“毁灭世界的力量”基于云计算的僵尸网络

云计算无疑是信息产业的一项重要革命,但是控管不好,也将为互联网带来巨大的灾难。昆明亭长朗然科技有限公司的安全研究员Bob Xue称:云计算可能会被僵尸网络利用,进而变成“毁灭世界的力量”。

传统中的僵尸网络往往有其命令与控制中心,即僵尸的老巢,互联网安全方面的专家一直致力于发现和捣毁这些老巢,进而把整个僵尸网络连根拔起。

处于僵尸网络控制顶端的超级黑客们在多次受到重创后,开始设立点对点的分布式僵尸网络,企图增加正义之师对其的打击难度,而安全专业人员显然不是巧妙地分析了分布式僵尸网络的命令传送特征,利用卧底僵尸来传播假命令,进而“一两拨千斤”,让点对点的分布式僵尸网络自动瓦解,这一招,不仅中断了僵尸之间通讯渠道,还修复了被黑客利用的相关安全漏洞。

顶级黑客们很受挫败,他们要卷土重来,企图东山再起,他们把眼光描向了云计算……

黑客们可以在短时间内创建数量庞大的虚拟僵尸系统,而根本不用费力气感染和摇控终端计算设备,云计算服务商的计算资源极其丰富,计算能力异常强大,而且多数交易是支持自助进行的。

所以,黑客现在不需要拉接或租用带宽线路,更不需要自行架设服务器系统,他们只需要打包好攻击程序,使用偷来的信用卡或Paypal帐户,快速购买云计算资源和创建用于进行网络攻击的虚拟系统。

互联网世界的末日真的快要到了吗?如何有效应对呢?亭长朗然公司Bob说:要有效防范黑客利用云计算发起大规模的攻击,需要多方协同工作。尽管对于个体组织来讲,基于云计算的僵尸网络攻击让人们防不胜防,但是必要的安全防范仍然不可或缺。

实际上,多数中小型组织不会成为顶级黑客们的攻击目标,但这并不表示中小企业可以高枕无忧,相反,中小企业很多互联网应用严重依赖大型的互联网厂家,这些大型的互联网厂商很容易成为黑客们的坚定目标。特别是同样租用云计算的中小企业,更容易受到“云攻击云”的严重伤害。

当人们谈到多方协作打击基于云计算的僵尸网络,往往会认为说起来容易,做起来难。由于利益的关系,某些云服务商和运营商可能并不愿意配合,这就让事情变得复杂,难以解决。最有效的解决方案是加强沟通和协调,不仅仅是经济利益上的平衡,更应该是信息安全意识理念的切磋。

举例讲,甲云计算服务商可能同甲电信运营商关系紧密,乙云计算服务商可能同乙电信运营商关系紧密,甲云计算客户对乙云计算客户发起分布式拒绝服务攻击,造成乙电信网络堵塞,运营商要赚云服务商的钱,云服务商要赚云计算客户的钱,这经济利益要如何平衡?

如果我们深陷进去,冤冤相报,不断以攻击对待攻击,我们终将难以自拔,并且只会造成越来越多的云计算用户、云计算服务商以及运营商变成黑客的帮凶,即使末日尚未来临,互联网世界也必将黯淡无光。

经过多年的发展,原本来管理全球及各地互联网的多数大型组织机构都已经名存实亡,沦为商业型的收费实体,所以,别想对它们抱太多幻想和期望。为什么说信息安全理念的切磋可以在云计算安全上帮上忙呢?这并非起源于人们对云计算及云安全理解的差异,而是多数人根本没有认识到云计算所面临,以及其可能带来的安全威胁。

这无疑是认知和理念层面的不足,要弥补这些,当然需要加强人们的信息安全意识,特别是云安全意识。只有和云计算相关的所有人的信息安全意识达到了必要的水平,顶级黑客们才会遇到“全民皆兵”的有效抵抗,此时,武艺再高强的黑客,也会被群众的大量口水给淹没的。

您可能还想问:为什么要让普通的云用户也了解云计算相关的信息安全基础理念呢?因为他们可能是黑客组织的目标、诱饵、人质甚至是僵尸。同时,他们也是云计算的最大买家,只有普通用户的安全意识得到了提升,云计算的安全才能被服务提供商真正重视起来。

