查看: 10750|回复: 37

【话题讨论】揭露云计算内部威胁 企业何去何从?

[复制链接]
认证徽章
论坛徽章:
24
技术图书徽章
日期:2013-08-16 14:31:52问答徽章
日期:2013-11-04 08:53:14目光如炬
日期:2013-12-23 06:00:11目光如炬
日期:2013-12-30 06:00:11明星写手
日期:2014-02-22 06:00:12马上有钱
日期:2014-03-31 14:09:05沸羊羊
日期:2015-05-20 12:42:59秀才
日期:2015-06-24 13:05:36秀才
日期:2015-07-13 09:48:14
发表于 2013-6-28 08:28 | 显示全部楼层 |阅读模式
安全性通常是计划投资基于云的技术时最优先考虑的问题。当然,在云环境中,技术通常处于企业的网络边界外部,因此用户可以利用资源,而不能使用物理机架、服务器、电力系统和其他相关设备。可以肯定的一个重要问题是,关键数据(如客户数据、医疗记录)和知识产权不会受其他客户系统和数据文件的影响。

今天我们将通过几个问题来研究一下企业云环境的另一个安全性问题:内部威胁。

讨论话题:
1.你认为对云服务公司的员工提供安全培训有用么?
2.你认为这些云服务商需要什么样的安全监测系统和程序?


讨论时间:2013.6.28--2013.7.10

讨论奖励:活动结束后将会抽取2名会员赠送《大数据》一本。同时还有三本精美的笔记本等着你来拿。
1.jpg
092739ojz0ovv0y500bo50.jpg

黄土飘雪     tianya_2011

认证徽章
论坛徽章:
24
技术图书徽章
日期:2013-08-16 14:31:52问答徽章
日期:2013-11-04 08:53:14目光如炬
日期:2013-12-23 06:00:11目光如炬
日期:2013-12-30 06:00:11明星写手
日期:2014-02-22 06:00:12马上有钱
日期:2014-03-31 14:09:05沸羊羊
日期:2015-05-20 12:42:59秀才
日期:2015-06-24 13:05:36秀才
日期:2015-07-13 09:48:14
发表于 2013-6-28 08:30 | 显示全部楼层
首先给大家分享一篇文章

调查内部威胁主要的问题时,攻击者已经存在于内部。从本文目的出发,我们假设“内部人士”为云服务厂商工作,并且有一个或多个客户端环境。内部人士可以协调客户信息的保密性、完整性和可用性。
  蓄意攻击的类型包括信息窃取、数据破坏或者数据毁灭、服务于特定客户的系统受到损害、用户使用的软件和服务遭到损害、破坏和欺诈。
  尽管很难想象无意的云计算内部威胁,但是由于错误的指令,这种威胁经常发生,从而对客户系统、服务和数据产生负面影响。然而,也可能是由于缺乏管理客户系统、服务和数据的培训。例如,一个操作员或者技术人员可能会收到**的命令,或者可能是更新特定服务的命令,并且,由于缺乏特殊活动的培训,就会输入错误的数据。一个数据库管理员可能意外地访问了错误的客户数据库,输入错误的命令,以至于损坏了整个数据库。

