當(dāng)前，越來(lái)越豐富的市場(chǎng)數(shù)據(jù)正在打消人們對(duì)于“云”概念的懷疑，越來(lái)越多的成功部署案例表明不再是漂浮在頭頂上空的一團(tuán)虛無(wú)縹緲的水氣?；谠朴?jì)算的(Cloud-based Security Service)逐漸浮出水面，越來(lái)越多的用戶成為服務(wù)的受益者。
那么，國(guó)內(nèi)的電信運(yùn)營(yíng)商在云計(jì)算及云安全方面，有何獨(dú)到的見(jiàn)解和看法，又有何實(shí)踐呢？本文根據(jù)運(yùn)營(yíng)商專家在CSA 2010云安全聯(lián)盟高峰論壇上的演講，采編而成，從理念到實(shí)踐，深度解析運(yùn)營(yíng)商和云計(jì)算、云安全。
特邀嘉賓：
研究院 孫宏偉
廣東研究院 金華敏
1. 風(fēng)起云涌，何為云計(jì)算，何為云安全？
孫宏偉：我們將云計(jì)算定義為，是一種利用大規(guī)模低成本運(yùn)算單元通過(guò)IP網(wǎng)絡(luò)連接，以提供各種計(jì)算服務(wù)的IT系統(tǒng)實(shí)現(xiàn)技術(shù)。云計(jì)算系統(tǒng)應(yīng)同時(shí)滿足如下特征：(1)大規(guī)模：一個(gè)云計(jì)算系統(tǒng)由具備一定規(guī)模的多個(gè)結(jié)點(diǎn)組成的IT系統(tǒng)集群;(2)平滑擴(kuò)展：系統(tǒng)集群規(guī)模具備靈活的擴(kuò)展性和彈性;(3)資源共享：提供一種或多種形式的資源池，包括物理、虛擬服務(wù)器(虛擬機(jī))、事務(wù)和文件處理能力或任務(wù)進(jìn)程，以及資源等，這些資源池可通過(guò)抽象化方式實(shí)現(xiàn)，并能夠同時(shí)為多種應(yīng)用提供服務(wù);(4)動(dòng)態(tài)分配：實(shí)現(xiàn)資源的自動(dòng)分配管理，包括資源即時(shí)監(jiān)控和自動(dòng)調(diào)度等;(5)跨地域：云計(jì)算系統(tǒng)需要具備整合不同地域的資源，提供各個(gè)層次的管理能力。云計(jì)算的基本分類，可以按照提供的服務(wù)類型分，比如說(shuō)、PaaS等等;也可以根據(jù)云服務(wù)對(duì)象的特點(diǎn)，比如共有云、私有云、混合云等等。
金華敏：云計(jì)算的產(chǎn)生有內(nèi)部外部?jī)煞矫嬖颍紫?，技術(shù)的快速發(fā)展是云計(jì)算產(chǎn)生的內(nèi)部基礎(chǔ);第二，商業(yè)模式是云計(jì)算發(fā)展的外在需求，目前很多的企業(yè)、組織的觀念已經(jīng)發(fā)生了變化，由傳統(tǒng)的購(gòu)買IT基礎(chǔ)設(shè)施轉(zhuǎn)換為信息服務(wù)、按需使用付費(fèi)。云計(jì)算是針對(duì)這種背景出現(xiàn)的技術(shù)、服務(wù)，也是一種商業(yè)模式，它是傳統(tǒng)的IT領(lǐng)域和領(lǐng)域的技術(shù)進(jìn)步、商業(yè)模式轉(zhuǎn)換共同促成的結(jié)果;它是一種將池化的集群計(jì)算能力通過(guò)互聯(lián)網(wǎng)向內(nèi)、外部用戶提供自助、按需服務(wù)的互聯(lián)網(wǎng)新業(yè)務(wù)、新技術(shù)。云計(jì)算的基本特征是以網(wǎng)絡(luò)為中心、以服務(wù)為提供方式、資源池化、透明化、高可擴(kuò)展性和高可靠性。
