四个维度构建专业安全管理体系

杨光

2015年初国务院颁布了《促进云计算创新发展 培育信息产业新业态的意见》。工业和信息化部、国家发展改革委员会等部委也相继出台了多个支持云计算和政务云建设的政策、规划和相关意见要求，国家高度重视并从政策层面大力推动云计算的创新发展，越来越多的云计算应用正在不断被开发出来，云计算将迎来“化云为雨”的蓬勃发展期。

“黑盒”挑战传统安全

企业云、政务云是目前云计算落地较为成熟的两个行业应用，但云计算的技术架构和运营方式的变化使得企业和政府用户面临新的安全问题，包括资源隔离问题，网络边界消失、虚拟化技术应用带来的新型攻击，以及多租户、动态资源调度带来的管理和运维问题等。

目前政务云通常采取租用第三方云服务的方式来提供服务，这使得云服务提供商对政务云中的资产和数据具有很高的访问和控制权限。

因此，安全管理的独立性就显得尤为重要，急需独立的云安全管理平台作为整个云管理的监护人，时刻保障政务云环境的安全和云环境中业务运行的安全。

大多数企业都以私有云为其首选的云计算建设方案。私有云中虚拟化技术的使用使得传统物理安全设备只能部署在云环境的物理边界，而无法监控云环境内部的安全状态。

这种情况下，从安全监控和管理的角度来看，云环境内部已然成为了一个黑盒。为了让这个黑盒变得透明，企业云不仅需要云管理来管理和调度业务资源，也需要有云安全管理来基于业务资源的弹性变化按需的配置和部署相应的安全防护功能。

为政企云安全护航

启明星辰近日在京发布CloudSOC云安全管理平台，为政企云安全护航。该平台可整合各类传统和虚拟化安全产品，独立构建完整的云安全解决方案。

启明星辰副总裁张颖在接受采访时提到：“CloudSOC云安全管理平台拥有先进的云安全监测、云安全审计、云安全防护、云安全运维等功能，能够很好地契合政务云的安全需求，构建立体化、多维度、敏捷快速的安全防护体系。”

正如启明星辰泰合产品本部产品总监叶蓬所言，“政企市场一直是启明星辰积累的市场，我们比附带云管理平台厂商更了解用户的需求。”

据了解，CloudSOC云安全管理平台利用分布式高性能的虚拟化数据采集技术，主动感知并跟踪云计算环境中各种资产、资源的变化，通过各种可视化的展现方式来提供全方位的实时云监测能力。

该平台通过自身提供的包括网络行为审计、大数据多维深度分析、业务应用监控等方面的安全分析、审计能力让安全“由虚转实”，不再不可见，用户可以真正看见云环境中的安全情报、态势，并能够基于各种分析、审计结果进行相应的安全响应和处理。

在安全防护体系的构建和整合方面，CloudSOC云安全管理平台以软件定义的方式提供对网络安全边界的管理，通过流量重编排技术，让传统网络安全设备不需要关注云环境中的资产和网络的变化情况也能够获取其需要分析和监测的网络流量。

基于此技术，CloudSOC云安全管理平台能够有效地整合和兼容市场上大多数品牌和型号的传统物理安全产品。

在云安全运维管理方面，启明星辰将通过其各行业的安全管理专家和专业的安全运维团队，借助CloudSOC云安全管理平台所提供的云安全运维管理功能和工具为用户提供最及时、最专业的云安全管理运维服务。

总之，结合CloudSOC提供的安全管理能力，启明星辰能够为政企云在安全方面构建可靠、可见、可信、可控的完善的云安全管理体系。

首次提出云安全管理平台

启明星辰泰合产品本部产品总监叶蓬谈到：“云安全管理平台这么正式的提出，我们是第一家。以前也有人提过但是它们的内涵是不一样的。很多云安全管理平台它实际上就是云管理平台，有一定的安全特性，但是更多强调的是虚机的部署、监控这样一些内容，我们第一次比较清晰的界定了什么叫云安全管理平台，尤其是云安全管理平台和传统的安全防护设施和云管理平台之间的区别。”

云安全管理平台的设计初衷即为了解决云计算环境中的安全防护体系的构建问题，并且通过其专业的安全管理和部署能力，实现按需的对安全资源的管理调度，以适应业务资源弹性动态变化的特性。

在所有安全产品中，云安全管理平台具备其他类安全设备所不具有的全景安全感知和分析能力，包括从云基建设施到虚拟机的深度视角，以及遍及整个网络环境中所有资产和业务应用的广度视角。

云安全管理平台可以通过对云管理平台、虚拟机和虚拟网络的全方位探测和感知，来发现任何的资产和网络的变化，从而按需的调整安全设备的部署，来保证安全防护的完整性和有效性。

从另一个角度说，云安全管理平台将负责整个云计算环境中安全资源的运维和生命周期的管理。这种安全运维和管理不应该由云管理方发起，而应该由云安全管理平台通过对云环境资产、网络等各种信息的独立的采集、汇总、分析、审计后，以从安全的专业视角来进行管控。

所以，在企业云和政务云的安全解决方案中，云安全管理平台应该成为云监测、云审计、云防护和云运维的中心。

“我们定义了云安全管理平台它应该具备的基本的几个特点，也第一个推出了这种涵盖了四个纬度的云安全管理平台。就这四个纬度，我们是最完整的提出来了，并且是发布了最完整的这样一个云安全管理平台的这样的产品。”叶蓬补充到。

杜绝“既当裁判也当运动员”

在谈到如何理解云管理和云安全管理这二者之间的关系，究竟是交叉还是涵盖时？叶蓬给出明确的答案：“基本是各干各的，可能有10%上下的重叠。对于云管理来说，它更偏重于云计算环境自身的设备，它的加载，是偏业务层面；云安全管理完全从安全的角度考虑，他们基本上不是互相矛盾的。云安全管理平台它不是一个概念，它完全从云面临的安全的威胁、风险等方面来考虑，要形成什么样的管理的机制，从哪几个方面进行管理，我们考虑得很完备，不只是捎带去做，因为我们是专业的，出发点和立足点是不一样的，可能在最终的用户的效果体现上会有那么一两步感觉有点相似，但是大部分是不一样的。”

云安全是具有独立性的。张颖举例说：“管理的安全、虚拟化都在范畴之内，就不可能做的很精通，而且像安全恰恰是最薄弱的，但是我们安全管理是专注安全这一块。从一个新的面的层次来看，不能说你提供云的服务设施的也是云做的，就是安全，这相当于你既当裁判也当运动员。”