云安全之重

我们尝试从三个层面解构云安全概念：其中作为产品的云安全，即把云技术应用于网络安全方面已经得到广泛应用；而在技术层面、云是否安全是云计算转向大规模商业应用的障碍；而在信息战略层面，云安全甚至给国家信息安全带来新的威胁。后两个层面的核心只有一个——数据安全。

业界厂商和用户都已经肯定，云计算已经成为全球信息产业的重要发展方向。现在已经过了要不要上云计算的时期，而到了怎么上云计算的时期。但是，对信息安全的担忧，已经成为全球部署云计算的重要障碍。一项调查显示，全球51%的CTO认为安全问题是部署云计算时最大的顾虑。

事实上，自云计算服务出现以来，发生的大量安全事件已经引起了业界的广泛关注，并进一步引发了用户对公共云服务的信任问题。从导致安全事件的原因来看，软件漏洞或缺陷、配置错误、基础设施故障、黑客攻击等原因都可能产生较大问题；从安全事件的后果来看，信息丢失或泄露和服务中断是最受诟病的部分。2011年3月，谷歌邮箱爆发大规模的用户数据泄漏事件，大约有15万Gmail用户受到影响；2011年4月，由于EC2业务的漏洞和缺陷，亚马逊公司爆出了史前最大的云计算数据中心宕机事件，且这一事件在上周再次重演。据国外媒体报道，自2007年开始，13次著名的云服务宕机导致了568小时的服务中断，造成了超过7170万美元的经济损失。

我们尝试从三个层面解构云安全概念：其中作为产品的云安全，即把云技术应用于网络安全方面已经得到广泛应用；在技术层面、云是否安全是云计算转向大规模商业应用的障碍；而在信息战略层面，云安全甚至给国家信息安全带来新的威胁。后两个层面的核心只有一个——数据安全。

产品层面——云让人更安全

从目前各大安全厂商推出的基于云技术的安全产品来看，云安全是基于云计算商业模式应用的安全软件，硬件，用户，机构，安全云平台的总称。它是“云计算”技术的重要分支，是P2P技术、网格技术、云计算技术等分布式计算技术混合发展、自然演化的结果，而且已经在反病毒领域当中获得了广泛应用。

随着互联网越来越成为人们工作生活的重要部分，未来杀毒软件将无法有效地处理日益增多的恶意程序。来自互联网的主要威胁正在由电脑病毒转向恶意程序及木马，在这样的情况下，采用的特征库判别法显然已经过时。云安全技术应用后，识别和查杀病毒不再仅仅依靠本地硬盘中的病毒库，而是依靠庞大的网络服务，实时进行采集、分析以及处理。

在具体的技术实现上，“云安全(Cloud Security)”计划是网络时代信息安全的最新体现，它融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，推送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。

可以看出，云安全的策略构想是使用者越多，每个使用者就越安全，因为如此庞大的用户群，足以覆盖互联网的每个角落，只要某个网站被挂马或某个新木马病毒出现，就会立刻被截获。

最早提出“云安全”这一概念的是趋势科技，2008年5月，趋势科技在美国正式推出了“云安全”技术。云安全的概念提出后，曾引起了广泛的争议，许多人认为它是伪命题。但事实胜于雄辩，云安全的发展像一阵风，瑞星、趋势、卡巴斯基、MCAFEE、SYMANTEC、江民科技、PANDA、金山、360安全卫士等都推出了云安全解决方案，而且中国厂商在“云安全”的技术应用上走到了世界前列。

另一方面，云技术普及也带来了应对事故的解决方案。

基于云的灾难恢复相对于传统灾难恢复带来了许多优点，这些优点主要得益于把数据迁移或者复制到云端。因为云消除了客户投资一个远程灾难恢复设施的成本，云显著地减少了传统灾难恢复的资本支出。用户不用去支付电力和制冷的费用，使得运营费用不断下降。又因为云实惠的定价和按需分配容量和性能，用户只需支付他们所使用的资源。

迁移灾难恢复带云端同样增加了灾难恢复的灵活性和实践。因为云被设计用来通过远端管理，它可以加快恢复的速度。相对比笨重并且贵重的磁带式灾难恢复时间(无论在本地还是异地)，这些能力可以使常规检查更加实际同时在有需要时保证解决方案有效工作。

技术层面——云可以很安全

云计算作为一种新技术，新的运营形态，必然会带来新的漏洞和新型攻击。

同传统的信息化系统一样，从技术上看，云计算系统的安全漏洞是不可避免的，且由于服务网络化、数据集中化、平台共享化和参与角色多样化，云计算所面临的安全风险相对于传统信息化系统更加复杂。此外云计算中对数据的安全控制力度并不是十分理想，API访问权限控制以及密钥生成、存储和管理方面的不足都可能造成数据泄漏，并且还可能缺乏必要的数据销毁政策。

