雲端服務的普及使得企業面臨更複雜的資安挑戰。從基礎的技術漏洞到進階的攻擊手法，都需要全方位的防護策略。本文除了探討常見的 CVE 漏洞與系統強化策略外，也深入分析網路服務安全、軟體和資料完整性等議題。同時，文章也涵蓋了公開金鑰基礎建設、數位憑證管理、多因素認證、以及 S3 儲存桶安全等重要導向，提供企業在雲端環境中構建安全防線的實務參考。特別是針對 S3 儲存桶的組態錯誤，文章強調了存取控制、日誌記錄和監控的重要性，並提醒企業避免過度授權和公開存取的風險。此外，文章也探討了身分驗證機制和會話管理的安全挑戰，建議企業採用 HTTPS 等安全協定，並實施多因素認證等額外安全措施。
雲端環境中的攻擊向量：技術漏洞與系統強化
在雲端運算的世界中，企業面臨著多重安全挑戰。其中，技術漏洞與系統強化是兩個至關重要的議題。本篇文章將探討這兩個主題，分析其對雲端安全的影響，並提供實務上的建議。
技術漏洞：持續存在的威脅
根據統計，仍有高達三分之一的漏洞超過兩年未被修復。這些技術漏洞可能讓駭客獲得系統存取權或提升帳戶許可權，對企業造成嚴重的安全風險。雲端服務供應商雖然會負責修補部分漏洞，但企業仍需清楚瞭解自身責任範圍內的風險，並採取適當的措施。
CVE：漏洞識別與修復的關鍵
Common Vulnerabilities and Exposures（CVE）是一個由Mitre提供的服務，為已知的技術漏洞提供唯一的識別碼（CVE ID）。透過CVE，企業可以獲得漏洞的詳細資訊和修復建議，從而有效地降低安全風險。
系統強化：複雜且具挑戰性的任務
系統強化（System Hardening）是另一個重要的安全措施，旨在減少系統的攻擊面。然而，這是一個複雜且具挑戰性的任務，需要仔細規劃和執行。以下是一些常見的挑戰和建議：
開放的網路埠：潛在的安全風險
在實施系統強化標準時，企業往往需要開放某些網路埠以支援正常的業務運作。然而，這些開放的埠可能成為攻擊者入侵的管道。因此，企業需要仔細評估哪些埠需要開放，並採取適當的存取控制措施。
狀態防火牆：動態存取控制
現代的狀態防火牆（Stateful Firewalls）可以根據初始連線的合法性，動態地允許或拒絕後續的通訊。這種技術可以有效地降低網路埠相關的安全風險。
電子郵件服務的範例
以電子郵件服務為例，企業需要開放特定的網路埠（如SMTP、POP3和IMAP）以支援電子郵件的傳送和接收。企業應確保只開放必要的埠，並採取適當的安全措施（如使用安全的通訊協定）。
資產管理：系統強化的基礎
資產管理是系統強化的基礎。企業需要建立完整的資產清單，瞭解哪些資產需要強化，以及哪些資產需要開放特定的網路埠或服務。
定期檢視與更新
系統強化不是一次性的任務，而是需要定期檢視和更新的持續過程。企業需要隨著業務需求的變化，調整系統強化的策略，以確保安全措施的有效性。
避免自滿：持續改進的安全文化
最後，企業需要避免自滿，持續改進安全文化。系統強化只是安全措施的一部分，企業仍需要持續關注新的漏洞和威脅，並採取適當的措施加以應對。
系統強化流程
此圖示展示了系統強化的流程，從資產清單到持續改進的安全文化，每一步都是確保雲端環境安全的重要環節。
內容解密：
上述Plantuml圖表展示了系統強化的關鍵步驟。首先，建立完整的資產清單是基礎。接著，根據系統強化標準進行組態。然後，開放必要的網路埠並實施存取控制措施。最後，定期檢視與更新安全措施，並養成持續改進的安全文化。這種結構化的流程有助於企業有效地強化系統，降低安全風險。
網路服務與攻擊向量
網路服務提供了豐富的攻擊向量，這些服務通常透過API介面進行存取，並提供廣泛的初始存取許可權。雖然它們通常具備良好的身份驗證機制，但並不總是在多次憑證失敗後鎖定帳戶。這種開放介面可能被利用來進行有效的拒絕服務攻擊（Denial-of-Service Attack）。
網路服務的安全挑戰
