前言
云計(jì)算(Cloud Computing)是在2007年3季度才誕生的新名詞，但僅過了半年多，其受關(guān)注的程度就超過了網(wǎng)格計(jì)算(Grid Computing)，云計(jì)算是一座商業(yè)計(jì)算模型，它將計(jì)算任務(wù)分布在大量計(jì)算機(jī)構(gòu)成的資源池上，使用戶能夠按需要獲取計(jì)算力、存儲空間和信息服務(wù)，這種資源池稱為“云”。
云計(jì)算將計(jì)算資源集中起來并通過專門軟件實(shí)現(xiàn)自動(dòng)管理，無需人為參與。用戶可以動(dòng)態(tài)申請部分資源，支持各種應(yīng)用程序的運(yùn)轉(zhuǎn)，無需為煩瑣的細(xì)節(jié)而煩惱，能夠更加專注于自己的業(yè)務(wù)，有利于提高效率、降低成本和技術(shù)創(chuàng)新。
概括起來云計(jì)算的優(yōu)點(diǎn):動(dòng)態(tài)可伸縮性、較高的靈活度、共享性、虛擬性、大規(guī)模性、和經(jīng)濟(jì)性。
云計(jì)算本質(zhì)上是服務(wù)方式的改變，它以服務(wù)的形式實(shí)現(xiàn)資源的共享。用戶不再需要購買高性能的軟件硬件系統(tǒng)，構(gòu)建自己的計(jì)算平臺。而是使用任何可以上網(wǎng)的終端設(shè)備，連接“云”，利用“云”提供的服務(wù)，直接在“云”上處理并存儲數(shù)據(jù)。
云計(jì)算按照服務(wù)類型大致可以分為三類:將基礎(chǔ)設(shè)施作為服務(wù)IaaS、將平臺作為服務(wù)PaaS和將軟件作為服務(wù)SaaS。
1 云計(jì)算的安全問題
隨著云計(jì)算應(yīng)用的不斷普及，云計(jì)算的安全問題也呈現(xiàn)逐步上升的趨勢。2011年4月17日，索尼服務(wù)器接連遭遇黑客攻擊，大量用戶數(shù)據(jù)被盜。2009年10月，微軟云計(jì)算服務(wù)器故障導(dǎo)致用戶數(shù)據(jù)丟失。事實(shí)證明，云計(jì)算的安全問題已成為制約其發(fā)展的重要因素，人們真切地感受到了云計(jì)算所面臨的安全威脅。理論上，云計(jì)算和云計(jì)算安全兩者是一致的，但通常并非如此。在高科技產(chǎn)業(yè)中，“云計(jì)算很好”，“云計(jì)算安全很糟糕”，那么云計(jì)算安全到底存在什么樣的問題呢?
云計(jì)算安全主要包括:基礎(chǔ)設(shè)施安全和數(shù)據(jù)安全�；A(chǔ)設(shè)施安全又分網(wǎng)絡(luò)層面、主機(jī)層面和應(yīng)用層面，數(shù)據(jù)安全包括傳輸中數(shù)據(jù)、靜態(tài)數(shù)據(jù)、數(shù)據(jù)處理、數(shù)據(jù)沿襲、數(shù)據(jù)起源和數(shù)據(jù)殘留等。
隨著云計(jì)算服務(wù)的采用，用戶的網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用程序和數(shù)據(jù)的很大一部分將移至第三方提供商的控制之下。云計(jì)算服務(wù)交付模式會創(chuàng)建具有虛擬邊界的計(jì)算云，以及由用戶與云計(jì)算服務(wù)提供商(CSP)共享責(zé)任安全模型。這種共享責(zé)任的模型給機(jī)構(gòu)的IT運(yùn)維人員帶來新的安全管理挑戰(zhàn)。
2 云計(jì)算的安全管理標(biāo)準(zhǔn)
目前云計(jì)算中與安全管理實(shí)踐相關(guān)的標(biāo)準(zhǔn)主要包括ITIL,ISO/IEC 27001和ISO/IEC 27002。
2.1 ITIL
