简介
云服务器 (CS) 已成为现代 IT 基础设施的基石，提供了可扩展性、灵活性以及按需付费的便利性。但与此同时，云环境也带来了独特且不断演变的风险，需要仔细的风险管理策略。本文旨在提供一个全面的指南，帮助组织识别、评估和缓解与云服务器相关的风险。
威胁分析
内部威胁数据泄露： 未经授权访问敏感数据可能是云环境中最严重的风险之一。这可以通过未修补的系统漏洞、弱密码或内部人员疏忽等多种方式发生。恶意软件感染： 与传统服务器类似，云服务器也容易受到恶意软件感染，例如勒索软件、特洛伊木马或间谍软件。这些威胁可以破坏系统、加密数据或窃取敏感信息。
对组织业务运营和声誉的潜在影响。确定风险等级： 根据威胁、脆弱性和影响的评估结果，为每个风险确定一个风险等级（例如低、中、高）。
风险缓解措施
基于风险评估的结果，可以实施以下缓解措施：内部威胁缓解数据加密： 对存储在云服务器上的敏感数据进行加密以防止未经授权的访问。多因素身份验证 (MFA)： 实施 MFA 以加强用户认证并防止凭据被盗。定期安全扫描： 定期扫描云服务器以查找漏洞和配置问题并进行修复。入侵检测和预防系统 (IDPS)： 部署 IDPS 以检测和阻止可疑网络活动。员工安全意识培训： 对员工进行安全最佳实践和社会工程攻击的意识培训。外部威胁缓解DDoS 防护： 订阅云平台或第三方供应商提供的 DDoS 防护服务。网络防火墙： 配置网络防火墙以阻止未经授权的访问并过滤恶意流量。Web 应用程序防火墙 (WAF)： 在云服务器上部署 WAF 以保护应用程序免受 Web 攻击。定期安全补丁： 定期为云服务器和底层软件应用安全补丁。安全信息和事件管理 (SIEM)： 部署 SIEM 解决方案以集中监控和分析安全事件。云平台安全措施选择信誉良好的云供应商： 与具有良好安全记录的云供应商合作。利用云安全服务： 充分利用云平台提供的安全服务，例如身份和访问管理 (IAM)、加密和安全监控。实施云安全最佳实践： 遵循云平台的安全最佳实践，例如使用安全组和资源标签。定期安全审核： 定期对云环境进行安全审核以确保合规性和有效性。
持续监控和改进
云服务器风险管理是一个持续的过程，需要持续监控和改进。以下步骤对于保持云环境的安全性至关重要：定期安全审核： 定期进行安全审核以识别和修复新的漏洞和威胁。安全日志监控： 监控安全日志并分析事件以检测可疑活动。威胁情报共享： 与其他组织和安全供应商共享威胁情报以了解最新威胁趋势。应急计划： 制定应急计划以应对安全事件并最大限度地减少影响。持续员工培训： 定期对员工进行安全意识培训，以保持他们的警惕性和更新知识。
结论
通过遵循本指南中概述的全面风险管理策略，组织可以显着降低与云服务器相关的风险。这需要深入理解威胁、评估风险、实施缓解措施以及持续监控和改进。通过采用积极主动的方法，组织可以保护其云资产、确保数据安全并维持业务运营的连续性。
关于电信网络关键信息基础设施保护的思考
文华为技术有限公司中国区网络安全与用户隐私保护部 冯运波 李加赞 姚庆天
根据我国《网络安全法》及《关键信息基础设施安全保护条例》，关键信息基础设施是指“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络设施和信息系统”。
其中，电信网络自身是关键信息基础设施，同时又为其他行业的关键信息基础设施提供网络通信和信息服务，在国家经济、科教、文化以及 社会 管理等方面起到基础性的支撑作用。
电信网络是关键信息基础设施的基础设施，做好电信网络关键信息基础设施的安全保护尤为重要。
一、电信网络关键信息基础设施的范围
依据《关键信息基础设施安全保护条例》第 9条，应由通信行业主管部门结合本行业、本领域实际，制定电信行业关键信息基础设施的认定规则。
不同于其他行业的关键信息基础设施，承载话音、数据、消息的电信网络（以 CT 系统为主）与绝大多数其他行业的关键信息基础设施（以 IT 系统为主）不同，电信网络要复杂得多。
