風險識別與管控策略

云安全風險識別

云安全聯盟CSA（Cloud Security Alliance）是在2009年的RSA大會上宣布成立的一個非盈利性組織。自成立后，CSA迅速獲得了業界的廣泛認可。云安全聯盟致力于在云計算環境下提供最佳的安全方案。自其成立起，云安全聯盟發布的云安全指南及其開發成為云計算領域令人矚目的安全活動。

現實中的各種云產品,在服務模型、部署模型、資源物理位置、管理和所有者屬性等方面呈現出不同的形態和消費模式,從而具有不同的安全風險特征和安全控制職責和范圍。因此,需要從安全控制的角度建立云計算的參考模型,描述不同屬性組合的云服務架構,并實現云服務架構到安全架構之間的映射,為風險識別、安全控制和決策提供依據。

根據資源或服務的管理權、所有權和資源物理位置的不同,CSA也給出了不同的云部署模型的可能實現方式及其不同部署模式下共享云服務的消費者之間的信任關系（如圖1）。

圖1顯示,對于私有云和社區云,有多種實現方式,可以和公共云一樣,由第三方擁有和管理并提供場外服務(off-premises),所不同的是共享云服務的消費者群體之間具有信任關系,局限于組織內部和可信任的群體之間。

CSA發布的最新版本《云計算關鍵領域安全指南》,主要從攻擊者角度歸納云計算環境可能面臨的主要威脅,提出12個關鍵安全關注域,羅列出了最為常見、危害程度最大的7個威脅,如表1所示。

云計算風險管控平臺

云計算風險管控平臺希望建設的是一個綜合管理平臺，這個平臺不僅需要對傳統網絡廠商、安全廠商、服務器廠商、以及數據庫、中間件等廠商進行管理，更重要的是這個管控平臺必須適應虛擬化的趨勢。不但可以對網絡的監控、安全事件的采集分析、運維工作流程等統一納入到該平臺中，每個子系統負責不同的方面，除在各個方面提供更為強大的功能外，各子系統又要無縫整合，數據可以在整個系統中進行流轉，減少不必要的人工操作，以提高工作效率和運維保障水平。并且可以支持平臺的虛擬化， 以及虛擬化服務的支持。

表1 云環境七大安全威脅

首先，是被管IT資源的多樣性問題，這些IT資源包括網絡設備、安全設備、主機、服務器、數據庫、中間件、應用系統等。各類資源都有獨立的管理工具，操作不方便，信息無法共享。例如，一些傳統的綜合網絡管理系統可以統一管理網絡設備、主機設備，但是在安全管理方面卻相對薄弱，而一般的安全管理系統又缺乏基礎的網絡監控和管理，實用效果不太理想。

其次，對于客戶而言，管理IT資源本身不是目標，核心需求是要保障業務和服務的可用性、連續性以及重要信息系統的安全性，因為應用和業務是企業和組織的生命線。這就要求客戶建立一套以應用或業務為核心的監控體系，從業務的角度去看待IT設施和服務的運行。

再次，未來的網絡發展趨勢必然是網絡與安全密不可分，很多網絡故障都是安全問題引發的，而大部分安全問題都是通過網絡傳播的。因此，只有將網絡管理、安全管理、虛擬化管理有機結合，才能滿足云計算平臺的實際需要。

漏洞及基線掃描

漏洞是安全界永恒的話題，微軟、Adobe、IBM、Apple無不被漏洞所困擾，隨著云計算產業的發展，目前漏洞的利用技術迎來了更新的問題。

● 漏洞利用技術的發展:隨著技術的不斷進步，漏洞的發掘水平和速度一直在提高，而漏洞的利用技術也在不斷發展。

● 全球漏洞數量在持續快速增加。

● 應用軟件漏洞增勢明顯。

● 從發現漏洞到攻擊程序出現的時間在不斷縮短。

● 漏洞可以被購買。

綜上所述，漏洞數量在快速增加，漏洞種類越來越多（不僅是操作系統，還有各種應用系統和軟件），受到漏洞影響的信息系統也越來越容易遭受攻擊——我們正在遭受的漏洞危機在日益加劇。

