黑科技加持 政策跟進 云安全之路任重而道遠

田潤

在云計算高速發(fā)展的現(xiàn)階段，如何提升安全保障的問題日益凸顯。不久之前發(fā)生在亞馬遜AWS的共和黨數(shù)據(jù)庫泄露，致使美國2億選民信息曝光的嚴重事件引發(fā)巨大關(guān)注，將網(wǎng)絡安全問題再次攤開在眾人面前，多方面的安全挑戰(zhàn)不容忽視。

眾所周知，云計算的服務市場已替代傳統(tǒng)IT模式，成為信息系統(tǒng)的主要架構(gòu)。同時，云計算的服務市場類型不斷創(chuàng)新，市場規(guī)模和用戶量也在持續(xù)擴大，數(shù)據(jù)顯示，2017年云計算的市場規(guī)模達到291億元。目前，越來越多的企業(yè)把數(shù)據(jù)搬至云端，一旦發(fā)生云故障就會給企業(yè)和用戶帶來巨大的損失。敲響信息安全的警鐘，面對重大安全事故頻發(fā)的現(xiàn)狀，信息安全隱患不容忽視。

安全事故頻發(fā) 數(shù)據(jù)安全問題凸顯

云計算平臺的癱瘓，將導致大量數(shù)據(jù)丟失和大規(guī)模業(yè)務中斷，給用戶帶來巨大損失。如2015年9月，由于云服務器故障，阿里云面臨持續(xù)7小時的中斷服務，并且大范圍ECS中的進程被阻斷、文件被隔離刪除；2016年6月，亞馬遜AWS數(shù)據(jù)中心服務中斷部分持續(xù)近10小時，多家企業(yè)受影響；同年7月，Google云的App Engine服務故障時間達到107分鐘，37%以上的APP訪問存在異常；2017年2月，亞馬遜AWS的S3簡單存儲服務中斷持續(xù)219分鐘；2017年3月，微軟的數(shù)據(jù)存儲服務故障時間高達535分鐘，同時26個數(shù)據(jù)中心出現(xiàn)問題。

事實上，除云服務宕機問題，云計算中用戶數(shù)據(jù)安全問題也日益凸顯。與傳統(tǒng)IT系統(tǒng)不同，用戶和服務商分離，數(shù)據(jù)的所有者與保管者分離，這種形式將引發(fā)新的數(shù)據(jù)安全問題。由于用戶數(shù)據(jù)存儲在云中，存在隔離加密措施不嚴、黑客攻擊、系統(tǒng)故障導致安全機制失效等多種風險，大規(guī)模用戶數(shù)據(jù)面臨未授權(quán)訪問或被篡改、刪除、盜賣的風險。數(shù)據(jù)顯示，2016年確定超過6800萬條用戶賬號數(shù)據(jù)被泄露；2016年9月～2017年2月，數(shù)百萬網(wǎng)絡托管客戶數(shù)據(jù)被泄露。

與此同時，云服務成為網(wǎng)絡攻擊的重點目標。2017年6月爆發(fā)的“暗云3”木馬病毒通過云端下載到計算機中發(fā)起DDoS攻擊，感染全國160多萬臺電腦，通過竊取用戶的賬號、密碼信息，使用戶個人隱私信息受到威脅，還對互聯(lián)網(wǎng)穩(wěn)定運營造成嚴重影響。此外，數(shù)據(jù)顯示，百度云每天遭受數(shù)十起DDoS攻擊，每天檢測到2500萬次Web攻擊。

的確，面對云服務宕機、云平臺自身安全漏洞頻現(xiàn)、針對云服務的網(wǎng)絡攻擊愈發(fā)增多等云安全問題，安全可信已成為企業(yè)用戶的首要需求，這就需要電信運營商和云服務提供商在安全云服務上的共同努力。

云安全的“黑科技”發(fā)展

據(jù)悉，電信運營商紛紛投資建設高標準、大規(guī)模的云計算數(shù)據(jù)中心，作為承載自身業(yè)務和系統(tǒng)的重要基礎設施，為客戶提供可靈活定制的云計算整體解決方案。

