阿里云故障公告（阿里云如何回应出现故障）

本文目录

• 阿里云如何回应出现故障
• 阿里云出现故障致大面积账户登录异常
• 未及时上报安全漏洞 阿里云被工信部通报 业内人士：错在没有重视流程
• 阿里云宕机故障（影响全球多地用户访问和业务运营）
• 阿里云未及时通报重大网络安全漏洞，会带来什么后果
• 阿里云故障是什么原因

阿里云如何回应出现故障

6月28日凌晨，阿里云对27日出现的大规模问题在官方微博上作出官方回应。回应称，我们在运维上的一个操作失误，导致一些客户访问阿里云官网控制台和使用部分产品功能出现问题。

对于复盘故障原因，回应称，工程师团队在上线一个自动化运维新功能中，执行了一项变更验证操作。这一功能在测试环境验证中并未发生问题，上线到自动化运维系统后，触发了一个未知代码bug。错误代码禁用了部分内部IP，导致部分产品访问链路不通。后续人工介入后，工程师团队快速定位问题进行了恢复。

6月27日下午，网友在微博反馈阿里云控制台访问出现故障，后台无法登陆。阿里云官网的部分管控功能，及MQ、NAS、OSS等产品的部分功能也出现访问异常现象，部分用户反馈称手机端和PC端均无法访问。随后阿里云在官网发布公告称，部分管控功能出现访问异常，受影响业务正逐渐恢复正常。

阿里云出现故障致大面积账户登录异常

6月27日下午消息，众多网友在微博反馈，阿里云控制台访问出现故障，后台登录不上，包括图片服务也已经挂掉。阿里云发布公告称，阿里云官网部分管控功能出现访问异常，目前受影响的业务大部分已经恢复正常。

另据阿里云内部人士向新浪科技透露，此次故障并非宕机，而是账户登录异常，云服务器不受影响。

以下为阿里云官网公告全文：

【阿里云】【异常通告】

异常时间：北京时间2018年6月27日16:21左右。

异常概述：于北京时间2018年6月27日16:21左右开始，阿里云官网的部分管控功能，及MQ、NAS、OSS等产品的部分功能出现访问异常，阿里云工程师正在紧急处理中，请您稍后重试。

给您带来诸多不便实在抱歉！有任何问题，可随时通过服务电话95187联系反馈。

未及时上报安全漏洞 阿里云被工信部通报 业内人士：错在没有重视流程

通报指出，阿里云是工信部网络安全威胁信息共享平台合作单位。经研究， 现暂停阿里云公司作为上述合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位 。

据了解，Apache Log4j2作为阿帕奇软件基金会旗下的一款日志纪录工具，是基于Java语言的开源日志框架，被广泛用于业务系统开发。

工信部网络安全管理局曾在17日发布了《关于阿帕奇Log4j2组件重大安全漏洞的网络安全风险提示》。其中指出， 阿里云在近日发现阿帕奇Log4j2组件存在远程代码执行漏洞 ，并将漏洞情况告知阿帕奇软件基金会。 12月9日，工信部网络安全威胁和漏洞信息共享平台收到有关网络安全专业机构报告 ，阿帕奇Log4j2组件存在严重安全漏洞。

随后，工信部立即组织有关网络安全专业机构开展漏洞风险分析，召集阿里云、网络安全企业、网络安全专业机构等开展研判，通报督促阿帕奇软件基金会及时修补该漏洞，向行业单位进行风险预警。

“目前来看，是阿里更早发现了这个漏洞，并将问题反馈给了Apache基金会，之后Apache为Log4j发布了新版补丁修复。但是，阿里云没有及时去向工信部申报。主要错误在于没有重视上报流程和申报漏洞。”有业内人士表示。

根据今年9月1日施行的工信部、国家网信办、公安部联合印发的《网络产品安全漏洞管理规定》， 网络产品提供者应在发现漏洞的2日内向工业和信息化部报送漏洞信息 ，并及时进行修补，将修补方式告知可能受影响的产品用户。