云安全包括兩方面，一個(gè)是安全云計(jì)算，也就是說(shuō)云計(jì)算技術(shù)在安全領(lǐng)域的具體應(yīng)用，是云計(jì)算應(yīng)用的一個(gè)分支，可以通過(guò)采用云計(jì)算技術(shù)來(lái)提升安全系統(tǒng)的服務(wù)效能，比如基于云計(jì)算的防技術(shù)、掛馬檢測(cè)技術(shù);二是云計(jì)算的應(yīng)用安全，也就是說(shuō)利用網(wǎng)絡(luò)安全技術(shù)，提升云計(jì)算應(yīng)用自身的安全性，主要包括如何保障云計(jì)算服務(wù)的可用性、數(shù)據(jù)機(jī)密性和完整性、隱私權(quán)的保護(hù)等，云計(jì)算應(yīng)用安全是云計(jì)算應(yīng)用健康可持續(xù)發(fā)展的基礎(chǔ)。
綠盟科技：云計(jì)算，是一種計(jì)算方式，通過(guò)互聯(lián)網(wǎng)將資源以“服務(wù)”的形式提供給用戶，而用戶不需要了解、知曉或者控制支持這些服務(wù)的技術(shù)基礎(chǔ)架構(gòu)。云計(jì)算是并行計(jì)算、分布式計(jì)算和網(wǎng)格計(jì)算的發(fā)展，或者說(shuō)是這些科學(xué)概念的商業(yè)實(shí)現(xiàn);云計(jì)算也是、效用計(jì)算(Utility Computing)、IaaS(基礎(chǔ)設(shè)施即服務(wù))、PaaS(平臺(tái)即服務(wù))、SaaS(軟件即服務(wù))、HaaS(硬件作為服務(wù))等XaaS(一切皆服務(wù))概念和技術(shù)混合演進(jìn)的結(jié)果。當(dāng)談到云計(jì)算和安全，一般有兩個(gè)方面的含義，一是云計(jì)算自身的安全，主要是如何構(gòu)建安全防護(hù)體系，保障云計(jì)算平臺(tái)自身的安全;二是云安全，即利用云計(jì)算技術(shù)將安全作為一種資源和服務(wù)提供，如綠盟科技的網(wǎng)站安全監(jiān)控服務(wù)、信譽(yù)服務(wù)等等。
2. 云時(shí)代，面臨的安全挑戰(zhàn)
孫宏偉：云計(jì)算主要面臨四方面的挑戰(zhàn)。首先，最重要的是應(yīng)用和數(shù)據(jù)安全問(wèn)題，只要包含用戶敏感數(shù)據(jù)在云上，就會(huì)有數(shù)據(jù)安全的隱患，在企業(yè)私有云中，不同部門的數(shù)據(jù)放在云上，同樣有一個(gè)的問(wèn)題，特別是財(cái)務(wù)數(shù)據(jù)、人力資源數(shù)據(jù)、客戶數(shù)據(jù)等等。第二大問(wèn)題是互操作、標(biāo)準(zhǔn)化，例如不同云之間的互操作性特別差，再比如在PaaS層面，如果不同開發(fā)商提供的接口不兼容的話，就可能需要重新開發(fā)接口。第三是服務(wù)質(zhì)量保證的問(wèn)題，比如服務(wù)就出現(xiàn)過(guò)中斷。第四是管理模式面臨的挑戰(zhàn)，云計(jì)算強(qiáng)調(diào)集中，如果云集中化誰(shuí)來(lái)管理、誰(shuí)來(lái)運(yùn)維，就產(chǎn)生了職責(zé)劃分等管理模式改變的問(wèn)題。
金華敏：云計(jì)算應(yīng)用目前面臨的主要安全風(fēng)險(xiǎn)有幾個(gè)方面，第一是用戶信息濫用和泄露風(fēng)險(xiǎn)。第二是多租戶環(huán)境下，用戶信息安全、信息隔離等都提出了新的要求。第三是服務(wù)可用性威脅，用戶的數(shù)據(jù)和業(yè)務(wù)應(yīng)用處于云計(jì)算系統(tǒng)里，對(duì)服務(wù)連續(xù)性、SLA和IT流程、安全策略、應(yīng)急響應(yīng)等都提出了挑戰(zhàn)。第四是攻擊的威脅，用戶信息資源高度集中，容易成為黑客攻擊的目標(biāo)，包括竊取云計(jì)算關(guān)鍵應(yīng)用、信息，也可以盜用云計(jì)算的計(jì)算能力進(jìn)行非法使用。最后是法律的風(fēng)險(xiǎn)，因?yàn)樵朴?jì)算應(yīng)用信息流動(dòng)性大、地域性弱，信息服務(wù)或用戶數(shù)據(jù)可能分布在不同地區(qū)，甚至是不同國(guó)家，在政府信息安全監(jiān)管、行業(yè)規(guī)范等方面都可能存在法律差異和糾紛。
