“毁灭世界的力量”基于云计算的僵尸网络

云计算无疑是信息产业的一项重要革命,但是控管不好,也将为互联网带来巨大的灾难。昆明亭长朗然科技有限公司的安全研究员Bob Xue称:云计算可能会被僵尸网络利用,进而变成“毁灭世界的力量”。

传统中的僵尸网络往往有其命令与控制中心,即僵尸的老巢,互联网安全方面的专家一直致力于发现和捣毁这些老巢,进而把整个僵尸网络连根拔起。

处于僵尸网络控制顶端的超级黑客们在多次受到重创后,开始设立点对点的分布式僵尸网络,企图增加正义之师对其的打击难度,而安全专业人员显然不是巧妙地分析了分布式僵尸网络的命令传送特征,利用卧底僵尸来传播假命令,进而“一两拨千斤”,让点对点的分布式僵尸网络自动瓦解,这一招,不仅中断了僵尸之间通讯渠道,还修复了被黑客利用的相关安全漏洞。

顶级黑客们很受挫败,他们要卷土重来,企图东山再起,他们把眼光描向了云计算……

黑客们可以在短时间内创建数量庞大的虚拟僵尸系统,而根本不用费力气感染和摇控终端计算设备,云计算服务商的计算资源极其丰富,计算能力异常强大,而且多数交易是支持自助进行的。

所以,黑客现在不需要拉接或租用带宽线路,更不需要自行架设服务器系统,他们只需要打包好攻击程序,使用偷来的信用卡或Paypal帐户,快速购买云计算资源和创建用于进行网络攻击的虚拟系统。

互联网世界的末日真的快要到了吗?如何有效应对呢?亭长朗然公司Bob说:要有效防范黑客利用云计算发起大规模的攻击,需要多方协同工作。尽管对于个体组织来讲,基于云计算的僵尸网络攻击让人们防不胜防,但是必要的安全防范仍然不可或缺。

实际上,多数中小型组织不会成为顶级黑客们的攻击目标,但这并不表示中小企业可以高枕无忧,相反,中小企业很多互联网应用严重依赖大型的互联网厂家,这些大型的互联网厂商很容易成为黑客们的坚定目标。特别是同样租用云计算的中小企业,更容易受到“云攻击云”的严重伤害。

当人们谈到多方协作打击基于云计算的僵尸网络,往往会认为说起来容易,做起来难。由于利益的关系,某些云服务商和运营商可能并不愿意配合,这就让事情变得复杂,难以解决。最有效的解决方案是加强沟通和协调,不仅仅是经济利益上的平衡,更应该是信息安全意识理念的切磋。

举例讲,甲云计算服务商可能同甲电信运营商关系紧密,乙云计算服务商可能同乙电信运营商关系紧密,甲云计算客户对乙云计算客户发起分布式拒绝服务攻击,造成乙电信网络堵塞,运营商要赚云服务商的钱,云服务商要赚云计算客户的钱,这经济利益要如何平衡?

如果我们深陷进去,冤冤相报,不断以攻击对待攻击,我们终将难以自拔,并且只会造成越来越多的云计算用户、云计算服务商以及运营商变成黑客的帮凶,即使末日尚未来临,互联网世界也必将黯淡无光。

经过多年的发展,原本来管理全球及各地互联网的多数大型组织机构都已经名存实亡,沦为商业型的收费实体,所以,别想对它们抱太多幻想和期望。为什么说信息安全理念的切磋可以在云计算安全上帮上忙呢?这并非起源于人们对云计算及云安全理解的差异,而是多数人根本没有认识到云计算所面临,以及其可能带来的安全威胁。

这无疑是认知和理念层面的不足,要弥补这些,当然需要加强人们的信息安全意识,特别是云安全意识。只有和云计算相关的所有人的信息安全意识达到了必要的水平,顶级黑客们才会遇到“全民皆兵”的有效抵抗,此时,武艺再高强的黑客,也会被群众的大量口水给淹没的。

您可能还想问:为什么要让普通的云用户也了解云计算相关的信息安全基础理念呢?因为他们可能是黑客组织的目标、诱饵、人质甚至是僵尸。同时,他们也是云计算的最大买家,只有普通用户的安全意识得到了提升,云计算的安全才能被服务提供商真正重视起来。

简言之,要拯救世界,防止互联网的未来落入基于云计算的僵尸网络手中,需从人们的信息安全意识教育抓起。

不过Bob同时也表示:教育人们提升云计算安全意识并不容易,尤其是在云计算的用户大多懂些IT,几乎没有IT人会认为自己的信息安全意识水平低下,即使是经历了惨痛的安全事故教训,这些自大的IT人却仍然有可能觉得是自己运气不好,而刻意回避安全意识不够的根本原因。所以说“云计算可能会被僵尸网络利用,进而变成毁灭世界的力量”,并非危言耸听。

保障信息安全的5招必备武功

创新的科技让我们的日常工作变得更加轻松容易,同时,科技也让不怀好意的坏家伙们可以轻易窃取我们的机密数据。

不管如何,来自企业组织内外部的安全威胁是客观存在的,所以您不能心存侥幸和幻想,任何时候都需要加强安全内功,保护您的公司数据,确保公司不被入侵。

新时期下,自带计算设备BYOD逐渐开始热火,让消费性计算设备进入工作区域可能带来信息安全方面的隐患、造成管理方面的挑战、甚至引发纪律方面的混乱。昆明亭长朗然科技有限公司的安全分析师Bob Xue称:在对待BYOD方面,中小企业多数能够灵活处理,以节省IT开支和提升效率;大型公司往往会比较谨慎,因为法律遵循压力巨大,信息安全也伤不起。

尽管BYOD问题足以复杂到让我们问一句“元芳,你怎么看?”即使元芳再世,也只能回应一句“此事背后一定有一个天大的秘密。”这个天大的秘密核心就是关乎商业价值的业务信息数据的安全!

