隨著云計(jì)算成為企業(yè)開(kāi)展業(yè)務(wù)的一種基礎(chǔ)技術(shù)，云安全已變得至關(guān)重要。然而，充分了解云安全的最佳策略是一個(gè)真正的挑戰(zhàn)。

企業(yè)需要解決以下問(wèn)題：

• 為什么專(zhuān)注于特定于云計(jì)算的網(wǎng)絡(luò)安全是一個(gè)錯(cuò)誤?
• 在云中管理可見(jiàn)性有哪些挑戰(zhàn)?
• 如何減少云安全中的人為錯(cuò)誤?
• 企業(yè)如何構(gòu)建即使在基礎(chǔ)設(shè)施發(fā)生變化時(shí)仍可確保云安全?

為了提供有關(guān)云計(jì)算安全性的見(jiàn)解， Tanium公司北美地區(qū)首席信息安全官Chris Hallenbeck對(duì)此進(jìn)行了探討。

云存儲(chǔ)和備份的好處

保護(hù)企業(yè)數(shù)據(jù)絕對(duì)至關(guān)重要，這就是許多企業(yè)在其云存儲(chǔ)中使用自動(dòng)備份的原因。它具有可擴(kuò)展性、靈活性、可讓企業(yè)高枕無(wú)憂。

1. 如何定義云安全性?

Hallenbec 說(shuō)，“對(duì)于云平臺(tái)的安全，云計(jì)算提供商需要自己負(fù)責(zé)底層基礎(chǔ)設(shè)施的安全。這只是一個(gè)自動(dòng)的假設(shè)，因?yàn)檫@是他們的管理領(lǐng)域，而用戶(hù)在云平臺(tái)負(fù)責(zé)數(shù)據(jù)的處理和保護(hù)。

最好假設(shè)用戶(hù)負(fù)責(zé)將數(shù)據(jù)傳輸?shù)皆浦械乃蟹矫妫缭谠破脚_(tái)上處理、存儲(chǔ)、傳輸數(shù)據(jù)，以確保這些事情的安全。不同的云計(jì)算提供商對(duì)于用戶(hù)可以設(shè)置不同級(jí)別的控制和可見(jiàn)性。人們可能看到很多關(guān)于研究人員發(fā)現(xiàn)Amazon S3存儲(chǔ)桶泄露的新聞。

這最終取決于將數(shù)據(jù)放入云中以確保安全的組織。這是理解這一點(diǎn)的關(guān)鍵，因?yàn)樗c任何其他計(jì)算機(jī)系統(tǒng)都沒(méi)有區(qū)別。用戶(hù)需要負(fù)責(zé)數(shù)據(jù)的傳輸安全，硬盤(pán)存儲(chǔ)安全，并牢記這些，看看云計(jì)算提供商提供了哪些工具來(lái)更有效地保護(hù)這些東西。

其訣竅在于，云計(jì)算提供商是否有義務(wù)告訴用戶(hù)，他們的基礎(chǔ)設(shè)施中是否發(fā)生了不涉及直接破壞數(shù)據(jù)的事件?而且，他們的合同可能沒(méi)有這樣的義務(wù)。這是否意味著在他們的基礎(chǔ)設(shè)施中的任何地方都沒(méi)有入侵者?

我要說(shuō)的是，僅僅考慮到這些實(shí)體的龐大規(guī)模，它們?cè)谀硞€(gè)時(shí)候一定會(huì)遭到一些入侵。它只是不一定達(dá)到這個(gè)閾值，并通知受害者。而且這些云計(jì)算提供商確實(shí)有很強(qiáng)的動(dòng)力來(lái)維持其基礎(chǔ)設(shè)施的高安全標(biāo)準(zhǔn)。

因?yàn)檫@一切都是為了企業(yè)的信譽(yù)。如果AWS公司表示他們的云平臺(tái)有漏洞，然后說(shuō)這么做是出于非常謹(jǐn)慎的考慮，他們決定要比其他提供商都更主動(dòng)，所有其他競(jìng)爭(zhēng)對(duì)手都會(huì)說(shuō)，‘用戶(hù)還是采用我們的云平臺(tái)，因?yàn)锳WS云平臺(tái)有漏洞。’因此，存在一些市場(chǎng)激勵(lì)措施，可能會(huì)促使服務(wù)提供商對(duì)此有所分歧。但總的來(lái)說(shuō)，我看到他們所有人都堅(jiān)定地承諾保護(hù)他們的基礎(chǔ)設(shè)施。”

2. 為什么專(zhuān)注于特定于云計(jì)算的網(wǎng)絡(luò)安全是一個(gè)錯(cuò)誤?

