專業視角 | 雲計算髮展如火如荼，雲安全又該何去何從？

來自專欄 微言小偏見

專業視角：雲計算髮展如火如荼，雲安全又該何去何從？

文 | 李鵬飛

雲計算以一種新興的共享基礎架構的方法，提供「資源池」化的網路、存儲、硬體等資源，並以此為基礎提供應用、信息和基礎設施等服務。雲計算具備與生俱來的優勢，無論是規模經濟還是服務的可用性，從長遠來看都能給應用環境帶來非常大的促進作用。

然而，雲計算的按需自服務、虛擬化資源池、快速彈性架構、可測量的服務和多租戶等特點，也直接影響到了雲計算環境的安全威脅和相關的安全保護策略。由於眾多用戶共享基礎資源，雲計算安全的重要性非同小可。

因此，如何對雲計算環境進行安全控制就成了一項非常重要的工作。本文將以雲計算運營架構為主線，分析各個層面安全控制內容及關鍵控制點。

一、雲計算運營體系架構分析

雲計算運營體系架構一般分成四個層次，從低到高分別是：物理層、虛擬層、管理層和業務層。各層次分別定義如下：

1.1物理層

主要指能支持計算機正常運行的一些硬體設備及技術，可以是價格低廉的PC，也可以是價格昂貴的伺服器及磁碟陣列等設備，可以通過現有網路技術和並行技術、分散式技術將分散的計算機組成一個能提供超強功能的集群用於計算和存儲等雲計算操作。

1.2虛擬層

指一些可以實現一定操作具有一定功能，但其本身是虛擬而不是真實的資源，如計算池，存儲池和網路池、資料庫資源等，通過軟體技術來實現相關的虛擬化功能包括虛擬環境、虛擬系統、虛擬平台。

1.3管理層

在雲計算技術中，管理層位於服務和伺服器集群之間，提供管理和服務即雲計算體系結構中的管理系統。對標識、認證、授權、目錄、安全性等服務進行標準化和操作，為應用提供統一的標準化程序介面和協議，隱藏底層硬體、操作系統和網路的異構性，統一管理網路資源。其用戶管理包括用戶身份驗證、用戶許可、用戶定製管理；資源管理包括負載均衡、資源監控、故障檢測等；安全管理包括身份驗證、訪問授權、安全審計、綜合防護等；映像管理包括映像創建、部署、管理等。

1.4 業務層

統一規定了在雲計算的Iaas、Paas、Saas服務，以及雲服務的各種規範、雲計算服務的各種標準等。業務端還提供了用戶端與雲端交互操作的接入介面，可以完成用戶或服務註冊、對服務的定製及使用。

二、雲計算體系安全控制措施分析

雲計算體系安全風險也體現在物理層、虛擬層、管理層和業務層這幾個層面上，具體表現在物理設施及環境、虛擬化、運行管理、應用安全等方面，這也是雲計算體系安全控制的主要內容，具體內容如下：

2.1物理設施及環境安全-可靠的雲Safe Cloud

可靠的雲是指雲能夠提供持續可靠的服務，不發生中斷，不因故障給租戶或用戶帶來損失。可以通俗理解為可靠的雲涉及的內容是雲計算基礎設施的安全。

雲計算物理設施及環境安全的主要內容包括：1）雲計算數據中心基礎設施安全如機房供電設施、空調、線纜、門禁、防澇、消防、防雷、防靜電、防電磁泄露等內容；2）雲計算數據機房物理環境控制如溫濕度、清潔度等方面；3）雲計算數據中心機房管理如機房訪問控制、區域隔離以及機房日常運維管理等。

