企業正以迅猛的速度采用云服務，因為他們意識到可擴展性、靈活性、敏捷性、和更好的工作負載分配的利益-所有這些都以較低的成本實施。但是傳統智慧堅持認為公共云只能處理不太重要的數據和應用程序，而更敏感或隱私的數據應該只在企業的私有云進行處理。
這真的是最好的選擇嗎?這是一個可以理解的反應卻不是一個合乎邏輯的反應。我預測我們實際上會因為更高的安全性而將它們發送到云的時代，而不是“冒操作風險至云”的時代即將到來- 但首先我們需要更仔細地看看人類對風險的觀感 ...
云上的安全
在每個人都可以放松并享受飛行之前，我們必須多少次被告知飛行比乘車更安全?這沒有簡單的答案，因為飛行的恐懼有著強烈的情感和本能基礎，這種直覺需要很長的時間才能適應邏輯的論點。
坐在自己的汽車內，特別是如果你是司機，提供了一種控制感或至少可以理解的風險感覺，而航空客運的乘客甚至無法看到駕駛員或朝哪里飛去。還有就是空難新聞比車禍更大的事實。圖1(數字來自維基百科)，比較每十億趟行程的死亡率，表明乘坐汽車或徒步旅行比乘飛機安全三倍- 不過這是因為徒步的平均行程大概不到一公里，而從紐約開車到新奧爾良對平均汽車行程來說又太遠了。
圖2將記錄攤平為每十億公里的死亡率，空中旅行平均只有0.05人死亡，幾乎在圖形上看不見。我們現在看到油脂多米諾“走去新奧爾良”做了錯誤的選擇-他應該飛去才對。
我們的直覺告訴我們，在云層之上每小時800公里旅行要比在地面上每小時6公里行走更加危險，而我們的直覺是正確的。但這也正是為什么全球商業和政府規章在一個多世紀以來已經投資數十億美元克服這種危險，使圖2成真。事實上，乘飛機旅行的最大風險不是發生在飛機上，而是在往返機場的途中。
云計算也正是這么回事。我們的直覺告訴我們，保留關鍵流程在我們自己的數據中心比較安全，因為我們知道它在哪里以及誰可以訪問它，但有價值數十億美元的企業正盡一切努力確保我們的直覺是錯誤的-他們大量投入于系統以保護云數據和操作，因為他們本身的聲譽和云計算的未來取決于它。當然云產業知道它是網絡攻擊的目標- 正如同飛機是恐怖分子有吸引力的目標 - 但是這也正是為什么那么多錢花費在防止這些攻擊上，比最多可能用來保護私有云的還更多。
事實上，最大的風險不在云里，而是在到云的旅途中-就像到機場的旅途中一樣。這個事實一旦被了解，避免信任將關鍵數據途經互聯網到云，并且使用以太網專線連接到云，就有道理了。
這是一個老企業的陳詞濫調：購買決策很大程度上依賴情感與情緒，這個陳詞甚至在當做出深思熟慮的IT選擇時也部分是正確的。需要的是更清晰的理解實際的而不是直覺的云風險、他們的相對重要性、以及如何最好地減少風險。CEF(Cloud Ethernet論壇)通過分析下面四類用例的安全挑戰來解決這個需要：
· 云內安全
· 云網絡
· 隱私問題
· 從云來的安全
云內安全
你不發送數據到云以免它被不良處理或丟失。云服務必須以高質量和維護良好的基礎設施來實現。其實這是公共云的主要吸引點之一：云計算在“按使用支付”的基礎上使用最新的技術以提供最先進的服務，而不是持續的負擔更新電腦的應用程序、操作系統、和安全。
數據完整性和云服務性能直接取決于云基礎設施的穩定和正常運行，必須防止意外事件如人為操作失誤、停電、和自然災害。
云客戶主要關心的是他們的數據必須為合法用戶可以訪問，但不給未經授權的用戶訪問。云中的訪問管理和用戶身份識別至關重要。這不僅僅是數據竊取保護：云輔助的機器對機器(M2M)通信和物聯網(IoT,Internetof Things)要求分配只訪問由現有合同協議與云信息供應商所涵蓋的設備。
再有就是“對未知的恐懼”的一個特定的例子：為很多今天的云服務的基礎的虛擬化技術添加漏洞。針對虛擬機的分布式拒絕服務(DDoS)攻擊可能會加劇虛擬機管理程序的服務降級，而為保護非虛擬化系統的傳統解決方案可能是不夠的。這樣的攻擊流量應該在進入目標虛擬機之前被過濾。
云網絡安全
據顯示，去機場的旅程可能比飛行本身風險更大，這同樣適用于云。無論云內的操作如何安全且高效，如果云之間或用戶與云之間的數據傳輸變得有如高峰時段去機場的一輛車一樣不確定時，則一切皆歸枉然。當你考慮許多數據傳輸的大小和許多用戶的低延遲要求時，這可能是一個相當大的挑戰。加上在網絡上的網絡攻擊風險 -或者在去機場的路上被劫持- 所以您需要在保護網絡安全與仍然允許快速、低延遲的連接之間取得平衡。
加密云和客戶之間的每一個數據比特增加了沉重的計算負擔，而且不是每一個比特都同樣敏感：所以需要針對每種類型的數據安全級別的客戶和供應商之間的協議?；ヂ摼W服務供應商應保證在物理層的數據傳輸安全，而且云與客戶之間的虛擬專用網(VPN)解決方案是一種更讓人放心的數據傳輸過程中提供安全性和隱私性的手段。再加上常用的入侵檢測解決方案-防火墻、DPI、威脅管理、日志管理、防病毒服務等。
正如服務器虛擬化增加了云中的不確定因素，所以網絡虛擬化也添加正反兩方面的潛力。通過分離控制層和數據層，SDN使網絡結構更加靈活：這將限制惡意訪問數據層，除非攻擊者獲得訪問控制層。因此更重要的是保護控制層防止惡意訪問和攻擊。作為云虛擬機監控程序，控制器將是DoS和信息披露的攻擊目標。諸如速率限制、事件過濾、丟包和超時的調整等技術，應該被部署在控制層以幫助抵御這種攻擊。
隱私問題
我們已經解決沒有人希望他們在云中的數據被泄露或被篡改的這個較為明顯的問題。這個問題需要進一步的階段：用戶可否依靠云來“解決一個問題而不需知道問題是什么”?