20世紀(jì)80年代中期英國商務(wù)部提出信息技術(shù)基礎(chǔ)架構(gòu)庫(ITIL)以來，ITIL,作為IT服務(wù)管理事實(shí)上的國際標(biāo)準(zhǔn)已經(jīng)得到了全球幾乎所有IT巨頭的全力支持。ITIL是一組最佳實(shí)踐和指導(dǎo)方針，定義了管理信息基礎(chǔ)服務(wù)的一種集成的基于流程的方法。ITIL可以適用在幾乎所有類型的IT環(huán)境，包括云計(jì)算運(yùn)行環(huán)境。
ITIL把信息安全分解為:策略(機(jī)構(gòu)希望實(shí)現(xiàn)的總體目標(biāo))、過程(未來實(shí)現(xiàn)目標(biāo)，需要做哪些工作)、步驟(為了實(shí)現(xiàn)目標(biāo)，誰應(yīng)該在什么時(shí)候做些什么)、工作指示(執(zhí)行特定動(dòng)作的指示)。
2.2 ISO 27001/27002
ISO/IEC 27001正式定義了對信息安全管理體系(ISMS)的強(qiáng)制性要求。它同時(shí)也是認(rèn)證標(biāo)準(zhǔn)，并使用ISO/IEC 27002來描述信息安全管理體系內(nèi)應(yīng)采取的信息安全控制手段。機(jī)構(gòu)在信息安全管理方面轉(zhuǎn)向ISO/IEC 27001是當(dāng)前流行的趨勢，因此信息安全從業(yè)人員一致認(rèn)為:應(yīng)當(dāng)修訂ITIL安全管理最佳實(shí)踐，以強(qiáng)化在信息和通信技術(shù)((ICT)基礎(chǔ)設(shè)施領(lǐng)域的應(yīng)用程序安全及邏輯安全。
3 云計(jì)算的安全管理
云計(jì)算服務(wù)提供商要確立自己的公信力、與用戶之間建立信任關(guān)系，由于云服務(wù)商在對外提供服務(wù)的同時(shí)，自身可能也需要購買其他云服務(wù)商所提供的服務(wù)，作為云計(jì)算的用戶，就當(dāng)先從云計(jì)算中服務(wù)的信任域開始。在云計(jì)算環(huán)境中，各個(gè)云應(yīng)用屬于不同的安全管理域，每個(gè)安全域都管理著本地的資源和用戶。因此，云計(jì)算服務(wù)中用戶所擁有、接觸以及相交互的所有層面，包括網(wǎng)絡(luò)、主機(jī)、應(yīng)用程序、數(shù)據(jù)庫、存儲和包含身份服務(wù)在內(nèi)的Web服務(wù)(參見圖1)，和肩負(fù)的IT系統(tǒng)管理及監(jiān)測的責(zé)任范圍，包括訪問、更改、配置、補(bǔ)丁以及漏洞管理及其重要。
圖1安全管理及監(jiān)測的范圍
根據(jù)ITIL和ISO框架所涉及的管理過程原則，筆者認(rèn)為與計(jì)算安全服務(wù)相關(guān)過程主要包含以下安全管理重點(diǎn)領(lǐng)域:
(1)可用性管理(ITIL);
(2)訪問控制(ISO/IEC 27002, ITIL);
(3)漏洞管理(ISO/IEC 27002);
(4)補(bǔ)丁管理(ITIL);
(5)配置管理(ITIL);
(6)事件響應(yīng)(ISO/IEC 27002);
(7)系統(tǒng)使用及訪問監(jiān)測(ISO/IEC 27002)。
3.1可用性管理
云計(jì)算服務(wù)也不可避免地會出現(xiàn)停機(jī)，停機(jī)的情況不同，影響用戶的嚴(yán)重程度和范圍也不同。與任何內(nèi)部rr支持的應(yīng)用程序類似，由于服務(wù)中斷造成的業(yè)務(wù)影響將取決于與計(jì)算應(yīng)用程序的重要程度，以及其與內(nèi)部業(yè)務(wù)流程的關(guān)系。對于關(guān)鍵業(yè)務(wù)應(yīng)用程序，由于業(yè)務(wù)嚴(yán)重依翰于服務(wù)的持續(xù)可用性，即使幾分鐘的服務(wù)中斷就可能對機(jī)構(gòu)的生產(chǎn)力、收入、用戶滿意度以及服務(wù)水平合規(guī)性等方面造成嚴(yán)重的影響。
