企业上云后的安全关切及解决之道

山东 张雨

国家实施云战略，主要是克服各单位信息化设施和人员大而全、小而全，设备利用率低下、数据无法共享、软件重复开发、安全没有保障、企业的信息化成本愈来愈高的问题。

基于此，各级政府部门、企业集团等纷纷推出云计划、云方案等。由上级部门建设或统一租用云服务平台面向本级和下属企事业单位提供按需的云计算服务，以提高政府资产利用率，降低政府信息化投入成本。但是企业上云决不是一蹴而就的，尤其是其安全保障问题是不得不认真考虑的。

云租户担心什么

云平台建设完成后，多家单位的多个业务系统迁移上云。但作为业务系统拥有单位始终对自己的系统能否在云上安全稳定运行存在顾虑，并且一些上云的业务也确实陆续出现了一些这样那样的问题，用户关心的问题概括起来主要有以下方面：

一是认为自己的业务系统很重要，安全要求很高，不想和其他单位的系统混在一起。

二是认为云平台无法提供满足自己安全需求的安全产品，不能让其了解业务系统的防御状态、安全日志等。

三是想知道自己的系统在云上是如何部署的以及业务流量如何。

四是担心业务系统数据被云服务商非法窃取。

云安全存在的现实问题

用户的担心并非杞人忧天，确实有云平台上就有业务系统遭受到了黑客攻击的情况发生。这使得租户上云的积极性受到影响。通过分析评估，认为云的安全风险主要在以下几个方面：

一是安全责任边界不清晰：业务系统上云后没有明确各参与方的安全职责，云租户认为运营商会总体负责，而运营商则认为租户会自行负责。另一方面，运营商还负责部分运维和运营，导致双方的安全职责划分不清。

二是缺乏完善的云安全解决方案：由于虚拟化和大数据等新型技术的应用，云上的网络安全和自主保障时候的网络安全情况差别很大，对云上的安全措施心里没底。部分业务系统在云上基本没有单独定制防护措施，如果虚拟机之间的安全隔离防护不当，则可能导致一个租户的信息系统出现故障会影响其他租户信息系统的安全运行。

三是运营商运维压力巨大：运营商投入了大量资源配合租户迁移业务系统的同时，也间接承担了部分的运维工作，上云结束后这部分工作再如何顺利地移交到租户那里成了难题。

四是缺乏全网态势感知能力：大量的业务系统在云运行，在业务集中的同时也导致了风险的集中。而且部分云运营商缺乏技术手段，无法及时发现安全漏洞和安全事件，只能在发生安全事件时被动地进行应急补救措施。

五是国家等级保护制度推行不到位：网络安全法己明确规定信息系统需要满足等级保护要求，云上业务系统也不例外。而上云以后无法有效地进行业务系统边界界定，云安全的等级保护无法推行。

解决方案探讨

为了解决云的安全问题，促进业务系统安全上云，经过多方对比论证认为，云提供商应该用一个统一的安全管理平台，打开这样的控制平台，就可以一目了然的看到云上整个安全策略的运行情况和资产情况，可以对威胁进行及时的响应和处理，而不需要登录到不同的平台上去管理安全。如果能够让企业内部的安全产品相互协同工作，这能在很大程度上节省企业的IT 开支，这种开支既包括人力成本，也包括产品成本。这就是为什么说统一的安全管理平台才是企业最好的安全方案。

这种安全管理平台主要是通过虚拟化技术将众多安全产品能力集成起来，以服务的方式将各种安全能力提供给云租户。既可通过一个层面解决不同的安全问题，满足业务系统的多个安全需求，又能够紧密结合服务链技术，实现安全资源灵活调度、动态扩展和按需交付，从而全面满足上云业务对安全部署的要求。

该方案以“SaaS（安全即服务）+NFV（网络功能虚拟化）”技术为依托，聚焦业务安全，灵活调度安全资源，具备可视、可控、安全资源自动化部署、弹性扩展等特点，可较好地满足云平台的安全防护需求。目前国内网络安全提供商已经有类似方案，但不尽相同，购买时要注意从多方面进行比较选择。该防护方案具有以下特点：