綠盟科技：云計(jì)算面臨的安全威脅林林總總，非常之多，簡(jiǎn)而言之，比較有特殊性的主要包括以下四個(gè)方面：(1)大量迅猛涌現(xiàn)的Web安全漏洞：與傳統(tǒng)的、、C/S系統(tǒng)的安全漏洞相比，多客戶、虛擬化、動(dòng)態(tài)、業(yè)務(wù)邏輯服務(wù)復(fù)雜、用戶參與等這些和云服務(wù)的特點(diǎn)對(duì)網(wǎng)絡(luò)安全來(lái)說(shuō)意味著巨大的挑戰(zhàn)，甚至是災(zāi)難。(2)拒絕服務(wù)攻擊：拒絕服務(wù)攻擊DoS和不是云服務(wù)所特有的;但是，在云服務(wù)的技術(shù)環(huán)境中，企業(yè)中的關(guān)鍵核心數(shù)據(jù)、服務(wù)離開了企業(yè)網(wǎng)，遷移到了云服務(wù)中心，更多的應(yīng)用和集成業(yè)務(wù)開始依靠互聯(lián)網(wǎng)，拒絕服務(wù)帶來(lái)的后果和破壞將會(huì)明顯地超過(guò)傳統(tǒng)的企業(yè)網(wǎng)環(huán)境。(3)內(nèi)部的數(shù)據(jù)泄漏和濫用：企業(yè)的重要數(shù)據(jù)和業(yè)務(wù)應(yīng)用處于云服務(wù)提供商的IT系統(tǒng)中，如何保證云服務(wù)商自身內(nèi)部的安全管理，如何避免云計(jì)算環(huán)境中多客戶共存帶來(lái)的潛在風(fēng)險(xiǎn)，這些都成為云計(jì)算環(huán)境下用戶的最嚴(yán)肅的安全顧慮或挑戰(zhàn)之一。(4)潛在的合同糾紛與法律訴訟：云服務(wù)合同、服務(wù)商的SLA和IT流程、安全策略、事件處理與分析等都可能存在不完善;另外，虛擬化帶來(lái)的物理位置不確定性和國(guó)際相關(guān)法律法規(guī)的復(fù)雜性，都使得潛在的合同糾紛和法律訴訟成為利用云服務(wù)的重大挑戰(zhàn)。換一個(gè)角度來(lái)看，對(duì)于開展云安全業(yè)務(wù)的電信運(yùn)營(yíng)商而言，則會(huì)面臨兩個(gè)非?，F(xiàn)實(shí)的問(wèn)題和挑戰(zhàn)：一是如何與客戶簽訂適當(dāng)而合理的SLA協(xié)議;二是如何規(guī)避前向收費(fèi)價(jià)格戰(zhàn)，這不僅僅是一個(gè)商業(yè)模式(business model)的問(wèn)題，無(wú)論采用哪一種收費(fèi)模式(pay per use 或 pay per month)，都存在一個(gè)前向收益的挑戰(zhàn)——用戶更傾向于價(jià)格便宜的服務(wù)。如何說(shuō)服用戶購(gòu)買一個(gè)更好而不是更便宜的服務(wù)，是電信運(yùn)營(yíng)商必須仔細(xì)思考的。
3. 從理念到實(shí)踐，各方在行動(dòng)，共建安全
孫宏偉：“BigCloud(大云)”計(jì)劃，于2008年9月完成了大規(guī)模運(yùn)算實(shí)驗(yàn)室一期工程的建設(shè)，配置了256臺(tái)PC服務(wù)器，初步建立了大規(guī)模運(yùn)算平臺(tái)研發(fā)和試驗(yàn)環(huán)境; 2009年12月完成了大規(guī)模實(shí)驗(yàn)室二期擴(kuò)容工程建設(shè);2010年5月，我們發(fā)布了大云1.0的成果，對(duì)外發(fā)布了五個(gè)應(yīng)用(包括：并行數(shù)據(jù)挖掘工具、分布式海量數(shù)據(jù)倉(cāng)庫(kù)、彈性計(jì)算系統(tǒng)、系統(tǒng)、并行計(jì)算執(zhí)行環(huán)境);目前該平臺(tái)有1036個(gè)服務(wù)器，5208個(gè)CPU核，10T的內(nèi)存，2.8P硬盤。