云計(jì)算服務(wù)的彈性和可用性取決于幾個(gè)因素:云計(jì)算服務(wù)提供商的數(shù)據(jù)中心架構(gòu)(負(fù)載均衡、網(wǎng)絡(luò)、系統(tǒng))、應(yīng)用程序架構(gòu)、主機(jī)位置冗余、多個(gè)互聯(lián)網(wǎng)服務(wù)提供商，以及數(shù)據(jù)存儲架構(gòu)等。下面以PaaS為例說明可用性管理。
在典型的PaaS服務(wù)中，用戶(開發(fā)者)在云計(jì)算服務(wù)提供商提供的PaaS平臺上搭建并不熟PaaS應(yīng)用程序。PaaS平臺通常建造在云計(jì)算服務(wù)提供商所擁有并管理的網(wǎng)絡(luò)、服務(wù)器、操作系統(tǒng)、存儲基礎(chǔ)設(shè)施和應(yīng)用程序組件(Web服務(wù))之上。用戶的PaaS應(yīng)用程序是使用云計(jì)算服務(wù)商提供的應(yīng)用組件以及在某些情況下使用第三方Web服務(wù)組件(混合模式應(yīng)用程序)構(gòu)建的，因此PaaS應(yīng)用程序的可用性管理變得十分復(fù)雜。例如，在Google App Engine上的社交網(wǎng)絡(luò)應(yīng)用程序依賴Facebook應(yīng)用程序的聯(lián)系管理服務(wù)。在混合模式軟件部署構(gòu)架中，可用性管理的責(zé)任是由用戶和云計(jì)算服務(wù)提供商公擔(dān)的。用戶對管理用戶開發(fā)的應(yīng)用程序以及第三方服務(wù)負(fù)責(zé)，PaaS云計(jì)算服務(wù)提供商負(fù)責(zé)PaaS平臺以及其他由云計(jì)算服務(wù)提供商所提供的服務(wù)。
按照設(shè)計(jì)，PaaS應(yīng)用程序可能依賴其他第三方Web服務(wù)組件，這些組件并不是PaaS服務(wù)所提供的部分;因此，了解應(yīng)用程序?qū)Φ谌椒⻊?wù)的依賴性是很有必要的，這種第三方服務(wù)包括由PaaS提供商提供的服務(wù)(如Web2.0應(yīng)用程序使用Google Maps進(jìn)行地理映射)。PaaS提供商可能也提供一套Web服務(wù)，用戶的應(yīng)用程序可能依靠這些服務(wù)組件的可用性(如Google的BigTable)。因此，PaaS應(yīng)用程序的可用性取決于用戶的應(yīng)用程序的健壯性、搭建應(yīng)用程序的PaaS平臺，以及第三方Web服務(wù)組件。
3.2訪問控制
訪問控制管理為用戶和系統(tǒng)管理員(特權(quán)用戶)提供一系列資源訪問管理功能，包括訪問網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用程序資源等。訪問控制管理功能解決如下問題:
(1)用戶權(quán)限的分配
(2)用戶工作職能和責(zé)任的權(quán)限分配;
(3)訪問權(quán)限的認(rèn)證方法和認(rèn)證強(qiáng)度；
(4)核實(shí)權(quán)限分配的審計(jì)和報(bào)告。
