某些IT專業(yè)人士天性比較保守:由于對安全挑戰(zhàn)及其他問題心存疑慮,這影響了他們對所有新穎的創(chuàng)新技術(shù)抱有的熱情。這一方面純粹是我們這個行業(yè)的本質(zhì)使然。畢竟,我們的工作是預(yù)料風險,想出具有創(chuàng)意的方法來緩解風險。然而,這種謹慎也導(dǎo)致了那種廣泛思考和總體結(jié)論,最終對于企業(yè)組織層面應(yīng)對每個安全挑戰(zhàn)沒有多大幫助。比較云安全和傳統(tǒng)網(wǎng)絡(luò)安全時,普遍的懷疑來得尤為明顯。許多IT專業(yè)人士認為云安全風險比較大。
之所以會有這樣的認識,原因之一完全是由于媒體曝光。隨著更多數(shù)據(jù)遷移到網(wǎng)上,勢必會爆出更多的安全泄密事件。由于許多這些泄密事件備受矚目(牽涉來自幾大零售商的客戶個人數(shù)據(jù)),它完全證明了這個事實:諸多企業(yè)組織的工作負載在日益遷移到云端。
我們應(yīng)該要問的問題不是云計算方面是否有更多的安全挑戰(zhàn),而是我們?nèi)绾胃纳谱陨淼陌踩珷顩r,以便更有效地管理風險。最近塔吉特(Target)、聯(lián)合包裹服務(wù)(UPS)及其他商業(yè)組織爆出的泄密事件應(yīng)該不僅僅是表明云不太安全的警示故事,還生動地表明了設(shè)計和實施很糟糕的系統(tǒng)如何將大數(shù)據(jù)置于險境。
2015年云計算安全現(xiàn)狀
要是對云計算的現(xiàn)狀缺少清晰的認識,就根本無法從大體上探討傳統(tǒng)網(wǎng)絡(luò)安全與互聯(lián)網(wǎng)安全的區(qū)別。據(jù)RightScale公司對IT專業(yè)人士開展的調(diào)查顯示,2015年云計算行情如下:
混合云系統(tǒng)仍是首選的方法,其中應(yīng)用程序和數(shù)據(jù)存儲在托管服務(wù)提供商(MSP)與內(nèi)部部署型系統(tǒng)之間共享。目前,82%的企業(yè)使用混合云模式。
88%的企業(yè)將數(shù)據(jù)存儲在公有云上,63%的企業(yè)使用私有云。然而,私有云網(wǎng)絡(luò)通常處理的工作負載比私有云網(wǎng)絡(luò)來得龐大繁重。13%的企業(yè)在公有云上運行的虛擬機數(shù)量超過1000個;22%的企業(yè)在私有云上運行的虛擬機數(shù)量超過1000個。
目前,68%的云用戶將不到20%的工作負載存儲于網(wǎng)上。一半以上的調(diào)查對象聲稱,另外20%的工作負載目前隨時可以遷移到云端,不過仍存儲在企業(yè)內(nèi)部環(huán)境。
我們可以從上述統(tǒng)計數(shù)字中比較清楚地了解誰在使用云、他們在如何使用云。這應(yīng)該決定我們對于安全的認識。一旦我們更清楚地了解了什么遭到威脅、誰是主要的利益相關(guān)者,就能對我們自身的IT基礎(chǔ)設(shè)施做出更明智的決策。
真實的恐懼與感覺的恐懼
從許多方面來看,云計算和軟件即服務(wù)是其自身成功的受害者。只要企業(yè)的業(yè)務(wù)經(jīng)營方式出現(xiàn)巨變,勢必會有強烈反應(yīng)。許多專業(yè)人員不是著手應(yīng)對將數(shù)據(jù)存儲在網(wǎng)上所固有的實際威脅,而是花太多的時間擔心無關(guān)緊要的事情;這樣一來,真正的威脅來臨時,我們卻毫無準備。不妨看一下云方面的一些最常見恐懼,以及它們?yōu)楹尾蝗缒阆胂蟮哪敲磭乐亍?/p>
失去控制權(quán)――向云端遷移時,習慣于實際操縱服務(wù)器的IT安全專家們常常最焦慮不安。這些專家常常擔心:除非自己與存儲有數(shù)據(jù)的硬件待在同一幢大樓,否則自己就無力合理地應(yīng)對緊急事件。實際上而是要考慮這個事實:讓你的IT團隊不用肩負處理硬件問題的職責,讓他們得以更合理地分配資源。他們還會有更多的時間專注于威脅補救、日志分析和合規(guī)管理上。
