分類: 雲端運算

十大AWS安全祕訣：第二條，密碼策略和多因子身分認證

Trend Labs 趨勢科技全球技術支援與研發中心

作者：Mark Nunnikhoven

在介紹如何利用AWS身份和存取管理來保護資源的文章裡，Justin介紹了AWS身份存取管理（IAM）的基本知識。今天我們要來看看如何使用IAM來設定密碼策略和多因子身分認證。

密碼策略（Password Policies）

使用強密碼的重要性是眾所周知的。大多數組織都已經有了密碼策略。這種策略通常會定義複雜度（像是包含多少個數字、特殊字元和密碼長度等），以及變更週期（像是每九十天就必須變更密碼）。

有些策略會更進一步，對於不同的設備或角色有不同的要求。CSIS的前廿項控制裡的第12項 – 「控制管理權限的使用」裡介紹了密碼策略的強化。就是要確保具有管理存取權限的人使用複雜密碼，並且必須一年變更好幾次。

IAM目前提供了一連串的設定來強制執行密碼策略。你可以為你的AWS帳號設定密碼策略。這策略可以讓你定義密碼的複雜度，但並不能設定變更週期。

現在就開始使用密碼策略是很棒，但你需要手動要求使用者定期變更密碼，或是採取別的方法加強……或是雙管齊下！

多因子身份認證

AWS的多因子身份認證（MFA）正是我們用來加強密碼策略的方法。

那麼，到底什麼是MFA？就是使用一個以上的認證因子來驗證誰是使用者。有三個常見因子：你知道什麼東西（something you know）、你擁有什麼東西（something you have）和你的生物特徵（something you are）。

 

我們的使用者已經具備了一個因子，就是密碼（使用者知道的東西）。對於AWS，第二個因子是使用者擁有的東西。可能是硬體認證裝置（可向AWS購買）或用軟體認證裝置，安裝在智慧型手機或其他設備上。

這些認證裝置會顯示隨機生成的數字，必須在使用者輸入自己的帳號和密碼登錄AWS管理控制台時輸入。這數字每隔幾秒鐘就會變化一次，以確保使用者在登錄時有認證裝置在身上。

現在想要認證成功，就必須輸入正確的帳號密碼，加上由正確認證裝置在使用者登錄當下所產生的數字。

繼續閱讀

< 雲端運算 >十大AWS亞馬遜網路服務安全祕訣：第一條，用IAM保護你的資源

Trend Labs 趨勢科技全球技術支援與研發中心

在接下來的幾個星期，我們將會探討如何防護AWS（亞馬遜網路服務）環境的最佳做法。在我們深入到防護你的虛擬機器、應用程式和資料之前，讓我們從最頂端開始。

作為AWS共享責任安全模型的一部分，AWS消費者防護好自己的服務可以發揮重要的作用。早在二〇一二年十一月的AWS re:invent大會上，Max Ramsay就將AWS與CSIS廿個關鍵安全控制對應，作為進一步了解AWS和客戶端（你）之間共同責任的框架。關鍵控制的第十二項是控制管理權限使用，負起保護責任是身為AWS用戶的你所必須加以正視的。在接下來的幾個星期，我們會聚焦在你所需要負起責任的關鍵控制。

在虛擬化或雲端世界，管理權限就好比是作業系統上的管理者帳號。不過，現在你有更多組強大的身份需要管理，好存取AWS控制台和API。

收起你的AWS管理者（root）帳號，利用IAM（身份存取管理）來啟動存取權限

當你開始使用AWS，你會獲得一組帳號和密碼。這個帳號擁有存取你所有AWS資源和帳務資訊的權限。不要跟任何人分享！我知道有某個經理跟他的團隊共享帳號，他們很快就發現可以用經理的信用卡在Amazon.com上買東西！

確認該帳號安全後，接著進到控制台上的IAM 選項，開始定義群組和使用者。

一般情況下，你會需要兩種類型的使用者：

  • 需要帳號密碼存取AWS控制台的人
  • 使用存取密鑰帳號（Access Key Id）和秘密存取金鑰（Secret Access Key）來存取API的程式

在這兩種情況中，你會想透過群組來分配所需的最低權限給使用者。AWS會幫你提供一些策略範本。例如，你可能會想提供操作人員「Power User Access」權限，而給開發人員「EC2 Full Access」權限。 繼續閱讀

什麼是雲端運算?雲端運算定義

趨勢科技 TrendMicro

什麼是雲端？

在過去，所有檔案都儲存在硬體上。派對照片、試算表和學校作業都存放在硬碟或光碟上。但今天，你會將照片儲存到Facebook、Instagram或Picasa上。檔案上傳到Dropbox或Google雲端硬碟。甚至可能會放在電子郵件信箱內，透過電子郵件附件寄給自己的方式！你知道你的檔案就放在某處，但到底是哪裡？

這些檔案放在雲端之中。雲端就是提供你服務的地方，當你有需要時可以在任何時間地點用來儲存資料、執行應用程式。註1 跟需要下載的桌面應用程式不同，雲端服務可以透過網路和行動裝置在任何時間地點使用。註2

