詳解確保云計(jì)算安全的四大解決方案 - 全文

　　有人認(rèn)為，云安全是整個(gè)行業(yè)中最棘手的問(wèn)題，而且它們?cè)诮趦?nèi)不會(huì)被解決，但是也有人認(rèn)為云安全并不是什么大問(wèn)題，因?yàn)榕c客戶相比云服務(wù)提供商擁有更嚴(yán)格的安全措施。

　　在許多關(guān)于這一話題的調(diào)查中，安全問(wèn)題總是一個(gè)重要顧慮，它們也因此成為了許多IT商店的頭等大事。目前已經(jīng)有了一些安全標(biāo)準(zhǔn)創(chuàng)新方案，這些標(biāo)準(zhǔn)可能最終會(huì)幫助消除一些問(wèn)題，但是目前距離這些標(biāo)準(zhǔn)的出臺(tái)還有很長(zhǎng)的一段路要走。

　　現(xiàn)在有一件事情以明確，即在沒(méi)有親自進(jìn)行充分調(diào)查之前不要做任何假設(shè)。市場(chǎng)研究公司Gartner 的分析師Jay Heiser一直致力于研究企業(yè)和法規(guī)所面臨的潛在風(fēng)險(xiǎn)。Heiser 稱(chēng)：“服務(wù)提供商可能正在為保護(hù)數(shù)據(jù)做大量工作，或是正在創(chuàng)建安全性更好的應(yīng)用框架，這固然不錯(cuò)，但是最大的問(wèn)題在于你如何確定他們正在做這些工作。如提供商無(wú)法（通過(guò)測(cè)試和數(shù)據(jù)驗(yàn)證）證明他們產(chǎn)品的安全性像他們所宣傳的那樣。如此一來(lái)，你將無(wú)法做出是否選擇他們的決定?！?/p>

　　印第安納大學(xué)摩利爾法學(xué)院網(wǎng)絡(luò)安全應(yīng)用研究中心主任Fred Cate稱(chēng)，在涉及云安全時(shí)，公司所面臨的最大一個(gè)難題是，誰(shuí)應(yīng)當(dāng)在法律方面承擔(dān)負(fù)責(zé)。

　　Cate稱(chēng)：“云服務(wù)提供商認(rèn)為公司應(yīng)當(dāng)為此承擔(dān)責(zé)任，而公司則認(rèn)為云服務(wù)提供商應(yīng)當(dāng)承擔(dān)責(zé)任。為了解決這一問(wèn)題，一些公司選擇了微軟等值得信賴(lài)的服務(wù)提供商?！辈贿^(guò)，他指出，這一做法導(dǎo)致客戶的可選擇性大幅降低，同時(shí)這一做法也不能確保數(shù)據(jù)的安全性，因?yàn)槟銉H僅為你的云基礎(chǔ)設(shè)施選擇了一個(gè)知名的服務(wù)提供商而已。

　　幸運(yùn)的是，一些新技術(shù)正在幫助確保云的安全，至少對(duì)于員工來(lái)說(shuō)將知識(shí)產(chǎn)權(quán)或敏感數(shù)據(jù)公布在公有云上將變得更加困難。

　　美國(guó)聯(lián)合航空公司：在飛機(jī)上部署云計(jì)算

　　美國(guó)聯(lián)合航空公司開(kāi)始著手進(jìn)行一項(xiàng)激進(jìn)的試驗(yàn)。美聯(lián)航今年將為機(jī)組成員提供10000部蘋(píng)果iPad.這些iPad將替代存放手冊(cè)、航圖和其它用于飛行準(zhǔn)備的非敏感信息的飛行包。機(jī)組成員可訪問(wèn)Jeppesen等托管服務(wù)提供商，以獲得在線飛行手冊(cè)服務(wù) 。美聯(lián)航還將iPad作為更新公司新聞和員工信息的通訊工具。

　　John Van Hoogstraten為美聯(lián)航負(fù)責(zé)IT安全與風(fēng)險(xiǎn)管理的常務(wù)董事。他稱(chēng)，公司傾向于逐漸開(kāi)展與云相關(guān)的部署，但是由于iPad等移動(dòng)設(shè)備具有許多優(yōu)勢(shì)，因此他們無(wú)法再推遲相關(guān)的部署事宜，這些優(yōu)勢(shì)包括可以更好的管理飛行手冊(cè)，降低燃料成本，因?yàn)闄C(jī)組成員不必再攜帶沉重的飛行包。

