那么云計算究竟面臨著哪些安全挑戰(zhàn)？今天借此文，一起來探討下云安全問題以及如何去應對。
一問：云安全究竟面臨著哪些威脅？
針對這個問題，CSA云安全聯(lián)盟對行業(yè)專家進行了一次調(diào)查，根據(jù)調(diào)查問卷結(jié)果從20個concerns中選出最嚴重的12個：
云安全面臨的威脅
�。ò凑照{(diào)查結(jié)果的嚴重程度排序）
從這些威脅可以看到，除了第10點濫用和惡意使用云服務是云計算環(huán)境特有的安全威脅外，其余的都屬于通用安全威脅，比如拒絕服務、數(shù)據(jù)泄露等，無論是否在云環(huán)境都有存在的可能。因此，不妨把云上的安全威脅分為兩大類，云計算特有安全威脅，以及通用的安全威脅。
二問：通用的安全威脅大家一般也都比較了解，那么云計算“專屬”威脅有哪些？
要了解云計算特有安全威脅，需要先了解云架構(gòu)。以一個典型的虛擬化架構(gòu)為例，底層由硬件層，網(wǎng)絡、存儲、計算資源組成，往上一層是宿主機和Hypervisor，再往上運行虛擬機。除去物理安全之外，虛擬化帶來的安全威脅包括：
1. hypervisor層的安全威脅
hypervisor是CPU指令和物理硬件的中介，負責協(xié)調(diào)資源分配，一旦hypervisor被攻擊，就可以威脅所有頂層的虛擬機甚至是底層的物理機。
2. 虛擬資源的隔離機制變化
包括計算資源隔離、存儲資源隔離、網(wǎng)絡資源隔離等等。在網(wǎng)絡安全里一般只談網(wǎng)絡資源的隔離，在物理形態(tài)的時候，通過防火墻進行訪問控制就可以對物理機進行隔離。但在虛擬化數(shù)據(jù)中心里，虛擬機之間如何做到有效的隔離，尤其是在東西向流量遠遠超過南北向流量的時候，東西向流量的安全問題成為云安全的一大重點。
3. 虛擬機的安全威脅
虛擬機被創(chuàng)建、遷移，需要相對應的安全措施，虛擬機本身也是操作系統(tǒng)，也需要做到操作系統(tǒng)級的安全，否則可能會產(chǎn)生虛擬機逃逸等安全問題。
三問：前面提到這么多威脅，哪些最受關(guān)注呢？
云本身承載著企業(yè)的數(shù)據(jù)及業(yè)務，因此用戶一般關(guān)注對數(shù)據(jù)和業(yè)務會造成比較大影響的威脅。尤其云數(shù)據(jù)中心數(shù)據(jù)、算力集中，諸如數(shù)據(jù)被勒索、數(shù)據(jù)丟失、數(shù)據(jù)泄露等數(shù)據(jù)安全威脅，成為了云上安全威脅的關(guān)注重點。
四問：針對這些云安全威脅，應該如何去應對？
首先要確保云架構(gòu)是安全的，其次再通過技術(shù)手段來抵御通用的安全威脅。
那么，怎么確定云架構(gòu)是安全的呢？
首先，可以建立可信的基礎(chǔ)，通過一系列的硬件+可信應用+隔離機制的使用，實現(xiàn)整個云架構(gòu)安全可信，比如使用TPM管理方法。其次，建立基于SOA的分層安全，通過組合不同的service來開發(fā)應用，這個接口可以是Http Service, Corba Service, Cloud Service 等等。 最后，實現(xiàn)資源、網(wǎng)絡、主機隔離。通過設(shè)置資源隔離，使得終端用戶使用虛擬機時，僅能訪問屬于自己的虛擬機的資源（如硬件、軟件和數(shù)據(jù)），不能訪問其他虛擬機的資源，避免虛擬機之間的數(shù)據(jù)竊取或惡意攻擊。網(wǎng)絡隔離主要涵蓋三個方面： 通信平面的隔離、虛擬網(wǎng)絡隔離以及東西向、南北向隔離。
主機隔離則可通過EDR以及微隔離技術(shù)來實現(xiàn)主機東西向流量的訪問控制，確保業(yè)務安全域內(nèi)部主機安全。
對于通用安全威脅的抵御，需要先了解目前安全威脅的發(fā)展形勢。隨著黑色產(chǎn)業(yè)的不斷壯大，攻擊手段層出不窮，在防御過程中往往需要面對的是未知類型的惡意威脅。在這種情況下，僅僅靠傳統(tǒng)的防御手段很難全部防御住，威脅可能通過釣魚郵件、或者跳板等方式繞過防御體系進入到數(shù)據(jù)中。因此組織單位需要以網(wǎng)絡、平臺、主機、應用、管理、數(shù)據(jù)為主要防護對象，應用人工智能、威脅情報等新興技術(shù)，構(gòu)建預防、防御、的動態(tài)安全體系，真正有效應對未知威脅。
