云计算：将会带来新的信息安全挑战

　　新的 Google Chrome 操作系统让 IT 系统管理员对更安全的计算体验燃起了一丝希望。许多系统管理员、IT 总监、信息安全长 (CSO) 对日复一日的系统与软件修补更新都已感到厌倦。Google Chrome 是否真能提供这样的安全性，是个很难回答的问题。我们正在进行一场大规模的网络大战，其中大多数威胁的主要目标都是窃盗。网络犯罪者正从恶意程序、破解入侵以及其他恶意活动当中获取庞大利润。

　　而网络犯罪者所利用的，就是桌上型电脑由 Microsoft 操作系统垄断的情势。对于专门攻击 Microsoft 平台的黑客来说，他们有源源不绝的电脑让他们赚取足够的利润。这完全是单纯的经济规模效应。随着其他操作系统 (例如 Mac OS) 开始受到欢迎并且取得更大的市场占有率，专门锁定这些系统的攻击数量就会自然增加，如同本文稍早所说。

　　不过 Google Chrome 是一个非常小而且开放原始码的操作系统，其资料和应用程序都储存在云。这表示，由于程序码减少，软件错误 (俗称的臭虫) 也应该会减少。此外，由于操作系统较小，而且不像现在这么强大，所以，目前这种安装在本机的多用途恶意程序很可能就无法生存。

　　尽管如此，大家都知道网络犯罪者非常容易适应，而且非常灵活，他们的攻击技巧高明，经常改变策略，善于掌握最新的技术趋势。所以，某些攻击策略或许还是可行：

　　掌控到云的连线。网络犯罪者只要对操作系统动一点手脚，稍微修改一下 DNS 记录， 就能让使用者在连上网页应用程序时，先转往地下恶意网站，然后才到达自己的网页应用程序页面。只要是无法完全封锁通讯管道，使用者的资料就可能完全曝光。即使有 IPv6、加密、凭证等保护措施，这还是一个可能的攻击方式。

　　攻击云本身。如果云式应用程序以及云式操作系统成为主流，那么 99.99% 的可用性就是绝对必要。一部无法存取主机信息和应用程序的电脑就等于废物。攻击者有可能利用标准的殭屍网络/傀儡网络 Botnet (未来十年之内应该还会看到采用多用途标准操作系统的殭屍网络/傀儡网络 Botnet感染电脑) 来让云基础架构上的主机超载而瘫痪。或者，黑客也可能”要求”厂商必须给予小额”乐捐”才能让已经瘫痪的云主机恢复营运。这些对网络犯罪者来说，想必是利润丰厚的生意。

　　这类攻击手法事实上已经出现，只是规模不大而已，但是，一旦黑客目前的手法 (先让桌上型电脑感染恶意程序然后再用于非法用途) 经济诱因不再 (无法再找到足够的受害者)，自然会有另外一种取而代之的方法出现。

　　某些攻击策略或许还是可行：

　　掌控到云的连线。

　　攻击云本身。

　　云服务厂商资料外泄。直接从云取得有价值的资料 (因为资料已经移到云)，例如：信用卡、身分证号码、登入帐号密码等等，将是每一个企业与家庭使用者最大的担忧与考量。问题在于云服务厂商能否有效够确保资料不会遭到非法存取，不会轻易让黑客复制数百万笔使用者资料、登入帐号密码、网络银行资料、帐务资料、交易记录等等。

　　网际网络基础架构的改变，将扩大网络犯罪者的活动范围。

　　云计算将带来新的信息安全挑战。

　　根据趋势科技在 2009 年所做的一项云计算调查15 显示，考虑采用运端计算的企业，同样也认为云内的信息安全防护解决方案非常重要。当询问到潜在的信息安全威胁，有 61% 的受访者表示，在合理确定云计算不会带来重大网络安全风险之前，他们暂时不会采用云计算解决方案。

　　导入区域性顶层网域将会替旧的攻击方式创造新的机会，让黑客运用长相类似的域名发动网络钓鱼攻击，例如，使用俄罗斯文字元来替代看起来很像的拉丁字元。趋势科技跟产业分析师的看法相同，也就是说，云计算的接受度即将起飞，并且呈倍数成长。有三样因素可能会迫使企业不得不采用：

