云安全技術(shù)下的思考與探索

我想跟大家分享一下聯(lián)通在云安全和技術(shù)方面的一些認識和理解。我們對云安全方面的認知和理解主要有三個方面。首先，我先談一下聯(lián)通在云安全方面的相關(guān)背景和需求，以及基本的研發(fā)思路。比如說從云虛擬化安全，云數(shù)據(jù)安全，還有統(tǒng)一監(jiān)控，這三個方面來進行開展。然后第二部分就是針對這三個方面，我們每個方面舉出了一個研究的實例跟大家進行分享。最后一部分就是簡單談一下云安全技術(shù)研究下一步的具體工作建議。

云安全的背景和需求

由于云技術(shù)的不斷演進，國內(nèi)企業(yè)都在研發(fā)云平臺和云系統(tǒng)。不過，國內(nèi)云計算、云系統(tǒng)的安全問題卻比較突出。因為近些年來網(wǎng)絡(luò)安全事件頻發(fā)，特別是國內(nèi)國際安全方面的隱私泄露。這就導(dǎo)致云安全成為阻礙云技術(shù)發(fā)展的最大挑戰(zhàn)，因此我們針對云安全也開展了相關(guān)的研究。首先我簡單地談一下在云計算安全方面的需求，大概有三個特點。比如說云計算技術(shù)的引入，可能會存在一些云平臺上實現(xiàn)的數(shù)據(jù)集中存儲，應(yīng)用集中部署，包括用戶集中管理的新特性。我們知道云計算里面會進行大量的虛擬化引用，以及一臺虛擬機里面存儲多個用戶的數(shù)據(jù)，像這種架構(gòu)特征也是云計算的新特點。

針對以上的新特點我們給出了相關(guān)的云安全需求。比如說剛剛提到的虛擬化，如何確保云平臺虛擬機制安全運行，以及虛擬機構(gòu)虛擬網(wǎng)絡(luò)的安全，同時還包括云數(shù)據(jù)庫，數(shù)據(jù)存儲等等。另外，云中肯定有很多軟件資源，如何實現(xiàn)統(tǒng)一的監(jiān)管機制，來對云平臺相關(guān)的資源來進行統(tǒng)一的監(jiān)管，還有剛才提到的多住戶的事情，怎么防御控制。包括在云狀態(tài)下的存儲不能滿足云環(huán)境下相關(guān)的適配認證等等問題。同時我們有諾大的云體系，針對這個云平臺風險我們是不是需要考慮云平臺的系統(tǒng)評估。

突破云安全桎梏

針對以上的云安全需求我們正在尋找突破的方向。第一個是云基礎(chǔ)設(shè)施安全，包括前面提到的虛擬機安全防護、虛擬機隔離、虛擬網(wǎng)絡(luò)的安全。第二個是云數(shù)據(jù)安全，云環(huán)境下傳統(tǒng)的安全邊界已經(jīng)模糊，不能滿足云環(huán)境下的安全需求，特別是數(shù)據(jù)安全需求，所以在這個環(huán)境下需要考慮數(shù)據(jù)安全，數(shù)據(jù)的加密，還包括數(shù)據(jù)后面提到的數(shù)據(jù)庫安全的實例。第三個方向是云監(jiān)控，就是計算資源在云平臺里面，如何實現(xiàn)集中管理監(jiān)控的問題。

首先看云虛擬化安全，之前已經(jīng)考慮了虛擬機相關(guān)的安全防護機制，比如說像虛擬機的防病毒，虛擬機的網(wǎng)絡(luò)安全，但是我們知道虛擬機是在HMWD虛擬機管理器上面，虛擬機管理器安全是不是需要考慮，同時這個接口接到OPSDK，是否能夠從安全角度去監(jiān)控云虛擬機里面的安全級別和安全態(tài)勢，這是一個問題。我們是否針對這個問題需要在多個HDSDK之上建立一個統(tǒng)一的集成管理平臺來監(jiān)管相關(guān)的HDSDK和HDSDK上面的虛擬機呢？這個是我們考慮的思路。