漏洞掃描的需求：我們對漏洞掃描發現修復的流程也應該隨著漏洞利用技術的發展而發展，特別是對于應用漏洞的修復更應該化被動為主動。選擇有針對性的漏洞掃描修復工具。

威脅檢測

隨著云計算平臺業務的快速發展，在此過程中如果對于眾多的第三方建設與運維人員不加以嚴格管理的話，云計算平臺的建設將會出現新的漏洞與風險。常見的人員安全風險介紹如下。

1.內部人員操作的安全隱患

因為戰略定位和人力等諸多原因，越來越多的會將非核心業務外包給設備商或者其他專業代維公司。如何有效地監控設備廠商和代維人員的操作行為,并進行嚴格的審計是企業面臨的一個關鍵問題。嚴格的規章制度只能約束一部分人的行為，只有通過嚴格的權限控制和操作審計才能確保安全管理制度的有效執行。

2.第三方維護人員安全隱患

無論是內部運維人員還是第三方代維人員，基于傳統的維護方式，都是直接采用系統賬號完成系統級別的認證即可進行維護操作。隨著系統的不斷龐大，運維人員與系統賬號之間的交叉關系越來越復雜，一個賬號多個人同時使用，是多對一的關系，賬號不具有唯一性，系統賬號的密碼策略很難執行，密碼修改要通知所有知道這個賬號的人，如果有人離職或部門調動，密碼需要立即修改，如果密碼泄露無法追查，如果有誤操作或者惡意操作，無法追查到責任人。

3.最高權限濫用風險

因為種種歷史遺留問題，并不是所有的信息系統都有嚴格的身份認證和權限劃分，權限劃分混亂，高權限賬號（比如DBA賬號）共用等問題一直困擾著網絡管理人員，高權限賬號往往掌握著數據庫和業務系統的命脈，任何一個操作都可能導致數據的修改和泄露，最高權限的濫用，讓數據安全變得更加脆弱，也讓責任劃分和威脅追蹤變得更加困難。

4.系統共享賬號安全隱患

無論是內部運維人員還是第三方代維人員，基于傳統的維護方式，都是直接采用系統賬號完成系統級別的認證即可進行維護操作。隨著系統的不斷龐大，運維人員與系統賬號之間的交叉關系越來越復雜，一個賬號多個人同時使用，是多對一的關系，賬號不具有唯一性，系統賬號的密碼策略很難執行，密碼修改要通知所有知道這個賬號的人，如果有人離職或部門調動，密碼需要立即修改，如果密碼泄露無法追查，如果有誤操作或者惡意操作，無法追查到責任人。

5.違規行為無法控制的風險

網絡管理員總是試圖定義各種操作條例，來規范內部員工的網絡訪問行為，但是除了在造成惡性后果后追查責任人，沒有更好的方式來限制員工的合規操作。而事后追查，只能是亡羊補牢，損失已經造成。

安全接入

目前隨著業務的不斷發展，業務系統將變得日益復雜，由內部員工違規操作導致的安全問題變得日益突出起來。防火墻、防病毒、入侵檢測系統等常規的安全產品可以解決一部分安全問題，但對于內部人員的違規操作卻無能為力。根據FBI和CSI對484家公司進行的網絡安全專項調查結果顯示，超過70%的安全威脅來自公司內部，在損失金額上，由于內部人員泄露導致了6056.5萬美元的損失，是黑客造成損失的16倍，是病毒造成損失的12倍。另據中國國家信息安全測評中心調查，信息安全的現實威脅也主要為內部信息泄露和內部人員犯罪，而非病毒和外來黑客引起。

網絡管理員總是試圖定義各種操作條例，來規范內部員工的網絡訪問行為，但是除了在造成惡性后果后追查責任人，沒有更好的方式來限制員工的合規操作。而事后追查，只能是亡羊補牢，損失已經造成。

對于內部員工或者第三方的建設與運維人員進行有效的審計與管理，是我們本次安全系統建設的另一個重要需求。