雲端有多安全?7 個雲端數位生活自保守則

作者:趨勢科技全球消費性行銷副總裁 Tony Larks

雲端運算安全嗎?

還記得「無知是一種幸福」這句老話嗎?坦白說,如果講到線上安全,這句話可是大錯特錯。身為網際網路使用者,很重要的一點就是要隨時保持警覺,並且時時留意身邊所發生的一切,就像這個大家都在討論的「雲端運算」。它安全嗎?它可靠嗎?它…到底是什麼?

雲端 安全嗎?
雲端 安全嗎?

基本常識

好消息是,你在不知不覺當中已經每天都會接觸到雲端運算。雲端運算是 Yahoo、Gmail、部落格、社交網站、線上遊戲,還有 Google Docs 這類生產力工具,甚至是線上備份與網路儲存等等背後的技術基礎。

儘管我們習慣稱它為雲端,但其實並沒有一個包山包海的「雲端」存在,它是由許許多多獨立分散的小雲端組成。某些雲端背後是一些知名的大企業,如 Google、Facebook、Apple 及 Microsoft,他們透過雲端來直接提供你各種線上服務,其中某些是專為企業而設、只有企業內部員工在使用,也有某些是設計給一般個人和網路企業租用。

因此,雲端實際上存在全球數百萬個資料中心內的伺服器上,有些彼此相連,其他的各自獨立。這些伺服器透過網際網路為你的個人電腦、筆記型電腦、平板電腦和智慧型手機提供服務與應用程式。

反過來看,你也會將各種資料, 包括:相片、電子郵件、即時通訊、記事本等等存放在服務供應商的伺服器上。也就是說,當你從智慧型手機登入 Gmail 帳號時,不論你在世界的哪一個角落,你都能立即開啟你的收件匣。而且當你將 iPhone 與 Apple Store 同步時,你就可以從 iCloud 存取你的應用程式、音樂與相片。

風險

我們都知道「雲端」為我們的生活帶來多大的改變,試試看一個星期不登入你的 Google 或 Facebook 帳號就知道,但這不是沒有風險的。凡是人潮和錢潮聚集的地方,歹徒絕對不會缺席。網路犯罪是相當龐大的商機,而且駭客在詐騙受害者以牟取暴利方面是箇中老手。

此外,網路上還有一個不斷壯大的地下黑市,專門買賣偷來的使用者資料,因此,這一切值得我們多提高警覺,並且遵循一些簡單的守則來防範這些歹徒。歹徒從你身上獲利的方式,不外乎利用一些假冒來自正式來源的網路釣魚電子郵件,誘騙你提供一些個人資訊,或者讓你的系統感染惡意程式。要讓你的電腦感染,只需讓你點選一下電子郵件或社交網站上的惡意連結,或是開啟一個惡意附件檔案,或者下載一個看似正派的手機 App 程式,甚至是讓你瀏覽某個遭到入侵的一般網站即可。

確保安全的技巧

雲端運算的龍頭廠商,如 Google、Facebook、Microsoft 都投注了不少經費來盡量確保其雲端資料中心的安全,包括採用國際認可的 IT 標準以及一些你看不到的額外實體安全措施。但儘管有這麼多的努力,雲端還是存在著某些漏洞,而且身為使用者的我們也必須負起部分責任。以下是一些你可做到的安全技巧:

  1. 務必使用複雜的登入密碼,而且不同的網路帳號切勿使用相同的密碼,以免一個外洩、全部遭殃。或者,你也可以試試趨勢科技DirectPass密碼管理 e 指通 這套解決方案來安全地管理你的所有密碼。
  2. 考慮使用一個安全的線上備份服務,將你所有的資料安全地存放在雲端,以防你的筆記型電腦或手機遺失或失竊。你可以試試趨勢科技 SafeSync™ 服務來安全地保管及存取你的資料。 繼續閱讀

從CSA看雲端服務與資訊安全威脅(CloudSec2012 企業資安高峰會精彩議題搶先看)

CloudSec2012 企業資安高峰會 <立即報名>

蔡一郎

CSA(Cloud Security Alliance)雲端安全聯盟台灣分會創辦人暨研究小組召集人

雲端服務成為下一波網路攻擊的目標,新概念的服務導向型態,推動了下一波的資訊科技革命,進階的攻擊手法目前已朝向組織化、精緻化發展,大規模的攻擊行為已不多見,取而代之的是經過精心設計的網路攻擊,其中利用各種惡意程式感染受害者為當下最常見的手法之一,將針對雲端服務的安全問題進行探討,從雲端安全聯盟(CSA, Cloud Security Alliance)的角度,分析目前常見的資訊的竊取或是大規模的攻擊活動,其中對於惡意程式行為模式的掌握,對於特徵比對的方式進行偵測,變種速度快,系統一旦感染,防毒軟體不易偵測與清除等特性進行介紹

