IaaS云計算模式：需要注意五大安全問題
在IT領域，云就如同這夏日的驕陽一樣火熱。微軟、谷哥、蘋果、IBM等重量級“大腕”都志在“云”端，推出了自己不同的云產品和服務。如此看來，誰要是和云過不去，簡直就是自不量力。
不過，許多IT專家對云的發展持謹慎態度，還有許多人對于云計算到底是什么仍存疑惑。但是，云不管你的感覺如何，它仍在成長和演變，并且誕生了不同類型的云。有公共云和私有云，甚至混合云。還有不同類型的云服務：軟件即服務（SaaS）、基礎架構即服務（IaaS）、平臺即服務（PaaS）等。如今，即使技術人員也發現自己很難找到通過“云”的道路。
概念解析
許多人可能已經邁出了云計算的第一步，但是如果你還沒有的話，不妨從下面幾個定義開始。由美國國家科學和技術學會定義的云計算，包括以下特性：
按需自助服務：用戶無需通過中間協調者，就可以獲得計算、網絡、存儲功能；可以通過自我服務入口和某種類型的請求中心而實現。
寬帶網絡訪問：應當可以從任何位置，并且是從網絡連接設備中的任何寬帶陣列來使用云基礎架構中的信息存儲，如從桌面、筆記本、PDA、智能電話、目前及未來存在的其它設備。
資源池：計算、網絡和存儲資源由更大的資源池來交付，不同的企業或單位（稱為多種不同的客戶）可以利用同樣的資源池。這里還存在著位置的獨立性，每一個客戶在任何時點上未必清楚特定資源的位置。
快捷的彈性：用戶可以輕松、快捷地裝備和取消裝備資源。此外，裝備和取消裝備可以根據策略自動完成，因而在不再需要這些資源并要求釋放資源時，能夠對資源進行分配。
可量測的服務：用戶們獲取自己需要的計算、網絡、存儲資源，并僅為他們使用的服務付錢。
云計算模式
許多人相信云計算只不過是服務器的虛擬化，但云計算遠非僅僅是服務器的虛擬化。虛擬化在云計算中扮演著一個重要的角色，沒有虛擬化就沒有云，至少沒有安全和富有成本效益的云計算。但是，沒有云，虛擬化仍會存在。云計算是一種交付和消費模式，而虛擬化是支持此模式的一種技術。
云計算有三種服務模式：
軟件即服務（SaaS）：用戶通過SaaS可以租用所需要的應用程序。取得成本一般很低，而委托時間也是可長可短。
平臺即服務（PaaS）：它不像SaaS，并不向客戶提供已完成的服務。相反，PaaS提供一種內建于云的智能性中的開發平臺，因而開發人員并不需要擔心底層的計算、網絡、存儲的基礎架構。所有的開發人員需要做的就是利用他們已經知道如何使用的工具來開發應用程序，然后將其部署給PaaS供應商。PaaS供應商的云引擎支持需要用于云應用程序的核心云能力。
基礎架構即服務（IaaS）：與上兩者不同，IaaS既不提供一種已完成的服務，也不提供一種開發平臺。相反，IaaS提供核心計算、網絡、存儲的基礎架構，在此基礎上，你可以構建自己的PaaS或SaaS環境。從本質上講，IaaS通過利用服務器和自動化，提供了部署云中虛擬化服務器的一種簡單方法。
IaaS的安全問題
前面我們理清了幾個基本定義，現在重點看一下關于IaaS的安全問題。多數管理員非常熟悉IaaS，因為它與你的數據中心中的現行做法非常類似。為了節省物理服務器的占用空間并節省能源成本，你很可能已經部署了某種服務器的整合計劃。在服務器整合后，你可能會對IaaS的裝備感興趣，你可以利用自助服務、自動化等云特性，更快捷地訪問應用程序部署和開發的資源。
但是，在此前之前，你需要思考一下IaaS的安全問題。根據公共云或私有云實現IaaS的不同，安全問題也有所不同。對私有云而言，你的企業可以完全控制方案。而對于公共云中的IaaS，你控制著自己創建的虛擬機和運行在自己創建的虛擬機上的服務，但你并不控制底層的計算、網絡和存儲基礎架構。不管是哪種情形，你都需要考慮一下安全問題：
