SSH推Secure Shell HealthCheck助企業管理密鑰

一系列的新法規,令Secure Shell密鑰管理成為大型金融機構、企業,和政府機關首要處理的問題。審計失敗會令這些機構蒙受罰款,而招致重大損失。為此,SSH Communications Security遂推出Secure Shell HealthCheck,以全新管治、風險和法規(GRC)服務,確保企業合規及防禦數據外泄。服務可助企業在IT環境中管理、配置,和存取監控Secure Shell時,找出重大風險和違規情況,以降低審計失敗,和由黑客或內部人員惡意造成的安全漏洞。

Secure Shell密鑰每天都在企業的系統裡運作,卻往往是最為管理員忽略的一環。

很少人知道,一個有1000台伺服器的網絡環境中,就有超過15000個Secure Shell密鑰存在,但當中卻有超過9成屬冗餘。以一個運作超過7年的數據中心為例,卻有近8成的Secure Shell密鑰已遭用戶棄置,卻依舊能夠使用。而在全球,則有超過4成伺服器,允許無認證的Secure Shell來源訪問,可見,每允許一條不必要的Secure Shell密鑰存在,就等於為企業增加多一個被攻擊的風險。

企業密鑰存取監控欠長遠考慮

雖然每個企業系統裡都有使用Secure Shell密鑰,但卻沒有幾間了解Secure Shell在關鍵日常營運中所扮演的角色。在IT環境下,Secure Shell密鑰登入的次數,遠超過其他途徑的登錄次數。許多公司已為員工登入和對外網絡應用,部署存取監控和管理程序,然而在存取監控上卻沒有加入密鑰長度、強度和類型、轉換和取消配置等基本安全操控,造成黑客或內部員工能透過Secure Shell密鑰的漏洞,隨意入侵系統令資料外泄。有見及此,SSH遂推出Secure Shell HealthCheck幫助企業正視問題。

Secure Shell HealthCheck的過程分為三個階段:造訪、檢視和匯報,整個過程可於五天內完成,而且只須花費員工數小時。該服務提供包括新加坡金融管理局(MAS)、信用卡行業資料安全標準(PCIDSS)、巴塞協定三(BASEL III),和美國國家標準技術研究所(NIST)等多項法規分析,以確保用家符合法規和行業標準,幫助修復Secure Shell密鑰管理不善的問題。Secure Shell HealthCheck更會全面分析Secure Shell環境,包括互信關係、Secure Shell 密鑰位置、存取權責分配,及其他十項
存在顯著風險的領域,更會讓首席資訊安全總監透徹了解網絡環境,並提供風險管理報告,對企業作出改善的建議。

SSH Communications Security亞太區副總裁Tommi Lampila表示:「亞太區中只有少部分金融機構和主要政府機關,意識到過分寬鬆的Secure Shell密鑰管理方法會帶來風險,導致企業在不知不覺間,遭受由黑客或員工惡意造成的重大安全威脅,曾經有一家在新加坡營運的全球五大銀行,就因沒有妥善管理其密鑰認證系統,而違反了新加坡金融管理局的科技風險管理指引。快速而非侵入式的Secure Shell HealthCheck 服務,可為行政管理人員提供保安和違規風險的全面分析,並提供可行方案。」

網上交易普及 付款資料保障

網上交易日趨普及，設有電子交易系統的企業或網購平台，往往須每天傳送及保存數以萬計的付款卡資料。付款卡資料涉及敏感個人財務資訊，企業商戶若未能好好把關，讓不法之徒有機可乘，輕則導致數據外泄，重則造成客戶損失、頓失商譽。市場研究機構Gartner並預期，今年全球流動付款交易將逾2,000億元，比去年上升44%，付款卡資料保安不容忽視。