對(duì)于云安全方面，我們認(rèn)為要從三個(gè)視角考慮：首先是云計(jì)算提供者要考慮服務(wù)質(zhì)量的保證問(wèn)題;二是使用者需要考慮信息數(shù)據(jù)保護(hù)問(wèn)題;三是管理者需要考慮一些監(jiān)管方面的問(wèn)題，比如說(shuō)制定安全的制度、政策，云計(jì)算的安全標(biāo)準(zhǔn)，同時(shí)應(yīng)該對(duì)服務(wù)提供商進(jìn)行監(jiān)控監(jiān)管。從技術(shù)角度，我們認(rèn)為云安全應(yīng)該是端到端的解決，主要包括這幾方面的安全：一是虛擬化安全，如虛擬機(jī)監(jiān)控、虛擬機(jī)隔離、鏡像的安全存儲(chǔ)、虛擬機(jī)安全遷移;二是運(yùn)行安全，如靜態(tài)代碼分析、對(duì)內(nèi)外攻擊防護(hù)、程序運(yùn)行安全;三是接口安全，如避免政策規(guī)避、避免惡意接口調(diào)用、接口調(diào)用認(rèn)證;四是數(shù)據(jù)安全，如數(shù)據(jù)加密、安全訪問(wèn)、內(nèi)容安全、數(shù)據(jù)備份和消亡。
金華敏：對(duì)于云安全的實(shí)踐，中國(guó)電信建立了基于的大容量DDoS攻擊防御業(yè)務(wù)平臺(tái)，該業(yè)務(wù)平臺(tái)基于云計(jì)算架構(gòu)進(jìn)行構(gòu)建，采用“全網(wǎng)統(tǒng)一調(diào)度、并行處理、就源清洗”的處理機(jī)制，在資源的統(tǒng)計(jì)復(fù)用基礎(chǔ)上極大地提高了防御能力，成為國(guó)內(nèi)電信運(yùn)營(yíng)商第一個(gè)投向市場(chǎng)的云安全業(yè)務(wù)，開創(chuàng)了電信運(yùn)營(yíng)商云安全業(yè)務(wù)先河。另外，中國(guó)電信的道業(yè)務(wù)，主要是針對(duì)DSL和LAN撥號(hào)上網(wǎng)的用戶，通過(guò)在電信側(cè)集群部署多安全設(shè)備，構(gòu)建“安全云平臺(tái)”，實(shí)現(xiàn)安全資源池化，通過(guò)統(tǒng)一資源調(diào)度，為客戶提供按需安全接入服務(wù)，采用云+端協(xié)同工作機(jī)制，進(jìn)行動(dòng)態(tài)實(shí)時(shí)的威脅信息集中采樣、共享與關(guān)聯(lián)分析與策略更新，實(shí)現(xiàn)主動(dòng)防御的目的。
綠盟科技：作為專業(yè)的安全廠商，綠盟科技為客戶提供多種類型的云安全服務(wù)，如通過(guò)信譽(yù)服務(wù)的機(jī)制對(duì)外提供針對(duì)互聯(lián)網(wǎng)的信譽(yù)查詢服務(wù)，避免用戶訪問(wèn)不安全的互聯(lián)網(wǎng)資源(In Cloud 模式);同時(shí)，綠盟科技還通過(guò)互聯(lián)網(wǎng)安全監(jiān)控平臺(tái)向網(wǎng)站監(jiān)管者和擁有者提供“綠盟網(wǎng)站安全監(jiān)控服務(wù)”，一旦有安全事件發(fā)生，綠盟科技進(jìn)行確認(rèn)后會(huì)立即通知相關(guān)的人員即時(shí)進(jìn)行處理和響應(yīng)(From Cloud 模式)。其中，互聯(lián)網(wǎng)信譽(yù)服務(wù)是綠盟科技根據(jù)多年安全研究形成的知識(shí)積累，通過(guò)對(duì)IP地址、和URL等不同資源的內(nèi)容和行為進(jìn)行分析和記錄，能夠?qū)ヂ?lián)網(wǎng)相關(guān)資源進(jìn)行威脅分析和信譽(yù)評(píng)級(jí)。當(dāng)前，綠盟科技已經(jīng)與國(guó)際網(wǎng)絡(luò)安全權(quán)威組織StopBadware達(dá)成戰(zhàn)略合作;作為數(shù)據(jù)提供方，協(xié)同Google、、、等機(jī)構(gòu)一起，建立更為全面、及時(shí)、準(zhǔn)確的惡意網(wǎng)站數(shù)據(jù)庫(kù)，實(shí)現(xiàn)了全球互聯(lián)網(wǎng)用戶共享數(shù)據(jù)，共同維護(hù)互聯(lián)網(wǎng)良好秩序。
