很抱歉,此 PDF 仅供下载

IT@Intel白皮书 英特尔信息技术 业务解决方案 2010年 4月

评估瘦客户端处于不断变化的 危险环境中的安全性 概要 英特尔 IT安全团队不断致力于分析我们的计算模式,旨在确定如何改进计算模式,以便 传统 PC享有与瘦客户端 应对不断变化的安全威胁。最近许多高知名度目标遭受网络攻击,这促使我们重新评估 同等级的安全控制, 了瘦客户端提供的安全性,并对利用瘦客户端能否帮助抵御类似攻击进行了研究。 同时具备更多瘦客户端 所牺牲的功能。 我们确定了五种特性,这些特性通常被视 我们还考量了瘦客户端的其它限制和成 为瘦客户端可带来的安全优势,其中包 本因素,包括无法支持移动计算、高度 括:防止物理数据丢失、消除用户管理特 互动或计算密集型应用以及富媒体(如 权、限制用户安装应用、客户端完整性以 视频)。此外,瘦客户端还需要更多的 及返回至已知良好状态的能力。 服务器容量和网络带宽。在瘦客户端依 赖的中心网络资源出现故障时,一些瘦 我们发现,尽管这些控制可为环境提供更 客户端模式会导致业务中断的风险提 安全的保护,但它们无法阻止最新的网 高。 络攻击。 根据分析,我们发现,瘦客户端适用于一 此外,我们还发现,这些控制并非仅适用 些小规模用途。在英特尔,移动设备数量 于瘦客户端:传统 PC享有与瘦客户端同 占设备总量的80%,并且大部分英特尔 Toby Kohlenberg 等级的安全控制,同时具备更多瘦客户 用户需要移动商务电脑具备出色的功能和 英特尔 IT部门高级信息安全专员 端所牺牲的功能。如果说之前此类控制并 灵活性。移动商务电脑使我们能够充分利 未在瘦客户端或 PC上得到全面实施,往 Omer Ben-Shalom 用新兴的技术和服务交付模式。 往是因为这些控制对用户工作效率的限 英特尔 IT部门首席工程师 制令人无法接受,而不是因为客户端架构 John Dunlop 问题。 英特尔 IT部门企业架构师 Jerzy Rub 英特尔 IT部门信息风险与安全经理 IT@Intel白皮书 评估瘦客户端处于不断变化的危险环境中的安全性 目录 概要...........................................................1 背景......................................................... 2 客户端安全分析................................. 2 与瘦客户端相关的 常用安全控制 .................................. 2 这些控制的缓解攻击作用............ 2 在传统 PC上应用安全控制 ......... 3 瘦客户端安全问题 ........................ 4 不断变化的威胁环境中的 安全性 .................................................... 4 满足英特尔的企业需求 .................. 4 未来定位 ............................................... 5 动态虚拟客户端.............................. 5 总结......................................................... 5 了解更多信息...................................... 6 缩写词 .................................................... 