簡介

公共云向尋求競爭優勢的企業提供了許多好處。成本節省、彈性和可伸縮性促使更多企業采用公共云。最近的一份 Gartner 報告預測，公共云服務市場的價值到 2017 年將超過 2440 億美元。

直到最近，公共云主要用于非任務關鍵型功能中，比如測試和開發。盡管存在一些在實際生產工作負載中使用公共云的成功案例（例如 Netflix 對 Amazon Web Services 的使用），但由于安全性和合規性擔憂，大多數企業仍對委托其敏感數據和任務關鍵型功能保持謹慎。

安全性和合規性擔憂屬于法律問題。但是，我們發現這些擔憂從某種程度上講是由于缺乏與云安全相關的明確性和最佳實踐而造成的。這并不奇怪，因為存在不同的云計算模型，每種模型有不同的預期和需求。而且不是所有云服務提供商都是以相同方式創建的。一些提供商最初主要專注于可伸縮性、易用性和可訪問性，然后才開始關注安全性。另一方面，其他提供商一開始就擁有內置的安全性和戰略優勢。

在本文中，我們將了解公共云中的數據安全，并討論以下內容：

如今的云服務提供商所提供的云計算模型云安全

云計算模型

對云安全的討論需要理解云計算模型，因為每種模型具有不同的預期和需求。在其專門刊物 SP 800-145 中，美國國家標準與技術研究院 (NIST) 定義了 3 種云計算模型，如下所示：

軟件即服務 (SaaS)

使用者使用提供商在云基礎架構上運行的應用程序。各種客戶設備可以通過一個瘦客戶端接口訪問應用程序，比如 Web 瀏覽器（例如基于 Web 的電子郵件）或程序接口。使用者不用管理或控制底層云基礎架構，包括網絡、服務器、操作系統、存儲，甚至是各個應用程序功能，這方面的一個例外可能是需要執行特定于用戶的有限的應用程序配置設置。SaaS 提供商示例包括 Salesforce.com 和 Google。

平臺即服務 (PaaS)

使用者可以在云基礎架構上部署使用者創建的應用程序，或者所獲取的使用提供商支持的編程語言、庫、服務和工具創建的應用程序。使用者不用管理或控制底層云基礎架構，包括網絡、服務器、操作系統或存儲，但能夠控制部署的應用程序和應用程序托管環境的可能的配置設置。PaaS 提供商示例包括 IBM Bluemix 和 Microsoft Windows Azure。

基礎架構即服務 (IaaS)

使用者擁有在他們部署和運行軟件的地方配備處理、存儲、網絡和其他基礎計算資源的能力，包括操作系統和應用程序。使用者不用管理和控制底層云基礎架構，但能夠控制操作系統、存儲、部署的應用程序，并可能有限地控制少數網絡組件（例如主機防火墻）。IaaS 提供商示例包括 IBM SoftLayer 和 Amazon Web Services (AWS)。

圖 1 顯示了 3 個云計算模型中云服務提供商管理的內容和客戶管理的內容。

　　揭示云安全

采用任何云計算模型，都需要考慮 3 個安全領域的問題：

身份，包含用戶識別、訪問管理和授權。保護，涉及基礎架構、數據和應用程序的保護和可用性。洞察，指獲取用戶活動、威脅智能和合規性的洞察。

客戶安全目標

客戶的主要安全目標通常反映了他們在采用云時的職責。表 1 總結了每種云計算模型的這些目標，提供了滿足這些目標所需的安全功能的示例。

　　共享安全責任

對于云安全，要認識到的最重要的一點是，部署在公共云上的任何客戶工作負載的總體責任在客戶與云服務提供商之間共享。在將工作負載遷移到公共云之前，理解安全職責的劃分對客戶非常重要。云服務需要提供商展示認證和審計報告，確認其安全責任共享情況，這對客戶同樣至關重要。
云服務提供商的職責

云服務提供商的職責首先是物理和環境安全。畢竟，云服務提供商操作著一組數據中心。要考慮的重要方面包括員工的物理訪問、火災檢測和控制、電力連續性、服務器和其他硬件設備的氣候和溫度控制，以及解除配置的存儲設備的數據清理。圖 2 展示了典型的云服務提供商的安全職責。

下一個級別的職責是網絡安全，包括防火墻和其他網絡安全設備，用來監視和控制網絡的外部邊界上和網絡內的戰略性內部邊界上的通信。這意味著防御傳統的網絡安全問題，比如分布式拒絕服務 (DDoS) 攻擊、未授權的端口掃描、數據包嗅探和 IP 欺騙。網絡安全還包含保護客戶組織與云服務提供商之間的數據傳輸。示例包括將數據上傳到對象存儲，比如 IBM SoftLayer 上的 SWIFT 或 AWS Simple Storage Service (S3)。在這種情況下，通常使用安全套接字層 (SSL) 來防止竊聽和篡改。

