一个完整和全面的云服务器安全方案应该是什么样子

安全的改变

随着云计算技术的普及，越来越多的企业将其系统向云端迁移，云计算便捷、可靠和廉价的特性被广大用户接受。

从另一方面来说，尽管距离商业化公有云业务的推出已经超过10年，根据CSA（CloudSecurityAlliance，云安全联盟）在今年年初发布的《CloudAdoption,PracticesandPrioritiesSurveyReport》调研报告，73%的受访对象表示安全仍旧是企业上云的首要顾虑。

对于很多企业用户来来说，由于云服务器替代传统服务器承载了与企业生存发展息息相关的互联网业务，使得用户对云安全的疑问很大程度上聚焦在云服务器的安全上。

云服务器安全吗？这个问题不仅仅限定在看不到摸不着的虚拟化层面，让用户感触更为深刻的是——突然发现，之前很多常见和常用的安全防护系统，特别是“硬件盒子”，都从采购名单上消失了。云计算环境对于安全防护的改变可见一斑。

这样一来，云服务器的安全该如何实现呢？

不变的安全

正像云计算对于互联网业务革命性的改变一样，对安全的改变也是彻底的，不仅体现在安全防护理念上，还对安全交付方式的改变。

不过，安全的本质并没有因为云计算技术的引入发生改变。事实上，部署在传统环境下的服务器和云环境下的服务器，从安全风险角度上讲没有太多不同。

从上图可见，云服务器的安全风险主要包括：

（1）自身存在的脆弱性，例如漏洞（包括虚拟化层面）、错误的配置、不该开放的端口等；

（2）外部威胁，例如后门、木马、暴力破解攻击等。

不管是部署在传统数据中心还是云数据中心中，服务器安全都要面对和解决上述两个方面的风险。

对于云服务器来说，首先需要解决的是自身脆弱性的问题，特别是漏洞。存在漏洞的系统就像一间打开窗户的房间，不管安装了多么先进的门禁系统，也无法阻挡小偷的光临。此外，对服务器关键配置和端口的检查和监控，一方面可以减少攻击面，另一个方面可以随时掌握系统安全状态。从外部威胁角度上讲，暴力破解仍旧是云服务器最大的网络威胁。暴力破解防护需要覆盖系统、应用和数据库三个层面，任何一个层面的缺失都会增大系统遭受入侵的概率。最后，能否快速发现和清除云服务器上的病毒、木马和后门是对防护能力的重大考验。

双重挑战

然而，现实是骨感的。云服务器安全面临来自内部和外部的双重挑战。

首先，云服务器的脆弱性突出体现在未被修复的漏洞上。根据国外某安全机构的统计，在金融行业，漏洞平均修复时间长达176天。采用云计算后这个数字稍微有所改善，然而，云服务器漏洞的平均修复时间仍旧是50天。无论是176天还是50天，对于进攻一方来说，足够遍历整个服务器。

其次，根据国外某安全公司的测试，“黑客”成功入侵AWS服务器只需要4个小时。表面看是系统脆弱性导致，背后实际上是黑客的暴力破解行为。在云计算环境中，大部分云服务提供商并不提供暴力破解防护服务，而是建议用户在服务器上安装三方防护软件。事实上，市面流行的云服务器安全软件一般只提供操作系统层面的暴力破解防护，并没有覆盖到应用和数据库层面。应用和数据库层面的缺失无疑是在云服务器防护上玩起了“锯箭”法——操作系统我管，上面的找别人。

第三，绝大多数云服务器安全系统／方案体现为单点防护。单点防护具有两个特点：横向上针对服务器个体的防护以及纵向上在服务器一个层面进行防护。横向上的单点防护体现为每个云服务器都是彼此孤立的个体。在木马、后门变异样本层出不穷的今天，如果恶意样本采集不是实时的，分析和策略分享、下发不能快速完成，将无异于将主动权拱手让给入侵者。纵向上的单点体现在，同时也是常见云服务器安全软件的“通病”，无论是网络、系统、应用和数据防护都依靠安装在云服务器上的软件来完成。先不说防护效果，启用防护功能需要调用大量的系统资源，等同于发起一场自残式的拒绝服务攻击。

最后，安全攻防的背后是人的技能、智慧以及经验的对抗。在特定情况下，要求人员介入，快速完成样本收集、取证、分析和攻击阻断。然而，对于大多数企业来说，建立一支具有专业技能的安全攻防团队是不现实的。

因此，云服务器的安全防护是对平台化、体系化以及包括快速响应、技术经验在内运营能力的全面挑战，而不是简简单单安装一个主机防护软件就可以实现的。

云服务器防护应该是什么样子？

一个完整和全面的云服务器防护方案应该包含对内部脆弱性（漏洞、配置、端口等）的快速定位、修复以及对外部威胁的迅速发现和阻断。

对于内部脆弱性，特别是严重威胁云服务器安全的漏洞，不仅要求精准定位，对于绝大部分漏洞来说，自动化的漏洞修复将有效提升安全防护的效率和效果。对于关键服务器或有严格合规／业务规定的服务器，云服务商应该提供漏洞修复的风险提示，这个工作不应该交给用户。云盾安骑士软件提供自动化漏洞修复功能，以及针对补丁的风险评估及修复建议。

其次，对于云服务器首要的外部威胁——暴力破解，防护系统必须涵盖系统、应用和数据库。云盾安骑士软件支持WINDOWS系统和LINUX系统两大平台，同时针对SSH，RDP，Telnet，Ftp，MySql，SqlServer等等常见应用和数据库提供安全监控，随时发现黑客的暴力破解行为。

