雲計算風起雲湧，雲安全保駕護航

隨著近現代科技的發展，日益龐大和密集的城市人口，也給城市運營管理帶來了前所未有的壓力，治安、交通、教育、醫療、住房......，問題層出不窮。 城市該何去何從？ 綠色、低碳、迴圈、安全、友好、智慧的城市將是這一切問題的答案。

自從「十二五」規劃綱要把雲計算列為重點發展的戰略性新興產業，政府對雲計算的支援力度不斷加大，各地的雲計算中心也如雨後春筍般地建起來。 通俗地說，「雲計算」可以讓我們像使用水電一樣使用IT資源，並讓資訊溝通的效率更高。 而城市雲就像是「自來水公司」，從經濟上講是從自給自足的自然經濟到商品經濟的轉變，計算資源向自來水一樣可以隨意取用，按需付費。 城市雲是面向政府、企業和公眾的城市綜合資訊服務系統，以城市雲計算中心為主要載體，統籌建設和整合區域內分散的硬體、軟體和資料資源，並以一種更加智慧的方法實現資源分享及業務協同，能夠顯著提升城市管理和公共服務能力。

安全問題是雲計算發展的最大障礙，雲計算使用者最關注的也是安全問題。 雖然雲計算採用多種安全措施保證安全性，但由於系統中涉及到的資訊很多都是的企業、政府或者個人的機密、私密資訊，對資料的安全性要求就更高。

什麼是雲安全

中國的同一個詞彙往往會有很多種解釋，所謂仁者見仁智者見智。 同樣，雲安全也存在兩種聲音。 雲安全：為雲計算創造一個安全的運行環境；安全雲：將安全作為一種服務提供給使用者。 兩種不同的聲音代表了目前百家爭鳴的情況，無所謂對與錯，都代表了一定的需求。

在成都、上海等幾個城市的雲計算中心，運營團隊對雲安全的期望不一而同。 首先，他們非常希望能夠解決雲計算自身的安全問題，因為這是關係到雲計算中心能否繼續運營下去的關鍵所在。 政府作為目前城市雲計算中心的主要客戶，希望將城市資訊化中的所有應用都放到城市雲計算中心，統一運營、統一管理，但是前提條件就是城市雲計算中心要符合國家公安部等級保護三級的規範要求。 雖然等級保護是對資訊化系統的一般性要求，但是雲計算中心首先是資訊化系統，然後才是雲計算中心。 所以，在城市雲建設中，甚至在一些政府、軍隊等雲計算中心的建設中，等級保護的要求是必不可少的。

其次，城市雲計算中心的運維人員非常希望能夠擴大運營收入的來源，如果能夠把安全作為一種服務提供給使用者，那麼城市雲計算中心也算是找到了新的盈利模式。 這種模式可以仿照現在的移動運營商，可以為使用者定制各種套餐，不同的使用者類型可以選擇不同的安全增值套餐：基本增值服務包適合中小型公司資訊服務，如門戶、郵件系統；高級增值服務包適合中型電子商務網站，如門戶、辦公OA等系統 ；VIP增值服務包適合大型電子商務網站。

服務內容

基本增值服務包

高級增值服務包

VIP增值服務包

防火牆

√

√

√

防病毒、蠕蟲

 

√

√

防網頁篡改

   

√

防攻擊（DDOS）

√

√

√

防木馬、釣魚

 

√

√

URL過濾

√

√

√

流量分析報表

 

√

√

異常告警

√

√

√

漏洞掃描和補丁修補

   

√

應用負載

 

√

√

P2P限流

   

√

雲安全的定位

面對雲安全與安全雲，我們先做哪一個？ 魚與熊掌孰重孰輕？ 保證雲計算環境自身安全還是提供安全的服務？ 在面對如何選擇的時候，我們可以參考一下傳統行業類似的作法。

以銀行業為例，例如招商銀行，它為使用者提供保管箱服務。 在這裡保管箱服務就屬於一種安全服務，類似于提供雲安全服務。 我們不難看出，銀行為了提供保管箱服務，首先要先建設一個安全的銀行網點：需要安裝防盜系統、報警系統；建設完善的身份認證系統，可能需要指紋識別；制定相應的管理制度，防止內部安全事件的發生，同時不對外洩露使用者的個人資訊。 這些相關的安全措施做到位，使用者才能夠把錢存入這個銀行。 銀行能夠長期穩定、安全的運營，使用者才會根據自己的需要申請使用更高級的保管箱業務。

同樣，我們可以將這個過程引入到雲安全的發展過程中，首先我們要建設一個安全的雲計算環境，引入各種安全措施和安全管理制度，創造一個安全的運行環境，提供給使用者一個可信賴的計算環境。 當使用者已經對雲計算中心有一定的瞭解和認識，並且能夠信任雲計算中心這種模式，才可以購買各種安全服務增值產品。

所以，雲安全的發展也可以參考銀行業的模式，先解決雲計算中心的安全問題，再發展雲安全服務的問題。

雲安全的特點

千里之行，始於足下。 雲計算是個新生事物，雲安全是伴隨雲計算的出現而逐漸被重視起來的。 那麼，雖然雲計算正處於百花齊放的年代，但是無論如何雲安全的發展也是要一步一個腳印。

