隨著雲端運算的普及，企業面臨的網路安全威脅也日益複雜。傳統的邊界防禦已不足以應對新的攻擊手段，因此需要構建多層次的防禦體系。本文將探討 VPN、WAF、RASP、Anti-DDoS、IDS/IPS 和出口過濾等關鍵技術，並分析如何在雲端環境中有效整合這些技術，構建更強大的安全防護體系。同時，本文也將探討安全事件的偵測、回應和復原機制，以及如何制定有效的安全策略，以應對不斷變化的網路安全威脅。
網路安全中的虛擬私人網路（VPN）探討
虛擬私人網路（VPN）是一種在不安全的網路（如網際網路）上建立加密連線的技術，模擬出如同物理連線的安全通訊管道。VPN主要分為兩種主要功能：站對站（site-to-site）通訊和客戶端對站（client-to-site，或稱「行動工作者」）通訊。
站對站 VPN
站對站 VPN 用於兩個獨立的網路系統之間透過不信任的網路進行加密的通訊。這種技術可以讓一個站點的所有使用者透過周邊網路存取應用程式，或讓一個應用程式與另一個應用程式進行通訊。然而，這種方式不應被用於保護管理介面。
站對站 VPN 的優缺點
- 設定複雜度高：相較於使用傳輸層安全性協定（TLS），設定站對站 VPN 需要更多的組態工作，包括在兩個防火牆（通常是冗餘對）上設定適當的引數、憑證和路由資訊。
- 可能導致不安全的使用：如果站對站 VPN 導致不安全協定的使用，那麼它可能會降低安全性。因為 VPN 仍然會在資料進入隧道之前讓資料在兩端保持未加密狀態，因此攻擊者若能進入內部網路，就有可能竊聽這些流量。
- 過於粗糙的存取控制：站對站 VPN 允許一個網路上的任何人（通常是一個大型企業網路）存取另一個網路（如您的應用程式所在的網路）。在管理使用者層級進行存取控制比在網路層級更為合理。
推薦做法
對於大多數情況，優先使用端對端加密（如 TLS）是更好的選擇。如果已經使用了 TLS 且在可行的情況下實施了 IP 白名單，那麼使用站對站 VPN 的必要性就降低了。然而，如果需要額外的安全性，可以同時使用 VPN 和 TLS，但應該使用不同的協定（如 IPsec），以避免相同的漏洞影響到兩者。
客戶端對站 VPN
客戶端對站 VPN 允許個別使用者將自己的工作站或行動裝置虛擬地連線到遠端網路。這種技術可以用於終端使用者存取應用程式，或由管理員維護應用程式的個別元件。
對客戶端對站 VPN 的建議
對於終端使用者的存取，大多數情況下不建議使用客戶端對站 VPN。VPN 對使用者來說不方便，且可能會對行動裝置的電池壽命造成負面影響。此外，一旦使用者基數足夠大，攻擊者就有可能請求並獲得一般的使用者存取許可權。
然而，對於管理員存取雲端環境的內部運作，客戶端對站 VPN 是一種不錯的選擇。這是因為管理員使用的後端連線風險較高，但數量較少，因此成本較低，且管理員數量較少使得攻擊者很難意外獲得存取許可權。
客戶端對站 VPN 的優缺點
客戶端對站 VPN 相較於堡壘主機（bastion host）或跳板主機（jump host），允許更多協定的使用，這既是優點也是缺點。雖然這使得管理員的工作更加方便，但也可能讓攻擊者更容易從受損的工作站攻擊生產網路。此外，VPN 不支援工作階段記錄，因此在高安全性環境中，通常會優先使用堡壘主機。
網路安全防護：多層次防禦策略
在現代雲端運算環境中，網路安全是企業防護的關鍵。除了傳統的防火牆和安全措施外，還需要採用多層次的防禦策略來抵禦各種攻擊。本文將探討如何利用Client-to-site VPN、Web Application Firewall（WAF）、Runtime Application Self-Protection（RASP）以及Anti-DDoS措施來提升網路安全。
Client-to-Site VPN：安全遠端存取
Client-to-site VPN允許管理員安全地存取企業資源，同時保持資料傳輸的加密和安全性。大多數解決方案支援複雜的憑證和雙因素身份驗證，以降低憑證被猜測或竊取的風險。
