您懂“风水反转”技术怎样损害云安全吗？

　　欢迎各位阅读本篇文章，本次课课家教育为大家带来了《“风水反转”技术怎样损害云安全?》大家一定要认真阅读本篇文章哦~“云安全(Cloud Security)”计划是网络时代信息安全的最新体现，它融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，传送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。

　　针对管理程序的“风水反转”攻击对企业用户有着短期和长期的影响。课课家在本文中介绍了这个漏洞攻击的工作原理以及应应对方法。

　　在安全领域中的相关专业人员都应该知道的是，当后果和影响足够严重时， 比较有利的一种做法就是将当前环境保持在趋势模型中相对不会发生的场景中。例如，最近报告针对云服务虚拟机内存的风水反转攻击。

　　对于云用户来说，这项技术是相当危险的，因为它的攻击方式是出人意料且相当聪明的：它主要利用了内存管理的功能(特别是重复数据删除功能)来为Rowhammer带来最大的影响，它打破了管理程序在过程中的隔离状态。换而言之，这是一个在管理程序环境中针对分段模式的攻击——而这恰恰是众多企业组织的云威胁模型中假定绝不会发生的情况。

　　什么是“风水反转”?

　　“风水反转”主要涉及跨虚拟边界找到并反转一个或多个单个比特位。这意味着管理程序上的一台虚拟机(VM)会对在同一物理主机上不同虚拟机中的比特位进行反转。这一攻击方式能够奏效的原因有二：内存重复数据删除与Rowhammer。理解这两个原因是了解风水反转如何在技术层面上发挥攻击作用的关键所在。

　　首先，让我们来谈谈内存重复数据删除。这是一个用于在数据中心环境中最大程度实现系统效率和性能的功能。可以想像一下，一个管理程序运行相同配置的实例，如Linux(例如运行一个LAMP堆栈的东西)。由于这些实例都具有相同的配置，那么可以想象这些机器的存储和内存中存在着多少的冗余——在任意时间点的相同状态下。内存重复数据删除功能可以有助于最大程度地减少此类浪费：与系统保留多个完全相同内存页的做法不同，它只保留一个页面以供在该页面可能出现的任意位置所共享。所以，例如两个不同的虚拟机实例可能指向同一个内存页面，该内存页面也同时被这两个实例所拥有。

　　其次，则是Rowhammer。Rowhammer是一个硬件级问题，它能够让某些有心人有意识地通过专为引起中断的手工访问模式来改变动态RAM(DRAM)中单个电容的充放电状态。因为DRAM的充放电状态代表了其中所存储的数值(无论是打开或是关闭、充电或放电、1还是0)，这些访问模式可以以一个带外方式来改写其他内存空间。

　　风水反转的攻击方式是通过在有可能发生比特位反转且正在运行的虚拟机上查找内存空间，从而从攻击者的角度(内存模板)获得所需的便利。这种内存部署的方式使攻击者能够控制比特反转。最后，攻击者执行比特反转，从而使目标内存被破坏(或当作漏洞被利用)。

　　那么，攻击者跨虚拟化边界执行比特反转会带来什么危害呢?好吧，事实证明，通过一个比特位的反转，攻击者可以造成很多的破坏。例如，在SSH公共密钥中进行比特反转就可以轻松实现密钥因数分解(从而破坏认证)或者针对系统更新修改可信任软件库(从而允许在主机上安装任意软件)。所以，从实质上来说，通过对单个比特位的反转操作，攻击者可以在目标系统上为所欲为。

　　补救措施与宝贵教训：

　　从实践的角度来看，相关从业人员显然会希望在短期内就采取措施来防止这种类型的攻击。那么，他们能做些什么呢?风水反转一文建议在多租户环境中应禁用内存重复数据删除功能。

　　显而易见，目前并不是每一个云用户都拥有控制权，或者甚至知道云供应商对客户所使用的何种配置状态。这意味着，客户在多租户环境中与公有云供应商还有着不少的准备工作要做。具体来说，应由客户来询问关于配置状态的问题，并根据风险容限来决定是否采用配置状态已知和/或可知的(例如裸机云)服务。

　　但是，就长期来说，还是有着更广泛的含义的。具体来说，云客户可以冒险忽略隔离攻击。也就是说，威胁建模场景甚至在它们的风险/对策演算中都不会包括隔离攻击。在面临诸如“风水反转”攻击时，这就是一个问题。

　　虽然隔离攻击是很罕见的，但那并不是说它们是不存在的，事实上它们确实会不时地发生。因此，设置分层防御并特别地解决风险建模和风险应对方案中的隔离攻击是非常重要的。

　　知识分享：云安全思想来源

　　云安全技术网格技术云计算技术分布式计算技术

　　云安全的过程值得一提的是，云安全的核心思想，提出的反垃圾邮件网格非常接近。垃圾邮件泛滥而无法用技术手段很好地自动过滤，是因为所依赖的人工智能方法不是成熟技术。垃圾邮件的最大的特征是：它会将相同的内容发送给数以百万计的接收者。

　　为此，可以建立一个分布式统计和学习平台，以大规模用户的协同计算来过滤垃圾邮件：

　　首先，用户安装客户端，为收到的每一封邮件计算出一个唯一的“指纹”，通过比对“指纹”可以统计相似邮件的副本数，当副本数达到一定数量，就可以判定邮件是垃圾邮件;

　　其次，由于互联网上多台计算机比一台计算机掌握的信息更多，因而可以采用分布式贝叶斯学习算法，在成百上千的客户端机器上实现协同学习过程，收集、分析并共享最新的信息。

　　反垃圾邮件网格体现了真正的网格思想，每个加入系统的用户既是服务的对象，也是完成分布式统计功能的一个信息节点，随着系统规模的不断扩大，系统过滤垃圾邮件的准确性也会随之提高。

　　用大规模统计方法来过滤垃圾邮件的做法比用人工智能的方法更成熟，不容易出现误判假阳性的情况，实用性很强。反垃圾邮件网格就是利用分布互联网里的千百万台主机的协同工作，来构建一道拦截垃圾邮件的“天网”。

　　小结：相信大家最后阅读完毕本篇文章后，学到了不少知识吧?其实大家私下还得多多自学，才能学习到更多的知识~当然如果还想了解更多相关方面的内容的话呢，课课家教育平台欢迎大家咨询~