監(jiān)理公司管理系統(tǒng) | 工程企業(yè)管理系統(tǒng) | OA系統(tǒng) | ERP系統(tǒng) | 造價(jià)咨詢管理系統(tǒng) | 工程設(shè)計(jì)管理系統(tǒng) | 簽約案例 | 購(gòu)買價(jià)格 | 在線試用 | 手機(jī)APP | 產(chǎn)品資料
X 關(guān)閉

如何安全地使用IaaS云計(jì)算服務(wù)?

申請(qǐng)免費(fèi)試用、咨詢電話:400-8352-114

文章來(lái)源:泛普軟件

本文是云安全技術(shù)系列文章的第五篇,我們將集中討論遠(yuǎn)程管理解決方案中有關(guān)憑證缺乏、協(xié)議風(fēng)險(xiǎn)和實(shí)現(xiàn)缺陷對(duì)基礎(chǔ)設(shè)施即服務(wù)(Infrastructure as a Service,IaaS)的威脅。

到目前為止,我們已經(jīng)討論了來(lái)自操作系統(tǒng)的安全威脅,及其對(duì)Iaas服務(wù)的影響,我們可以通過(guò)遠(yuǎn)程管理機(jī)制處理威脅。通常,遠(yuǎn)程管理選項(xiàng)包括虛擬私有網(wǎng)絡(luò)(VPN)、遠(yuǎn)程桌面、遠(yuǎn)程Shell和Web控制臺(tái)用戶界面(UI)。我們正在討論的IaaS是有美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)協(xié)會(huì)定義的,IaaS的定義如下:

“為用戶提供計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)和其它基礎(chǔ)計(jì)算資源,用戶可以在上面部署和運(yùn)行任意的軟件,包括操作系統(tǒng)和應(yīng)用程序,用戶不用管理和控制底層基礎(chǔ)設(shè)施,但要控制操作系統(tǒng)、存儲(chǔ)、部署應(yīng)用程序和對(duì)網(wǎng)絡(luò)組件(如主機(jī)防火墻)有限的控制”。

正如之前的文章中談到的,對(duì)IaaS的威脅也包括那些與SaaS和PaaS相關(guān)的威脅。

IaaS遠(yuǎn)程管理選項(xiàng)

根據(jù)定義,IaaS資源在遠(yuǎn)端,因此你需要某些遠(yuǎn)程管理機(jī)制,最常用的遠(yuǎn)程管理機(jī)制包括:

VPN:提供一個(gè)到IaaS資源的安全連接(如隧道),通常在遠(yuǎn)程管理應(yīng)用程序不能保護(hù)其傳輸?shù)臄?shù)據(jù)時(shí)使用,最常見(jiàn)的解決方案包括PPTP(點(diǎn)到點(diǎn)隧道協(xié)議),L2TP(二層隧道協(xié)議),IPSEC(Internet協(xié)議安全)或SSL/TLS(安全套接字層或傳輸協(xié)議安全)。

遠(yuǎn)程桌面:為圖形界面工具提供了一個(gè)接口,通常在操作系統(tǒng)本身不支持基于命令行的管理時(shí)使用(如Windows操作系統(tǒng)),最常見(jiàn)的解決方案是Windows遠(yuǎn)程桌面或虛擬網(wǎng)絡(luò)計(jì)算機(jī)(VNC)。

遠(yuǎn)程Shell:為系統(tǒng)管理提供基于命令行的接口,這種環(huán)境的性能是最好的,最常見(jiàn)的解決方案是SSH。

Web控制臺(tái)UI:提供一個(gè)自定義遠(yuǎn)程管理界面,通常它是由云服務(wù)提供商開發(fā)的自定義界面(如管理亞馬遜AWS服務(wù)的RightScale界面)。

通用威脅

缺乏憑證是上述遠(yuǎn)程管理解決方案的主要威脅,弱認(rèn)證大多是由于缺少憑證,這是信息暴露在互聯(lián)網(wǎng)上最常見(jiàn)的方式,在本系列的第二篇文章中已經(jīng)討論過(guò)弱憑證問(wèn)題,這些問(wèn)題在IaaS中同樣存在,使用重復(fù)使用的用戶名和密碼或長(zhǎng)期共享的密鑰是遠(yuǎn)程管理解決方案目前面臨的主要威脅,必須得到解決。