电信网络会涉及移动接入网络（2G/3G/4G/5G）、固定接入网、传送网、IP 网、移动核心网、IP 多媒体子系统核心网、网管支撑网、业务支撑网等多个通信网络，任何一个网络被攻击，都会对承载在电信网上的话音或数据业务造成影响。
在电信行业关键信息基础设施认定方面，美国的《国家关键功能集》可以借鉴。
2019 年 4 月，美国国土安全部下属的国家网络安全和基础设施安全局（CISA）国家风险管理中心发布了《国家关键功能集》，将影响国家关键功能划分为供应、分配、管理和连接四个领域。
按此分类方式，电信网络属于连接类。
除了上述电信网络和服务外，支撑网络运营的大量 IT 支撑系统，如业务支撑系统（BSS）、网管支撑系统（OSS），也非常重要，应考虑纳入关键信息基础设施范围。
例如，网管系统由于管理着电信网络的网元设备，一旦被入侵，通过网管系统可以控制核心网络，造成网络瘫痪；业务支撑系统（计费）支撑了电信网络运营，保存了用户数据，一旦被入侵，可能造成用户敏感信息泄露。
二、电信网络关键信息基础设施的保护目标和方法
电信网络是数字化浪潮的关键基础设施，扮演非常重要的角色，关系国计民生。
各国政府高度重视关键基础设施安全保护，纷纷明确关键信息基础设施的保护目标。
2007 年，美国国土安全部（DHS）发布《国土安全国家战略》，首次指出面对不确定性的挑战，需要保证国家基础设施的韧性。
2013 年 2 月，奥巴马签发了《改进关键基础设施网络安全行政指令》，其首要策略是改善关键基础设施的安全和韧性，并要求美国国家标准与技术研究院（NIST）制定网络安全框架。
NIST 于 2018 年 4 月发布的《改进关键基础设施网络安全框架》（CSF）提出，关键基础设施保护要围绕识别、防护、检测、响应、恢复环节，建立网络安全框架，管理网络安全风险。
NIST CSF围绕关键基础设施的网络韧性要求，定义了 IPDRR能力框架模型，并引用了 SP800-53 和 ISO 等标准。
IPDRR能力框架模型包括风险识别（Identify）、安全防御（Protect）、安全检测（Detect）、安全响应（Response）和安全恢复（Recovery）五大能力，是这五个能力的首字母。
2018 年 5 月，DHS 发布《网络安全战略》，将“通过加强政府网络和关键基础设施的安全性和韧性，提高国家网络安全风险管理水平”作为核心目标。
2009 年 3 月，欧盟委员会通过法案，要求保护欧洲网络安全和韧性；2016 年 6 月，欧盟议会发布“欧盟网络和信息系统安全指令”（NISDIRECTIVE），牵引欧盟各国关键基础设施国家战略设计和立法；欧盟成员国以 NIS DIRECTIVE为基础，参考欧盟网络安全局（ENISA）的建议开发国家网络安全战略。
2016 年，ENISA 承接 NISDIRECTIVE，面向数字服务提供商（DSP）发布安全技术指南，定义 27 个安全技术目标（SO），该SO 系列条款和 ISO /NIST CSF之间互相匹配，关键基础设施的网络韧性成为重要要求。
借鉴国际实践，我国电信网络关键信息基础设施安全保护的核心目标应该是：保证网络的可用性，确保网络不瘫痪，在受到网络攻击时，能发现和阻断攻击、快速恢复网络服务，实现网络高韧性；同时提升电信网络安全风险管理水平，确保网络数据和用户数据安全。
我国《关键信息基础设施安全保护条例》第五条和第六条规定：国家对关键信息基础设施实行重点保护，在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。
我国《国家网络空间安全战略》也提出，要着眼识别、防护、检测、预警、响应、处置等环节，建立实施关键信息基础设施保护制度。
参考 IPDRR 能力框架模型，建立电信网络的资产风险识别（I）、安全防护（P）、安全检测（D）、安全事件响应和处置（R）和在受攻击后的恢复（R）能力，应成为实施电信网络关键信息基础设施安全保护的方法论。
参考 NIST 发布的 CSF，开展电信网络安全保护，可按照七个步骤开展。
