新的 Google Chrome 操作系統讓 IT 系統管理員對更安全的計算體驗燃起了一絲希望。許多系統管理員、IT 總監、信息安全長 (CSO) 對日復一日的系統與軟件修補更新都已感到厭倦。Google Chrome 是否真能提供這樣的安全性，是個很難回答的問題。我們正在進行一場大規模的網絡大戰，其中大多數威脅的主要目標都是竊盜。網絡犯罪者正從惡意程序、破解入侵以及其他惡意活動當中獲取龐大利潤。
而網絡犯罪者所利用的，就是桌上型電腦由 Microsoft 操作系統壟斷的情勢。對于專門攻擊 Microsoft 平臺的黑客來說，他們有源源不絕的電腦讓他們賺取足夠的利潤。這完全是單純的經濟規模效應。隨著其他操作系統 (例如 Mac OS) 開始受到歡迎并且取得更大的市場占有率，專門鎖定這些系統的攻擊數量就會自然增加，如同本文稍早所說。
不過 Google Chrome 是一個非常小而且開放原始碼的操作系統，其資料和應用程序都儲存在云。這表示，由于程序碼減少，軟件錯誤 (俗稱的臭蟲) 也應該會減少。此外，由于操作系統較小，而且不像現在這么強大，所以，目前這種安裝在本機的多用途惡意程序很可能就無法生存。
盡管如此，大家都知道網絡犯罪者非常容易適應，而且非常靈活，他們的攻擊技巧高明，經常改變策略，善于掌握最新的技術趨勢。所以，某些攻擊策略或許還是可行：
掌控到云的連線。網絡犯罪者只要對操作系統動一點手腳，稍微修改一下 DNS 記錄， 就能讓使用者在連上網頁應用程序時，先轉往地下惡意網站，然后才到達自己的網頁應用程序頁面。只要是無法完全封鎖通訊管道，使用者的資料就可能完全曝光。即使有 IPv6、加密、憑證等保護措施，這還是一個可能的攻擊方式。
攻擊云本身。如果云式應用程序以及云式操作系統成為主流，那么 99.99% 的可用性就是絕對必要。一部無法存取主機信息和應用程序的電腦就等于廢物。攻擊者有可能利用標準的殭屍網絡/傀儡網絡 Botnet (未來十年之內應該還會看到采用多用途標準操作系統的殭屍網絡/傀儡網絡 Botnet感染電腦) 來讓云基礎架構上的主機超載而癱瘓。或者，黑客也可能”要求”廠商必須給予小額”樂捐”才能讓已經癱瘓的云主機恢復營運。這些對網絡犯罪者來說，想必是利潤豐厚的生意。
這類攻擊手法事實上已經出現，只是規模不大而已，但是，一旦黑客目前的手法 (先讓桌上型電腦感染惡意程序然后再用于非法用途) 經濟誘因不再 (無法再找到足夠的受害者)，自然會有另外一種取而代之的方法出現。
某些攻擊策略或許還是可行：
掌控到云的連線。
攻擊云本身。
云服務廠商資料外泄。直接從云取得有價值的資料 (因為資料已經移到云)，例如：信用卡、身分證號碼、登入帳號密碼等等，將是每一個企業與家庭使用者最大的擔憂與考量。問題在于云服務廠商能否有效夠確保資料不會遭到非法存取，不會輕易讓黑客復制數百萬筆使用者資料、登入帳號密碼、網絡銀行資料、帳務資料、交易記錄等等。
網際網絡基礎架構的改變，將擴大網絡犯罪者的活動范圍。
云計算將帶來新的信息安全挑戰。
根據趨勢科技在 2009 年所做的一項云計算調查15 顯示，考慮采用運端計算的企業，同樣也認為云內的信息安全防護解決方案非常重要。當詢問到潛在的信息安全威脅，有 61% 的受訪者表示，在合理確定云計算不會帶來重大網絡安全風險之前，他們暫時不會采用云計算解決方案。
導入區域性頂層網域將會替舊的攻擊方式創造新的機會，讓黑客運用長相類似的域名發動網絡釣魚攻擊，例如，使用俄羅斯文字元來替代看起來很像的拉丁字元。趨勢科技跟產業分析師的看法相同，也就是說，云計算的接受度即將起飛，并且呈倍數成長。有三樣因素可能會迫使企業不得不采用：
網際網絡的壓力。采用云計算很容易，而且一些公共云的成功案例 (如 Amazon) 也告訴我們，您的內部用戶端，還有其他隨手可得的計算能力可供選擇。
成本考量。云計算有其成本效益，而且在目前經濟情況不明朗的大環境下，節省成本是首要考量。
