簡介

公共云向?qū)で蟾偁巸?yōu)勢的企業(yè)提供了許多好處。成本節(jié)省、彈性和可伸縮性促使更多企業(yè)采用公共云。最近的一份 Gartner 報告預(yù)測，公共云服務(wù)市場的價值到 2017 年將超過 2440 億美元。

直到最近，公共云主要用于非任務(wù)關(guān)鍵型功能中，比如測試和開發(fā)。盡管存在一些在實際生產(chǎn)工作負(fù)載中使用公共云的成功案例（例如 Netflix 對 Amazon Web Services 的使用），但由于安全性和合規(guī)性擔(dān)憂，大多數(shù)企業(yè)仍對委托其敏感數(shù)據(jù)和任務(wù)關(guān)鍵型功能保持謹(jǐn)慎。

安全性和合規(guī)性擔(dān)憂屬于法律問題。但是，我們發(fā)現(xiàn)這些擔(dān)憂從某種程度上講是由于缺乏與云安全相關(guān)的明確性和最佳實踐而造成的。這并不奇怪，因為存在不同的云計算模型，每種模型有不同的預(yù)期和需求。而且不是所有云服務(wù)提供商都是以相同方式創(chuàng)建的。一些提供商最初主要專注于可伸縮性、易用性和可訪問性，然后才開始關(guān)注安全性。另一方面，其他提供商一開始就擁有內(nèi)置的安全性和戰(zhàn)略優(yōu)勢。

在本文中，我們將了解公共云中的數(shù)據(jù)安全，并討論以下內(nèi)容：

云計算模型

對云安全的討論需要理解云計算模型，因為每種模型具有不同的預(yù)期和需求。在其專門刊物 SP 800-145 中，美國國家標(biāo)準(zhǔn)與技術(shù)研究院 (NIST) 定義了 3 種云計算模型，如下所示：

軟件即服務(wù) (SaaS)

使用者使用提供商在云基礎(chǔ)架構(gòu)上運行的應(yīng)用程序。各種客戶設(shè)備可以通過一個瘦客戶端接口訪問應(yīng)用程序，比如 Web 瀏覽器（例如基于 Web 的電子郵件）或程序接口。使用者不用管理或控制底層云基礎(chǔ)架構(gòu)，包括網(wǎng)絡(luò)、服務(wù)器、操作系統(tǒng)、存儲，甚至是各個應(yīng)用程序功能，這方面的一個例外可能是需要執(zhí)行特定于用戶的有限的應(yīng)用程序配置設(shè)置。SaaS 提供商示例包括 Salesforce.com 和 Google。

平臺即服務(wù) (PaaS)

使用者可以在云基礎(chǔ)架構(gòu)上部署使用者創(chuàng)建的應(yīng)用程序，或者所獲取的使用提供商支持的編程語言、庫、服務(wù)和工具創(chuàng)建的應(yīng)用程序。使用者不用管理或控制底層云基礎(chǔ)架構(gòu)，包括網(wǎng)絡(luò)、服務(wù)器、操作系統(tǒng)或存儲，但能夠控制部署的應(yīng)用程序和應(yīng)用程序托管環(huán)境的可能的配置設(shè)置。PaaS 提供商示例包括 IBM Bluemix 和 Microsoft Windows Azure。

基礎(chǔ)架構(gòu)即服務(wù) (IaaS)

使用者擁有在他們部署和運行軟件的地方配備處理、存儲、網(wǎng)絡(luò)和其他基礎(chǔ)計算資源的能力，包括操作系統(tǒng)和應(yīng)用程序。使用者不用管理和控制底層云基礎(chǔ)架構(gòu)，但能夠控制操作系統(tǒng)、存儲、部署的應(yīng)用程序，并可能有限地控制少數(shù)網(wǎng)絡(luò)組件（例如主機防火墻）。IaaS 提供商示例包括 IBM SoftLayer 和 Amazon Web Services (AWS)。

圖 1 顯示了 3 個云計算模型中云服務(wù)提供商管理的內(nèi)容和客戶管理的內(nèi)容。

　　揭示云安全

采用任何云計算模型，都需要考慮 3 個安全領(lǐng)域的問題：

客戶安全目標(biāo)

客戶的主要安全目標(biāo)通常反映了他們在采用云時的職責(zé)。表 1 總結(jié)了每種云計算模型的這些目標(biāo)，提供了滿足這些目標(biāo)所需的安全功能的示例。

