撥開云計算安全的迷霧
目前的IT界已經(jīng)到了言必稱云計算的程度了，但是疑惑的大多數(shù)(尤其是IT用戶)依舊對此持有疑慮，通常認為還沒有到使用云計算的時候。為什么還沒到時候？因為安全，因為目前的IT產(chǎn)品基本還能解決企業(yè)用戶現(xiàn)有的問題，因為用戶需要看到云計算成熟的應用案例……
但是關鍵就在于，云計算是一種比起傳統(tǒng)IT架構來說，更優(yōu)的解決方案。打個比喻就是說，當你可以在自己家里打開水龍頭就能獲得自己需要的水時，你基本不會愿意去尋思如何在院子里打井取水。這種隨需索取、按需付費，無需前期投入大量基礎設施資源的優(yōu)勢正是云計算在業(yè)內(nèi)廣為推崇的根本原因。因此，企業(yè)客戶已有的IT產(chǎn)品不是阻礙企業(yè)應用云計算的必然阻礙。而企業(yè)都是希望獲得市場先機的，節(jié)約成本、降低復雜性對于企業(yè)來說就是獲得市場先機的方法之一，云計算正是能夠幫助企業(yè)獲得先機的一種技術。因此，對于企業(yè)來說恰恰需要先于競爭對手采用新的技術，而不是完全等待別人都已經(jīng)使用之后才進入。所以，安全才是云計算普及比較大的阻礙。
包括Forrester、Gartner等眾多專業(yè)調(diào)研機構的報告都顯示用戶采用云計算的比較顧慮是云計算的安全問題。但是，對于云計算安全的鼓顧慮在很大程度上，是對于新技術的本能的安全疑慮，那么在我們決定云計算安全是否真的有這么大的威脅之前，我們需要弄清楚，云計算的安全具體是什么樣的安全問題？
要回答這個問題，我們需要了解云計算安全和傳統(tǒng)IT安全的異同。實際上，兩者有很多相同之處，它們最終的目標都是為了保護數(shù)據(jù)的完整性，保護的對象也都是計算資源、存儲資源和網(wǎng)絡資源，而且其采用的技術也非常類似，如傳統(tǒng)的加密解密技術、相同的安全基礎設施、IDS/DPI等基礎防護手段。
與傳統(tǒng)IT安全比較，云計算特有的安全問題主要有三個方面。
第一是虛擬化環(huán)境下的技術及管理問題。傳統(tǒng)的基于物理安全邊界的防護機制難以有效保護基于共享虛擬化環(huán)境下的用戶應用及信息安全。另外就是，云計算的系統(tǒng)如此之大，而且主要是通過虛擬機進行計算，一旦出現(xiàn)故障，如何快速定位問題所在也是一個重大挑戰(zhàn)。
第二是云計算這種全新的服務模式將資源的所有權、管理權及使用權進行了分離，因此用戶失去了對物理資源的直接控制，會面臨與云服務商協(xié)作的一些安全問題(主要是信任問題)，如用戶是否會面臨云服務退出障礙，不完整和不安全的數(shù)據(jù)刪除會對用戶造成損害，此外，如何界定用戶與服務提供商的不同責任也是很大一個問題。
第三，云計算平臺導致的安全問題。云計算平臺聚集了大量用戶應用和數(shù)據(jù)資源，更容易吸引黑客攻擊，而故障一旦發(fā)生，其影響范圍更多，后果更加嚴重。此外，其開放性對接口的安全也提出了一些要求。另外，云計算平臺上集成了多個租戶，多租戶之間的信息資源如何進行安全隔離、服務專業(yè)化引發(fā)的多層轉(zhuǎn)包引發(fā)的安全問題等。
這三個問題總的來看包括云計算安全技術的挑戰(zhàn)，服務供應商及用戶如何進行相互協(xié)作的管理方面的挑戰(zhàn)，以及其跨地域性、多租戶、虛擬化等特性帶來的政府信息安全監(jiān)管、隱私保護和司法取證等方面的挑戰(zhàn)。而這些問題看似復雜，但都能一一化解。
在技術方面，主要是虛擬化安全、數(shù)據(jù)安全和隱私保護技術，同時構筑完整的安全防護體系。
虛擬化安全技術目前已經(jīng)比較成熟，包括趨勢科技與VMware合作共推為虛擬化架構的無代理安全防護技術，Check Point的虛擬化環(huán)境下的流量監(jiān)測等等。對于虛擬機的安全隔離、虛擬機鏡像安全管理，虛擬化環(huán)境下的通信安全，虛擬化和物理安全設備的統(tǒng)一管理和可視化都已經(jīng)有了相關的解決方案。
數(shù)據(jù)安全和隱私保護工作實際上在傳統(tǒng)的IT安全中已經(jīng)有比較成熟的安全技術，諸如數(shù)據(jù)隔離，數(shù)據(jù)加密解密，身份認證和權限管理，保障用戶信息的可用性、保密性和完整性。
在安全防護體系上，需要構建包括底層架構安全(通過完善、規(guī)范服務器虛擬化安全、網(wǎng)絡虛擬化安全、存儲安全、高可用性要求以及虛擬化安全管理相關配置要求，構建邏輯安全邊界，保障虛擬環(huán)境安全。)、基礎設施安全(完善對底層資源的調(diào)度和分配機制，防止用戶對底層資源的過度占用;引入沙箱隔離技術，實現(xiàn)不同應用程序間的相互隔離)、運營管理安全(通過動態(tài)的安全環(huán)境來提高他的安全性)、信息安全層面(通過數(shù)據(jù)的隔離，加密傳輸，加密存儲這些技術手段為用戶提供端到端的保護)。
對于用戶與服務商之間相互協(xié)作的問題，狹義上可以通過服務商定期為用戶提供安全策略自配置、定期的安全報表、主動安全預警、安全審計等安全服務，提高用戶的安全感知度。在廣義上，則需要相關云安全標準和評測體系的完善，安全標準和評測體系能夠幫助用戶與服務提供商就相關的服務水平的協(xié)議內(nèi)容達成一致。在這個方面，云安全聯(lián)盟(Cloud Security Alliance)、IEEE、IETF等眾多第三方組織將進一步推進這些工作。
政府機構的信息監(jiān)管、隱私保護等相關制度的出臺，將維護行業(yè)的健康持續(xù)的發(fā)展，對企圖違規(guī)操作的行為起到威懾和懲戒作用。當然，縱觀IT技術的發(fā)展歷程，政府的相關政策通常是滯后于社會實踐應用的，因此這一點并不是云計算采用比較大的障礙。
經(jīng)過以上對于云計算安全問題的梳理和解決方案的探討，我們發(fā)現(xiàn)云計算安全并不是我們想象得那般不可逾越。正如EMC公司信息安全事業(yè)部RSA執(zhí)行主席亞瑟·科維洛所說的那樣，用戶無需過度疑慮云計算的安全技術，實際上有比我們想到的多得多的安全技術能夠用于保護云計算的安全。云安全廣泛應用的時代漸行漸近，云計算安全已不再是立在云計算應用的一座大山，而是一塊幾方合力可以搬動的石塊。