雲安全最符合木桶原理，最短的板決定了它的能力。 我們可以假設有一個雲計算中心，為了保護使用者的資料安全，使用了非常強大的身份認證系統，任何駭客都不能盜取使用者的資料。 但是，這個雲計算中心的機房沒有門禁系統，也無人看守，任何人都可以隨意出入，那麼即便使用了多麼好的認證體系保護使用者的資料，使用了多麼高級的網路隔離措施，「小偷」依然可以毫不費力地進入機房把硬碟直接拔走。 因此，雲安全要求是一個整體的安全，而不是某一個點的安全或者某一個面的安全。

對待雲計算中心，首先應該把它看成是一個資訊系統，然後才是雲特徵的應用。 傳統的資訊系統需要進行哪些安全防護呢？ 讓我們來看一看公安部等級保護對資訊安全的要求：

做好物理安全防護，做好各種防火、防水、防竊措施； 做好網路安全措施，檢測各種網路攻擊行為，並有效進行阻斷和防護； 做好主機安全防護，保證主機能夠抵禦惡意程式碼的攻擊； 做好資料安全保護，不同使用者的資料能夠得到有效保護， 防止使用者資料洩露； 做好應用安全措施， 做好應用的身份鑒別、存取控制和安全審計等措施； 做好安全管理，制定完善的管理制度和安全的運維流程，保證雲計算中心能夠正常運行，應對各種突發事件。

對於雲計算本身，除了具有傳統資訊系統的特點外，還有一些新的特徵。 而這些新的特徵是否被考慮到雲安全中去，也同樣決定了一個雲計算中心是否做到了全面的安全。

雲計算的一個特徵就是虛擬化，在同一台物理機內部有多個虛擬機器。 那麼如何對虛擬機器之間的通信進行監控，如何對流量進行控制，如何做到虛擬機器之間的隔離。 這些問題涉及到了傳統的網路結構如何在虛擬化環境中實現，以及傳統的網路安全設備如何虛擬化的問題。

雲計算的這些新的特徵在公有雲中尤其突出，因為在公有雲中，一些小的租戶往往租用一個或少量虛擬機器，這時候就容易出現同一台物理機內部有多個租戶的情況。 怎樣對這些租戶進行網路隔離，進行流量和存取控制，做到完整的審計鏈，是雲計算環境中新的問題。

雲安全的體系架構

為了達到對雲計算中心的整體安全防護，需要「安全標準」、「安全技術」和「安全管理」三者「立體式」的防護體系。 以「等級保護」、「ISO27000」和「CSA雲安全指南」三者為指導標準，以「身份認證」、「資料保護」和「網路安全」為安全防護技術，融合相應的傳統及虛擬安全產品，同時結合「安全審計」、「運維監控」和「合規性審查」 等安全管理措施，提供一套雲安全整體解決方案。

「等級保護」和「ISO27000」是對資訊系統基本安全防護的一般性要求，「CSA雲安全指南」是對雲計算環境下新的安全特徵的指導性要求，把這兩方面標準進行結合，作為整體雲計算安全的體系指導，能夠保證安全的完整性， 並做到安全真正落地。

拋開安全標準不談，整體的雲安全體系應該包括「產品」、「技術」和「管理」三個方面。 「產品」是指安全產品，包括雲計算中心需要用到的各種安全產品，如防火牆、CA、入侵偵測、漏洞掃描等；還包括一些針對雲計算特徵的安全產品，如虛擬防火牆、虛擬IDS/IPS等。 這些產品解決了雲計算中心的一些或者某幾個安全點，比如堡壘機解決了雲計算中心運維過程中的單點登錄問題，指靜脈認證解決了雲計算中心運維過程中生物識別身份認證問題。

這些安全產品從身份、資料、網路等角度解決了雲計算中心的安全問題，但是任何一個產品都是獨立的。 傳統的資訊化系統可能只需要維護一套或者很少的安全產品，如防火牆、行為審計等。 但是虛擬化的網路安全產品，隨著使用者數量和網路拓撲結構的變化，虛擬網路安全產品的數量可能會有大幅度的變化。 面對數量如此眾多的產品，如果每個產品逐一進行手動設定、管理，維護，不僅是一項不可能完成的任務，而且也可能會由於一時的疏忽導致安全產品沒有生效。 如果要對數量龐大的安全產品進行管理、維護，就需要通過「技術」的手段予以整合，使這些安全產品能夠真正起到安全的效果。

除了對各種安全技術和安全產品，安全管理也非常重要，正所謂「三分技術、七分管理」，更加突出的是管理層面在安全體系中的重要性。 安全管理是保障安全技術手段發揮具體作用的最有效手段，建立健全安全管理體系不僅是等級保護以及ISO27000中的要求，也是作為一個安全體系不可或缺的重要組成部分。 因為如果只有相應的安全技術和產品，而沒有相應的管理，是不能達到所需的安全要求的。 就像是採購了防火牆產品，但是並沒有根據業務需要設置相應的規則，或者沒有隨著業務的改變而改變相應的規則，也不能達到需要的安全級別，所以運維管理在雲計算中心的日常工作中就顯得格外重要。

雲安全的未來發展

雲計算的安全問題涉及到的面很廣，是一個系統問題，需要從標準、產品、技術、管理等多個維度協同設計和建設。 隨著雲計算的發展，會有很多新的雲安全問題不斷顯現，相應的安全標準也會逐漸完善，雲安全的架構或者內容也可能會隨之進行調整。 安全體系不僅要符合相應的標準，也要滿足雲計算中心的實際需要，才能夠使一直飄忽不定雲安全真正的落地。

作者：天地匯雲系統與運營總監 石旭

(責任編輯：呂光)