浅谈云计算环境下的安全实践

文/安恒信息风暴中心副总经理 杨 勃

9月，安恒信息与阿里云在杭州签署战略合作协议，双方正式达成战略合作伙伴关系，双方将在安全领域展开合作，向云计算用户特别是政企用户提供专业的一站式安全产品及服务。

如果从传统安全厂商的角度去看安恒信息与阿里云的合作，那么本次合作主要体现在生态云方面，也可以认为是云的生态系统方面，因为阿里云具备了云的基础平台，安恒信息则主推云服务。

由于重点在云服务方面，所以安恒信息的用户以云租户为主。对于云租户而言，首先考虑的是云安全，因此就需要一个安全的基础平台，最终才能保证云租户的信息安全。当然，如果这些安全措施没有很好的保障，也很难形成一个真正的生态系统。因此，对于云生态的安全，我们认为应该有三个最基本的属性。第一，安全要相对独立，独立性主要体现在发现隐患、监测预警和及时保障等方面；第二，尽可能覆盖整个生命周期的安全，从整个系统平台建设、业务开发和上线运行，甚至到最终整个数据的销毁，都需要进行全面的考虑；第三，在云安全方面尽可能做适云化，即服务化、虚拟化和可视化，把已经成熟的技术措施和安全防护能力输送到该云平台上。

云计算成为发展趋势的同时也面临严峻的挑战。现在有不少用户都有较多的顾虑，虽然都认为云端是一个发展趋势，但就是犹豫不前。主要原因还是目前在云端与传统网络一样面临非常多的安全威胁，连亚马逊、谷歌、苹果这些公司都同样面临这些安全威胁。2011年4月，黑客租用亚马逊 EC2云计算服务，对索尼 PlayStation 网站进行了攻击，造成用户数据大规模泄露。因此，传统网络中所面临的安全威胁在云端同样不少。

尽管如此，对于传统网络面临的安全问题和困扰，有些安全威胁在云端就不明显了，比如存储方面的隐患，传统网络会遇到线路或者机房灾备等一系列基础性的问题，如果迁到云端就可以很好的解决。

现在，有不少用户在选择云服务时喜欢避重就轻，要么不接触云，要么把不重要的、边缘性的系统放到云端试用。出现这种情况最主要的原因就是缺乏信任，他们会认为信息在云端没有安全保障。

安全在云端和传统网络中有没有差异化，以及云端的安全如何保障？目前而言，无论是云平台上的企业，还是安全厂商或者用户，在这个新的领域，都很难有一个比较清晰的认识。

对于云平台而言，总体来看存在三个维度的威胁：第一个威胁就是云平台自身的安全。云平台自身的安全如何建设、如何保障，这就是安全建设方面非常重要的基石。无论在云端，还是传统网络中，都有一个安全域的概念。对于传统网络而言，一旦提到运维和维护，就感觉是机房隔壁的事情，感觉在自己家里一样，可以非常灵活的实施。而在云端却不一样，无论是对外提供访问的服务，还是进行运维，都需要通过互联网进行远端操作。这时候的边界怎样，安全防护如何落实，这都是许多用户需要面临的挑战。

随着应用系统数量的增加，面临的风险也会越来越多。在云端和传统网络之间的差异更加明显。虽然现在有人认为网络的边界在逐渐消亡，但是在传统网络当中，至少还会有数据区、服务区、云维区、办公区，甚至还会有安全域的概念。但是在云端的安全问题，并非传统网络的安全问题消亡了，而是在集成传统安全问题的同时，又衍生出了新的问题，包括运维和开发等一系列的问题。

近年来，随着云计算的迅猛发展，以及国家对云计算的大力支持，使得一些电子政务系统，或者重要信息系统已经迁到云端。我们要做的就是提供相关的安全保障。那么如何实现安全保障的呢？

对于云租户在云端的安全，我们认为可以通过以下两个方面来提供保障。

第一个就是整个平台的安全。对于云租户而言，如何选择厂商，或者选择基础云平台提供商。我们建议在选择云平台时尽量找那些技术实力雄厚的、大型的专业公司，以他们的公有云为基础，然后在此基础上构建自己的专用云。

第二个就是整体安全运营的保障能力。我们需要对云端的系统做一个全天候的监测和运营服务，包括云监测、云防御和云运营等。在数据和运维安全方面，包括数据库审计、数据库漏扫和运维审计。在应用安全方面，包括访问控制，应用安全防御和审计，应用安全检测，云加速和流量清洗。除了传统网络层的防控之外，主要在应用层的防护策略，包括对业务层的威胁进行分析挖掘协助处置。

对于整体安全运营的保障能力，更重要的部分是需要借助现有的一些基础设施和安全设备，并在此基础上提供MSSP服务，为云端用户集成更多的数据，最终形成安全价值，使得用户的安全水平提升到最高阶段，形成了较为全面的安全运营服务能力。

在Web安全外包方面通过三个方面来实现，包括初期的体检与监测，到日志监控，云安全防御，最终实现了实时监测、快速响应、主动防御和积极反制的一个的防护效果。

在云安全运营方面，尽可能的收集更全面的数据来源，包括整个数据链路上网络设备，或者节点日志。另外，通过互联网网络空间采集的数据，需要我们去做整体安全运营，其中包括两个数据，一个是静态数据，就是我们系统内容方面的数据，可以让我们快速对该业务进行定位，它在内容层面是否安全的一个重要参考。另一个就是动态数据，是指访问的行为、流量，该数据通过各个节点，各个层级的数据进行关联，包括访问路径，攻击路径，以及最终产生的影响，最终进行评估，这样就可以形成快速的响应能力，结合线下应急响应团队，可以把云端团队的服务提升到更高的水平。

由于云平台的发展刚刚起步，无论是云端的安全，还是整个生态云，才刚起步，所以我们希望云租户和云平台商，多给安全厂商一些机会，多给一些试点，或者更好的建议，让我们一起提升云端的安全水平，这样就能大大增加整个云平台的信任度，最终受益的还是大家。