2.2雲計算虛擬化安全-安全的雲Secure Cloud

安全的雲是指保護雲及雲用戶不受外來攻擊和損壞，不發生惡意軟體感染、中間人攻擊、會話劫持等安全風險或事件，可以通俗理解為安全的雲涉及的內容是雲計算本身的安全。

使用虛擬化技術將資源池化為雲計算特點之一，雖然雲計算的實現也可以不使用虛擬化技術，但是虛擬化技術現在乃至未來都將是雲計算實現的主流技術，另外，隨著虛擬化技術在雲計算中心的應用，很多傳統IT技術也將隨之發生改變，因此識別虛擬化風險是雲計算體系安全控制工作重點之一。

雲計算虛擬化安全控制主要包括：1）虛擬化物理主機安全；2）虛擬化鏡像與許可權安全；3）虛擬化資源分配安全：4）虛擬化平台網路安全；5）虛擬化平台應用安全；6）虛擬化管理安全；7）日誌與審計等方面。

2.3雲計算管理安全-可信的雲TrustedCloud

可信的雲是指雲本身是可以被信任的，可信的雲重點指雲用戶的數據或程序不被竊取、篡改或破壞，可以通俗理解為可信的雲涉及的內容是保證雲用戶、雲租戶的數據和應用的安全。

雲計算管理安全控制主要包括：1）身份管理與訪問控制；2）標準化API；3）租戶資源監控；5）數據中心管理；6）故障與安全事件管理；7）數據銷毀；8）安全審計等。

2.4 雲計算業務安全-可控的雲Controlled Cloud

可控的雲是指確保雲用戶行為與雲應用是安全合法的，防止利用雲發動網路攻擊、散布惡意言論等非法行為，可以通俗理解為可控的雲涉及的內容是保證雲不被用來做惡。

雲計算業務層安全主要針對雲計算體系提供的應用服務進行控制，內容包括：1）應用開發生命周期的控制；2）已上線的應用系統安全；3）密鑰管理；4）數據隔離等。

應用開發生命周期控制涉及應用系統開發各階段安全控制、系統安全架構及安全設計，重點系統上線時針對需求及設計階段評估的安全漏洞進行修復；系統安全方面採用滲透測試技術對系統安全性進行技術檢查；密鑰管理方面應對密鑰的存儲（應保證機密性與完整性）、密鑰訪問、密鑰的備份與恢復以及多租戶環境下密鑰的使用方式進行控制；數據隔離方面應保證不同租戶之間的數據應進行隔離。

三、網路安全2.0時代，雲計算安全防禦重點

傳統的安全建設主要基於邊界、規則、策略為主的靜態防禦，而將安全檢測與事件響應作為輔助手段。但依據目前的安全形勢來看，被動的安全防守是終究防不住的。

因此，最新的自適應安全框架強調在傳統的安全防禦的基礎上，強調持續的進行基於異常的安全動態檢測與響應，並在此基礎上做到安全風險事件的預測。

綜合來看，在雲計算環境下，網路安全2.0防禦重點是數據驅動安全、安全異常深度檢測、安全風險事件精準預測與態勢感知，並將所有這些落腳在安全能力中心，最終達到安全的可管、可控、可視、可調度、可持續。

基於以上的分析，在網路安全2.0時代，雲計算安全主動安全防禦體系建設的重點內容包括：

1、雲平台安全能力調度及資源池建設（解決安全能力調度問題）

2、用戶管理與新一代（IAM）身份認證與訪問控制（解決雲計算環境下信任問題）

3、全景網路流量監控，審計與取證分析（解決網路層深度異常檢測問題）

4、主機深度檢測與自適應安全分析（解決海量主機管理與主機層異常檢測問題）

5、全網安全策略可視化動態自適應分析與管理（解決安全策略可視及安全訪問與策略異常檢測問題）

6、大規模拒絕服務攻擊防禦與清洗（解決大規模異常訪問檢測與防禦問題）

7、深度用戶行為異常分析與APT高持續攻擊威脅預警（解決安全威脅與用戶異常行為檢測問題）

8、核心數據資產監控與保護（解決數據泄露異常檢測與防護問題）

9、安全態勢感知與預警通報（解決安全風險事件預測問題）

推薦閱讀：