前言

繼電腦科技電子報第173期<不可不知的雲端運算資安問題>一文，筆者將再以雲端應用的用戶角度出發，為大家揭開雲端應用下的資安問題。

一般使用者與企業

當企業或使用者考慮將資料、程式/程序往雲端服務遷移會有甚麼資訊安全方面的考量呢?許多人可能會有下面的這些疑問：

• 雲端資料會不會不見?
• 雲端資料有沒有加密?
• 雲端資料會不會被竊取?
• 有沒有人會側錄我的網路封包?
• 是否有其他人可以攻擊我並取得我的資料或程式?
• 與他人共享資源會不會連我的資料與程式也被分享?
• 雲端是否紀錄相關的日誌(log)以便事件的追蹤與鑑識?
• 退租之後雲端資料是否被確實刪除?
• 從自己的電腦操作雲端設備是否安全?

這些問題並沒有一個絕對肯定的答案，視採用雲端服務模式與供應商的不同而有所差異;實務建議是當要往雲端服務遷移前需執行風險管理。如了解雲端是甚麼?考慮甚麼資料或程式(序)可放在雲端?採用哪種服務模式與服務供應商?找到這些資料/程式(序)後要實施風險評估，如雲端有甚麼新威脅?了解目前的控制措施放在雲端是否合適與足夠?與法律、法規、企業/組織的資訊安全政策是否吻合或有不足?上了雲端之後可接受的風險程度為何?矯正預防措施為何?

總結其精神可以以法規模組(Compliance Model)，與未上雲端前因政策強制規定所制定的安全控制模組(Security Control Model)與雲端模組(Cloud Model)三個模組來做整體評估(如圖一)，一旦資料、程式/程序往雲端服務遷移是否還能維持法規模組與安全控制模組的要求呢?在評估過程中發掘各模組間的安全差距(Gap)是否有可接受的保護措施來評估要不要上雲端?這與一般企業決定是否要將資訊外包的風險管理過程很類似，但是在諸多風險因素評估中多了雲端因素的風險。

雲端計算安全聯盟(Cloud Security Alliance，CSA)提出一種較簡明的做法供企業/個人擬定雲端服務資訊安全相關措施的參考;該法將雲端服務供應商與雲端用戶(如企業或個人等)所需的安全責任做粗淺的區分，以對雲端服務的管控能力對映(map)到SaaS、PaaS、IaaS三種服務模式，採堆疊(stack)的概念層層堆疊；最底層是IaaS、中間層是PaaS、最上層是SaaS，上層堆疊涵蓋下層的堆疊，不同服務模式堆疊中的雲端用戶有著不同程度的安全責任。如圖二。

SaaS的供應商因對其所提供的雲端軟硬體設備與應用程式等雲端服務資源有絕對程度的管控能力，因此雲端用戶們的資安保護重點就放在與SaaS服務供應商之間合約內容，如各種SLA(Service Level Agreement)的制定，賠償責任的要求等等;當然這牽涉到資訊透明度的提供(ex:SaaS供應商是否願意公佈其作業流程並可讓客戶檢視)與彼此間的協商能力來決定。

IaaS的用戶因具可在虛擬機(Virtual Machine)上安裝管控作業系統、應用程式與資料的權力，故就要負作業系統、應用程式與資料保護這三個領域大部分的安全責任。

PaaS的用戶對雲端服務各種資源管控程度介於SaaS與IaaS間，故用戶資安保護重點應放在自己所開發的應用程式安全上面。

不管用戶採SaaS、PaaS、IaaS哪種服務模式，皆可尋求資安廠商或專業顧問公司協助來降低這些安全威脅。目前市面上有許多的雲端安全的產品，大多廠商做法是將原有的資安產品或技術想辦法應用在雲端虛擬化這個領域。虛擬平台廠商則開放一些API介接介面(exVMware 的VMSafe)供軟體廠商開發虛擬化防護產品(ex TrendMicro的DeepSecurity)來保護VMWare虛擬機。不管如何，服務供應商與用戶間應開誠佈公的緊密合作，彼此配合方能確保雲端的個人使用者與企業用戶資訊資產的安全。

雲端服務供應商

雲端服務供應商對所建置的雲端服務需要有甚麼樣的資安保護以降低安全風險呢?對應圖五的堆疊，SaaS的供應商從雲端服務的實體安全、網路安全、系統安全、應用安全甚至到人員安全、程序安全等需承擔大部份的資安責任。IaaS的供應商應將資安重點放在實體安全、環境安全與虛擬化安全。PaaS的供應商則需保證平台與供雲端用戶開發程式所需相關工具與套件的安全性。但是資訊安全是一個整體防護概念，每個領域環環相扣，這些領域的保護就足夠了嗎?特別是提供雲端服的業者，無論在國內/外均具相當規模，這些企業非常注重商譽，萬一雲端服務發生甚麼問題可能會砸掉辛苦建立的招牌?於是乎對所提供的各種雲端服務除了前面強調所提的保護重點外，傳統的資安管理與技術等措施的實施還是不可少。另虛擬化是雲端全新的風險，虛擬化環境的威脅集中在虛擬平台弱點、共享資源風險、虛擬機器的移轉與備份、跨虛擬主機攻擊(Inter-VM)這四種的安全威脅上。