据此前报道，阿里云安全团队于11月24日向阿帕奇软件基金会提交了Log4j 漏洞邮件。而根据公告，工信部是12月9日才收到上述漏洞的报告，距离阿里云首次发现已经过去了2个星期。

阿里云宕机故障（影响全球多地用户访问和业务运营）

近日，阿里云出现了大规模宕机故障，导致全球多地用户访问和业务运营受到了严重影响。这次宕机故障引起了广泛关注，也给云计算服务提供商带来了巨大压力。

事件经过

据阿里云官方介绍，这次宕机故障是由于一次人为操作失误所导致的。具体来说，阿里云的一名工程师在维护系统时，误操作了一个命令，导致了整个系统的故障。

这次宕机故障发生在北京时间6月10日早上7点左右，影响了全球多个地区的用户访问和业务运营。据悉，阿里云的服务器在中国、新加坡、马来西亚、澳大利亚、印度、美国等地区均出现了故障。

影响范围

这次宕机故障给全球多地的用户访问和业务运营带来了巨大影响。许多网站、应用程序和在线服务都无法正常运行，导致用户无法登录、访问和使用这些服务。此外，一些企业的业务也受到了影响，导致了严重的经济损失。

阿里云的应对措施

面对这次宕机故障，阿里云采取了积极的措施，以尽快恢复系统的正常运行。具体来说，阿里云的技术人员立即启动了备用系统，并对故障进行了紧急修复。在经过数小时的努力后，阿里云终于成功地恢复了系统的正常运行。

此外，阿里云还对这次宕机故障进行了全面的调查和分析，以避免类似事件再次发生。阿里云表示，将进一步加强系统的安全性和稳定性，以确保用户的数据和服务得到最好的保障。

阿里云未及时通报重大网络安全漏洞，会带来什么后果

【文/观察者网 吕栋】

这事缘起于一个月前。当时，阿里云团队的一名成员发现阿帕奇（Apache）Log4j2组件严重安全漏洞后，随即向位于美国的阿帕奇软件基金会通报，但并没有按照规定向中国工信部通报。事发半个月后，中国工信部收到网络安全专业机构的报告，才发现阿帕奇组件存在严重安全漏洞。

阿帕奇组件存在的到底是什么漏洞？阿里云没有及时通报会造成什么后果？国内企业在发现安全漏洞后应该走什么程序通报？观察者网带着这些问题采访了一些业内人士。

漏洞银行联合创始人、CTO张雪松向观察者网指出，Log4j2组件应用极其广泛，漏洞危害可以迅速传播到各个领域。由于阿里云未及时向中国主管部门报告相关漏洞，直接造成国内相关机构处于被动地位。

关于Log4j2组件在计算机网络领域的关键作用，有国外网友用漫画形式做了形象说明。按这个图片解读，如果没有Log4j2组件的支撑，所有现代数字基础设施都存在倒塌的危险。

国外社交媒体用户以漫画的形式，说明Log4j2的重要性

观察者网梳理此次阿帕奇严重安全漏洞的时间线如下：

根据公开资料，此次被阿里云安全团队发现漏洞的Apache Log4j2是一款开源的Java日志记录工具，控制Java类系统日志信息生成、打印输出、格式配置等，大量的业务框架都使用了该组件，因此被广泛应用于各种应用程序和网络服务。

有资深业内人士告诉观察者网，Log4j2组件出现安全漏洞主要有两方面影响：一是Log4j2本身在java类系统中应用极其广泛，全球Java框架几乎都有使用。二是漏洞细节被公开，由于利用条件极低几乎没有技术门槛。因适用范围广和漏洞利用难度低，所以影响立即扩散并迅速传播到各个行业领域。

简单来说，这一漏洞可以让网络攻击者无需密码就能访问网络服务器。

这并非危言耸听。美联社等外媒在获取消息后评论称，这一漏洞可能是近年来发现的最严重的计算机漏洞。Log4j2在全行业和政府使用的云服务器和企业软件中“无处不在”，甚至犯罪分子、间谍乃至编程新手，都可以轻易使用这一漏洞进入内部网络，窃取信息、植入恶意软件和删除关键信息等。