與此同時，針對核心關(guān)注的數(shù)據(jù)安全，構(gòu)建全生命周期的數(shù)據(jù)安全體系，而非僅僅依賴DLP。比如在數(shù)據(jù)產(chǎn)生過程中，確保數(shù)據(jù)源真實性，可追溯性。在數(shù)據(jù)傳輸過程中通過VPN技術(shù)確保數(shù)據(jù)傳輸完整性，保密性。數(shù)據(jù)存儲過程，關(guān)注存儲平臺本身存在的漏洞或者安全配置缺陷等，及時進行脆弱性檢測。數(shù)據(jù)使用過程關(guān)注數(shù)據(jù)使用的規(guī)范，進行全量審計及細粒度權(quán)限控制。在數(shù)據(jù)轉(zhuǎn)移共享過程，確保數(shù)據(jù)脫敏不外泄。
五問：云安全的建設(shè)能否一蹴而就？
安全的環(huán)境一直在變化，今天爆發(fā)了勒索，企業(yè)可能希望做勒索防御，明天爆發(fā)了數(shù)據(jù)泄漏，企業(yè)開始重視數(shù)據(jù)安全，可以說幾乎找不到完美的框架。因此，一套持續(xù)成長的安全機制，要遠比完美的安全架構(gòu)來得實用。建議用戶使用風險評估，對云計算和云服務進行評估后識別出風險在哪里，進而通過降低、規(guī)避、轉(zhuǎn)嫁、接受以及相應的安全解決方案，進行風險削減。當然， 不同的企業(yè)對風險的接受程度是不同的，根據(jù)自身對風險的接受程度，來對那些被接受的風險進行監(jiān)控和應急響應服務等措施來進行兜底。
此后，需要定期檢查云安全的薄弱環(huán)節(jié)，進而對方案進行優(yōu)化整改，實現(xiàn)更加適用自身環(huán)境的安全方案。
六問：等保2.0擴展了云計算安全要求，云等保成為了很多云用戶的關(guān)注重點，那么云等保應該怎么建設(shè)？
等保2.0已經(jīng)發(fā)布，云等保合規(guī)也成為了企業(yè)上云必須完成的基本要求。
而云等保合規(guī)建設(shè)過程中，目前最大的難點在于平臺方、租戶方用戶權(quán)責問題，在云等保的要求里，不僅僅是對平臺建設(shè)方提出了要求，對于租戶方同樣提出了要求。但傳統(tǒng)云平臺安全架構(gòu)僅能夠?qū)τ脩籼峁┩ㄓ玫陌踩呗裕荒苓m用于所有用戶。用戶因而不能根據(jù)自身業(yè)務需求選擇和管理安全組件，這將放大用戶業(yè)務系統(tǒng)“上云”后安全責任難以界定等風險，從而對“上云”產(chǎn)生顧慮。
因此，針對云安全建設(shè)這個問題，深信服基于用戶在等保建設(shè)中的實際需求，提供基于安全資源池的軟件定義、輕量級、快速交付的等保合規(guī)套餐，不僅能夠幫助用戶快速有效地完成云上等級保護建設(shè)、通過等保測評，同時通過豐富的安全能力，可幫助用戶為各項業(yè)務按需提供個性化的安全增值服務。此外，為了實現(xiàn)“安全權(quán)責明晰、安全責任共擔”，深信服采用安全共擔的方案模型，將責任方大致分為以下三類，并分別提供安全界面，以滿足各方需求。
- 云服務商：重點保障基礎(chǔ)設(shè)施（云平臺）整體安全穩(wěn)定的運行。
- 安全廠商：作為云服務商的延伸，提供專業(yè)的安全增值服務，比如租戶VPC邊界安全、VPC內(nèi)部的虛擬網(wǎng)絡安全，虛擬主機的安全加固及安全防御、業(yè)務數(shù)據(jù)安全保護、安全態(tài)勢展示等服務資源。同時提供云服務商安全運營管理平臺和租戶安全管理平臺用于運維管理。
- 租戶：利用云服務商、安全廠商提供的安全資源和服務，對租用的VPC網(wǎng)絡、虛擬機、應用系統(tǒng)、業(yè)務數(shù)據(jù)進行安全策略配置；對業(yè)務系統(tǒng)進行組織結(jié)構(gòu)設(shè)定、權(quán)限分配和日常運維，并對其業(yè)務安全負責
秉持面向未來，有效保護的安全理念，深信服自適應的軟件定義云安全方案，通過旁路部署策略引流，與現(xiàn)有平臺實現(xiàn)了解耦，與需要進行差異化安全保護的租戶VPC網(wǎng)絡打通，為租戶提供豐富的、可編排的、精細化的安全服務，租戶通過簡單的自助服務申請、開通流程，即快速獲得對應的安全服務。云運營方可以像交付計算、存儲資源一樣進行安全服務交付，實現(xiàn)更簡單、更高效的安全運維與保障，為用戶提供更優(yōu)質(zhì)的安全交付體驗。
