雲端運算 - 資安趨勢部落格

《趨勢專家談雲端運算》軟體定義網路重新洗牌：VMware收購Nicira，Oracle收購Xsigo

2012 年 08 月 21 日2012 年 08 月 22 日趨勢科技 TrendMicro

首先是VMware收購Nicira，接著Oracle收購Xsigo，最近幾個禮拜真是風起雲湧。這些重大的收購案將會完全打亂網路和資安產業原有的秩序，只是時間問題而已。

網路虛擬化已經開始八年了，不過一直都還是在地下的階段，除非你在特定的少數公司內，不然很容易就會遺漏掉它。一直到最近幾年，網路虛擬化、OpenFlow和軟體定義網路（SDN）才算是比較興起。

我曾經待過開始參與這幾間公司內。以下是為何我覺得這兩筆交易對雲端運算和網路的未來很重要的原因。這並非來自我的空想，我曾經是第一家網路虛擬設備公司的技術和行銷副總裁（Zeus Technologies，現在被Riverbed所併購）。我在Citrix的虛擬化業務部門進行策略規劃，就在他們併購NetScaler之後（這家網路公司已經成為Citrix雲端網路加速產品的骨幹）。我也曾經參與過兩家網路虛擬化的早期廠商 – Vyatta和3Leaf（Xsigo的前競爭對手之一）。而我關於雲端網路的書戶會在六個月左右推出。

在六月中旬，VMware技術長Steve·Herrod（我在去年RSA的雲端安全聯盟大會上介紹他上台），告訴CIO Journal軟體定義網路代表「想要虛擬化資料中心所需要的巨大改變，可以減少需要分別管理的的設備。」這代表不再需要更多Juniper和Cisco的路由器和交換器了，而是各種直接在雲端資料中心內運作的設備。

事實上，我曾在2007年的馬爾他NetEvents大會上說過類似的話：

我對未來資料中心的願景非常非常的龐大，將不再會有交換器，而是許多的虛擬設備。這一定會發生，因為變動虛擬設備要比變動交換器內建硬體要來得快的多。當你想要升級虛擬設備，就只是另一次的設備定期更新而已，你就有一套完整的內建網路安全功能了。

我真的非常高興VMware會快速地做出這項投資。Nicira交易看起來會讓軟體定義網路的世界由VMware作主，直到一分鐘後出現了Oracle/ Xsigo的新聞。

Nicira交易的影響

首先，幾個VMware收購事件必須注意的關鍵：

Nicira最大的幕後推手之一是Andreessen Howorwitz的Ben Horowitz。這並不令人驚訝，Ben從LoudCloud（又名Opsware）起家，他跟我一樣了解網路設定帶來的問題。我在Exodus Communications所做的初期雲端產品跟LoudCloud的初期雲端服務（也是基於Exodus資料中心）是互相競爭的。人們如果想將網路變得跟伺服器軟體一樣的有彈性，在撞過幾次牆之後通常都會想到一樣的結論！繼續閱讀

《趨勢專家談雲端運算》其實這四件事不會摧毀網際網路

2012 年 08 月 13 日2012 年 08 月 15 日趨勢科技 TrendMicro

作者：趨勢科技雲端安全副總裁Dave Asprey

紐約時報的暢銷作家David Eagleman幫CNN寫了篇很棒的文章 – 四種會摧毀網際網路的方法。

這是假設出現最糟糕的末日情節，當我們需要從頭建立起時，或許得在石板上留下如何重建電力、電腦和路由器（也許能用上Vyatta的開源網路軟體程式碼？）的說明。以下是在深思熟慮後，對這篇CNN文章的回應。

這些風險是真實存在的，但它們不會真的毀掉整個網際網路，因為我們今天所擁有的工具已經讓網際網路知道可以如何去「繞過」它們。

基於十五年幫忙建立網際網路和雲端技術的工作，包括五年在加州大學運行網站和網際網路工程計畫，五年在Exodus Communications和五年在像趨勢科技這樣的雲端安全公司工作，以下是我的看法。

Eagleman列出可能摧毀網際網路的四件事是：

一、來自宇宙的自然現象

太陽耀斑（Solar Flares）可能會摧毀衛星，甚至地面網路。沒錯，這之前發生過。

二、網路超限戰

他的意思是超限戰的目標包括國內的網路基礎設施。應該吧。

三、政治因素

鑑於中國、伊朗和埃及都曾經在不同時候切斷人民對網際網路的連結，美國參議院也批准一項法案去賦予總統權力使用「關閉網路開關」，這的確是真的（但網際網路不會真的消失）。