不少组织实施了自动化的信息资产管理系统和数据防泄露系统,不管这些系统功能有多强大,最终绕不过一个“人”的问题,因为它们毕竟要由人来操控和使用。为了弥补作为技术控管措施的各类系统的不足,我们将重点讨论管理方法,所以分享如下5招保障信息安全的绝世“武功”:

1.列出数据并进行安全等级分类
不管信息安全管理体系ISO 27001,还是等级保护,都过于强调信息“资产”或信息“系统”,而忽略了核心的信息“数据”。它们比较看重场所安全、设备安全、人员安全、网络安全、系统安全和应用安全等基础架构层面,这些对于保障“数据”的周边环境和平台安全很有帮助,但是显然没有抓住业务信息安全的核心问题所在。在数据安全保护方面,亭长朗然公司Bob建议制作一份详细的数据类别清单,并将它们按照业务的关联度、风险级别、机密性、完整性及可用性等划分安全等级。不同的数据安全保护级别需要不同的安全控管措施。这种理念应该不难被信息安全管理负责人理解,只是对象需换成支撑业务流程的数据信息。

2.确认各类数据的“所有者”
终极的情况一般来讲“所有者”会是一个集体组织,如公司等,要算到个人头上可能是董事会主席或总裁或法人,然而这并不符合信息安全管理的责任分解精神。不过国内的安全管理有“谁主管谁负责”、“谁经营谁负责”、“谁运行谁负责”之类的简单粗暴原则,这些原则一定程度上对安全管理的职责有了指定,但是并不够深入细致和科学,尤其是在组织内部容易造成扯皮,更会造成出了安全事故,无关人员也需承担被“株连九族”的连带责任。科学的方法是将数据所服务的业务流程关联,业务流程主管是数据的“所有者”,负责委派“主管、经营或运行”团队。而IT部门则应该是被委派的角色,这样,如果是IT系统或管理方面的安全漏洞或不足造成的问题,IT职责难咎;如果业务流程主管自身泄露或误操作造成安全事故,则不能怪IT保护不力。此外,在业务流程和IT范围内,还可以细分,方法也是一样的,在此不多谈论。

3.确认各类数据的“访问者”及所需“最少”权限
一旦组织架构变得庞大和臃肿,业务流程可能会变得异常复杂,想要梳理一番提升效率是比较有挑战性的。尽管这些貌似和安全关系不大,然而要保障安全却也需要对它们进行一番必要的梳理,要弄清楚这些数据的“访问者”,这里面主要是“用户”,当然也可能是一些相关的系统程序,如某个数据抓取应用如中间件什么的。理清这些“访问者”的同时,需要确认它们对数据的“最小”访问特权,最小特权是信息安全管理中的一个基本原则,和工作无关的附加的特权统统给去掉,可以减少由于“越权”可能造成的安全事故。此外,即使是某些“访问者”的权限失窃,最小权限原则也能帮助将损失限定在较小的范围内。

4.建立访问控制管理机制
明白了信息数据的“访问者”及所需的“最少”访问权限,接着在系统控管层面设置访问控制列表是顺理成章的事情。具体的操作当然应该由专业的信息科技团队成员来完成,IT被认为是“主管、经营或运行”团队,那应该由谁来发起呢?可以利用简单的IT服务管理流程,正确的方式是由“访问者”或相关授权人员提出申请,“所有者”进行审批,而“运行者”进行访问控制权限的设置。

5.对数据访问进行日志记录和定期审计
大型组织里,业务流程和信息系统时刻都在进行缓慢的变化,人员也在不断流动之中,难免会有不合适或未及时清除的访问权限,这就需要我们定期来审计访问控制权限的设置。为了及时发掘和响应未授权的数据访问请求,对数据访问日志进行适当的记录审计也是必须的。这点理念和其它信息系统访问的管理类似,相信不难被读者们所理解。

这里,细心的读者发现我们并没有列出诸如“加密”、“备份”等等保障数据安全的常规措施,也未细谈业务信息架构设计和商业流程逻辑安全、应用平台和数据库安全等方面,不可否认的是保障商业的安全,与多方面的因素都悉悉相关,财务审计方面乐于从业务控管下手,信息科技方面乐于从基础架构开始,中间部分的数据安全则是需要较多互动的核心部分,往往却成为真空,或被人们所忽视。

本文的目的便是提醒朋友们注重信息数据安全的保护,需从管理出发,需和业务流程以及各类人员结合起来。实际上,要说到人员,在技术和管理控管层面之外,仍然很缺乏的是信息安全意识的教育。昆明亭长朗然科技有限公司是信息安全意识教育行业的领袖企业,借助对信息安全管理的深入理解,可以将专业知识技能充分利用起来,帮助客户有效防范来自内外部的各类安全威胁,建立和实现全面的立体化数据信息安全保障控管体系,进而通过保障业务的持续性运行,使客户的基业得以长青。