由於網路服務通常涉及機器、系統或功能帳戶，而非個人帳戶，因此秘密（無論何種形式）在API身份驗證中仍然是關鍵因素。與個人帳戶不同，個人可以使用行動裝置或專用金鑰來提供雙因素身份驗證（2FA）；而網路服務則無法做到這一點。因此，確保使用網路服務的所有系統的安全，並保護網路服務本身免受根據秘密的攻擊至關重要。
限制網路服務的存取
對於本地網路服務（侷限於雲端架構或內部私有雲），可以限制僅允許特定系統的IP地址存取網路服務。這是一種重要的緩解控制措施，也是保護點對點網路服務API通訊的成本效益措施。在公有雲託管服務中，也應盡可能採用此措施。
OWASP Top 10
OWASP（Open Web Application Security Project）是一個由非營利組織長官的社群專案，旨在幫助組織安全地開發網路應用程式。OWASP Top 10列表記錄了面臨的關鍵風險，並幾乎每年更新一次。
2021年OWASP Top 10列表
A01:2021 – 許可權控制失效
- 關注應用程式內的許可權控制方法。最佳實踐包括在許可權模型中實施最小許可權原則，對所有頁面存取採用零信任模型等。此專案與34個常見弱點列舉（CWEs）相關聯。
A02:2021 – 加密失敗
- 重點關注靜態和傳輸中的資料加密。與此相關的29個CWEs強調了確保加密適當且足以保護所處理資料的重要性。
A03:2021 – 注入攻擊
- 與惡意使用者能夠在URL中新增或替換資料存取命令相關，從而繞過應用層的資料存取控制。
A04:2021 – 不安全的設計
- 強調在應用程式架構中融入安全設計的重要性。與此相關的40個CWEs表明，目前在這方面的表現並不理想。
A05:2021 – 安全組態錯誤
- 從實施和營運的角度來看，這是一個常見問題。包括預設密碼和不必要的超級使用者許可權未被移除等。
A06:2021 – 易受攻擊和過時的元件
- 與用於開發和交付應用程式和服務的軟體元件相關。在雲端環境中，這些元件更容易受到攻擊。
A07:2021 – 身份驗證和驗證失敗
- 主要涉及防止身份驗證和驗證攻擊，包括憑證填充、暴力密碼攻擊、弱密碼等。單一因素的身份驗證機制應該被棄用。
網路服務安全最佳實踐
- 使用靜態IP地址：避免使用動態分配的地址，以減少IP地址欺騙的風險。
- 實施嚴格的存取控制：限制對網路服務的存取，僅允許必要的IP地址。
- 保持元件更新：確保所有軟體元件都是最新的，以減少漏洞。
- 採用安全的身份驗證機制：避免單一因素身份驗證，實施雙因素或多因素身份驗證。
網路服務安全架構
@startuml
skinparam backgroundColor #FEFEFE
skinparam componentStyle rectangle
title 雲端安全風險與防護策略
package "安全架構" {
package "網路安全" {
component [防火牆] as firewall
component [WAF] as waf
component [DDoS 防護] as ddos
}
package "身份認證" {
component [OAuth 2.0] as oauth
component [JWT Token] as jwt
component [MFA] as mfa
}
package "資料安全" {
component [加密傳輸 TLS] as tls
component [資料加密] as encrypt
component [金鑰管理] as kms
}
package "監控審計" {
component [日誌收集] as log
component [威脅偵測] as threat
component [合規審計] as audit
}
}
firewall --> waf : 過濾流量
waf --> oauth : 驗證身份
