黑客攻擊成常態(tài) 別讓安全拖了上云的后腿

責(zé)任編輯:editor005

作者:徐鵬

2017-09-09 17:48:56

摘自:中關(guān)村在線(xiàn)

當(dāng)涉及到多云遷移的時(shí)候,各個(gè)云服務(wù)商可以提供統(tǒng)一的數(shù)據(jù)管理API,減少出現(xiàn)服務(wù)故障導(dǎo)致數(shù)據(jù)返回的工作量成本??傮w來(lái)說(shuō),云端數(shù)據(jù)遷移時(shí)先要打包整體的數(shù)據(jù)源,關(guān)注部分?jǐn)?shù)據(jù)可能會(huì)導(dǎo)致最終處理時(shí)失真。

如今,上云與否早已不是選擇題。在企業(yè)實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型的過(guò)程中,云計(jì)算的重要性不言而喻。對(duì)于CIO來(lái)說(shuō),關(guān)鍵任務(wù)變成了找到適合的云服務(wù)商,并且根據(jù)自身業(yè)務(wù)特性逐步遷移到云端。不過(guò)隨著業(yè)務(wù)加速云化,一些企業(yè)的安全團(tuán)隊(duì)卻仍然停留在原有的思維定式,忽視了對(duì)新業(yè)務(wù)部署時(shí)的風(fēng)險(xiǎn)控制,這種威脅不僅是在應(yīng)用層,還有架構(gòu)層。

黑客攻擊成常態(tài) 別讓安全拖了上云的后腿

  安全要走在上云前面(圖片來(lái)自Healthcare IT Security)

今年以來(lái),云應(yīng)用和基礎(chǔ)架構(gòu)層面的數(shù)據(jù)泄露事件已經(jīng)發(fā)生多起,而且勒索病毒和其他各類(lèi)惡意軟件的數(shù)量也在顯著增加。例如,Slack和CloudFlare發(fā)現(xiàn)的漏洞影響了數(shù)百萬(wàn)用戶(hù)的私密信息,Verizon更是由于A(yíng)mazon S3服務(wù)器的配置錯(cuò)誤,泄露了1400多萬(wàn)美國(guó)客戶(hù)的數(shù)據(jù)。拿Slack來(lái)說(shuō),這種移動(dòng)化辦公的方式正在被越來(lái)越多的人所接受,團(tuán)隊(duì)工作組可以通過(guò)應(yīng)用實(shí)例跨組織快速切換,一旦遭受黑客攻擊就是大規(guī)模的權(quán)限丟失。至于Verizon,面臨的問(wèn)題則是失去了對(duì)基礎(chǔ)設(shè)施的控制,可遠(yuǎn)程設(shè)置的服務(wù)器上線(xiàn)是方便了,但安全協(xié)議卻不完善。

LinkedIn曾經(jīng)做過(guò)一項(xiàng)調(diào)查:49%的CIO和企業(yè)認(rèn)為,影響他們上云的主要原因是擔(dān)心數(shù)據(jù)的丟失和泄漏,59%的人認(rèn)為,傳統(tǒng)的網(wǎng)絡(luò)安全工具在云端具有局限性。事實(shí)上,盡管當(dāng)前各廠(chǎng)商在設(shè)計(jì)架構(gòu)時(shí)更重視IaaS層的資源隔離,不過(guò)PaaS層和SaaS層仍?xún)?chǔ)存了大量的用戶(hù)數(shù)據(jù)。之所以出現(xiàn)這些問(wèn)題,一方面是上云業(yè)務(wù)與原有IT架構(gòu)的安全組件集成度不夠,另一方面也是企業(yè)客戶(hù)過(guò)于追求成本效益,忽視了安全因素。