　　共享安全責(zé)任

對于云安全，要認(rèn)識到的最重要的一點是，部署在公共云上的任何客戶工作負(fù)載的總體責(zé)任在客戶與云服務(wù)提供商之間共享。在將工作負(fù)載遷移到公共云之前，理解安全職責(zé)的劃分對客戶非常重要。云服務(wù)需要提供商展示認(rèn)證和審計報告，確認(rèn)其安全責(zé)任共享情況，這對客戶同樣至關(guān)重要。
云服務(wù)提供商的職責(zé)

云服務(wù)提供商的職責(zé)首先是物理和環(huán)境安全。畢竟，云服務(wù)提供商操作著一組數(shù)據(jù)中心。要考慮的重要方面包括員工的物理訪問、火災(zāi)檢測和控制、電力連續(xù)性、服務(wù)器和其他硬件設(shè)備的氣候和溫度控制，以及解除配置的存儲設(shè)備的數(shù)據(jù)清理。圖 2 展示了典型的云服務(wù)提供商的安全職責(zé)。

下一個級別的職責(zé)是網(wǎng)絡(luò)安全，包括防火墻和其他網(wǎng)絡(luò)安全設(shè)備，用來監(jiān)視和控制網(wǎng)絡(luò)的外部邊界上和網(wǎng)絡(luò)內(nèi)的戰(zhàn)略性內(nèi)部邊界上的通信。這意味著防御傳統(tǒng)的網(wǎng)絡(luò)安全問題，比如分布式拒絕服務(wù) (DDoS) 攻擊、未授權(quán)的端口掃描、數(shù)據(jù)包嗅探和 IP 欺騙。網(wǎng)絡(luò)安全還包含保護客戶組織與云服務(wù)提供商之間的數(shù)據(jù)傳輸。示例包括將數(shù)據(jù)上傳到對象存儲，比如 IBM SoftLayer 上的 SWIFT 或 AWS Simple Storage Service (S3)。在這種情況下，通常使用安全套接字層 (SSL) 來防止竊聽和篡改。

更高級別的責(zé)任依賴于客戶采用的云計算模型。例如，如果客戶采用 IaaS 模型，那么云服務(wù)提供商的職責(zé)將止于虛擬機管理程序級別。以下是兩個領(lǐng)先的公共云提供商所采用的模型：SoftLayer 和 AWS。如果客戶采用 PaaS 模型，那么云服務(wù)提供商的職責(zé)將延伸到額外的安全領(lǐng)域，比如身份和訪問管理、數(shù)據(jù)安全，以及漏洞管理。如果客戶采用 SaaS 模型，那么云服務(wù)提供商的職責(zé)將進一步擴展，包含應(yīng)用程序漏洞測試和修補。

要說服客戶放心地采用云服務(wù)，云服務(wù)提供商必須獲得安全認(rèn)證，并分享證明其云服務(wù)的安全性的審計報告?；旧现v，云服務(wù)提供商必須證明，云 IT 基礎(chǔ)架構(gòu)是使用安全最佳實踐和行業(yè)標(biāo)準(zhǔn)而設(shè)計和管理的。證明這一點的最佳方式是通過認(rèn)證，比如 ISO 27001、聯(lián)邦信息安全管理法案 (FISMA)、聯(lián)邦風(fēng)險和授權(quán)管理項目 (FedRamp)、支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn) (PCI DSS)、SOC、云安全聯(lián)盟 (CSA)、服務(wù)組織控制報告 (SOC2, SOC3) 和安全港協(xié)議。SoftLayer 和 AWS 分別在 SoftLayer Cloud Security 和 AWS Security Center 上發(fā)布了其安全聲明。
客戶的職責(zé)

客戶的首要職責(zé)是理解他們打算遷移到云的工作負(fù)載的風(fēng)險概況并鑒定其資格。選擇將證明其云服務(wù)的設(shè)計和管理與安全最佳實踐和行業(yè)標(biāo)準(zhǔn)一致的云服務(wù)提供商時，需要執(zhí)行盡職調(diào)查。這包括有關(guān) IT 基礎(chǔ)架構(gòu)的高可用性和客戶數(shù)據(jù)將實際存儲的位置的咨詢。例如，如果客戶的數(shù)據(jù)不得離開某個地理位置，或者不得位于某個特定的地理位置，那么客戶必須獲得將根據(jù)其地理要求來存儲數(shù)據(jù)的保證。

