網路安全阿帕奇

『壹』 工信部暫停阿里雲信息共享平台合作，這是為什麼

原因是相關組件存在著安全漏洞，阿里集團並未向工信部報告該問題。

事實上，雲計算確實可以為各大平台帶來更高的收益，保證平台的正常運行。可是大型公司與工信部及其他部門進行合作時，更應該秉持著誠信合作的方案。當平台出現了眾多的安全漏洞時，相關公司就應該立刻向有關部門報告此事，減少安全漏洞對整個平台造成的影響。

除此之外，阿里雲和工信部展開合作後，相關平台的安全性一直得到了網友的重視。除此之外，共享信息平台的安全性比較重要，當某個平台出現安全漏洞時，隱瞞不報只會使雙方的合作告吹，或者阻礙雙方的進一步合作。

總的來說，既然阿里集團選擇與工信部進行合作，那麼阿里集團面對信息共享平台的組件安全漏洞時，更應該進行報告。 合作本都該呈現出互利共贏，隱瞞不報只會影響雙方合作。

『貳』 中國發現網路安全漏洞有多快

9月17日，在上海舉行的2017年網路安全博覽會暨網路安全成就展上，一名觀眾在拍攝360展台的網路安全概念車，概念車通過網路安全防護系統防止聯網後被黑客控制。

「記錄未來」公司的研究結果只是最新證據，說明美國軟體漏洞的公開報告系統處於艱難掙扎狀態。美國商務部國家標准與技術研究所開展的項目--美國國家漏洞資料庫（NVD）建立並隨時更新「常見漏洞和風險暴露」（CVEs）編目，由非營利公司邁特公司維護。1999年邁特公司創建此編目時向專家提供了用各種化名代替的常見漏洞威脅的名稱。國家漏洞資料庫從2005年起還增加了機構可用於解決漏洞的內容和資源。保持網路安全更新應以此為參照標准。

給大中國點贊！

『叄』 阿里雲未及時通報重大漏洞，會造成什麼後果

阿里雲發布關於開源社區Apache log4j2漏洞情況的說明。阿里雲表示，Log4j2 是開源社區阿帕奇（Apache）旗下的開源日誌組件，被全世界企業和組織廣泛應用於各種業務系統開發。

工業和信息化部網路安全威脅和漏洞信息共享平台收到有關網路安全專業機構報告，阿帕奇Log4j2組件存在嚴重安全漏洞。工業和信息化部立即組織有關網路安全專業機構開展漏洞風險分析，召集阿里雲、網路安全企業、網路安全專業機構等開展研判，通報督促阿帕奇軟體基金會及時修補該漏洞，向行業單位進行風險預警。

2021財年（2020年4月1日至2021年3月31日跨年度），阿里雲營收達601億元，比上一財年400億元收入大幅增長50%，在阿里集團財年總營收7173億元總營收比例為8.38%。600億元總收入，超過多數上市公司年度總收入。

『肆』 阿里市值蒸發3萬億，工信部採取行動，馬雲頻繁現身想幹嘛

阿里在電商方面做得非常好，但他們在擴張的過程中，存在一系列問題，其中就有壟斷。阿里因涉嫌壟斷被處罰，阿里雲被工信部處罰，市值蒸發了3萬億。馬雲現身主要有三個目的:一個是為了發展新農業；一個是為了重振阿里；一個是為了他的事業發展。

一、馬雲認為新農業是阿里新的增長點

阿里的發展，與馬雲有密切的關系。因為馬雲是阿里的股東，阿里還與馬雲的公司，聯系密切。無論公私，馬雲都不會棄阿里不管的。大家覺得，馬雲此舉可以提升阿里的市場份額嗎？

『伍』 導致阿里雲被暫停合作的漏洞 究竟是什麼

新京報貝殼 財經 訊（記者 羅亦丹）因發現安全漏洞後的處理問題，近日阿里雲引發了一波輿論。

據媒體報道，11月24日，阿里雲安全團隊向美國開源社區Apache（阿帕奇）報告了其所開發的組件存在安全漏洞。12月22日，因發現Apache Log4j2組件嚴重安全漏洞隱患後，未及時向電信主管部門報告，阿里雲被暫停作為工信部網路安全威脅信息共享平台合作單位6個月。

