雲端平台的威脅潛伏與因應方式

2019最後一天,我們來談一下 CSA(Cloud security Alliance)雲端安全聯盟在2019年的八月發表了11項的雲端平台威脅,而針對這些威脅我們又該如何去應對呢? 首先我們先來看一下有哪11種的雲端威脅,並一一來說明如何影對這些威脅. 第一名是資料外洩/竊取 這不只是在雲端運算平台會發生,這會發生在任何電子裝置上.只要裡有有價值的資料.但這在雲端平台上發生的機會可能更高,這是因為雲端平台的本質是基礎設施共享及多種的裝置透過幾乎是永不斷線與高頻寬的網路只要稍微不注意哪後果大都會比較嚴重。面對這種狀況我們該如何防範呢?簡單來說就是要監控資料的“存取”以及“移動/複製”.被“誰”?哪個”程式“存取/被移動/複製到哪個地方去.並建立這些規則存取/移動/複製規則加上稽核系統.當然最基本的資料加密也是需要做的.但並不是所有資料都需要如此,故,您的資料分級政策也需要制定.這些方式在GCP的SCC ( security command center)提供了這些方案讓您的資料能夠安全無虞. 第二名是 不正確的設定檔案及不適合的變更控制 這個部分與貴公司的雲端安全要求有關。例如firewall rules什麼port該開什麼該關或是windows web server 應該只有IIS會開啟等等。這些在日常的維運中由於工程師的不注意的誤設定或是整個組織沒有去對應公司的最高資安指導而去採取一些不符合政策的變更控制,屬於人為性錯誤。這一部分GCP的SCC也能幫助您做到這類的防止人為性錯誤發生 第三名就缺乏整體於雲端平台的資安架構與策略 這類就比較屬於戰略戰術的資安顧問服務且要非常了解雲端平台的整個細節內容。Cloud Ace本身是GCP的雲端專家也是GCP的資安專家.此類的顧問服務相信您能得到良好的雲端資安架構建議 第四名,我們會把它解釋成驗證密碼控制機制的不足。例如沒有做好人員的SoD(separation of duties),登入相關的控制台沒有實行多因子驗證,密碼沒有固定強制週期性更新等等.有些是政策面有些是技術面.在GCP上identity/credential/access and keny management這些服務都能提供您強大的驗證控制機制. 第五名,帳號被盜取。 這一個不只在雲端平台會發生,跟第一名一樣是到處都會發生的事件。這種狀況的發生大都是1. 透過個各種管道的釣魚方式,例如email/…