客戶應(yīng)考慮通過執(zhí)行技術(shù)控制來滿足安全、隱式和合規(guī)性需求的職責(zé)。這些職責(zé)從云服務(wù)提供商的職責(zé)結(jié)束的地方開始。它們也依賴于使用的云服務(wù)模型。例如，如果客戶采用 IaaS 模型，那么他們需要全面負(fù)責(zé)他們部署在所配備的基礎(chǔ)架構(gòu)上的任何功能。這包括管理用戶對工作負(fù)載和系統(tǒng)管理職責(zé)的訪問；保護工作負(fù)載，比如操作系統(tǒng)加固、數(shù)據(jù)庫加固、存儲加密和主機防火墻；監(jiān)視和合規(guī)性報告。另一方面，如果客戶采用 PaaS 模型，則需要確保他構(gòu)建的應(yīng)用程序是安全的。這包括管理用戶對應(yīng)用程序的訪問，應(yīng)用程序安全測試和數(shù)據(jù)加密，以及監(jiān)視和合規(guī)性報告。如果客戶采用了 SaaS 模型，那么客戶的職責(zé)將包括管理用戶對 SaaS 應(yīng)用程序的訪問、數(shù)據(jù)令牌化，以及監(jiān)視和合規(guī)性。

為了滿足安全、隱私和合規(guī)性需求，客戶可以采用他們引入云中的技術(shù)控制，他們也可以使用來自云的服務(wù)。例如，使用 IaaS 模型的客戶可選擇使用 IP 表或利用云服務(wù)提供商所提供的解決方案（比如 AWS 上的安全組概念），加固一個部署在所配備的基礎(chǔ)架構(gòu)上的 Linux 操作系統(tǒng)。類似地，客戶可選擇帶來并部署一個虛擬設(shè)備,以便保護部署在配備的基礎(chǔ)架構(gòu)上的數(shù)據(jù)庫。另一個示例是 PaaS 客戶利用來自云的應(yīng)用程序安全掃描服務(wù)，掃描應(yīng)用程序中的安全漏洞。

結(jié)束語

本教程探討了您需要知道的云安全知識，讓您可以放心地采用云。客戶需要理解他們打算遷移到云的工作負(fù)載的風(fēng)險概況并鑒定其資格。認(rèn)識到云安全是云服務(wù)提供商與客戶之間的共同責(zé)任也非常重要。在將工作負(fù)載遷移到公共云之前，客戶必須理解安全職責(zé)的劃分對客戶至關(guān)重要。

不是所有云服務(wù)提供商都是以相同方式創(chuàng)建的。選擇能證明其云服務(wù)的設(shè)計和管理與安全最佳實踐和行業(yè)標(biāo)準(zhǔn)一致的云服務(wù)提供商，這對客戶至關(guān)重要。

通過遵循這里的建議，以及協(xié)商滿意的服務(wù)水平協(xié)議 (SLA)，客戶可實現(xiàn)相當(dāng)于或優(yōu)于他們在現(xiàn)場實現(xiàn)的安全性的數(shù)據(jù)安全。例如，與大多數(shù)客戶在現(xiàn)場的操作相比，領(lǐng)先的云服務(wù)提供商對其基礎(chǔ)架構(gòu)的管理具有 更高的自動化水平。自動化最小化了由于手動干預(yù)而導(dǎo)致的錯誤配置風(fēng)險。統(tǒng)計表明，超過 60% 的安全破壞是因為錯誤配置而導(dǎo)致的。作為一條基本的安全原則，可用性是另一個示例。小企業(yè)可能無法提供多個地理上分散的災(zāi)難恢復(fù) (DR) 站點。借助正確的云服務(wù)提供商，小型企業(yè)可以擁有實現(xiàn)業(yè)務(wù)連續(xù)性的更好機會。

領(lǐng)先的云服務(wù)提供商實現(xiàn)了連續(xù)安全監(jiān)視，而許多客戶并未在現(xiàn)場實現(xiàn)此功能。連續(xù)安全監(jiān)視提供了威脅可視性，可以預(yù)防漏洞由于發(fā)現(xiàn)延遲而帶來重大風(fēng)險。有了正確的云服務(wù)提供商，所有規(guī)模的客戶都可以從連續(xù)安全監(jiān)視受益。

節(jié)選文章出處：http://www.ibm.com/developerworks/cn/data/library/techarticle/dm-1408datasecuritycloud/index.html