重建雲端安全認知　管理策略決定風險等級

Google與AWS兩起案例的共同點皆是維運疏漏所導致，究竟該如何防範降低風險性？由CyberRangers@TW舉辦的「資安Meetup」，邀請到擁有豐富雲端應用經驗的趨勢科技資深技術顧問李培寧，以及防治惡意攻擊已有近二十年經驗的微軟亞太區全球技術支援中心資訊安全暨風險管理經理林宏嘉，分享多年來的領域知識及所見所得。

多年混合雲應用經驗 資安問題關鍵在管理

趨勢科技本身是早期就開始採用雲端平台服務的「大戶」。李培寧說明，大量採用AWS、Azure公有雲服務，主要是為了提供給客戶更多Cloud as a Service或Security as a Service的服務，例如新上線可模擬社交工程攻擊的Phish Insight，免費註冊登入後，可指定釣魚郵件的樣本發送給公司所有員工，藉此測試資安的警覺性並查看圖形化呈現的統計資料。

至於私有雲的應用，是在全球7個區域建置資料中心，運用雲端平台快速啟用虛擬主機研究辨識，目前運行的虛擬主機超過1萬台，支應每天1,600億威脅查詢次數，包含每天平均產生50萬筆新威脅，須因此使用量相當龐大。

以趨勢科技佈建雲端服務的實戰經驗來看，李培寧分享須考量的重點，包含服務可用性、資料機密性、流量可視性、邊界防護、系統管理等方面。他進一步說明，論及資安，不外乎可用性、機密性、安全性。以Google網路中斷18小時事件來看，即屬於可用性問題。Google內部當然有建立容錯叢集（Failover Cluster）機制，之所以仍舊發生中斷，問題根源在於負載平衡出錯，即使建置備援機制也無法發揮效用。而導致錯誤的原因，則是韌體更新版本所造成，從資安的角度來看，該錯誤應屬於變更管理範疇，可能是上線前測試不夠完整引發。

資料的機密性方面，首要則是先定義內部資料的重要性等級，再決定是否應該存放到雲端平台。趨勢科技內部的資料一旦資料上傳後，不僅檔案須予以加密，也透過DLP方案執行控管，重要性等級較低的資料才允許分享。同時也透過流量可視性，以掌握上萬台虛擬主機同時運行的溝通行為，避免未經授權存取事件發生。

假設企業建置了完整的資安措施，若未妥善管理，也無法發揮作用。以趨勢科技的管理架構為例，並非由單一IT團隊掌管全數工作，而是區分為三個層級，分別由不同團隊負責管理，包含系統擁有者、雲端管理團隊、全球資安團隊7╳24小時監控。雲端管理團隊負責全球雲端安全控管，例如制定防火牆規則，需要統一的配置，只允許虛擬主機系統開放80與443連接埠，系統擁有者就必須遵循控管規則，若需開啟其他連接埠服務，則要跟雲端管理團隊溝通並啟用。

持續監控與維運 確保雲端服務安全性

▲ 趨勢科技資深技術顧問李培寧建議，若以採用負擔得起的資安防護為主要思維，必須先檢視公司內最重要的資產，再評估市場上可行的方案，建立可讓老闆與IT管理皆安心的防護措施。

在資安業界已有近二十年資歷的林宏嘉，觀察攻擊威脅手法的轉變，他認為，探討資安議題時多會著重於攻擊手法的解析與有效的抵抗方法，但是卻忽略了資安事件屬於犯罪問題，現代常見的威脅像是勒索軟體、APT攻擊、DDoS攻擊，皆是不當得利，已超越技術可協助的範疇，事實上，應該以犯罪預防的思維來因應。

市場上亦有探討以駭客思維處理資安事件的作法，問題是未曾有過犯罪行為者，如何揣摩攻擊者的邏輯？畢竟犯罪的情境與動機複雜度相當高，其實難以擬定有效的資安策略，若非身為國際級資安業者，恐難以經歷實戰訓練建立完整的視野。他進一步指出，微軟可說是全球駭客組織重要的攻擊標的，僅次於美國政府，因此每天皆可接收來自世界各地的攻擊挑戰，也讓微軟內部資安團隊練就足以相抗衡的能力。

多年來協助本土企業處理雲端安全事件的經驗，林宏嘉觀察，最大的問題在於業主對雲端平台服務的錯誤認知，認為原本內部運行的資訊系統只要遷移上雲，即可確保安全無虞，實際上常見的狀況是系統本身漏洞百出，甚至早已被入侵成功，原封不動地搬到雲端平台，根本無法解決資安問題。

▲ 微軟亞太區全球技術支援中心資訊安全暨風險管理經理林宏嘉建議，採用雲端服務前，務必先清楚定義需求項目，之後選用雲端服務時，須講究服務條款的內容是否符合需求，才不致造成認知上的落差。

其次則是雲端架構設計失當。「就我觀察，採用嵌入式系統架構於內網的VPN服務，攻擊者只要滲透入侵系統取得最高權限，即可暢行無阻。於是客戶環境的核心營運系統不論地端或雲端，皆已遭惡意入侵根本無法補救，只能砍掉重練。這類事件凸顯出架構設計方面的錯誤，業主決定發展雲端應用模式前，忽略了控管模式的重要性，殊不知出現漏洞被攻擊者所利用，需付出的代價可能遠高於自建維運。」

近期持續增加中的案例之一，則是客戶端在四百多台主機上發現挖礦程式，才發現是雲端費用暴增的主因。由此可發現，該公司把系統建置在雲端平台後就疏於管理。「因此我認為，雲端發展策略首要制定明確的執行目標，再進行規畫設計，以免讓惡意人士有機可趁得以滲透進入系統，釀成災禍。不論是既有系統遷移上雲，抑或是原生於雲端所開發，上線運行後皆必須持續監控與維運，不是只有雲端資源使用量的統計報表而已。」林宏嘉強調。