云计算内部威胁:研究风险及风险的缓解措施
  事实上,看似恶意的内部活动可能是完全偶然的。然而这样的事件却引发了这样的问题:如果有人知道如何安全访问并使用复杂的基于云的系统和服务,“事故”还会发生吗?
  因此,我们要关注蓄意攻击,关注蓄意攻击的潜在影响以及如何防止或者减轻其影响。假设犯罪者具有安全许可,对于一个企业来说,信息或知识产权窃取则是一场噩梦。商业秘密、工程文件、财务数据、客户数据和许多其他有价值的资产可以被复制,并出售给出价最高的人或者是任何地方的人。这些可能正在悄悄地发生。
  一旦数据被破坏或者毁灭,内部人士就可以获取关键的客户档案和数据库并且删除数据,引入病毒或蠕虫,或者引入逻辑炸弹来破坏/擦除数据。如果这些关键数据没有备份/或者没有复制到其他位置,那么其损失将会导致公司破产。
  公司如果使用被恶意操纵、更改的基于云的系统和服务,就会突然发现他们重要的面向客户型的应用程序出现故障或者不能运行。这意味着,他们的客户可能无法正常办理业务,从而导致诉讼,业务和声誉遭受损失。重新获得客户信任,可能会很困难,甚至不可能,尤其是如果面向客户型的系统已经严重损坏。
  上述情况可能是一种蓄意行为,正如许多内部攻击。基于云的服务组织的人员可能对组织不满或者对特定的公司抱有个人恩怨,而这个人恰好是云服务组织的一个客户。这个人具有安全许可,只要他喜欢,他几乎可以做任何事情,来慢慢破坏目标组织和公司。使用各种技术来窃取信息,创建虚假财务数据或者破坏出现运行“中断”的组织,但总的来说,这可能是更大的、更险恶破坏计划的一部分。
  最后,像许多其他恶意行为一样,在云环境中也经常发生欺诈行为。然而公司内部的犯罪者可能只能够获取该公司的资源,而在云环境,犯罪者可以访问许多组织。例如,我们听到的关于内部人士操纵金融系统的事件,比如臭名昭著的兴业银行欺诈事件,导致数百万损失,不然的话就会使组织受害,导致数十亿美元的损失。在云环境中,犯罪者可以安全访问多个客户系统和数据,并且只会受到他或她的计算机技能的限制。
防止内部威胁:需要询问的问题

使用道具 举报

回复
认证徽章
论坛徽章:
25
奥运会纪念徽章:射击
日期:2013-01-28 09:12:182014年新春福章
日期:2014-02-18 16:41:11马上有车
日期:2014-02-18 16:41:11马上有车
日期:2014-03-20 16:13:24马上有房
日期:2014-03-20 16:14:11马上有钱
日期:2014-03-20 16:14:11马上有对象
日期:2014-03-20 16:14:11马上加薪
日期:2014-03-20 16:14:11喜羊羊
日期:2015-04-09 18:46:34秀才
日期:2016-03-24 09:20:52
发表于 2013-6-28 09:47 | 显示全部楼层
云内部大家还不怎么了解吧

使用道具 举报

回复
认证徽章
论坛徽章:
342
ITPUB社区千里马徽章
日期:2013-06-09 10:15:34ITPUB社区12周年站庆徽章
日期:2013-08-12 09:34:36ITPUB社区12周年站庆徽章
日期:2013-08-20 11:30:11凯迪拉克
日期:2013-09-12 15:56:12ITPUB社区12周年站庆徽章
日期:2013-10-17 13:56:59一汽
日期:2013-11-14 21:55:12技术图书徽章
日期:2013-11-19 14:47:26红旗
日期:2013-11-24 12:29:47三菱
日期:2013-11-25 11:21:19保时捷
日期:2013-11-27 09:15:09
发表于 2013-6-28 10:16 | 显示全部楼层
支持。

使用道具 举报

回复
认证徽章
论坛徽章:
24
技术图书徽章
日期:2013-08-16 14:31:52问答徽章
日期:2013-11-04 08:53:14目光如炬
日期:2013-12-23 06:00:11目光如炬
日期:2013-12-30 06:00:11明星写手
日期:2014-02-22 06:00:12马上有钱
日期:2014-03-31 14:09:05沸羊羊
日期:2015-05-20 12:42:59秀才
日期:2015-06-24 13:05:36秀才
日期:2015-07-13 09:48:14
发表于 2013-6-28 10:18 | 显示全部楼层
jimn1982 发表于 2013-6-28 09:47
云内部大家还不怎么了解吧

