云存儲安全性和數(shù)據(jù)加密綜述

盡管云存儲很方便，并且無論用戶使用什么設(shè)備都可以隨時(shí)隨地訪問數(shù)據(jù)，但云存儲的安全性都是組織非常關(guān)心的問題。

將數(shù)據(jù)存儲在云中意味著組織的機(jī)密文件和敏感數(shù)據(jù)面臨新的風(fēng)險(xiǎn)。存儲在云中的數(shù)據(jù)超出了用于保護(hù)組織數(shù)據(jù)中心中敏感數(shù)據(jù)的安全保護(hù)措施的限制。

因此在云存儲方面，除了Dropbox、AWS、微軟和谷歌等云存儲提供商提供的基本安全措施之外，組織還必須采取其他措施來保護(hù)云存儲數(shù)據(jù)的安全性。

保證云存儲安全是共同的責(zé)任

云存儲提供商和用戶共同負(fù)責(zé)云存儲安全。云存儲提供商保護(hù)用戶的數(shù)據(jù)免受入侵和數(shù)據(jù)竊取。組織應(yīng)該采用更多的安全措施以加強(qiáng)云存儲中的數(shù)據(jù)保護(hù)，并限制對云中敏感信息的訪問。

如果組織的員工沒有采取必要的安全措施，云存儲提供商幾乎無法保護(hù)其敏感數(shù)據(jù)免受未經(jīng)授權(quán)的訪問。因此，組織必須讓其員工了解組織的數(shù)據(jù)可能面臨泄露的潛在風(fēng)險(xiǎn)。

云存儲提供商向組織提供數(shù)據(jù)保護(hù)解決方案。這些解決方案為如何將數(shù)據(jù)移入和移出云平臺提供了完全的可見性和基于策略的控制。這種做法可以確保只有經(jīng)過授權(quán)的數(shù)據(jù)才能對外輸出，并且只有得到執(zhí)行方的批準(zhǔn)才能傳輸。

歸根結(jié)底，這取決于組織是否希望在云存儲提供商已經(jīng)提供安全保護(hù)的基礎(chǔ)上對重要數(shù)據(jù)采用更可靠的防護(hù)措施。盡管如此，如果云存儲提供商沒有發(fā)現(xiàn)安全漏洞，組織需要采用更多的安全措施保證其數(shù)據(jù)安全。

選擇云存儲安全解決方案

在選擇云存儲安全解決方案時(shí)，組織應(yīng)確保為與云存儲所有形式的數(shù)據(jù)交互提供連續(xù)的監(jiān)視和可見性。它應(yīng)該提供對過濾到用戶代理和操作系統(tǒng)事件的文件移動的精細(xì)控制。

行業(yè)領(lǐng)先的云存儲提供商還將數(shù)據(jù)保護(hù)措施擴(kuò)展到通過加密存儲的數(shù)據(jù)。加密的數(shù)據(jù)以密碼方式鎖定到私鑰，除非私鑰可用，否則無法解密。

數(shù)據(jù)加密的重要性

云存儲提供商不僅確保數(shù)據(jù)的完整性和可用性，還確保其機(jī)密性。也就是說，即使在網(wǎng)絡(luò)攻擊者獲得組織憑據(jù)的訪問權(quán)限的情況下，其數(shù)據(jù)仍然被加密，因此網(wǎng)絡(luò)攻擊者無法破解這些數(shù)據(jù)。網(wǎng)絡(luò)攻擊者也希望通過登錄這些憑據(jù)之一來獲取對組織數(shù)據(jù)的訪問權(quán)，或者想在暗網(wǎng)上出售這些數(shù)據(jù)，但加密方法使他們難以得逞，

數(shù)據(jù)加密使組織的數(shù)據(jù)無法讓沒有密鑰的人員破解，從而保護(hù)了數(shù)據(jù)的隱私，其加密的數(shù)據(jù)看起來像一長串隨機(jī)字符。

加密對數(shù)據(jù)的隱私至關(guān)重要，但它并不能解決所有的安全問題。最佳安全實(shí)踐采用多層方法。數(shù)據(jù)必須是端到端安全的，因此數(shù)據(jù)加密是用戶身份驗(yàn)證、數(shù)據(jù)完整性、數(shù)字簽名和不可否認(rèn)性的關(guān)鍵措施。

數(shù)據(jù)必須在傳輸和靜態(tài)存儲時(shí)加密。傳輸過程中的數(shù)據(jù)加密是保證雙方通信安全的基礎(chǔ)。靜態(tài)數(shù)據(jù)加密就是為了維護(hù)存儲數(shù)據(jù)的機(jī)密性。