0 Comments

淺談雲端平台的加密解決方案

從資料的傳輸到落地的資料保密方式 資料加密這件事不管在地端機房或雲端平台一定是避免不掉的,從軍用等級的資料密到您的execl 檔案用密碼保護.無處不存在著資料加密只是加密的強度不一樣故防護能力也不盡相同.哪麼在雲端平台上的加密又是該怎麼做呢?大概有兩點1. 良好的加密金鑰管理系統2. 一套安全的加密金鑰週期管理 如何選擇加密的解決方案呢?一般的經驗法則來看資料的重要性及安全性來看,也就是說先對您的資料做分級再來決定加密與否與加密的方式.整個加密的終極目標就是“安全與合法的資訊存取”與“加強阻絕非法的存取”.然而控制得越多可能會造成公司業務經營上的困難,例如用戶需要記不一樣的系統的密碼造成用戶困擾及業務中斷.完全不採取作為資訊就就有可能外洩.如何採取適當的加密解決方案.就要依據您公司的政策/業務/風險/資料分級等等方面來考量. 以下我們來說明整個雲端平台中有兩個面向需要做加密處理 1. Data in Transit --資料在傳輸的過程中這邊是指資料從一個點移動到另一個點,可能是資料庫移動到程式端也可能是系統A到系統B或者是系統到終端用戶.這些通通都算資料的傳輸.哪麼是不是每一個點到點都需要加密呢?這個視您你對這一段傳輸的路徑信不信任.是不是有可能被攔截/監聽/未授權的人可以連線等等.若這個風險越高表示您需要加密的程度與力道就需要更強.在雲端平台中特別需要制定您的"信任範圍".ㄧ但定義好,接下來在這些端點上的資料加密相關程序就需要靠加密金鑰管理系統來做了.一般傳輸過程中大家熟知的SSL/TLS這些用在Https加密協定中.不管是終端用戶到網頁伺服器或只是服務器之間的溝通甚至是雲端平台到地端機房都可以使用.另外還有使用IPsec VPN / SSL VPN等加密方式也適用於上述所說的情況.在GCP中,也提供了這些加密方式且不需要您自建系統來管理.2. Data at Rest --資料落地這邊是指資料在儲存狀態,不論是在您的一般或檔案服務器/資料庫等等的靜止狀態都可以屬於落地.哪在落地狀況下的加密我們該如何評估呢?大部分我們取決於"加密的強度"與“效能",有些狀況下加密的強度太高是可能會影響資料存取的效能的.資料落地的加密最主要其實就是防止未授權的讀取,並加有權限使用這的稽核能力.GCP平台基本已啟用的加密服務有: Storage/Persistent Disks/SQL 等服務.而在GCP中有兩種加密方式customer managed encryption keys (or CMEK) 以及customer supplied…

0 Comments

非Gmail(例如yahoo, outlook)可以使用GCP嗎?答案是可以

很多公司並沒有使用G Suite,但又想用GCP,導致員工使用個人的Gmail來檔做管理GCP專案的最高權限擁有者Owner,這樣的結果是,若該員工離職,GCP Project綁在他身上,然後他消失了,完全找不到他,那就麻煩大了。 其實Google有開放非Google帳號使用GCP的方式,只要公司相關團隊成員都用e-mail去註冊,就不用擔心人員異動的問題。 請到這個網址申請,而且「只能」透過這個網址: 一開始你會看到@後面只有gmail.com,但可以點擊「改為使用我目前的電子郵件地址」 例如我使用outlook,我真的輸入outlook帳號,然後設定它在Google的帳號密碼 設定後需要驗證 回到我的Outlook收信接收驗證碼 驗證後又要輸入生日、姓別,驗證手機號碼 輸入後再驗證手機號碼 接下來可以按略過沒關係 最後接受隱私權與條款就完成了 它會轉到Google帳號主頁 點擊右上角,你會發現功能都有,但其實你不能用Gmail 但是你可以用15GB的雲端硬碟 不過重點是要用GCP, 我們去GCP的IAM授權Owner給Outlook帳號 GCP console=>IAM與管理=>新增=>加入成員的outlook帳號 outlook信箱收驗證信,點擊接受邀請 點接受邀請 真的可以用GCP了,右上角顯示我的Outlook帳號 如果是Billing Admin帳單管理員也沒問題,你可以看到我連yahoo帳號都可以用。 以上介紹,給各位參考!!

