在云棧的較低層，云安全問(wèn)題與云計(jì)算時(shí)代來(lái)臨之前一模一樣。云平臺(tái)需要的安全只是操作系統(tǒng)的安全——避. . .
在云棧的較低層，云安全問(wèn)題與云計(jì)算時(shí)代來(lái)臨之前一模一樣。云平臺(tái)需要的安全只是操作系統(tǒng)的安全——避免切入其他執(zhí)行會(huì)話或竊取數(shù)據(jù)的惡意代碼等等。
來(lái)自國(guó)外媒體消息，Thoran Rodrigues提出了關(guān)于云安全的討論并推翻了共同合作實(shí)現(xiàn)全面安全策略的三個(gè)必要元素。
云計(jì)算的安全問(wèn)題是公司也是用戶最關(guān)心的話題之一。云安全的問(wèn)題要比簡(jiǎn)單地“云計(jì)算安全與否”要復(fù)雜得多。一個(gè)云計(jì)算應(yīng)用程序可以托管在一個(gè)數(shù)據(jù)被適當(dāng)加密的安全環(huán)境里，但是攻擊者仍能通過(guò)社會(huì)工程訪問(wèn)到您的信息。另一方面，你可以擁有世界上最安全的密碼保護(hù)方式，但是一旦托管環(huán)境被攻擊，你仍會(huì)丟失數(shù)據(jù)。任何試圖解決今天存在的云安全問(wèn)題的合適方式都必須涉及安全問(wèn)題的三個(gè)方面：技術(shù)、過(guò)程和責(zé)任。另一個(gè)需要考慮的的重要因素則是這三者的細(xì)節(jié)和關(guān)鍵點(diǎn)互相緊密聯(lián)系，要進(jìn)行更改取決于我們所處的云棧位置。無(wú)論是對(duì)云平臺(tái)的安全水平要求上，還是在云基礎(chǔ)結(jié)構(gòu)的構(gòu)建上，創(chuàng)建安全的云軟件要求是十分不同的。
技術(shù)第一步就是要使用適當(dāng)?shù)募夹g(shù)來(lái)保障應(yīng)用和數(shù)據(jù)的安全。“適當(dāng)?shù)募夹g(shù)”在很大程度上取決于我們談?wù)摰脑茖臃N類。對(duì)于云應(yīng)用而言，安全可以很簡(jiǎn)單，只需部署合適的安全證書(shū)并進(jìn)行加密。所有敏感信息需要被正確地加密，這樣可以使得當(dāng)攻擊者進(jìn)入你的系統(tǒng)時(shí)，他所盜取的信息仍需解密才能使用。但僅僅有加密密碼是遠(yuǎn)遠(yuǎn)不夠的：如你所知，人們常常使用生日日期作為密碼，同樣也對(duì)這樣的密碼加密。技術(shù)應(yīng)該盡可能地保護(hù)用戶免受其害。
這個(gè)空間里有一個(gè)十分有趣的解決辦法就是Porticor的虛擬專用數(shù)據(jù)。它的實(shí)質(zhì)是一個(gè)加密層，這個(gè)加密層被透明地安置在任何一個(gè)個(gè)云數(shù)據(jù)存儲(chǔ)區(qū)的頂部并執(zhí)行動(dòng)態(tài)數(shù)據(jù)的加密解密，如：獲取訪問(wèn)數(shù)據(jù)。我建議，如果你對(duì)云計(jì)算應(yīng)用程序有興趣，不妨看看他們的解決方案。
在云棧的較低層，云安全問(wèn)題與云計(jì)算時(shí)代來(lái)臨之前一模一樣。云平臺(tái)需要的安全只是操作系統(tǒng)的安全——避免切入其他執(zhí)行會(huì)話或竊取數(shù)據(jù)的惡意代碼等等。在基礎(chǔ)結(jié)構(gòu)層中，安全不僅需要維護(hù)虛擬化的環(huán)境也需要保障人身安全。幸運(yùn)的是，大多數(shù)頂級(jí)的云端基礎(chǔ)架構(gòu)供應(yīng)商已經(jīng)具備了很強(qiáng)的安全意識(shí)，正在減少來(lái)自這一方面的危險(xiǎn)。
