当云攻击发生时：云服务商提高云的安全性的5种方法

当云攻击发生时：云服务商提高云的安全性的5种方法

【51CTO独家译稿】安全研究者们说：像亚马逊那样的云计算服务提供商们必须要防止它们强大的计算能力被非法的攻击所利用。那么，什么样安全措施可以防止云成为犯罪者的天堂呢？

想要攻击其他人的犯罪者可以租用已经被控制的计算机网络或僵尸网络，或其他犯罪者在地下的社区中提供的服务。在它们自己的领域中，这些资源也被当成了"云"，但是安全研究者们警告说：合法的云服务提供商也必须要防止它们强大的计算能力被非法的攻击者所利用。

在8月召开的DEFCON黑客大会上，在一个演示中，两个研究者做了这样的事情：Trustwave的David Bryan和NetSPI的Michael Anderson建立了几个虚拟服务器来攻击一个小型的财务公司――这个客户希望测试自己对这样的攻击的防御能力。这两个研究者并没有租用其他犯罪者提供 的僵尸网络，而是使用亚马逊提供的Elastic Computing Cloud (EC2)租用了不到一打的虚拟服务器，通过流量来拥塞攻击目标的网络。

这两个研究者表示：并没有什么迹象表明亚马逊探测到了这次攻击。同时，他们呼吁所有的云服务提供商们，在监控资源的使用方式方面，要多加注意。

Trustwave的Bryan说："在它变得一发不可收拾之前，让我们先解决掉它。"

虽然亚马逊并没有抓到那两个特定的安全研究者，但是亚马逊表示，在云中，要抓到那些坏家伙是很容易的。

在一份发送给CIO.com的声明中，亚马逊表示："在云出现以前，通过互联网进行的违法犯罪活动就已经相当普遍了。那些非法使用者们选择在 Amazon EC2环境中运行他们的软件，只会让我们更容易地访问和禁用他们的软件。对于整个互联网来说，这是一个重大的改进，在云环境中，非法使用的主机不能被访 问，而且，这种情况会持续很长时间。"

然而，在这种情况下，公司必须要监控它们自己的云空间。

下面是亚马逊和其他的云服务提供商们提供的一些安全策略……

详细内容请访问：http://v.securepub.com/read-htm-tid-459.html

十八个“盗梦图腾”助你摆脱运维“梦魇”

十八个“盗梦图腾”助你摆脱运维“梦魇”

利用中秋小假，我观看了最近备受热议的电影《盗梦空间》。影片中的盗梦团队筑造的梦中梦体现了复杂逻辑的魅力。该电影所引发的热议甚至比起电影本身更精彩。虽然现实中人不需要防御“盗梦者”，但是计算机系统却是随处可遇“盗梦者”，那么作为系统管理员究竟该如何抵御这些“盗梦者”呢？

首先允许我先介绍下《盗梦空间》这部电影的主要内容：《盗梦空间》是由《黑暗骑士》导演克里斯托夫·诺兰执导，莱昂纳多主演的一部具有很强逻辑思维和数学理论为基垫的电影。主要讲男主角科布(莱昂纳多饰)领导的盗梦团队筑造了一个梦中梦(共有4层梦境)，目的是将一个思想注入能源大亨继承人费舍尔(希里安·墨菲饰演)的头脑中，让其放弃继承庞大的遗产。

有资深影迷评论称，影片中的多重梦境实际上是利用程序算法中的递归思维。假设做梦是一个函数Dream()，那么梦中梦就是该函数的递归调用。比起一般的递归调用来，该程序的特殊之处是，它是一个多线程的递归调用，也即是说每一次递归都会新建一个线程来执行函数体。因此该递归函数有两种结束机制，一种是wait超时(药物失效)，另一种是由其调用函数来结束(kick)。这就好比影片中，当需要进入下一层梦境，就必须注入药物，当需要返回上一层梦境，就必须以自杀形式结束。

而由于硬件平台所限，该递归只能进行四层，因为每次递归都需要消耗系统资源，所以递归深一层，系统运行就越慢(梦境每深一层，时间就变慢20倍)。一旦在第四层的时候资源耗尽(做梦者生命耗尽)，就会产生栈溢出，因此线程就会进入僵死状态(limbo状态)。而一旦将运行超时时间设置得过长(强力镇静药物)，则会导致子线程运行过长从而耗尽资源。此时如果子线程还没有被上层调用函数强制结束(撞击)，则会被detach(在梦中死去)，因此进入僵死状态(进入limbo状态)。而为什么多层次的梦唤醒需要同步撞击呢，这就跟我们析构一个含有指针的STL容器一样，如果不遵守顺序，那么就会出现容器被析构而指针内容还在从而发生内存泄露的问题。