0 Comments

雲端運算的服務模式與部署模式 part 2

上一篇我們介紹了雲端運算的3種服務模式及4種部署模式,這一篇我們再深入探討一下,如何選擇這些不一樣的服務與部署模式呢?上一篇說的這些看起來好像都是很偏技術面的事項,所以我們應當從技術規格來選擇這服務模式與部署模式嗎?若以用之前傳統採購資料中心的軟硬體來做選擇,哪麼結果可能會不如你的預期.以採購軟硬體的心態的選擇,考慮的只是當下的需求,在雲端運算的時代我們需要配合公司的業務面及公司未來的營運策略來做整體考量.為何這麼說呢?原因有以下兩個1. 所有的IT技術的決定應該依循公司的整體的業務方向與策略作為核心.2. 當涉及到公司的成本資金與業務商機時,這個決定從公司業務層級來考量.雲端運算的高度轉變能力能夠支援公司在業務面或公司主要任務,在現今商業世界瞬息萬變的狀況下得以讓公司持續成功. 選擇一個適合自己公司的雲端運算平台需要一個好的雲端平台架構設計師能夠架構整個雲端運算的的應該是能夠知道公司大戰略的人,他/她應當是策略者/計畫者/諮詢者.也須還需要了解公司現階段需求與未來成長的需求,才能設計出符合當下與未來的系統架構並且能夠考量到資訊安全方面的事項.以下提設計整個雲端運算平台一些關鍵原則1. 定義一個能夠保護公司系統的架構,列出這些需求逐步核對到我們能夠信任的程度2. 公司的的關鍵業務功能能夠這幾種部署模式或服務模式中跨平台的使用3. 有效率的安全管控機制包含針對identification/authentication/authorization/administration/auditability4. 能夠有一個定期及不定期的資訊安全的監管方式/模式/方案5. 集中式的資訊安全政策及維運模式與監管功能6. 進入雲端平台能夠兼具安全性與方便性7. 確認整個平台是具彈性與靈活性以下為一個簡單的GCP架構示意圖 另外NIST也提供了一些建議讓您在設計整個雲端平台時需要注意的事項1. 平台功能的互通性 你的平台程式中個每個功能之間不會因其中一個功能被其他功能取代而造成整體功能無法運作2. 平台功能的可攜性您的平台的程式功能是否能讓你很容易的在這幾種服務模式或部署模式中移動,而不會影響到程式功能與程式功能之間的互動3.平台的可用性不會因爲任何系統或資源的單點故障造成服務無法使用4. 安全性這應該是很多人的疑慮,如何設計整個雲端平台是達到可信任的程度涉及許多方面的考量.在雲端的資安管控的基本原則是"你要求的資安功能越多,你所花的費用也會增加“.5. 隱私性如何保護資料的隱私性,除了分層控管個別負責外.資料在傳輸中及落地後如何正確的加密保護也是一個很大的議題6. 高度彈性雲端平台可以適應從整個硬體到整座機房的故障都不會影響到服務7. 高效能這應該是雲端平台最基本的要求 希望以上這些觀點應該能夠幫助您能更正確選擇與設計雲端平台的服務模式與部署模式.