四、電纜斷裂

我們很脆弱，因為絕大部分的網際網路流量（約99％）都是靠海底電纜，而非衛星。在2008年二月初，許多連到回教國家的電纜被切斷，多到不大可能是件意外。你可以想像得到，每個國家都有軍事計劃知道切斷哪條纜線會影響到哪些國家。（但是網際網路不會消失）

繼續閱讀

雲端有多安全？7 個雲端數位生活自保守則

2012 年 08 月 08 日2012 年 08 月 08 日趨勢科技 TrendMicro

作者：趨勢科技全球消費性行銷副總裁 Tony Larks

雲端運算安全嗎？

還記得「無知是一種幸福」這句老話嗎？坦白說，如果講到線上安全，這句話可是大錯特錯。身為網際網路使用者，很重要的一點就是要隨時保持警覺，並且時時留意身邊所發生的一切，就像這個大家都在討論的「雲端運算」。它安全嗎？它可靠嗎?它…到底是什麼？

基本常識

好消息是，你在不知不覺當中已經每天都會接觸到雲端運算。雲端運算是 Yahoo、Gmail、部落格、社交網站、線上遊戲，還有 Google Docs 這類生產力工具，甚至是線上備份與網路儲存等等背後的技術基礎。

儘管我們習慣稱它為雲端，但其實並沒有一個包山包海的「雲端」存在，它是由許許多多獨立分散的小雲端組成。某些雲端背後是一些知名的大企業，如 Google、Facebook、Apple 及 Microsoft，他們透過雲端來直接提供你各種線上服務，其中某些是專為企業而設、只有企業內部員工在使用，也有某些是設計給一般個人和網路企業租用。

因此，雲端實際上存在全球數百萬個資料中心內的伺服器上，有些彼此相連，其他的各自獨立。這些伺服器透過網際網路為你的個人電腦、筆記型電腦、平板電腦和智慧型手機提供服務與應用程式。

反過來看，你也會將各種資料，包括：相片、電子郵件、即時通訊、記事本等等存放在服務供應商的伺服器上。也就是說，當你從智慧型手機登入 Gmail 帳號時，不論你在世界的哪一個角落，你都能立即開啟你的收件匣。而且當你將 iPhone 與 Apple Store 同步時，你就可以從 iCloud 存取你的應用程式、音樂與相片。

風險

我們都知道「雲端」為我們的生活帶來多大的改變，試試看一個星期不登入你的 Google 或 Facebook 帳號就知道，但這不是沒有風險的。凡是人潮和錢潮聚集的地方，歹徒絕對不會缺席。網路犯罪是相當龐大的商機，而且駭客在詐騙受害者以牟取暴利方面是箇中老手。

此外，網路上還有一個不斷壯大的地下黑市，專門買賣偷來的使用者資料，因此，這一切值得我們多提高警覺，並且遵循一些簡單的守則來防範這些歹徒。歹徒從你身上獲利的方式，不外乎利用一些假冒來自正式來源的網路釣魚電子郵件，誘騙你提供一些個人資訊，或者讓你的系統感染惡意程式。要讓你的電腦感染，只需讓你點選一下電子郵件或社交網站上的惡意連結，或是開啟一個惡意附件檔案，或者下載一個看似正派的手機 App 程式，甚至是讓你瀏覽某個遭到入侵的一般網站即可。

確保安全的技巧

雲端運算的龍頭廠商，如 Google、Facebook、Microsoft 都投注了不少經費來盡量確保其雲端資料中心的安全，包括採用國際認可的 IT 標準以及一些你看不到的額外實體安全措施。但儘管有這麼多的努力，雲端還是存在著某些漏洞，而且身為使用者的我們也必須負起部分責任。以下是一些你可做到的安全技巧：

務必使用複雜的登入密碼，而且不同的網路帳號切勿使用相同的密碼，以免一個外洩、全部遭殃。或者，你也可以試試趨勢科技的DirectPass密碼管理 e 指通這套解決方案來安全地管理你的所有密碼。
考慮使用一個安全的線上備份服務，將你所有的資料安全地存放在雲端，以防你的筆記型電腦或手機遺失或失竊。你可以試試趨勢科技 SafeSync™ 服務來安全地保管及存取你的資料。繼續閱讀

