云安全之重

業(yè)界廠商和用戶(hù)都已經(jīng)肯定，云計(jì)算已經(jīng)成為全球信息產(chǎn)業(yè)的重要發(fā)展方向?，F(xiàn)在已經(jīng)過(guò)了要不要上云計(jì)算的時(shí)期，而到了怎么上云計(jì)算的時(shí)期。但是，對(duì)信息安全的擔(dān)憂(yōu)，已經(jīng)成為全球部署云計(jì)算的重要障礙。一項(xiàng)調(diào)查顯示，全球51%的CTO認(rèn)為安全問(wèn)題是部署云計(jì)算時(shí)最大的顧慮。

事實(shí)上，自云計(jì)算服務(wù)出現(xiàn)以來(lái)，發(fā)生的大量安全事件已經(jīng)引起了業(yè)界的廣泛關(guān)注，并進(jìn)一步引發(fā)了用戶(hù)對(duì)公共云服務(wù)的信任問(wèn)題。從導(dǎo)致安全事件的原因來(lái)看，軟件漏洞或缺陷、配置錯(cuò)誤、基礎(chǔ)設(shè)施故障、黑客攻擊等原因都可能產(chǎn)生較大問(wèn)題；從安全事件的后果來(lái)看，信息丟失或泄露和服務(wù)中斷是最受詬病的部分。2011年3月，谷歌郵箱爆發(fā)大規(guī)模的用戶(hù)數(shù)據(jù)泄漏事件，大約有15萬(wàn)Gmail用戶(hù)受到影響；2011年4月，由于EC2業(yè)務(wù)的漏洞和缺陷，亞馬遜公司爆出了史前最大的云計(jì)算數(shù)據(jù)中心宕機(jī)事件，且這一事件在上周再次重演。據(jù)國(guó)外媒體報(bào)道，自2007年開(kāi)始，13次著名的云服務(wù)宕機(jī)導(dǎo)致了568小時(shí)的服務(wù)中斷，造成了超過(guò)7170萬(wàn)美元的經(jīng)濟(jì)損失。

我們嘗試從三個(gè)層面解構(gòu)云安全概念：其中作為產(chǎn)品的云安全，即把云技術(shù)應(yīng)用于網(wǎng)絡(luò)安全方面已經(jīng)得到廣泛應(yīng)用；在技術(shù)層面、云是否安全是云計(jì)算轉(zhuǎn)向大規(guī)模商業(yè)應(yīng)用的障礙；而在信息戰(zhàn)略層面，云安全甚至給國(guó)家信息安全帶來(lái)新的威脅。后兩個(gè)層面的核心只有一個(gè)——數(shù)據(jù)安全。

產(chǎn)品層面——云讓人更安全

從目前各大安全廠商推出的基于云技術(shù)的安全產(chǎn)品來(lái)看，云安全是基于云計(jì)算商業(yè)模式應(yīng)用的安全軟件，硬件，用戶(hù)，機(jī)構(gòu)，安全云平臺(tái)的總稱(chēng)。它是“云計(jì)算”技術(shù)的重要分支，是P2P技術(shù)、網(wǎng)格技術(shù)、云計(jì)算技術(shù)等分布式計(jì)算技術(shù)混合發(fā)展、自然演化的結(jié)果，而且已經(jīng)在反病毒領(lǐng)域當(dāng)中獲得了廣泛應(yīng)用。

隨著互聯(lián)網(wǎng)越來(lái)越成為人們工作生活的重要部分，未來(lái)殺毒軟件將無(wú)法有效地處理日益增多的惡意程序。來(lái)自互聯(lián)網(wǎng)的主要威脅正在由電腦病毒轉(zhuǎn)向惡意程序及木馬，在這樣的情況下，采用的特征庫(kù)判別法顯然已經(jīng)過(guò)時(shí)。云安全技術(shù)應(yīng)用后，識(shí)別和查殺病毒不再僅僅依靠本地硬盤(pán)中的病毒庫(kù)，而是依靠龐大的網(wǎng)絡(luò)服務(wù)，實(shí)時(shí)進(jìn)行采集、分析以及處理。