一是确定优先级和范围，确定电信网络单元的保护目标和优先级。
二是定位，明确需要纳入关基保护的相关系统和资产，识别这些系统和资产面临的威胁及存在的漏洞、风险。
三是根据安全现状，创建当前的安全轮廓。
四是评估风险，依据整体风险管理流程或之前的风险管理活动进行风险评估。
评估时，需要分析运营环境，判断是否有网络安全事件发生，并评估事件对组织的影响。
五是为未来期望的安全结果创建目标安全轮廓。
六是确定当期风险管理结果与期望目标之间的差距，通过分析这些差距，对其进行优先级排序，然后制定一份优先级执行行动计划以消除这些差距。
七是执行行动计划，决定应该执行哪些行动以消除差距。
三、电信网络关键信息基础设施的安全风险评估
做好电信网络的安全保护，首先要全面识别电信网络所包含的资产及其面临的安全风险，根据风险制定相应的风险消减方案和保护方案。
1. 对不同的电信网络应分别进行安全风险评估
不同电信网络的结构、功能、采用的技术差异很大，面临的安全风险也不一样。
例如，光传送网与 5G 核心网（5G Core）所面临的安全风险有显著差异。
光传送网设备是数据链路层设备，转发用户面数据流量，设备分散部署，从用户面很难攻击到传送网设备，面临的安全风险主要来自管理面；而5G 核心网是 5G 网络的神经中枢，在云化基础设施上集中部署，由于 5G 网络能力开放，不仅有来自管理面的风险，也有来自互联网的风险，一旦被渗透攻击，影响面极大。
再如，5G 无线接入网（5GRAN）和 5G Core 所面临的安全风险也存在显著差异。
5G RAN 面临的风险主要来自物理接口攻击、无线空口干扰、伪基站及管理面，从现网运维实践来看，RAN 被渗透的攻击的案例极其罕见，风险相对较小。
5G Core 的云化、IT 化、服务化（SBA）架构，传统的 IT 系统的风险也引入到电信网络；网络能力开放、用户端口功能（UPF）下沉到边缘等，导致接口增多，暴露面扩大，因此，5G Core 所面临的安全风险客观上高于 5G RAN。
在电信网络的范围确定后，运营商应按照不同的网络单元，全面做好每个网络单元的安全风险评估。
2. 做好电信网络三个平面的安全风险评估
电信网络分为三个平面：控制面、管理面和用户面，对电信网络的安全风险评估，应从三个平面分别入手，分析可能存在的安全风险。
控制面网元之间的通信依赖信令协议，信令协议也存在安全风险。
以七号信令（SS7）为例，全球移动通信系统协会（GSMA）在 2015 年公布了存在 SS7 信令存在漏洞，可能导致任意用户非法位置查询、短信窃取、通话窃听；如果信令网关解析信令有问题，外部攻击者可以直接中断关键核心网元。
例如，5G 的 UPF 下沉到边缘园区后，由于 UPF 所处的物理环境不可控，若 UPF 被渗透，则存在通过UPF 的 N4 口攻击核心网的风险。
电信网络的管理面风险在三个平面中的风险是最高的。
例如，欧盟将 5G 管理面管理和编排（MANO）风险列为最高等级。
全球电信网络安全事件显示，电信网络被攻击的实际案例主要是通过攻击管理面实现的。
虽然运营商在管理面部署了统一安全管理平台解决方案（4A）、堡垒机、安全运营系统（SOC）、多因素认证等安全防护措施，但是，在通信网安全防护检查中，经常会发现管理面安全域划分不合理、管控策略不严，安全防护措施不到位、远程接入 VPN 设备及 4A 系统存在漏洞等现象，导致管理面的系统容易被渗透。
电信网络的用户面传输用户通信数据，电信网元一般只转发用户面通信内容，不解析、不存储用户数据，在做好终端和互联网接口防护的情况下，安全风险相对可控。
用户面主要存在的安全风险包括：用户面信息若未加密，在网络传输过程中可能被窃听；海量用户终端接入可能导致用户面流量分布式拒绝服务攻击（DDoS）；用户面传输的内容可能存在恶意信息，例如恶意软件、电信诈骗信息等；电信网络设备用户面接口可能遭受来自互联网的攻击等。
3. 做好内外部接口的安全风险评估
在开展电信网络安全风险评估时，应从端到端的视角分析网络存在的外部接口和网元之间内部接口的风险，尤其是重点做好外部接口风险评估。
