企業(yè)對云服務(wù)的需求如今呈現(xiàn)爆炸式增長，使得對高度安全的云平臺的需求變得更加迫切。許多處理敏感數(shù)據(jù)的企業(yè)都對將業(yè)務(wù)遷移到云平臺感到擔(dān)憂，這并非沒有理由。

一段時間以來，公有云實際上可以比企業(yè)的內(nèi)部部署設(shè)施提供更多的保護(hù)。云計算供應(yīng)商的專家團(tuán)隊可以確保云計算服務(wù)器保持最佳的安全狀態(tài)，以抵御外部威脅。

[[402953]]

但是，實現(xiàn)這種安全水平需要付出一定的代價。由于業(yè)務(wù)運(yùn)行在云平臺，將導(dǎo)致企業(yè)面臨數(shù)據(jù)泄露的風(fēng)險，并使合規(guī)性工作變得更加復(fù)雜。

芯片、軟件和云計算基礎(chǔ)設(shè)施中數(shù)據(jù)安全技術(shù)的最新發(fā)展正在改變這一現(xiàn)狀。通過有效地鎖定內(nèi)部工作人員或外部攻擊者的數(shù)據(jù)訪問權(quán)限，新的安全功能將公有云轉(zhuǎn)變?yōu)橐环N受信任的數(shù)據(jù)安全環(huán)境——機(jī)密云。

這樣就消除了即使是最敏感的數(shù)據(jù)和應(yīng)用程序也無法實施全面遷移的最后一個安全障礙。利用這種具有安全性的機(jī)密云，企業(yè)現(xiàn)在可以在任何地方獨家擁有自己的數(shù)據(jù)、工作負(fù)載和應(yīng)用程序。

現(xiàn)在，即使是全球一些最注重安全性的企業(yè)，也都將機(jī)密云視為存儲、處理和管理數(shù)據(jù)的最安全選擇。機(jī)密云的吸引力是基于專有數(shù)據(jù)控制和將數(shù)據(jù)風(fēng)險降低到硬件級別的承諾。

什么是機(jī)密云?

在過去的一年中，關(guān)于機(jī)密計算的討論很多，包括安全飛地或可信執(zhí)行環(huán)境(TEE)。現(xiàn)在，這些服務(wù)器可在基于Amazon Nitro Enclaves、Intel SGX(軟件保護(hù)擴(kuò)展)和AMD SEV(安全加密虛擬化)芯片構(gòu)建的服務(wù)器中使用。

機(jī)密云利用這些技術(shù)來建立安全且不可穿透的加密邊界，該邊界從信任的硬件進(jìn)行無縫擴(kuò)展，以保護(hù)使用中的、靜止的和運(yùn)行中的數(shù)據(jù)。

傳統(tǒng)的分層安全方法在數(shù)據(jù)和不良行為者之間設(shè)置障礙，或者為存儲或通信提供獨立的加密，機(jī)密云則提供了與數(shù)據(jù)本身不可分離的強(qiáng)大數(shù)據(jù)保護(hù)。反過來，這消除了對傳統(tǒng)外圍安全層的需求，同時使數(shù)據(jù)所有者可以在存儲、傳輸或使用數(shù)據(jù)的任何位置進(jìn)行控制。

由此產(chǎn)生的機(jī)密云在概念上類似于網(wǎng)絡(luò)細(xì)分和資源虛擬化。但是，機(jī)密云不僅可以隔離和控制網(wǎng)絡(luò)通信，而且將數(shù)據(jù)加密和資源隔離擴(kuò)展到IT、計算、存儲和通信的所有基本元素。

機(jī)密云匯集了在與云計算運(yùn)營內(nèi)部人員、惡意軟件或潛在網(wǎng)絡(luò)攻擊者隔離的可信執(zhí)行環(huán)境中機(jī)密運(yùn)行任何工作負(fù)載所需的一切。

這也意味著即使服務(wù)器受到物理攻擊，其工作負(fù)載仍然是安全的。即使網(wǎng)絡(luò)攻擊者具有對服務(wù)器的root訪問權(quán)限，也可以有效地阻止其查看數(shù)據(jù)或訪問數(shù)據(jù)和應(yīng)用程序，從而提供傳統(tǒng)的微分段技術(shù)無法提供的安全級別。