0 Comments

雲端運算的服務模式與部署模式 part 1

雲端運算的各服務與部署模式的特徵與效益介紹與說明 這一篇文章我們要來分析一下雲端平台的服務及部署模式所謂的雲端服務模式即大家常聽到的 IaaS/PaaS/SaaS這三種.部署模式一般來說分為四種 Public Cloud/Private Cloud/Hybrid Cloud/Community Cloud這四種.以下我們將為大家介紹一下,三種服務模式與四種部署模式的特徵與效益. part -2 會從綜合這些服務與部署模式來看哪根據你現行的狀況跟階段應該要用什麼樣的服務/部署模式.我們後面提及的服務/部署模式的都是根據NIST美國國家標準局的標準來說明與定義. 服務模式 IaaS( Infrastructure as a Services)根據NIST的定義IaaS是指有能力提供客戶運算/儲存/網路與其他相關的電腦運算服務的資源.讓客戶能在不同的作業系統上安裝任何的軟體而且能夠從網路層去控制連線,而不需要去控制底層的所有硬體.傳統上的資料中心我們都必需估算相對應的資源,而且經常估不準因為在現今的商業環境中資源的需求通常是高度變動的.傳統資料中心的資源都是固定的,就算臨時要加資源也會需要時間等待才能完成,但很多時候業務需求是等不了的.IaaS跟傳統的資料中心最大的不同是什麼呢?大概有兩個,一個是為了符合雲端技術貴公司的IT組織與技能將會發生大幅的改變.另一個是IT部門不再需要背負資產.從CapEX 轉向OpEX.變成租用服務的模式,用多少算多少IaaS有哪些特徵呢?1. 高擴充性 如同前面提到的,因為業務面經常變動的需求.您的資料中心資源是固定的.例如只有50台VM的運算量.但可能今天一個業務需求時間時有1週.業務單位的要求可能在幾天內把運算量從50變成500台.一般的傳統的資料中心是不太可能做到這件事的.2. 以網路與運算能力為範疇的資源池 簡單來說,您可以把它看成你在建立資料中心時的概念.在建置傳統的資料中心時若有不同的單位/業務/服務等等.通常會在這該資料中心用網路的方式再度劃分.單位/任務越多就會造成網路設定的複雜性.複雜性越高之後調整就越容易出錯,進而可能造成營運中斷.而在雲端上您可以將每一個資源池都可以看能是一個獨立的資料中心.依部門/任務/業務劃分可以互不干涉,也可以設定連線做資料交換.隨時依照公司的業務隨時在建立與新的資料中心任務結束後保留資移除資源池.3. 自助式與隨選即用的能力 由於不再需要負責底層的硬體,IT人員都夠隨時啟用/移除新大量的電腦資源,而不被底層硬體給限制住.4. 高可用度與高度彈性 由於雲端資料中心本質上有很多座基礎設施獨立但網路又相連的資料中心,故能做到到高可用高度彈性的能力.哪麼IaaS的效益會有哪些1. 資源價格透明 在IT中花費,用的每一GB的儲存空間/每個CPU的使用費用/每GB的網路流量都是一清二楚的.不再像是傳統的資料中心.一整個專案包起來.採購單位看著報價單裡面一堆不懂的電腦術語.聽著IT人員的解釋.最後還是不懂公司的花費投入後有沒有效益.也沒辦法依各單位成本中心來計算花費.最後只能照著每個部門的人數按比例去算.2. 不會有資源量浪費的狀況 建立傳統的資料中心就像買車一樣,買了10台.有時夠用有時不夠用.用租的方式就可以依公司現行業務動態的去租用車輛.也不需要去預先準備一大筆先去買以後可能用不到的公司車.3.…

0 Comments

制定您的雲端平台轉移計畫

如何制定專屬於您的轉移計畫 之前我們提到了雲端平台的成本效益分析,在公司內部也討論了資安風險/資安管理/雲端平台治理/等等.接下來我們需要開始制定雲端平台的轉移/使用計畫.雲端平台的使用或轉移要確切的契合兩個最重要的目標.符合貴公司的“業務營運”及“貴公司的”資安要求",當然有一些行業可能有政府監管機關的資安要求也需要ㄧ併考量進去.除此之外任何其他的目標都是次要的. 在制定計畫之前,有些問題需要釐清.這些問題不只是您的部門也會有跨部門需要一同討論.因為“界定問題”會比一直做功能比較來得重要許多.功能是比不完,功能過多要偏移你想解決的目標也可能會讓您多花錢. 有一些問題我們需要釐清1. 什麼樣的雲端部署模式是貴公司所需要的呢? 公有雲?私有雲?混合雲? 這個問題會帶出以下幾個子問題 1.1 這個雲端部署的終端使用者是誰?公司內部人員還是外部客戶或是一般大眾? 1.2 什麼樣的資料會在這個雲端模式”被使用“及”儲存“? 1.3 平台的連線如何能夠有效的被開啟/管理/稽核/移除? 1.4 平台的連線能夠根據公司的資安要求被限制嗎?例如限制IP/時間/用戶電腦等等.2. 什麼樣的雲端服務模式是我們所需要的呢? IaaS/PaaS/SaaS? 這個一樣會帶出幾個子問題,這幾個問題就如同問題 1.1 -1.4是一樣的 我們來舉一個實際運作的案例來看 ABC這間公司經過了大量的雲端雲台的成本效益分析/風險管理/IT治理等等一連串的IT內部及與相關部門的跨部門討論後.認知到使用雲端平台的效益高過於風險.他們決定採用混合雲架構,其中包含他們公司的私有雲平台(因為之前已經花錢建立了,使用年限還未到)及公有雲服務.根據公司的IT治理/資安要求等等將資料分成機敏跟非機敏,之後相關的專家根據如上一起制定了如下的整體方案 混合雲架構的解決方案將非機敏資料架構在GCP上/機敏資料放在私有雲,並在GCP及私有雲之間架設專線,以保持效能及傳輸的安全性.並架設 site to site VPN, 維持網路的高可用性並啟用GCP的VPC flow logs(網路連線紀錄)配合…