由American Express、Discover Financial Services、JCB International、MasterCard Worldwide及Visa, Inc. 創立的PCI 安全標準協會 (Security Standards Council)，在企業處理如信用卡，及提款卡等各類付款卡資料的問題上，訂有PCI資料安全標準的安全法則。去年年底，PCI 安全標準協會便發表了最新版本PCI資料安全標準3.0 (PCI DSS 3.0)，定下更嚴謹的安全法則。新版本於6大安全範疇訂定安全標準，以確保妥善處理付款卡資料，保障客戶利益。事實上，於2010年發表的2.0版本，早已要求企業員工在接觸客戶資料前，使用如個人密碼或單次性密碼等雙重認證，以加強保安。因此新版本PCI DSS 3.0，要求企業加強對授權人員的身份認證，加強保障。

密鑰管理不善易成保安漏洞

不少企業早年已採用SSH協定，加密渠道傳輸重要數據，並須以密鑰進行身份鑒別，限制用戶對重要數據的存取及訪問權，為遠端登入及其他網絡服務提供安全保障。惟因應業務所需，企業難免會容許個別人員，如IT管理員及外判服務商進入數據庫，讀取客戶資料；而由於受到加密渠道的保護，外界對這些授權人員，於加密環境下的活動一無所知，以致一旦發現客戶資料被盜或曾被修改，企業根本無法追查涉事源頭，亦不能向檢控機構提供相關舉證。

此外，隨著時間的累積、人事變動及業務規模的擴展，密鑰數量將不斷遞增，令架構愈趨混亂。這樣不但會增添管理難度，大大加重企業的工作量，亦會令經營成本激增。SSH Communications Security便曾發現有企業因長期缺乏完善管理，以致系統內積存超過80%的荒廢密鑰，造成極明顯之保安漏洞。事實上，確有不少企業因未有妥善管理密鑰，或盡早移除屬於離職員工的密鑰，而讓他們有機可乘，利用昔日密鑰入侵企業伺服器；去年亦有黑客盜取密鑰，攻擊網絡系統，令企業及客戶遭受無法估量的損失。

企業應採取有效的審計及追蹤工具，迅速辨識潛在風險。而在處理密鑰方面，為節省成本及減少人手出錯的機會，宜採用能完善管理密鑰生命週期的解決方案，以自動化模式，集中發現、部署、轉換、移除及持續監察密鑰。同時，由於授權人員在無監管的情況下，有機會於加密環境內進行不法行為，因此企業亦應考慮使用能記錄包括儲存或更改資料、複製密鑰等作業流程。加上近場通訊(NFC)令網上交易數量與日俱增，PCI安全協會遂制定更能保障客戶權益的法則，為企業及金融機構提供指引。

密鑰管理納國際新安全標準 SRA助提高安全意識

在網絡上傳送資料，為保數據安全，少不免使用加密通道，SSH (Secure Shell)以一對公鑰及私鑰取代密碼認證，能更有效驗證用戶和伺服器身份，為其中一種企業廣泛採用的加密認證技術。然而，不少SSH沿用多年，企業不斷擴展，密鑰數量愈趨龐大，缺乏妥善的密鑰管理反而讓企業面臨風險。

「我們其中一名客戶是全球五大銀行之一，該公司有上萬個伺服器，逾150萬對密鑰，但當中至少一成沒有紀錄。」SSH Communications Security的產品開發部副總經理Kalle Jääskeläinen透露：「也有客戶過去14年從沒有更換用戶密鑰，即使離職的員工，也可輕易取得公司的機密資料，情況令人擔憂。早前就曾發生知名網站寄存服務供應商，因密鑰管理不善，導致客戶資料外泄。」Kalle認為，密鑰數量多、環境複雜令人手管理異常困難，而且管理層往往難以查覺問題嚴重性。

新安全標準成業務優勢

有見市場需求龐大，SSH去年推出了管理用戶密鑰的保安方案UKM (Universal Key Management)，乃目前全球唯一專用以管理SSH用戶密鑰的方案。達50%，今年度首季的亞太區業務年度增長已達48%。

