本文將安全云技術(shù)與應(yīng)用從這個角度出發(fā)，深入探討云計算在網(wǎng)絡(luò)安全領(lǐng)域應(yīng)用所衍生出的一類新興云計算服務(wù)--安全云服務(wù)，結(jié)合云計算定義和特征以及安全服務(wù)的特點(diǎn)分析，詳細(xì)介紹安全云服務(wù)的定義、特征、分類、技術(shù)實(shí)現(xiàn)、實(shí)施和部署等相關(guān)內(nèi)容。本節(jié)為大家介紹安全云服務(wù)的定義和特征。
7.1 安全云服務(wù)的定義和特征
7.2 安全云服務(wù)技術(shù)與實(shí)現(xiàn)
7.3 安全云服務(wù)部署和應(yīng)用
深入分析NIST的云計算定義，我們可以認(rèn)為云計算的本質(zhì)就是在將計算資源和能力集群和池化的基礎(chǔ)上，通過互聯(lián)網(wǎng)絡(luò)為用戶提供透明、便捷、按需、自助的服務(wù)。作為一種全新的技術(shù)和業(yè)務(wù)模式，資源在云端的高度集中化以及業(yè)務(wù)提供的網(wǎng)絡(luò)化，都對網(wǎng)絡(luò)安全提出了新的要求。那么如何保證用戶在使用云計算服務(wù)過程中的機(jī)密性、完整性、可用性以及業(yè)務(wù)的連續(xù)性，就將是關(guān)系到云計算能否投入實(shí)用的最關(guān)鍵的環(huán)節(jié)。
本書以上各章在分析了云計算存在的各種安全風(fēng)險的基礎(chǔ)上提出了相應(yīng)的解決方案，解決了云計算應(yīng)用安全的問題。從這個角度看，網(wǎng)絡(luò)安全的實(shí)施促進(jìn)了云計算的部署和實(shí)施，是推動云計算得以迅速發(fā)展的一個關(guān)鍵要素。但對于網(wǎng)絡(luò)安全與云計算之間的關(guān)系，我們還應(yīng)該看到另外一方面，即云計算在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用同樣也可以為網(wǎng)絡(luò)安全技術(shù)和服務(wù)的發(fā)展起到革命性的促進(jìn)作用。本章就將從這個角度出發(fā)，深入探討云計算在網(wǎng)絡(luò)安全領(lǐng)域應(yīng)用所衍生出的一類新興云計算服務(wù)--安全云服務(wù)，結(jié)合云計算定義和特征以及安全服務(wù)的特點(diǎn)分析，詳細(xì)介紹安全云服務(wù)的定義、特征、分類、技術(shù)實(shí)現(xiàn)、實(shí)施和部署等相關(guān)內(nèi)容。
7.1 安全云服務(wù)的定義和特征
將云計算技術(shù)應(yīng)用于網(wǎng)絡(luò)安全領(lǐng)域，將網(wǎng)絡(luò)安全能力和資源云化，并且通過互聯(lián)網(wǎng)為客戶提供按需的網(wǎng)絡(luò)安全服務(wù)，從而實(shí)現(xiàn)一種全新的網(wǎng)絡(luò)安全服務(wù)模式，這種安全服務(wù)模式通常稱為安全即服務(wù)(Security as a Service)，往往也簡稱為SaaS。為了避免與云計算模式的軟件即服務(wù)(Software as a Service，SaaS)相混淆，在本書中將這種業(yè)務(wù)模式稱為安全云服務(wù)(Security Cloud Service，SCS)。
安全云服務(wù)是將云計算技術(shù)和業(yè)務(wù)模式應(yīng)用于網(wǎng)絡(luò)安全領(lǐng)域而出現(xiàn)的產(chǎn)物，因此在定義安全云服務(wù)前我們先來看看云計算的定義。
