| |
 |
计算代表了未来计算机服务的发展方向，它将广泛应用已经是大势所趋，越来越多的企业已经开始关注云计算服务。然而最近一系列影响较大的网络故障，使得人们对云计算的安全性忧心忡忡。尽管云计算的概念因各公司的定义而有所不同，但其实质都是利用网络为企业和用户提供服务或应用。这些应用中既有软件的，也有硬件的。例如亚马逊的S3服务就是通过网络为用户提供服务器存储的服务。即每个计算小时收取10美分、每个存储单元15美分的标准费用。而Google提供的GoogleApps则是类似微软的Office的软件应用。
但就是这两个应该说是云计算最早的倡导者和提供者则无一例外地在今年发生了因网络而导致服务中断的问题。这里先不说它们提供的服务如何，单就网络这一提供服务的途径就明显缺乏可控性(网络依赖于电信运营商)和可靠性(网络中断导致服务的不可用)。而这种可控性和可靠性的缺乏往往会给用户，尤其是大的企业用户造成不可估量的损失，这也就很好地解释了，为何云计算发展到今天，其用户多是开始创业的Web2.0公司或是中小企业。
另外就是云计算的安全性至今仍被多数的企业和用户所质疑。为此，Gartner在近日发布的一份名为《云计算安全风险评估》的报告，列出了云计算技术存在的7大风险。即特权用户的接入；可审查性；数据位置；数据隔离；数据恢复；调查支持和长期生存性。
也许正是由于云计算可靠性和安全性的软肋，延缓了云计算的应用和普及。当然，企业转向云计算的速度之慢也引起了业内的担忧。
事实上，云计算的基本思路十分简单：由服务提供商的数据中心负责存储过去一直保存在最终用户个人计算机上或企业自己数据中心的信息，用户通过互联网远程访问这些应用程序和数据。基于云计算本身的特点，再加上最近由于信贷危机的爆发和全球经济持续衰退，众多企业不得不压缩包括IT预算在内的各种预算，使得云计算的优势显得更为突出：云计算通过外包所有支持服务大幅度降低总拥有成本(TCO)。
由于设备采购成本都由服务提供商来承担，因而可以降低与支持应用程序和数据存储所需的IT设备的采购成本，包括服务器和PC的成本。此外，由于减少了数据中心的空间占用，因而可以减少租金、电力和冷却需求。另外还有一些隐形好处，比如从总体上简化应用支持环境以及提供更好的伸缩性，允许企业根据经济形势的变化决定服务的扩张或收缩。
云计算的风险
降低总拥有成本对于企业来说很有吸引力，但是，转至云环境意味着要依靠第三方来提供服务，而且这种服务现在可能来自不同的地区，并且可能位于其他国家。委托第三方提供服务的风险可能很大，而且对一些企业来说这个步子可能迈得太远了，很有可能风险比业务好处更大。
同时，这种类型的服务也意味着使用者高度依赖广域网设施，而广域网成本的增加可能会减少部分成本节省，结果可能证明访问一个集中式庞然大物的成本更高。因此，尽管云计算存在富有说服力的成功案例，但也伴随着风险，与现有的标准台式PC或自有数据中心模式相比，它可能不够可靠。
那么，这对安全会有什么影响呢？我们首先从对保密性的潜在影响说起。用户在多大程度上“拥有”这些数据？服务提供商有什么义务？把数据转移到提供商的数据中心会提高安全性吗？当然，安全是可以做到的。
管理完善的数据中心不仅能够确保数据的隐私性，而且还能确保数据不会受到毁坏；进行适当检查和核查、撰写完善的合同与服务级别协议(SLA)可以确保保密性、完整性和可用性义务得到明确的定义和执行，但是这不能消除对第三方的依赖性。而且，即使已经有规范而且完善的合同，我们仍可能看到许多失败案例，而一旦失败很可能意味着该企业必须重新启用和补充各种关键应用基础设施，以维持Web门户等系统的运行。
急需解决的云安全问题
而且，在采用云计算的过程中还可能出现新的威胁。比如，对正在努力降低成本的企业，需要安全远程访问的家庭工作者可能会增加。因为不管是从总体拥有成本上考虑，还是企业在采用云服务后所能带来的灵活性来看，这都是值得一试的。但是，随着管理层将注意力转移到落实“云”的好处上，在保证必要的安全性方面关注程度很有可能降低。
这将出现重大风险，比如给黑客留下一些机会他们通过寻找云环境内的安全漏洞，来获取对用户社区和终端设备的未授权访问。而且，由于数据和应用程序已经实现了集中，他们的回报相当丰厚。黑客可以将这种权限用于其他恶意活动，例如身份盗窃以及破坏同一环境中存储的其他数据等。
急需解决的云安全问题
为了应对这些威胁，政府政策需要如何改变？到目前为止，不少政府已经注意到云计算，但是在允许其数据由第三方控制，特别是控制权的丢失意味着数据可能被转移到其他国家方面，政府却退缩了，过去的事实已经证明政府机构对此极其敏感。
在目前的计算环境中，防范驻留在用户PC上的病毒软件发起的恶意攻击是一个重大难题，当前的趋势是业余黑客继续演变为违法黑客。而云计算环境对违法黑客极具吸引力，因为云本身就是隐藏这类恶意软件的更好场所！