oauth --> jwt : 簽發憑證
jwt --> tls : 加密傳輸
tls --> encrypt : 資料保護
log --> threat : 異常分析
threat --> audit : 報告生成
@enduml
此圖示展示了一個基本的網路服務安全架構，強調了身份驗證和授權的重要性。
軟體安全與組態管理的關鍵風險
近年來，軟體完整性已成為一個重大問題，許多重大資安事件源於關鍵軟體的更新過程，這類別攻擊被稱為供應鏈攻擊。攻擊者針對軟體供應商，目的是為了取得對其客戶的存取許可權。從軟體供應商的角度來看，確保所管理的元件來自可信來源、適當簽署且未被篡改至關重要。從軟體使用者的角度來看，他們希望確保軟體更新遵循相同的管理和來源驗證流程。
在關鍵應用程式中，資料完整性至關重要，因為資料通常儲存在應用程式本身之外，在資料函式庫伺服器中，而這些伺服器通常由雲端服務中的終端使用者管理。資料可能被操縱以影響軟體的運作，並破壞或誤導組織的活動。資料操縱的潛在影響可能比軟體漏洞的影響更大，因為它更難被發現。
重大資安風險：A08:2021 軟體和資料完整性失敗
軟體供應鏈攻擊的風險日益增加，攻擊者試圖透過攻擊軟體供應商來間接影響其客戶。供應商需要確保其元件的安全性和完整性，使用者則需要驗證軟體更新的來源和真實性。
資料完整性的重要性
- 資料儲存與管理：資料通常儲存在應用程式之外的資料函式庫伺服器中，這些伺服器可能由雲端服務中的終端使用者管理。
- 資料操縱風險：資料可能被篡改以影響軟體運作，破壞或誤導組織活動，這種風險可能比軟體漏洞更難被察覺。
安全日誌記錄與監控失敗（A09:2021）
可見性在網路安全中至關重要，無論是在防禦還是攻擊檢測方面。日誌記錄和監控對於區分合法活動和惡意操作至關重要。記錄關鍵活動（如系統登入和登出、組態變更）對於檢測潛在的安全威脅至關重要。
有效日誌記錄與監控的關鍵要素
- 日誌記錄：記錄關鍵活動，如認證、組態變更等，以區分合法和惡意操作。
- 事件監控：對日誌事件進行監控和關聯分析，以檢測可疑行為。
- 行為監控與智慧分析：利用機器學習和人工智慧進行智慧型身份和存取安全管理。
伺服器端請求偽造（SSRF）（A10:2021）
伺服器端請求偽造（SSRF）是一種因應用程式功能增加而變得更加普遍的攻擊方式，尤其是在雲端場景中。應用程式通常需要使用者提供其他服務的URL，這些URL可能被惡意利用來攻擊其他系統或發現後端系統的開放埠和服務。
SSRF 防禦措施
- 輸入驗證：嚴格驗證使用者提供的URL，防止惡意輸入。
- 最小許可權原則：確保應用程式和服務以最小必要許可權執行，以減少SSRF攻擊的影響。
組態管理的重要性
組態管理通常與資產強化相關聯。預設組態通常優先考慮使用者經驗，而非安全性，因此需要根據實際需求進行調整，以提供適當的安全性和生產環境就緒性。不當的組態可能導致攻擊途徑，因此有效的組態管理至關重要。
組態管理的挑戰
- 複雜性增加：現代系統功能越來越強大，組態選項也越來越多，管理和跟蹤這些組態變得越來越困難。
- 硬化和組態管理：有時這兩個概念會被混為一談，但它們應該根據具體情況進行區分。
總之，軟體安全、資料完整性、安全日誌記錄與監控、以及組態管理都是現代網路安全的重要組成部分。瞭解和應對這些風險對於保護組織免受日益增長的網路威脅至關重要。
雲端服務組態與資安風險
現代企業大量採用雲端服務，根據McAfee的報告，平均每家組織使用超過1,935個雲端服務。這種多元化的雲端環境帶來了巨大的資安挑戰，如何確保每個服務都正確組態，避免成為潛在的安全漏洞？這不僅需要技術上的專業知識，也需要嚴謹的管理流程。
PKI（公開金鑰基礎建設）的重要性
公開金鑰基礎建設（PKI）是一套完整的系統，用於建立、管理、分發、使用、儲存和復原數位憑證。它包含四個核心元素：