在云計(jì)算消費(fèi)模式中，用戶可能通過任何連接到互聯(lián)網(wǎng)的主機(jī)訪問云計(jì)算服務(wù)，網(wǎng)絡(luò)訪問控制發(fā)揮的作用越來越少。因?yàn)閭鹘y(tǒng)基于網(wǎng)絡(luò)訪問的訪問控制主要是基于主機(jī)屬性保護(hù)資源不受非授權(quán)訪問，這在大多數(shù)情況下是不能滿足的，不是用戶間特有的，因此往往會導(dǎo)致審計(jì)的不準(zhǔn)確。在云計(jì)算中，網(wǎng)絡(luò)訪問控制表現(xiàn)為云計(jì)算防火墻策略，這個(gè)策略在云計(jì)算的出入口處執(zhí)行基于主機(jī)的訪問控制，并對云計(jì)算內(nèi)部的實(shí)例進(jìn)行邏輯分組。通常是使用基于標(biāo)準(zhǔn)TCP/IP(傳輸控制協(xié)議/Internet協(xié)議)參數(shù)的策略實(shí)現(xiàn)，包括IP,源端口、目的IP及目的端口等。
云計(jì)算的訪問控制與基于網(wǎng)絡(luò)的訪問控制相比，云計(jì)算用戶訪問控制尤為重要，因?yàn)樗菍⒂脩羯矸菖c云計(jì)算資源綁定在一起的重要手段。在PaaS交付模式中，云計(jì)算服務(wù)提供商負(fù)責(zé)管理對網(wǎng)絡(luò)、服務(wù)器和應(yīng)用程序平臺基礎(chǔ)設(shè)施的訪問控制，而用戶負(fù)責(zé)部屬于PaaS平臺的應(yīng)用程序的訪問控制。對應(yīng)用程序的訪問控制表現(xiàn)為終端用戶的管理，包括用戶開通和身份認(rèn)證。
3.3安全漏洞、補(bǔ)丁及配置的管理
惡意軟件(或黑客)遠(yuǎn)程利用基礎(chǔ)設(shè)施組件、網(wǎng)絡(luò)服務(wù)和應(yīng)用程序漏洞的能力，對于云計(jì)算服務(wù)仍然是個(gè)重大的威脅。對于公共Pass和IaaS交付模式，則面臨更大的風(fēng)險(xiǎn)，因?yàn)槁┒�、補(bǔ)丁以及配置管理的責(zé)任都留給了用戶。在云計(jì)算環(huán)境中，安全是由在多用戶虛擬環(huán)境中的所有用戶共享的。因此，用戶不但明確他們安全管理責(zé)任的范圍，還要求云計(jì)算服務(wù)提供商對云計(jì)算安全運(yùn)行提供透明度，以便幫助用戶設(shè)置互補(bǔ)的安全管理功能。
(1)安全漏洞管理
漏洞管理可以幫助保護(hù)主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用程序避免遭針對已知的漏洞的攻擊。成熟機(jī)構(gòu)一般會建立完善的漏洞管理過程，其中包括對連接到機(jī)構(gòu)網(wǎng)絡(luò)的系統(tǒng)進(jìn)行例行掃描、評估漏洞對機(jī)構(gòu)的風(fēng)險(xiǎn)、解決風(fēng)險(xiǎn)的加固過程。采用ISO/IEC 27002的機(jī)構(gòu)，通常通過使用技術(shù)漏洞管理控制目標(biāo)來解決相關(guān)問題，其中規(guī)定:降低已公布的技術(shù)漏洞被惡意利用帶來的風(fēng)險(xiǎn)。技術(shù)漏洞管理應(yīng)當(dāng)以有效、系統(tǒng)且可重復(fù)的方式實(shí)施，并采取側(cè)量措施以確保其有效性。這些考慮應(yīng)將操作系統(tǒng)和其他使用的應(yīng)用程序包含在內(nèi)。根據(jù)SPI服務(wù)環(huán)境的特點(diǎn)，在云計(jì)算基礎(chǔ)設(shè)施的漏洞管理方面，用戶和云計(jì)算服務(wù)提供商都應(yīng)該承擔(dān)相應(yīng)的責(zé)任。
(2)安全補(bǔ)丁管理
與漏洞管理類似，在保護(hù)主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用程序進(jìn)免未授權(quán)用戶針對已知漏洞的攻擊方面，安全補(bǔ)丁管理也是一個(gè)重要的威脅管理要素。補(bǔ)丁管理過程遵循變更管理框架，并直接從用戶漏洞管理程序得到反饋，從而降低來自機(jī)構(gòu)內(nèi)部和外部的威脅。因此，SaaS提供商應(yīng)當(dāng)對新漏洞進(jìn)行定期評估，并給所有用戶提供*aas服務(wù)的系統(tǒng)固件與軟件安裝補(bǔ)丁。
