构建安全的云计算环境

　　为什么很多企业在走向云计算的时候仍然那么迟疑，实际上很大的问题是因为安全。

　　今天我会从以下几个方面为大家介绍云安全，第一个部分介绍云的应用；第二部分是如何做好云基础架构的防护；第三个部分是云时代中防护思维的变革，如何利用云的基础架构提供企业更全面更即时的防护；第四部分从云安全服务的角度出发，给大家介绍一下云安全服务为企业带来的效益。

Symantec资深首席信息安全技术顾问 林育民

　　走进云时代

　　现在，大家会觉得云离你很远，但是实际上云已经离你不远了。云技术正在改变着你我的生活。我到上海出差，需要在酒店附近找一家银行兑换现金，我通过一个云端服务，查到离我最近的银行，这是一个实际的例子。

　　事实上很多的应用都已经在使用云的技术，但大家最关注的是云计算里带来的安全问题。

　　在云时代里，安全防护策略可以从三个方面来看，首先保护云计算基础架构；其次是从安全厂商的角度，新的安全防护思维是什么，厂商用什么方法对付新兴的安全威胁；最后将会谈如何通过云安全服务，获得即时且全年无休的安全防护。

　　云计算基础架构安全防护

　　企业在导入云计算的过程中，可能会遭遇以下十个安全挑战：

　　(1)黑客入侵云端服务器，窃取数据

　　(2)云服务供应商或内部员工窃取客户敏感数据

　　(3)使用同一云服务供应商的其他客户，意外取得或窃取敏感数据

　　(4)云端资源遭到恶意滥用，被用来滥发垃圾邮件或恶意主机等

　　(5)将特定敏感数据传数至位於国外的云数据中心时，可能违反本地法律

　　(6)外国政府可以未经客户授权读取当地云数据中心内之数据

　　(7)客户不易对云服务供应商的安全控制措施和访问记录进行审计

　　(8)云服务供应商灾备管理不完善，导致服务中断

　　(9)云服务供应商倒闭，无法继续提供服务

　　(10)用户帐号密码被窃，云服务资源遭到盗用

　　云计算的基础架构中虚拟化是相当关键的技术，但是很多人把本地的环境做完标准化走向虚拟化以后，用的思维仍然是传统的管理服务器的思维。随着边界的消失，虚机上的系统若是没有做好管控有可能被攻击，以下是虚拟化环境中常见的安全问题与对策：

　　(1)传统防护边界消失

　　(a)问题：由於用户需要直接存取虚拟化资源，传统边界已逐渐模糊，边界防火墙及入侵检测已不足以保护术据中心的安全

　　(b)对策：於虚拟化平台建构各虚拟机的防护边界

　　(2)虚拟化平台安全防护与管控

　　(a)问题：由於虚拟化平台承载多个租户，往往成为攻击者的焦点，攻击来源可能直接来自外部、由虚拟机做为跳板通过网络攻击虚拟化平台管理介面或由虚拟机通过漏洞直接攻击底层的虚拟化平台

　　(b)对策：限制虚拟化平台管理介面连线来源并且实时监控异常活动

　　(3)職責劃分与权限管控

　　(a)问题：传统数据中心，服务器、网路与存储通常分别由不同管理员进行管理；但在虚拟化环境里，为了管理方便，往往都由同一管理员负责，造成原有管控机制失效

　　(b)对策：建立虚拟化平台管控流程，并对管理员活动进行审计

　　(4)虚拟化平台补丁派发

　　(a)问题：当虚拟化平台安装补丁後，系统可能须要重启，将造成运行於该评台上之虚拟机的服务中断

　　(b)对策：做好补丁派发计画，於安装补丁前，将运行中之虚拟机事前先迁移至其他虚拟化平台後，再行安装补丁

　　(5)虚拟机彼此之间的攻击

　　(a)问题：云数据中心中，不同的虚拟机可能由不同的用户租用；若有用户未做好安全防护或具有恶意，可轻易绕过云数据中心边界防火墙，直接对其他虚拟机发动攻击

　　(b)对策：对各虚拟机建立安全边界防御机制，防范来自邻近虚拟机的攻击

　　(6)虚机之间的区隔

　　(a)问题：由於多个虚拟机被运行於同一个物理虚拟化平台，若虚拟化平台未做好妥善之网路隔离，恶意攻击者可轻易窃听邻近虚拟机之网路流量

　　(b)对策：於虚拟化平台配置时，即对不同租户之虚拟机连接网络进行隔离

　　(7)未做安全加固的虚拟镜像

　　(a)问题：传统物理机若未进行妥善安全加固，影响范围往往只有少数几台服务器；但在虚拟化环境，一个虚拟化镜像会被大量复制，将会造成大量服务器都存在相同漏洞

　　(b)对策：建立各操作系统虚拟化镜像安全基线，必须通过安全基线检查後才能启用

　　(8)安全防护机制资源冲突与防护间隙

　　(a)问题：当每一虚拟化服务器都安装相同的安全防护机制时，有可能造成资源冲突；例如，所有的虚拟机都同时进行扫毒，将造成同时大量抢占CPU、内存及存储资源，而导致该虚拟化平台上所有虚拟机都无法正常运行！此外，若采用基於主机的安全防护方案，有可能在虚拟机启动时，产生防护间隙，而成为整个虚拟化平台中最薄弱的环节