7 IT@INTEL IT@Intel致力于促进 IT员工、管理人 员和高管与英特尔 IT部门同仁以及 数千名其他 IT业界精英进行紧密交 流,帮助您深入了解可有效应对当前 严峻 IT挑战的工具、方法、战略和最 佳实践。如欲了解更多信息,请访问 www.intel.com/IT或联系您当地的英特 尔代表。 背景 英特尔 IT 部门为拥有遍及 61 国家约 83,500 名员工的大型企业环境提供支 持。英特尔依靠员工实现推动企业发 展的业务创新,并继续创造竞争优势。 为了促进企业创新,英特尔 IT 部门为 80% 的员工配备了移动商务电脑。 现在,网络威胁快速变化,比如零日漏 洞攻击,这种攻击在发现后几小时内即 可攻破此前未知的漏洞。一些针对其它 高知名度网站的最新攻击仅通过常用的 客户端软件,如 Web 浏览器,即可攻破 以前未知的漏洞。 英特尔 IT 安全团队一直在严密监视这种 威胁趋势,并定期分析我们的商务和计 算模式能否抵御这种威胁。最近许多高 知名度目标遭受网络攻击,这促使我们 重新评估了瘦客户端提供的安全性,并 对利用瘦客户端能否帮助抵御类似攻击 进行了研究。 对瘦客户端特性进行分析后,我们对能 否将类似控制应用于传统 PC 之上进行 了验证。然后,我们从英特尔 IT 整体客 户端战略的角度考量我们的研究结果, 并充分考虑了企业用户需求和新兴的技 术趋势。 客户端安全分析 我们分析了与瘦客户端相关的常用安全 控制及其在不断变化的威胁环境中所发 挥的作用,并对这些安全控制能否阻止 或缓解目标性的零日漏洞攻击进行了评 估,如攻破其它高知名度网站漏洞。随 后,我们对类似控制能否应用于传统 PC 之上进行了分析。 与瘦客户端相关的常用安全 控制 我们确定了五种主要特征,这些特征通 常被视为瘦客户端可带来的安全优势, 它们包括: • 防止物理数据丢失。在瘦客户端模式 下,存储仅限于数据中心内,这便降 低了物理数据泄露风险。此外,瘦客 户端通常不具有连接外部媒体设备的 端口或 USB 记忆棒,这进一步降低了 利用客户端直接复制数据的风险。 • 无特权用户。消除用户管理特权,这 降低了利用特权更改系统文件和设置 的风险。 • 限制用户安装应用。用户不能安装其 它可能对扩大客户端受攻击范围或导 致系统感染恶意软件的应用。 2 www.intel.com/IT 评估瘦客户端处于不断变化的危险环境中的安全性 IT@Intel白皮书 • 客户端完整性。所有客户端基于已知 的配置基准,保持一致的状态。通过 为基于服务器的镜像添加补丁程序, 可快速统一地应用新补丁程序。 • 能够返回至已知的良好状态。采用瘦 客户端,通过重新启动或重新加载先 前版本的单个虚拟容器文件,可返回 至已知的良好状态。 这些控制的缓解攻击作用 我们发现,尽管这些控制可为环境提供 更安全的保护,但它们无法在最新的零 日漏洞攻击中发挥重要的整体保护作 用。 • 集中化的数据存储。以前,数据盗窃 是指利用设备复制物理存储于系统上 的数据。现在的数据盗窃通常通过网 络实现,如图 1 所示。瘦客户端因存 在局限性,无法阻止这种行为。所有 瘦客户端均可快速连接网络,大部分 瘦客户端可连接至互联网。攻击者可 利用快速的网络连接穿越防火墙传输 来自服务器的数据。 • 无特权用户。消除用户管理特权可降 低感染带来的影响,并使恶意软件向 新系统传播变得更加困难。但是,这 样做并不能解决根本问题,除非采取 极端的限制手段,否则攻击者仍然可 以利用用户余下的权利来访问系统和 用户有权访问的数据。此外,如果受 攻击的服务作为系统流程而非用户流 程运行,那么消除用户的管理权不会 产生任何保护效果。 • 限制用户安装应用。如果阻止用户 安装可能会成为攻击对象的非基本应 用,那么此类限制手段会有所帮助。 但是,最新的攻击对象往往是人们普 遍使用的基本应用,如 Web 浏览器。 