雲端平台上的VPN實作
各大雲端供應商提供不同的VPN解決方案，例如：
- Amazon Web Services：Amazon Managed VPN
- Microsoft Azure：VPN Gateway
- Google Compute Platform：Google Cloud VPN
- IBM Cloud：IBM Cloud VPN
確保VPN解決方案能夠提供連線日誌，以便於稽核和監控。
Web Application Firewall（WAF）和RASP：應用層防護
WAF和RASP是兩種重要的應用層安全措施。WAF作為智慧代理，能夠檢查請求並阻擋SQL注入等攻擊。RASP則嵌入應用程式碼中，監控應用程式的行為以檢測和防止攻擊。
WAF的佈署模式
WAF可以在傳統環境或雲端環境中佈署，包括SaaS模式、虛擬裝置模式和分散式（主機端）模式。選擇適合的佈署模式對於確保所有流量經過WAF至關重要。
RASP與WAF的比較
RASP與WAF類別似，但其機制不同。RASP支援特定的語言和應用環境，而WAF可以保護幾乎任何應用程式。兩者可以結合使用，提供額外的安全層。
@startuml
skinparam backgroundColor #FEFEFE
skinparam componentStyle rectangle
title 雲端網路安全防護策略探討
package "安全架構" {
package "網路安全" {
component [防火牆] as firewall
component [WAF] as waf
component [DDoS 防護] as ddos
}
package "身份認證" {
component [OAuth 2.0] as oauth
component [JWT Token] as jwt
component [MFA] as mfa
}
package "資料安全" {
component [加密傳輸 TLS] as tls
component [資料加密] as encrypt
component [金鑰管理] as kms
}
package "監控審計" {
component [日誌收集] as log
component [威脅偵測] as threat
component [合規審計] as audit
}
}
firewall --> waf : 過濾流量
waf --> oauth : 驗證身份
oauth --> jwt : 簽發憑證
jwt --> tls : 加密傳輸
tls --> encrypt : 資料保護
log --> threat : 異常分析
threat --> audit : 報告生成
@enduml此圖示展示了WAF檢查請求的流程。
Anti-DDoS：抵禦分散式拒絕服務攻擊
DDoS攻擊可能導致服務中斷，對於線上零售、企業網站或遊戲服務等都是嚴重的威脅。Anti-DDoS措施可以透過SaaS模式提供，能夠過濾掉惡意流量。
風險評估與Anti-DDoS措施
在投資Anti-DDoS措施之前，需要評估威脅模型。如果業務對DDoS攻擊不敏感，可以考慮接受相關風險。然而，對於大多數線上業務來說，Anti-DDoS是必要的防護措施。
綜合網路安全策略
綜合運用Client-to-site VPN、WAF、RASP和Anti-DDoS措施，可以建立多層次的網路安全防護。企業應根據具體需求和威脅模型選擇適合的安全解決方案，並確保持續監控和更新安全措施，以應對不斷變化的網路威脅。
內容解密：
上述綜合網路安全策略涉及多個層面，包括遠端存取安全、應用層防護和抵禦DDoS攻擊。每個層面都需要根據具體業務需求選擇適合的安全措施。持續監控和更新安全策略是確保網路安全的關鍵。透過這些措施，企業可以有效提升網路安全防護能力，抵禦各種網路威脅。
網路安全防護機制