安全性不再是一種奢侈品而是必需品，這不僅成為組織的首席信息安全官（CISO）關(guān)心的問題，也已經(jīng)成為每位IT專業(yè)人員的責(zé)任。以下了解一下數(shù)據(jù)加密如何與云存儲提供商的安全措施相結(jié)合。

云中的數(shù)據(jù)加密

當(dāng)人們談?wù)撊绾螌?shù)據(jù)從內(nèi)部部署數(shù)據(jù)中心存儲到云存儲庫（例如Amazon S3、Google Cloud Storage和Azure Blob Storage）時(shí)，必須了解他們只負(fù)責(zé)保護(hù)其云存儲基礎(chǔ)設(shè)施免受入侵和數(shù)據(jù)盜竊。主要的云存儲供應(yīng)商采用的是企業(yè)級安全措施，因此實(shí)際上是很安全的。

偽裝成組織員工的網(wǎng)絡(luò)攻擊者仍然可以訪問組織的數(shù)據(jù)，對其進(jìn)行解密并將其推送到他的服務(wù)器，而無需云存儲供應(yīng)商提供任何標(biāo)記。為了解決這個問題，云存儲供應(yīng)商提供了一些工具來限制訪問，并監(jiān)視從組織的存儲帳戶中傳輸出來的數(shù)據(jù)。組織有責(zé)任使用大多數(shù)這些工具在細(xì)粒度級別保護(hù)數(shù)據(jù)的權(quán)限。

在本文中僅限于靜態(tài)數(shù)據(jù)加密。云計(jì)算服務(wù)提供商使用傳輸層安全（TLS）對傳輸中的數(shù)據(jù)進(jìn)行加密。TLS是一個開放的協(xié)議，因此不同的云存儲提供商之間的差別不大。

對于靜態(tài)數(shù)據(jù)加密，每個云存儲提供商都有自己的加密方法，其中包括加密、私鑰管理和密碼登陸?？傊用苡袃蓚€方面：服務(wù)器端和客戶端。

服務(wù)器端加密vs.客戶端加密

使用服務(wù)器端加密，只有在將數(shù)據(jù)傳輸?shù)浇邮照撸ㄔ谶@種情況下為對象存儲服務(wù)）之前，數(shù)據(jù)才會被加密。幸運(yùn)的是，所有主要的云存儲提供商都提供服務(wù)器端加密服務(wù)，并在實(shí)現(xiàn)細(xì)節(jié)上有一些不同之處，特別是在私鑰存儲方面。

通過客戶端加密，數(shù)據(jù)在發(fā)送者端進(jìn)行加密，然后再傳輸?shù)浇邮照撸ㄔ谶@種情況下也是對象存儲服務(wù)）。同樣，所有主要的云存儲提供商都允許客戶端加密，但有所不同。

云中數(shù)據(jù)加密的優(yōu)缺點(diǎn)

在當(dāng)今世界，網(wǎng)絡(luò)攻擊和盜竊事件日益增多，數(shù)據(jù)加密至關(guān)重要。從安全的觀點(diǎn)來看，數(shù)據(jù)加密也至關(guān)重要。如果不希望自己的個人信息可供組織外部的任何人使用，則最佳方法是通過組織之間的端到端加密來保護(hù)數(shù)據(jù)。

此外，醫(yī)療和財(cái)務(wù)記錄等高風(fēng)險(xiǎn)數(shù)據(jù)必須始終加密，只有組織的授權(quán)人員才能訪問，

1.數(shù)據(jù)加密的優(yōu)點(diǎn)

（1）改善數(shù)據(jù)安全性

將數(shù)據(jù)從一個地方遷移到另一個地方時(shí)，將處于較高的風(fēng)險(xiǎn)中。那就是最需要加密的時(shí)候。加密既可以在傳輸層面工作，也可以在靜態(tài)層面上工作，從而降低了受到中間人攻擊的風(fēng)險(xiǎn)。

（2）保密性

保密性是數(shù)據(jù)加密用于鎖定人員的安全性，隱私和敏感信息的主要原因。與此同時(shí)，它提供了隱私保護(hù)，并降低了欺詐的機(jī)會。

（3）可靠性

數(shù)據(jù)加密可以保護(hù)數(shù)據(jù)資源，使其免受網(wǎng)絡(luò)攻擊者的侵害。盡管加密的數(shù)據(jù)不能完全抵御網(wǎng)絡(luò)欺詐和攻擊，但數(shù)據(jù)所有者可以隨時(shí)識別其數(shù)據(jù)中是否存在惡意事件，這為他們采取主要行動提供了更好的機(jī)會。