4. 展望未來(lái)，云安全的美好時(shí)代
孫宏偉：“BigCloud”計(jì)劃，是中國(guó)移動(dòng)為打造云計(jì)算基礎(chǔ)設(shè)施實(shí)施的關(guān)鍵技術(shù)研究計(jì)劃，主要有兩個(gè)目的，一是對(duì)內(nèi)滿足整個(gè)中國(guó)移動(dòng)IT支撐系統(tǒng)的需求，二是對(duì)外滿足中國(guó)移動(dòng)提供互聯(lián)網(wǎng)業(yè)務(wù)和服務(wù)的需要。
金華敏：電信對(duì)于云安全業(yè)務(wù)發(fā)展的規(guī)劃和設(shè)想，是實(shí)現(xiàn)安全業(yè)務(wù)的云化，將云安全基礎(chǔ)設(shè)施和云安全業(yè)務(wù)兩個(gè)方面的平臺(tái)進(jìn)行同時(shí)統(tǒng)籌考慮和建設(shè)。其中，云安全基礎(chǔ)設(shè)施可以通過(guò)SOC運(yùn)營(yíng)管理平臺(tái)管理和實(shí)現(xiàn)，滿足兩方面的要求，一是網(wǎng)絡(luò)安全運(yùn)行維護(hù)，二是對(duì)電信的客戶提供云安全服務(wù);對(duì)于云安全業(yè)務(wù)平臺(tái)，注意利用第三方的云安全平臺(tái)，如引進(jìn)一些安全廠家提供的防病毒平臺(tái)等等，充分融合內(nèi)、外部資源，利用資源池化效應(yīng)，提升整體信息安全基礎(chǔ)能力及服務(wù)提供能力。
綠盟科技：2009年，云安全聯(lián)盟CSA在RSA大會(huì)上宣布成立，旨在為云計(jì)算環(huán)境下的企業(yè)提供最佳的安全方案;而綠盟科技作為亞太地區(qū)第一個(gè)加入該聯(lián)盟的企業(yè)成員，將致力于在云安全、云計(jì)算領(lǐng)域的研究，為云計(jì)算業(yè)務(wù)和云安全業(yè)務(wù)提供技術(shù)支撐，全面幫助運(yùn)營(yíng)商提升安全能力。
5. 總結(jié)
互聯(lián)網(wǎng)應(yīng)用的迅猛發(fā)展豐富和方便了人們的生產(chǎn)生活，客觀上亦為黑客提供了充分施展拳腳的廣闊空間。在“云”時(shí)代，不斷變化和演進(jìn)的攻擊手段和方式，使得傳統(tǒng)的企業(yè)安全防護(hù)體系面臨著前所未有的嚴(yán)峻挑戰(zhàn)。
隨著云計(jì)算在各個(gè)領(lǐng)域的嘗試與落地，基于云計(jì)算的安全服務(wù)已經(jīng)從概念階段過(guò)渡到了完善和推廣階段。中國(guó)移動(dòng)的“BigCloud”、中國(guó)電信的DDoS攻擊防御業(yè)務(wù)平臺(tái)和安全快車道業(yè)務(wù)，都是云計(jì)算及云安全的有益實(shí)踐，開辟了新的業(yè)務(wù)模式。而綠盟科技，作為專業(yè)安全廠商，一方面提供安全解決方案，為云計(jì)算平臺(tái)自身提供安全支撐和保護(hù);一方面推出綠盟科技云安全服務(wù)，如互聯(lián)網(wǎng)信譽(yù)服務(wù)、網(wǎng)站安全監(jiān)控服務(wù)等等，為客戶提供安全服務(wù)，保障其業(yè)務(wù)的安全運(yùn)行。
在“云”的道路上，各方應(yīng)該通力合作，共同推進(jìn)云安全服務(wù)模式的發(fā)展和成熟，為最終客戶提供優(yōu)質(zhì)的云安全服務(wù)，實(shí)現(xiàn)多贏。