保衛雲端：雲計算時代的安全視角

上世紀80 年代起的桌面電腦、互聯網革命，以技術進步為前導激發人民的潛在需求，創造出來更多的市場和商業模式，成就了微軟、甲骨文、Sun和雅虎等公司。 如今物聯網、雲計算、三網融合已經成為最常被提及的三個關鍵字，這三個熱門領域從技術層面和業務層面給產業帶來了全新的變革。

繼個人電腦、互聯網變革之後，2010年，雲計算被看作第三次IT浪潮，它成為了中國戰略性新興產業的重要組成部分。 它將帶來生活、生產方式和商業模式的根本性改變，是當前全社會關注的熱點。

隨著Google、亞馬遜、Salesforce的巨大成功，人們對雲計算的質疑聲越來越少、越來越弱，雲計算作為IT發展的下一個關鍵方向已經基本得到了確認。 雲計算如此高效，正讓整個IT行業發生變革，然而相應的安全性問題也隨之進入了使用者的視角。

雲計算的商業價值

雲計算的商業價值正在被迅速證明，Amazon早在2006年就開始提供無合同的即用即付計算服務，所有使用者需要的僅僅是一張信用卡和點幾下滑鼠，就可以隨心所欲地選擇需要的軟體。

有分析師稱，雲計算意味著企業計算模式的巨變。 Gartner預測，到2013年，雲計算的產值將達1501億美元。

IDC報告顯示，全球2009年第三季度的伺服器銷售量上升了13.2%。 2009至2014年的虛擬伺服器年複合成長率(CAGR)達到14%。 在一些成熟市場，資料中心採用虛擬化技術已經成為主流趨勢;此外，新興市場的中企業在迅速增加伺服器投資的同時也日益關注資料中心效率的提升。 由此，IDC預測伺服器虛擬化的強勁增長趨勢將持續至2014年。 同時，隨著越來越多的企業採用虛擬伺服器，企業將尋求能夠保護虛擬化主機、虛擬化監管程式 (hypervisor) 並且能有效防禦惡意軟體與駭客攻擊的虛擬伺服器安全解決方案。

Qualys的首席執行官和雲安全聯盟的創始成員Philippe Courtot，不但瞭解雲計算的潛力，也瞭解實施工作帶來的挑戰。 他說：今天，雲計算憑藉各種供應商提供更高的服務水準和提供給關鍵業務應用的平臺，已經在企業中獲得了巨大的動力。 雲計算的概念很簡單，這意味著大量的計算資源，包括硬體、關鍵業務資料和應用，駐留在企業以外的地方，在雲端，可以很容易地通過一個網頁瀏覽器訪問。 這提供了很多好處，從較低的硬體、軟體和服務成本開支，到節約電費成本，以使員工廣泛地通過多種設備從遠端獲得應用。

雲計算所帶來的另一個趨勢變化莫過於雲所帶來的資訊安全企業本身的業務模式改變。 業界普遍的看法是，雲計算不僅僅是受保護的物件，亦是新型安全服務的承載者，基於雲計算的安全服務必將徹底顛覆固有的安全防護思維。

安全是雲計算的核心問題

隨著資料中心不斷整合，以及虛擬化、VDI、雲端運算應用程式的興起，越來越多的運算效能與資料都集中到資料中心和伺服器上。 不論企業選擇的是物理或虛擬伺服器，將資料存儲在企業資料中心內部或存放在雲端，用於存放核心商業資料的伺服器及資料本身，都需要安全保護。

在IDC的一次關於「您認為雲計算模式的挑戰和問題是什麼」的調查中，安全以74.6%的比率位居榜首，可見安全問題是人們對雲計算最大的擔心。

趨勢科技首席執行官陳怡樺認為：「雲計算的日益普及已經使越來越多的雲計算服務商進入市場。 隨著在雲計算環境中存儲資料的公司越來越多，資訊安全問題成為大多數的IT專業人士最頭疼的事情。 事實上，資料安全已經是考慮採用雲基礎設施的機構主要關注的問題之一。 」

在雲計算產業發展中，政府使用者關注的核心聚焦在資料安全、雲計算的標準建設及產業生態系統打造等方面;企業在部署雲計算服務時，更注重雲的安全性、雲服務提供者的運營經驗及現有的成功案例等要素;消費者在選購雲服務時， 對雲供應商的口碑、使用者數量和一致性體驗表現出了特別的關注。