在現代雲端運算環境中，企業面臨著日益嚴峻的網路安全威脅。為了有效防禦這些威脅，必須實施多層次的安全控制措施。本文將探討入侵偵測與防禦系統（IDS/IPS）以及出口過濾（Egress Filtering）等關鍵安全機制，並分析其在傳統IT環境與雲端環境中的應用差異。
入侵偵測與防禦系統（IDS/IPS）
傳統IDS/IPS運作模式
在傳統IT環境中，IDS通常被佈署為獨立的硬體裝置，用於監控網路流量並在偵測到可疑活動時發出警示。IPS則進一步具備阻擋惡意流量的能力。這些系統可以根據簽名規則或行為分析來識別潛在威脅。
IDS/IPS規則型別
- 簽名式規則：根據已知的惡意軟體特徵碼進行匹配
- 行為式規則：根據網路流量的後設資料進行異常檢測
雲端環境中的IDS/IPS佈署
在雲端環境中，傳統的硬體裝置被虛擬裝置取代，但基本運作原理保持不變。然而，虛擬裝置在處理大量流量時可能面臨擴充套件性挑戰。此外，如何確保所有流量都能透過IDS/IPS裝置也是一個技術難題。
主機型IDS/IPS解決方案
主機型IDS/IPS代理程式可以直接整合到虛擬機器映像檔或容器層中，這種方式更適合雲端環境的動態特性。
出口過濾（Egress Filtering）
出口過濾是指限制受信任元件的輸出通訊。這種做法可以有效降低資料外洩的風險，並防止受感染的系統與外部攻擊者進行通訊。
實施出口過濾的原因
- 防止資料外洩：限制敏感資料的外傳
- 防範內部系統被利用：防止受感染的系統與外部惡意伺服器通訊
- 減少水坑攻擊風險：限制內部系統連線未經授權的外部更新伺服器
綜合安全防護策略
- 結合WAF與IDS/IPS：WAF可以有效阻擋大部分攻擊流量，減少IDS/IPS的負擔
- 佈署主機型IDS/IPS：在每個系統映像檔中整合IDS/IPS代理程式，並將日誌集中至中央伺服器進行分析
- 實施出口過濾：限制輸出流量，防止資料外洩和內部系統被利用
內容解密：
本文介紹了網路安全中的兩項重要防護機制：入侵偵測與防禦系統（IDS/IPS）以及出口過濾（Egress Filtering）。首先說明瞭傳統IT環境下的IDS/IPS運作模式，包括簽名式和行為式規則。接著討論了雲端環境中IDS/IPS的佈署挑戰，如虛擬裝置的擴充套件性和流量引導問題。同時，文章也強調了主機型IDS/IPS在雲端環境中的優勢。最後，詳細闡述了出口過濾的重要性和實施方法，包括防止資料外洩和減少內部系統被利用的風險。綜合來說，本文提供了多層次的安全防護策略建議，包括結合WAF與IDS/IPS、佈署主機型IDS/IPS以及實施出口過濾，以提升整體網路安全防護能力。
網路安全最佳實踐
為了進一步提升網路安全防護能力，企業應考慮以下最佳實踐：
- 定期更新安全規則：持續更新IDS/IPS規則，以偵測最新的威脅
- 實施多層次防禦：結合防火牆、WAF、IDS/IPS等多種安全控制措施
- 進行定期的安全稽核：定期檢查安全組態的有效性，並進行必要的調整
- 加強員工安全意識培訓：提高員工對網路安全威脅的認識和防範能力
透過實施這些最佳實踐，企業可以顯著提升其網路安全防護能力，有效應對日益複雜的網路威脅。
網路安全中的出口流量控制與資料外洩防護
在雲端環境中，網路安全不僅僅是防範入侵流量，同樣需要嚴格控制出口流量，以防止惡意軟體與內部敏感資料的外洩。出口流量控制（Egress Filtering）是一種關鍵的安全措施，能夠限制內部系統對外部的連線請求，從而減少潛在的安全風險。
為什麼需要出口流量控制？
許多企業和組織為了防範外部攻擊，往往更關注入站流量的控制。然而，出口流量控制同樣重要，因為它可以：
- 防止惡意軟體回傳：當內部系統被惡意軟體感染時，惡意軟體可能會嘗試與外部命令和控制伺服器進行通訊，出口流量控制可以阻止這種行為。
- 減少資料外洩風險：敏感資料（如信用卡資訊、個人身份資訊等）可能被惡意軟體或內部人員非法傳輸至外部，出口流量控制可以監控和阻止這類別行為。
- 遵守法規要求：某些安全標準（如NIST 800-53）要求實施出口流量控制，以確保內部系統不會參與DDoS攻擊或洩露敏感資料。