简言之,要拯救世界,防止互联网的未来落入基于云计算的僵尸网络手中,需从人们的信息安全意识教育抓起。

不过Bob同时也表示:教育人们提升云计算安全意识并不容易,尤其是在云计算的用户大多懂些IT,几乎没有IT人会认为自己的信息安全意识水平低下,即使是经历了惨痛的安全事故教训,这些自大的IT人却仍然有可能觉得是自己运气不好,而刻意回避安全意识不够的根本原因。所以说“云计算可能会被僵尸网络利用,进而变成毁灭世界的力量”,并非危言耸听。

破解云安全迷思

尽管“云”一直是IT业界的一个争执话题,但不可否认的是它并不是第一个“新概念”,而且也必将持续下去。忽视它的公司可能会落于已经采用“云”计算的竞争对手之后,这是因为云计算承诺降低IT开支并且提供运营效率,而这两者正是当今宏观经济前景莫测、商业竞争日益激烈的环境下取得成功的关键要素。

尽管如此,云计算的采用并非如人意,关键是概念成份过多,旧的体系尚可维护商业运作,新的云架构又需要一笔大的投资。即使决策人员有信心在未来数年内可以保持总体开支的降低,但是那并非迫不得已的选择。加之国有及上市公司又受到监管层面的严格控管,要求降低信息外包方面的风险,无疑在从法规层面切断关键部门及行业部署“公有云”的可能性。

实际上,各监管机构的顾虑并非过于敏感,核心的“云”计算技术都被美国掌握,采用美国的“公有云”,无疑是将国家的机密数据暴露出给美国政府;同时网络设备及软硬件“间谍门”事件的导出不穷,信息安全的顾虑让关系着国计民生的核心关键领域不敢轻易冒进采用国外的私有“云”技术。

对于大中型私营企业来讲,数据安全和隐私保护方面的觉悟也在提升,将机密数据交给公有云计算,首先失去的是物理方面的控管,排差时没有物理机器可供检查;其次企业还需接受多重标准的监管,包括本地的和云计算服务商所属地的,这些无疑增加了业务机密信息的对外透明度和外泄概率,是在给未来埋上一颗“定时炸弹”。

结果则证实了目前的现状——小型私营企业和家庭个人用户成为大型“云”的主要消费者。小型机构没有和云服务商进行谈判的能力,然而这并不表示小型机构及个人不重视信息安全或在获得不到足够的云安全保障。相反,大型的云计算服务商在保障信息安全方面起点较高,甚至远高过于自身的安全保障和认知水平。所以,有了便宜好用又安全的大型“云计算”服务,为何不用呢?

话说回来,实际上大型机构也并非不能控管云计算中的安全问题。昆明亭长朗然科技有限公司的云安全分析师James Dong称:大型组织有较强的谈判筹码,可以通过了解云计算技术,要求云计算提供商确保云服务的安全性,以便保障他们的关键数据和应用程序的安全。负责云计算项目的CIO或IT总监通过约见云服务商,制定详细的服务级别协议,来获得多层的云计算安全保障,不仅可以用来保障自身敏感数据信息的安全,对于推动整个产业进步也是促进力量。

云计算是一项新生事物,新事物的出现可能会冲击到旧体制,甚至改变传统的利益分配格局,云计算本身的高效和低成本也可能会带来传统IT价值的创新和IT人员角色的转变。此时,诋毁云计算无疑是固步自封,认识云计算不够安全的误解难免是有的,而敞开心扉坦然接受变革,与时俱进抢好位站好队才是破解云安全迷思的正能量和正确选择。

如何开导IT团队和业务创新团队,消除团队成员对云计算的偏见和误解、鼓励团队成员勇于接受新事物和新挑战呢?无疑需要增强团队成员对信息安全的认识,只有得到了充分的认识,人们对云安全的信心才会加强。要加强对信息安全的正确认识,最高效的途径唯有加强团队成员们的信息安全意识培训。

昆明亭长朗然科技有限公司提供最基础、最实用的安全意识培训教程,不仅能够帮助各类型的组织加强内部的信息安全意识沟通,更有多种可以帮助推进信息安全体系建设的主题,比如针对云计算安全的迷思而特别开发的学习课件。

保障云安全,要的不是担心,而是信心,信心源自有效的安全理念沟通和执着的安全知识学习。

如果您有兴趣了解更多内容,欢迎联系我们获取更多详情。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898