Hallenbeck說(shuō)，“現(xiàn)實(shí)是大多數(shù)組織仍然采用混合部署的基礎(chǔ)設(shè)施。它們?cè)谝欢螘r(shí)間內(nèi)仍將是混合的，這意味著它們具有一定數(shù)量的數(shù)據(jù)在內(nèi)部部署數(shù)據(jù)中心處理，它們?cè)谠破脚_(tái)中的數(shù)量越來(lái)越大，并且數(shù)據(jù)經(jīng)常在這些環(huán)境之間流動(dòng)。

因此，人們必須了解這些情況，并且不會(huì)這樣說(shuō)，‘我們要采用云計(jì)算戰(zhàn)略，因此，我不必?fù)?dān)心或?qū)Ｗ⒂跒閿?shù)據(jù)進(jìn)行安全性保護(hù)。’這些數(shù)據(jù)將會(huì)存在很長(zhǎng)一段時(shí)間。這是巨大的機(jī)會(huì)損失，因?yàn)橛脩?hù)沒(méi)有重新分析正在處理的數(shù)據(jù)類(lèi)型，如何保護(hù)它們，并可能重新構(gòu)建它們，以利用云計(jì)算提供的功能更好、更有效，更安全地處理它們。如果所要做的只是移動(dòng)數(shù)據(jù)，那么就將過(guò)去的決定帶到了新事物上。

因此，看到許多企業(yè)首先使用云計(jì)算技術(shù)的原因，這只是意味著，作為一個(gè)新項(xiàng)目，正在考慮一種新的服務(wù)產(chǎn)品，請(qǐng)立即將其放在云平臺(tái)中而不是在內(nèi)部部署數(shù)據(jù)中心構(gòu)建，然后再考慮遷移。通過(guò)深思熟慮的遷移計(jì)劃，可以將舊內(nèi)容以新形式遷移到云平臺(tái)中。”

3. 在云中托管可見(jiàn)性如何?然后定義托管可見(jiàn)性

Hallenbeck說(shuō)，“需要知道這些云計(jì)算環(huán)境中存在什么。例如考慮可以多快地在云平臺(tái)中啟動(dòng)資源，只需單擊幾下鍵盤(pán)，也許在一兩分鐘之后，就可以使用云計(jì)算資源。現(xiàn)在，當(dāng)用戶(hù)執(zhí)行此操作時(shí)，無(wú)法了解所生成的內(nèi)容。因?yàn)樗苋菀状蜷_(kāi)，所以很容易有人忘記將它關(guān)閉。

而且，用戶(hù)在虛擬化環(huán)境中的部署時(shí)間最長(zhǎng)。在過(guò)去的日子里，需要購(gòu)買(mǎi)物理硬件，必須削減采購(gòu)訂單，將其裝運(yùn)，有人接收，并在上面貼上條形碼，然后將其數(shù)據(jù)輸入到資產(chǎn)管理數(shù)據(jù)庫(kù)中，然后將其放入數(shù)據(jù)中心的機(jī)架中，所有這些步驟使人們可以從訂購(gòu)開(kāi)始到整個(gè)過(guò)程的結(jié)束進(jìn)行跟蹤。

然后，在內(nèi)部部署數(shù)據(jù)中心實(shí)施虛擬化，開(kāi)始使虛擬機(jī)得以激增，這毫不費(fèi)力地啟動(dòng)某些事情，而事實(shí)上，云計(jì)算使它幾乎變得更容易實(shí)現(xiàn)。在內(nèi)部部署數(shù)據(jù)中心，用戶(hù)仍然擁有固定數(shù)量的CPU，因此可能會(huì)超額訂閱，并開(kāi)始注意到也許用戶(hù)正在不斷擴(kuò)展的云平臺(tái)中獲得一些技巧。