更高級別的責任依賴于客戶采用的云計算模型。例如，如果客戶采用 IaaS 模型，那么云服務提供商的職責將止于虛擬機管理程序級別。以下是兩個領先的公共云提供商所采用的模型：SoftLayer 和 AWS。如果客戶采用 PaaS 模型，那么云服務提供商的職責將延伸到額外的安全領域，比如身份和訪問管理、數據安全，以及漏洞管理。如果客戶采用 SaaS 模型，那么云服務提供商的職責將進一步擴展，包含應用程序漏洞測試和修補。

要說服客戶放心地采用云服務，云服務提供商必須獲得安全認證，并分享證明其云服務的安全性的審計報告。基本上講，云服務提供商必須證明，云 IT 基礎架構是使用安全最佳實踐和行業標準而設計和管理的。證明這一點的最佳方式是通過認證，比如 ISO 27001、聯邦信息安全管理法案 (FISMA)、聯邦風險和授權管理項目 (FedRamp)、支付卡行業數據安全標準 (PCI DSS)、SOC、云安全聯盟 (CSA)、服務組織控制報告 (SOC2, SOC3) 和安全港協議。SoftLayer 和 AWS 分別在 SoftLayer Cloud Security 和 AWS Security Center 上發布了其安全聲明。
客戶的職責

客戶的首要職責是理解他們打算遷移到云的工作負載的風險概況并鑒定其資格。選擇將證明其云服務的設計和管理與安全最佳實踐和行業標準一致的云服務提供商時，需要執行盡職調查。這包括有關 IT 基礎架構的高可用性和客戶數據將實際存儲的位置的咨詢。例如，如果客戶的數據不得離開某個地理位置，或者不得位于某個特定的地理位置，那么客戶必須獲得將根據其地理要求來存儲數據的保證。

客戶應考慮通過執行技術控制來滿足安全、隱式和合規性需求的職責。這些職責從云服務提供商的職責結束的地方開始。它們也依賴于使用的云服務模型。例如，如果客戶采用 IaaS 模型，那么他們需要全面負責他們部署在所配備的基礎架構上的任何功能。這包括管理用戶對工作負載和系統管理職責的訪問；保護工作負載，比如操作系統加固、數據庫加固、存儲加密和主機防火墻；監視和合規性報告。另一方面，如果客戶采用 PaaS 模型，則需要確保他構建的應用程序是安全的。這包括管理用戶對應用程序的訪問，應用程序安全測試和數據加密，以及監視和合規性報告。如果客戶采用了 SaaS 模型，那么客戶的職責將包括管理用戶對 SaaS 應用程序的訪問、數據令牌化，以及監視和合規性。

為了滿足安全、隱私和合規性需求，客戶可以采用他們引入云中的技術控制，他們也可以使用來自云的服務。例如，使用 IaaS 模型的客戶可選擇使用 IP 表或利用云服務提供商所提供的解決方案（比如 AWS 上的安全組概念），加固一個部署在所配備的基礎架構上的 Linux 操作系統。類似地，客戶可選擇帶來并部署一個虛擬設備,以便保護部署在配備的基礎架構上的數據庫。另一個示例是 PaaS 客戶利用來自云的應用程序安全掃描服務，掃描應用程序中的安全漏洞。

結束語

本教程探討了您需要知道的云安全知識，讓您可以放心地采用云。客戶需要理解他們打算遷移到云的工作負載的風險概況并鑒定其資格。認識到云安全是云服務提供商與客戶之間的共同責任也非常重要。在將工作負載遷移到公共云之前，客戶必須理解安全職責的劃分對客戶至關重要。

不是所有云服務提供商都是以相同方式創建的。選擇能證明其云服務的設計和管理與安全最佳實踐和行業標準一致的云服務提供商，這對客戶至關重要。

通過遵循這里的建議，以及協商滿意的服務水平協議 (SLA)，客戶可實現相當于或優于他們在現場實現的安全性的數據安全。例如，與大多數客戶在現場的操作相比，領先的云服務提供商對其基礎架構的管理具有 更高的自動化水平。自動化最小化了由于手動干預而導致的錯誤配置風險。統計表明，超過 60% 的安全破壞是因為錯誤配置而導致的。作為一條基本的安全原則，可用性是另一個示例。小企業可能無法提供多個地理上分散的災難恢復 (DR) 站點。借助正確的云服務提供商，小型企業可以擁有實現業務連續性的更好機會。

領先的云服務提供商實現了連續安全監視，而許多客戶并未在現場實現此功能。連續安全監視提供了威脅可視性，可以預防漏洞由于發現延遲而帶來重大風險。有了正確的云服務提供商，所有規模的客戶都可以從連續安全監視受益。

節選文章出處：http://www.ibm.com/developerworks/cn/data/library/techarticle/dm-1408datasecuritycloud/index.html