry勒索病毒，致使美國、英國、俄羅斯、中國等至少150個(gè)國家，30萬名用戶中招。
有心人，完全可以利用這個(gè)公布漏洞的時(shí)間差，來做很多以前做不到，或難以做到的事，后果不堪設(shè)想。
作為阿里云，有沒有責(zé)任？
阿里云
讓人失望的合作方
阿里云和國家信安部是合作方，乙方發(fā)現(xiàn)了個(gè)漏洞，可能會危害甲方，第一時(shí)間提醒下甲方，這要求不過份吧？
而這次，阿里云似乎忘了。
要知道，這不單是工程倫理問題，也是個(gè)國家安全問題。
根據(jù)工業(yè)和信息化部 、網(wǎng)信辦、公安部《關(guān)于印發(fā)網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定的通知》，明確規(guī)定。
關(guān)于漏洞的規(guī)定是：應(yīng)立即通知產(chǎn)品提供者，應(yīng)當(dāng)在2日內(nèi)向工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺報(bào)送相關(guān)漏洞信息。
也就是說，發(fā)現(xiàn)漏洞，你當(dāng)然可以通知Apache，但同時(shí)也應(yīng)該要通報(bào)給工信部。
成年人能不做選擇，兩個(gè)都上報(bào)啊，中間完全沒有難度。
但阿里這次半個(gè)月都不上報(bào)，漏洞還得工信部自己看新聞發(fā)現(xiàn)，也難怪工信部，重錘處罰阿里云了。
阿里巴巴美股股價(jià)，盤前跳水，跌約3.81%。
海外擴(kuò)張中的阿里云
阿里2021投資者日上，董事會主席兼首席執(zhí)行官張勇表示，海外市場潛力巨大，海外業(yè)務(wù)增長迅速，并將其確定為阿里未來幾年的主要增長動(dòng)力之一。
張勇認(rèn)為，全球市場的拓展離不開數(shù)字基礎(chǔ)設(shè)施建設(shè)，阿里云在海外市場的產(chǎn)業(yè)數(shù)字化探索、螞蟻在海外支付的多年投入，這些都將長期支持未來全球化戰(zhàn)略的發(fā)展。
阿里云智能總裁張建鋒表示：阿里云正在加速拓展海外市場，東南亞市場的營收增長超60%。
張建鋒透露：我們的服務(wù)團(tuán)隊(duì)、解決方案團(tuán)隊(duì)在逐漸實(shí)現(xiàn)本地化，這是我們在國際化過程中非常重要的一步。
這阿里云通報(bào)漏洞，或許也應(yīng)該是本地化的一部分吧？
據(jù)公開數(shù)據(jù)，阿里云在馬來西亞、新加坡、印尼、菲律賓、日本、德國、迪拜、美國等25個(gè)地域建立了數(shù)百座云數(shù)據(jù)中心，付費(fèi)客戶數(shù)量超過400萬。
阿里的第二個(gè)新引擎
根據(jù)阿里發(fā)布財(cái)報(bào)顯示，2021財(cái)年，阿里云營收達(dá)601.2億元，比上一財(cái)年400億元收入大幅增長50%。
對比歷史數(shù)據(jù)，2015財(cái)年，阿里巴巴首次披露云計(jì)算營收，當(dāng)年阿里云全年收入為12.71億元，到2021財(cái)年?duì)I收601.2億元，7年間增長46倍。
其中，阿里云深耕政企服務(wù)市場，政企行業(yè)收入占比持續(xù)上升。
據(jù)IDC數(shù)據(jù)，阿里云在工業(yè)云市場、數(shù)字政府市場、金融云市場均排名市場第一。
此前 Canalys 發(fā)布中國云計(jì)算市場 2021 年第三季度報(bào)告顯示，阿里云、華為云、騰訊云和百度智能云依舊占據(jù)市場第一梯隊(duì)，其中阿里云市場份額排名第一。
一鯨落，萬物生。
而顯然，此次被工信部暫停信息共享平臺合作，顯然會對阿里云的營收和市場份額，造成一定的影響。
我們無法知道阿里云怎么想的，但是他至少可以看看他怎么做的。雖然截稿前，月月鳥還沒看到，阿里云的回應(yīng)。
犯錯(cuò)要認(rèn)罰，認(rèn)罰要誠懇。
云服務(wù)，看來注定是個(gè)分散的市場，需要隨時(shí)有隨時(shí)替補(bǔ)的廠商?；ヂ?lián)網(wǎng)野蠻生長的終點(diǎn)近在眼前。一鯨落，萬物生。
華為云、騰訊云、電信都是有力的候選，云市場的競爭將不斷升級。
