云安全产业链推动云安全进程

　　为什么要说这样的话?云安全联盟中国区高峰论坛上一位嘉宾说，“水壶烧出的水汽绝对不是云”。那么云安全的问题，也就需要整个信息安全产业，就云安全达成共识。云是互联网和大规模数据中心不断发展的必然产物。在未来10年里，云必将成为影响整个IT行业的关键性技术，也会对现有的信息技术体系架构带来了深远的影响，云安全也随之成为一个重要问题。

　　云计算是什么?

　　提到云安全，不能不说云计算。早在2000年的时候，国际上已经有人提出网格计算与分布式计算的概念，随着信息产业及市场的日益成熟，这个概念经过商业化运作，有了初步的框架，进而形成了云计算的雏形。绿盟科技副总裁吴云坤表示，云计算并不是新东西，它所改变的只是运营方式、用户交互方式以及营销方式等，可以说这是一种新的商业模式。正是这样的转变，让各个领域、各个行业的厂商及企业，会根据业务及市场的特性，就云计算的定义提出各自的观点。

　　Frost & Sullivan市场研究机构提出，云计算是一种灵活的、可扩展的共享环境，第三方供应商利用虚拟化技术，基于按需提供的平台，通过互联网向客户提供及分配计算资源。国际云安全联盟，在征询国际业界广泛的意见和实践经验后，指出云计算应该包含如下方面：

　　• 按需供应，必须是密切结合业务需求，按照需求提供资源及服务

　　• 弹性，随业务拓展可以灵活的调整及拓展架构

　　• 多层租用，根据不同业务，不同受众，可以提供不同资源、不同形式的租用服务

　　• 云包含如下特征模块：

　　　　·· 基础架构即服务Infrastructure as a Service (IaaS)，包含基本的IT架构，比如操作系统，比如存储

　　　　·· 平台即服务Platform as a Service (PaaS)，包含IaaS以及快速应用设备

　　　　·· 软件即服务Software as a Service (SaaS)，包含所有的应用程序

　　　　·· 共有云，私有云，社区以及混合云部署

　　下面这张图，对云给出了一个可视化的呈现，说明了云计算的服务交付模式，以及如何部署云。

图1 云计算架构

　　云安全产业

　　云计算所带来的深远影响，让绿盟科技以及安全业界的先行者们清晰的认识到，云计算所面临的挑战。IDC市场调研机构数据显示，云计算服务将在2013年达到整体IT消费的10%，年收益高达442亿美元，5年内年平均增长是26%，这是传统IT行业增长速度的6倍。而Frost & Sullivan市场研究机构，在2009年年末，对亚太区6个市场，300个大型企业，500人以上的大型企业他们的IT决策人做了一项云计算的调查。调查数据显示，55.3%的人担忧云安全问题，尤其是数据安全性。毫无疑问，云计算的蓬勃发展，已经让云安全已经上升到产业的高度。

　　云安全产业链条，包括了云安全环境，云安全设计，云安全部署，云安全交付，云安全管理，再到云安全咨询，这是一个闭环。IDC 报告指出，云安全性包含至少两个层次，一是制约用户接受云计算的信用环境问题，这是云计算得以广泛应用的基础,也是推广门槛，然后才是云计算的应用安全。而其中良好的信用环境是技术层面的云计算安全之基础，也就是说，只有用户认可并采用云服务，才谈得上的云安全技术问题。

　　那么就云计算的信用环境来说，一方面是云计算提供商方面要树立自身的信誉，构造可信的云;另一方面是云安全服务商方面，要对互联网资源建立安全信誉评估系统，以对抗云攻击的“地下产业链”。这方面，Google和StopBadware走在了前面，随后国内安全业界的厂商也认识到这一点，纷纷采取了相应的措施。2009年，绿盟科技发布互联网信誉服务白皮书，并提供信誉评估服务。根据多年的安全研究积累，绿盟科技对互联网相关资源进行威胁分析和信誉评级，累积IP地址、域名和URL等不同资源的内容和行为记录。同时，汇集了来自于授权客户和第三方合作伙伴的威胁反馈、自身安全产品的安全事件以及安全研究团队的风险预警，与目标站点的历史信息进行整合，建立针对互联网领域的长期信誉追踪机制。正是这样的积累，让绿盟科技在2010年8月，正式与StopBadware达成战略合作，继Google之后，成为其数据提供商。

　　而就云安全技术方面来说，云安全主要面临这些挑战：

　　• 云计算的滥用、恶用、拒绝服务攻击

　　• 不安全的接口和API

　　• 恶意的内部攻击

　　• 共享技术产生的问题

　　• 数据泄漏

　　• 账号和服务劫持

　　• 未知的风险场景

　　云安全如何定义

　　面对这些挑战，我们应该从哪些层面入手，才能实现安全云呢?从IT架构管理来看，企业敏感数据，尤其是涉密企业，出于安全性考虑，目前还会以私有云为主，在未来的一段时间，才会逐步过渡到共有云;从产业和市场发展，云安全还处在初级阶段，从未有一个厂家的产品可以囊括云安全所有层面，也未能提出一个完整的解决方案。

　　要对云安全有一个全面的认知，必须认识到云安全是动态的，是不断演变的。云安全解决方案必须与应用及服务充分结合，并适应业务的发展需求。云安全联盟提出，应该从治理和运营两个方面入手：

　　云安全治理：

　　• Best opportunity to secure cloud engagement is before procurement – contracts, SLAs, architecture

