数据推动产业发展 确保其完整性是实现安全关键

2017-12-29 10:17:00 作者:Sean Duca 分类 : 比特网

  对于企业来讲,要说2017年是充满挑战的一年,未免太轻描淡写。人类社会高度互连,对于企业来讲,网络攻击并非遥不可及之物,它就在前方可见之处,需要我们有预案予以防备。所有企业,都应该保有一定水平的“网络洁癖”,需要定时备份数据、为其系统及应用打上补丁、尽量缩小其数字资产的受攻击面。

  2018年,我们仍然需要借助新技术来变革我们的经营之道,这就有必要对相关安全顾虑有所周知,从而降低风险,甚至可以不采用技术便可实现这种变革。我们需要对现有的和潜在的风险有所了解,并且知晓如何做才能减少或者消除这些风险,只有这样我们才能时刻保持警戒之心,想网络罪犯之所未想,做网络罪犯之所未做。

Sean Duca

  Palo Alto Networks副总裁及亚太区首席安全总监Sean Duca

  1.就是别人的电脑,保护信息安全要常抓不懈

  近日新闻中,“第三方云存储”这个字眼被反复提及,尤其是亚马逊的简易存储服务(Simple Storage Service, S3)。在AWS服务中有一项名为“bucket”的功能,它是AWS云服务中用于在线数据存储的容器,用于存储敏感信息

  已经有企业因为错误配置AWS S3 bucket功能而泄露敏感信息的案例。最近几个月中,信息泄露案件层出不穷,这些遭泄露的信息包括:敏感文件、密码、家庭住址、客户数据库以及超过1.8亿美国选民的个人信息。这些泄露事件,都是因为S3 bucket配置错误引起的,任何人都可以通过网络自由获取这些数据。

  Bucket可以进行特定安全设置,这也是泄露问题的症结所在,究其原因,乃为人祸。

  与其他云供应商一样,AWS遵循的是共享安全责任模式,即亚马逊负责云端和基础设施的安全,其中包括:网络、存储以及计算。而另一方面,云上数据的安全则是由客户负责。当你开放数据给所有人时,一旦数据泄露,很明显错在客户一方而不是AWS。这种现象绝非AWS仅有,其他云平台或者数据资源库也会遇到同样的问题。

  现在,企业所普遍面临的挑战是:是否有必要开放bucket以供外界浏览,从而导致数据自动曝光。这种操作风险巨大,原有数据很可能会被覆盖。一旦有黑客锁定了那些可以进行修改的bucket,他们就有能力上传恶意软件到bucket里并重新写入文件。此外,如果你将代码存入此类资源库,其他人就有机会对其进行篡改。

  现在,利用网上的一些工具,黑客们就可以轻松的使用关键词搜索到企业的bucket,如果正巧这个bucket已经开放为可读/可写,那黑客们就很容易对这个bucket进行修改。

  现在,大多数企业已经着手或者开始向云端存储数据、向云端迁移或者安装各类应用,这就要求每个企业必须能够查阅并确认究竟是谁在访问他们的数据或者应用,并且能够基于近期发生的事件,预见到是否会有人来查阅他们的数据。但如何进行风险管理,还是需要企业自己来完成。因此,企业应该深入思考以下问题并获得答案:

  · 有哪些敏感数据在云端存储?数据泄露会带来哪些影响?

  · 在贵单位员工和第三方合作伙伴里面,谁有权限可以直接访问到这些敏感数据?

  · 这些数据是如何受到保护的?贵单位采取的保护措施能否满足消除风险所需的安全等级?

  2. 数据推动产业发展,确保其完整性是实现安全的关键

  信息安全的基本原则包括:保密性、完整性和可用性。

  传统意义上来讲,大多数攻击所针对的还是保密性和可用性:攻击者采用攻击或偷窃等方式来获取知识产权或者数据,以及然后实施拒绝服务攻击,阻止用户访问相关信息和系统。企业运作是如此依赖保密性和可用性这两点,以至于我们常常忽略了另外一点:完整性,而这一点所面临的挑战相较前两个有过之而无不及。

  数据是新的推动力。它推动着企业向前发展,横扫从企业运行到政府机关推行新政等一切领域。现在,数据偷窃所带来的风险已经为大众所熟知,但黑客正在改变窃取数据的方式,不是简单的将数据清空而是对数据进行篡改,这种危害性往往更大。

  保持数据完整性,就是要确保只有授权用户才有资质访问相关信息或者对其进行修改。针对数据完整性的攻击,就是要破坏掉这种唯一性,让黑客可以在未经授权的情况下访问并修改这些数据,进而满足一己之私,如获得经济利益、损毁名誉或者仅仅让这些数据变得一文不值。

  在金融市场,错误数据必将带来致命一击甚至导致市场崩盘。比如,通过修改销售数据引起公司股票行情波动。此外,提供公共服务的部门、智慧城市以及其他IoT系统,从交通信号灯到供水系统,如果这些部门和系统运行所依赖的数据被篡改,其结果必将是混乱和致命的。