此外,与阻止用户在商务电脑上安装 软件相比,限制用户对恶意网站的访 问或阻止他们运行有风险的 Web 服务 要困难得多。 • 客户端完整性。利用集中化的镜像在 瘦客户端模式中应用统一、最新的补 丁程序一般比较容易。但是,这样仍 无法阻止攻击,因为零日漏洞攻击面 向此前未知的漏洞。 • 能够返回至已知的良好状态。利用基 于服务器的客户端镜像返回客户端 系统,对阻止最新的攻击行为毫无帮 助。访问 Web 服务和帐户已带来了 一定的影响,在受到影响后返回系统 也于事无补。此外,由于攻击面向未 知的漏洞,因此系统很容易再次遭受 攻击。 在传统 PC 上应用安全控制 我们发现,传统 PC 享有与瘦客户端同 等级的安全控制,同时具备更多瘦客户 端所牺牲的功能。我们以前并未全面实 数据服务器 互联网 浏览器 现代盗贼 利用瘦客户端无法阻止 通过网络对数据的偷盗行为。 数据传输 网络 终端 传统盗贼 在某些情况下,利用瘦客户端 可以阻止对知识产权的偷盗。 图 1.瘦客户端可帮助阻止来自客户端的物理数据盗窃行为,但无法阻止通过网络的盗窃行为。 www.intel.com/IT 3 IT@Intel白皮书 评估瘦客户端处于不断变化的危险环境中的安全性 施此类控制,只在适当情况下采取过单 独的控制。 为了防止物理数据盗窃,英特尔采用企 业权限管理工具。此外,还采用文件夹 重定向将数据存储于数据中心内,专门 存储或作为数据镜像存储于客户端上。 后者支持移动计算。 是否将管理权分配给用户的决定并非仅 适用于瘦客户端模式。许多工具可用于 消除移动商务电脑用户的管理权。如果 要求规定 PC 用户可以获得管理权,那 么可利用第三方软件套件对这些权利进 行管理,并限制用户安装应用或进行其 它活动,除非每项活动由 IT 管理员特 批。英特尔采用多种方法限制管理访问 和用户权限。 集中化地管理常用操作系统或应用镜像 并非仅适用于瘦客户端计算。例如,流 处理支持集中化管理的操作系统和应用 镜像在多台台式机之间共享,并且我们 预计未来的功能包括可下载至用户 PC 的集中化管理的虚拟客户端。此外,可 利用几家公司提供的技术在商务电脑上 完成系统恢复。英特尔维护标准集中化 管理的系统和应用镜像,并在需要恢复 时定期更新和使用这些系统和镜像。 英特尔 IT 部门现在已能够快速部署补 丁程序,以保持客户端完整性,在这个 过程中,最耗时的部分是对新补丁程序 进行测试和验证,而并非部署补丁。在 瘦客户端环境中,测试和验证所需的时 间不会发生变化。使用 PC 时,可以将 补丁程序一批一批的提供给数量不断增 加的用户,以便减少补丁带来的潜在问 题;一次性更新所有客户端本身就存在 风险。 瘦客户端安全问题 以下我们将介绍与瘦客户端模式相关的 安全问题。集中化处理应用和数据会使 威胁也变得集中化:瘦客户端网络为存 储共享数据和应用的服务器提供多个访 问点,因此会产生影响整个 IT 基础设施 的风险。在瘦客户端依赖的中心网络资 源出现故障时,一些瘦客户端模式会导 致业务中断的风险提高。 集中化地处理所有数据,包括个人数 据,会带来新的隐私问题,在某些国 家,还会导致违反政府法规的风险增 加。此外,瘦客户端模式还会由于数据 泄漏而产生意想不到的结果,例如,我 们已发现瘦客户端用户更喜欢打印纸质 信息副本,而这种方式会导致信息泄露 给未经授权的第三方。 为了解决安全漏洞问题,安全专业人员 需要了解哪些系统受到了影响,以及影 响会在什么时候第一次出现。实际上, 在某些情况下,保存此类证据是必须 的。通过基于服务器的镜像重新启动, 将瘦客户端系统恢复至已知的良好状 态,可能会导致客户端上的重要证据受 损,带来不良的影响。 不断变化的威胁环境中的 安全性 随着威胁不断变化,零日漏洞攻击愈加 严重,我们需要采取不同的安全方法应 对这种环境。