如何安全地使用IaaS云計算服務(wù)？

文章來源：泛普軟件

本文是云安全技術(shù)系列文章的第五篇，我們將集中討論遠(yuǎn)程管理解決方案中有關(guān)憑證缺乏、協(xié)議風(fēng)險和實(shí)現(xiàn)缺陷對基礎(chǔ)設(shè)施即服務(wù)（Infrastructure as a Service，IaaS）的威脅。

到目前為止，我們已經(jīng)討論了來自操作系統(tǒng)的安全威脅，及其對Iaas服務(wù)的影響，我們可以通過遠(yuǎn)程管理機(jī)制處理威脅。通常，遠(yuǎn)程管理選項包括虛擬私有網(wǎng)絡(luò)（VPN）、遠(yuǎn)程桌面、遠(yuǎn)程Shell和Web控制臺用戶界面（UI）。我們正在討論的IaaS是有美國國家標(biāo)準(zhǔn)和技術(shù)協(xié)會定義的，IaaS的定義如下：

“為用戶提供計算、存儲、網(wǎng)絡(luò)和其它基礎(chǔ)計算資源，用戶可以在上面部署和運(yùn)行任意的軟件，包括操作系統(tǒng)和應(yīng)用程序，用戶不用管理和控制底層基礎(chǔ)設(shè)施，但要控制操作系統(tǒng)、存儲、部署應(yīng)用程序和對網(wǎng)絡(luò)組件（如主機(jī)防火墻）有限的控制”。

正如之前的文章中談到的，對IaaS的威脅也包括那些與SaaS和PaaS相關(guān)的威脅。

IaaS遠(yuǎn)程管理選項

根據(jù)定義，IaaS資源在遠(yuǎn)端，因此你需要某些遠(yuǎn)程管理機(jī)制，最常用的遠(yuǎn)程管理機(jī)制包括：

VPN：提供一個到IaaS資源的安全連接（如隧道），通常在遠(yuǎn)程管理應(yīng)用程序不能保護(hù)其傳輸?shù)臄?shù)據(jù)時使用，最常見的解決方案包括PPTP（點(diǎn)到點(diǎn)隧道協(xié)議），L2TP（二層隧道協(xié)議），IPSEC（Internet協(xié)議安全）或SSL/TLS（安全套接字層或傳輸協(xié)議安全）。

遠(yuǎn)程桌面：為圖形界面工具提供了一個接口，通常在操作系統(tǒng)本身不支持基于命令行的管理時使用（如Windows操作系統(tǒng)），最常見的解決方案是Windows遠(yuǎn)程桌面或虛擬網(wǎng)絡(luò)計算機(jī)（VNC）。

遠(yuǎn)程Shell：為系統(tǒng)管理提供基于命令行的接口，這種環(huán)境的性能是最好的，最常見的解決方案是SSH。

Web控制臺UI：提供一個自定義遠(yuǎn)程管理界面，通常它是由云服務(wù)提供商開發(fā)的自定義界面（如管理亞馬遜AWS服務(wù)的RightScale界面）。

通用威脅

缺乏憑證是上述遠(yuǎn)程管理解決方案的主要威脅，弱認(rèn)證大多是由于缺少憑證，這是信息暴露在互聯(lián)網(wǎng)上最常見的方式，在本系列的第二篇文章中已經(jīng)討論過弱憑證問題，這些問題在IaaS中同樣存在，使用重復(fù)使用的用戶名和密碼或長期共享的密鑰是遠(yuǎn)程管理解決方案目前面臨的主要威脅，必須得到解決。

其它兩個主要威脅

其它影響遠(yuǎn)程管理解決方案的主要威脅是協(xié)議相關(guān)的缺陷和實(shí)現(xiàn)缺陷，這些風(fēng)險都?xì)w咎于漏洞，至于協(xié)議風(fēng)險，我們要談?wù)撓旅孢@些不同的服務(wù)類型：

VPN：在這個時候，協(xié)議主要是理論上的風(fēng)險，雖然它是經(jīng)常討論的對象，但非實(shí)驗(yàn)環(huán)境中的攻擊還是非常罕見的，緩解協(xié)議風(fēng)險的唯一辦法是改變協(xié)議（如IPSEC over PPTP），或者是升級到打過補(bǔ)丁的協(xié)議版本（如SSL v3或TLS v1，TLS v2）。

遠(yuǎn)程桌面：有兩個主要的遠(yuǎn)程桌面協(xié)議，一個是RDP（遠(yuǎn)程桌面協(xié)議），微軟的遠(yuǎn)程桌面就是使用的它，另一個是終端服務(wù)客戶端和RFB（遠(yuǎn)程幀緩沖），著名的遠(yuǎn)程控制軟件VNC就是使用的它，據(jù)我所知，這兩個協(xié)議的最新版本仍然存在安全風(fēng)險，最好的辦法就是在一個安全通道內(nèi)運(yùn)行它們（如VPN）。

遠(yuǎn)程Shell：目前廣泛使用的遠(yuǎn)程sell協(xié)議是SSH和Telnet，Telnet是不安全的，不應(yīng)該在云中使用，但SSH的最新版本是安全的。

Web控制臺：通常，基于Web的協(xié)議是HTTP或基于SSL/TLS的HTTP，因此HTTP或SSL/TLS的威脅一樣威脅著Web控制臺。

如何緩解這些威脅

現(xiàn)在你已經(jīng)知道問題的存在了，下面是緩解這些威脅的一些個人建議：

1.緩解認(rèn)證威脅的最佳辦法是使用雙因子認(rèn)證，或使用動態(tài)共享密鑰，或者縮短共享密鑰的共享期，你可能需要找服務(wù)提供商協(xié)商才能正確獲得這個功能，但這個努力還是值得的。

2.不要依賴于可重復(fù)使用的用戶名和密碼。

3.確保安全補(bǔ)丁及時打上。

4.對于下面這些程序：

SSH：使用RSA密鑰進(jìn)行認(rèn)證。

微軟的遠(yuǎn)程桌面：使用強(qiáng)加密，并要求服務(wù)器認(rèn)證。

VNC：在SSH或SSL/TLS隧道上運(yùn)行它。

Telnet：不要使用它，如果你必須使用它，最好通過VPN使用。