科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道安全管理云时代数据中心安全建设三部曲

云时代数据中心安全建设三部曲

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

在云计算时代背景下,数据中心需要向集中大规模共享平台推进,通过引入服务器虚拟化技术,提供弹性、按需、自助的部署。数据中心的云化,对传统的安全防护方案和安全产品也提出了新的要求。

来源:ZDNET安全频道 2011年9月14日

关键字: 数据中心安全 云计算安全

  • 评论
  • 分享微博
  • 分享邮件

  在建设云数据中心前,多个用户单位的数据中心独立建设,分别拥有独立的网络设备、安全设备和服务器,此时部署的是传统的网络安全产品。

云时代数据中心安全建设三部曲

  图1 传统数据中心集中化

  在云计算时代背景下,数据中心需要向集中大规模共享平台推进,通过引入服务器虚拟化技术,提供弹性、按需、自助的部署。数据中心的云化,对传统的安全防护方案和安全产品也提出了新的要求。

  笔者将云时代数据中心的安全建设划分成三个阶段。

  1、 传统安全产品的虚拟化

  2、 融合到云计算平台的虚拟机安全设备

  3、 自主安全可控的云计算平台

  传统安全产品的虚拟化

  在云数据中心建设的第一个阶段,需要把各种物理硬件建设成资源池,以虚拟化的方式对多个用户单位提供服务,从而实现云计算数据中心的性价比优势。用户单位使用云数据中心提供的虚拟网络、虚拟安全设备和虚拟服务器。

  在此阶段,使用的仍然是传统的安全产品,部署在服务器资源池的外围,为不同的用户单位,创建逻辑上独立的虚拟设备。因此,传统安全产品需要实现虚拟化,支持虚拟设备功能(包括引擎和管理界面)。如图2所示。

云时代数据中心安全建设三部曲

图2 传统安全产品的虚拟化

  融合到云计算平台的虚拟机安全设备

  在云数据中心建设的第二阶段,网络设备、安全设备和服务器等硬件资源需要进一步整合。在同一台物理服务器内部的多个虚拟机之间的访问控制,不能通过在服务器资源池外围的硬件安全设备来实现。

  在此阶段,安全设备需要软件化,作为一个安全应用融合在虚拟化平台上(见图3)。

云时代数据中心安全建设三部曲

图3 虚拟化平台上的虚拟机安全设备

  虚拟机安全设备可以通过两种方式融合到虚拟化平台,第一种方式是通过虚拟网络路由的方式部署(见图4);第二种方式是通过调用Hypervisor层的API,将安全控制功能嵌入到虚拟化平台(见图5)。

云时代数据中心安全建设三部曲

图4 虚拟网络路由部署方式

云时代数据中心安全建设三部曲

  图5 Hypervisor API调用部署方式

  自主安全可控的云计算平台

  在云计算数据中心建设的第三阶段,我们需要考虑云计算平台自身的安全性。

  首先,云计算平台本身也存在各种安全漏洞,例如利用典型的虚拟机逃逸漏洞——蓝色药丸,攻击者可以在控制客户机VM的情况下,攻击Hypervisor,安装后门,控制其他VM。由于云计算平台往往十分重要,这些安全漏洞需要比传统的主机安全漏洞更被重视。

  其次,Hypervisor层的API调用,本身需要受虚拟化平台厂商的控制。以VMware为例,VMware曾经向其TAP(技术联盟伙伴)开放过VM-SAFE API,用于开发安全应用,但在最近,VMware关闭了VM-SAFE API。

  最后,站在国家信息安全的战略角度,我们在建设云计算数据中心时,不能不考虑供应链的安全。只有实现完全自主安全可控的云计算平台,云计算数据中心的安全性才能得到彻底的保障。如图6所示。

云时代数据中心安全建设三部曲

  图6 自主安全可控的云计算平台

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章