賽迪顧問認為，中國雲計算的產業化快速發展尚存在如使用者認知不足、標準缺失、資料主權爭議、可用性穩定性擔憂、使用者鎖定、服務品質難以規範等諸多障礙。 其中，標準和安全這一對「翅膀」以及相關法律法規的完善是最為核心，也是最迫切需要解決的核心問題。

安全問題能否解決是關係到雲服務能否得到使用者認可的關鍵要素。 除了可能發生的大規模計算資源的系統故障外，雲計算安全隱患還包括缺乏統一的安全標準、適用法規以及在使用者的隱私保護、資料主權、遷移、傳輸安全、災備等方面存在問題。 中國的雲計算產業發展必須在資料加密、遷移、備份以及位置控制方面進行深入的研究，保證雲服務的易用性、可用性、穩定性、安全性。 安全問題的解決還包括雲計算相關法律法規的不斷完善，比如在資料隱私保護、資料主權歸屬、服務協定保障、服務商資質認定等方面規範的制定都將為雲計算產業的發展奠定堅實的基礎，增強使用者使用雲計算的信心，讓他們願意為雲計算付費。 也唯有如此，才會有更多的雲應用服務商實現雲上的盈利，從而開發更多的應用，實現產業的良性迴圈和可持續發展。

SuccessFactors公司雲計算服務部門副總裁Tom Fisher表示：「SuccessFactors資料中心儲存了3000多名客戶和超過600萬使用者的重要業務執行資訊，這使得安全性已成為關係運營成功的核心問題。 」

投資到雲計算安全領域

2009年2月，Google Gmail 郵箱中斷服務長達4小時。 這次故障可能是由於位於歐洲的資料中心進行例行維護，使得歐洲另一個資料中心超載，並波及到其他的資料中心，最終使Google Gmail 郵箱發生全球性的服務中斷。 2009年3月中旬，微軟的Azure停止運行約22個小時。 2008年亞馬遜公司S3服務曾斷網6小時。

雲計算服務自身的安全隱患隨著應用的不斷深入逐漸暴露出來。 儘管雲計算可以使商業使用者和個人使用者獲得很多好處，但當使用者開始使用雲計算服務時，就會出現很多安全問題。

在使用雲計算的時候，最先考慮的是如何解決雲計算的安全性問題，這些問題已經被逐漸具體化，同時在VMware虛擬機器保護、遠端接入及終端資料防護方面已經出現了有針對性的解決方案，同時通過大型企業來運行專業的雲計算服務， 實現雲計算服務的可靠性、可用性和安全性。

雲計算的安全性主要通過依靠安全性原則以及服務提供者的更高級別的技術手段和政府的法制法規來實現。 對於分散部署IT系統的中小企業來說，由於資料資訊防護手段不健全，安全成為其最大的隱患。 通過把資料和系統部署在具有更多安全技術手段的雲中，將最小成本實現IT的安全性。

資訊安全已經成為整個IT市場的亮點，各廠家或為了完善產品線獲取新的市場，或者為了促進現有業務的協同發展逐步進入該領域。

微軟、思科、Oracle、EMC、Novell 都已經開發了自己的產品並開始進入這個市場。 而一些傳統的安全廠商，像IBM、CA、賽門鐵克、McAfee、趨勢科技也取得了進一步的發展，安全廠商寡頭壟斷趨勢加劇資訊安全產業進入了新的時代。

使用者的困惑與選擇

隨著資訊技術發展，近幾年各種類型的雲計算和雲服務平臺越來越多地出現在人們的視野中，比如郵件、搜索、地圖、線上交易、社交網站等等。 由於它們本身所具備的便利性、可擴充性、節省成本等各種優點，這些雲計算和雲服務正在越來越廣泛地被人們所採用。

但與此同時，這些「雲」也開始成為駭客或各種惡意組織和個人為某種利益而攻擊的目標。 比如利用大規模僵屍網路進行的拒絕服務攻擊(DDoS)，利用作業系統或者應用服務協定漏洞進行的漏洞攻擊，或者針對存放在「雲」中的使用者隱私資訊的惡意攻擊、竊取、非法利用等，手段繁多。 除此以外，組成「雲」的各種系統和應用依然要面對在傳統的單機或者內網環境中所面臨的各種病毒、木馬和其他惡意軟體的威脅。