12月23日，阿里雲在官方微信公號表示，其一名研發工程師發現Log4j2 組件的一個安全bug，遂按業界慣例以郵件方式向軟體開發方Apache開源社區報告這一問題請求幫助，「隨後，該漏洞被外界證實為一個全球性的重大漏洞。阿里雲因在早期未意識到該漏洞的嚴重性，未及時共享漏洞信息。」

「之前發現這樣的漏洞都是直接通知軟體開發方，這確實屬於行業慣例，但是《網路產品安全漏洞管理規定》出台後，要求漏洞要同時通報給國家主管部門。由於上述法案頒布的時間不是很長，我覺得漏洞的發現者，最開始也未必能評估到漏洞影響的范圍這么大。所以嚴格來說，這個處理不算冤，但處罰其實也沒有那麼嚴格，一不罰錢，二不影響做業務。」」某安全公司技術總監鄭陸（化名）告訴貝殼 財經 記者。

漏洞影響有多大？

那麼，如何理解Log4j2漏洞的嚴重程度呢？

安全公司奇安信將Apache Log4j2漏洞的CERT風險等級定為「高危」，奇安信描述稱，Apache Log4j 是 Apache 的一個開源項目，通過定義每一條日誌信息的級別，能夠更加細致地控制日誌生成過程，「Log4j2中存在JNDI注入漏洞，當程序將用戶輸入的數據進行日誌記錄時，即可觸發此漏洞，成功利用此漏洞可以在目標伺服器上執行任意代碼。」

安域雲防護的監測數據顯示，截至12月10日中午12點，已發現近1萬次利用該漏洞的攻擊行為。據了解，該漏洞影響范圍大，利用方式簡單，攻擊者僅需向目標輸入一段代碼，不需要用戶執行任何多餘操作即可觸發該漏洞，使攻擊者可以遠程式控制制受害者伺服器，90%以上基於java開發的應用平台都會受到影響。

「Apache Log4j RCE 漏洞之所以能夠引起安全圈的極大關注，不僅在於其易於利用，更在於它巨大的潛在危害性。當前幾乎所有的技術巨頭都在使用該開源組件，它所帶來的危害就像多米諾骨牌一樣，影響深遠。」奇安信安全專家對貝殼 財經 記者表示。

「這個漏洞嚴重性在於兩點，一是log4j作為java日誌的基礎組件使用相當廣泛，Apache和90%以上的java應用受到影響。二是這個漏洞的利用入口非常多，幾乎達到了（只要）是這個漏洞影響的范圍，只要有輸入的地方就受到影響。用戶或者攻擊者直接可以輸入的地方比如登錄用戶名、查詢信息、設備名稱等等，以及一些其他來源的被攻擊者污染的數據來源比如網上一些頁面等等。」從事多年漏洞挖掘的安全行業老兵，網友「yuange1975」在微博發文稱。

「簡而言之，該漏洞算是這幾年來最大的漏洞了。」鄭陸表示。

在「yuange1975」看來，該漏洞出來後，因為影響太廣泛，IT圈都在加班加點修補漏洞。不過，一些圈子裡發文章為了說明這個漏洞的嚴重性，又有點用了過高評價這個漏洞的詞語，「我不否認這個漏洞很嚴重，肯定是排名很靠前的漏洞，但是要說是有史以來最大的網路漏洞，就是說目前所有已經發現公布的漏洞里排第一，這顯然有點誇大了。」

「log4j漏洞發現者恐怕發現漏洞時對這個漏洞認識不足，這個應用的范圍以及漏洞觸發路徑，我相信一直到阿里雲上報完漏洞，恐怕漏洞發現者都沒完全明白這個漏洞的真正嚴重性，有可能當成了Apache下一個普通插件的一個漏洞。」yuange1975表示。