第二個方向是云數(shù)據(jù)安全，我們知道在云環(huán)境下傳統(tǒng)的數(shù)據(jù)安全不能解決云數(shù)據(jù)下的數(shù)據(jù)庫安全，同時云環(huán)境下可能會有一些新窗口，比如提供的數(shù)據(jù)庫集服務(wù)，在數(shù)據(jù)庫集服務(wù)場景下會不會有新的隱患，比如說數(shù)據(jù)庫享受數(shù)據(jù)庫的業(yè)務(wù)，我把數(shù)據(jù)傳給SP了，這是不是需要第三方來監(jiān)管SP，從而確保用戶的數(shù)據(jù)不被泄露、不被篡改。然后還包括存在一些傳統(tǒng)的安全隱患，比如云平臺下處于某些攻擊上的沒有考慮安全的問題，比如說數(shù)據(jù)庫存儲。針對用戶名密碼存儲，一旦云平臺的門戶被攻破，黑客就可以直接竊取云平臺的數(shù)據(jù)以及用戶數(shù)據(jù)信息。通過這些，我們在考慮云環(huán)境下數(shù)據(jù)庫的安全云框架，主要是通過事前探測，事中防護，事后預(yù)警的管控。比如說像數(shù)據(jù)庫的補丁檢查，包括配置是否安全合理，數(shù)據(jù)庫是否存在相關(guān)的弱點，以及包括數(shù)據(jù)庫存在密碼漏洞，還有信息安全加固，這樣新的數(shù)據(jù)庫才能上線。

至于目前已經(jīng)上線的數(shù)據(jù)庫我們會考慮三個問題，不同的用戶我們必須確保分別給他不同的用戶權(quán)限，讓他訪問權(quán)限之內(nèi)的數(shù)據(jù)。第二個權(quán)限是安全加固，比如說入口令的問題，因為在通信企業(yè)每年都會查出入口令的問題，可能有些安全部門為了方便查閱，密碼設(shè)置很簡單。我們強調(diào)透明加密，正確的用戶在使用正確的應(yīng)用場景下才能訪問這個解密后的數(shù)據(jù)，同時為了確保數(shù)據(jù)庫安全，讓他能不能實現(xiàn)制定的數(shù)據(jù)加密，比如說存儲的用戶信息。事后主要通過日志審計，安全審計，我們的審計內(nèi)容以三維動態(tài)展現(xiàn)。

這個是我們云環(huán)境下數(shù)據(jù)庫的思路，我們目前考慮的是針對端數(shù)據(jù)庫，在未來云環(huán)境下，包括大數(shù)據(jù)的演進，非NSDP的數(shù)據(jù)庫可能就會成為我們考慮的重點方向。這個是云環(huán)境下數(shù)據(jù)庫的大環(huán)境思路。

第三個是云資源統(tǒng)一監(jiān)控，目前在云平臺下面有大大小小的資源，IAAS，PAAS和SAAS等等，這樣架構(gòu)比較零散，無法對IAAS和PAAS、SAAS相關(guān)的資源管理監(jiān)控，包括目前無法整合監(jiān)控能力而作為一種對外的服務(wù)推送出去，目前我們暫時提出一種統(tǒng)一的監(jiān)控方案，核心就是監(jiān)控服務(wù)器，它可以通過不同的軟件資源設(shè)立不同的代理，從而通過這個代理可以達到統(tǒng)一數(shù)據(jù)格式的監(jiān)控，不管是TXT還是其他數(shù)據(jù)都可以通過不同的代理得到，所以通過不同的存儲平臺，存儲相關(guān)的監(jiān)控數(shù)據(jù)，然后再傳輸?shù)奖O(jiān)控服務(wù)器上面，再傳達給后臺數(shù)據(jù)庫。這個是我們相對過往監(jiān)控云平臺可視化的展現(xiàn)。

此外，監(jiān)控服務(wù)器還可以實現(xiàn)下發(fā)策略管理，比如說實現(xiàn)對各監(jiān)控對象實現(xiàn)報警機制和報警功能，這樣第一個安全實例也可以實時監(jiān)控，當然后面我們會把云數(shù)據(jù)庫部署到云安全里面。

云安全的未來規(guī)劃

第三個部分簡單談一下對云安全下一步工作建議，我們目前正在研究三個虛擬化安全，云數(shù)據(jù)庫安全，云監(jiān)控相關(guān)的方案，然后后續(xù)會積極把這些方案進行整合，開發(fā)相關(guān)的云數(shù)據(jù)庫，爭取和各集團、各省份接洽，從而爭取早日實現(xiàn)部署安全。同時我們建立云管理機制，因為還沒有提到云評估，后續(xù)還會建立云業(yè)務(wù)安全機制，將對各種服務(wù)源IDC進行評估。

（根據(jù)劉鏑在2014第七屆信息主管年會上的演講整理而成）