這尤其適用于大規模大數據或數字運算操作。以某銀行為例，作為其投資組合管理的一部分可能沒有內部的數字運算能力來解決大規模的優化問題，因此它可能需要使用云計算資源。但實際的數據集包括了不應該泄露給第三方或公眾的一些敏感信息。諸如同態加密的技術應當能夠處理該數據，而無需實際內容被顯示，且能證明使用這種解決方案，而(a)加密的輸入、(b)解密方案、和(c)驗證解決方案的正確性所增加的計算開銷必須遠低于計算任務本身的復雜性。
另外一個因素是各國政府關于數據路由越來越多的關注。云數據審計需要高效以及易于實施，并且必須同時保留被審計數據的隱私。
云安全管理(CMS)
這是一個特別有前途的發展，最好以供水的比喻來解釋。一個服務提供商如果讓惡意軟件和垃圾郵件到達客戶端，并因此希望每個客戶購買并依靠自己的防御措施(防火墻、殺毒軟件、郵件過濾等)就相當于一家自來水公司提供被污染的水到用戶家。我們應該期待數據和服務干凈送達，并如同好的自來水一般可以安全飲用。
云安全管理由集中的、一致的、和靈活的云計算啟用的安全取代了傳統的、復雜的、往往效率不高的分布式安全方法。這種“安全即服務”可以建立在云的無縫檢測、管理、和監測解決方案上，并將需要滿足幾個要求。它必須是：足夠強大的以保證云和客戶之間的連接;足夠全面的以取代所有本地安全設施，諸如防病毒軟件、過濾器、和防火墻;它必須在具有不同的安全與其他需求和操作的客戶間是一致的;并且必須在精確的實時、低延遲的惡意軟件檢測和處理方面提供高服務質量。
轉移本地安全安排到云，以這種方式，將削減整體成本，并顯著改善用戶體驗與越來越提高的便利性。作為云提供商的托管服務，它提供了一種全新的商業機會，其中的云，不是被客戶視為風險的來源，而成為規避風險的手段。該服務可以采取許多形式。
因為基于周邊的技術，任何流量到達客戶的周邊將重新定向到云作安全檢查、處理、并返回給客戶?；谠O備的安全解決方案，諸如代理設備、在客戶網關的防火墻等，可以使用加密和彈性的方法，如IPsecVPN重新定向到云中。對于更高級別的安全性需求，SSL可以保護通信而不管底層連接的類型，并且能進一步支持便攜式設備的用戶。
通過適當配置在互聯網上的DNS服務器，并采用代理機制，一個更簡單的解決方案可以將數據直接轉移到云中進行安全檢查和執法。所以云充當客戶和公共互聯網之間的公路檢查站內聯。它由云中的一個服務器集群來檢查比特單元中的數據。SaaS服務、GRE隧道、代理鏈、端口轉發、Web瀏覽器代理配置是可能被用來滿足不同需求和達到足夠效率的一些方法。
網絡功能虛擬化安全(NFV-S)是第三種方法，也是一個基本的新范式，它充分利用了最新的網絡虛擬化和SDN技術。到達客戶家庭網關、邊緣路由器、或 vSwitch上的數據流量，將被虛擬化為虛擬重疊流傳輸到云中，由虛擬化的網絡安全功能操作，這些功能建立于為過濾和反垃圾郵件/防病毒的數據檢測和安全智能模塊。云還主持管理和控制模塊，如計費、安全服務訂閱和管理、事故和事件匯總、服務提供、網絡配置、和目錄和報告服務?？蛻舻臄祿髁浚涍^安全檢查和執法后，接著從安全管理云發送到客戶的目標網絡。
結論
盡管你在高空云層的飛機中被證明有更高的安全和安全性，我懷疑，即使霍華德·休斯也不會選擇余生在飛機場之間飛行。但也有一些人選擇退休后住到巨型郵輪的房間，享受安全、以及龐大的遠洋客輪的所有服務。
已經完成如此的規模，郵輪的運營商可以投資如此多以致不僅提供優秀的服務，而且能將攻擊或事故的風險降到最低，它真的開始看起來像一個比在陸上買私人住宅更安全和更好的交易。
這就是我們所感知的云將來可能發生的情景。它會被認為是最好的和最安全的存儲和處理數據的方式-無論這些數據是多么隱私和多么關鍵。
京公網安備 11010502049343號