- 憑證授權單位（CA）：負責簽發根憑證，並用於簽署其他憑證，以確保憑證的真實性和完整性。
- 註冊授權單位（RA）：驗證申請憑證者的身份，確保憑證申請的合法性和正確性。
- 憑證資料函式庫：儲存已發行的憑證及其相關的中繼資料。
- 憑證政策：定義憑證的安全儲存和管理方式，以及使用憑證時的例外處理機制。
PKI產生的數位憑證能夠實作安全電子資訊傳輸，主要透過加密資料和使用公開/私密金鑰對來保護資料傳輸過程中的安全性，或者作為身份驗證的數位護照。
數位憑證的應用與限制
使用者每天都會與PKI或其產出物互動，例如瀏覽網頁時看到網址列中的鎖形圖示或綠色安全標示，這些都是根據憑證的安全連線。雖然數位憑證可以驗證資料來源的身份，但它並不能保證資料本身的安全，只是確保資料在傳輸過程中的加密和來源的可信度。
攻擊者通常針對PKI的弱點進行攻擊，例如未授權存取已發行的憑證，或是申請並獲得未經授權的憑證。因此，PKI的安全管理至關重要，必須確保CA和RA的可信度，否則整個PKI系統將失去價值。
使用者憑證的安全挑戰
每年年底，資安專家都會做出下一年的預測，其中一個持續出現的預測是「安全基礎設施實施不佳」。使用者憑證是資安的核心，用於身份驗證，但也成為攻擊者的主要目標。無論是高許可權還是普通使用者憑證，都可能被用來進行未授權的系統存取或橫向移動，進而引發重大的資安事件。
大多數成功的攻擊事件始於被竊取、購買或洩露的使用者憑證。根據統計，網際網路上有數十億個使用者憑證可供取得。雖然企業可能自認為員工不會在公開網站上重複使用公司密碼，但實際情況卻往往相反。
強化憑證安全管理
為了降低憑證相關的資安風險，企業必須加強對使用者憑證的管理。這包括但不限於：
- 實施多因素認證：除了密碼之外，增加額外的身份驗證機制，如簡訊驗證碼或生物識別技術。
- 定期更新和輪換憑證：定期更換密碼和憑證，避免長期使用相同的憑證。
- 加強對特權帳戶的管理：對具有高許可權的帳戶進行嚴格的存取控制和監控。
- 提升員工的安全意識：定期進行資安教育和培訓，讓員工瞭解如何安全地使用和管理憑證。
認證與存取管理的風險
在現今的數位生活中，使用者需要管理的帳戶和密碼數量龐大，平均每個人都有超過100個帳戶需要記憶密碼。為了簡化記憶過程，人們常常重複使用相同的密碼，或是使用容易被猜測的密碼，這就導致了憑證竊取的問題。攻擊者一旦獲得某個帳戶的憑證，就可能嘗試在其他系統中使用相同的憑證進行登入。
多因素認證（MFA）的應用
為了減少憑證相關的安全風險，許多安全專家建議採用多因素認證（MFA）。MFA可以透過使用物理憑證（如智慧卡、近距離通訊（NFC）裝置、行動認證應用程式等）來提高安全性。然而，這些裝置也可能遺失或被攻擊（如SIM卡劫持攻擊）。
分享帳戶的安全挑戰
分享帳戶通常是系統中最常被使用的帳戶，但它們的安全性往往較低，大多數分享帳戶僅依賴單一的使用者名稱和密碼進行驗證。為這些帳戶新增額外的安全層，例如特權存取管理（PAM），可以有效降低被入侵的風險。
預設帳戶的危險
預設帳戶是另一個重要的安全隱患。例如，在Unix、Linux和macOS系統中的“root”帳戶，以及Microsoft Windows中的本地和網域管理員帳戶，都是眾所周知的預設帳戶。隨著物聯網（IoT）裝置的普及，越來越多的裝置帶著預設的管理員帳戶連線到網路。如果這些預設密碼沒有被更改，攻擊者就可以輕易利用這些帳戶進行入侵。
金鑰管理的安全挑戰
金鑰是一種特殊的憑證，通常用於非人機實體（如機器、系統和應用程式）之間的身份驗證。由於這些實體通常需要較高的許可權來執行其功能，因此金鑰的管理至關重要。
金鑰輪換的重要性
金鑰輪換是金鑰管理中的一項最佳實踐，尤其是在大型環境中。然而，金鑰輪換常常被忽視，導致金鑰長期不變，使得攻擊者有機會獲得未經授權的存取權。一旦攻擊者獲得了金鑰，即使進行金鑰輪換，也只能延遲攻擊，而無法完全防止攻擊。
S3儲存桶組態錯誤的風險