0 Comments

從GCP GKE的故障來檢視17 media的 Business continuity management and Disaster Recovery Plan — Part 2

上一篇我們從GKE故障的案例來檢視 17 media的BCDR(business continuity & disaster recovery).這一篇我們來review.在雲端平台怎麼讓我們的BCDR能夠成功的重要因素. 有兩個重要的因素1. 你的責任(客戶)與雲端平台業者的責任義務 1.1 客戶在使用雲端平台的責任義務有哪些,需要明定出來 1.2 業者的雲端平台的責任義務有哪些,也需要明定出來 1.3 明確的瞭解服務的相依性或相關性,包含可能第三方的廠商的軟體,這一點明確的說就是廠商供應鏈的風險管理. 1.4 承襲上一點,了解服務的相關性就可以分出服務的權重(優先權),優先恢復重要的服務 1.5 針對各項的服務/設施/流程有沒有標準的框架跟驗證,並且能定時的檢視針對現況做修正.做到PDCA(Plan/Do/Check?Action)的流程 1.6 有權力能能持續不斷的的稽核及定期評估雲端服務 1.7 能夠在有任何異常時與相關的人員溝通,並能有效傳達及更新現況不管內部或外部客戶/廠商 1.8 良好的備援計畫,不管將服務移動到同一個平台業者不同區域或不同雲端平台業者甚至移回地端機房.並且能夠確實的定期演練,但絕大多數的公司做不到這一點. 2. 非常清楚每項雲端服務的現況以及它的SLA制定計劃,平台服務到了什麼樣程度是無法接受時就要啟動備援計畫.底下有幾個參考 2.1 因為服務異常的罰款與補償 2.2…

0 Comments

從GCP GKE的故障來檢視17 media的 Business continuity management and Disaster Recovery Plan — Part 1

在今年萬聖節前後左右GCP發生了有史以來規模最大故障,整個GKE的故障外加不穩定效能低落等等問題.從美國時間11/4 11:46 - 11/13 15:38 共歷時9天的時間.這一段時間造成國內最大的直播媒體平台極大的衝擊.因為此一事件讓這一最大的直播平台不知造成多少營業上的損失及用戶信心打擊. 這一篇文章我們要以此事件為師,檢視該平台在 BCM(Business continuity management)營運持續管理及DRP(Disaster Recovery Plan)災難復原計畫.及如何讓您的服務平台不會因類似的事件造成貴公司營運上的衝擊做好事前預防的準備. 首先先來介紹什麼是BCM(Business continuity management)營運持續管理.BCM是ISO22301的標準認證,屬於風險管理的一種.ISO 22301 的前身BS 25999為英國標準協會 (The British Standards Institution, BSI) 所制定及推動的營運持續管理系統標準。於2007年11月正式公佈,此國際標準提供一套可衡量的準則與指導綱要,指導組織如何建立良好的防護機制,以確保無論受到何種衝擊都能保有營運持續能力.而為什麼有些企業需要取得這一類的認證呢?通過此項驗證,等於向重要利害關係人保證組織已完全做好準備,同時也符合來自內部、法規、及客戶的各種要求.ISO 22301營運持續管理系統讓組織無論面臨何種衝擊,均可持續營運。即使面臨衝擊,ISO 22301 也能協助組織持續營運。不論是何種規模企業、產業、公共或私人部門、製造業或服務業等,均適合採用符合ISO 22301的BCM 營運持續管理. BCM簡單來說就是在日常企業營運中不斷評估企業營運環境所面臨的"風險"與"威脅",對您的雲端服務平台來說就是要辨認此類的風險與威脅.哪麼針對這一個平台來說風險是什麼呢?就是雞蛋放同一個藍子裡.賭這個雲端平台永遠都不會有事.整個團隊人員可能產生了認知偏誤.但一件事情永遠需要有人站在反對面來檢視.…