對此，中國電信發(fā)布了天翼云3.0，能夠提供安全、可信的技術(shù)保障，營造安全的云服務環(huán)境。而在7月27-30日舉辦的天翼展上，中國電信攜手深信服構(gòu)建云安全資源池解決方案，為客戶提供穩(wěn)定、優(yōu)質(zhì)的服務，切實保障客戶云端業(yè)務的安全順暢運行?！氨ＷC用戶的數(shù)據(jù)安全，是每個云服務商共同的責任，也是每個云服務商共同追求的事情?！敝袊娦殴煞萦邢薰驹朴嬎惴止靖笨偨?jīng)理徐守峰表示。

中國聯(lián)通為保障云端業(yè)務的可靠實用，將故障響應率和業(yè)務恢復率按照分級對客戶進行保障，其中故障響應在10分鐘之內(nèi)，業(yè)務恢復在30分鐘之內(nèi)，并且資源可靠性達到了99.99%。

目前，華為在云基礎設施防護、PaaS平臺安全、安全運維、安全管理、安全服務等方面進行系統(tǒng)性的構(gòu)建，打造安全可信云平臺，形成了工具化、自動化的縱深防御體系。

毫無疑問，云安全是決定云計算產(chǎn)業(yè)生產(chǎn)和發(fā)展的關(guān)鍵，而借助區(qū)塊鏈技術(shù)，可以在很大程度上提升云的安全性。中國信通院根據(jù)區(qū)塊鏈技術(shù)演進、安全與監(jiān)管等方面的研究指出，區(qū)塊鏈在應用場景的推動下，其技術(shù)不斷完善，將會與云計算緊密結(jié)合。據(jù)調(diào)查發(fā)現(xiàn)，區(qū)塊鏈技術(shù)在全球電信行業(yè)已經(jīng)得到了極為廣泛的應用：2015年，法國電信企業(yè)Orange就在金融服務領(lǐng)域使用區(qū)塊鏈；2016年10月，美國電信企業(yè)AT&T首次進行了區(qū)塊鏈應用的探索；2017年6月，美國電信運營商Sprint Corporation與美國加州區(qū)塊鏈初創(chuàng)公司、日本軟銀集團合作開發(fā)了區(qū)塊鏈技術(shù)應用程序，將TBCASoft區(qū)塊鏈平臺連接到了電信運營商的系統(tǒng)。區(qū)塊鏈技術(shù)的出現(xiàn)，無疑為云計算的發(fā)展提供巨大的助力，也為云安全的發(fā)展提供技術(shù)指導。

任重道遠 共建安全生態(tài)

近年來，除了電信運營商和云服務提供商在云安全方面的努力，政策的頒布和實施也為云安全帶來有力保障。工信部網(wǎng)絡安全管理局網(wǎng)絡與數(shù)據(jù)安全處副處長袁春陽表示：“云計算安全管理相關(guān)政策文件密集出臺，云計算安全管理工作原則更為清晰、方向更為明確、任務更加具體?！逼渲?，2015年7月發(fā)布的《國務院關(guān)于促進云計算創(chuàng)新發(fā)展培育信息產(chǎn)業(yè)新業(yè)態(tài)的意見》，將“保障安全”作為一個基本原則，從制度保障、數(shù)據(jù)保護、技術(shù)支撐、安全防護等方面明確任務目標；而在2016年11月發(fā)布的《網(wǎng)絡安全法》，從網(wǎng)絡運行、數(shù)據(jù)安全、用戶個人信息保護等方面做出新要求，為云計算安全提供了法律保障。

云安全的發(fā)展，離不開標準的建立。值得一提的是，為了建設云計算信任體系，提出可信云服務的標準和評估體系。另外，通過CSA國際云安全標準的建立，推廣云計算解決方案、云安全保障的問題方針，使云安全的工作加速向前推進。

袁春陽進一步表示，隨著云計算產(chǎn)業(yè)的快速發(fā)展，云安全問題愈發(fā)突出，網(wǎng)絡安全防護工作更加重要。云安全工作任重道遠，離不開政府部門、行業(yè)組織、企業(yè)、應用部門、科研院校等各個方面的共同努力，規(guī)范和提升行業(yè)安全能力，合力促進安全生態(tài)形成。