競爭優勢。您的競爭對手已經開始采用，而且的確能夠創造競爭優勢。
不過，云計算也將造成威脅情勢上的轉變。以下我們將探討一些最值得注意的挑戰與威脅。
資料中心與云計算的新威脅
通常，對于剛開始認識或考慮采用云計算的使用者來說，其中的一項挑戰就是區分各種不同的云威脅，視云服務模式而定。目前有三種主要的服務模式：
軟件服務化 (SaaS)。透過網際網絡存取云的應用程序 (例如：salesforce.com、趨勢科技 HouseCall)。
平臺服務化 (PaaS)。將客戶開發的應用程序部署到云的服務 (例如：Google AppEngine 與 Microsoft Azure)。
基礎架構服務化 (IaaS)。有時亦稱”公用計算”(Utility
Computing)，意指處理器、儲存、網絡以及其他資源的租用服務 (例如：Amazon 的 EC2、Rackspace
以及 GoGrid)。客戶不需管理底層的云基礎架構，但是能夠掌控操作系統、儲存、網絡、所部署的應用程序，并且能夠選擇網絡元件 (防火墻)。
所以，有些公司專門從事某項工作，并且專心維持該項工作的安全。但從另一方面來看，這些采用同樣防護措施的系統，反而是網絡犯罪者更好攻擊的目標。其潛在危險就是，一旦有某個客戶遭到歹徒入侵，其他客戶也會連帶受到影響。
其中最受關注的議題之一，就是云計算改變了網絡邊界之后，是否會為運端內部署的應用程序與操作系統帶來風險。隨著云計算趨勢的發展以及云存放的資料越來越敏感，整體的風險也將隨之升高。
同樣地，客戶對服務供應商的依賴程度提高，也帶來了資料可用性與機密性的潛在威脅。服務供應商可能倒閉，或者可能發生災難或內部資料外泄。如此高度信賴公共服務供應商的結果，就是帶來一些新的威脅。
目前云計算的服務模式有三種：
軟件服務化 (SaaS) ─ 透過網際網絡存取云的應用程序。
平臺服務化 (PaaS) ─ 將客戶開發的應用程序部署到云的服務。
基礎架構服務化 (IaaS) ─ 有時亦稱”公用計算”(Utility
Computing)，意指處理器、儲存、網絡以及其他資源的租用服務。
在檢視潛在新興威脅的同時，別忘了舊的問題依然存在，網絡犯罪者最可能的作法是改進目前的技巧來攻擊新技術的弱點。
SaaS/PaaS 客戶必須仰賴 SaaS/PaaS 服務廠商的安全措施。客戶對廠商的安全防范措施必須有相當程度的信賴。這一點是面對新興威脅時所必須考量與追蹤的。
IaaS 的領域是由企業與 IaaS 服務供應商所共同掌握。此一領域的威脅包括操作系統、Hypervisor (Xen、VMware、Hyper-v) 以及應用程序的漏洞。
其中的關鍵挑戰之一就是，即使 IaaS 供應商的安全措施幾近完美，仰賴服務供應商的企業卻仍然已將自己的命運交付給單一廠商，失去能夠隨心所欲或視業務需求而更換不同廠商的好處。
雖然，由 IaaS 供應商來負責各種操作系統、交換器、Hypervisor、防火墻、安全漏洞的管理與防護，對某些企業來說是一件好事，但卻也暴露了廣大的攻擊層面。
另一個風險領域則來自內部。也就是，內部不肖人員可能掌握了足以通過供應商任一道或所有安全關卡的存取權限。
IaaS 之所以吸引許多企業，就是因為這種模式讓企業保有較大的掌控，而且如果要更換廠商，這或許也是最容易的一層。不過企業必須重新適應安全邊界的劃分方式，原本的安全邊界在資料中心周圍，現在則變成在每一個虛擬機器周圍，甚至在機器內的資料周圍。矽谷已經有多家新成立的企業可以讓使用者輕松地在不同的大型 IaaS 供應商之間的硬件切換。許多企業目前正在等待針對云設計的信息安全模型出現，因為他們希望擁有自己的信息安全方案并且在更換廠商時帶著走，如此才能讓他們在移轉機器時保有相同的控管措施，不須修改已審核的流程或程序。
錯綜復雜的租用關系可能帶來新的威脅