　　他稱(chēng)，公司目前正在使用賽門(mén)鐵克的產(chǎn)品進(jìn)行身份管理和病毒防護(hù)，下一步他們將考慮部署名為“賽門(mén)鐵克O3云身份與訪問(wèn)控制”的單點(diǎn)登錄產(chǎn)品以執(zhí)行單一認(rèn)證程序。

　　美聯(lián)航負(fù)責(zé)IT安全與風(fēng)險(xiǎn)管理的常務(wù)董事John Van Hoogstraten稱(chēng)，他們正在考慮使用單點(diǎn)登錄技術(shù)以簡(jiǎn)化云軟件的認(rèn)證。

　　Hoogstraten ：“我們需要使用一個(gè)安全的認(rèn)證系統(tǒng)以確保使用iPad的人的身份，尤其是在飛行員飛往那些缺乏安全保障的第三世界國(guó)家時(shí)。”他的計(jì)劃是使用單點(diǎn)登錄，因?yàn)槠淇梢越尤朊缆?lián)航的活動(dòng)目錄（Active Directory）系統(tǒng)并為機(jī)組成員訪問(wèn)服務(wù)提供商提供一個(gè)入口。這意味著飛行員不必多次登錄不同的服務(wù)，這樣一來(lái)可以節(jié)省飛行員們的時(shí)間。

　　單點(diǎn)登錄是最常見(jiàn)的一種處理云安全問(wèn)題的新機(jī)制。這意味著在發(fā)生問(wèn)題時(shí)只有一個(gè)故障點(diǎn)。O3將作為一種工具在數(shù)據(jù)中心運(yùn)行，這意味著所有的云訪問(wèn)都將流經(jīng)該設(shè)備，這有可能會(huì)降低連接速度。

　　Heiser 稱(chēng)：“單點(diǎn)登錄解決了云安全的根本問(wèn)題，即便捷性與安全性的平衡。當(dāng)然，認(rèn)證并不總是最大的問(wèn)題。讓我們回顧一個(gè)Gmail（密碼）事故吧。在事故中，人們能夠輕易地獲得訪問(wèn)權(quán)。許多公司應(yīng)當(dāng)意識(shí)到密碼存在缺陷。”

　　為了解決這一問(wèn)題，賽門(mén)鐵克使用了雙因素認(rèn)證。典型的情況是，員工需要安裝在iPad上的標(biāo)記ID和密碼才獲取訪問(wèn)云服務(wù)的訪問(wèn)權(quán)。

　　Cate稱(chēng)，在處理類(lèi)似iPad訪問(wèn)公司系統(tǒng)的新安全問(wèn)題中，一個(gè)穩(wěn)妥的解決方案是將安全審計(jì)作為部署內(nèi)容的一部分。安全審計(jì)的一個(gè)好處是你可以發(fā)現(xiàn)一些潛在的風(fēng)險(xiǎn)，例如過(guò)度依賴(lài)于某一種策略?！叭绻銓⒋罅繑?shù)據(jù)存儲(chǔ)在一個(gè)地方，那么你就越容易成為被攻擊的目標(biāo)，同時(shí)你也就越值得黑客花時(shí)間攻擊你。”

　　他稱(chēng)，安全評(píng)估必須要細(xì)致，除了數(shù)據(jù)存儲(chǔ)和策略外，還要檢查類(lèi)似iPad或智能手機(jī)等特定的設(shè)備。這意味著要使用自動(dòng)化風(fēng)險(xiǎn)管理工具和進(jìn)行風(fēng)險(xiǎn)評(píng)估。例如，美聯(lián)航飛行員將率先使用iPad交流公司中發(fā)生的新聞。如果執(zhí)行官們決定將向地勤人員部署平板電腦，那么公司應(yīng)當(dāng)對(duì)整體風(fēng)險(xiǎn)進(jìn)行評(píng)估。

　　“每個(gè)公司都應(yīng)當(dāng)考慮這些問(wèn)題：如果這么做的話，將會(huì)遇到多少麻煩？這么做的風(fēng)險(xiǎn)是多大？不要僅關(guān)注在法律生產(chǎn)上的麻煩，還要關(guān)注對(duì)公司聲譽(yù)和股東帶來(lái)的影響。”

