|
云安全联盟（CSA）在三月出版了“云计算的高度威胁V1.0”来帮助企业、组织更好地理解云计算的风险以及在运用云策略时做出更好的风险管理决策。其中，CSA描述了七种威胁，提出了相应的处理建议。 在趋势公司，我们采用传统的分层方法保证安全性，云安全也是如此。虽然每一个独立的分层都有各自的重要性，但层与层之间并非没有交集；所有的层次集中在一起就形成了有效的保护。在云计算中模仿这种传统的分层方法可以在最大程度上减小CSA提出的几种威胁。
云供应商提供的分层虽然很好，但是我们认为不应完全依赖于它。因为我们看到过许多客户，虽然他们具有完全相同的安全策略，但是这些策略仍然可以提供攻击面，使黑客可以非常轻松地进行攻击。同时，这也使得应变管理变得很棘手，因为在采取应对措施之前，供应商无法很快地从客户群中获得单体客户的具体情况（此时为了您的安全解决方案能够有效，最好与重要的利益相关者进行协商处理）。此外，更改供应商也会更加麻烦，因为需要对新的供应商重新进行内外部的检查，这既费时又不经济。所以我们建议，除了云供应商提供的分层外，客户需要提供自己的分层来保证安全。为所有敏感的数据进行加密,这些敏感信息包括由您的组织专用并拥有的信息。操作系统和应用程序在这里并不重要，因为对于典型的云，它们只是标准镜像，可以在关机状态下通过简单的循环操作还原为主镜像。您有法律义务去保护这些属于您或者您客户及商业伙伴的信息。确保防火墙、IPS和IDS独立地保护每台虚拟机。特别是在公有云的环境下，同你运行在同一物理硬件上的其他虚拟机都应加以防范。云供应商的防火墙对此是无能为力的。只在您建立起的虚拟主机的安全环境下进行数据解密。解密前确保对干扰与数据窃取恶意软件的检查工作。确保您对加密密钥的控制—这是您的数据。 下文讲述了分层方法是如何降低CSA鉴定的几个威胁的：
滥用或恶意使用云计算
利用云计算进行网络犯罪，如创建或传播僵尸网络
这并非是针对云计算的特定威胁，因为这种情况同样存在于数据中心的物理服务器上，所以这里提出的方法也并不是为了解决这个问题。然而一个包含web网页、电子邮件和文件信誉技术在内的，并且可以进行相关分析及行为分析的安全方案，应该可以识别使用模式并拦截IP地址。我们认为这是现代防流氓软件程式必要的组成部分，它可以运用于以云虚拟服务为基础的任何设备，如上网本或智能手机。 不安全的应用程序界面
网络罪犯进入您的虚拟镜像 通过对数据进行加密，网络罪犯便无法获取您的个人信息，因为您没有进行密钥的授权。这种方法或许可行，举个例子，层的好处在于：网络罪犯无法通过不安全的应用程序接口（API）对您机器进行复制，因为他们没有解密密钥。 恶意的内部人员
为了自身目的或出售，蓄意地窃取数据或信息的雇员 您可能忘记去了解云供应商内部管理人员在接触和操作您机器与数据时有多大权限。强制性的技术支持协议无疑可以很好地解决这一问题。它是一种可以使企业组织独立于云供应商而保证自身安全的关键性密钥驱动程序。这样便可以起到防止内部人员的保护作用。 共享技术的问题 共享设施可能存在使平台受到入侵的缺点 防火墙可以防止网络攻击，加密技术可以保护存储域网络中的数据。周边防火墙设备将会成为额外层，在被攻击之前预先去除威胁。由于可控制的虚拟服务器存在防护层，因此共享的内部网络不在此讨论范围之内。如果有人试图侵入系统管理程序，那么没有什么好的方法可以防止RAM不被读取，因为你不得不将数据读入内存并引用它。运用各自的防火墙保护各自机器的方式建立了强有力的保护周边，使数据远离威胁的侵扰。 数据遗失或泄密
无意地数据泄漏 通过对静态或动态数据进行加密保护，并只在安全环境下进行解密的方式，我们确保了在公有云中数据丢失或遗漏的威胁降低到与传统物理数据中心同等级别。但我们仍然无法防止类似一个不安全的Web应用程序导致客户数据泄露情况的发生。尽管如此，我们已经在保证客户可以充分利用云计算经济优势的前提下，对这一领域的安全前景进行了分级。 劫持帐户或服务
帐户或服务泄露
为了获得敏感数据，黑客必须同时劫持云供应商提供给的帐户以及用于解密密匙的授权帐户。由于这些帐户经不同客户掌管且配以不同的口令密码，这使得黑客很难在同一时间得到所有帐户从而进行攻击。所以我们建议每一个帐户的双重认证可以作为另一个可靠的层技术得到应用。 其他未知风险
（将数据显示给同你共享云供应商资源（硬件或软件版本及更新信息）的其他机器） 通过在公共云环境中给企业各自控制安全的工具，我们降低了来自供应商的不确定性风险，防止来源于同一数据中心其他客户的安全威胁。在保证安全完整性的情况下，使企业拥有转换服务供应商的能力。 所以我们相信，正确的方法和安全方案可以保证数据在公共云环境下的安全性，如同在传统数据中心一样可靠。我们听说过许多项目或组织关于成本节省的计划，而我们的职责就是确保安全解决方案的便利性，而不是让其成为企业的负担。趋势科技公司的Deep SecurityTM 和 SecureCloudTM合并使用可以实现上述四个建议，并可以进行威胁识别。Deep security已经得到了广泛的应用，而Securecloud也将在夏季进行公众beta版本的测试工作。 | 
发表于 2010-9-1 15:36:48
发表于 2010-9-1 17:42:29