(3)安全配置管理
安全配置管理可以保護(hù)主機(jī)和網(wǎng)絡(luò)設(shè)備免遭未收錢用戶利用配置弱點(diǎn)實(shí)施的攻擊。安全配置管理與漏洞管理程序密切相關(guān)，是整體仃配置管理的一部分。保護(hù)網(wǎng)絡(luò)、主機(jī)和應(yīng)用程序配置，需要對關(guān)鍵系統(tǒng)和數(shù)據(jù)庫配置文件進(jìn)行監(jiān)控和訪問控制，這些配置文件包括操作系統(tǒng)配置、防火墻策略、網(wǎng)絡(luò)域配置、本地和遠(yuǎn)程連接的存儲，以及訪問控制管理數(shù)據(jù)庫。
3.4入侵檢測和事件響應(yīng)
大型云計(jì)算提供商提供SaaS, PaaS和IaaS服務(wù)，這種多用戶的交付模式對用戶和云計(jì)算服務(wù)提供商在重大事件響應(yīng)和入侵管理等方面都帶來了挑戰(zhàn)。入侵和事件管理在企業(yè)信息安全管理域內(nèi)是管理和降低風(fēng)險(xiǎn)的關(guān)鍵職能，這些風(fēng)險(xiǎn)包括知識產(chǎn)權(quán)損失、違反合規(guī)性、品牌侵蝕和詐編。這些關(guān)鍵功能支持安全管理，并允許機(jī)構(gòu)對入侵和數(shù)據(jù)破壞做出響應(yīng)。此外，機(jī)構(gòu)在法律上有義務(wù)遵守與隱私資料侵害相關(guān)的法律。由于公共云計(jì)算的定義是多用戶的，以及使用共享基礎(chǔ)設(shè)施的資源和服務(wù)向用戶交付，用戶和云計(jì)算服務(wù)提供商都有管理入侵和事件響應(yīng)的責(zé)任。雙方都需要準(zhǔn)備應(yīng)對和管理安全漏洞。
4 結(jié)束語
云計(jì)算作為一項(xiàng)迅速發(fā)展的信息新技術(shù)，目前已應(yīng)用在國內(nèi)外諸多領(lǐng)域，隨著對云計(jì)算服務(wù)采用，網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用程序和數(shù)據(jù)的大部分將由第三方提供商控制，更要重視云計(jì)算的安全管理問題。云計(jì)算服務(wù)安全管理的范圍將隨著服務(wù)交付模式(SPI)、提供商能力以及成熟度而變化。由于大多數(shù)提供商的云計(jì)算服務(wù)在服務(wù)水平協(xié)議(SLA)、提供商管理功能以及安全責(zé)任這些領(lǐng)域缺乏透明度，因此對于已建立了IT管理、工具和程序的用戶而言云計(jì)算的管理功能將是個(gè)持續(xù)的挑戰(zhàn)。
為了加速企業(yè)對云計(jì)算的使用，創(chuàng)建云計(jì)算管理標(biāo)準(zhǔn)勢在必行，云計(jì)算管理標(biāo)準(zhǔn)由云計(jì)算服務(wù)商提供支持，并能實(shí)現(xiàn)不同云計(jì)算間的無縫互通。標(biāo)準(zhǔn)會有助于創(chuàng)建獨(dú)立軟件供應(yīng)商(ISV）與服務(wù)提供商的生態(tài)系統(tǒng)，并通過自動(dòng)化方式為用戶提供選擇性、彈性和更大的靈活性。
核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：云計(jì)算的安全管理探析
本文網(wǎng)址：http://www.oesoe.com/html/support/1112159512.html
相關(guān)文章