Kalle坦言，SSH業務總增長迅速，和密鑰保安獲多個國際安全標準機構認定為必要措施不無關係。SSH Communcations Security的總裁兼創辦人Tatu Ylönen最近獲IEFT（Internet Engineering Task Force），及NIST等機構邀請，就如何保護及管理用戶密鑰作出建議，這些安全指標將於全球適用。Kalle預期，這會為SSH帶來更大業務優勢，相信未來一年公司業務繼續有可觀增長，尤其是亞洲區的市場增長迅速，未來兩年間達2至3倍也不足為奇。「亞太區文化與西方有異，故有一定挑戰性，但財富500首十位當中有7位是我們的客戶，未來更有望再增加，所以亞太區的企業對我們非常有信心。而且亞洲市場普遍比歐美遲緩年半，我們便把握時間作好部署。」

SRA免費工具提高安全意識

Kalle補充，洞悉市場先機亦是SSH業務迅速起飛的原因，「我們是SSH協議的研發者，不但是這方面的專家，而且和多家大型金融機構合作超過十年，對SSH環境的了解和豐富經驗也是我們獨有的優勢。相比起市場上其他銷售大眾化產品的競爭對手，我們看得更遠一些，早從個別機構遇上的問題中觀察到市場需求，繼而開發一些領先市場的產品。」

SSH Communications Security於上月推出SSH Risk Assessor(SRA)，提供首個免費的密鑰追蹤及風險評估工具，讓企業可全面掌握密鑰的使用情況，同時方便審計和資訊保安部門收集密鑰資料，加強企業妥善管理SSH密鑰的意識。SRA可提供密鑰部署的基本數據，也為企業作風險評估，並匯報已確認的漏洞及具體的違規行為，企業可再按個別需要制定密鑰管理方案。「SRA易於安裝和操作，提高整個繁複的SSH環境的透明度（visibility），消弭了技術人員和管理層的隔膜， CIO可隨時了解企業技術層面是否有安全隱憂，企業更有危機意識，自然有更佳保障。」

透視加密傳輸 SSH CryptoAuditor全天候審查

企業為保護機密資料，一般均會部署不同的數據保護方案，例如加密認證技術SSH(Secure Shell)，惟加密數據並不代表數據百分百安全。

數據加密後，企業便難以偵測數據對內及對外的實際流量狀況，包括存取、變更等。而且，不少企業也有使用第三方服務供應商，把伺服器、網絡等交由第三方管理員負責操作和管理；然而由於管理員掌握大權，企業難以確保機密資料不會經管理員泄露。

繼早前發布的用戶密鑰管理方案Universal SSH Key Manager，SSH推出全新的CryptoAuditor解決方案，擴展旗下的SSH Information Assurance Platform。SSH亞太區副總裁Tommi Lampila表示，CryptoAuditor能透視、控制、審核和記錄SSH、SFTP及RDP資料傳輸，統一管理和儲存紀錄，方便企業實時監察，防止加密數據流失，提高透明度。「SSH產品的旨在協助企業以較低成本提升管理效率，降低管理SSH密鑰風險，同時遵循嚴格的PCI-DSS、SOX與HIPPA法規。」

全程記錄　隨時翻看

CryptoAuditor能自動記錄伺服器上所有使用者的一舉一動，包括特權使用者在加密環境下的行為，例如對系統設定的變更。產品會實時監控及匯報，把全程記錄為影片和文字報告，供企業在網上查看。一旦發現異常情況，CryptoAuditor便會自動向安全性資訊和事件管理（SIEM）發出警告，提醒用戶，協助資安系統分流，降低延遲率。企業可手動或自動搜尋報告，觀看影片時也可即時跳到異常行為的部分，省時方便。

CryptoAuditor設有硬件和虛擬版本，能與現有的企業保安系統包括 DLP、IDS及 SIEM整合並同步部署，兼容不同操作系統和硬件，包括Windows、Unix、Linus等，而且毋須代理，簡單省時，不會影響用戶現時的工作模式和體驗。

