私有雲安全的尷尬現狀,IDC如何保障安全

私有雲安全的尷尬現狀

一般來說，從現有的IT管理體系過渡到私有雲平臺，大致需要幾個步驟：資料大集中、業務系統整合、IT資源的虛擬化、管理平臺雲化、雲服務提供。 (很多人認為私有雲就是資訊中心的建設，其實資訊中心的虛擬化改造一般是最後兩個階段合併為資訊中心的統一運維管理平臺，而不一定會提供雲服務，因此，不能稱為嚴格意義上的私有雲。 )這個過程中，資源虛擬化是關鍵，因為只有資源都虛擬化管理，才可以談得上動態的調配，才能夠提供彈性服務支撐能力。 哪些資源可以且需要虛擬化管理?計算資源，包括CPU與內容，以及存儲資源、網路資源。 我們注意到，一般都沒有涉及到安全資源。 這不奇怪，因為虛擬化平臺廠家都是先以業務服務實現為主，安全問題大多是放在後邊考慮的。

這就給CIO們出了一個難題：私有雲為企業各個營業單位提供統一服務，不僅僅包括計算資源、存儲資源、網路資源，還應該包括安全資源，如身份認證、病毒查殺、入侵偵測、行為審計等，只分配了計算資源與存儲資源的系統，對使用者來講， 無異于「裸奔」。 私有雲與公用雲不同，公用雲的業務單一，可以建立統一的安全性原則;而私有雲不同業務系統的安全需求差異很大，在一個「雲」內，為不同業務系統提供不同的安全性原則，安全性原則如何部署?部署在哪裡?

雲計算的安全問題一直是業界爭論的熱點，還有個專門的組織CSA(雲安全聯盟)制定了一些指導性意見，但落地都比較困難。 總結起來，雲計算的安全落地有兩方面的難題：

第一，是雲計算系統架構本身的問題。 由於採用了虛擬化的資源管理，使用者業務系統的伺服器不再明確地運行在哪台伺服器上，而是動態漂移的VM(虛擬機器)，不同業務系統的使用者都在一個「大雜院」內進進出出，各個業務系統之間沒有了「邊界」， 如何保證那些不安分的使用者偷窺其他系統的資料，只靠虛擬化作業系統的管理，能夠滿足使用者業務流之間的隔離嗎?且不說虛擬機器逃逸方面的研究，如「藍色藥丸」，傳統的作業系統都是漏洞一堆，虛擬化作業系統的漏洞就會很少嗎? 危害程度可是更大。

第二，是虛擬化作業系統廠商的問題。 目前，能夠提供虛擬化作業系統的廠商不是很多，如VMware、Microsoft、Citrix、Xen、RedHat、方物等。 先說市場份額最大的VMware，是一家與微軟一樣的私有代碼廠商，只提供協力廠商的開發介面API。 VMware提供系統底層的安全介面，如VMSafe，但這個介面目前還沒有對國內的安全廠商開放，也就是說，實現安全部署，只能採購國外的協力廠商安全廠商產品。 其他的廠商，如Xen是開源的，是沒有介面問題，但需要使用者自己的技術力量非常強才可以部署與維護。

一句話：雲內的安全問題是嚴重的，最好的方法，就是安全設備可以如同存放裝置一樣，形成池化的資源池，在使用者申請雲伺服器時，與計算資源、存儲資源一起按需分配給使用者。

但是，就目前安全廠商的現狀，完全達到這個階段還需要一段時間;為了應對過渡時期的私有雲服務運行的安全，我們提出了過渡時期的安全解決方案——「雲朵」方案。

「雲朵」方案的設計思路

在沒有辦法確定多個不同業務系統在一個雲中運行可以做到安全的隔離的情況下，根據不同業務系統的安全需求，把安全需求近似的、服務物件相似的業務系統部署在一個雲內，否則就部署在不同的雲中，這樣在企業中就形成了一個一個的雲朵， 如辦公業務雲、生產業務雲、互聯網服務雲等，或者按照等級保護的級別，分為一級系統雲、二級系統雲、三級系統雲等。

「雲朵」方案設計模型

企業核心網路是「物理」的，不同的業務服務雲朵連接在核心網路上，每個雲朵內部有自己的雲朵管理中心，負責雲朵內的計算、存儲、安全資源管理;企業使用者分為虛擬終端(如運行虛擬桌面的「傻終端」)與真實終端(如PC等「富終端」)， 通過商業網路，可以登錄不同的雲朵;整個網路的使用者採用統一的身份認證，並建立雲朵安全管理的中心平臺，該平臺通過各個雲朵的管理中心介面，可以直接監控雲朵內虛擬機器的運行狀態。

雲朵方案的優點是明顯的：一朵雲內的業務系統安全需求是相近的、使用者是相同的，安全隔離的需求大大降低了，這樣就解決了不同業務系統在一個雲內安全隔離的安全難題，在雲朵之間的網路是「物理」可見的，傳統的安全邊界思路完全適用;當然 ，不同雲朵可以採用不同的虛擬化作業系統，減少對一個廠家的過度依賴(桌面作業系統對微軟的依賴是很多CIO頭痛的難題);最後，若一朵雲出現問題，也不會影響其他雲朵內的業務系統。

雲朵方案的缺點也是明顯的：IT資源利用率提高有限，這與採用虛擬化技術的目標顯然是違背的;人為地建設多個雲朵，多個管理運營平臺，管理複雜度明顯是加大的。

但是，雲朵方案可以解決目前虛擬化平臺自身安全還不到位，業務需求推動雲計算模式紛紛上馬的矛盾。 邊走邊學，「摸著石頭過河」，總比因噎廢食要好。

雲朵方案把企業私有雲的安全問題進行了分解：1、雲朵間的安全;2、雲朵內的安全。

雲朵間的安全設計思路

不同的雲朵，邏輯上如同傳統安全方案設計中的「安全域」，具有明確的安全區域邊界，因此，雲朵間的安全完全可以按照傳統的安全方案設計思路，部署思路可以參考「花瓶模型」的三條基線一個平臺，網路邊界與安全域邊界的安全防護基線; 重要資源區域與核心彙聚的動態監控基線;使用者與運維人員的信用管理基線;日常運維與應急處理的安全管理平臺，具體的技術與管理要求，可以參照等級保護的要求，這裡就不贅述了。

雲朵內實際上是一個雲朵平臺管理的系統範圍內，也可以說是一個虛擬化作業系統的管理平臺下的安全設計。 從系統角度看，可以分為兩個層面的安全設計：1、虛擬機器內的安全;2、虛擬化平臺上的安全。

虛擬機器內的安全

就是使用者申請到的虛擬機器，從使用者角度看起來與物理伺服器是一樣的，使用者選定的作業系統與業務服務軟體，因此，虛擬機器內的安全就如同對一個主機系統進行安全防護設計。 由於虛擬機器的管理比起物理機要簡單的多，容易進行配置修改與補丁升級管理，開關機就是一個目錄下的檔運行而已。

同時，虛擬機器的計算資源是可動態申請的，不再存在傳統主機內安全與業務爭資源的矛盾，因為駐留主機內部的安全監控會降低業務運行的效率，很多業務管理者拒絕安裝其他駐留軟體。 當然，軟體間的相容問題依然是存在的，因此，在系統升級或安裝安全軟體前，一定要在其他的虛擬機器上測試，保證不影響業務軟體的正常運轉。 返回比特網首頁>>