使用者在試圖選擇雲安全產品時，卻找不到任何可以依據的標準。 雖然即使在國內市場上，「雲安全」的標籤也隨處可見，包括瑞星、趨勢科技、卡巴斯基、McAfee、Symantec、熊貓、金山、360安全衛士等國內外安全廠商都推出了雲安全解決方案，但是， 對什麼樣的方案才能保護雲浪潮下的企業安全，真正的答案卻始終讓人如墜霧中。

具有諷刺意味的是，在如何理解「雲安全」這一概念上，駭客似乎有著更為清晰的邏輯，並且很快付諸行動。 我們可以看到，駭客利用「雲」中的分散式運算能力，可以更快地破解使用者密碼，可以更高效地通過控制「僵屍網路」實現惡意攻擊，近年來幾次大規模的斷網事件，以及高達十幾倍的分散式阻斷服務攻擊流量的增長，都很好地印證了這一點—— 「 雲安全」所追求的防護理念，正成為駭客肆虐的「兇器」。

雖然我們不能武斷地認定，在運用技術方面，駭客比技術人員進步更快。 但是我們不得不承認這樣一個現實：安全問題正成為企業使用者邁向「雲」時代最重要的一個障礙和挑戰。 因此，雲安全的技術和理念都迫切需要全面的提升與改變。

雲安全能否跳出簡單工具論

「雲安全面臨的困惑，實際上也是安全產業走向下一個轉捩點的契機。 」陳怡樺對記者表示，「新一代的雲安全應跳出簡單‘工具論’，採用新的技術和新的模式，實現真正的雲安全。 」

陳怡樺所指的「工具論」，簡單來說，就是目前眾多殺毒廠商炒作與關注的焦點：怎樣充分利用雲架構，更快更敏銳地獲取病毒與惡意程式的資訊，從而對使用者端實現保護。 這一防護模式的重點，更多的是將「雲」作為一種工具，借其加強企業的防護能力。

雖然這種「雲安全」依然重要，但必須看到那些新的挑戰和主要矛盾，即很多網路犯罪者不再去攻擊使用者的電腦，而是直接攻擊資料中心與雲端本身。 這使得傳統的基於單機版或基於局域網的資訊安全保護方式無法勝任雲安全計算環境的保護，使用者的擔憂和困惑也由此而來。

比如在「雲」時代，企業IT資源的虛擬化日漸普及，而在虛擬伺服器混合的環境，安全及加固標準不同的情況下，一台標準較低的虛擬機器將變成所有分享虛擬器資源的安全性漏洞。 隨著資料中心的不斷擴大，駭客通過攻入這樣一台低防護的虛擬機器，所造成的擴散率和危害性都會大大增加。

此外，像「雲」中企業資料的丟失和洩漏，虛擬化所造成的技術漏洞「共用」，使用者帳戶、服務和身份的冒用等等，都是現階段「雲安全」的真正「痛點」。

換句話說，「雲」本身才是最大的安全隱患。 面對這一問題，趨勢科技2010年在原有的基於雲計算技術架構的安全服務下，提出全新的雲安全3.0的概念，提供新的面向雲計算的安全服務。 也就是從Security From CloudComputing(來自雲計算的防護)到Security For CloudComputing(給雲計算提供防護)。

當然，若想解決「雲安全」的問題，僅僅依靠一個廠商的力量顯然是不夠的。 由於安全的本質是一種對抗，而尋找一塊「短板」，比加長所有的木板要容易得多。 因此，這需要業界聯合起來，組成一個完整的防護系統，共同保護雲計算的安全。 要知道，「雲」不僅是我們的工具，同時也可能成為駭客的「利器」。 正視我們在「雲安全」上的弱勢，不斷提升新的防護技術，而不是以簡單的標籤和概念炒作市場，才是「雲安全」進一步發展的根本之道。

過去一段時間中我們曾聽到多次這樣的話：「我們企業的那些敏感性資料將永遠不會放到雲中。 」當然，這種言論主要針對公有雲而非私有雲。 按照《薩班斯法案》和《健康保險攜帶和責任法案》等相關法律規定，企業提交到雲中的資料必須滿足審計需求。

加州大學伯克利分校電子工程和電腦科學系的Michael Armbrust說：「我們相信建立同現有的各類內部IT環境同樣安全的雲計算環境是不存在任何問題的，靈活地運用加密存儲、虛擬區域網路、網路中介軟體(例如防火牆、包過濾) 等技術就能迅速解決當前已經碰到的一些問題。 」