SSH亞太區區域總監何思聰指出，除了企業可利用CryptoAuditor防止加密數據流失，第三方服務供應商也可透過CryptoAuditor，提升客戶的信心。「日本有數據中心供應商利用CryptoAuditor，定期向客戶報告伺服器管理員的工作情況，提高系統在運作及監管過程的透明度，讓客戶能更放心，把更多較機密的資料交由第三方儲存和管理，間接開拓更多商機。」他又補充，即使不幸因資料泄漏而出現糾紛，CryptoAuditor的記錄也可成為有力證據，保障雙方的利益。

何思聰也預測，香港未來有機會效法台灣，實施《個人資料保護法》，保障個人資料的傳輸；可見企業對監控加密傳輸渠道的要求將愈來愈高，以達致全面防護。

企業級SSH用戶密鑰管理方案 助降手動作業負擔

於互聯網世界傳輸資訊，加密協議不可或缺。試想若僅僅倚靠Telnet、FTP，數據均以明碼傳送，極易為不法者中途截取。

早於1995年，芬蘭學者Tatu Ylonen即針對不夠安全的Telnet遠程登入，研發加密認證技術SSH(Secure Shell)，採用一對公鑰及私鑰，替代簡易的密碼認證機制，驗證客戶端以及伺服器身份。

SSH用於遠程訪問與文件傳輸，現時已成為Linux常用通訊協議之一，為企業、金融及銀行業廣泛採用，其客戶更包括四成Fortune 500企業。

然而，單是使用SSH加密傳輸通道並不能就此保證資訊安全，企業如疏於管理，同樣面臨潛在風險。

SSH亞太區區域總監何思聰認為，企業規模不斷擴展，且員工往往同時擁有多個帳戶，令SSH密鑰管理異常困難，即使是經驗豐富的IT人員，也會疲於應付。企業若採納雲運算，環境動態變化勢將加重密鑰管理負擔。

「不少企業客戶反映，現時複雜IT環境下，難以詳細了解應用存取、用戶、帳號與SSH伺服器之間邏輯關係。往往即使發生僭越訪問、盜用帳戶及密碼等活動，也不易察覺。」何思聰說，甚至有企業十年未曾更新SSH私鑰。

「SSH Communications Security因應市場需求，研發首個企業級SSH用戶密鑰管理方案Universal SSH Key Manager。」

自動管理SSH密鑰生命周期

數量龐大的企業密鑰，倚賴人手管理，不僅動輒耗費數百萬成本，工序也十分冗繁，極易引入錯漏；更難保證員工離職後，完全清理密鑰。

「企業無不希望節省成本，減低風險。管理上，必須考慮如何有效偵測漏網之魚，避免濫用；如何釐清員工帳戶與對應SSH伺服器間互信關係；以至如何自動化管理密鑰生命周期。」

SSH亞太區副總裁Tommi Lampila介紹，Universal SSH Key Manager可全面覆蓋公共及私人密鑰管理生命周期，包括密鑰部署、調換、撤銷及重新認證，皆可交由SSH Key Manager自動化處理，大幅減低人手作業潛在疏漏。

首先，方案將自動搜尋企業既有私人及公共密鑰，並與相關用戶關聯，確保不會遺漏任何密鑰，管理人員不必再花費大量時間手動整理。然後透過Active Directory或輕量級目錄存取協定(LDAP)所提供的用戶資訊，重新整理，自動識別並阻截未經授權的異常存取，最終將伺服器連接至相應用戶，整個架構過程不必中斷系統。管理者將可透過關聯視圖及報告，清晰檢視密鑰帳戶及其伺服器訪問情況；移除密鑰時，亦可一目了然。

Lampila 續稱：「密鑰管理方案不僅支援商用Tectia SSH，使用免費開源版Open SSH的用戶亦可受惠，提供硬件、軟件及虛擬部署。不僅以較低成本提升管理效率，降低管理SSH密鑰風險，同時亦能協助企業遵循嚴格的PCI-DSS、SOX與HIPPA法規。」