9月1日起施行新規 專家：對於維護國家網路安全具有重大意義

據了解，業界的開源條例遵循的是《負責任的安全漏洞披露流程》，這份文件將漏洞披露分為5個階段，依次是發現、通告、確認、修復和發布。發現漏洞並上報給原廠商，是業內常見的程序漏洞披露的做法。

貝殼 財經 記者觀察到，白帽黑客建立漏洞發現與收集的平台並告知企業的做法一度在圈內流行。根據《 財經 天下》的報道，把漏洞報給原廠商而不是平台方，也會有潛在的好處。包括微軟、蘋果和谷歌在內的廠商對報告漏洞的人往往會有獎勵，「最高的能給到十幾萬美元」。更重要的是名譽獎勵。幾乎每一家廠商對第一個報告漏洞的人或者集體，都會公開致謝。「對於安全研究人員而言，這種名聲也會讓他們非常在意。

不過，今年9月1日後，這一行業「常見程序」就要發生變化。

7月13日，工信部、國家網信辦、公安部印發《網路產品安全漏洞管理規定》，要求任何組織或者個人設立的網路產品安全漏洞收集平台，應當在兩日內向工業和信息化部網路安全威脅和漏洞信息共享平台報送相關漏洞信息。該規定自2021年9月1日起施行。

值得注意的是，《規定》中也有漏洞發現者需要向產品相關提供者通報的條款。如《規定》第七條第一款顯示，發現或者獲知所提供網路產品存在安全漏洞後，應當立即採取措施並組織對安全漏洞進行驗證，評估安全漏洞的危害程度和影響范圍；對屬於其上游產品或者組件存在的安全漏洞，應當立即通知相關產品提供者。第七條第七款則表示，不得將未公開的網路產品安全漏洞信息向網路產品提供者之外的境外組織或者個人提供。

奇安信集團副總裁、補天漏洞響應平台主任張卓在接受新京報貝殼 財經 記者采訪時表示，《網路產品安全漏洞管理規定》釋放了一個重要信號：我國將首次以產品視角來管理漏洞，通過對網路產品漏洞的收集、研判、追蹤、溯源，立足於供應鏈全鏈條，對網路產品進行全周期的漏洞風險跟蹤，實現對我國各行各業網路安全的有效防護。在供應鏈安全威脅日益嚴重的全球形勢下，《規定》對於維護國家網路安全，保護網路產品和重要網路系統的安全穩定運行，具有重大意義。

張卓表示，《規定》第十條指出，任何組織或者個人設立的網路產品安全漏洞收集平台，應當向工業和信息化部備案。同時在第六條中指出，鼓勵相關組織和個人向網路產品提供者通報其產品存在的安全漏洞，還「鼓勵網路產品提供者建立所提供網路產品安全漏洞獎勵機制，對發現並通報所提供網路產品安全漏洞的組織或者個人給予獎勵。」這兩條規定規范了漏洞收集平台和白帽子的行為，有利於讓白帽子在合法合規的條件下發揮更大的 社會 價值。

『陸』 阿帕奇伺服器是什麼

阿帕奇伺服器實際上是Apache

Apache源於NCSAhttpd伺服器，經過多次修改，成為世界上最流行的Web伺服器軟體之一。Apache取自「a patchy server」的讀音，意思是充滿補丁的伺服器，因為它是自由軟體，所以不斷有人來為它開發新的功能、新的特性、修改原來的缺陷。Apache的特點是簡單、速度快、性能穩定，並可做代理伺服器來使用。

本來它只用於小型或試驗Internet網路，後來逐步擴充到各種Unix系統中，尤其對Linux的支持相當完美。Apache有多種產品，可以支持SSL技術，支持多個虛擬主機。Apache是以進程為基礎的結構，進程要比線程消耗更多的系統開支，不太適合於多處理器環境，因此，在一個Apache Web站點擴容時，通常是增加伺服器或擴充群集節點而不是增加處理器。到目前為止Apache仍然是世界上用的最多的Web伺服器，市場佔有率達60%左右。世界上很多著名的網站如Amazon.com、Yahoo!、W3 Consortium、Financial Times等都是Apache的產物，它的成功之處主要在於它的源代碼開放、有一支開放的開發隊伍、支持跨平台的應用（可以運行在幾乎所有的Unix、Windows、Linux系統平台上）以及它的可移植性等方面。