盗用账号、缓冲区溢出以及执行任意命令是Web服务器比较常见的安全漏洞。黑客攻击、蠕虫病毒以及木马是因特网比较常见的安全漏洞。口令攻击、拒绝服务攻击以及IP欺骗是黑客攻击比较常见的类型。随着网络技术的不断发展，Web服务器面临着许多安全威胁，直接影响到Web服务器的安全。因此，加强Web服务器的安全防护是一项迫切需要的解决的时代课题。笔者结合多年的工作实践，认为可从以下3个方面入手来加强Web服务器的安全防护。　　第一，加强Web服务器的安全设置。　　以Linux为操作平台的Web服务器的安全设置策略，能够有效降低服务器的安全隐患，以确保Web服务器的安全性，主要包括：登录有户名与密码的安全设置、系统口令的安全设置、BIOS的安全设置、使用SSL通信协议、命令存储的修改设置、隐藏系统信息、启用日志记录功能以及设置Web服务器有关目录的权限等[3]。　　第二，加强互联网的安全防范。　　Web服务器需要对外提供服务，它既有域名又有公网的网址，显然存在一些安全隐患。所以，可给予Web服务器分配私有的地址，并且运用防火墙来做NAT可将其进行隐藏；同时因为一些攻击来源于内网的攻击，比如把内网计算机和Web服务器存放在相同的局域网之内，则在一定程度上会增加很多安全隐患，所以必须把它划分为不同的虚拟局域网，运用防火墙的地址转换来提供相互间的访问，这样就大大提高了Web服务器的安全性和可靠性；把Web服务器连接至防火墙的DMZ端口，将不适宜对外公布的重要信息的服务器放于内部网络，进而在提供对外的服务的同时，可以最大限度地保护好内部网络[4]。　　第三，网络管理员要不断加强网络日常安全的维护与管理。　　要对管理员用户名与密码定期修改；要对Web服务器系统的新增用户情况进行定时核对，并且需要认真仔细了解网络用户的各种功能；要及时给予更新Web服务器系统的杀毒软件以及病毒库，必要时可针对比较特殊的病毒给予安装专门杀毒的程序，同时要定期查杀Web服务器的系统病毒，定期查看CPU的正常工作使用状态、后台工作进程以及应用程序，假若发现异常情况需要及时给予妥当处理[5]；因为很多木马与病毒均是运用系统漏洞来进行攻击的，所以需要不断自动更新Web服务器系统，以及定期扫描Web服务器系统的漏洞。

Web服务器已经成为了病毒、木马的重灾区。不但企业的门户网站被篡改、资料被窃取，而且还成为了病毒与木马的传播者。有些Web管理员采取了一些措施，虽然可以保证门户网站的主页不被篡改，但是却很难避免自己的网站被当作肉鸡，来传播病毒、恶意插件、木马等等。这很大一部分原因是管理员在Web安全防护上太被动。他们只是被动的防御。为了彻底提高Web服务器的安全，Web安全要主动出击。 已经检查过网线。也试过了ping服务器，依旧无法访问服务器。好消息是，已经可以将问题定位到物理服务器或操作系统本身了。换句话说，已经可以开始集中经理对现存的问题进行排查。

接下来，才去从底层到高层的方式来逐层检查问题，首先检查网络接口和本地网络配置是否正常。DHCP是否启动？Web服务器是否指向正确的DNS服务器？如果是这样，可以根据使用的操作系统平台，检查Web服务是否正常开启。在Windows环境，需要检查服务器是否具有Web服务的角色。在Linux环境下，检查会更复杂，可以试试查找http相关的文件或服务来确保服务器是否正在运行。 如果以上方法都不奏效，检查日志并尝试查明在Web服务器宕机时日志中记录的那些信息。将这些信息发给在故障处理和解决领域更有经验的专业人士，可能会获得更多的帮助。同样的，如果已经确认网络连接不是问题，就可以使用Wireshark抓包工具对网络中传输的数据进行抓取分析，以此协助处理问题。

总而言之，服务器宕机的原因多种多样。断电、配置错误、防火墙设置错误、甚至是来自互联网的恶意流量，都可能引发源站宕机并让系统管理员们抓狂。所有这些问题都足以让企业决策者对冗余解决方案的设计和实施加以重视，同样的针对故障处理流程的设计和制定，还需要根据企业自身网络的实际情况为依据。

公司电脑文件数据透明加密防泄密软件系统——德人合科技 提供软件系统及技术支持

防止公司内部数据泄密

通过动态加解密技术，有效防止公司内部数据泄密。即员工在创建、编辑文档时会被自动加密存放在硬盘上，防止员工故意或由于疏忽而造成泄密或对文件恶意破坏。

管理思路>>

● 不改变员工使用习惯、不改变文件格式、不改变公司网络结构、不降低员工办公效率、不封闭公司网络、不封闭公司电脑的外设端口；

● 企业内部形成类似一个“用户无感知的加密网”，员工未经授权，不管任何方式，数据离开了公司的环境，都无法正常查看；

● 只有经过公司审批后，用户才可在授予的权限范围内，访问该文件；

● 做到公司内部文档交互自由流通，无任何影响。

强制加密：安装系统后，所有指定类型文件都是强制加密的；

使用方便：不影响原有操作习惯，不需要限止端口；

于内无碍：内部交流时不需要作任何处理便能交流；

对外受阻：一旦文件离开使用环境，文件将自动失效，从而保护知识产权。

透明加密技术是与驱动层内核紧密结合的一种技术，它工作于操作系统的底层。通过监控应用程序对文件的操作，在打开文件时自动对密文进行解密，在写文件时自动将内存中的明文加密写入存储介质。从而保证存储介质上的文件始终处于加密状态。