根據(jù)美國國家標(biāo)準(zhǔn)與技術(shù)研究院(National Institute of Standards and Technology，NIST)的定義，云計算是一個模型，這個模型可以方便地按需訪問一個可配置的計算資源(例如，網(wǎng)絡(luò)、服務(wù)器、存儲設(shè)備、應(yīng)用程序以及服務(wù))的公共集，這些資源可以被迅速提供并發(fā)布，同時最小化管理成本或服務(wù)提供商的干涉。根據(jù)這個定義可以看到，在將云計算技術(shù)應(yīng)用于網(wǎng)絡(luò)安全領(lǐng)域?qū)崿F(xiàn)安全云服務(wù)時主要應(yīng)該體現(xiàn)云計算的以下幾個特征。
(1)計算資源和能力的集群和池化。將計算資源和能力集中起來為多個用戶共享服務(wù)，并根據(jù)客戶的需求動態(tài)分配或再分配不同的物理或虛擬的資源。
(2)以互聯(lián)網(wǎng)絡(luò)為基礎(chǔ)的業(yè)務(wù)提供途徑。用戶可以隨時隨地通過網(wǎng)絡(luò)使用云計算服務(wù)提供的各種計算資源和能力。
(3)按需自助服務(wù)。系統(tǒng)具備為用戶提供靈活的計算資源的管理和分配能力，能夠?yàn)橛脩籼峁┓掀錁I(yè)務(wù)需求的、可伸縮的業(yè)務(wù)能力。
(4)服務(wù)透明化。用戶在使用服務(wù)時無須知道云內(nèi)部資源的結(jié)構(gòu)、實(shí)現(xiàn)方式和地理位置，用戶可以在最小化管理成本和業(yè)務(wù)提供商交互的情況下獲得自己所關(guān)心的業(yè)務(wù)實(shí)現(xiàn)資源。
(5)業(yè)務(wù)提供服務(wù)化。用戶通過云服務(wù)獲得滿足自己需求的計算資源和能力，而非買斷、擁有和維護(hù)特定的IT有形產(chǎn)品。
以上幾個特征是云計算的核心所在，在安全云服務(wù)的部署和實(shí)施中如何植入和體現(xiàn)這些特征，是在網(wǎng)絡(luò)安全領(lǐng)域延續(xù)云計算生命力的關(guān)鍵。因此，借鑒NIST對于云計算的定義，并保證云計算各大特征的延續(xù)性，我們可以得到如下安全云服務(wù)定義。
所謂安全云服務(wù)就是云計算技術(shù)在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用和拓展從而實(shí)現(xiàn)網(wǎng)絡(luò)安全即服務(wù)的一種技術(shù)和業(yè)務(wù)模式，它通過將提升網(wǎng)絡(luò)安全能力(包括訪問控制、DDoS防護(hù)、病毒和惡意代碼的檢測和處理、網(wǎng)絡(luò)流量的安全檢測和過濾、郵件等應(yīng)用的安全過濾、網(wǎng)絡(luò)掃描、Web等特定應(yīng)用的安全檢測、網(wǎng)絡(luò)異常流量檢測等)等的資源集群和池化，使用戶在不需要自身對安全設(shè)施進(jìn)行維護(hù)管理以及最小化服務(wù)成本與業(yè)務(wù)提供商交互的情況下，通過互聯(lián)網(wǎng)絡(luò)得到便捷、按需、可伸縮的網(wǎng)絡(luò)安全防護(hù)服務(wù)。
根據(jù)以上定義，安全云服務(wù)同樣具備五個方面的特征。
(1)安全云服務(wù)以網(wǎng)絡(luò)安全資源的集群和池化為基礎(chǔ)。這些安全資源包括了滿足各類客戶安全防護(hù)需求的各種安全能力，包括在定義中指出的訪問控制、DDoS防護(hù)、病毒和惡意代碼的檢測和處理、網(wǎng)絡(luò)流量的安全檢測和過濾、郵件等應(yīng)用的安全過濾、網(wǎng)絡(luò)掃描、Web等特定應(yīng)用的安全檢測、網(wǎng)絡(luò)異常流量檢測等，并且在這些安全資源的池化過程中還將因?yàn)槠浒踩婪短攸c(diǎn)及安全云服務(wù)模型的不同而不同。這部分內(nèi)容將在7.2.2節(jié)中進(jìn)行詳細(xì)探討。