　　羅克福德市：將社交網(wǎng)絡(luò)記錄存在云上

　　對(duì)于美國(guó)伊利諾斯州的羅克福德市來(lái)說(shuō)，任何涉及云計(jì)算的解決方案都受到了政府法規(guī)的約束。例如，伊利諾斯州出臺(tái)了《本地記錄法案》。該法案規(guī)定公共記錄，包括基于云的數(shù)據(jù)都必須留檔一段時(shí)間。不過(guò)具體多長(zhǎng)時(shí)間，州和市的規(guī)定不盡相同。

　　與此同時(shí)，羅克福德市決定啟動(dòng)新的交流方式與市民進(jìn)行互動(dòng)。該市的一名Web開(kāi)發(fā)員與管理員Kevon Hayes稱(chēng)，市政府希望使用推特或臉譜，但是他們必須要找到一個(gè)辦法以確定這些數(shù)據(jù)的備份能夠被安全存儲(chǔ)，并且在需要的時(shí)候能夠被重新取回。

　　Kevon Hayes稱(chēng)，市政府希望使用推特或臉譜，但是為了遵守本地記錄法，他們必須要找到一個(gè)辦法確保這些數(shù)據(jù)的備份能夠被安全存儲(chǔ)。

　　羅克福德市選擇了Backupify服務(wù)。該存檔服務(wù)能夠掃描市政部門(mén)領(lǐng)導(dǎo)發(fā)至社交網(wǎng)絡(luò)上的貼文，并將這些數(shù)據(jù)存儲(chǔ)到亞馬遜S3云存儲(chǔ)服務(wù)上。

　　Hayes稱(chēng)，大約有1000名雇員和6名部門(mén)領(lǐng)導(dǎo)會(huì)向社交網(wǎng)絡(luò)發(fā)貼。他每三個(gè)月就會(huì)檢查一下位于亞馬遜上的XML數(shù)據(jù)，查看一下社交網(wǎng)絡(luò)記錄是否存儲(chǔ)在那里。

　　Backupify還是一款可對(duì)來(lái)自谷歌Apps、 Gmail和Salesforce的數(shù)據(jù)進(jìn)行存檔的備份工具。由于數(shù)據(jù)被存儲(chǔ)在亞馬遜S3上，因此羅克福德市的數(shù)據(jù)能夠通過(guò)亞馬遜服務(wù)向多個(gè)遠(yuǎn)程位置傳輸。

　　Alan Brill為風(fēng)險(xiǎn)管理公司Kroll的一名分析師，他認(rèn)為云安全不僅僅是加密遠(yuǎn)程連接和對(duì)用戶進(jìn)行認(rèn)證。許多公司都忽視了員工在日常工作中訪問(wèn)社交網(wǎng)絡(luò)和消費(fèi)者網(wǎng)站的行為。

　　Brill 稱(chēng)：“公司是否將社交網(wǎng)絡(luò)納入其云安全整體策略中非常關(guān)鍵。所有的事情都存在風(fēng)險(xiǎn)。公司需要一些工具，以清楚正在發(fā)生什么事情，誰(shuí)正在將什么信息貼在云上，以及如何獲得這些數(shù)據(jù)?！?/p>

　　Cate 稱(chēng)：“云備份的最大優(yōu)勢(shì)是增加了靈活性。用戶可以通過(guò)臺(tái)式機(jī)或遠(yuǎn)程設(shè)備隨時(shí)隨地獲取存檔的數(shù)據(jù)。目前用于備份的磁帶會(huì)出現(xiàn)退磁理現(xiàn)象，用戶必須對(duì)備份手段進(jìn)行升級(jí)。另一方面，選擇云服務(wù)將會(huì)導(dǎo)致用戶將具有重要價(jià)值的資源交到別人手中。因此用戶應(yīng)當(dāng)對(duì)這一需要進(jìn)行全面細(xì)致的調(diào)查?！?/p>

