在混合雲時代打造安全可靠的企業雲

台大電機工程研究所博士候選人李倫銓。

企業雲端化近幾年來已成為重要議題，其中又以混合雲成為今年的熱門焦點。台大電機工程研究所博士候選人李倫銓指出，企業自建雲的比例，因為成本考量，已經從2012年的83.4%，下降到2013年的73.7%，反觀混合雲的比例，從2012年7.8%上升至2013年的11.9%，而選擇公有雲的比例，也從2012年的8.8%，上升至2013年的14.4%，由此可知，選擇混合雲及公有雲可望成為未來趨勢。

至於採用雲端的產業方面，目前仍是以政府機關與學校單位的進度較快，在IaaS服務採用趨勢方面，主要是以雲端儲存服務、VM虛擬機器租用及VPC企業虛擬私雲為主；在SaaS服務採用趨勢方面，包括雲端個人儲存、雲端Office？線上文書、雲端企業郵件、雲端視訊會議等，都是相當熱門的應用。值得注意的是，根據hicloud的統計，企業私有雲採用虛擬私雲的使用比例，由2012年的10.9%，成長到2014年的19.7%，顯示越來越多企業開始使用虛擬私雲服務。

但企業上雲端可能會面臨許多問題，如雲端服務要自建還是委外？那些業務要放置於雲端？如何放？穩定嗎？更重要的是，成本是否有因此下降？李倫銓表示，企業自行導入私有雲可能面臨的問題，除了硬體設備與虛擬化軟體的選擇問題外，還要面對軟硬體安裝建置維運的技術問題，初期建置成本不但昂貴，營運成本也十分驚人，往往導致企業就算有很棒的創意，也不敢貿然嘗試創新。

更重要的是，企業運作一旦上雲端，就得面臨與過去不一樣的資安問題。李倫銓指出，各時代存在的資安問題各不相同，威脅若未因環境改變而清除，就會持續累積下去，最後爆發出嚴重問題。

以雲端資安事件為例，包括VM加密缺陷、Hypervisor & VM漏洞、帳號？安全管理問題、CA問題與憑證盜用、影響系統可用度，或是碰到不良服務商，都可能導致各種資安問題的發生。

此外，來自於雲端的威脅，也是層出不窮。如分散式阻斷服務攻擊(DDoS)，是一種透過大量合法或偽造的請求，佔用大量網路頻寬或系統資源，達到癱瘓正常服務目的的攻擊行為，由於是利用多台設備同時發動攻擊，攻擊效果更為顯著。

李倫銓表示，駭客通常會利用殭屍網路(Botnet)或DNS Ampification Attack來發動DDoS攻擊。面對DDoS的威脅，企業除了要避免自己的主機遭入侵而成為打手外，有些電信業者也已提供DDoS防護服務，從骨幹設定防禦設備阻擋攻擊流量，可降低影響的程度。

此外，行動裝置也可能因為用戶的疏忽，下載到惡意程式而導致資安問題發生。李倫銓表示，因應之道除了僅安裝來自可信任來源的軟體外，也要留意軟體安裝權限，定期更新行動裝置的作業系統，謹慎選擇資料備份範圍，避免將機敏或隱私資料誤送到雲端。

而在面對木馬程式威脅方面，李倫銓建議，除了要安裝防毒軟體，並定時更新病毒碼外，最好能使用雙因子認證，強化登入安全性，密碼強度也要設法提高，以避免駭客用「撞庫」方式，用各種帳號密碼組合，大規模嘗試登入用戶帳戶，進而突破企業的防禦。

至於系統漏洞方面，因為開發人員在撰寫網頁應用程式時，可能沒有考慮安全，或是使用不安全的模組？範例程式，導致駭客容易入侵。如虛擬化的關鍵技術Hypervisor，若有漏洞遭駭客成功利用，可能會影響其他的虛擬環境，雲端服務商對於Hypervisor更新及架構安全，必須非常重視，確保虛擬化環境的安全性。

但即使系統修補到最新，駭客仍可能從人員身上騙取資訊。李倫銓指出，人往往是系統中最脆弱的一環，即便是系統人員有良好訓練，駭客仍可直接對使用者施展社交工程手法，尤其是進階持續性滲透攻擊(Advanced Persistent Threat；APT)，往往會參雜社交工程與系統漏洞，長期對特定組織進行入侵，成為極大的威脅。

李倫銓建議，企業一定要慎選虛擬私雲，企業需要的不是硬體數量，而是資源如CPU能量、儲存空間等，而且要有彈性，同時兼顧快速及安全的需求，將適當業務，運用公有雲或虛擬私雲進行延伸，才能更彈性地應用IT資源和降低成本。