(2)安全云服務(wù)以互聯(lián)網(wǎng)絡(luò)為中心，互聯(lián)網(wǎng)絡(luò)為其服務(wù)提供的唯一途徑。根據(jù)這一特征，傳統(tǒng)的一些安全服務(wù)，例如可管理的安全服務(wù)(Managed Security Service，MSS)(包括傳統(tǒng)的安全事件監(jiān)控、安全接入、防病毒、木馬查殺、內(nèi)容安全監(jiān)控、入侵檢測、DDoS攻擊防護(hù)、安全掃描等安全服務(wù))、網(wǎng)絡(luò)安全管理(Security Operation Center，SOC)業(yè)務(wù)通過適當(dāng)?shù)母脑欤瑢⒖梢猿蔀榘踩品?wù)的重要組成部分。而一些傳統(tǒng)的并非以網(wǎng)絡(luò)為提供途徑的安全服務(wù)，如安全代維業(yè)務(wù)(Security Outsourcing)將不被列入安全云服務(wù)的范疇。由于網(wǎng)絡(luò)安全本身的特點(diǎn)，注定了部分安全服務(wù)將無法在網(wǎng)絡(luò)提供上具備所期望的優(yōu)勢，特別是在電信運(yùn)營商未介入安全云服務(wù)市場時，此種情況尤為明顯。這部分內(nèi)容將在7.2.3和7.3節(jié)中進(jìn)行詳細(xì)討論。
(3)安全云服務(wù)應(yīng)該具備按需的可伸縮服務(wù)。安全云服務(wù)的這種特征來源于兩個方面。首先，安全云服務(wù)系統(tǒng)在設(shè)計中具備了各種安全防護(hù)能力的分離和按需提供能力，客戶可以靈活地根據(jù)其業(yè)務(wù)特點(diǎn)和安全防護(hù)需求選擇相應(yīng)的安全業(yè)務(wù)。其次，安全云服務(wù)提供容量上的可伸縮的業(yè)務(wù)提供能力，這種容量的可伸縮依安全能力的種類而不同，可以是網(wǎng)絡(luò)帶寬，也可以是相應(yīng)的IP地址數(shù)量等。這部分內(nèi)容將在7.2.1節(jié)中進(jìn)行重點(diǎn)討論。
(4)安全云服務(wù)的透明化。安全云服務(wù)系統(tǒng)根據(jù)合理的設(shè)計使得用戶可以在不必了解內(nèi)部部署方式的前提下享受相應(yīng)的安全防護(hù)能力，安全云服務(wù)通過整體的安全池中安全設(shè)施的單機(jī)和集群的維護(hù)實(shí)現(xiàn)客戶在業(yè)務(wù)使用中的零維護(hù)、零管理，并通過安全云服務(wù)自服務(wù)系統(tǒng)的開發(fā)實(shí)現(xiàn)客戶自助服務(wù)和客戶與業(yè)務(wù)提供商的最小化交互。這部分內(nèi)容將在7.2.4節(jié)中進(jìn)行重點(diǎn)討論。
(5)安全云服務(wù)的服務(wù)化。用戶可不必投資、擁有和維護(hù)在安全云中所能提供相應(yīng)能力的安全設(shè)備，而直接購買安全云提供的各種業(yè)務(wù)，因此，在安全云服務(wù)中提供合理的計費(fèi)和SLA服務(wù)指標(biāo)將是其業(yè)務(wù)提供的重要組成部分。
在明確了安全云服務(wù)的五大特征之后，我們還需要了解安全云服務(wù)的幾個特點(diǎn)，并在安全云服務(wù)的設(shè)計和實(shí)施中加以關(guān)注。
(1)并非所有的網(wǎng)絡(luò)安全防范能力都能在云計算的引入中獲益，因此在安全云服務(wù)的設(shè)計和部署中要注意避免人"云"亦"云"。
(2)由于網(wǎng)絡(luò)安全自身的特點(diǎn)，在很多的服務(wù)提供中安全云服務(wù)通常需要終端和桌面的代理來協(xié)助，因此，純云的模式將很難實(shí)現(xiàn)，云+端模式將是安全云服務(wù)設(shè)計和部署的選擇。這兩種模式將在7.3.1節(jié)詳細(xì)介紹。
(3)根據(jù)網(wǎng)絡(luò)安全防范的木桶效應(yīng)，即決定網(wǎng)絡(luò)整體安全水平的關(guān)鍵因素不是安全性最好的方面，而是安全性最差的方面，正如決定木桶盛水量多少的關(guān)鍵因素不是其最長的木板，而是最短的木板，由于安全云服務(wù)未能提供所有的網(wǎng)絡(luò)安全防范能力，因此在企業(yè)安全設(shè)計中除了使用安全云服務(wù)之外，還需要根據(jù)安全防范要求考慮相應(yīng)的安全防范措施。
京公網(wǎng)安備 11010502049343號