回覆會員暱稱：
點數：
等級：初學者 榮譽勳章：
發文篇數：514
回文時間：2010-06-04 11:57:55
|
基於企業資訊安全與資料稽核的可靠性，對於企業資料中哪些可以移至雲端式作業系統（理由）？哪些是不能的（理由）呢？
Ans:
(一)就技術上而言，企業內部的服務或應用程式資源均可移到雲端上。但對企業會有什麼樣的資安威脅是必須考慮的。企業所使用的雲端服務可能帶來的威脅，大體上是從內部轉移到雲端，即是將防禦工作從企業內部轉嫁給雲端運算供應商，因此資安威脅仍然存在。
(二)雲端運算可能產生的資安威脅包括：1. DDoS: 駭客利用大量殭屍電腦同時攻擊，來達到妨礙正常使用者使用服務的目的。駭客預先入侵大量主機以後，在被害主機上安裝DDoS攻擊程式控制被害主機，再對攻擊目標展開攻擊，利用這樣的方式可以迅速產生極大的網路流量、癱瘓攻擊目標。Amazon提供的EC2服務就遭受過DDoS攻擊。
2. Man-in-the-Middle Attack : 指駭客扮演中間人角色，假冒伺服器端接收到傳送的訊息，再假冒使用者端把訊息傳給真正的伺服器主機，藉此方式可以在兩端連線不知情的情況下竊取或變更傳遞的訊息內容。
3. System vulnerability (Windows、Unix-like、SQL )Attack : 利用已發現或未公開的系統弱點進行攻擊，取得或提升服務主機管理權限。 上述三點之外另有其它威脅，可能是未知的雲端IaaS服務漏洞，或是跨越虛擬化主機之間的漏洞等，這些都會是未來雲端運算服務供應商所要面對與解決的。
(三)如何降低雲端威脅：降低認證威脅的最佳辦法是使用Two-factor認證，或是使用動態共用密鑰，以及縮短共用密鑰的共用期，且不要長期使用高重複性的使用者名稱與密碼，並保持最新的安全修補程式。遠端工具使用上，建議SSH工具使用RSA密鑰進行認證。微軟的遠程桌面工具用高強度加密方式，並要求伺服器認證。使用VNC時，建議在SSH或SSL/TLS tunel上使用。另外，在此強烈建議「不要使用」Telnet。對於無法自我保護傳輸資料安全的程式，應使用VPN或安全加密連線方式（SSL/TLS或SSH），可先使用IPSEC，然後才是SSLv3或TLSv1。
企業在決定評估使用雲端服務之前，建議從以下評估程序開始著手：
Step1：決定資產的重要性 導入雲端運算IaaS服務的順序，應先從虛擬主機還是虛擬儲存設備開始?要達成何種程度的虛擬化與使用者滿意度?使用雲端運算服務後，反應速度要達到企業一定的服務水準時，應有何種層級的基礎架構?哪些資源與資訊可以使用，哪些因為安全性問題不應使用?
Step2：決定資產可能部署的雲端架構 Public cloud：直接使用公有雲，省去初期的基礎建構，成本也多在於往後的維護，但安全問題則需仰賴雲端運算供應商提供的安全防護。 Private cloud：私有雲，由雲端運算供應商提供諮詢與協助建構的服務，在企業內部建立私有雲，初期需花費基礎建構成本，爾後的安全性防護亦由企業本身全權負責與掌控。Hybrid cloud：混合雲的架構上，可以公有雲為主，私有雲為輔；或是以私有雲為主，公有雲為主。前者省去大部分的基礎建置，大部分的安全防護由供應商負責提供；而後者大部分的安全性防護由企業自行責責管理。
Step3：以ISO27001為參考 對於雲端服務供應商提供的存取記錄與遠端管理存取權限，存取記錄內容必須包含存取來源IP address，登入時間、存取變更設定或相關內容，離開時間等記錄，也必需確定這些內容是否為不可否認性，才能保障客戶權益。另外像是服務、資源因異常發生中斷時，緊急回復時間、內容、方式為何?都必須詳細列出並了解。雲端服務供應商提供的安全稽核記錄報告是否完善，可以ISO 27001為審核的參考基礎。
(Ya-Yun Sie)
資料來源：
從Amazon EC2攻擊事件看雲端應用安全
|