　　• Know provider’s third parties, BCP/DR, financial viability, employee vetting

　　• Knowing where your data is

　　• Plan for provider termination & return of assets

　　• Preserve right to audit

　　• Reinvest provider cost savings into due diligence

　　云安全运营：

　　• Encrypt data when possible, segregate key mgt from cloud provider

　　• Adapt secure software development lifecycle

　　• Understand provider’s patching, provisioning, protection

　　• Logging, data exfiltration, granular customer segregation

　　• Hardened VM images

　　• Assess provider IdM integration, e.g. SAML, OpenID

　　如何做到云安全

　　那么用户该如何选择云安全服务，又怎么才能做到云安全? 国际云安全联盟发布的云安全指南指出，云安全要覆盖云安全完整的生命周期，并完成最佳实践以及分析工具。在云安全完整的生命周期中，理想的云安全状态至少应该包括安全治理、识别、访问控制、数据保护以及审核，最终实现安全即服务(Security as a Service)。

图2 理想的云安全

　　要实现这些，云安全治理及运营至少应该包含13个领域，包括：

图3 云安全治理与运营模型

　　而云安全分析工具，要区分用户及供应商角色，并完全遵从于ISO 27001, COBIT, PCI, HIPAA等国际标准，从而弥补管理者及云安全审核之间的差距。云安全联盟为此提供了云安全控制矩阵工具，请访问Cloud Security Alliance官方主页。

　　正是遵循这样的云安全治理与运营原则，绿盟科技作为中国安全业的领先者，多年来始终致力于网络安全的研究，并一直积极推动国内云安全的发展。2008年，绿盟科技宣布正式启动云安全计划，成为国内第一家进入云计算和云安全领域的网络安全厂商。云安全计划中包含具备多种能力类型的安全云，目的是通过对互联网进行大规模集中分析和汇总，在全球范围内大规模部署中心服务器群，覆盖入侵防御、漏洞扫描、挂马防范、流量清洗等方面，全面检测恶意网站与异常流量，提供了在大范围网络环境下解决云安全问题的全新思路，这种模式已经在多个运营商骨干网和城域网得到了广泛的部署。

　　2009年12月，绿盟科技成为国际云安全联盟在亚太地区的第1个企业成员，并为推动云安全本地化工作不懈努力。同年，云安全计划持续完善，推出包括内容安全监管、异常行为审计、应用安全交付等多种计算能力的云模式。2010年9月2日，云安全联盟中国区分会宣布成立。

　　云安全的实质是什么?

　　面对庞大的云计算架构，要提供安全云服务，靠单打独斗是不行的。在经历了云计算纷争的年代之后，日益复杂的应用，云安全整体解决方案的需求，以及市场发展的磨合，都让安全企业认识到，云安全必须产业化，形成一个产业链条。而实现它的前提，就是必须找到一种方式，让大家走到一起来，通过一系列沟通，描绘一个共同的愿景，解决一些分歧，推动一些项目，交付一些成果，才能稳固云安全的“短板”，推动本地市场云安全产业的发展。另一方面，中国乃至亚太区的云安全形态及发展，对于国际云安全产业不可或缺，而国际规范只有适应本地的、大规模市场后，产生有效的分析工具及方法，才具有实际意义。

　　云安全的实质在于沟通协作，沟通协作需要平台。随着市场经济关系深化发展，以及社会分工在市场领域细化，必然会产生云安全的联盟组织，它的完善与否是市场体系成熟与否的一个重要标志。在这样的背景下，国际云安全联盟CSA(Cloud Security Alliance)于2009年RSA大会上宣布成立，是一个非盈利性组织。成立后，获得了业界的广泛认可，与ISACA、OWASP等业界组织建立了合作关系，很多国际领袖公司成为其企业成员。

　　国际云安全联盟于2010年，首次在中国举办峰会，以“沟通分享，合作共赢”为主题，号召亚太区安全业界的参与，其意义就在这里。在本次峰会上，中国区分会正式成立，CSA主席Dave Cullinane以及国际安全界同行，纷纷到场或以各种形式表示祝贺。绿盟科技副总裁吴云坤先生表示，云安全的问题已经让大家达成共识。

　　多年来，绿盟科技始终致力于国内网络安全方面的研究，积累了大量的数据，我们愿意并正在与各方面展开积极的合作，分享数据和经验。绿盟科技首席战略官赵粮博士也提到，“在未来的12个月中，国际云安全联盟中国区分会，将会推动一些列云安全方面的项目，并提交项目成果，还会积极开展地区性的云安全技术交流研讨活动”。正是安全业界各知名企业的积极参与，让云安全联盟在亚太区安全业界中引起了强烈的反响。

　　云安全产业的契机

　　毫无疑问，云安全产业链中的先行者们，将会在市场发展中，占据及其重要的地位，而这一点，甚至能够左右企业未来的发展，这也是为什么云安全联盟一经发起，几乎所有与云安全产业相关的企业，纷纷加入。在不到2年时间里，已经有超过50个国际领袖级公司成为其企业成员，包括Google、HP、CISCO、Intel、MS、Oracle、Novell、AT&T、CA、McAfee、TREND、Symantec、NSFOCUS、3PAR等。

　　而在之前，国内尚未具有影响力的云安全联盟组织，随着云计算的不断发展和演变，国内各个厂商及研究机构对于云计算、云安全都有自己的独特见解，这些观点都代表了各个领域的发展特性。另一方面，来自国际信息安全方面的规范，也不能完全适应国内云安全发展的各个层面及特性。可以看到，国内云安全尚处于初级阶段，而每个厂商或者企业的技术力量，都是有限的，不可能涵盖云安全产业链的所有层面。国际云安全联盟中国区分会的成立，对中国和亚太地区推动云安全的实践和创新，构建中国乃至亚太地区云安全产业的理论指引，发掘及云安全产业中的契机，具有及其重要的价值。