防范基于云计算的攻击

当安全厂商还在把玩云安全概念,对云安全的实质尚无所适从、更拿不出令人信服的应用之时,网络犯罪分子却在策划和实施基于云计算的攻击。云计算因其强大的扩充能力、弹性、灵活性及易用性深受资深黑客玩家的喜爱。同时,云计算的广泛分布使基于它的攻击行为很难被侦测出来。

昆明亭长朗然科技有限公司的安全分析师Bob Xue称:传统的基于特征匹配和异常行为监控的入侵检测系统在云计算攻击时代仍能发挥一定的作用,但是在进行策略响应方面显然不足够,这主要是因为利用云计算发起攻击的强大能力远远超出传统安全防范措施的最大承受能力。我们撇开利用数目众多的移动设备来发动分布式拒绝服务不谈,攻击者只需花少量金钱从多家云服务商购买短期的云计算服务,只要超过目标网站的吞吐量,攻击者便可轻易将世界上任何一家网站搞瘫痪。

的确,就拿密码暴力破解来说,在人们的概念中,需要单台PC数年甚至数亿年才能成功破解的系统,在云攻击的强大运算能力下的时间会被压缩成分分秒秒。不管是否设置了帐户锁定,被攻击系统的帐户数据库以及访问日志相关的系统都会在瞬间崩溃,而传统的防火墙、入侵检测及防御等安全控制系统在海量的数据面前不是失效、便是罢工或累死。

等受攻击的目标反应过来,开始进行人工响应时已太迟,等云计算服务商发现违规使用,停了攻击者的帐户时便为时已晚。Bob说,在云攻击态势下,传统的边界网络已经失效,除非切断网络,然而切断网络的代价同样不可估量。

不要对您的网络信息安全控制系统太过自信,实事上您的系统从来没有经受过专业而严格的极限测试和挑战,云攻击会让您大开眼界,同时见证什么是超级安全威胁以及网络灾难。

在强大的敌人面前,正义的人们有什么好的武器呢?现在我们简单分享一些有效的防范措施。亭长朗然公司Bob Xue说:如果您的业务已经深深依赖互联网,您得有备用方案,而且不能让攻击者了解到您的备用方案,此外您还得像打游击战一样使用您的备用方案——你攻击这里,我躲开到那里,你攻击那里,我又回到这里。

在保障了基础架构的可用性之后,您最重要的任务是保障业务信息系统和关键数据的安全,您不想它们被偷走,就像您不想他们挖走您的顾客和员工一样。您需要多层的防御措施来保护您的业务信息系统,让基于云计算的暴力攻击流量难以进入后台核心系统,对于核心关键数据的保护,您无疑需要加强身份验证和访问控制,比如实施多重身份验证机制、强化信息等级划分和收紧访问权限设置。

最后,您需要让这些安全应急方案和各类关键性的安全控管措施能够有效运作,您必须得加强对相关员工进行必要的安全意识培训,让他们认识到包括云计算攻击在内的各种安全威胁,给他们应对这些安全威胁的强大能力。唯有如此,在面对利用云计算的强力炮火攻击之下,您才会淡定自若,也唯有如此,您的基业才能常青不败。

“毁灭世界的力量”基于云计算的僵尸网络

云计算无疑是信息产业的一项重要革命,但是控管不好,也将为互联网带来巨大的灾难。昆明亭长朗然科技有限公司的安全研究员Bob Xue称:云计算可能会被僵尸网络利用,进而变成“毁灭世界的力量”。

传统中的僵尸网络往往有其命令与控制中心,即僵尸的老巢,互联网安全方面的专家一直致力于发现和捣毁这些老巢,进而把整个僵尸网络连根拔起。

处于僵尸网络控制顶端的超级黑客们在多次受到重创后,开始设立点对点的分布式僵尸网络,企图增加正义之师对其的打击难度,而安全专业人员显然不是巧妙地分析了分布式僵尸网络的命令传送特征,利用卧底僵尸来传播假命令,进而“一两拨千斤”,让点对点的分布式僵尸网络自动瓦解,这一招,不仅中断了僵尸之间通讯渠道,还修复了被黑客利用的相关安全漏洞。

