云管理平台如何帮助企业实现云安全管理

在大多数情况下，云计算中的安全控制与其他所有IT环境中的安全控制并没有什么不同之处。但是，由于云计算服务模式方面(即，用于实现云计算服务的运行模式和技术)的原因，云计算的风险是不同于传统安全服务的风险的。云计算中的安全性要求使用一组不同的工具来彻底地监控和跟踪企业的安全态势。

在云计算服务模式中，供应商和客户的安全责任是相当不同的。例如，Amazon弹性云计算(Amazon EC2)基础设施即服务产品最多只对管理程序的安全性承担责任，这就意味着Amazon可以只负责诸如物理安全、环境安全以及底层平台虚拟安全这样的安全控制。客户必须为与IT系统相关的安全控制负责，其中包括了操作系统、应用程序及数据。

对于Salesforce.com的客户资源管理软件即服务产品来说，就大大不同了。因为Salesforce.com提供了整个“栈”，所以供应商不仅要为物理与环境安全控制负责，而且要为解决基础设施、应用程序和数据的安全控制问题负责。

对于如何分解承担信息安全的责任，几乎每一家云计算供应商都有着不同的看法和做法。这也就难怪企业经常很难管理云计算服务的安全性了，因为他们的云计算服务来自于不同的供应商，而这些供应商们所制定的规则和责任条款也是大为不同。这就是云计算管理平台出现的原因。

云计算管理平台的功能

云计算管理平台是一个基于网络的简单直观用户界面(或者在某些情况下，它是移动设备的一个应用程序)，它可以让企业的IT团队和信息安全团队快速地访问和查看云计算资源。一个IT管理员能够登录界面并查看该企业云计算使用情况的快照，其中包括所部署的实例、正在运行的应用程序以及已使用的网络带宽。

例如，使用Amazon网络服务管理平台，用户可以通过一个基于网络的用户界面访问和管理他们的AWS使用情况。管理平台能够让用户在AWS云计算中以一种轻松的方式来快速部署和管理应用程序，而无需放弃对底层云计算资源的控制。它还能够自动处理容量管理、负载平衡、自动规模调整以及应用程序健康状况监控等细节性事务。

因为大多数这些云计算管理平台都在管理云计算运行的同时提供了大量的数据和信息，所以IT管理团队与安全团队实现云计算管理平台的共享使用是公司的一个双赢策略。云计算管理平台能够让管理团队和安全团队使用与云计算安全管理任务相关的数据，例如定义特定的健康、风险以及容量阈值;警告类型和通知;以及许多其他的配置设置(例如，根据关键业务应用程序的需要在不同层次(如网络层、操作系统层或应用程序层)修改文件系统或系统参数以调整业务活动的优先级)。可以直接使用这一数据而获知目前云计算的安全态势，并支持正在进行的满足合规性要求的工作。

很多云计算管理平台提供了一定程度安全细节信息，它可扩展至每一个实例。例如，VMware公司的vCenter提供了现成的模板以确保对安全最佳实践、安全标准、系统加固指南以及监管要求的持续性支持。

云计算管理平台：是自己构建还是去采购?

如今，大多数的管理平台都是由云计算供应商他们自己提供的，因此都受限于各自供应商所提供的服务。但是，现在也逐渐出现了越来越多的第三方云计算管理工具供应商，如RightScale、enStratus、Nimbula等以及其他正在开始涉足云计算管理领域的传统系统管理与数据中心监控供应商。

少部分的云计算管理供应商提供了内置的安全功能。Nimbula提供的工具可用于跨内部资源池(包括了虚拟化计算资源、网络资源、存储资源以及如Amazon EC2这样的公共云计算资源)的云计算构建、管理、规模调整以及安全性保障等应用。

潜在云计算管理平台购买者应寻找的功能实际上取决于购买者本身以及他们主要业务在市场细分中的位置。一个企业应当在选择供应商之前就设计好自己的云计算架构需求。这就能够避免产生多个云计算孤岛以及相关的集成与复杂性方面挑战。在选择产品之前，他们应当确认他们知道他们主要的通用标准(例如对公共云计算和/或私有云计算的异质性和支持)和安全标准。

提供这些服务的供应商数量在不断地增长中，但是还没有一个供应商能够为每一家企业的不同云计算安全管理需求提供一个完整的产品。为了满足他们的云计算管理和安全管理需求，企业可能需要整合多个工具或者对他们所选择的产品进行定制改造。我们还需要指出的是，构建一个企业自己的云计算管理平台也不容易;它要求为相关技能和资源做出大笔的投资，因为云计算技术还是一个新兴技术，在短期内还可能有进一步的发展，所以购买一个供应商产品的决定很可能会演变成为一个考验时间意识和成本意识的决策行为。

管理和设计一个云计算管理平台

在云计算管理平台上使用与安全相关的数据，并将其整合至现有的安全管理工具和更大的安全管理方案中将是一个资源密集型的任务。要做到这一点，企业必须开发出一个框架或架构来定义一套标准，以便于指导云计算管理平台和所有支持整合工作的部署、运行和操作。

更具体地说，实施云计算管理平台的企业应当采用一套方法来制定一个以风险和机会为重点的、可反映关键业务首创精神的安全与信息保障体系。例如，考虑使用Sherwood商业应用安全架构(SABSA)的框架，这是一套开发风险驱动型企业信息安全和信息保障架构并提供安全基础设施服务的方法。

SABSA框架提供了一个6×6的矩阵(横坐标的六项代表了什么、为什么、如何、谁、哪里和何时的5W1H，而纵坐标的六项分别代表了一个观点，从“业务观点”(上下文层)到“IT专家”或“商业观点”(组件层))，其中每一个矩阵单元则代表了安全架构中的一个组件，整个矩阵描述了企业的完整安全架构。

在安全管理中的重要一员就是“大数据”，获得大量不同的数据，使用有意义的模式来关联、分析和挖掘这些数据，或者甚至是识别高级的持续性威胁或APT式攻击。虽然大数据是一个令人兴奋的机遇，但是它仍然是一个新兴事物。然而，企业应当考虑在今后三到五年时间里他们可能会寻找和实施哪种与安全性相关的大数据分析项目，并确保他们有一个规划以便于整合企业所选择的任一种云计算管理平台。

结论

在一天结束的时候，云计算管理平台应当能够提供一系列确保快速、方便和直观访问信息的功能，并向企业业主、首席信息官和首席信息安全官提供有价值的数据，从而使他们能够迅速做出业务决策和风险平衡指令。这个管理平台应当有一个可定制的、具有丰富图形的工具板，它能确保对业务和技术观点进行量身定制以提高组织内部合适人员的洞察力。它还应当能够在验证攻击和业务风险的基础上提供一个关于公司整体安全态势的论述，而它的地理与网络视图则能让用户维持对其组织责任和合规性状态的认识。