主要就是谈谈对于这些从业内部人员的管理,监督问题。

使用道具 举报

回复
论坛徽章:
2
奥运纪念徽章
日期:2013-07-18 13:55:12ITPUB社区12周年站庆徽章
日期:2013-10-08 17:44:42
发表于 2013-6-28 10:37 | 显示全部楼层
大多数云服务厂商都具有安全监测系统和程序,具备一组正在使用中的系统,例如入侵检测系统、入侵防御系统、防火墙;要查看他们安全监测的政策和程序,找出他们是如何检测和纠正拒绝服务攻击、恶意软件和其他试图破坏系统和数据/数据库安全的软件;最后要查看之前所有安全漏洞以及如何发现和纠正这些漏洞的详细记录证明

使用道具 举报

回复
论坛徽章:
2
奥运纪念徽章
日期:2013-07-18 13:55:12ITPUB社区12周年站庆徽章
日期:2013-10-08 17:44:42
发表于 2013-6-28 10:41 | 显示全部楼层
heaven_sky 发表于 2013-6-28 10:37
大多数云服务厂商都具有安全监测系统和程序,具备一组正在使用中的系统,例如入侵检测系统、入侵防御系统、 ...

大数据技术出生于搜索引擎类的公司,现在脱离于搜索引擎技术向BI方向过渡,虽然在数据运算方面有其优势但在处理分析传统型数据方面其劣势目前还是比较明显。

使用道具 举报

回复
求职 : 数据库开发
认证徽章
论坛徽章:
28
ITPUB学员
日期:2009-10-14 18:49:45至尊黑钻
日期:2015-12-31 11:11:56数据库板块每日发贴之星
日期:2009-10-22 01:01:02优秀写手
日期:2014-04-30 06:00:17ITPUB8周年纪念徽章
日期:2009-10-09 21:30:10马上有车
日期:2014-10-09 10:14:53马上有钱
日期:2014-02-18 16:43:09路虎
日期:2013-10-15 15:38:59林肯
日期:2013-09-12 15:57:33ITPUB 11周年纪念徽章
日期:2012-10-09 18:11:48
发表于 2013-6-28 10:53 | 显示全部楼层
老实说对云没有那么深的了解。。但是安全培训肯定是必要的

使用道具 举报

回复
认证徽章
论坛徽章:
24
技术图书徽章
日期:2013-08-16 14:31:52问答徽章
日期:2013-11-04 08:53:14目光如炬
日期:2013-12-23 06:00:11目光如炬
日期:2013-12-30 06:00:11明星写手
日期:2014-02-22 06:00:12马上有钱
日期:2014-03-31 14:09:05沸羊羊
日期:2015-05-20 12:42:59秀才
日期:2015-06-24 13:05:36秀才
日期:2015-07-13 09:48:14
发表于 2013-6-28 10:56 | 显示全部楼层
风铃中の鬼 发表于 2013-6-28 10:53
老实说对云没有那么深的了解。。但是安全培训肯定是必要的

是啊,现在社会从业都得健康证一样,必须有一个安全监督的机构。

使用道具 举报

回复
论坛徽章:
2
奥运纪念徽章
日期:2013-07-18 13:55:12ITPUB社区12周年站庆徽章
日期:2013-10-08 17:44:42
发表于 2013-6-28 13:29 | 显示全部楼层
技术跟新的太快了,过两年大数据也没了。

使用道具 举报

回复

您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

TOP技术积分榜 社区积分榜 徽章 团队 统计 知识索引树 积分竞拍 文本模式 帮助
  ITPUB首页 | ITPUB论坛 | 数据库技术 | 企业信息化 | 开发技术 | 微软技术 | 软件工程与项目管理 | IBM技术园地 | 行业纵向讨论 | IT招聘 | IT文档
  ChinaUnix | ChinaUnix博客 | ChinaUnix论坛
CopyRight 1999-2011 itpub.net All Right Reserved. 北京盛拓优讯信息技术有限公司版权所有 联系我们 
京ICP备09055130号-4  北京市公安局海淀分局网监中心备案编号:11010802021510 广播电视节目制作经营许可证:编号(京)字第1149号
  
快速回复 返回顶部 返回列表