其它兩個(gè)主要威脅

其它影響遠(yuǎn)程管理解決方案的主要威脅是協(xié)議相關(guān)的缺陷和實(shí)現(xiàn)缺陷,這些風(fēng)險(xiǎn)都?xì)w咎于漏洞,至于協(xié)議風(fēng)險(xiǎn),我們要談?wù)撓旅孢@些不同的服務(wù)類型:

VPN:在這個(gè)時(shí)候,協(xié)議主要是理論上的風(fēng)險(xiǎn),雖然它是經(jīng)常討論的對(duì)象,但非實(shí)驗(yàn)環(huán)境中的攻擊還是非常罕見(jiàn)的,緩解協(xié)議風(fēng)險(xiǎn)的唯一辦法是改變協(xié)議(如IPSEC over PPTP),或者是升級(jí)到打過(guò)補(bǔ)丁的協(xié)議版本(如SSL v3或TLS v1,TLS v2)。

遠(yuǎn)程桌面:有兩個(gè)主要的遠(yuǎn)程桌面協(xié)議,一個(gè)是RDP(遠(yuǎn)程桌面協(xié)議),微軟的遠(yuǎn)程桌面就是使用的它,另一個(gè)是終端服務(wù)客戶端和RFB(遠(yuǎn)程幀緩沖),著名的遠(yuǎn)程控制軟件VNC就是使用的它,據(jù)我所知,這兩個(gè)協(xié)議的最新版本仍然存在安全風(fēng)險(xiǎn),最好的辦法就是在一個(gè)安全通道內(nèi)運(yùn)行它們(如VPN)。

遠(yuǎn)程Shell:目前廣泛使用的遠(yuǎn)程sell協(xié)議是SSH和Telnet,Telnet是不安全的,不應(yīng)該在云中使用,但SSH的最新版本是安全的。

Web控制臺(tái):通常,基于Web的協(xié)議是HTTP或基于SSL/TLS的HTTP,因此HTTP或SSL/TLS的威脅一樣威脅著Web控制臺(tái)。

如何緩解這些威脅

現(xiàn)在你已經(jīng)知道問(wèn)題的存在了,下面是緩解這些威脅的一些個(gè)人建議:

1.緩解認(rèn)證威脅的最佳辦法是使用雙因子認(rèn)證,或使用動(dòng)態(tài)共享密鑰,或者縮短共享密鑰的共享期,你可能需要找服務(wù)提供商協(xié)商才能正確獲得這個(gè)功能,但這個(gè)努力還是值得的。

2.不要依賴于可重復(fù)使用的用戶名和密碼。

3.確保安全補(bǔ)丁及時(shí)打上。

4.對(duì)于下面這些程序:

SSH:使用RSA密鑰進(jìn)行認(rèn)證。

微軟的遠(yuǎn)程桌面:使用強(qiáng)加密,并要求服務(wù)器認(rèn)證。

VNC:在SSH或SSL/TLS隧道上運(yùn)行它。

Telnet:不要使用它,如果你必須使用它,最好通過(guò)VPN使用。

5.對(duì)于自身無(wú)法保護(hù)傳輸數(shù)據(jù)安全的程序,你應(yīng)該使用VPN或安全隧道(SSL/TLS或SSH),我推薦首先使用IPSEC,然后是SSLv3或TLSv1。

發(fā)布:2007-04-21 11:10    編輯:泛普軟件 · xiaona    [打印此頁(yè)]    [關(guān)閉]
相關(guān)文章:

泛普長(zhǎng)沙OA軟件行業(yè)資訊其他應(yīng)用

長(zhǎng)沙OA 長(zhǎng)沙新聞動(dòng)態(tài) 長(zhǎng)沙OA信息化 長(zhǎng)沙OA快博 長(zhǎng)沙OA軟件行業(yè)資訊 長(zhǎng)沙軟件開發(fā)公司 長(zhǎng)沙門禁系統(tǒng) 長(zhǎng)沙物業(yè)管理軟件 長(zhǎng)沙倉(cāng)庫(kù)管理軟件 長(zhǎng)沙餐飲管理軟件 長(zhǎng)沙網(wǎng)站建設(shè)公司