有可能發生利用旁門左道的攻擊 (side-channel attack) 或者信息外泄的風險，例如，如果使用者所分配到的存儲設備或磁盤，在上一位使用者用完之后沒有將內容抹除歸零。
資料中心攻擊
目前遭到入侵的網站數量已經多到足以令人擔憂。這些網站不是用于散播惡意程序、漏洞攻擊，就是用于接收黑客所竊取的信息。而相關的網頁代管服務供應商缺乏安全管制，也讓這個問題無法妥善解決。不幸的是，這些遭到滲透的網站，還可能被用來當作攻擊資料中心內部其他服務器的跳板。攻擊的方式包括：安裝惡意的 DHCP 服務器、惡意路由器或網絡竊聽器。這類資料中心攻擊將會是今日大規模網站入侵的進階翻版。
不安全的管理系統
Hypervisor 是負責讓多個虛擬機器在同一臺電腦上執行的軟件元件。Hypervisor 不僅帶來了新的能力，也帶來新的計算風險。隨著虛擬化逐漸成為主流，尋找新的方法來發掘風險并且保護這些新的基礎架構，將越來越為重要。而處于所有虛擬化方法中心的 Hypervisor，就是一個核心風險領域。
Hypervisor 可以完全掌控硬件上所執行的所有虛擬機器，因此，理所當然成為攻擊目標之一。Hypervisor 的保護極為重要，而且比表面上看來更加復雜。
虛擬機器會透過幾種不同的方法對 Hypervisor 發出請求，通常的作法是呼叫應用程序開發介面 (API)。另外，還有一組 API 可以讓主機用來管理虛擬機器。這些 API 是惡意程序碼攻擊的首要目標，因此，所有虛擬化廠商都針對 API 的安全性下了不少功夫，僅接受真正來自虛擬機器 (也就是通過驗證與授權) 的請求。這項功能非常關鍵。但必須特別注意，速度是所有 Hypervisor 最重要的條件之一，不能因此而犧牲整體效能。
針對這些管理系統的攻擊案例已經出現在 HyperVM/Lxlabs 事件，在該次事件當中，因為控制虛擬服務器的管理系統出現漏洞而導致 30,000 個英國網站消失。
某些虛擬化廠商已經將其 API 公開，例如 Amazon
Web Services，這當然會成為網絡犯罪者有興趣的攻擊目標。至于尚未將 API 公開的廠商 (如 vSphere)，雖然通常不會暴露在外，但還是可能成為邊界內惡意程序的攻擊目標。
從 API 的修改速度以及目前廠商爭相上市的情況來看，這些管理系統未來有可能出現安全問題。
阻斷服務
當企業采用云計算時，不論采用公共云或者采用從私人云延伸至公共云的 cloudburst 模式來處理工作負載，都存在著所謂的阻斷服務 (DoS) 風險，也就是無法區分惡意 DDoS 流量與正常流量，企業若要應付這類負載激增的狀況就必須花費成本。
更高的抽象化與脆弱的技術
邊界閘道協定 (Border Gateway Protocol，簡稱 BGP)、DNS 以及安全連接口層
(Secure Sockets Layer，SSL) 等等都是一些層層重疊的技術。這些技術都是在安全還不成問題的時代開發出來的，但現在卻被迫必須在當時從未預料的更大負載下運作。如果資料中心以及公共/私人云執行的復雜應用程序沒有將漏洞修補完整，這些技術可能有一天會出現危險。
新的邊界閘道協定攻擊技巧
全球路由基礎架構的穩定性與安全性疑慮將持續到 2010年及未來。2008年2月，我們看到由國家在背后支持的 IP Prefix 挾持事件17 。之后，在 2009 年 2 月，捷克的一家小型網際網絡廠商在網絡上散播很長的 ASpath (路由器自治系統路徑)，因而引發鄰近的路由器當機，造成大規模網絡中斷。雖然目前很少有蓄意性的攻擊，但路由器組態設定錯誤和路由器軟件潛伏的錯誤，將在2010年以及未來將可能會造成風險。
雖然目前很少有蓄意性的攻擊，但路由器組態設定錯誤和路由器軟件潛伏的錯誤，將在 2010 年以及未來將可能會造成風險。
北京金支點技術服務有限公司——專業HP ALPHA/SUN/IBM小型機維護，小型機租賃，小型機保修和ORACLE數據庫維護 服務外包專家。
京公網安備 11010802036102號