（4）合規(guī)性

加密是存儲和移動數(shù)據(jù)的最安全技術(shù)之一，因?yàn)樗蠈M織強(qiáng)制的法規(guī)要求和限制，例如遵循FIPS、FISMA、HIPAA或PCI/DSS等法規(guī)。

2.數(shù)據(jù)加密的缺點(diǎn)

雖然云計(jì)算安全和數(shù)據(jù)加密已被證實(shí)是保護(hù)組織具有價(jià)值信息的最有效方法，但它們也有其局限性。

（1）繁瑣的數(shù)據(jù)恢復(fù)

數(shù)據(jù)加密是保護(hù)敏感數(shù)據(jù)的一種非常有效的方法。但是有時(shí)候由于受到數(shù)據(jù)訪問工具控制，組織在聲明自己擁有的數(shù)據(jù)時(shí)變得更加困難。

（2）安全漏洞

數(shù)據(jù)加密的一個主要障礙是，它僅對已經(jīng)傳輸?shù)臄?shù)據(jù)提供部分安全性。

（3）數(shù)據(jù)傳輸費(fèi)用

數(shù)據(jù)加密措施可能會變得很昂貴，因?yàn)樗枰叨葟?fù)雜的安全存儲系統(tǒng)來保存加密的數(shù)據(jù)。其系統(tǒng)還必須具有足夠的可擴(kuò)展性以進(jìn)行升級，從而增加了相關(guān)成本。

這些是數(shù)據(jù)加密的主要的優(yōu)點(diǎn)和缺點(diǎn)。組織是否希望使用云計(jì)算加密保護(hù)其業(yè)務(wù)數(shù)據(jù)完全取決于自己的判斷。盡管存在種種限制，但確實(shí)需要在云存儲中進(jìn)行數(shù)據(jù)加密。

數(shù)據(jù)加密和公共云供應(yīng)商

AWS S3、Microsoft Azure Blob Storage和Google Cloud Storage等主要云存儲提供商都采用一套通用的對稱和非對稱加密技術(shù)來保護(hù)數(shù)據(jù)和密鑰，并提供服務(wù)器端和客戶端加密。當(dāng)采用現(xiàn)代公共云存儲解決方案中常見的對稱和非對稱加密技術(shù)時(shí)，AES-256和RSA將成主要的標(biāo)準(zhǔn)。

適合采用云存儲嗎？組織有什么選擇？

如果組織在不同的地點(diǎn)經(jīng)營以數(shù)據(jù)為中心的業(yè)務(wù)，那么隨時(shí)隨地的可訪問性對組織而言比什么都重要。在這種情況下，將數(shù)據(jù)存儲在組織的內(nèi)部部署存儲中是不可行的，必須選擇可靠的云存儲解決方案。

幸運(yùn)的是，所有云計(jì)算供應(yīng)商都提供了內(nèi)置了頂級安全措施很好的選擇。他們采用業(yè)界標(biāo)準(zhǔn)的加密技術(shù)來保護(hù)客戶端和服務(wù)器端的數(shù)據(jù)。

對于云存儲解決方案中的數(shù)據(jù)安全性，漏洞和數(shù)據(jù)盜竊通常是管理組織的存儲帳戶的管理員的疏忽或不知道將解密數(shù)據(jù)發(fā)送給誰的員工的過錯。

通過強(qiáng)大的權(quán)限管理、監(jiān)視支持和訪問控制，組織可以通過限制對云存儲中敏感信息的訪問來避免這些風(fēng)險(xiǎn)。

AWS S3存儲桶使得使用AWS身份和訪問管理（IAM）進(jìn)行訪問控制變得非常容易。使用AWS IAM，組織的管理員可以獨(dú)立管理用戶權(quán)限，并向組織員工授予Amazon S3存儲桶及其文件夾和文件的詳細(xì)權(quán)限。

Google Cloud IAM和Microsoft Azure IAM分別將相同的功能擴(kuò)展到Azure Blob Storage和Google Cloud Storage。

亞馬遜公司的AWS S3和IAM在行業(yè)領(lǐng)域的應(yīng)用時(shí)間更長，因此在可用的調(diào)整方面趨于成熟，從而為組織提供了無與倫比的方式來根據(jù)自己的安全策略自定義最佳設(shè)置。

如果組織已經(jīng)訂閱了其他Microsoft Enterprise服務(wù)（例如Microsoft 365 Enterprise），則微軟公司的Azure Blob Storage也是一個明智的選擇。微軟公司提供的集成水平仍然是市場上其他云存儲解決方案無法比擬的。如果組織是一家中小型企業(yè)，那么Google Cloud Storage也是一個很好的選擇。
責(zé)編AJX