其實，全球的網路安全公司都在關注雲計算的安全問題，其中趨勢科技是最早提出雲安全概念的企業，作為一個宣導技術領先的公司，它早在幾年前就開始利用雲計算的先進技術和資源來保護使用者，並且在近兩年推出了雲安全1.0和2.0的內容。

一直以來，VMWare是最大的雲服務解決方案企業，不僅在硬體設定、開發框架和應用類型上保持了相對開放性，而且，通過和趨勢科技的合作，為使用者提供最安全的虛擬化架構、介面和認證程式。 這得益于趨勢科技雲安全3.0解決方案為使用者提供的雙重防護方案：雲的防護盾和雲中保險箱。

趨勢科技全球執行副總裁暨大中華區總經理張偉欽認為：「雲安全3.0的出現，不僅是一次技術升級，更是對雲計算環境的一次顛覆，以更完整的方案保護雲計算基礎架構。 」

而國內技術型安全廠商的代表綠盟科技，則在自己的雲安全計畫中還囊括了適用于異常流量清洗的安全雲，這種模式已經在多個運營商骨幹網和都會區網路得到了廣泛的部署。 此次它推出的檢測惡意網站的安全雲將會與異常流量清洗安全雲相結合，從應用及內容安全層面提升使用者的安全體驗。

與以往專注于傳統分治網路安全不同，綠盟科技雲安全計畫基於綠盟科技在入侵防禦、漏洞掃描、掛馬防範、流量清洗等方面的多年的研究能力，結合強有力的計算能力，提供了在大範圍網路環境下根治安全問題的全新思路， 使用者將獲得全新的安全體驗。

鏈 接

抵擋虛擬化過程中的風險

同傳統的IT架構不同，在雲計算當中以對機器的控制和許可權為主的權力結構慢慢從企業下移到服務商。 從傳統架構走向虛擬的架構的雲化過程可以分為三個階段：

第一個階段是伺服器整合。 傳統的方式需要先蓋機房，這要花很長的時間。 將伺服器合併，這是虛擬化的第一步。 伺服器的整合可以減小一些空間，實現節能減排，讓企業更「綠色」。 但是伺服器整合的增加可能會影響到業務的連續性，不一定可以馬上開展業務，因此第二階段桌面的虛擬化就出現了。 第三階段是雲的轉移，這是在更高一個層次上考慮到成本與競爭力。

在整個虛擬化的過程中會存在一些風險。 第一個是系統和資料不可控制。 傳統機器是有固定時空的，雲化以後系統和資料的時空轉移變成不可控的，這是雲化同傳統的最大區別。 第二個風險是虛擬機器之間會相互攻擊。 在虛擬化的那一層，虛擬機器本身是一個作業系統，只要是作業系統就有漏洞。 第三個風險是多台虛擬機器共存時很難控制。 過去為一台機器做防火牆、打補丁都挺容易。 而多台虛擬機器中有的會睡覺，這就給安全控制帶來了很大的麻煩和風險。

在做安全防範時，傳統的做法是一台虛擬機器裡面放一個殺毒軟體，結果多台虛擬機器定時進行掃描會將系統資源全部「吃掉」，這是傳統的堡壘式的防禦。 而在同公有雲連接之後，這個堡壘就消失了。 如何重新設計這個安全架構，是一個很大的挑戰。 而且資料銷毀很難。 由於服務商都會説明備份，一張放到互聯網上圖片被刪掉之後還是可以被查到，隱私得不到很好的保證。 這樣的情況下，公有雲的服務商是否要承擔一定的責任呢?

如何防範上面各個階段的風險?這就需要在雲設計時就要考慮充分。

第一， 一個好的雲要有充分的靈活性，最好的方法是從物理機到雲計算都可以保護。 防護系統的整合，事實上是一種新的安全概念。 一般虛擬的安全系統本身是一台虛擬機器，當其進入到物理機時和系統整合得好，所有的流量先透過虛擬機器再「喂」給其他人，裝一台安全系統就可以達到和裝十套一樣的效果。

第二， 要有全面性，通過加密解鎖的方式保護資料。 對於很多人來說，資料的保密是很重要的，資料的保存者和鑰匙的擁有者一定要分開，這樣問題就不大了。

第三， 實行模組化，許可和應用一個或多個防護模組。

第四，具有開放性，能夠整合和利用VMware的程式介面、產品和技術。 虛擬平臺做整合，所用的資源會比較少。