Apache的誕生極富有戲劇性。當NCSA WWW伺服器項目停頓後，那些使用NCSA WWW伺服器的人們開始交換他們用於該伺服器的補丁程序，他們也很快認識到成立管理這些補丁程序的論壇是必要的。就這樣，誕生了Apache Group，後來這個團體在NCSA的基礎上創建了Apache。

Apache的主要特徵是：
可以運行上所有計算機平台；
支持最新的HTTP 1.1協議；
簡單而強有力的基於文件的配置；
支持通用網關介面CGI；
支持虛擬主機；
支持HTTP認證；
集成Perl腳本編程語言；
集成的代理伺服器；
具有可定製的伺服器日誌；
支持伺服器端包含命令（SSI）
支持安全Socket層（SSL）
用戶會話過程的跟蹤能力；
支持FastCGI；
支持Java Servlets。

http://www.apache.org/是它的官方網站，e文的

『柒』 阿里雲回應被工信部嚴懲

阿里雲回應被工信部嚴懲

阿里雲回應被工信部嚴懲，此次事件，從側面體現了計算機行業中普遍存在的意識疏漏。此次事件對行業的影響是正面的，這是一次警示、也是一次示範。阿里雲回應被工信部嚴懲。

阿里雲回應被工信部嚴懲1

12月23日晚間，阿里雲計算有限公司（以下簡稱「阿里雲」）對發現阿帕奇（Apache）Log4j2組件嚴重安全漏洞隱患後，未及時向電信主管部門報告的事件進行了回應，阿里雲表示，阿里雲因在早期未意識到該漏洞的嚴重性，未及時共享漏洞信息。阿里雲將強化漏洞報告管理、提升合規意識，積極協同各方做好網路安全風險防範工作。

阿里雲表示，近日，阿里雲一名研發工程師發現Log4j2組件的一個安全bug，遂按業界慣例以郵件方式向軟體開發方Apache開源社區報告這一問題請求幫助。Apache開源社區確認這是一個安全漏洞，並向全球發布修復補丁。隨後，該漏洞被外界證實為一個全球性的重大漏洞。Log4j2 是開源社區阿帕奇（Apache）旗下的開源日誌組件，被全世界企業和組織廣泛應用於各種業務系統開發。

此前，阿里雲因此事被罰。12月22日，工信部網路安全管理局通報稱，阿里雲是工信部網路安全威脅信息共享平台合作單位。近日，阿里雲公司發現阿帕奇（Apache）Log4j2組件嚴重安全漏洞隱患後，未及時向電信主管部門報告，未有效支撐工信部開展網路安全威脅和漏洞管理。經研究，現暫停阿里雲公司作為上述合作單位6個月。暫停期滿後，根據阿里雲公司整改情況，研究恢復其上述合作單位。

12月9日，工信部網路安全威脅和漏洞信息共享平台收到有關網路安全專業機構報告，阿帕奇Log4j2組件存在嚴重安全漏洞。工信部立即組織有關網路安全專業機構開展漏洞風險分析，召集阿里雲、網路安全企業、網路安全專業機構等開展研判，通報督促阿帕奇軟體基金會及時修補該漏洞，向行業單位進行風險預警。

該漏洞可能導致設備遠程受控，進而引發敏感信息竊取、設備服務中斷等嚴重危害，屬於高危漏洞。為降低網路安全風險，提醒有關單位和公眾密切關注阿帕奇Log4j2組件漏洞補丁發布，排查自有相關系統阿帕奇Log4j2組件使用情況，及時升級組件版本。

阿里雲在中國雲市場上占據著重要地位，此前，Canalys發布中國雲計算市場2021年第三季度報告。報告顯示，2021年第三季度中國雲計算市場整體同比增長43%，達到72億美元。阿里雲在2021年第三季度以38.3%的份額領先中國大陸市場，33.3%的年收入增長主要受互聯網、金融服務和零售行業的推動。