比內(nèi)部部署設(shè)施更加安全

一個有力的論據(jù)是，信譽(yù)良好的主要云提供商提供了保護(hù)絕大多數(shù)內(nèi)部IT基礎(chǔ)設(shè)施所需的資源和重點。但數(shù)據(jù)開放云計算供應(yīng)商給企業(yè)帶來了數(shù)據(jù)泄露的更大風(fēng)險，以及無法在首席信息安全官的完全控制下鎖定受到信任的環(huán)境。

數(shù)據(jù)泄露已經(jīng)體現(xiàn)在迄今為止廣為人知的一些違規(guī)事件中，例如CapitalOne公司的大量數(shù)據(jù)被AWS公司一名員工泄露，并成為從云平臺中泄露數(shù)據(jù)的一個典型事例。

采用機(jī)密云消除了云計算內(nèi)部人員泄露數(shù)據(jù)的可能性，從而關(guān)閉了數(shù)據(jù)攻擊面，否則這些數(shù)據(jù)將暴露給云計算供應(yīng)商。數(shù)據(jù)控件可以擴(kuò)展到可能泄露數(shù)據(jù)的任何地方，包括存儲、網(wǎng)絡(luò)和多個云平臺中。

采用自己的機(jī)密云

OEM軟件開發(fā)商和SaaS供應(yīng)商已經(jīng)正在構(gòu)建機(jī)密云，以保護(hù)其應(yīng)用程序。Redis公司最近發(fā)布了其高性能軟件的安全版本，該版本可在多個安全計算環(huán)境上運(yùn)行，從而可靠地創(chuàng)建了世界上最安全的商業(yè)數(shù)據(jù)庫。

Azure機(jī)密計算部門已與機(jī)密云的供應(yīng)商合作，以在不對基礎(chǔ)應(yīng)用程序進(jìn)行任何修改的情況下，在現(xiàn)有基礎(chǔ)設(shè)施上安全地構(gòu)建和運(yùn)行任何工作負(fù)載。

利用機(jī)密計算可以運(yùn)行以前需要修改代碼才能運(yùn)行的應(yīng)用程序。這是因為最初的機(jī)密計算技術(shù)側(cè)重于保護(hù)內(nèi)存。必須修改應(yīng)用程序才能在受保護(hù)的內(nèi)存段中運(yùn)行選定的敏感代碼。對大多數(shù)企業(yè)來說，重寫和重新編譯應(yīng)用程序的需求對大多數(shù)企業(yè)來說都是一項繁重的工作，甚至在原有或現(xiàn)成的軟件包中都是不可能的。

全新的“提升與轉(zhuǎn)移”實施路徑使企業(yè)能夠在受保護(hù)的機(jī)密云中創(chuàng)建、測試和部署敏感數(shù)據(jù)工作負(fù)載，而無需修改或重新編譯應(yīng)用程序。如今，幾乎所有云計算提供商(包括AWS、微軟Azure和谷歌云)都提供機(jī)密的云計算基礎(chǔ)設(shè)施。

機(jī)密云軟件允許應(yīng)用程序甚至整個環(huán)境在機(jī)密云平臺中工作，而無需進(jìn)行任何修改。附加的軟件抽象和虛擬化層的優(yōu)勢在于，使機(jī)密云本身與英特爾、AMD、亞馬遜和ARM等公司開發(fā)的眾多專有安全區(qū)域技術(shù)和版本無關(guān)。

新一代的安全廠商已經(jīng)簡化了為潛在的公有云客戶實施私有測試和演示環(huán)境的過程，這加快了私有應(yīng)用程序飛地化和生成完整的機(jī)密云基礎(chǔ)設(shè)施的進(jìn)程。

數(shù)據(jù)安全性是將應(yīng)用程序遷移到云平臺和整合IT資源的最后一道障礙。除了最敏感的應(yīng)用程序和數(shù)據(jù)之外，在提供應(yīng)對云安全漏洞的解決方案方面邁出了重要的一步。消除數(shù)據(jù)漏洞為企業(yè)提供了廣泛的機(jī)會，使他們可以簡單地部署基于機(jī)密云構(gòu)建的更加安全的托管IT基礎(chǔ)設(shè)施。