程序如果一個(gè)攻擊者打電話給你的接待員，并利用她的網(wǎng)絡(luò)管理員密碼在你的公司網(wǎng)絡(luò)上安裝了惡意代碼，那么所有的技術(shù)都不能拯救你了。在使用云技術(shù)的案例中，這種可能的確真實(shí)存在于私人網(wǎng)絡(luò)中，而這樣的情況則不會(huì)發(fā)生在一家大型的企業(yè)里，發(fā)生在數(shù)量驚人的中小型企業(yè)里倒是有可能。
舉個(gè)例子，如果一個(gè)公司正在使用來(lái)自Rackspace的Windows云服務(wù)器，它會(huì)采用一個(gè)相當(dāng)復(fù)雜的密碼和已經(jīng)激活的自動(dòng)更新的防火墻等等。——很多時(shí)候，人們?cè)谠O(shè)定密碼時(shí)為了方便記憶，常常會(huì)采用諸如“password”，“Pass1234”之類的密碼。(因?yàn)橐粋€(gè)安全密碼必須要包含大寫(xiě)字母和數(shù)字)——并會(huì)創(chuàng)建一個(gè)不受保護(hù)的，鏈接到服務(wù)器的FTP通道，“僅僅是為了復(fù)制少量信息”。它的初衷是成為一個(gè)安全服務(wù)器，但現(xiàn)在卻變成了岌岌可危的安全漏洞。擁有合適的安全工具是遠(yuǎn)遠(yuǎn)不夠的。公司需要建立起一個(gè)能將這些工具付諸實(shí)踐的過(guò)程。
公司還低估了將正確的信息安全政策通知給全體員工的重要性。當(dāng)公司里的每個(gè)人都擁有安全意識(shí)的時(shí)候，真正的安全才能更快到來(lái)。安全的進(jìn)程并不始于技術(shù)，而在于人，適當(dāng)?shù)摹⒊掷m(xù)的交流是根本。
責(zé)任到目前為止，我們談?wù)摰降倪@兩個(gè)方面都十分常規(guī)。然而，云應(yīng)用需要有比傳統(tǒng)的內(nèi)部應(yīng)用程序更強(qiáng)的安全意識(shí)，這項(xiàng)技術(shù)的發(fā)展需要相當(dāng)標(biāo)準(zhǔn)的附加安全。對(duì)于云安全服務(wù)器，同樣如此。論及責(zé)任，云安全和傳統(tǒng)安全有著巨大的差別。當(dāng)一個(gè)公司發(fā)展傳統(tǒng)的軟件時(shí)，IT知道它的責(zé)任。數(shù)據(jù)中心運(yùn)作和控制著軟件，然而任何可能都會(huì)發(fā)生——數(shù)據(jù)被盜，服務(wù)器被攻擊等等。這就是他們的責(zé)任。自從IT對(duì)環(huán)境有了完全的控制權(quán)，他們就自然而然地?fù)?dān)負(fù)起了這樣的責(zé)任。
當(dāng)這一切放在云計(jì)算上，IT部門就會(huì)失去對(duì)環(huán)境的控制。這很好理解。接著，他們不愿意為即將發(fā)生的問(wèn)題負(fù)責(zé)。有明確的責(zé)任分工可以有助于：托管供應(yīng)商需要確保安全的基礎(chǔ)平臺(tái)(虛擬化層、人身安全等等)。其余部分的責(zé)任將落在客戶身上。但是這還不夠。供應(yīng)商需要提供風(fēng)險(xiǎn)保障，了解內(nèi)部IT部門的來(lái)歷并改善關(guān)系，減輕他們的焦慮。
綜述這些方面的因素都需要放在一起考慮，否則我們就得承擔(dān)創(chuàng)建一個(gè)比現(xiàn)在更復(fù)雜的環(huán)境的風(fēng)險(xiǎn)。某種程度上說(shuō)，通過(guò)提供福利或者讓常規(guī)的安全管理自動(dòng)化，云有能力讓一切變得更安全。另一方面，數(shù)據(jù)集中在少有的幾個(gè)服務(wù)提供商手里能增加項(xiàng)目的吸引力，增加這些公司的責(zé)任感。
不是僅關(guān)注技術(shù)，程序或是合同某一項(xiàng)，就可以消除云的安全隱患，每個(gè)關(guān)心云計(jì)算的人都應(yīng)該看到整個(gè)安全方案而不是某個(gè)環(huán)節(jié)。
（來(lái)源：IT專家網(wǎng)）