总的来说整个电影的梦中梦的营造就是利用多重递归的三个操作：入栈(pushing)，弹出(popping)、堆栈(stacks)。其中“入栈”就是暂停手头工作、标记停止地点、开始另一项工作，新工作比原工作要“低一个层次”。“弹出”就是结束低层次的工作、在上一层次暂停的地方恢复原工作。“堆栈”用来记录暂停地点的环境信息。例如接电话过程中有新电话进来，于是暂停第一个电话开始接第二个电话，不一会又暂停第二个电话来接第三个电话……堆栈可以记录你结束当前电话后该回到第几个电话、该电话是谁打来的、暂停时你们谈到哪儿了。人们很容易在多重嵌套中迷失，这时候堆栈的作用就很重要。只要堆栈记录准确，我们就不会搞混各种层次。

显然，《盗梦空间》中多重嵌套的梦就是“递归”，入梦机器负责“推入”，穿越操作用来“弹出”，每层梦中留守的人就是“堆栈”，负责维持现场环境以确保成功穿越。

作为一个盗梦团队，盗梦的目的其实跟计算机安全中的缓冲区溢出攻击是同理的，也就是利用程序漏洞(人的性格弱点)，向其地址空间对应于人的头脑)植入可执行代码(想法)，从而可以在对方的系统(大脑)中执行自己的特权指令(解散Fisher的公司)。

盗梦巧妙的应用了程序设计思想，同时也证明了再完善的系统也是存在漏洞的的，只有全面了解你的系统才能做好充足的安全防御工作，而系统监控就是安全防御的第一步，接下来就向大家介绍10款优秀的监控工具、以及常用内存监控和系统性能监控工具……

详细内容请访问：http://v.securepub.com/read-htm-tid-434.html

如何能够最大化优化防火墙 解决过载问题

如何能够最大化优化防火墙 解决过载问题

你的防火墙过载了吗？症状包括高CPU占用率、低输出和缓慢的应用进程。在升级你的硬件之前，检查你的防火墙配置是否可以优化非常有必要，这里为防火墙管理员提供一些最佳优化建议，使得防火墙可以获得最大性能和产出。

　　防火墙的配置优化技术可以分为两大类：一般的最佳做法和厂商具体典型配置。集中最好的惯例做法，以下11条最佳做法管理员使用最大优化防火墙性能。

　　No.1 确保外向"交通"合规

　 　移除的糟糕的网络交通，清理网络道路，包括不合规、未经授权或不希望有的路线。通过外向的否认DNS、NTP, SMTP, HTTP 和HTTPS要求报告服务器管理员服务器直接撞上了防火墙，降低或丢弃内部设备。管理者必须重新配置服务器不要再发送这种未经授权的外向交通。(因此消除 了防火墙的负担)

　　No. 2 用路由器代替防火墙过滤不必要的出口路线

　　移动过滤规则使得不想要的入口端口路线从 防火墙移到边缘路由器以便维持平衡和保持安全政策的有效性。要做到这一点,首先确定最高入口要降低要求作为标准的访问控制列表逆向移向路由器。这可能是一 个耗时的过程,但这是一个很好的方法移到模块到路由器，节约防火墙CPU和内存。

　　如果有一个内部开关路由在网络和防火墙之间，考虑移动普通的出口模块到路由器中，这将释放防火墙更多的进程。

　　No. 3: 除去不用的规则和对象

　　虽然清理的笨拙庞大的知识库听起来像是一项艰巨的任务，但是其实有很多自动化工具,可以协助规则的清理。这些自动化工具让防火墙策略管理更加具有有效性。

　　No. 4:减少知识库复杂性

　　减少知识库的复杂性，规则重叠应当最小化。再次声明有自动化工具可以大大减少你简化知识库遇到的麻烦和头痛。

      No.5

      完整内容请访问：http://v.securepub.com/read-htm-tid-417.html

将黑客带入四层梦境之如何设计安全的四级DMZ

将黑客带入四层梦境之如何设计安全的四级DMZ

谈到DMZ（非军事区）时，我们已经走过了漫长的DMZ设计之路，如果你的组织需要DMZ，它不再是一个麻烦的问题，现在的问题是你应该如何设计一个安全的DMZ。

在计算机安全领域，DMZ是一个物理或逻辑的子网，它里面驻留着组织提供给外部用户的服务，并负责暴露给更大，不可信的网络 � 通常指的是互联网，最初的DMZ设计就是从内部网络独立出一个简单的子网，凡是要开放给互联网的服务全部扔到这个子网中。

现在许多DMZ设计就象设计公路上行驶的交通工具一样，例如，设计运输货物的卡车时最重要的就是要尽可能降低货物运输成本，设计经济型汽车时就是要省钱，设计精致型汽车时，就是要让买车人的朋友嫉妒，DMZ设计和设计汽车的道理一样，尽管存在各种可能的变化，但它们目的都是相同的。

我们今天使用的网络名称有千千种，但基本上都离不开内部网络，外部网络和DMZ，它们可能被叫做合作伙伴网络，供应商网络，内部DMZ或安全区，实际上它们都是混合了各种设备，连接和风险的DMZ。51CTO编者按：如果你看过盗梦空间这部电影，你会发现网络设计者的工作和造梦师差不多……

详细全文请访问：
http://v.securepub.com/read-htm-tid-303.html