在具體的技術(shù)實(shí)現(xiàn)上，“云安全（Cloud Security）”計(jì)劃是網(wǎng)絡(luò)時(shí)代信息安全的最新體現(xiàn)，它融合了并行處理、網(wǎng)格計(jì)算、未知病毒行為判斷等新興技術(shù)和概念，通過(guò)網(wǎng)狀的大量客戶(hù)端對(duì)網(wǎng)絡(luò)中軟件行為的異常監(jiān)測(cè)，獲取互聯(lián)網(wǎng)中木馬、惡意程序的最新信息，推送到Server端進(jìn)行自動(dòng)分析和處理，再把病毒和木馬的解決方案分發(fā)到每一個(gè)客戶(hù)端。

可以看出，云安全的策略構(gòu)想是使用者越多，每個(gè)使用者就越安全，因?yàn)槿绱她嫶蟮挠脩?hù)群，足以覆蓋互聯(lián)網(wǎng)的每個(gè)角落，只要某個(gè)網(wǎng)站被掛馬或某個(gè)新木馬病毒出現(xiàn)，就會(huì)立刻被截獲。

最早提出“云安全”這一概念的是趨勢(shì)科技，2008年5月，趨勢(shì)科技在美國(guó)正式推出了“云安全”技術(shù)。云安全的概念提出后，曾引起了廣泛的爭(zhēng)議，許多人認(rèn)為它是偽命題。但事實(shí)勝于雄辯，云安全的發(fā)展像一陣風(fēng)，瑞星、趨勢(shì)、卡巴斯基、MCAFEE、SYMANTEC、江民科技、PANDA、金山、360安全衛(wèi)士等都推出了云安全解決方案，而且中國(guó)廠商在“云安全”的技術(shù)應(yīng)用上走到了世界前列。

另一方面，云技術(shù)普及也帶來(lái)了應(yīng)對(duì)事故的解決方案。

基于云的災(zāi)難恢復(fù)相對(duì)于傳統(tǒng)災(zāi)難恢復(fù)帶來(lái)了許多優(yōu)點(diǎn)，這些優(yōu)點(diǎn)主要得益于把數(shù)據(jù)遷移或者復(fù)制到云端。因?yàn)樵葡丝蛻?hù)投資一個(gè)遠(yuǎn)程災(zāi)難恢復(fù)設(shè)施的成本，云顯著地減少了傳統(tǒng)災(zāi)難恢復(fù)的資本支出。用戶(hù)不用去支付電力和制冷的費(fèi)用，使得運(yùn)營(yíng)費(fèi)用不斷下降。又因?yàn)樵茖?shí)惠的定價(jià)和按需分配容量和性能，用戶(hù)只需支付他們所使用的資源。

遷移災(zāi)難恢復(fù)帶云端同樣增加了災(zāi)難恢復(fù)的靈活性和實(shí)踐。因?yàn)樵票辉O(shè)計(jì)用來(lái)通過(guò)遠(yuǎn)端管理，它可以加快恢復(fù)的速度。相對(duì)比笨重并且貴重的磁帶式災(zāi)難恢復(fù)時(shí)間（無(wú)論在本地還是異地），這些能力可以使常規(guī)檢查更加實(shí)際同時(shí)在有需要時(shí)保證解決方案有效工作。

技術(shù)層面——云可以很安全

云計(jì)算作為一種新技術(shù)，新的運(yùn)營(yíng)形態(tài)，必然會(huì)帶來(lái)新的漏洞和新型攻擊。

同傳統(tǒng)的信息化系統(tǒng)一樣，從技術(shù)上看，云計(jì)算系統(tǒng)的安全漏洞是不可避免的，且由于服務(wù)網(wǎng)絡(luò)化、數(shù)據(jù)集中化、平臺(tái)共享化和參與角色多樣化，云計(jì)算所面臨的安全風(fēng)險(xiǎn)相對(duì)于傳統(tǒng)信息化系統(tǒng)更加復(fù)雜。此外云計(jì)算中對(duì)數(shù)據(jù)的安全控制力度并不是十分理想，API訪問(wèn)權(quán)限控制以及密鑰生成、存儲(chǔ)和管理方面的不足都可能造成數(shù)據(jù)泄漏，并且還可能缺乏必要的數(shù)據(jù)銷(xiāo)毀政策。