阿里雲回應被工信部嚴懲2

近日，有媒體報道，阿里雲發現阿帕奇Log4j2組件有安全漏洞，但未及時向電信主管部門報告，未有效支撐工信部開展網路安全威脅和漏洞管理。因此，暫停阿里雲作為上述合作單位 6 個月。

原本一個技術圈子的事情因此成為社會熱議話題。一時間網友分化為了兩個圈子——

非技術圈的人說：感覺阿里雲只報給阿帕奇這個技術社區，不上報組織，是沒把國家安全放心上。

技術圈層說：當然是誰寫的bug報給誰，阿帕奇的安全漏洞，報給阿帕奇是應該的，不能上綱上線。

23日晚間，阿里雲就log4j2漏洞發布了說明，誠懇認錯，表示要強化漏洞報告管理、提升合規意識，積極協同各方共同做好網路安全防範工作。

回顧這個非常技術的話題，有諸多事實需要釐清。

首先，阿帕奇開源社區是什麼？Log4j2組件是什麼？

阿帕奇是國際上比較有影響力的一個開源社區。官網上顯示，華為、騰訊、阿里等中國公司是這個開源社區的主要貢獻者，另外也包括谷歌、微軟等美國企業。全球的軟體工程師，在這里共建一些基礎的軟體部件，相互迭代、提高公共效率，是軟體產業的一個特有現象。

本次發現漏洞的Log4j2 就是開源社區阿帕奇旗下的開源日誌組件，很多企業都會會用這個組件來開發自己的系統。在阿里雲的工程師發現這個組件有問題的時候，就郵件詢問了阿帕奇，請社區確認這是否是一個漏洞、評估影響范圍。

而後阿帕奇確認這是一個漏洞，並通知開發者們修補這個漏洞。於是，出現了天涯共此時，一起改漏洞的局面。

但阿里雲遺漏了不久前上線的一個官方上報平台，僅僅按業界的慣例向以郵件方式向軟體開發方Apache開源社區報告這一問題請求幫助。

其次，工信部暫停阿里雲6個月合作單位資格，意味著什麼？

據工信微報——「12月9日，工業和信息化部網路安全威脅和漏洞信息共享平台收到有關網路安全專業機構報告，阿帕奇Log4j2組件存在嚴重安全漏洞。工業和信息化部立即組織有關網路安全專業機構開展漏洞風險分析，召集阿里雲、網路安全企業、網路安全專業機構等開展研判，通報督促阿帕奇軟體基金會及時修補該漏洞，向行業單位進行風險預警。」

媒體報道的暫停6個月合作單位資格，並未出現在公開渠道。據業內人士分析，這並不是一個嚴格意義上的「處罰」，否則不可能不公開通報。其次，網路安全威脅和漏洞信息共享平台是一個收集、通報網路安全漏洞的平台，暫停這個平台的合作資質並不對業務造成影響。

工信部關於Log4j2漏洞的風險提示

但此次事件，從側面體現了計算機行業中普遍存在的意識疏漏。在國內計算機行業幾十年的發展過程中，大量從業人員、組織養成了與開源社區合作的工作習慣，但對更高層面的`安全意識、合規意識，在思想上、制度上都有所不足。阿里雲的漏報行為，也是這一意識疏漏的一次具體體現。

整體而言，此次事件對行業的影響是正面的，這是一次警示、也是一次示範。阿里雲是行業領先的IT企業，這也是能夠率先發現全球重大安全漏洞的原因，而此次事件的發生，無疑將會增強計算機行業的安全合規意識，可以想見，無論是阿里雲、還是其他諸多科技企業，都將在企業和組織內部增強合規培訓和流程規范。

阿里雲回應被工信部嚴懲3

近期，工信部網路安全管理局通報稱，阿里雲計算有限公司發現阿帕奇（Apache）Log4j2組件嚴重安全漏洞隱患後，未及時向電信主管部門報告，未有效支撐工信部開展網路安全威脅和漏洞管理。