為了讓安全性追上業(yè)務(wù)向云遷移的速度,云服務(wù)商和企業(yè)客戶(hù)需要從基礎(chǔ)實(shí)施、托管平臺(tái)、應(yīng)用部署方面,圍繞政策法規(guī)、數(shù)據(jù)存儲(chǔ)、成本管理等流程構(gòu)建一體化方案。在企業(yè)內(nèi)部,涉及關(guān)鍵項(xiàng)目的所有成員要對(duì)云安全技術(shù)引起重視,而不是把責(zé)任推給單獨(dú)的安全部門(mén)。在企業(yè)外部,需要讓身份訪(fǎng)問(wèn)、日志管理、事件響應(yīng)滿(mǎn)足云時(shí)代的監(jiān)管標(biāo)準(zhǔn)。

決策與規(guī)劃方面,企業(yè)開(kāi)發(fā)和使用應(yīng)用程序,以及后續(xù)的測(cè)試、質(zhì)保環(huán)節(jié)都有可能遭到外部攻擊,基于物理服務(wù)器的IT資源虛擬化共享使得被黑往往是聯(lián)帶的,即使是專(zhuān)用服務(wù)器也難以保證絕對(duì)的安全性。一般來(lái)說(shuō),企業(yè)CIO要在采購(gòu)前制定預(yù)制規(guī)則和應(yīng)對(duì)策略,首先是收集業(yè)務(wù)需求結(jié)合數(shù)據(jù)的存儲(chǔ)及處理,讓IT部署適配云框架從而成為員工的操作規(guī)范。同時(shí),企業(yè)的安全人員也要定期追蹤工作中產(chǎn)生的問(wèn)題,與云服務(wù)商配合從底層消除風(fēng)險(xiǎn)。

數(shù)據(jù)遷移與存儲(chǔ)方面,首要關(guān)注的應(yīng)該是數(shù)據(jù)丟失和災(zāi)備,傳統(tǒng)的煙囪式架構(gòu)在處理敏感數(shù)據(jù)時(shí)會(huì)有安全缺失,企業(yè)在初期選擇云服務(wù)商時(shí)才依據(jù)自身業(yè)務(wù)特性來(lái)制定具體的安全防護(hù)標(biāo)準(zhǔn)。此外,雖然云服務(wù)商通常會(huì)提供數(shù)據(jù)備份,但企業(yè)最好還是在本地有自己的保護(hù)措施,并且要監(jiān)控訪(fǎng)問(wèn)數(shù)據(jù)的ID,加密核心信息。當(dāng)涉及到多云遷移的時(shí)候,各個(gè)云服務(wù)商可以提供統(tǒng)一的數(shù)據(jù)管理API,減少出現(xiàn)服務(wù)故障導(dǎo)致數(shù)據(jù)返回的工作量成本。

總體來(lái)說(shuō),云端數(shù)據(jù)遷移時(shí)先要打包整體的數(shù)據(jù)源,關(guān)注部分?jǐn)?shù)據(jù)可能會(huì)導(dǎo)致最終處理時(shí)失真。其次,數(shù)據(jù)遷移的對(duì)象范圍和規(guī)模要給出預(yù)估,充分利用邊緣化的存儲(chǔ)。再者,自動(dòng)化流程往往比人工干預(yù)要更有效率。涉及到具體的數(shù)據(jù)傳輸加密過(guò)程,可以結(jié)合客戶(hù)端/應(yīng)用加密、鏈路/網(wǎng)絡(luò)加密、代理加密三種模式。其中,第一種是讓數(shù)據(jù)先加密再傳輸,第二種兼顧了硬件和軟件加密方案,第三種則是將加密機(jī)制整合到了應(yīng)用程序中。

結(jié)語(yǔ)

企業(yè)部署云計(jì)算不是一蹴而就,初期部署一些輕量化業(yè)務(wù)上云測(cè)試是必要的。除了要選擇熟悉的云服務(wù)商,還要實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)中心和云端業(yè)務(wù)的運(yùn)行情況,并且在出現(xiàn)問(wèn)題時(shí)迅速?zèng)Q定投入哪些資源來(lái)抵御攻擊。更重要的是,企業(yè)要在隱私和安全性之間找到平衡點(diǎn),運(yùn)用威脅檢測(cè)等算法辨別有效或無(wú)用的流量數(shù)據(jù),只有這樣才能真正的用好云。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)