但也應(yīng)該看到，在絕大多數(shù)情況下，相對(duì)于個(gè)人和中小企業(yè)用戶(hù)而言，云服務(wù)提供商可以提供更加專(zhuān)業(yè)和完善的訪問(wèn)控制、攻擊防范、數(shù)據(jù)備份和安全審計(jì)等安全功能，并通過(guò)統(tǒng)一的安全保障措施和策略對(duì)云端IT 系統(tǒng)進(jìn)行安全升級(jí)和加固，從而提高了這部分用戶(hù)系統(tǒng)和數(shù)據(jù)的安全水平。

簡(jiǎn)單來(lái)說(shuō)，專(zhuān)業(yè)的云服務(wù)上提供的服務(wù)比小企業(yè)自己花費(fèi)IT預(yù)算進(jìn)行的數(shù)據(jù)保護(hù)和應(yīng)用更安全，這好比專(zhuān)業(yè)的基金公司通常比散戶(hù)更能在股市上賺到錢(qián)。

隨著云計(jì)算技術(shù)和理念的不斷發(fā)展，國(guó)際標(biāo)準(zhǔn)組織、產(chǎn)業(yè)聯(lián)盟和研究機(jī)構(gòu)等針對(duì)云計(jì)算安全風(fēng)險(xiǎn)開(kāi)展了研究，盡管各組織機(jī)構(gòu)對(duì)云計(jì)算安全風(fēng)險(xiǎn)分析的角度不盡相同，但普遍認(rèn)為共享環(huán)境數(shù)據(jù)和資源隔離、云中數(shù)據(jù)保護(hù)以及云服務(wù)的管理和應(yīng)用接口安全是最值得關(guān)注的問(wèn)題。從各組織的關(guān)注重點(diǎn)來(lái)看，管理方面的探討較多。

例如，ITU-T關(guān)注用戶(hù)在讓渡數(shù)據(jù)和IT 設(shè)施管理權(quán)的情況下與服務(wù)提供商之間的安全權(quán)責(zé)問(wèn)題，并強(qiáng)調(diào)了數(shù)據(jù)跨境流動(dòng)帶來(lái)的法律一致性遵從問(wèn)題；CSA 關(guān)注云服務(wù)惡意使用和內(nèi)部惡意人員帶來(lái)的安全風(fēng)險(xiǎn)；ENISA（歐洲網(wǎng)絡(luò)與信息安全局）強(qiáng)調(diào)了公共云服務(wù)對(duì)滿(mǎn)足某些行業(yè)或應(yīng)用特定安全需求的合規(guī)性風(fēng)險(xiǎn)。

事實(shí)上，實(shí)現(xiàn)用戶(hù)數(shù)據(jù)在云服務(wù)器端從生成到銷(xiāo)毀全過(guò)程，包括在云服務(wù)器端的強(qiáng)制自我銷(xiāo)毀技術(shù)，保證在云計(jì)算平臺(tái)受到惡意攻擊的情況下用戶(hù)數(shù)據(jù)仍然能夠按時(shí)銷(xiāo)毀，技術(shù)上并沒(méi)有多大難度。而從針對(duì)基于虛擬機(jī)監(jiān)控器的用戶(hù)進(jìn)程保護(hù)系統(tǒng)，保證用戶(hù)數(shù)據(jù)在遷移的全過(guò)程的隱私性和完整性也已經(jīng)在多個(gè)平臺(tái)上實(shí)現(xiàn)。

戰(zhàn)略層面——國(guó)家安全的新威脅與機(jī)遇

目前，信息技術(shù)領(lǐng)域逐漸被發(fā)達(dá)國(guó)家特別是美國(guó)所壟斷，全球真正有實(shí)力研發(fā)和提供“云計(jì)算”服務(wù)的公司只有谷歌、微軟、IBM和亞馬遜等少數(shù)IT巨頭。而發(fā)展中國(guó)家在技術(shù)上沒(méi)有主導(dǎo)權(quán)，其戰(zhàn)略選擇非常有限。