S3儲存桶因組態錯誤而導致的資料外洩事件頻頻出現在新聞中。根據雲端安全公司Ermetic的報告，許多AWS帳戶存在“過度授權的身分識別”和“組態錯誤的環境”，使得S3儲存桶容易受到攻擊。事實上，測試結果顯示高達90%的S3儲存桶存在安全漏洞。
S3儲存桶成為攻擊目標
由於S3儲存桶可以儲存幾乎任何型別的資料，因此成為攻擊者的首選目標。攻擊者會利用S3儲存桶組態錯誤或過度授權的問題來取得敏感資料。
雲端資安風險：S3儲存桶與身分驗證的安全挑戰
在雲端運算的時代，Amazon S3儲存桶已成為眾多企業儲存和管理資料的首選方案。然而，這種便利性也伴隨著巨大的資安風險。S3儲存桶的安全性取決於其設定和許可權管理模型，甚至可能允許廣泛的公開存取。面對如此龐大的攻擊面，如何開始瞭解現有的攻擊向量？
風險量化與S3儲存桶安全稽核
在進行S3儲存桶安全稽核時，將風險分解為一些可量化的類別至關重要：
- 資料風險：儲存在S3儲存桶中的資料風險和敏感度如何？
- 存取控制：稽核具有存取（讀/寫）許可權的身分，確保這些身分是適當的。無論是人類身分、機器身分還是應用程式介面（API），都必須謹慎管理。
- 日誌記錄：所有對S3儲存桶的存取都應使用AWS的CloudTrail進行日誌記錄。這將有助於識別任何不當的存取或資料使用情況。預設情況下，日誌記錄設定為90天。根據您的業務或合規要求，您可能需要增加此設定或將資料儲存在次要解決方案中。
- 監控：記錄所有活動固然重要，但主動監控以尋找入侵跡象至關重要。太多情況下，收集到的資料表明了攻擊，但無論是人工還是機器，都沒有監控事件以發現入侵跡象。因此，日誌記錄和監控是相輔相成的。缺乏監控，等於沒有記錄，這是一個糟糕的想法。
身分驗證與攻擊向量
憑證是確認身分的最常見機制，但憑證本身也構成了重大的攻擊向量。除了憑證之外，數字身分的盜竊也提供了一個不受憑證限制的攻擊向量。在此背景下，我們談論的是系統中授權使用者的數字身分被盜。一個典型的場景是劫持用於在網站內多個網頁之間保持身份驗證的會話令牌。
HTTPS請求與狀態維護
每個HTTPS請求都是完全獨立的，狀態並不維持在協定內；網站程式碼會驗證使用者身份，然後提供一種機制來在請求之間保持該狀態。這通常透過使用在驗證時生成的令牌來實作，然後在每個後續請求中傳遞回該令牌。令牌要麼作為cookie傳遞，要麼在請求URL中傳遞。當網站接收到令牌時，它會檢查令牌是否仍然有效（令牌通常具有非活動過期時間，以防止舊令牌被劫持或重用）。如果令牌仍然有效，網站將重置過期時間為當前時間加上非活動期間，並更新令牌。作為使用者，這個小小的舞蹈發生在幕後；您只需繼續與網站互動。
會話令牌的安全風險
在早期，這種機制存在著重大的風險，因為HTTP（超文字傳輸協定）未加密，令牌可能在傳輸過程中被截獲。獲得令牌就等於獲得使用者的身份，因為網站會將任何提供有效令牌的請求視為與令牌相關聯的身分發出的請求。如今，大多數連線都使用HTTPS（超文字傳輸協定安全版），令牌在傳輸過程中被截獲的風險大大降低，但仍無法完全消除風險。使用者工作站通常比被存取的系統更不受限制，這為劫持令牌提供了機會。
防範措施
為了降低這些風險，企業應採取以下措施：
- 加強S3儲存桶的安全設定，限制不必要的公開存取。
- 實施嚴格的存取控制，確保只有授權的身分才能存取敏感資料。
- 啟用CloudTrail日誌記錄，並根據需要調整保留期限。
- 佈署監控解決方案，主動檢測和回應資安事件。
- 加強身分驗證和會話管理，使用安全的協定如HTTPS，並考慮實施額外的安全措施，如多因素認證。
內容解密：
上述防範措施能夠有效地降低S3儲存桶和身分驗證相關的資安風險。首先，加強S3儲存桶的安全設定和存取控制可以防止未授權的存取。其次，透過日誌記錄和監控，可以及時發現和回應資安事件。最後，加強身分驗證和會話管理可以減少憑證被盜和會話劫持的風險。