“云安全”如何才能保障

2022-04-27 15:52:41 来源:楚北网商业   |   浏览(58)

  云安全泛指云自身及云上各种应用的安全,具体包括云计算平台系统安全、数据安全存储与隔离、接入认证、信息传输安全、网络攻击防御、合规性审计等。

  伴随着组织的业务不断增长,云安全问题日渐凸显,自身系统被入侵者攻破,用户数据被盗时有发生。当用户使用云服务时,首先应该考虑数据安全,这正是一些信息比较敏感的客户不愿使用云服务的原因之一。

  “无论是私有云、公有云,在为应用系统带来可扩展、高可用、访问便捷的同时,确保数据访问受控、云上业务不被恶意攻击、云上系统不被入侵等都是必须解决的根本性问题。”国联易安总经理门嘉平博士表示。

“安全评估”要做好

  2019年7月,工信部等四部委联合发布了《云计算服务安全评估办法》,对党政机关要使用经过安全评估的云服务提出了正式要求。2021年出台《网络数据安全管理条例征求意见》,也规定了国家机关等政务运营者采购云服务要通过评估,把制度的层级上升到行政法规层面。

  云计算服务安全评估专家组副组长、国家信息技术安全研究中心原副主任李京春表示,“十四五”期间,在培育壮大人工智能、大数据、区块链、云计算、网络安全等新兴数字产业的过程,要完善国家电子政务网络,集约建设政务云平台和数据中心体系,推进政务信息系统云迁移。

  中国网络安全审查技术与认证中心魏昊主任也表示,未来的云服务安全评估工作将从以下几个方面开展:第一,拓展评估类型,扩大覆盖面。尤其是希望云平台提供的服务模式,逐步地以基础设施方式为主,能够过渡到更多的提供PaaS(平台即服务)、或者SaaS(软件即服务)的评估;第二,要考虑落实《数据安全法》、《个人信息保护法》等法规政策的要求,在云评估当中加强数据安全,包括个人信息保护的分担;第三,要促进相关标准的跟进,同时强化供应链安全的评估,降低断供以及开源软件漏洞、过度依赖第三方运维等风险。

  “云计算过程相对复杂,所以选择云防护之前,首先应该评估软件应用程序和硬件阵列的安全漏洞,尤其要检查云应用程序的常见漏洞,要确保所有的安全防护措施到位。”国联易安总经理门嘉平博士表示。

“弹性计划”要制定

  随着组织采用云技术,弹性需求也应该提上日程。没有一种技术是完美的,云计算亦如此。所以,必须确保业务负载,如果想在一场物理灾难或网络攻击事件中迅速恢复尤其重要。组织必须确保业务负载可以随时恢复,与业务连续性的影响微乎其微。

  云负载均衡是对多台云服务器进行流量分发的负载均衡服务。云负载均衡是针对云弹性计算平台而设计,通过流量分发扩展应用系统对外的服务能力,从而消除单点故障,提升应用的稳定性。随着流量的增加,云负载均衡可以综合计算分析服务器的服务能力,将流量分散到不同的服务器上。一台机器出现故障不会引起服务中断,同时后端池中机器具有相同的配置,任何一台机器故障也不会引起服务的中断。当访问转发到后端服务器时,云负载均衡会记录会话与服务的对应关系,因此当再一次请求产生时,会将请求转发到相同的服务处理,从而提高处理效率。

  负载均衡和云进行深度融合后,更加自动化和智能化。相比硬件负载均衡产品,云负载均衡支持自动化部署,无需人工干预,可以一键生成负载均衡虚拟机,实现负载均衡按需生成、自动配置,并自动做一些业务编排。

  “虽然负载均衡本身有诸多的安全能力,包括应用层抗攻击、邮件安全,DNS防护等,但是云负载均衡的安全更偏向于业务和应用安全。所以,组织也可以考虑一种混合安全模式:将云中提供的服务与预置的服务混合起来。这样有助于减轻数据保护,隐私保护的压力。”国联易安总经理门嘉平博士表示。

“可视化”必须有

  在零信任世界里,每个人都是局外人,没有适当的可视化就不能被信任。云计算固然为业务运营和服务带来了敏捷度和可扩展性,但也让我们失去了一些对云端数字资产的控制。因为流量遍历于本地与云端之间,云端数字资产暴露的机会也相应增加。如果无法实现对数字基础设施的规划,包括运行其全部应用,确保云环境安全将成为一句空话。

  如果没有流量可视化,安全威胁就无法被发现,服务等级协议会因为网络性能和故障可视化的缺失而受到波及,给业务带来负面影响,导致客户流失和信任缺失。所以,云上流量的可视化展现是非常必要的。虽然云负载均衡可以在一定程度上实现流量的可视化,但可视化的最终目标是要帮助客户查看云上业务的分布、来源和响应时间等性能指标,这样才能帮助客维护和管理云上业务。

  可视化如何才能做到呢?一是与公有云厂商合作,复制流量。但并不是所有公有云厂商都能提供可视化服务,都能将云流量随时发送到指定工具上;二是与工具厂商合作,实现对公有云工作负载的可视化。

  “目前,业界比较流行的做法是采用‘网络流量安全分析系统’实现云平台流量分析。实现‘可见”——从应用维度识别云上流量,获取流量特性,建立一张清晰的流量图;‘可识’——识别专线链路的流量组成,感知云上业务并发量,让虚机的弹性扩容有据可依;‘可溯’——回溯历史流量数据,掌握流量变化趋势,将业务的运营一一展现,从而为业务优化提供决策依据。”国联易安总经理门嘉平博士表示。

结束语

  自从2006年谷歌的CEO埃里克·施密特正式提出“Cloud Computing”概念以来,云计算已经经历了十五年的发展。虚拟化技术、公有云、私有云、云原生等概念也层出不穷。

  毋庸置疑,业务上云可以助力组织更快速的实现数字化转型,而且更弹性、更高效的进行计算资源的整合。随着云计算业务的不断深入,以及国家、地方政府支持政策利好出台,我国各地的云计算数据中心正在如雨后春笋般的迅速增长。

  “为了适应云环境,硬件产品向软件产品转型、硬件交付向软件交付转型已经成为业务发展的技术趋势。云安全不再只是一个静态的时间点,而是持续的动态演变,所以组织做好云技术管理和定期的网络安全审查也非常必要。”国联易安总经理门嘉平博士表示。

  门嘉平 国联易安总经理,清华大学电子信息专业博士、北京交通大学信息安全专业博士。第一作者发表中英论文10余篇,参与国家标准起草与修订工作3项;承担国家级重大专项、重大工程课题研发成果8项;获得发明专利、著作权近300项。多个国家部级单位特聘信息安全专家、多个国家部级执法单位特聘信息安全专家,清华大学计算机系网络安全智能研究中心副主任、清华大学无锡应用技术研究院数字技术产业研究中心主任。民建中央信息和网络创新专委会委员、民建中央企业家精神专委会委员,中关村软联安全专业委会主任,中关村软件和信息服务产业创新联盟副理事长,中国计算机学会安全专业委员,海南国际仲裁院互联网服务中心专家顾问。