　　网际网络的压力。采用云计算很容易，而且一些公共云的成功案例 (如 Amazon) 也告诉我们，您的内部用户端，还有其他随手可得的计算能力可供选择。

　　成本考量。云计算有其成本效益，而且在目前经济情况不明朗的大环境下，节省成本是首要考量。

　　竞争优势。您的竞争对手已经开始采用，而且的确能够创造竞争优势。

　　不过，云计算也将造成威胁情势上的转变。以下我们将探讨一些最值得注意的挑战与威胁。

　　资料中心与云计算的新威胁

　　通常，对于刚开始认识或考虑采用云计算的使用者来说，其中的一项挑战就是区分各种不同的云威胁，视云服务模式而定。目前有三种主要的服务模式：

　　软件服务化 (SaaS)。透过网际网络存取云的应用程序 (例如：salesforce.com、趋势科技 HouseCall)。

　　平台服务化 (PaaS)。将客户开发的应用程序部署到云的服务 (例如：Google AppEngine 与 Microsoft Azure)。

　　基础架构服务化 (IaaS)。有时亦称”公用计算”(Utility Computing)，意指处理器、储存、网络以及其他资源的租用服务 (例如：Amazon 的 EC2、Rackspace 以及 GoGrid)。客户不需管理底层的云基础架构，但是能够掌控操作系统、储存、网络、所部署的应用程序，并且能够选择网络元件 (防火墙)。

　　所以，有些公司专门从事某项工作，并且专心维持该项工作的安全。但从另一方面来看，这些采用同样防护措施的系统，反而是网络犯罪者更好攻击的目标。其潜在危险就是，一旦有某个客户遭到歹徒入侵，其他客户也会连带受到影响。

　　其中最受关注的议题之一，就是云计算改变了网络边界之后，是否会为运端内部署的应用程序与操作系统带来风险。随着云计算趋势的发展以及云存放的资料越来越敏感，整体的风险也将随之升高。

　　同样地，客户对服务供应商的依赖程度提高，也带来了资料可用性与机密性的潜在威胁。服务供应商可能倒闭，或者可能发生灾难或内部资料外泄。如此高度信赖公共服务供应商的结果，就是带来一些新的威胁。

　　目前云计算的服务模式有三种：

　　软件服务化 (SaaS) ─ 透过网际网络存取云的应用程序。

　　平台服务化 (PaaS) ─ 将客户开发的应用程序部署到云的服务。

　　基础架构服务化 (IaaS) ─ 有时亦称”公用计算”(Utility Computing)，意指处理器、储存、网络以及其他资源的租用服务。

　　在检视潜在新兴威胁的同时，别忘了旧的问题依然存在，网络犯罪者最可能的作法是改进目前的技巧来攻击新技术的弱点。

　　SaaS/PaaS 客户必须仰赖 SaaS/PaaS 服务厂商的安全措施。客户对厂商的安全防范措施必须有相当程度的信赖。这一点是面对新兴威胁时所必须考量与追踪的。

　　IaaS 的领域是由企业与 IaaS 服务供应商所共同掌握。此一领域的威胁包括操作系统、Hypervisor (Xen、VMware、Hyper-v) 以及应用程序的漏洞。

　　其中的关键挑战之一就是，即使 IaaS 供应商的安全措施几近完美，仰赖服务供应商的企业却仍然已将自己的命运交付给单一厂商，失去能够随心所欲或视业务需求而更换不同厂商的好处。

　　虽然，由 IaaS 供应商来负责各种操作系统、交换器、Hypervisor、防火墙、安全漏洞的管理与防护，对某些企业来说是一件好事，但却也暴露了广大的攻击层面。

　　另一个风险领域则来自内部。也就是，内部不肖人员可能掌握了足以通过供应商任一道或所有安全关卡的存取权限。

　　IaaS 之所以吸引许多企业，就是因为这种模式让企业保有较大的掌控，而且如果要更换厂商，这或许也是最容易的一层。不过企业必须重新适应安全边界的划分方式，原本的安全边界在资料中心周围，现在则变成在每一个虚拟机器周围，甚至在机器内的资料周围。矽谷已经有多家新成立的企业可以让使用者轻松地在不同的大型 IaaS 供应商之间的硬件切换。许多企业目前正在等待针对云设计的信息安全模型出现，因为他们希望拥有自己的信息安全方案并且在更换厂商时带着走，如此才能让他们在移转机器时保有相同的控管措施，不须修改已审核的流程或程序。

