探討云計算的內(nèi)部威脅
調(diào)查內(nèi)部威脅主要的問題時，攻擊者已經(jīng)存在于內(nèi)部。從本文目的出發(fā)，我們假設(shè)“內(nèi)部人士”為云服務(wù)廠商工作，并且有一個或多個客戶端環(huán)境。內(nèi)部人士可以協(xié)調(diào)客戶信息的保密性、完整性和可用性。
蓄意攻擊的類型包括信息竊取、數(shù)據(jù)破壞或者數(shù)據(jù)毀滅、服務(wù)于特定客戶的系統(tǒng)受到損害、用戶使用的軟件和服務(wù)遭到損害、破壞和欺詐。盡管很難想象無意的云計算內(nèi)部威脅，但是由于錯誤的指令，這種威脅經(jīng)常發(fā)生，從而對客戶系統(tǒng)、服務(wù)和數(shù)據(jù)產(chǎn)生負面影響。然而，也可能是由于缺乏管理客戶系統(tǒng)、服務(wù)和數(shù)據(jù)的培訓(xùn)。例如，一個操作員或者技術(shù)人員可能會收到特殊服務(wù)的命令，或者可能是更新特定服務(wù)的命令，并且，由于缺乏特殊活動的培訓(xùn)，就會輸入錯誤的數(shù)據(jù)。一個數(shù)據(jù)庫管理員可能意外地訪問了錯誤的客戶數(shù)據(jù)庫，輸入錯誤的命令，以至于損壞了整個數(shù)據(jù)庫。
云計算內(nèi)部威脅：研究風(fēng)險及風(fēng)險的緩解措施
事實上，看似惡意的內(nèi)部活動可能是完全偶然的。然而這樣的事件卻引發(fā)了這樣的問題：如果有人知道如何安全訪問并使用復(fù)雜的基于云的系統(tǒng)和服務(wù)，“事故”還會發(fā)生嗎?
因此，我們要關(guān)注蓄意攻擊，關(guān)注蓄意攻擊的潛在影響以及如何防止或者減輕其影響。假設(shè)犯罪者具有安全許可，對于一個企業(yè)來說，信息或知識產(chǎn)權(quán)竊取則是一場噩夢。商業(yè)秘密、工程文件、財務(wù)數(shù)據(jù)、客戶數(shù)據(jù)和許多其他有價值的資產(chǎn)可以被復(fù)制，并出售給出價最高的人或者是任何地方的人。這些可能正在悄悄地發(fā)生。
一旦數(shù)據(jù)被破壞或者毀滅，內(nèi)部人士就可以獲取關(guān)鍵的客戶檔案和數(shù)據(jù)庫并且刪除數(shù)據(jù)，引入病毒或蠕蟲，或者引入邏輯炸彈來破壞/擦除數(shù)據(jù)。如果這些關(guān)鍵數(shù)據(jù)沒有備份/或者沒有復(fù)制到其他位置，那么其損失將會導(dǎo)致公司破產(chǎn)。
公司如果使用被惡意操縱、更改的基于云的系統(tǒng)和服務(wù)，就會突然發(fā)現(xiàn)他們重要的面向客戶型的應(yīng)用程序出現(xiàn)故障或者不能運行。這意味著，他們的客戶可能無法正常辦理業(yè)務(wù)，從而導(dǎo)致訴訟，業(yè)務(wù)和聲譽遭受損失。重新獲得客戶信任，可能會很困難，甚至不可能，尤其是如果面向客戶型的系統(tǒng)已經(jīng)嚴重損壞。
上述情況可能是一種蓄意行為，正如許多內(nèi)部攻擊。基于云的服務(wù)組織的人員可能對組織不滿或者對特定的公司抱有個人恩怨，而這個人恰好是云服務(wù)組織的一個客戶。這個人具有安全許可，只要他喜歡，他幾乎可以做任何事情，來慢慢破壞目標組織和公司。使用各種技術(shù)來竊取信息，創(chuàng)建虛假財務(wù)數(shù)據(jù)或者破壞出現(xiàn)運行“中斷”的組織，但總的來說，這可能是更大的、更險惡破壞計劃的一部分。