0 Comments

雲端平台的成本效益分析

許多人使用雲端平台最大的因素就是為了要節省費用.然而若是沒有做好成本效益分析而貿然的將服務移動到雲端.哪麼在雲端的上成本到頭來將會超過在地端機房的費用.許多企業的IT人員就是在不了解雲端的特性及沒做好成本效益分析的狀況下.將服務動到雲端最後又搬回地端機房.徒然浪費企業的資源與時間. 這一篇文章將就您在做雲端平台成本效益分析會考量的事項. Resource Polling(資源池)這是最顯著的成本節省的特點,一般來說企業IT部門在估算地端機房所需要資源時往往都會高估,企業常因為這一個高估的流程而浪費了金錢.雲端資源池的概念就是讓您一開始可以把資源池畫得很小.然後視狀況成長這樣子就不會多付還未用到的資源費用.另一個好處是,通常企業內各部門所需要的IT服務都不太一樣,IT部門都會把所有部門的需求通通放進到一個資源池裡.這樣在計算各部門在IT資源的花費時就會變得很困難.若是將各部門需求劃分不同的資雲池,企業的成本估算或ROI將變得非常容易.Shift from CapEx to OpExIT部門將不再背負設備資本的攤提折舊也不在需要定期的去更新設備或是因為系統的升級更新而去購買更換設備.一切就是以整個服務平台運作成本為導向.前端客戶需求高時就付較高雲端費用,若需求雲端費用就變得很低.Factor in time and efficiencies有些企業未為了快速建立平台服務而需要將IT基礎建設能夠快速的建立起來.但在地端機房做此一類的建置時從評估設備,下單,等待設備到達.請各類的專家(網路/資安/虛擬化等等)共同建置測試等可能1-2個月的時間已經過去了.對一些企業來說時間成本與效能將會比花錢買設備建置更有價值.Reduction in maintenance and configuration time同上一點,這些IT基礎設施都需要定期的維護或設定因上層的程式變動而需要異動.筆者在還是企業的IT工程師時還要一段時間拿空氣壓縮機之類的設備將網路設備的風扇灰塵做清理.對企業來說人力資源是最寶貴的.企業IT人員應該將工作重點去做更能發揮效益的工作協助企業的營運任務.Utilities Cost整個機房的設備維運成本的節省,從電費/網路線/電源線等等各類線路,與各類設備廠商的維護合約,機櫃的空間成本等最重要的還要花額外的人力來做這些的管理.另外由於全球暖化效應許多大型企業也需要減少自己的Co2排放量以達到綠色企業的規範.雲端平台就會符合這一類的需求.Software and licensing costs軟體費用需要定期的更新,雲端平台是租用的方式隨選即用或有些專案要用到的軟體可能只需要用6個月就夠了.但一般狀況卻是要買斷的.對企業來說費用無形中就浪費.在企業中各類的需求總是不斷產生若要為了應付這些需求而去購買只使用一段時間的軟體,之後就擺著不用.對企業也是一種資源的浪費. 根據以上這些論點我們可以舉一個將這些因素都考量進去後的成本效益分析例子:現在我們需要建立有100台虛擬機的資料中心,建置高可用度的機房設備及備援機房來考量並且是24小時運轉的要求.因為雲端機房本身就具備這些特點 這100台都是Windows OS,標準定為每台都有8顆vCPU/ 32GB memory/ 500G SSD HDD.這樣總數就是 vCPU…

0 Comments

End of content

No more pages to load