因此，我们可以肯定，2009年木马活动将会大幅增加，这些活动不只针对政府和国防承包商等大目标，而且也针对那些防守力薄弱的金融服务企业。部署云计算设备的企业将需要更详细地了解这些类型的攻击，特别是如何通过具有“零天”检测功能的24(小时)×7(天)响应来检测和拒绝这些攻击。
随着互联网的快速发展，新的威胁总是在层出不求。对云计算的争论虽然褒贬不一，但作为一家安全企业必须向用户保证任何一种架构自身的安全性要得到保障，其次有助于用户解决安全威胁，加固系统。不论网格计算、广域计算，还是如今热炒得云计算，一切都是刚刚起步，孰优孰劣只有时间可以证明。
总体来说，云计算技术主要面临以下安全问题。
（1）虚拟化安全问题 利用虚拟化带来的可扩展有利于加强在基础设施、平台、软件层面提供多租户云服务的能力，然而虚拟化技术也会带来以下安全问题：如果主机受到破坏，那么主要的主机所管理的客户端服务器有可能被攻克；如果虚拟网络受到破坏，那么客户端也会受到损害；需要保障客户端共享和主机共享的安全，因为这些共享有可能被不法之徒利用其漏洞； 如果主机有问题，那么所有的虚拟机都会产生问题。
（2）数据集中后的安全问题 用户的数据存储、处理、网络传输等都与云计算系统有关。如果发生关键或隐私信息丢失、窃取，对用户来说无疑是致命的。如何保证云服务提供商内部的安全管理和访问控制机制符合客户的安全需求；如何实施有效的安全审计，对数据操作进行安全监控；如何避免云计算环境中多用户共存带来的潜在风险都成为云计算环境所面临的安全挑战。
（3）云平台可用性问题 用户的数据和业务应用处于云计算系统中，其业务流程将依赖于云计算服务提供商所提供的服务，这对服务商的云平台服务连续性、SLA和IT流程、安全策略、事件处理和分析等提出了挑战。另外，当发生系统故障时，如何保证用户数据的快速恢复也成为一个重要问题。
（4）云平台遭受攻击的问题 云计算平台由于其用户、信息资源的高度集中，容易成为黑客攻击的目标，由于拒绝服务攻击造成的后果和破坏性将会明显超过传统的企业网应用环境。
（5）法律风险 云计算应用地域性弱、信息流动性大，信息服务或用户数据可能分布在不同地区甚至不同国家，在政府信息安全监管等方面可能存在法律差异与纠纷；同时由于虚拟化等技术引起的用户间物理界限模糊而可能导致的司法取证问题也不容忽视。
（6）数据丢失/泄漏
云计算中对数据的安全控制力度并不是十分理想，API访问权限控制以及密钥生成、存储和管理方面的不足都可能造成数据泄漏，并且还可能缺乏必要的数据销毁政策。
（7）共享技术漏洞
在云计算中，简单的错误配置都可能造成严重影响，因为云计算环境中的很多虚拟服务器共享着相同的配置，因此必须为网络和服务器配置执行服务水平协议（SLA）以确保及时安装修复程序以及实施最佳做法。
（8）内奸
云计算服务供应商对工作人员的背景调查力度可能与企业数据访问权限的控制力度有所不同，很多供应商在这方面做得还不错，但并不够，企业需要对供应商进行评估并提出如何筛选员工的方案。
（9）帐户、服务和通信劫持
很多数据、应用程序和资源都集中在云计算中，而云计算的身份验证机制如果很薄弱的话，入侵者就可以轻松获取用户帐号并登陆客户的虚拟机，因此建议主动监控这种威胁，并采用双因素身份验证机制。
（10)不安全的应用程序接口
在开发应用程序方面，企业必须将云计算看作是新的平台，而不是外包。在应用程序的生命周期中，必须部署严格的审核过程，开发者可以运用某些准则来处理身份验证、访问权限控制和加密。
(11)没有正确运用云计算
在运用技术方面，黑客可能比技术人员进步更快，黑客通常能够迅速部署新的攻击技术在云计算中自由穿行。
(12)长期生存性所面临的未知的风险
透明度问题一直困扰着云服务供应商，帐户用户仅使用前端界面，他们不知道他们的供应商使用的是哪种平台或者修复水平。
最后，特权用户的接入，云计算大的可审查性，数据的位置，数据的隔离，数据的恢复和云计算调查支持等都是云计算面临的问题，困难是很多的，技术还不是很完善，就像软件出来的测试版本一样，但是如果没有大量的玩家当这个试验品，那么问题就不能被很好地发现，那么问题和漏洞谁来修复。
云计算确实给我们带来新的契机，但是这种新技术也意味着供应商的解决方案和技术也不断在发展。虽然企业可以信任云计算，但是并不能将所有责任都交付给云计算，企业必须对云计算中的数据或者程序进行必要的管理。但总体来说云计算是企业发展的必然趋势，现在世界范围内，无论是中国还是美国，许多云服务商都提供和开发了非常强大的技术，但在技术如何转化到公司运行实施方面还存在缺口。对于云计算的运用，企业管理层在重大战略决策时需要相应的能力理解、消化这些技术，选择优秀的信息安全供应商有助于企业快速查找问题所在，并制定有效的可实施解决方案，一系列正确的风险决策才能有助于云计算应用取得成功。 |
|
|
|