我有一些金融服务行业的客户，他们坚持认为托管在亚马逊等公共云上的 SaaS 不如托管在私有数据中心的 SaaS 安全。但是，我找不到这些安全缺陷的具体细节。我只能想到两个区别：
- 机器的物理访问和安全。
- 思科等公司的安全硬件（数据包检查、入侵检测）
对于 (1) AWS 已通过审核，以确保硬件的物理安全性。我可以加密所有静态数据（硬盘和数据库）以及内部网络（VPC）上的所有数据。
对于 (2) Cisco 和 Barracuda 提供在 AWS 中运行的虚拟安全设备。我可以在 Web 服务器前面的一层中运行它们。
银行是否可以在自己的数据中心使用某些安全功能，而我无法在 AWS 上复制这些功能？
谢谢。
答案1
这可能不是一个安全技术问题，而是一个全面控制以及监管要求和合规性的（解释）问题。
这1934年证券交易法（经修订）包含规则17a-3和17a-4涉及电子记录备份和归档。金融业监管局还制定了有关第三方提供商的规则，这些规则基本上规定金融服务提供商不能免除自己的合规义务，而将其推给第三方提供商。
因此，基本上，如果亚马逊（暂时）失去（访问）其数据，金融机构仍将承担全部责任，不能躲在亚马逊及其 SLA 后面。在这方面，自己做并保持 100% 的控制对于金融机构受监管的业务来说更为重要。
或多或少是计划外的重启亚马逊或者例如Rackspace按照他们的时间表而不是你自己的时间表，可能会被视为相当大的风险
一个技术问题是，金融机构使用的许多核心应用程序都是经典应用程序、大型单片数据库和需要低延迟的大量交易的应用程序，这些应用程序根本无法适应成功的云应用程序所需的模式。
亚马逊的服务条款或者不像一些云提供商那么“糟糕”，但他们只提供采取合理、适当的措施，帮助您保护您的内容免遭意外或非法丢失、访问或泄露以及许多人青睐的惯常免责声明：“不作任何形式的陈述或保证” 应该期待...
答案2
就在最近，亚马逊不得不重新启动部分基础设施（他们说的是不到 10％）：http://aws.amazon.com/blogs/aws/ec2-maintenance-update/) 因安全漏洞而停止。
当时详细信息未知，因为它们处于禁运状态。
现在很明显，这个 Xen 漏洞是导致此次事件的原因：http://xenbits.xen.org/xsa/advisory-108.html
引用：
存在缺陷或恶意的 HVM 客户机可能会导致主机崩溃或者读取
与其他客户机或虚拟机管理程序本身相关的数据。
作为客户，您无法控制实例在何处运行（例如：谁是您的“邻居”）。
运行自己的数据中心或租用自己的私有云的银行可以完全排除这样的妥协。
显然，攻击者很难利用这一点。
即使攻击者掌握了这种未知漏洞，针对单个站点也几乎是不可能的。
如果因为这个原因而避免使用公共云，那么该机构是否有意义，很大程度上取决于他们自己的风险评估。
答案3
只要你有物理访问某台机器的权限，你就可以随时入侵它。
如果亚马逊拥有这种访问权限，那么与在自己的堡垒（我的意思是数据中心）中拥有自己的服务器相比，你被黑客入侵的几率就更大了。
他们仍然需要解密您的数据，但他们可以制作快照并离线进行解密（并且他们有一个巨大的数据中心等待某些任务），并且在 5 年内他们会知道您最大的客户，他有多少钱，他在您的银行服务上花了多少钱，等等。
这不是亚马逊一家的问题。其他公司，例如微软，在都柏林附近建造了一个巨大的数据中心，完全是在荒无人烟的地方，但就在同样大小的“面包工厂”旁边。他们只是在那里烤面包，这是真的！;)