1、數據泄露的防護和數據使用的監視
2、認證和授權
3、事件響應和取證功能（端到端的日志和報告）
4、基礎架構的強化
5、端到端的加密
數據泄露的防護和數據使用的監視
企業需要密切地監視存儲在公共云和私有云IaaS基礎架構中的數據。在將IaaS部署在公共云中時，這一點尤其重要。你需要知道誰在訪問信息、如何訪問（從何種設備訪問）、從何處訪問（源IP地址）、在信息被訪問之后發生了什么問題（是被轉發給了另外一個用戶或是被復制到了另外一個位置）。
可以通過利用現代的版權管理服務，并對企業認可的所有關鍵信息應用限制。必須為這種信息創建策略，然后以一種無需用戶干預（用戶沒有責任決定哪些是關鍵信息，從而受到限制保護）的方法來部署這些策略。此外，你還應當創建一種透明的過程，控制誰可以訪問這種信息，然后為不需要在公司數據中心之外長期存在的敏感信息創建并實施一種“自我破壞”策略。#p#
認證和授權
為了獲得一個高效的數據丟失防護（DLP）方案，你還需要強健的認證和授權方法。如今，業界都認可用戶名和口令并非最安全的認證機制。企業應當考慮對需要限制的所有信息實施雙因素或多因素認證。此外，可以考慮根據你對IaaS云方案的每一個供應商的信任水平，建立分等級的訪問策略。顯然，對其它公司的郵件服務的授權水平要比對自己公司的活動目錄環境的授權水平低得多。你需要將這種分層授權整合到你的DLP方案中。
端到端的日志和報告
高效的IaaS部署，無論是在私有云中還是在公共云中，都要求部署全面的日志和報告。由于虛擬機自動轉換并且在服務器之間動態地進行遷移，你絕對無法知道在任何時點上自己的信息在哪里（在我們關注存儲虛擬化和動態遷移問題時，這個問題更為有趣）。為了跟蹤信息在哪里、誰訪問信息、哪些機器正在處理信息、哪些存儲陣列為信息負責等，你需要強健的日志和報告方案。
日志和報告方案對于服務的管理和優化非常重要，在遭受安全損害時，其重要性更為明顯。日志對于事件的響應和取證至關重要，而事件發生后的報告和結果將嚴重地依賴于你的日志基礎架構。務必確保記錄所有的計算、網絡、內存和外存活動，并確保所有的日志都被存儲在多個安全位置，且極端嚴格地限制訪問。你還應確保使用最少特權原則來推動日志的創建和管理活動。
基礎架構的強化
你需要確保你的“黃金鏡像”(企業為每個目標用戶群構建的適合其需要的虛擬機定制桌面)虛擬機和虛擬機模板得到強化并保持清潔。在創建鏡像時，這可以通過初始系統的強化來實現，而且你還可以利用最新技術，通過最新服務和安全更新來離線地更新鏡像。要確保部署一個過程，用以經常測試這些重要鏡像的安全性，確保其不會偏離你最需要的配置，不管是出于惡意或非惡意目的而對原始配置做出改變。
端到端的加密
IaaS作為一項服務，需要充分利用端點到端點之間的加密。確保你利用整盤加密，這會確保磁盤上所有數據的安全，而不僅僅是對用戶的數據文件進行加密。這樣做還會防止離線攻擊。除了整盤加密，還要確保IaaS基礎架構中與主機操作系統（在物理計算機(宿主機)上運行的操作系統，在它之上運行虛擬機軟件）和虛擬機的所有通信都要加密。這可以通過SSL/TLS 或 IPsec實現。這不僅包括與管理工作站之間的通信，還包括虛擬機之間的通信（假設你允許虛擬機之間的通信）。此外，如果可能，盡可能部署同態加密等機制，以保持終端用戶通信的安全。
總結
云計算作為一種新的計算平臺，絕非僅僅是服務器的虛擬化，它必將帶來新的安全威脅。在部署IaaS方案時，無論對于哪朵“云”，都會有很多安全問題需要全面考慮和解決。只有謹慎對待每一種最新的安全威脅，才能更好地實現信息安全目標。
【編輯推薦】