最后，像許多其他惡意行為一樣，在云環(huán)境中也經(jīng)常發(fā)生欺詐行為。然而公司內(nèi)部的犯罪者可能只能夠獲取該公司的資源，而在云環(huán)境，犯罪者可以訪問許多組織。例如，我們聽到的關(guān)于內(nèi)部人士操縱金融系統(tǒng)的事件，比如臭名昭著的興業(yè)銀行欺詐事件，導(dǎo)致數(shù)百萬損失，不然的話就會使組織受害，導(dǎo)致數(shù)十億美元的損失。在云環(huán)境中，犯罪者可以安全訪問多個客戶系統(tǒng)和數(shù)據(jù)，并且只會受到他或她的計算機技能的限制。
防止內(nèi)部威脅：需要詢問的問題
一個惡意的內(nèi)部人士可能是一個系統(tǒng)的管理員或者其他技術(shù)人才。這樣的人進行的非法攻擊可能被稱為“流氓”管理員或技術(shù)人員。計劃使用基于云資源的組織，必須積極評估云服務(wù)廠商的安全態(tài)勢。需要解決的問題包括以下幾點：
云系統(tǒng)管理員和技術(shù)人員的訪問權(quán)限，多長時間被審核并重新確認一次?保證與廠商坐下來不只是聽其解釋的過程，也要把它寫下來。理想情況下，組織每年進行幾次內(nèi)部訪問的重新認證過程。
如何仔細審查未來的可以訪問客戶系統(tǒng)和數(shù)據(jù)的系統(tǒng)管理員和技術(shù)人員?要保證新雇傭的員工不能立即訪問敏感的客戶系統(tǒng)和數(shù)據(jù)。在委托新員工管理你的賬戶之前，廠商應(yīng)該要求新員工證明他們自己能夠勝任并且是值得信賴的。
管理背景的調(diào)查嗎?他們會定期更新并且/或者重做背景調(diào)查嗎?那些有犯罪記錄的人員應(yīng)該進行進一步審查，或者從考慮的人選中完全排除掉。同樣，員工在過去為競爭對手工作過嗎?如果你是百事可樂的工作人員，你可能不希望以前可口可樂的工作人員來管理云計算的實現(xiàn)。
對于系統(tǒng)管理員和其他技術(shù)人員來說，什么樣的初期培訓(xùn)和在職安全培訓(xùn)是有用的?假設(shè)安全管理員和其他技術(shù)人員了解信息安全，并且通過仔細詢問和特殊技能的認證(如專業(yè)認證評估)證明了其具備能力，下一步就是確保他們?nèi)媪私饬耸褂弥械陌踩到y(tǒng);你可以通過讓他們閱讀系統(tǒng)所使用的技術(shù)手冊、安全配置數(shù)據(jù)、與系統(tǒng)的制造商和/或分銷商討論安全系統(tǒng)，來增強他們的體驗。隨著安全系統(tǒng)新版本的實現(xiàn)以及軟件補丁的安裝，應(yīng)該向管理人員和技術(shù)人員介紹這些變化。
為非技術(shù)云服務(wù)公司的員工提供什么樣的安全培訓(xùn)呢?假設(shè)云組織具有信息安全政策，首先，要將政策散布到所有員工，甚至可以讓已經(jīng)閱讀過政策的員工簽字確認;接下來，安排定期的半小時關(guān)于安全活動的簡單會議，所有員工參加(或者至少包括那些能訪問客戶信息和系統(tǒng)的員工);最后，準備一頁紙來總結(jié)關(guān)鍵信息安全政策和公司所定義的良好的實踐。
從政策和程序的角度談到安全問題，尤其是關(guān)于信息盜取，破壞、欺詐等問題，基于云的服務(wù)廠商的態(tài)度積極主動嗎?作為供應(yīng)商評估過程的一部分，要查看云服務(wù)廠商政策、指導(dǎo)方針和針對客戶端系統(tǒng)和數(shù)據(jù)保護活動實踐的證明;如果你準備一份提案請求作為云服務(wù)廠商評價過程的一部分，請務(wù)必索要服務(wù)廠商如何保證在其環(huán)境下保護客戶數(shù)據(jù)的證明。