雲端服務可以根據你的需求來擴充資源，這比買硬體便宜。註3 也讓人有無限儲存空間的錯覺。

為何要轉移到雲端？

 

想像一下有無限而安全的儲存空間，用合理的價格來備份你的資料。而這些只是人們將資料轉移到雲端的部份原因。

 

雲端服務同時也可以處理需要硬體或本機端軟體的工作。比方說伺服器，現在是代管在雲端服務。像Google等公司也將他們的應用程式放在雲端環境。Google雲端硬碟、Vimeo、Flickr、WordPress和Widgetbox，這些都是受歡迎的雲端產品之一。註4

 

註1  https://media.johnwiley.com.au/product_data/excerpt/90/04708879/0470887990-180.pdf

註2  https://www.readwriteweb.com/cloud/2012/05/the-web-vs-the-cloud-which-metaphor-survives.php

註3 https://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-risk-assessment

註4 https://theinstitute.ieee.org/technology-focus/technology-topic/a-view-inside-the-cloud

 

屬於你天空的雲端

 

雲端可以有各種不同的使用方式。

 

檔案儲存和分享

  • 類似Dropbox、iCloud和Box等服務都提供免費的儲存空間，而且讓你可以付費取得更多空間。這些服務可以讓同一份檔案和資料夾在多個設備間同步。也讓你可以去分享檔案連結。

 

多媒體儲存和播放

  • 你不再需要沖洗照片、下載MP3或電影。Picasa、Spotify、Netflix、Soundcloud和其他服務可以讓你在各種設備上經由網路來播放多媒體檔案。

 

系統備份和回復

  • 有些作業系統會提供雲端備份和回復服務以備不時之需，像設備損毀或失竊，或是你的資料在各種情況下被刪除了。

 

銀行和金融

  • 像Mint和PageOnce等個人理財服務可以讓你更簡易的監控費用、賬單或查看不同貨幣的投資組合。

 

社群媒體和通訊

  • 雲端也可以讓你用來溝通和談心！Facebook和Twitter等社群網站都有應用程式讓你使用。即時通（IM）和語音服務像Google Voice和Skype可以讓你透過網路來打電話和聊天，而不是用一般的電話。

 

筆記和書籤

  • 利用應用程式來複製連結是老把戲了，像Evernote和Instapaper都可以讓你點幾下就能儲存筆記和書籤。

 

為何要飛翔在雲端？

 

這裡有些搬移到雲端的原因：

 

  • 資料存放在雲端，對你而言意味著更少的硬體。

 

  • 不再需要去更新多份副本檔了。

 

  • 更容易去分享你的資料給所有人，或只給指定的對象。

 

  • 有許多的免費應用程式，你可以升級以獲得更多功能。

 

  • 許多應用程式會互相連結。比方說你可以設定推文也出現Facebook上。

 

  • 利用應用程式或線上購買多媒體通常比較便宜。

 

  • 你的設備負載將會更少，因為雲端處理了一半的工作。

 

  • 節省時間和精力在一些雜事上，像是製作費用圖表或付賬單。

 

  • 可以讓你少付些電話或專業服務費用。 如同他們所說的，有應用程式可以做！

 

什麼是雲端運算?雲端運算定義

發表者：趨勢科技資料外洩防護小組資深協理 Todd Thiemann

雲端運算 (Cloud Computing) 是目前電腦產業最夯的用語，但它的意義對許多人來說都不盡相同。不過，趨勢科技卻必須透過同一個詞彙來描述雲端運算的多種面向。有鑑於此，本文希望點出雲端運算的各種面貌，藉此讓大家在討論時能有所共識。本文從實用而非理論的角度出發，提出我們客戶在討論雲端運算與不同雲端形式時所用的詞彙。

很多聰明的人已經開始注意到雲端運算的安全問題，並且開始觀察人們消費雲端運算的方式。下圖顯示的供應模式以及雲端運算的實用定義，請參閱美國國家標準暨技術機構 (US National Institutes of Standards & Technology) 資訊科技實驗室 (Information Technology Lab) (https://www.nist.gov/) 兩位研究員 Peter Mell 與 Tim Grance 所著的簡報：https://csrc.nist.gov/groups/SMA/ispab/documents/minutes/2008-12/cloud-computing-standards_ISPAB-Dec2008_P-Mell.pdf。

 

軟體服務化 (SaaS)：透過網際網路存取雲端的應用程式 (例如：Salesforce.com、趨勢科技 HouseCall)。

平台服務化 (PaaS)：將客戶開發的應用程式部署到雲端的服務 (例如：Google AppEngine 與 Microsoft Azure)。

基礎架構服務化 (IaaS)：有時亦稱「公用運算」(Utility Computing)，意指處理器、儲存、網路以及其他資源的租用服務 (例如：Amazon 的 EC2、Rackspace 以及 GoGrid)。客戶不需管理底層的雲端基礎架構，但是能夠掌控作業系統、儲存、網路、所部署的應用程式，並且能夠選擇網路元件 (防火牆)。

繼續閱讀