以 5G 核心网为例，5G 核心网存在如下外部接口：与 UE 之间的 N1 接口，与基站之间的 N2 接口、与UPF 之间的 N4 接口、与互联网之间的 N6 接口等，还有漫游接口、能力开放接口、管理面接口等。
每个接口连接不同的安全域，存在不同风险。
根据3GPP 协议标准定义，在 5G 非独立组网（NSA）中，当用户漫游到其他网络时，该用户的鉴权、认证、位置登记，需要在漫游网络与归属网络之间传递。
漫游边界接口用于运营商之间互联互通，需要经过公网传输。
因此，这些漫游接口均为可访问的公网接口，而这些接口所使用的协议没有定义认证、加密、完整性保护机制。
4. 做好虚拟化/容器环境的安全风险评估
移动核心网已经云化，云化架构相比传统架构，引入了通用硬件，将网络功能运行在虚拟环境/容器环境中，为运营商带来低成本的网络和业务的快速部署。
虚拟化使近端物理接触的攻击变得更加困难，并简化了攻击下的灾难隔离和灾难恢复。
网络功能虚拟化（NFV）环境面临传统网络未遇到过的新的安全威胁，包括物理资源共享打破物理边界、虚拟化层大量采用开源和第三方软件引入大量开源漏洞和风险、分层多厂商集成导致安全定责与安全策略协同更加困难、传统安全静态配置策略无自动调整能力导致无法应对迁移扩容等场景。
云化环境中网元可能面临的典型安全风险包括：通过虚拟网络窃听或篡改应用层通信内容，攻击虚拟存储，非法访问应用层的用户数据，篡改镜像，虚拟机（VM）之间攻击、通过网络功能虚拟化基础设施（NFVI）非法攻击 VM，导致业务不可用等。
5. 做好暴露面资产的安全风险评估
电信网络规模大，涉及的网元多，但是，哪些是互联网暴露面资产，应首先做好梳理。
例如，5G网络中，5G 基站（gNB）、UPF、安全电子支付协议（SEPP）、应用功能（AF）、网络开放功能（NEF）等网元存在与非可信域设备之间的接口，应被视为暴露面资产。
暴露面设备容易成为入侵网络的突破口，因此，需重点做好暴露面资产的风险评估和安全加固。
四、对运营商加强电信网络关键信息基础设施安全保护的建议
参考国际上通行的 IPDRR 方法，运营商应根据场景化安全风险，按照事前、事中、事后三个阶段，构建电信网络安全防护能力，实现网络高韧性、数据高安全性。
1. 构建电信网络资产、风险识别能力
建设电信网络资产风险管理系统，统一识别和管理电信网络所有的硬件、平台软件、虚拟 VNF网元、安全关键设备及软件版本，定期开展资产和风险扫描，实现资产和风险可视化。
安全关键功能设备是实施网络监管和控制的关键网元，例如，MANO、虚拟化编排器、运维管理接入堡垒机、位于安全域边界的防火墙、活动目录（AD）域控服务器、运维 VPN 接入网关、审计和监控系统等。
安全关键功能设备一旦被非法入侵，对电信网络的影响极大，因此，应做好对安全关键功能设备资产的识别和并加强技术管控。
2. 建立网络纵深安全防护体系
一是通过划分网络安全域，实现电信网络分层分域的纵深安全防护。
可以将电信网络用户面、控制面的系统划分为非信任区、半信任区、信任区三大类安全区域；管理面的网络管理安全域（NMS），其安全信任等级是整个网络中最高的。
互联网第三方应用属于非信任区；对外暴露的网元（如 5G 的 NEF、UPF）等放在半信任区，核心网控制类网元如接入和移动管理功能（AMF）等和存放用户认证鉴权网络数据的网元如归属签约用户服务器（HSS）、统一数据管理（UDM）等放在信任区进行保护，并对用户认证鉴权网络数据进行加密等特别的防护。
二是加强电信网络对外边界安全防护，包括互联网边界、承载网边界，基于对边界的安全风险分析，构建不同的防护方案，部署防火墙、入侵防御系统（IPS）、抗DDoS 攻击、信令防护、全流量监测（NTA）等安全防护设备。
三是采用防火墙、虚拟防火墙、IPS、虚拟数据中心（VDC）/虚拟私有网络（VPC）隔离，例如通过防火墙（Firewall）可限制大部分非法的网络访问，IPS 可以基于流量分析发现网络攻击行为并进行阻断，VDC 可以实现云内物理资源级别的隔离，VPC 可以实现虚拟化层级别的隔离。