一是弹性可扩展安全平台。通过服务链技术按需灵活调度业务流量，使安全资源的部署与物理网络位置无关。基于硬件虚拟化技术，为虚拟设备独立运行提供资源保障，结合集群堆叠技术提供安全可靠的安全服务。系统全面兼容硬件和NFV 方式的安全平台，安全资源可在线扩容，业务运行不受影响。

二是全面的安全防护服务能力。除防火墙、负载均衡、VPN 等基础网络安全服务，该平台还具备云监测功能，主要包括：网站的7×24小时监测，如网站的漏洞、安全事件等，可实现对已上云和未上云网站的监测；云防御，主要包括：Web 应用防火墙、虚拟防火墙、虚拟IPS 等，可为云应用系统提供完善的防护能力；云审计，主要包括：全网的流量审计和日志审计，通过大数据方法进行安全分析；云合规，主要包括等级保护预测评服务，以及网页防篡改、云数据库审计、云堡垒机等服务，结合虚拟网络隔离技术，全面满足用户安全等保合规建设需求。

三是安全可视化管理。可实现安全拓扑、业务风险、安全合规等可视化管理，使安全运维管理变得简单。

四是安全业务自动化编排部署。通过SDN（软件定义网络）与服务链技术的结合，可实现网络和安全资源的一体化管理与调度。云数据中心安全业务部署所需的安全资源分配、业务流量调度和安全策略部署得以集中交付，实现安全业务的自动化部署。

满足运营商的利益关切

该云安全方案充分考虑了云平台和云租户双方的利益关切。可以做到：

一是及时掌握所有租户业务的可用性。通过云安全管理平台的大数据分析系统和可视化功能，展示了整个云平台的所有租户的网站应用概况。通过此视图可以让云平台建设方和运营商了解整个云平台到底有多少网站业务存活，有多少网站出现访问异常。云运营商可以针对网站出现的访问异常情况进行跟踪，提供增值服务。

二是形成丰富的增值服务产品。采用云检测、云防御、云审计方式，根据不同的要求提供不同的个性化服务，可按网站数、数据库数、并发用户数等指标作为收费依据，可以帮助云平台的运营商获得丰富的增值服务产品，一方面可以让云租户有更丰富的安全产品选择，另一方面也可以帮助云平台尽快收回成本实现盈利。

三是可随时了解所有租户的业务安全状况。通过平台视图可以了解整个云平台所有租户的业务安全状态。例如：整个云平台的安全漏洞类型和高危端口分布情况、有多少业务存在安全漏洞和安全事件、最新的安全事件取证分析、0day 漏洞的分布情况等，大大提升云平台的应急响应能力。

四是云平台防御动态展示。通过云安全平台的防御动态展示功能，可以帮助云平台了解自身的安全防御状态。例如，云平台建立了Web应用防护清洗能力，通过此视图就可以了解目前有多少用户启用了Web 防护，整个云平台受到了哪些类型、哪些地方和哪些IP 的攻击，提示云平台及时采取有效措施。

五是高危漏洞影响快速评估。信息安全态势瞬息万变，每天都会有很多漏洞被发现、被利用，平台可以帮助云平台运营商快速完成0day漏洞的分布情况等。

满足云租户安全关切

主要为云租户提供定义安全策略，自助分析安全日志，自助部署安全产品的能力。

一是应用防护效果一目了然。通过云安全运营平台的网站防御监测视图可以了解租户已经开通Web 防护的业务应用状态，也可以了解最新的攻击动态，包括攻击国家排行、攻击IP 排行和攻击URL 排行等；还可以实时展现出网站的攻击流量比例，随时知道网站在全国各省的状态。

二是运行状态清晰可控。通过提炼形成每个租户的业务防护结构图，展示租户相关应用设备的运行状态，方便租户查看和管理。

三是方便云租户定制安全方案。在云平台上传统的安全防护设备都无法按照原始模式交付，如传统的防火墙、IPS、WAF、日志审计等都无法在云平台安装。即使厂家按照软件方式交付，也会存在日志和流量采集困难，无法达到防护策略的最佳效果、无法关联分析等。本方案可以帮助云租户以最小的成本和最便捷的方式开启云上安全防护方案。