阿里云官网截图

然而，阿里云在发现这个“过去十年内最大也是最关键的单一漏洞”后，并没有按照《网络产品安全漏洞管理规定》第七条要求，在2天内向工信部网络安全威胁和漏洞信息共享平台报送信息，而只是向阿帕奇软件基金会通报了相关信息。

观察者网查询公开资料发现，阿帕奇软件基金会（Apache）于1999年成立于美国，是专门为支持开源软件项目而办的一个非营利性组织。在它所支持的Apache项目与子项目中，所发行的软件产品都遵循Apache许可证（Apache License）。

12月10日，在阿里云向阿帕奇软件基金会通报漏洞过去半个多月后，中国国家信息安全漏洞共享平台才获得相关信息，并发布《关于Apache Log4j2存在远程代码执行漏洞的安全公告》，称阿帕奇官方已发布补丁修复该漏洞，并建议受影响用户立即更新至最新版本，同时采取防范性措施避免漏洞攻击威胁。

中国国家信息安全漏洞共享平台官网截图

事实上，国内网络漏洞报送存在清晰流程。业内人士向观察者网介绍，业界通用的漏洞报送流程是，成员单位》工业和信息化部网络安全管理局 》国家信息安全漏洞共享平台（CNVD） CVE 中国信息安全测评中心 》 国家信息安全漏洞库（CNNVD）》 国际非盈利组织CVE；非成员单位或个人注册提交CNVD或CNNVD。

根据公开资料，CVE（通用漏洞共享披露）是国际非盈利组织，全球通用漏洞共享披露协调企业修复解决安全问题，由于最早由美国发起该漏洞技术委员会，所以组织管理机构主要在美国。而CNVD是中国的信息安全漏洞信息共享平台，由国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库。

上述业内人士认为，阿里这次因为漏洞影响较大，所以被当做典型通报。在CNVD建立之前以及最近几年，国内安全人员对CVE的共识、认可度和普及程度更高，发现漏洞安全研究人员惯性会提交CVE，虽然最近两年国家建立了CNVD，但普及程度不够，估计阿里安全研究员提交漏洞的时候，认为是个人技术成果的事情，上报国际组织协调修复即可。

但根据最新发布的《网络产品安全漏洞管理规定》，国内安全研究人员发现漏洞之后报送CNVD即可，CNVD会发起向CVE报送流程，协调厂商和企业修复安全漏洞，不允许直接向国外漏洞平台提交。

由于阿里云这次的行为未有效支撑工信部开展网络安全威胁和漏洞管理，根据工信部最新通报，工信部网络安全管理局研究后，决定暂停阿里云作为上述合作单位6个月。暂停期满后，根据阿里云整改情况，研究恢复其上述合作单位。

业内人士向观察者网指出，工信部这次针对是阿里，其实也是向国内网络安全行业从业人员发出警示。从结果来看对阿里的处罚算轻的，一是没有踢出成员单位，只是暂停6个月。二是工信部没有对这次事件的安全研究人员进行个人行政处罚或警告，只是对直接向国外CVE报送的Log4j漏洞的那个安全专家点名批评。

本文系观察者网独家稿件，未经授权，不得转载。

阿里云故障是什么原因

6 月 27 日下午，有众多网友在微博中反馈阿里云平台出现了访问故障。我们从阿里云官网公告中了解到，故障的开始时间为 2018 年 6 月 27 日16: 21 左右，主要原因为，阿里云官网的部分管控功能，及MQ、NAS、OSS等产品的部分功能出现访问异常。不过，目前大部分功能已经恢复正常。

随后阿里云发表了一篇故障说明，说明中阿里云表示：对于这次故障，没有借口，我们不能也不该出现这样的失误!我们将认真复盘改进自动化运维技术和发布验证流程，敬畏每一行代码，敬畏每一份托付。