通報指出，阿里雲是工信部網路安全威脅信息共享平台合作單位。經研究，工信部網路安全管理局決定暫停阿里雲作為上述合作單位6個月。暫停期滿後，根據阿里雲整改情況，研究恢復其上述合作單位。

觀察者網日前曾對該事件做過詳細報道，11月24日，阿里雲發現這個可能是「計算機歷史上最大的漏洞」後，率先向阿帕奇軟體基金會披露了這一漏洞，但並未及時向中國工信部通報相關信息。這一漏洞的存在，可以讓網路攻擊者無需密碼就能訪問網路伺服器。

工信部通報阿帕奇Log4j2組件重大安全漏洞

阿帕奇（Apache）Log4j2組件是基於Java語言的開源日誌框架，被廣泛用於業務系統開發。近日，阿里雲計算有限公司發現阿帕奇Log4j2組件存在遠程代碼執行漏洞，並將漏洞情況告知阿帕奇軟體基金會。

該漏洞可能導致設備遠程受控，進而引發敏感信息竊取、設備服務中斷等嚴重危害，屬於高危漏洞。為降低網路安全風險，提醒有關單位和公眾密切關注阿帕奇Log4j2組件漏洞補丁發布，排查自有相關系統阿帕奇Log4j2組件使用情況，及時升級組件版本。

工業和信息化部網路安全管理局將持續組織開展漏洞處置工作，防範網路產品安全漏洞風險，維護公共互聯網網路安全。

『捌』 apache是什麼

apache是Web伺服器，Apache是世界使用排名第一的Web伺服器軟體。它可以運行在幾乎所有廣泛使用的計算機平台上，由於其跨平台和安全性被廣泛使用，是最流行的Web伺服器端軟體之一。

它快速、可靠並且可通過簡單的API擴充，將Perl/Python等解釋器編譯到伺服器中。同時Apache音譯為阿帕奇，是北美印第安人的一個部落，叫阿帕奇族，在美國的西南部。也是一個基金會的名稱、一種武裝直升機等等。

(8)網路安全阿帕奇擴展閱讀

apache相關模塊：

1、SSO Mole - LemonLDAP

LemonLdap 是 Apache 的一個實現了 Web SSO 的模塊，可處理超過 20 萬的用戶。

2、並發限制模塊 - limitipconn

limitipconn 是一個 Apache 的模塊，用來限制每個 IP 的並發連接數。支持 Apache 1.x 和 2.x。

3、日誌監控模塊

Apache Live Log 是一個 Perl 編寫的模塊，可以在瀏覽器上直接實時的通過 Ajax 技術瀏覽和監控 Apache 的 日誌文件。

『玖』 伺服器中apache(阿帕奇）是個什麼軟體，幹嘛用的

APACHE就是一個網路伺服器，這個伺服器偵聽一個TCP埠，一般是80，對埠收到的命令進行解釋，然後提交一些結果。APACHE解釋的最主要的命令就是GET和POST，一般對應客戶端在瀏覽器輸入地址、瀏覽器裡面點擊鏈接和提交一個表單。APACHE對GET和POST命令進行解釋的時候，如果GET和POST的對象是一個HTML、CSS、JS、RAR、TXT等一般文件，就直接把文件的內容發回客戶端；如果對象是一個PHP文件，APACHE就啟用PHP.EXE程序（UNIX上名稱不一樣，而且安裝為模塊的細節又有不同，這里只是舉例），把文件、調用的參數傳遞給PHP.EXE，然後把PHP.EXE執行的結果反饋給客戶端。
PHP可以調用各種庫執行各類功能，最典型的就是查詢資料庫。PHP.EXE解釋執行PHP文本文件裡面的語句，執行前一般不翻譯，就象批處理一樣。
APACHE可以配置多個類似PHP這樣的過濾器，凡是XXX類的文件，都提交給XXX.EXE執行，把執行完畢的內容發送給瀏覽器，其它文件直接發送。APACHE就這么簡單的、機械的執行。