在这种环境中,IT 安全专 业人员需要假定客户端(电脑或瘦客户 端)有漏洞。 攻击者常常使用专门的恶意软件攻击系 统。而利用传统方法通常无法检测到或 无法抵御这些恶意软件。攻击的重点往 往是传统 PC 和瘦客户端上普遍使用的 组件,例如基本的商务应用、操作系统 或云服务部件。 监测需要对用户访问和权限利用进行更 全面的行为分析,包括更平衡地结合使 用检测性和纠正性控制方法。 采用全新的平台技术,如英特尔® 虚拟 化技术(英特尔® VT-x)和支持直接 I/O 访问的英特尔® 虚拟化技术(英特尔® VT-d),或采用独立的物理硬件而非瘦 客户端模式本质上使用的共享虚拟化服 务器环境,可以更轻松地实施检测性和 纠正性这两类控制方法。 4 www.intel.com/IT 评估瘦客户端处于不断变化的危险环境中的安全性 IT@Intel白皮书 例如,运行于服务器之上的一个虚拟机 (VM)内发起的攻击可能针对相同服务 器上的另一个虚拟机,这种情况被称之 为虚拟机逃逸。 类似于基于网络或主机的入侵防御系统 (NIPS 或 HIPS),可靠的预防性和监测 性控制不存在于虚拟机管理层上,这有 助于抵御此类攻击。通过将虚拟机的执 行分配给单独的客户端设备,或在平台 上利用技术提供硬件隔离功能,此类攻 击带来的风险可以大大降低。 满足英特尔的企业需求 确定瘦客户端无法阻止最新的零日漏洞 攻击但可利用传统 PC 实施类似的安全 控制后 — 我们对哪种客户端最能满足 英特尔目前和未来的企业需求进行了分 析。这一分析基于业务要求和技术趋势 以及安全考虑。 我们发现,移动商务电脑支持在各种情 况下使用,可满足大多数英特尔员工的 业务要求。 本地安装的应用以及本地处理功能为用 户提供更大的灵活性,支持他们随时随 地工作,即使在无法联网的地点也能工 作。这表明在出现故障时,用户还保留 有一些计算功能。移动电脑支持计算密 集型应用和用于通信的富媒体,包括视 频和 IP 语音(VoIP)、协作、培训和研 究。用户可以运行更广泛的软件应用, 包括商务应用及一些个人应用(与其它 许多公司一样,英特尔允许以这种方式 合理利用企业资源)。 移动商务电脑的另一个重要优势是支持 所有服务交付模式。我们的战略包括通 过内部和外部云提供越来越多的服务, 此外,我们还开发全新的交付模式,如 应用流。为用户配备移动商务电脑意味 着他们运行任意组合的模式,同时继续 使用传统本地安装应用,如图 2 所示。 瘦客户端具有很大局限性。它们对移动 计算或离线工作的支持往往很有限,并 且用户常常无法高效运行带宽密集型、 图形密集型或计算密集型应用。 根据我们的分析,瘦客户端还要求更多 的服务器容量和网络带宽,以便支持联 网用户。 由于存在这种局限性,我们认为,瘦客 户端仅适用于专门的使用案例,如呼叫 中心终端、共享信息亭或制造控制器。 外部云 软件即服务(SaaS)应用 • 员工配置 • 优势 • 开支 • 社交媒体/Web 2.0 • 旅行 • 股票 • 其它 SaaS应用 •托管的 Web应用 远程访问和门户服务 服务交付模式 安装套件/软件配置、 流处理、本地 Web、 富互联网、远程执行 内部云 • 办公应用 • 讯息传送与协作基础设施 • 安全性与虚拟机策略控制 • 企业应用 •应用交付和应用管理 • 用户信息管理 • 工作区/容器供应与管理 •托管的 Web应用 • 原始数据存储 配置文件和数据同步 对等联网 移动商务电脑 图 2.移动商务电脑支持所有新兴的服务交付模式,同时继续运行传统的本地安装的应用 •本地安装的应用程序 (办公效率、反病毒等) •离线应用高速缓存 •加密数据高速缓存 Read the full IT@Intel白皮书 英特尔信息技术 业务解决方案 2010年 4月.

相关视频