需要什么樣的安全監(jiān)測系統(tǒng)和程序?大多數(shù)云服務(wù)廠商都具有安全監(jiān)測系統(tǒng)和程序，具備一組正在使用中的系統(tǒng)，例如入侵檢測系統(tǒng)、入侵防御系統(tǒng)、防火墻;要查看他們安全監(jiān)測的政策和程序，找出他們是如何檢測和糾正拒絕服務(wù)攻擊、惡意軟件和其他試圖破壞系統(tǒng)和數(shù)據(jù)/數(shù)據(jù)庫安全的軟件;最后要查看之前所有安全漏洞以及如何發(fā)現(xiàn)和糾正這些漏洞的詳細記錄證明。
需要什么樣的網(wǎng)絡(luò)監(jiān)控系統(tǒng)和程序?這與上述列表類似，除了他們關(guān)注的網(wǎng)絡(luò)邊界、互聯(lián)網(wǎng)接入設(shè)備，內(nèi)部/外部的語音和數(shù)據(jù)網(wǎng)絡(luò)服務(wù)和網(wǎng)絡(luò)接入設(shè)備(如路由器、交換機、負載平衡器)之外;其次，要查看所有網(wǎng)絡(luò)安全漏洞的證明以及他們是如何發(fā)現(xiàn)和糾正這些漏洞的。
云服務(wù)廠商有過多少記錄的惡意內(nèi)部行為?這可能是在評估潛在的云服務(wù)廠商時，其中一個需要解決的最重要的問題，這應(yīng)該是所有RFP和供應(yīng)商準備提交事故記錄證明時的一部分。做好準備，你可能得不到答案，因為這可能會被認為是“公司機密;”當(dāng)然，這個問題沒有答案是一個警示信號。
如何解決攻擊的?任何云供應(yīng)商回答這類問題時，都應(yīng)該包括事故的記錄總結(jié)以及事故是如何解決的，更重要的是，要看云服務(wù)公司的安全政策和程序采取了什么改進措施，來預(yù)防未來的事故并快速識別可疑行為。
云服務(wù)公司曾經(jīng)因為顧客遭到內(nèi)部攻擊，被定罪嗎?其次，要做好準備，你可能需要去審查或者你根本得不到答案，因為對于云服務(wù)廠商來說，這可能是一個敏感的問題，并且其可能被放在機密的地方;一個真正有信譽的云服務(wù)公司應(yīng)該勇于承認自己的錯誤，并且認為一個事故是如何幫助公司改善其客戶安全政策、實踐和能力的。
在與云服務(wù)廠商簽訂合同之前(詢問他們關(guān)于你自己的內(nèi)部IT組織問題和其他問題并不影響)。即使是最成功的以及備受尊敬的云公司內(nèi)部可能也存在這樣的人，他們在等待合適的時機，一旦時機到來，他們就會采取惡意行為來中飽私囊或來達到他們自己的利益。雖然要找出一個犯罪者幾乎是不可能的，除非一切為時已晚，發(fā)出了警告信號。不滿、糟糕的績效考核、不加薪水、家庭問題、忙于工作并且偶爾發(fā)脾氣，這些都是警告信號。看起來可能毫不重要，但是要確保你的廠商的人力資源團隊能夠協(xié)助員工篩選過程和員工績效的持續(xù)監(jiān)控。在評估你的組織的安全態(tài)勢時，采取這些方法。就像你的供應(yīng)商一樣，你的組織可能會成為內(nèi)部威脅的目標。
在出現(xiàn)完全可靠的員工篩選、系統(tǒng)/網(wǎng)絡(luò)監(jiān)控、檢測預(yù)示內(nèi)部攻擊的人類績效變化的方法之前，像許多其他的IT服務(wù)公司一樣，基于云的服務(wù)廠商，不得不保持高水平的盡職調(diào)查和積極主動的工作監(jiān)督，以防止惡意的內(nèi)部攻擊。所以一定要考慮以上的建議。使廠商保持最高標準將有助于減少云計算內(nèi)部威脅。
京公網(wǎng)安備 11010502049343號