但也应该看到，在绝大多数情况下，相对于个人和中小企业用户而言，云服务提供商可以提供更加专业和完善的访问控制、攻击防范、数据备份和安全审计等安全功能，并通过统一的安全保障措施和策略对云端IT 系统进行安全升级和加固，从而提高了这部分用户系统和数据的安全水平。

简单来说，专业的云服务上提供的服务比小企业自己花费IT预算进行的数据保护和应用更安全，这好比专业的基金公司通常比散户更能在股市上赚到钱。

随着云计算技术和理念的不断发展，国际标准组织、产业联盟和研究机构等针对云计算安全风险开展了研究，尽管各组织机构对云计算安全风险分析的角度不尽相同，但普遍认为共享环境数据和资源隔离、云中数据保护以及云服务的管理和应用接口安全是最值得关注的问题。从各组织的关注重点来看，管理方面的探讨较多。

例如，ITU-T关注用户在让渡数据和IT 设施管理权的情况下与服务提供商之间的安全权责问题，并强调了数据跨境流动带来的法律一致性遵从问题；CSA 关注云服务恶意使用和内部恶意人员带来的安全风险；ENISA(欧洲网络与信息安全局)强调了公共云服务对满足某些行业或应用特定安全需求的合规性风险。

事实上，实现用户数据在云服务器端从生成到销毁全过程，包括在云服务器端的强制自我销毁技术，保证在云计算平台受到恶意攻击的情况下用户数据仍然能够按时销毁，技术上并没有多大难度。而从针对基于虚拟机监控器的用户进程保护系统，保证用户数据在迁移的全过程的隐私性和完整性也已经在多个平台上实现。

战略层面——国家安全的新威胁与机遇

目前，信息技术领域逐渐被发达国家特别是美国所垄断，全球真正有实力研发和提供“云计算”服务的公司只有谷歌、微软、IBM和亚马逊等少数IT巨头。而发展中国家在技术上没有主导权，其战略选择非常有限。

“云计算”在颠覆原有互联网应用模式的同时，也给国家安全带来了新的挑战，在“云”面前，国家信息安全和主流思想文化受到挑战。“云计算”的发展将导致全球信息在收集、传输、储存、处理等各个环节上进一步集中，国家信息将在“去国家化”的趋势中受到严峻考验。如果不能积极采取措施，建设自有的“云计算”设施，那么我们得到的恐不是便捷的“云”服务，而是一个国家安全受到严重威胁的黑云时代。

未来国家的综合实力，很大程度上将取决于互联网建设和管理能力，而“云计算”则将成为互联网应用的核心和依托。因此，“云计算”的这种垄断发展趋势，将使众多国家，特别是发展中国家的安全面临着严峻挑战。

国家发展壮大新增长点的争夺加剧。当今世界，高性能计算已成为理论和试验之外的第三种科学研究手段，计算能力因而成为衡量一个国家综合国力和科学研究能力的指标，成为一种重要的战略资源，其重要性不亚于石油和其他战略物资。在实体的超级计算机研发耗资巨大且性能突破受到物理制约的条件下，相当于虚拟超级计算机的“云计算”则可无限扩充，并以更低成本、更高的计算能力和更方便的应用环境为国家重要战略领域的高端研究提供支撑。

现在的格局是，跨国企业在“云计算”领域的咄咄逼人和各国政府对“云计算”发展的深远谋划，对我国政治、经济、科技和国家安全都形成了严峻挑战。事实上，如果我们不具备自有“云计算”实力，那么绝大多数企业和个人为了满足应用需要，将别无选择地通过如上所述的“云计算”中心存储和处理各类数据。

同时，国家和军队信息化建设的发展将越来越受制于国际IT巨头制定的信息化标准和规则。当然，“云计算”的发展也为我国带来了新的发展机遇。一方面，它的智能管理算法为解决我国信息化建设中的综合集成问题，提供了一种崭新的思路。另一方面，经过多年信息化建设，我国信息化基础设施已经达到了相当的规模和水平，而且拥有全球最庞大的需求市场，如果充分发挥集中力量办大事的制度优势，就完全有可能构建国家主导的自有“云计算”设施。

因此，我国应尽快启动云计算的理论研究和标准研发工作。尽快建立云计算服务平台的建设规范和对运营服务软件的验收规范，防止其预留后门，还应尽快建立入云企业的信息安全管理规范，才能确保云计算得到健康有序的发展。

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]