《趨勢專家談雲端運算》墮入虛擬化相關威脅的深淵

2012 年 08 月 06 日2012 年 08 月 06 日趨勢科技 TrendMicro

作者：趨勢科技 Bernadette Irinco

虛擬化環境裡的安全漏洞對企業來說也是很大的威脅，可能會造成業務中斷、資料被竊或是財務損失等後果。網路犯罪分子可以利用網頁伺服器或網頁應用程式的漏洞來進入本被隔離的部分公司伺服器。進而利用來存取公司的重要資產，像是客戶資料庫或是商業機密。而所偷來的資料可以在地下黑市出售，或是用來發動更進一步的攻擊。

然而，儘管公司資料有著明顯的風險，而且資料被入侵外洩後也得付出不少代價，但是系統管理員卻還是喜歡或是被迫地讓伺服器不去更新修補程式。系統管理員有時會延遲修補更新程式的佈署計畫，原因是要讓更新生效需要重新啟動系統，這對需要全天無時無刻正常運作的系統來說，可能意味著會有重大的商業損失。而且軟體廠商可能也要花上一段時間（幾天到數週不等，甚至數年）來開發修補程式給已知的漏洞，這也讓管理員沒有選擇。就在最近，微軟公開關於Microsoft XML核心服務漏洞的零時差攻擊。一旦攻擊成功，它就可以透過針對瀏覽器的網頁攻擊來控制受感染的系統，而在公佈時還沒有修補程式可用。僅在2011年，就有1822個關鍵的軟體弱點被公布，讓使用的公司都有可能陷於危險中。因此，管理員做出困難決定時，也可能讓自己的網路暴露於威脅中，或讓公司的資料陷入危險。

資料圖表 – 「安全防護虛擬環境所面臨的挑戰」將虛擬化相關問題具體的表達出來，介紹了對企業網路的相關威脅，像是舊系統漏洞、概念證明（Proof-of-concept）和零時差攻擊等威脅。一旦企業遺漏掉這些安全漏洞，就有可能會損害到品牌形象，或是更糟地讓公司失去重要的資產。

放眼未來：

防護虛擬環境的挑戰

企業可能暴露在這些安全漏洞的威脅，而讓虛擬化環境被入侵。落入這些威脅的深淵可能會讓他們的業務中斷，更糟的可能會導致資料外洩或財務上的損失。

虛擬主機間（Inter-VM）攻擊和其他淪陷方式

運行相同作業系統和應用程式的虛擬伺服器就跟實體伺服器一樣。所以像是惡意軟體和漏洞攻擊這些會影響實體環境的威脅，一樣會影響虛擬化環境。

繼續閱讀

寬頻、自帶裝置和雲端 – 是時候使用虛擬桌面架構（VDI）了嗎？

2012 年 07 月 19 日2012 年 07 月 23 日趨勢科技 TrendMicro

作者：趨勢科技Aaron Lewis

這些年來，軟體產業一直將虛擬桌面架構（VDI）講成可以解決各式各樣問題，從資訊安全到遠端協同合作再到節省硬體成本。已經有很多使用案例被提出來了，但是過去幾年間真正轉換到虛擬桌面結架構的人一直不多，市場滲透率已經落後於原本的預測了。虛擬桌面架構沒辦法真正佔有市場有好幾個可能的原因，即便有許多人認為在兩三年前就該成功的。讓我們看看真正採用時會遇到的一些關鍵障礙：

糟糕的效能。早期採用這技術的使用者會感到很沮喪，因為斷線問題和遲緩的螢幕反應會嚴重地影響他們的工作。而且許多原本在一般電腦上可以做的工作也都不能做了。購買和佈署虛擬桌面架構的資訊部門會被抱怨給淹沒，當他們強迫員工使用沒有辦法做到預期中效果的解決方案時。
缺乏殺手級購買動機。虛擬桌面架構的問題在於各使用案例零碎的分散在各行業內。醫療產業希望虛擬桌面架構讓員工可以隨時隨地使用，金融單位希望讓遠距上班的客服中心員工可以使用虛擬桌面架構，大企業希望虛擬桌面架構可以降低硬體和管理成本。但是，沒有一個主要解決問題是橫跨各行業的。這讓想購買的人認為「我要先看看目前的虛擬桌面架構」。

繼續閱讀