CSA依據不同的研發主題,已啟動了近二十個工作小組以因應目前雲端服務的發展趨勢,並嘗試從學術、產業、政府部門等角度,針對雲端服務的安全問題進行研析,雲端服務的平台受到特定的攻擊,造成雲端服務平台的資源耗盡或系統弱點被廣泛的運用,其中所隱藏的風險,將挑戰使用者對於雲端服務平台的信賴程度,面對此種威脅,講者將透過深入淺出的介紹,帶領與會人員掌握與瞭解雲端服務需要解決的資訊安全威脅與面臨的挑戰。

 
  • 蔡一郎,現職為財團法人國家實驗研究院 國家高速網路與計算中心副研究員,為IT界知名評論家與自由作家,擔任The Honeynet Project 台灣分會負責人(Taiwan Chapter Leader),雲端安全聯盟台灣分會(Cloud Security Alliance Taiwan Chapter)創辦人暨研究小組召集人(Founder and Director of Research),積極推動資訊安全領域關於偵測、分析與誘捕技術之推廣與研究,以及雲端安全在於產官學研界之核心技術;負責台灣學研網路資訊安全維運 與事件的偵測、分析與追蹤,為大型資訊安全計畫執行團隊負責人;專業技術精通UNIX-Like、Windows 作業系統與通訊網路技術,熟悉資訊安全領域相關技術,涵蓋系統安全、網路安全、資訊安全管理制度、資訊探勘與數位鑑識等領域。
  • 現職:財團法人國家實驗研究院 國家高速網路與計算中心 副研究員
  • 學歷:國立成功大學電腦與通訊研究所
  • 經歷:國立成功大學研究發展基金會 助理研究員
    1. The Honeynet Project Taiwan Chapter Leader
      Cloud Security Alliance Taiwan Chapter Founder and Director of Research
  • 網站:https://blog.yilang.org/
  • 自由作家:電腦圖書著作33本、Information Security (資安人)、Linux Guide、NetAdmin等專欄,計70餘篇
  • 專業證照:RHCE、CCNA、CCAI、CEH、CHFI、ACIA、ITIL Foundation、ISO 27001 LAC、ISO 20000 LAC、BS10012 LAC

    CloudSec2012 企業資安高峰會 <立即報名>

  •  CloudSec2012 企業資安高峰會-8/21台北場 8/23 高雄場(另有粉絲報名禮"萬用轉接頭" 即刻報名!!!) 繼續閱讀

Dropbox入侵外洩事件所遺留的疑點

作者:趨勢科技資深分析師Rik Ferguson

在7月18號,Dropbox宣稱他們開始調查有使用者聲稱在只跟Dropbox帳號有連結的電子郵件信箱裡收到垃圾郵件(SPAM)電子郵件的事件。兩個星期過後,這其中的問題似乎已經被釐清了。

 

Dropbox表示:「最近其他網站被盜的使用者名稱和密碼可以被用來登入到少數的Dropbox帳號」。而其中一個被不當存取的帳號正好屬於Dropbox員工,「裡面含有帶使用者電子郵件地址的專案文件」。他們相信垃圾郵件(SPAM)

是因此而來的。

 

對我來說,這項消息跟它被處理的方式裡面有幾個真正重要的問題。Dropbox工程師在「專案文件」裡使用真正的客戶資料,為什麼,不是應該用假資料嗎?而這份文件可以被存取,看起來是因為Dropbox員工將公司帳號密碼重複使用在其他被入侵的網頁服務上。他們沒有指明是哪些服務,但再次地,為什麼呢?

 

其次,Dropbox選擇透過電子郵件去通知被外洩的使用者,郵件內包含一個連結去重設密碼。這做法跟我們一直以來建議使用者不要去點來路不明郵件內的連結相衝突,尤其是那些要求你連上某個網站去輸入認證資料的郵件。總的來說,根據使用者回報,首頁上沒有出現對這次攻擊事件的說明,也沒要求使用者變更密碼,這樣子讓他們送出的密碼重置信件的可信度產生了問題。比較理想的作法是,受影響的組織可以發送電子郵件通知,但不是提供密碼重置連結,他們應該引導使用者到公司首頁,並在那裡提供進一步的資訊。

 

最後,Dropbox表示,因為被入侵的結果,有些使用者的密碼會被重設(「在某些狀況下,我們會要求你變更密碼(例如,如果它是個常見密碼或已經很長一段時間沒有變更)」)。問題是,Dropbox要如何知道一個使用者的密碼是個「常見密碼」呢?他們是用明文儲存密碼的嗎?他們儲存密碼是用未加料的雜湊值(unsalted hash)嗎(就像LinkedIn)?他們對每個使用者都加一樣的料,還是他們設計雜湊演算法時注重速度更勝於安全呢?如果以上任一點屬實,那麼他們的密碼資料庫就很容易遭受彩虹表(rainbow table)攻擊,這可不是件讓人放心的事情。