實施出口流量控制的方法
1. 簡單的出站埠限制
最簡單的出口流量控制方法是透過限制出站埠來實作。例如，只允許內部系統透過預設的HTTPS埠（TCP/443）與外部進行通訊。這種方法雖然簡單，但效果有限，因為許多惡意軟體可以透過HTTPS進行通訊。
在雲端環境中，可以透過安全群組（Security Groups）或網路ACL（Access Control Lists）來實作埠級別的出口流量控制。
2. 出站IP白名單
另一個方法是實施出站IP白名單，只允許內部系統與特定的外部IP進行通訊。然而，隨著CDN（內容分發網路）和GSLB（全域性伺服器負載平衡）的普及，IP白名單變得越來越難以實施，因為目標服務的IP地址可能會頻繁變化。
3. 顯式代理（Explicit Proxy）
顯式代理是一種更有效的出口流量控制方法。內部系統被組態為透過代理伺服器與外部進行通訊，代理伺服器會驗證請求並代表內部系統進行連線。大多數作業系統都支援設定顯式代理，例如在Linux上設定HTTP_PROXY和HTTPS_PROXY環境變數。
4. 透明代理（Transparent Proxy）
透明代理則是在網路層面將流量導向代理伺服器，無需修改內部系統的組態。某些新興技術，如Istio，可以在Kubernetes叢集中透明地代理允許的流量。
資料外洩防護（Data Loss Prevention, DLP）
資料外洩防護是另一項重要的安全措施，用於監控和防止敏感資料在環境中不當儲存或離開環境。DLP可以透過以下方式實施：
- 與出口流量控制結合：在出口代理伺服器上整合DLP技術，當檢測到敏感資料（如信用卡資訊）時，可以提醒管理員或阻止傳輸。
- 在SaaS環境中整合DLP：某些SaaS服務提供了內建的DLP功能，可以自動標記或阻止特定型別的資料儲存。
風險與挑戰
雖然出口流量控制和DLP可以顯著提高安全性，但它們也帶來了一些挑戰：
- HTTPS流量的檢查：對於HTTPS連線，需要驗證目標伺服器的X.509憑證。如果使用透明代理，則需要能夠模擬任何網站，這本身就是一個安全風險。
- 代理伺服器的安全：代理伺服器本身成為攻擊者的目標，因此需要像其他關鍵系統一樣受到嚴格保護。
內容解密：
本文主要探討了在雲端環境中實施出口流量控制和資料外洩防護的重要性、方法和挑戰。首先，我們討論了為什麼需要出口流量控制，包括防止惡意軟體回傳、減少資料外洩風險和遵守法規要求。接著，我們介紹了四種實施出口流量控制的方法：簡單的出站埠限制、出站IP白名單、顯式代理和透明代理。然後，我們討論了資料外洩防護的概念和實施方式，包括與出口流量控制結合和在SaaS環境中整合DLP。最後，我們分析了實施這些措施所面臨的風險與挑戰，包括HTTPS流量的檢查和代理伺服器的安全問題。總的來說，本文提供了對雲端環境中網路安全的全面分析，並強調了實施出口流量控制和資料外洩防護的重要性。
網路控制在雲端環境中的重要性
在雲端環境中，網路控制是保護系統的重要一環。雖然有很多技術上複雜的控制措施可供選擇，但重要的是要優先考慮它們，以獲得最佳的保護效果。
為什麼網路控制很重要
攻擊者可能會利用各種漏洞，例如命令注入攻擊、預設憑證的 MySQL 例項、易受攻擊的 SMTP 伺服器等，來取得系統的存取許可權。網路控制可以作為第一道防線或最後一道防線，幫助防止攻擊者入侵或至少提供機會來檢測正在進行的攻擊並做出回應。
網路控制的範例
- TLS（傳輸層安全性）：可以防止攻擊者嗅探憑證或資料。
- WAF（Web 應用程式防火牆）：可以攔截注入攻擊，防止應用程式洩露資料。
- 安全群組：可以限制特定元件的流量，確保只有特定的流量被允許透過。
實施網路控制的步驟
- 繪製應用程式圖表：標示信任邊界。
- 使用 TLS：確保入站連線和元件間通訊使用 TLS 和身份驗證。
- 實施周界和內部分割：提供安全的管道讓管理員管理系統，例如透過堡壘主機或 VPN。
