来源: 最后更新:23-08-25 06:01:26
工信部明文规定,不知道阿里云是忽略了还是无视掉了,在发现重大漏洞后未按照明确要求上报给上级主管部门,直接报给了外国开源组织基金会,就没有然后了,半个月后,行业组织公布了安全报告,我们的主管部门才知道,漏洞危机下,全国裸奔2周。
最终,阿里云被管理部门重罚,暂停网络安全威胁信息共享平台合作单位6个月。
今天和大家聊一下,这个事到底咋回事?是什么性质?对阿里云会产生什么影响。
如果是从事网络安全相关的工作,一定在知道前段时间爆出的一个重大漏洞,阿帕奇(Apache)Log4j2组件安全漏洞,因为它的使用范围太大了,漏洞被利用的后果也非常严重。
然而,真正的问题在于,这个漏洞是阿里云的一名安全工程师发现的。但阿里云直接将漏洞上报给了行业组织,应不应该上报?应该。
但是,先不说你未按流程上报,你至少也得和主管部门通个气吧?作为共享平台合作单位,也应该及时上报给国家的网络安全威胁和漏洞信息共享平台,何况主管部门有明文规定,今年9月1日才开始实施的新政策。
要不然,我们国家建设这个平台干嘛?阿里云作为合作单位,明明最早发现,却不说,这相当于是对兄弟们的背刺,因为漏洞有除阿里云之外的其他人得知了。也就是说,在漏洞被修复前,很可能被其他人利用,况且还是个外国组织。那么同作为共享平台合作单位的兄弟们裸奔了两周,你至少告知一下嘛。
阿里云作为中国网络安全威胁信息共享平台合作单位,而且是重量级的,又是国内遥遥领先的云公司,说它不知道有这个规定,我想是不可能的,但是却直接无视掉了。
什么性质呢?往小了说是阿里云员工疏忽了。往大了说,就是公司不重视上级管理部门的规定,同时也是阿里云内部的管理问题,并非技术问题。反而,技术团队能首先发现严重漏洞,恰恰证明研发能力强。
上级管理部门的处罚内容中,点名批评了直接向国外CVE报送的Log4j2漏洞的那个安全专家,却没有对安全研发人员做任何点名和批评,就可以看出来问题在哪。
阿里云的漏洞管理流程和上报机制是存在问题的,我并不清楚其内部的具体规定,但是,阿里云这么大的企业,应该是有相应评价体系的,也许就是发现的漏洞获得某些组织的确认,便可以获得某些激励。
这叫什么?不重视,不当回事。
对于阿里来说,这次的处罚还是会造成一定影响的。首要的就是客户或者是意向客户的流失,当前的云市场竞争已经非常激烈,阿里云虽然遥遥领先,但是华为云、腾讯云等其他云公司也在迅速增长。况且,当前正处于逐步加强信息安全的敏感时期,国资云逐步成立。
阿里云被上级主管部门公开处罚,点名批评。一定会影响客户的采购决策。
不过,因为这次漏洞影响范围巨大,阿里云也是被当作典型被通报了,刚刚实施了新政策,就往枪口上撞,正好也整顿一下国内网络安全方面的相关意识和流程。
标签: [db:关键词]
上海市民狂打12345:退票!雨把路都淹了,现场更崩溃…主办方却说→
两名中企高管惨遭撕票,菲律宾的治安越发令人担忧了
“本台报道本台被淹”,平江县融媒体中心已转到酒店办公,办公大楼内水已退去
“楼梯间门市”十余年产权之争结果出炉:不动产权登记中心注销违法,已恢复女子门市产权
2023第二季度天津津南区公租房登记公告
新加坡前外长杨荣文:美国想按自身形象改变中国完全不现实
中国十大美好城市有(中国十大美好城市有哪几个)
刘和平:上合组织正面临前所未有的大变局与大挑战
“月加班120小时到手4800元,时薪只有16元”!汽车大厂员工吐槽被迫卷工时
“大公司楼盘烂尾5年”!陕西一开发商未批先建,13次专题会督促未果!回应→
“大公司楼盘烂尾5年”!陕西一开发商未批先建,13次专题会督促未果!回应→
怎样做到节能减排(如何做到节能减排)节能减排调查报告(怎样做到节能减排)1 10:27智研瞻产业研究院 【报
“快讯!外媒:欧尔班抵达基辅,系其自俄乌冲突爆发以来首次访乌 2024年1月常州普通话证书邮寄查询系统在哪里? 罐车运输乱象调查:卸完煤制油直接装运食用大豆油 wap开发详细解释(wap开发详细解释是什么)