正如CloudPassage公司產(chǎn)品副總裁Rand Wacker撰文的那樣,隨著我們遷移到云端,“操作思維和風險管理會由原來的認為‘我們必須控制一切’,變成買家和服務(wù)提供商分擔責任這種模式”。只要你與值得信賴的MSP合作,就沒有理由為無法實際訪問服務(wù)器而焦慮不安。
失去所有權(quán)――同樣,IT專業(yè)人員當中確實存在這種擔心:異地保管的數(shù)據(jù)不像存儲在內(nèi)部環(huán)境的數(shù)據(jù)那樣完全屬于企業(yè)。許多人擔心,遷移到云后對遵守《健康保險可攜性及責任性法案》(HIPAA)、《支付卡行業(yè)數(shù)據(jù)安全標準》(PCI-DSS)及其他標準的工作會帶來什么影響或后果。然后,要消除這種恐懼,只要明智地選擇合作伙伴。正如你在選擇某個在企業(yè)內(nèi)部工作的合同工所做的那樣,也要確保服務(wù)協(xié)議保證你對自己的數(shù)據(jù)擁有全面所有權(quán);如果有必要,確保服務(wù)協(xié)議讓你很容易訪問這些數(shù)據(jù)。
缺乏成熟度――有些人一直認為,云標準還沒有成熟到足以滿足企業(yè)層面使用SaaS帶來的更高的安全要求這一地步。最終,缺少成熟標準不太可能給云用戶帶來安全方面的影響。畢竟,更多的數(shù)據(jù)泄密事件是由具體問題引起的,只要企業(yè)組織層面調(diào)整問題管理、故障隔離及采用其他做法,很容易解決這些問題。
如果我們想到這每一個反對意見是認知上的問題,而不是云的實際風險,就很容易理解谷歌公司企業(yè)安全主管Eran Feigenbaum 所說的這番話了:“云計算即便不比大多數(shù)企業(yè)如今在傳統(tǒng)環(huán)境下采取的做法來得安全,至少一樣安全。”
云安全Vs傳統(tǒng)安全
Feigenbaum接著提出了幾個要點,闡述遷移到云端帶來的好處。如果你正在決定如何存儲數(shù)據(jù),別忘了這兩點:
重復(fù)數(shù)據(jù)刪除和本地存儲是傳統(tǒng)IT基礎(chǔ)設(shè)施中風險最高的兩個部分。據(jù)Feigenbaum聲稱,66%的USB存儲棒丟失;這些丟失的USB存儲棒中又有約60%含有商業(yè)數(shù)據(jù)。而在云端,這些風險幾乎就不存在。
云計算還消除了采用最新安全補丁方面的延遲。雖然許多企業(yè)組織試圖花25天至60天的時間來組織管理安全補丁,可是許多CIO透露,這個過程實際上可能長達6個月。然而在云端,一旦有了最新補丁,就可以全面部署補丁。
云安全解決方案還能靈活擴展,伴隨貴公司一同成長。如果傳統(tǒng)網(wǎng)絡(luò)要擴展,就需要在新的軟件硬件方面做大量投入,而桌面即服務(wù)模式讓你很容易為團隊添加新成員,設(shè)置合理的全局訪問控制措施,并在貴公司不斷壯大時,確保敏感數(shù)據(jù)得到了保護。
如何優(yōu)先對待云安全合規(guī)?
很顯然,遷移到云端在安全方面有諸多優(yōu)點。遷移到云端時,盡量不要拘泥于傳統(tǒng)IT的安全視角。畢竟,新的工作方法需要新的安全方法。下面是針對云調(diào)整安全做法和優(yōu)先事項時需要考慮的三個方面:
及早確定問題。云安全類似解決復(fù)雜問題;最好的辦法就是,清楚地確定自己的目標。詳細列出你在安全和合規(guī)方面的優(yōu)先事項和面臨的挑戰(zhàn),在此基礎(chǔ)上開展下一步。
訪問控制必不可少。大家在談?wù)撛瓢踩珕栴}時經(jīng)常忘了一點:所存儲數(shù)據(jù)的位置遠不如誰訪問數(shù)據(jù)來得重要。制定授權(quán)和訪問控制措施(包括實施最低權(quán)限原則),才是管理風險、限制泄密事件幾率的最好方法。
重視安全漏洞測試。安全漏洞測試是云安全管理方面的一個重要輔助手段。你的系統(tǒng)接受的測試越嚴格,你就越有能力設(shè)計和實施積極主動的安全控制措施。
利用這些想法作為起點,你就能更有效地管理風險,并且能夠享受云帶來的好處,而不危及你的寶貴資產(chǎn)。
“臭名昭著的九大威脅”