它可以擴(kuò)展以滿足用戶(hù)需求。因此，需要知道那里有什么以及實(shí)際使用的頻率。能夠跟蹤這些事物顯然具有成本優(yōu)勢(shì)，但是從安全角度來(lái)看，用戶(hù)仍然有責(zé)任修補(bǔ)那些在云計(jì)算基礎(chǔ)設(shè)施之上的系統(tǒng)。因此，用戶(hù)仍然需要知道它們的存在以及它們當(dāng)前的補(bǔ)丁級(jí)別。”

4. 如何減少云安全中的人為錯(cuò)誤因素?

Hallenbeck說(shuō)，“因此，許多云計(jì)算基礎(chǔ)設(shè)施都提供了自動(dòng)化功能。因此，當(dāng)用戶(hù)啟動(dòng)一個(gè)新資源時(shí)，實(shí)際上可以構(gòu)建一個(gè)模板，并且始終如一，當(dāng)用戶(hù)創(chuàng)建一個(gè)新的資源時(shí)，它已經(jīng)按照其標(biāo)準(zhǔn)建立了。這樣就輕松多了。從理論上講，像容器這樣的東西會(huì)讓事情變得更容易。

這是一個(gè)有趣的領(lǐng)域，我看到很多企業(yè)陷入了陷阱。他們認(rèn)為容器是解決補(bǔ)丁程序管理或其他問(wèn)題的一種解決方案，因?yàn)椋坏┻\(yùn)行一個(gè)新的容器，就將提供最新和最偉大的東西。容器是一個(gè)非常短暫的東西，它會(huì)很快運(yùn)行，也會(huì)根據(jù)需求迅速關(guān)閉。

事實(shí)上，我看到很多組織都在這樣做，它們幾乎像普通的虛擬機(jī)一樣運(yùn)行起來(lái)，它們可能會(huì)持續(xù)數(shù)小時(shí)、數(shù)天或數(shù)月。因此，通過(guò)容器工作的一些潛在好處并不一定能實(shí)現(xiàn)。”

5. 構(gòu)建云模板如何幫助云安全?您對(duì)云安全的未來(lái)發(fā)展有何看法?

Hallenbeck 說(shuō)，“模板化就是一切。只要用戶(hù)具有一致的配置，就可以處于更好的狀態(tài)，然后還可以在不同的提供程序之間進(jìn)行切換。如果做對(duì)了，并且可以導(dǎo)出這些模板，則可以在不同的提供程序之間移動(dòng)，并且仍然可以使用相同的基本配置。

就未來(lái)的發(fā)展而言，我們看到了更多的靜態(tài)數(shù)據(jù)加密能力。諸如此類(lèi)的事情變得越來(lái)越容易。我認(rèn)為我們已經(jīng)看到提供商開(kāi)始引入更多的安全性功能，但隨后就像在其管理用戶(hù)界面中的某個(gè)運(yùn)行狀況檢查選項(xiàng)一樣執(zhí)行此操作，如果啟用這些功能可能會(huì)更安全。

因此，最初的幾次迭代主要是根據(jù)需求添加功能，然后云計(jì)算提供商說(shuō)，‘'無(wú)論需求如何，都需要添加這些其他功能。’然后，現(xiàn)在人們意識(shí)到，不確定這些功能是否存在，或者為什么需要啟用它們，所以必須有一種識(shí)別它的方法。

現(xiàn)在更多的是，確實(shí)需要生產(chǎn)它們并逐步實(shí)現(xiàn)這些功能。在這些配置中，在默認(rèn)情況下將使人們進(jìn)入越來(lái)越安全的狀態(tài)，這將是持續(xù)的改進(jìn)。

在某些情況下，不能像靜態(tài)數(shù)據(jù)中的某些加密一樣只是打開(kāi)它們，在某些方面，或者一個(gè)很好的例子實(shí)際上是數(shù)據(jù)庫(kù)中的原始級(jí)加密。用戶(hù)必須構(gòu)建程序來(lái)實(shí)際利用這些功能，但是必須知道該功能存在，并且必須提示使用它。而且我認(rèn)為提供商在推出此功能方面將會(huì)做得更好。”