理想上,儲存使用者密碼時,應該為每個使用者都加獨特的料,而在設計雜湊程序時也要採用可以加入「工作因子(work factor)」的演算法(像是Blowflish)。這會大大增加破解個人密碼的時間,因為工作因子是可變動的,可以進行修改以跟上電腦運算能力的進步。只要增加工作因子就可以讓雜湊演算過程變慢。對單一運算的影響是微不足道,但想利用彩虹表攻擊來進行大規模運算就變得不大可能了。

 

很高興聽到Dropbox會替使用者實施雙因子認證,還有他們所宣布的其他的安全加強措施。但這次消息跟他們的處理方式還是留下了許多疑點。

 

除此之外,Dropbox的使用者現在要小心會利用Dropbox做餌的釣魚攻擊了。犯罪份子一定會想到去利用它的。而且這件事也告訴了我們,為什麼應該要在每個網路帳號都使用不同的密碼。如果你無法信任你的服務供應商,你就必須會自己的安全負責。

 

@原文出處:Dropbox Breach leaves unanswered questions

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁上按讚:https://www.facebook.com/trendmicrotaiwan

@延伸閱讀
測試你的密碼:更多的密碼外洩事件(含複雜密碼,簡單記憶法設定教學)

“電子郵件帳號被入侵,還好裡面沒重要的東西?! “事實上,裡面是大有東西在。

從 Yahoo 被駭事件,看如何降低線上服務資料外洩,對你帳號密碼的衝擊?(含歷年最駭密碼一覽表)

【圖表】LinkedIn被盜帳號的前30大常用密碼(F開頭髒話和 ILOVEOU 都不是好主意)

 

 

 

【立即下載試用PC-clin 2012 雲端版 臉書地雷區 bye bye~

◎ 免費下載防毒軟體:歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻按這裡下載

@參考推文

雲端系!史上最強防毒軟體現身 看更多<PC-cillin真的不一樣>100字推文

◎ 歡迎加入趨勢科技社群網站
   

《趨勢專家談雲端運算》墮入虛擬化相關威脅的深淵

作者:趨勢科技Bernadette Irinco

虛擬化環境裡的安全漏洞對企業來說也是很大的威脅,可能會造成業務中斷、資料被竊或是財務損失等後果。網路犯罪分子可以利用網頁伺服器或網頁應用程式的漏洞來進入本被隔離的部分公司伺服器。進而利用來存取公司的重要資產,像是客戶資料庫或是商業機密。而所偷來的資料可以在地下黑市出售,或是用來發動更進一步的攻擊。

 

然而,儘管公司資料有著明顯的風險,而且資料被入侵外洩後也得付出不少代價,但是系統管理員卻還是喜歡或是被迫地讓伺服器不去更新修補程式。系統管理員有時會延遲修補更新程式的佈署計畫,原因是要讓更新生效需要重新啟動系統,這對需要全天無時無刻正常運作的系統來說,可能意味著會有重大的商業損失。而且軟體廠商可能也要花上一段時間(幾天到數週不等,甚至數年)來開發修補程式給已知的漏洞,這也讓管理員沒有選擇。就在最近,微軟公開關於Microsoft XML核心服務漏洞的零時差攻擊。一旦攻擊成功,它就可以透過針對瀏覽器的網頁攻擊來控制受感染的系統,而在公佈時還沒有修補程式可用。僅在2011年,就有1822個關鍵的軟體弱點被公布,讓使用的公司都有可能陷於危險中。因此,管理員做出困難決定時,也可能讓自己的網路暴露於威脅中,或讓公司的資料陷入危險。

 

資料圖表 – 「安全防護虛擬環境所面臨的挑戰」將虛擬化相關問題具體的表達出來,介紹了對企業網路的相關威脅,像是舊系統漏洞、概念證明(Proof-of-concept)和零時差攻擊等威脅。一旦企業遺漏掉這些安全漏洞,就有可能會損害到品牌形象,或是更糟地讓公司失去重要的資產。

 放眼未來:

防護虛擬環境的挑戰

防護虛擬環境的挑戰
防護虛擬環境的挑戰

企業可能暴露在這些安全漏洞的威脅,而讓虛擬化環境被入侵。落入這些威脅的深淵可能會讓他們的業務中斷,更糟的可能會導致資料外洩或財務上的損失。

虛擬主機間(Inter-VM)攻擊和其他淪陷方式

運行相同作業系統和應用程式的虛擬伺服器就跟實體伺服器一樣。所以像是惡意軟體和漏洞攻擊這些會影響實體環境的威脅,一樣會影響虛擬化環境。

繼續閱讀