　　错综复杂的租用关系可能带来新的威胁

　　有可能发生利用旁门左道的攻击 (side-channel attack) 或者信息外泄的风险，例如，如果使用者所分配到的存储设备或磁盘，在上一位使用者用完之后没有将内容抹除归零。

　　资料中心攻击

　　目前遭到入侵的网站数量已经多到足以令人担忧。这些网站不是用于散播恶意程序、漏洞攻击，就是用于接收黑客所窃取的信息。而相关的网页代管服务供应商缺乏安全管制，也让这个问题无法妥善解决。不幸的是，这些遭到渗透的网站，还可能被用来当作攻击资料中心内部其他服务器的跳板。攻击的方式包括：安装恶意的 DHCP 服务器、恶意路由器或网络窃听器。这类资料中心攻击将会是今日大规模网站入侵的进阶翻版。

　　不安全的管理系统

　　Hypervisor 是负责让多个虚拟机器在同一台电脑上执行的软件元件。Hypervisor 不仅带来了新的能力，也带来新的计算风险。随着虚拟化逐渐成为主流，寻找新的方法来发掘风险并且保护这些新的基础架构，将越来越为重要。而处于所有虚拟化方法中心的 Hypervisor，就是一个核心风险领域。

　　Hypervisor 可以完全掌控硬件上所执行的所有虚拟机器，因此，理所当然成为攻击目标之一。Hypervisor 的保护极为重要，而且比表面上看来更加复杂。

　　虚拟机器会透过几种不同的方法对 Hypervisor 发出请求，通常的作法是呼叫应用程序开发介面 (API)。另外，还有一组 API 可以让主机用来管理虚拟机器。这些 API 是恶意程序码攻击的首要目标，因此，所有虚拟化厂商都针对 API 的安全性下了不少功夫，仅接受真正来自虚拟机器 (也就是通过验证与授权) 的请求。这项功能非常关键。但必须特别注意，速度是所有 Hypervisor 最重要的条件之一，不能因此而牺牲整体效能。

　　针对这些管理系统的攻击案例已经出现在 HyperVM/Lxlabs 事件，在该次事件当中，因为控制虚拟服务器的管理系统出现漏洞而导致 30,000 个英国网站消失。

　　某些虚拟化厂商已经将其 API 公开，例如 Amazon Web Services，这当然会成为网络犯罪者有兴趣的攻击目标。至于尚未将 API 公开的厂商 (如 vSphere)，虽然通常不会暴露在外，但还是可能成为边界内恶意程序的攻击目标。

　　从 API 的修改速度以及目前厂商争相上市的情况来看，这些管理系统未来有可能出现安全问题。

　　阻断服务

　　当企业采用云计算时，不论采用公共云或者采用从私人云延伸至公共云的 cloudburst 模式来处理工作负载，都存在着所谓的阻断服务 (DoS) 风险，也就是无法区分恶意 DDoS 流量与正常流量，企业若要应付这类负载激增的状况就必须花费成本。

　　更高的抽象化与脆弱的技术

　　边界闸道协定 (Border Gateway Protocol，简称 BGP)、DNS 以及安全连接口层 (Secure Sockets Layer，SSL) 等等都是一些层层重叠的技术。这些技术都是在安全还不成问题的时代开发出来的，但现在却被迫必须在当时从未预料的更大负载下运作。如果资料中心以及公共/私人云执行的复杂应用程序没有将漏洞修补完整，这些技术可能有一天会出现危险。

　　(注) Cloud Computing Standards, Dream Vs. Reality (云计算标准：梦想与现实) (http://cloudsecurity.trendmicro.com/cloud-computing-standards-dream-vs-reality/)

　　新的边界闸道协定攻击技巧

　　全球路由基础架构的稳定性与安全性疑虑将持续到 2010 年及未来。2008 年 2 月，我们看到由国家在背后支持的 IP Prefix 挟持事件17 。之后，在 2009 年 2 月，捷克的一家小型网际网络厂商在网络上散播很长的 ASpath (路由器自治系统路径)，因而引发邻近的路由器当机，造成大规模网络中断。虽然目前很少有蓄意性的攻击，但路由器组态设定错误和路由器软件潜伏的错误，将在 2010 年以及未来将可能会造成风险。

　　虽然目前很少有蓄意性的攻击，但路由器组态设定错误和路由器软件潜伏的错误，将在 2010 年以及未来将可能会造成风险。(tyrael)