“云計(jì)算”在顛覆原有互聯(lián)網(wǎng)應(yīng)用模式的同時(shí)，也給國(guó)家安全帶來(lái)了新的挑戰(zhàn)，在“云”面前，國(guó)家信息安全和主流思想文化受到挑戰(zhàn)。“云計(jì)算”的發(fā)展將導(dǎo)致全球信息在收集、傳輸、儲(chǔ)存、處理等各個(gè)環(huán)節(jié)上進(jìn)一步集中，國(guó)家信息將在“去國(guó)家化”的趨勢(shì)中受到嚴(yán)峻考驗(yàn)。如果不能積極采取措施，建設(shè)自有的“云計(jì)算”設(shè)施，那么我們得到的恐不是便捷的“云”服務(wù)，而是一個(gè)國(guó)家安全受到嚴(yán)重威脅的黑云時(shí)代。

未來(lái)國(guó)家的綜合實(shí)力，很大程度上將取決于互聯(lián)網(wǎng)建設(shè)和管理能力，而“云計(jì)算”則將成為互聯(lián)網(wǎng)應(yīng)用的核心和依托。因此，“云計(jì)算”的這種壟斷發(fā)展趨勢(shì)，將使眾多國(guó)家，特別是發(fā)展中國(guó)家的安全面臨著嚴(yán)峻挑戰(zhàn)。

國(guó)家發(fā)展壯大新增長(zhǎng)點(diǎn)的爭(zhēng)奪加劇。當(dāng)今世界，高性能計(jì)算已成為理論和試驗(yàn)之外的第三種科學(xué)研究手段，計(jì)算能力因而成為衡量一個(gè)國(guó)家綜合國(guó)力和科學(xué)研究能力的指標(biāo)，成為一種重要的戰(zhàn)略資源，其重要性不亞于石油和其他戰(zhàn)略物資。在實(shí)體的超級(jí)計(jì)算機(jī)研發(fā)耗資巨大且性能突破受到物理制約的條件下，相當(dāng)于虛擬超級(jí)計(jì)算機(jī)的“云計(jì)算”則可無(wú)限擴(kuò)充，并以更低成本、更高的計(jì)算能力和更方便的應(yīng)用環(huán)境為國(guó)家重要戰(zhàn)略領(lǐng)域的高端研究提供支撐。

現(xiàn)在的格局是，跨國(guó)企業(yè)在“云計(jì)算”領(lǐng)域的咄咄逼人和各國(guó)政府對(duì)“云計(jì)算”發(fā)展的深遠(yuǎn)謀劃，對(duì)我國(guó)政治、經(jīng)濟(jì)、科技和國(guó)家安全都形成了嚴(yán)峻挑戰(zhàn)。事實(shí)上，如果我們不具備自有“云計(jì)算”實(shí)力，那么絕大多數(shù)企業(yè)和個(gè)人為了滿(mǎn)足應(yīng)用需要，將別無(wú)選擇地通過(guò)如上所述的“云計(jì)算”中心存儲(chǔ)和處理各類(lèi)數(shù)據(jù)。

同時(shí)，國(guó)家和軍隊(duì)信息化建設(shè)的發(fā)展將越來(lái)越受制于國(guó)際IT巨頭制定的信息化標(biāo)準(zhǔn)和規(guī)則。當(dāng)然，“云計(jì)算”的發(fā)展也為我國(guó)帶來(lái)了新的發(fā)展機(jī)遇。一方面，它的智能管理算法為解決我國(guó)信息化建設(shè)中的綜合集成問(wèn)題，提供了一種嶄新的思路。另一方面，經(jīng)過(guò)多年信息化建設(shè)，我國(guó)信息化基礎(chǔ)設(shè)施已經(jīng)達(dá)到了相當(dāng)?shù)囊?guī)模和水平，而且擁有全球最龐大的需求市場(chǎng)，如果充分發(fā)揮集中力量辦大事的制度優(yōu)勢(shì)，就完全有可能構(gòu)建國(guó)家主導(dǎo)的自有“云計(jì)算”設(shè)施。

因此，我國(guó)應(yīng)盡快啟動(dòng)云計(jì)算的理論研究和標(biāo)準(zhǔn)研發(fā)工作。盡快建立云計(jì)算服務(wù)平臺(tái)的建設(shè)規(guī)范和對(duì)運(yùn)營(yíng)服務(wù)軟件的驗(yàn)收規(guī)范，防止其預(yù)留后門(mén)，還應(yīng)盡快建立入云企業(yè)的信息安全管理規(guī)范，才能確保云計(jì)算得到健康有序的發(fā)展。