四是在同一个安全域内，采用虚拟局域网（VLAN）、微分段、VPC 隔离，实现网元访问权限最小化控制，防止同一安全域内的横向移动攻击。
五是基于网元间通信矩阵白名单，在电信网络安全域边界、安全域内实现精细化的异常流量监控、访问控制等。
3. 构建全面威胁监测能力
在电信网络外部边界、安全域边界、安全域内部署网络层威胁感知能力，通过部署深度报文检测（DPI）类设备，基于网络流量分析发现网络攻击行为。
基于设备商的网元内生安全检测能力，构建操作系统（OS）入侵、虚拟化逃逸、网元业务面异常检测、网元运维面异常检测等安全风险检测能力。
基于流量监测、网元内生安全组件监测、采集电信网元日志分析等多种方式，构建全面威胁安全态势感知平台，及时发现各类安全威胁、安全事件和异常行为。
4. 加强电信网络管理面安全风险管控
管理面的风险最高，应重点防护。
针对电信网络管理面的风险，应做好管理面网络隔离、运维终端的安全管控、管理员登录设备的多因素认证和权限控制、运维操作的安全审计等，防止越权访问，防止从管理面入侵电信网络，保护用户数据安全。
5. 构建智能化、自动化的安全事件响应和恢复能力
在网络级纵深安全防护体系基础上，建立安全运营管控平台，对边界防护、域间防护、访问控制列表（ACL）、微分段、VPC 等安全访问控制策略实施统一编排，基于流量、网元日志及网元内生组件上报的安全事件开展大数据分析，及时发现入侵行为，并能对攻击行为自动化响应。
（本文刊登于《中国信息安全》杂志2021年第11期）
云服务器到手必做的安全配置-windows篇
云服务器购买后，强化其安全性至关重要。
以下是几个关键步骤的配置指南：1. 后台设置：登录蓝队云官网，参与优惠活动购买服务器，然后在个人中心管理云服务器，启用防火墙，仅开放必要端口，如网站服务。
2. 账户策略：设置强密码策略，包括复杂性、长度和历史限制，同时启用账户锁定策略，锁定连续错误登录5次的账户。
用户权限分配应仅限于管理员，禁止其他用户执行关键操作，如远程关机和关闭系统。
3. 本地策略：确保审核策略全面，对Guest用户禁用账户，启用数据执行保护以增强系统安全。
4. 防火墙：检查并确保Windows防火墙已开启。
5. 文件数据保护：禁用Guest用户，启用DEP保护。
6. 第三方安全：安装Web端防御软件，如D盾、云锁等，以及服务器安全软件如安全狗、360等。
7. 最后，完成所有设置后，创建服务器镜像，以便在遇到问题时进行恢复。
持续关注@蓝队云获取更多网络安全知识和交流机会。
云服务器如何设置更安全？超全云服务器基础安全设置攻略奉上！
对于初次购买云服务器却不清楚如何设置安全的用户，这里有份全面的云服务器基础安全设置指南，不容错过！云服务器的安全设置至关重要。
针对新手，蓝队云的运维专家精心整理了一套详尽的指南，帮助您轻松上手。
还没拥有云服务器的朋友，可先尝试，蓝队云提供99元/年的高性能云服务器，包含免费数据迁移等服务。
首先，提升安全性，使用复杂且长的密码是基础。
复杂密码包含大小写字母、数字和特殊字符，可以抵御字典攻击。
定期更换密码，使用在线密码生成器生成并妥善保存。
其次，谨防软件安全。
从官方渠道下载软件，确保其完整性和来源，以避免恶意软件。
验证数字签名或哈希值，确保软件无篡改，并获取及时的更新支持。
再者，调整端口号以混淆攻击者。
将常用服务的端口号修改或关闭，降低攻击者发现服务器的难度。
这里列举了常见服务的默认端口和修改方法。
利用第三方安全工具，如火绒、D盾和服务器安全狗，这些工具能提供实时监控和防护，增强服务器防护能力。
最后，控制用户权限和文件目录权限，遵循最小权限原则，限制访问以防止权限滥用。
记得定期更新系统和软件，备份数据，确保服务器始终处于最新状态。
蓝队云作为专业的云计算服务商，提供7*24小时技术支持，优惠购买并享受数据迁移等免费服务。
立即行动，为您的云服务器设置坚固的防护网！详情请访问蓝队云官网帮助中心获取更多信息。