- 設定 WAF、RASP 和/或 IDS/IPS：根據需要設定這些安全措施。
- 設定 DDoS 防護：如果需要，設定 DDoS 防護。
- 設定出口過濾：至少設定有限的出口過濾。
- 定期檢查組態：確保所有組態正確且有用。
內容解密：
這些步驟有助於建立一個強大的網路安全基礎。透過繪製應用程式圖表，可以清楚地瞭解信任邊界；使用 TLS 可以確保資料傳輸的安全；實施周界和內部分割可以限制攻擊者的移動；設定 WAF、RASP 和 IDS/IPS 可以檢測和防止各種攻擊；設定 DDoS 防護可以抵禦分散式拒絕服務攻擊；設定出口過濾可以防止惡意流量離開網路。定期檢查組態可以確保安全措施的有效性。
偵測、回應和復原安全事件
即使已經採取了各種保護措施，安全事件仍然可能發生。因此，瞭解如何偵測、回應和復原安全事件至關重要。
為什麼偵測和回應很重要
研究表明，許多公司在發現安全事件時已經為時已晚。快速偵測和回應可以大大減少損失。
如何偵測和回應安全事件
- 瞭解攻擊者的行為：瞭解攻擊者通常會做什麼，可以幫助組織更好地準備。
- 持續監控：持續監控系統和日誌，可以幫助快速偵測安全事件。
- 制定回應計劃：制定完善的回應計劃，可以幫助組織在安全事件發生時快速做出反應。
內容解密：
瞭解攻擊者的行為模式，可以幫助組織預測和準備對策。持續監控系統和日誌，可以及時發現異常行為。制定回應計劃，可以確保在安全事件發生時，能夠迅速有效地做出反應，將損失降至最低。
雲端安全事件的偵測、回應與復原
攻擊鏈與雲端安全
在探討雲端環境中的安全事件偵測、回應與復原之前，瞭解攻擊者的行為模式至關重要。攻擊鏈（Kill Chain）是一種用於描述攻擊者可能採取的步驟的模型，其中最為人熟知的包括洛克希德馬丁公司的網路殺傷鏈（Cyber Kill Chain）和MITRE ATT&CK框架。這些模型詳細闡述了攻擊者常見的步驟，如偵察、武器化、傳遞、利用、安裝、命令與控制以及達成目標。瞭解這些步驟有助於企業在面對活躍攻擊時做出有效的回應。
雲端與傳統IT環境的差異
在雲端環境中，安全責任的分擔是一個重要的概念。如第一章圖1-8所示，雲端服務提供商（CSP）與客戶之間存在明確的責任劃分。雲端提供商負責底層基礎設施的安全，而客戶則負責在其上佈署的資源和資料的安全。這意味著客戶不需要擔心底層硬體的安全，但仍需關注其在雲端環境中的資源和資料。
在傳統IT環境中，企業需要自行負責所有層級的安全。然而，在雲端環境中，提供商已經承擔了部分安全責任，如入侵偵測和回應。客戶主要關注的是其責任範圍內的安全活動，如監控其在雲端的使用情況、API呼叫和命令列介面的操作。
重點監控物件
在複雜的雲端系統中，存在大量的日誌和指標資料，需要仔細選擇監控的重點。監控策略應根據威脅模型，考慮資產的重要性和潛在攻擊者的目標。例如，如果企業擁有大量敏感資料，監控網路流量和連線時間長度可能有助於發現資料外洩的跡象。
另一方面，如果企業主要提供軟體服務，則需要關注軟體內容是否被篡改。除了根據威脅模型選擇監控重點外，還可以參考一些通用的監控建議，包括：
- 監控可能表明安全事件的日誌、事件和警示
- 關注與安全相關的指標，如網路流量、系統效能等
- 使用雲端服務提供商提供的工具和服務來增強監控能力
日誌、事件、警示與指標
瞭解日誌、事件、警示和指標之間的區別對於有效的監控至關重要。日誌或事件是指系統中發生的特定事情的記錄，如使用者認證、網頁請求或CPU使用率超過閾值。警示則是系統認為需要通知人員的特定事件，如防毒軟體發現惡意軟體。
重點摘錄：
- 瞭解攻擊鏈模型有助於企業更好地回應安全事件。
- 雲端環境中的安全責任由提供商和客戶共同承擔。
- 有效的監控策略需要根據威脅模型和資產特點。
- 日誌、事件、警示和指標是監控中的重要元素。
進一步探討
在實際操作中，企業需要根據自身的業務特點和雲端環境，制定詳細的監控和回應計劃。這包括選擇合適的安全工具、建立事件回應團隊以及進行定期的演練和培訓，以確保在面對安全事件時能夠迅速有效地回應。