　　Cate認(rèn)為，公司需要對(duì)數(shù)據(jù)存儲(chǔ)位置進(jìn)入調(diào)查。如果存儲(chǔ)行為會(huì)跨越國(guó)家邊境，用戶應(yīng)當(dāng)及時(shí)確認(rèn)這么做在法律方面會(huì)出現(xiàn)什么樣的后果。如果數(shù)據(jù)被存儲(chǔ)在其他國(guó)家，用戶需要確認(rèn)可以自由地訪問(wèn)這些數(shù)據(jù)。

　　Nice Shoes：確保遠(yuǎn)程審片的安全性

　　許多IT經(jīng)理認(rèn)為云安全就是保護(hù)數(shù)據(jù)或是確保在Dropbox上共享文件的“流氓”員工不會(huì)泄露公司秘密。不過(guò)對(duì)于靠制作電視廣告和為Beyonce等藝術(shù)家制作MV為主業(yè)的Nice Shoes來(lái)說(shuō)，云安全遠(yuǎn)遠(yuǎn)不止這些。他們的目標(biāo)是保護(hù)創(chuàng)意內(nèi)容的安全。

　　公司首席信息官Robert Keske稱(chēng)，經(jīng)常會(huì)有客戶提出希望參與非正式的審片會(huì)，查看工作的進(jìn)展情況。

　　雖然視頻將上傳至云上，但是公司將會(huì)對(duì)它們的安全性與質(zhì)量進(jìn)行管控。這其中有兩個(gè)重要的標(biāo)準(zhǔn)。一個(gè)標(biāo)準(zhǔn)是公司不希望發(fā)生原始素材被人竊取的事情。另一個(gè)標(biāo)準(zhǔn)是遠(yuǎn)在洛杉磯或是全球其他地方的客戶所看到的視頻在分辨率和色彩等質(zhì)量上必須與制作者在紐約辦公室里所看到的一樣。

　　Nice Shoes首席信息官Robert Keske稱(chēng)，公司允許客戶觀看他們的電視廣告和MV，但是公司十分重視對(duì)安全和質(zhì)量的管控。

　　Nice Shoes安裝了一個(gè)內(nèi)部IPTV，實(shí)際上與你在家中看到的AT&T U-verse很相似。公司通過(guò)思科ASA 5520安全工具建立數(shù)據(jù)連接和一個(gè)IPsec（互聯(lián)網(wǎng)協(xié)議安全協(xié)議）VPN.后者實(shí)際上是擴(kuò)展了公司的私有網(wǎng)絡(luò)。

　　為了保證質(zhì)量達(dá)到標(biāo)準(zhǔn)，Nice Shoes使用了一項(xiàng)名為FEC（前向糾錯(cuò)）的技術(shù)。這種技術(shù)可以持續(xù)的監(jiān)視數(shù)據(jù)流，并糾正傳輸中出現(xiàn)的像素級(jí)錯(cuò)誤。在另一地的審片室將使用Nice Shoes為滿足特定標(biāo)準(zhǔn)而安裝的顏色校正軟件。

　　另一個(gè)值得關(guān)注的特點(diǎn)是：Nice的IPsec被配置在思科的硬件上，其能夠自動(dòng)進(jìn)行通報(bào)。這意味著客戶不再需要對(duì)思科生態(tài)系統(tǒng)組成部分的設(shè)備做任何設(shè)置，當(dāng)客戶首次進(jìn)行安全連接時(shí)，Nice Shoes的IT員工能夠?qū)υO(shè)備進(jìn)行遠(yuǎn)程設(shè)置。

　　由不提供公共訪問(wèn)，因此客戶審片的安全性得到了進(jìn)一步保護(hù)?？蛻糁荒芡ㄟ^(guò)端點(diǎn)工具觀看廣告或MV，這是唯一途徑。如果沒(méi)有設(shè)置適當(dāng)?shù)腎Psec、VPN和FEC，那么系統(tǒng)將不會(huì)工作。

　　摩森康勝啤酒釀造公司：用云進(jìn)行身份管理

　　在總部位于丹佛的摩森康勝公司內(nèi)部，身份管理系統(tǒng)正在與時(shí)俱進(jìn)。

　　公司首席安全信息官Kevin Schmitt發(fā)現(xiàn)，由8名員工組成的小型安全團(tuán)隊(duì)已經(jīng)難以對(duì)現(xiàn)有應(yīng)用提供支持。培訓(xùn)新的員工，設(shè)置密碼，提供訪問(wèn)權(quán)限已經(jīng)變?yōu)榱艘患掷廴说墓ぷ?。目前，公司的身份管理極有可能轉(zhuǎn)移到云上，主要是因?yàn)楣镜臄?shù)據(jù)中心已經(jīng)外包給了服務(wù)提供商。