  所有企业都应该从现在就开始探讨如何做才能有效阻止此类攻击的发生。总结起来包括:

  教育员工和客户如何操作才能实现安全,确保个人数据得到有效保护。这有助于加深员工对如何保护公司数据的理解。

  要熟悉你的数据,它是如何生成的,如何采集的,数据中哪些内容是最为敏感的。在开始考虑如何保护这些数据之前,更重要的是要对你所要保护的数据做一个全面的了解。

  借助多因子认证,提供额外安全层次的防护来保护用户名和密码。这一安全措施将唯你“所知”和“所有”的特殊因素引入,而不仅仅是通用模式比如密码。

  利用加密技术来保护敏感数据,不论它是部署在本地,还是部署在云端或者在混合环境中。一旦有人胆敢窃取这些如同“王冠上的珠宝”一样珍贵的敏感数据,或对其进行破坏和篡改时,我们要有能力对产生的影响加以限制。加密是唯一的可采取的战略性管理方法。但企业要确保密钥的安全,需要采取一定的措施,比如将其存储于安全的硬件模块中。换句话说,哪怕你用的是世界上最好的门锁来锁你的房子,但如果你把钥匙藏到了地垫下面,而恰好被在此经过的家伙看到并偷走,这样也是不安全的。

最近更新
科普

科普图集
从《中国互联网+指数报告(2018)》看数字经济

从《中国互联网+指数报告(2018)》看数字经济>>详情

“互联网+”的这些新变化,你知道吗?

“互联网+”的这些新变化,你知道吗?>>详情

邮件订阅

软件信息化周刊
比特软件信息化周刊提供以数据库、操作系统和管理软件为重点的全面软件信息化产业热点、应用方案推荐、实用技巧分享等。以最新的软件资讯,最新的软件技巧,最新的软件与服务业内动态来为IT用户找到软捷径。
商务办公周刊
比特商务周刊是一个及行业资讯、深度分析、企业导购等为一体的综合性周刊。其中,与中国计量科学研究院合力打造的比特实验室可以为商业用户提供最权威的采购指南。是企业用户不可缺少的智选周刊!
网络周刊
比特网络周刊向企业网管员以及网络技术和产品使用者提供关于网络产业动态、技术热点、组网、建网、网络管理、网络运维等最新技术和实用技巧,帮助网管答疑解惑,成为网管好帮手。
服务器周刊
比特服务器周刊作为比特网的重点频道之一,主要关注x86服务器,RISC架构服务器以及高性能计算机行业的产品及发展动态。通过最独到的编辑观点和业界动态分析,让您第一时间了解服务器行业的趋势。
存储周刊
比特存储周刊长期以来,为读者提供企业存储领域高质量的原创内容,及时、全面的资讯、技术、方案以及案例文章,力求成为业界领先的存储媒体。比特存储周刊始终致力于用户的企业信息化建设、存储业务、数据保护与容灾构建以及数据管理部署等方面服务。
安全周刊
比特安全周刊通过专业的信息安全内容建设,为企业级用户打造最具商业价值的信息沟通平台,并为安全厂商提供多层面、多维度的媒体宣传手段。与其他同类网站信息安全内容相比,比特安全周刊运作模式更加独立,对信息安全界的动态新闻更新更快。
新闻中心热点推荐
新闻中心以独特视角精选一周内最具影响力的行业重大事件或圈内精彩故事,为企业级用户打造重点突出,可读性强,商业价值高的信息共享平台;同时为互联网、IT业界及通信厂商提供一条精准快捷,渗透力强,覆盖面广的媒体传播途径。
云计算周刊
比特云计算周刊关注云计算产业热点技术应用与趋势发展,全方位报道云计算领域最新动态。为用户与企业架设起沟通交流平台。包括IaaS、PaaS、SaaS各种不同的服务类型以及相关的安全与管理内容介绍。
CIO俱乐部周刊
比特CIO俱乐部周刊以大量高端CIO沙龙或专题研讨会以及对明星CIO的深入采访为依托,汇聚中国500强CIO的集体智慧。旨为中国杰出的CIO提供一个良好的互融互通 、促进交流的平台,并持续提供丰富的资讯和服务,探讨信息化建设,推动中国信息化发展引领CIO未来职业发展。
IT专家网
IT专家新闻邮件长期以来,以定向、分众、整合的商业模式,为企业IT专业人士以及IT系统采购决策者提供高质量的原创内容,包括IT新闻、评论、专家答疑、技巧和白皮书。此外,IT专家网还为读者提供包括咨询、社区、论坛、线下会议、读者沙龙等多种服务。
X周刊
X周刊是一份IT人的技术娱乐周刊,给用户实时传递I最新T资讯、IT段子、技术技巧、畅销书籍,同时用户还能参与我们推荐的互动游戏,给广大的IT技术人士忙碌工作之余带来轻松休闲一刻。