• 虛擬平台弱點:有虛擬層(Hypervisor)安全與虛擬平台/主機修正檔管理等安全威脅議題。


• 共享資源風險:有資料外洩等安全威脅議題。


• 虛擬機器的移轉與備份:有虛擬機器移動的控管與安全等安全威脅議題。


• 跨虛擬主機攻擊(Inter-VM):有虛擬主機間如何防護/隔離等安全威脅議題。

除了虛擬化外，雲端服務供應商還可能遭遇到七種主要威脅，茲嘗試將這些威脅、影響的雲端服務模式與防護措施建議簡述如下，這些防護措施涵蓋管理與技術層面。

• 濫用雲端服務進行非法行為
  影響服務模式:IaaS、PaaS。
  防護措施建議:
  ‧嚴格篩選雲端用戶身分。
  ‧建立行為監控機制。


• 不安全的介面與API
  影響服務模式:IaaS、PaaS、SaaS。
  防護措施建議:
  ‧遵循安全程式開發原則。
  ‧程式源碼檢測(Source Code Review)技術。


• 惡意的內部人員
  影響服務模式:IaaS、PaaS、SaaS。
  防護措施建議:
  ‧導入資訊安全制度並通過認證(ex:ISO 27001/IEC27001(資訊安全標準) 、BS25999(企業持續營運管理系統標準) 、BS10012(個人資料保護標準) 等)，特別是人力資源安全的強化。


• 資料遺失或外洩
  影響服務模式:IaaS、PaaS、SaaS。
  防護措施建議:
  ‧導入資訊安全制度並通過認證(ex:ISO 27001、BS25999、BS10012等) 。
  ‧雲端資料解密金鑰由用戶單獨持有/金鑰由第三方管理。
  ‧稽核與資料加密性、完整性技術的應用。


• 共享環境造成的問題
  影響服務模式:IaaS、PaaS。
  防護措施建議:
  ‧處理器、記憶體等資源實體獨立。
  ‧運用VLAN或虛擬化安全技術確保網路隔離。
  ‧資安監控。


• 竊取帳號或服務
  影響服務模式:IaaS、PaaS、SaaS。
  防護措施建議:
  ‧導入資訊安全制度並通過認證(ex:ISO 27001、BS25999、BS10012等) 。
  ‧安全的登入機制(安全碼、帳號鎖定…)。
  ‧Token或生物特徵等嚴謹的身分識別機制的建立。
  ‧存取控制(Access Control)的強化與稽核。


• 未知風險
  影響服務模式:IaaS，PaaS，SaaS。
  防護措施建議:
  ‧資安能力與相關法律知識的提升。

結語

雲端服務已是大勢所趨，可預見的未來會有許多個人、企業會慢慢習慣這個服務，進而將它們的資料或是應用程式往雲端移動，只將精力聚焦在核心的業務上。就像以前金融還不發達的時候，人們喜歡將金錢、黃金、珠寶等貴重物品藏在家裡隱密的地方或買個保險箱來存放一樣，慢慢的人們知道放在銀行會比家裡更安全，成本更低且還有利息可拿而改變存錢習慣，雲端服務也是如此。以筆者的了解，目前市面上出現特別是有名的各種XaaS服務其資訊安全已達到相當的水準，所欠缺的只是人觀念的改變而已。現許多人對雲端服務採觀望的態度，不敢將資料/服務放在雲端，但可能只要有具指標性的企業/組織使用雲端服務而又獲致不錯的成果，未來會帶動大批跟隨者風起雲湧的使用雲端服務。

如前言所說，事情有正反兩面，雲端服務在企業/組織甚至環保方面有許多好處，省錢又節能減碳愛地球;但是對IT系統整合產業來說未必是好事。試想在雲端服務發展之前IT系統整合業者能賣給多個客戶多台伺服器，雲端化了之後只能賣給幾家雲端服務供應商較少台的伺服器且需面臨更多的競爭對手與更低廉的設備成交價格?凌群應該未雨綢繆，因應雲端服務趨勢努力建構屬於自己的藍海策略;凌群的強項是甚麼?市場的機會是甚麼?雲端資安會是一個很好的切入議題。

參考資料
1.Security Guidance for Critial Areas of Focus Cloud Computing V2.1”， Cloud Security Alliance
2.雲端服務科技
3.楊文誌， CLOUD 雲端運算技術指南 ，松崗資產管理股份有限公司
4.彭秀琴、張念慈 ，雲端運算下資訊安全之參考 ，經建會管制考核處
5.涂元光 ，雲端資訊安全 ，中華電信研究所