　　Schmitt 稱(chēng)：“我們必須找到一個(gè)新的身份管理系統(tǒng)。新系統(tǒng)不應(yīng)當(dāng)像現(xiàn)在這樣零碎，同時(shí)其還必須包括所有的員工身份和外部合同商管理規(guī)定。”

　　Schmitt表示，他沒(méi)有考慮單點(diǎn)登錄產(chǎn)品，因?yàn)楣净A(chǔ)設(shè)施不僅僅涉及訪問(wèn)Web服務(wù)。他希望找到一個(gè)“綜合性”解決方案，即身份管理系統(tǒng)能夠橫跨所有被托管的業(yè)務(wù)平臺(tái)和Web服務(wù)，包括那些在本地托管的平臺(tái)和服務(wù)在內(nèi)。

　　最終，他決定與專(zhuān)門(mén)銷(xiāo)售身份與訪問(wèn)管理軟件的Lighthouse安全集團(tuán)進(jìn)行合作。在新系統(tǒng)大規(guī)模部署前，公司的老身份管理系統(tǒng)可以進(jìn)行多重登錄，甚至與指定的員工角色沒(méi)有關(guān)系的人也可以登錄。此外，摩森康勝公司還需要對(duì)配置與解除配置、Web SSL、登錄、VPN和其它訪問(wèn)點(diǎn)進(jìn)行管理。

　　Schmitt對(duì)復(fù)雜性有著充分的認(rèn)識(shí)。在數(shù)據(jù)中心上運(yùn)行身份管理系統(tǒng)方面，Schmitt的經(jīng)驗(yàn)是必須要搞清楚自己的系統(tǒng)和傳輸至云身份管理上的主數(shù)據(jù)元素。同時(shí)，他還確信自己擁有管理系統(tǒng)的密鑰，以防止提供商倒閉。

　　Schmitt權(quán)衡了云安全因素后認(rèn)為學(xué)習(xí)身份管理將成為他手下員工們的一場(chǎng)噩夢(mèng)。因?yàn)槟壳斑@些員工的壓力已經(jīng)很大了?！拔也荒苷f(shuō)自己沒(méi)有對(duì)新系統(tǒng)任何擔(dān)心和懷疑。盡管這些云提供商的認(rèn)證方式存在差異，但是公司內(nèi)部的身份管理系統(tǒng)與它們相比沒(méi)有任何優(yōu)勢(shì)?！?/p>

　　密切關(guān)注自己的數(shù)據(jù)平臺(tái)，評(píng)估使用云服務(wù)的風(fēng)險(xiǎn)，然后確定它們是否能夠滿足公司的綜合需求。Brill稱(chēng)，雖然云安全為決策帶來(lái)了一些顧慮，但是如果充分理解其中的風(fēng)險(xiǎn)和它們影響公司的途徑，那么可以緩解這些顧慮。

　　正在制訂中的云安全標(biāo)準(zhǔn)

　　目前美國(guó)聯(lián)邦政府正在參與標(biāo)準(zhǔn)的制訂工作。美國(guó)聯(lián)邦風(fēng)險(xiǎn)和授權(quán)管理項(xiàng)目（FedRAMP）試圖出臺(tái)一套云安全標(biāo)準(zhǔn)，以便于公司評(píng)估第三方云服務(wù)提供商。該標(biāo)準(zhǔn)目前還沒(méi)有被公布。觀察人士指出，F(xiàn)edRAMP還在緊張的討論中。

　　第二個(gè)方案是通用保障成熟度模型（CAMM），其目的是開(kāi)發(fā)出一套評(píng)分系統(tǒng)。該系統(tǒng)與數(shù)據(jù)中心電源使用效率（PUE）并沒(méi)有太大的區(qū)別。Gartner的分析師Jay Heiser稱(chēng)，雖然這一個(gè)第三方評(píng)估程序應(yīng)用前景不錯(cuò)，但是目前已經(jīng)暫時(shí)了六個(gè)月時(shí)間。


?