　　(b)对策：对传统的安全方案，可采用限定某一时间段，随机进行病毒扫描或其他安全检查，避免资源的冲突；最佳的方法，是迁移至新一代云安全防护解决方案，透过统一的安全虚拟机进行安全防护，避免资源冲突与防护间隙

　　(9)非法的虚拟机

　　(a)问题：传统的数据中心，所有设备进出均须获得审批，并由不同人员负责管控；在虚拟化环境中，建立或启动一虚拟机相当容易，管理员极为容易添加或启动一个非法的虚拟机

　　(b)对策：建立虚拟机安全管控流程，所有虚拟机的添加、启动与管理，均须依循该流程，并定期进行安全审计

　　(10)到处散播的虚拟机

　　(a)问题：虚拟机镜像是以文件的形式存在，可随意复制与散播，不但更易於泄密，攻击者或竞争对手更可轻易地复制一个完全相同的运行环境

　　(b)对策：建立虚拟机的管控流程，并建立数据防泄漏监控机制

　　赛门铁克通过新的技术，可以把虚拟机的安全防护集中到一个安全的虚拟机里，这样不但可以完整保护虚拟化环境，并有效解决了性能、资源冲突和在启动期间安全防护间隙。

　　桌面管理一直是企业相当头疼的问题，赛门铁克提供了安全桌面云，协助企业在桌面云上更便利地安装与派发软件，更轻松地做好桌面安全管控，并且通过在云边界上部署一些安全解决方案，保护桌面云上所有资料不会外泄。随着安全桌面云技术的成熟，将可有效解决企业在桌面安全防护与管理的挑战！

　　新的云端防护思维建构全民联防体系

　　随着恶意代码数量的爆增，传统使用恶意代码签名技术的杀毒软件，面临到恶意代码库越来越大，并对系统性能造成影响；赛门铁克早於2006年就发现到传统技术的局限性，所以提出“全民联防”的概念，利用大家的力量共同构建更完善的安全防御体系。

　　赛门铁克是通过云端“信誉评级”的方式，协助用户对抗日新月异且层出不穷的恶意威胁；具体做法是通过用户匿名提交数据，并对提交来源信誉进行评级，再通过云端发布结果。例如，某个文件只出现在过去常染毒群体的机器中，我们可以预测该文件极有可能是恶意文件。同样原理赛门铁克也应用在网站信誉评级的系统，下面看一个实际的例子，假如一个网站可能被“挂马”了，赛门铁克通过云端技术，双向互动收集，直接告诉用户这个网站、中毒网址在哪里，它感染到本地文件的路径在哪里，让管理者更容易分辨这个网站到底是不是真的有毒，这是在业界唯一可提供详细安全威胁背景的云端网站信用评级系统。

　　赛门铁克同其他云杀毒技术有什么不一样呢？目前，很多云杀毒技术原理，把签名库的扫描放到云端，通过对文件内容撷取一些特徵点后，传送到云端做进一步分析；就原理上来看，仍是被动式扫描技术。然而，赛门铁克可以做到主动的安全防御，不需要获取任何文件本身内容，即可预测文件是否含有恶意代码，於第一时间把恶意代码阻挡在外。

　　云安全服务

　　除了上面谈到的在安全防护思维上转变，赛门铁克更在在引领云安全的另一个趋势，提供了云安全的服务。赛门铁克08年收购了目前全球最大的邮件安全软件即服务(SaaS)供应商，在全球有超过25%的市场率；可针对邮件、上网及聊天三累网路协议，提供云安全服务。

　　以云安全服务的病毒过滤为例，赛门铁克可以做到使用3种不同的防病毒引擎做扫描，搭配即时动态分析，添加新的防护规则，拦阻新兴的恶意代码威胁。我们承诺服务水平可以达到，百分之百的病毒保护。

　　全球许多企业，发现云安全服务可以大幅降低运营成本，更可保障安全防护的品质，纷纷采用这样新一代云安全服务，包括花旗银行、AT&T及联想等大型企业都已采用赛门铁克的云安全服务。

　　对於建构安全的云计算环境，赛门铁克可协助企业保护云计算基础架构、通过云端信誉评级抵御新兴安全威胁，并且提供云安全服务。除了安全以外，赛门铁克也是全球存储的领导厂商，可以提供完整的云端存储管理解决方案，我们希望可以帮企业建立一个安全互连的可信的云海。