顶级黑客们很受挫败,他们要卷土重来,企图东山再起,他们把眼光描向了云计算……

黑客们可以在短时间内创建数量庞大的虚拟僵尸系统,而根本不用费力气感染和摇控终端计算设备,云计算服务商的计算资源极其丰富,计算能力异常强大,而且多数交易是支持自助进行的。

所以,黑客现在不需要拉接或租用带宽线路,更不需要自行架设服务器系统,他们只需要打包好攻击程序,使用偷来的信用卡或Paypal帐户,快速购买云计算资源和创建用于进行网络攻击的虚拟系统。

互联网世界的末日真的快要到了吗?如何有效应对呢?亭长朗然公司Bob说:要有效防范黑客利用云计算发起大规模的攻击,需要多方协同工作。尽管对于个体组织来讲,基于云计算的僵尸网络攻击让人们防不胜防,但是必要的安全防范仍然不可或缺。

实际上,多数中小型组织不会成为顶级黑客们的攻击目标,但这并不表示中小企业可以高枕无忧,相反,中小企业很多互联网应用严重依赖大型的互联网厂家,这些大型的互联网厂商很容易成为黑客们的坚定目标。特别是同样租用云计算的中小企业,更容易受到“云攻击云”的严重伤害。

当人们谈到多方协作打击基于云计算的僵尸网络,往往会认为说起来容易,做起来难。由于利益的关系,某些云服务商和运营商可能并不愿意配合,这就让事情变得复杂,难以解决。最有效的解决方案是加强沟通和协调,不仅仅是经济利益上的平衡,更应该是信息安全意识理念的切磋。

举例讲,甲云计算服务商可能同甲电信运营商关系紧密,乙云计算服务商可能同乙电信运营商关系紧密,甲云计算客户对乙云计算客户发起分布式拒绝服务攻击,造成乙电信网络堵塞,运营商要赚云服务商的钱,云服务商要赚云计算客户的钱,这经济利益要如何平衡?

如果我们深陷进去,冤冤相报,不断以攻击对待攻击,我们终将难以自拔,并且只会造成越来越多的云计算用户、云计算服务商以及运营商变成黑客的帮凶,即使末日尚未来临,互联网世界也必将黯淡无光。

经过多年的发展,原本来管理全球及各地互联网的多数大型组织机构都已经名存实亡,沦为商业型的收费实体,所以,别想对它们抱太多幻想和期望。为什么说信息安全理念的切磋可以在云计算安全上帮上忙呢?这并非起源于人们对云计算及云安全理解的差异,而是多数人根本没有认识到云计算所面临,以及其可能带来的安全威胁。

这无疑是认知和理念层面的不足,要弥补这些,当然需要加强人们的信息安全意识,特别是云安全意识。只有和云计算相关的所有人的信息安全意识达到了必要的水平,顶级黑客们才会遇到“全民皆兵”的有效抵抗,此时,武艺再高强的黑客,也会被群众的大量口水给淹没的。

您可能还想问:为什么要让普通的云用户也了解云计算相关的信息安全基础理念呢?因为他们可能是黑客组织的目标、诱饵、人质甚至是僵尸。同时,他们也是云计算的最大买家,只有普通用户的安全意识得到了提升,云计算的安全才能被服务提供商真正重视起来。

简言之,要拯救世界,防止互联网的未来落入基于云计算的僵尸网络手中,需从人们的信息安全意识教育抓起。

不过Bob同时也表示:教育人们提升云计算安全意识并不容易,尤其是在云计算的用户大多懂些IT,几乎没有IT人会认为自己的信息安全意识水平低下,即使是经历了惨痛的安全事故教训,这些自大的IT人却仍然有可能觉得是自己运气不好,而刻意回避安全意识不够的根本原因。所以说“云计算可能会被僵尸网络利用,进而变成毁灭世界的力量”,并非危言耸听。