綜合起來,上述概念應(yīng)該會指導(dǎo)你如何在云端保持安全。有鑒于此,云用戶面臨哪些具體的挑戰(zhàn)呢?又該如何克服這些挑戰(zhàn)?早在2013年,云安全聯(lián)盟(Cloud Security Alliance)就發(fā)布了《臭名昭著的九大威脅》(The Notorious Nine),這篇文章詳述了基于云的系統(tǒng)必須做好防范工作的幾大威脅。這些威脅包括:
數(shù)據(jù)泄密,這通常歸咎于應(yīng)用程序的設(shè)計存在的缺陷或其他安全漏洞。
數(shù)據(jù)丟失,歸咎于惡意攻擊、無意刪除或數(shù)據(jù)中心出現(xiàn)物理問題。
帳戶劫持,包括使用網(wǎng)絡(luò)釣魚、欺詐或社會工程學伎倆,獲得用戶的私密登錄信息。
不安全的接口,那是由于云服務(wù)依賴API來提供驗證、訪問控制、加密及其他關(guān)鍵功能。這些接口中的安全漏洞會加大安全泄密事件的風險。
拒絕服務(wù)攻擊,居心叵測的人阻止用戶訪問某個被其盯上的應(yīng)用程序或數(shù)據(jù)庫。
惡意內(nèi)部人員,比如員工或合同工,他們利用自身條件訪問存儲在云端的私密信息。
濫用服務(wù),這包括黑客使用云的無限資源來破解加密密鑰,發(fā)動分布式拒絕服務(wù)(DDoS)攻擊,或者執(zhí)行借助有限硬件無法實現(xiàn)的其他活動。
摸底工作不夠到位,這是云網(wǎng)絡(luò)受到的最常被忽視的威脅之一。沒有充分預(yù)料到在云端工作或者倉促開始遷移所帶來的風險,會讓企業(yè)組織面臨相當大的風險。
共同的安全漏洞,包括在多租戶環(huán)境下的不同用戶訪問的平臺或應(yīng)用程序。在這種罕見的情況下,即便單單一個安全漏洞也會引起嚴重的后果。
很有意思的是,對遷移到云猶豫不決的人擔心的主要問題卻并不在這九大威脅之列。對你的服務(wù)器擁有物理訪問權(quán)不太可能阻止得了任何上述威脅;不管采用的標準有多成熟,災(zāi)難性丟失或數(shù)據(jù)泄密的幾率同樣很大。
如果我們改變方法、體現(xiàn)云計算的現(xiàn)狀,并且著眼于上述威脅重視安全,就可能享受遷移到SaaS平臺帶來的種種好處,又沒有風險。
安全即服務(wù)Vs內(nèi)部部署安全
如果你能夠成功地管理將數(shù)據(jù)和應(yīng)用程序遷移到云帶來的風險,下一個合理的步驟自然是將你的安全系統(tǒng)同樣遷移到云端。反對安全即服務(wù)的一些常見理由包括:將日志數(shù)據(jù)遷入和遷出云服務(wù)提供商面臨很長的延遲時間,這么做的話勢必讓機密數(shù)據(jù)離開封閉網(wǎng)絡(luò)。雖然這些因素對一些企業(yè)組織來說也許是關(guān)鍵的阻礙因素,但還是有好多令人信服的理由,表明值得考慮丟棄內(nèi)部部署型安全基礎(chǔ)設(shè)施,改用云解決方案。
內(nèi)部部署型安全系統(tǒng)需要專門的工作人員及其他IT資源,而這些IT資源分配到別處可能更合理。將你的安全系統(tǒng)遷移到云端可以騰出資本,并且有需要時,很容易適應(yīng)貴公司不斷發(fā)展的形勢。最重要的是,對基于云的數(shù)據(jù)和應(yīng)用程序而言,基于云的安全是最佳選擇。反對云安全的許多理由與反對云存儲的那些理由很相似。然而,隨著我們處理信息安全的方式日臻完善,完全有理由認為,安全解決方案會隨之得到改善。
云端的網(wǎng)絡(luò)安全合規(guī)
凡是云計算安全問題方面的討論,免不了提到如何應(yīng)對遵守《健康保險可攜性及責任性法案》(HIPAA)、《支付卡行業(yè)數(shù)據(jù)安全標準》(PCI)及其他監(jiān)管標準所帶來的種種挑戰(zhàn)。遵守HIPAA在云端來得更容易還是更困難?有沒有可能既輕松又經(jīng)濟地在云端實現(xiàn)PCI合規(guī)?從某種程度上來說,這些問題的答案集中反映了云安全Vs傳統(tǒng)安全這個更龐大的討論。云端合規(guī)需要考慮有別于內(nèi)部部署型系統(tǒng)的一系列不同因素。它未必來得難度更大或成本更高,但是需要密切合作以及戰(zhàn)略性配置資源。