|
新聞中心
當(dāng)前位置：網(wǎng)站首頁(yè) > 新聞中心
十個(gè)強(qiáng)化公有云安全以支持企業(yè)級(jí)應(yīng)用的方法
公有云的安全是否足以承擔(dān)起關(guān)鍵任務(wù)應(yīng)用？這是企業(yè)IT部門(mén)力圖回答的一個(gè)持久性的問(wèn)題。組織可以優(yōu)化解決公有云安全的方法，這要依據(jù)某個(gè)應(yīng)用到底是不是關(guān)鍵任務(wù)，以及如何保證該應(yīng)用所需的數(shù)據(jù)安全而定。下面是十個(gè)強(qiáng)化公有云安全以支持企業(yè)級(jí)應(yīng)用的方法。1、為公有云選擇合適的應(yīng)用。有些企業(yè)，包括大多數(shù)新創(chuàng)企業(yè)，一開(kāi)始都會(huì)為其所有應(yīng)用采用公有云服務(wù)，包括關(guān)鍵任務(wù)應(yīng)用及其相關(guān)數(shù)據(jù)。然而，公有云并不適合于所有組織，也并不適合于一個(gè)組織內(nèi)的所有應(yīng)用。一般來(lái)說(shuō)，適合于公有云的企業(yè)應(yīng)用都沒(méi)有很?chē)?yán)格的安全要求。在網(wǎng)站、應(yīng)用開(kāi)發(fā)、測(cè)試、在線產(chǎn)品目錄和產(chǎn)品文檔等案例中，大多數(shù)云服務(wù)提供商（CSP）所提供的默認(rèn)安全足以應(yīng)付此類(lèi)應(yīng)用的安全需求。
2、如有必要，評(píng)估并強(qiáng)化安全。CSP所提供的公有云安全可以說(shuō)千差萬(wàn)別。因此在評(píng)估CSP時(shí)務(wù)必注意這一點(diǎn)。ISO/IEC 27000標(biāo)準(zhǔn)系列提供了系統(tǒng)研究信息安全風(fēng)險(xiǎn)、重視各類(lèi)威脅、漏洞及其影響的各種準(zhǔn)則，用于設(shè)計(jì)和實(shí)施一套全面的信息安全控制系統(tǒng)，采用可確保準(zhǔn)則遵照?qǐng)?zhí)行的管理流程。正考慮將敏感應(yīng)用及其數(shù)據(jù)遷移到公有云的組織需要根據(jù)這些標(biāo)準(zhǔn)來(lái)評(píng)估和比較不同CSP的安全措施。如有必要，在組織內(nèi)部私有云所使用的安全措施也可擴(kuò)展到其公有云實(shí)例中。
3、確認(rèn)并使用適當(dāng)?shù)牡谌綄徲?jì)服務(wù)。在考慮安全合規(guī)性時(shí)，組織不能簡(jiǎn)單地相信CSP的宣傳。第三方審計(jì)服務(wù)可以審計(jì)CSP的流程及相關(guān)程序，看他們是否符合安全標(biāo)準(zhǔn)，是否一致等，并可將它們與CSP對(duì)客戶的承諾進(jìn)行對(duì)照。將一些應(yīng)用遷移到公有云中，并在一定延長(zhǎng)期內(nèi)對(duì)其加以審計(jì)，可以為組織提供一定的適應(yīng)期，以便企業(yè)能更自信地將更多敏感應(yīng)用及相關(guān)數(shù)據(jù)遷移到公有云中。
4、增加身份驗(yàn)證層。大多數(shù)CSP都會(huì)為公有云實(shí)例提供良好的身份驗(yàn)證服務(wù)，但是有些SaaS安全廠商可能會(huì)為其產(chǎn)品額外增加一個(gè)身份驗(yàn)證層。這里你需要權(quán)衡，是需要更好的公有云安全還是需要降低可能增加的網(wǎng)絡(luò)延遲成本、可能帶來(lái)的性能退化以及額外增加的故障點(diǎn)。
5、考慮附加安全對(duì)集成的影響。大多數(shù)領(lǐng)先CSP提供的默認(rèn)安全已經(jīng)相當(dāng)強(qiáng)大。在其上再增加公有云安全措施可能會(huì)影響到整體的應(yīng)用性能，同時(shí)還會(huì)讓認(rèn)證和接入管理工作變得更復(fù)雜。如果企業(yè)的關(guān)鍵任務(wù)應(yīng)用需要與其他業(yè)務(wù)應(yīng)用集成的話，那么這些考慮因素就更加重要了，因?yàn)樽罱K用戶不喜歡應(yīng)用在他們需要的時(shí)候急忙打不開(kāi)。
6、把安全條款放在SLA的最前面。在運(yùn)行私有云時(shí)，你會(huì)有一些工具讓你知道何時(shí)以及何地可能發(fā)生安全泄露。但是一個(gè)CSP的客戶如何才能不斷獲知此類(lèi)安全泄露事件呢？?CSP所提供的公有云安全保障不是最好的，除非在簽約時(shí)寫(xiě)成書(shū)面的SLA條款，除非透明監(jiān)控和報(bào)表功能對(duì)云客戶來(lái)說(shuō)是可用的。CSP自擬的合同在這方面可能毫無(wú)用處。
7、堅(jiān)持透明的安全流程。在SLA中對(duì)透明和可檢驗(yàn)的安全流程、程序以及實(shí)踐的要求遠(yuǎn)遠(yuǎn)超出了對(duì)潛在的數(shù)據(jù)泄露風(fēng)險(xiǎn)的要求。在企業(yè)租借托管服務(wù)器時(shí)，至少還有一個(gè)物理的場(chǎng)所在，你還可以看見(jiàn)放置物理服務(wù)器的機(jī)柜。而在公有云中，你卻無(wú)法準(zhǔn)確地知道企業(yè)云實(shí)例的物理行蹤，你所有可依賴的只有CSP為你提供的信息。這也是為什么透明是如此重要的原因。
8、簡(jiǎn)化日志和監(jiān)控。仔細(xì)考量CSP云實(shí)例的監(jiān)控和日志是確保公有云安全的另一個(gè)關(guān)鍵。在簽署SLA之前，比較一下各家CSP的日志和監(jiān)控實(shí)踐，或許能揭示出各家CSP所提供的安全措施之間的細(xì)微差別。
9、加密。你可以使用自己的加密方法，而不使用CSP所提供的方法。雖然CSP會(huì)對(duì)信息加密之后再發(fā)送到公共互聯(lián)網(wǎng)上，存儲(chǔ)在公有云中，但CSP還要發(fā)送加密密鑰。這可能會(huì)讓組織感覺(jué)不放心，因?yàn)槊荑€有可能會(huì)在發(fā)送途中落入惡意分子手中。有不少可安裝產(chǎn)品或SaaS廠商都可以聯(lián)機(jī)進(jìn)行這類(lèi)加密。這樣做時(shí)，只有客戶和第三方廠商指導(dǎo)密鑰，CSP則無(wú)法獲知。
10、采用多家、冗余的CSP分散風(fēng)險(xiǎn)。從多家廠商購(gòu)買(mǎi)連接數(shù)據(jù)中心的高帶寬，是一種常見(jiàn)的做法，這是因?yàn)槠髽I(yè)希望將風(fēng)險(xiǎn)在多家提供商之間分散。如果一家CSP宕機(jī)，其他廠商依然可以正常運(yùn)行。目前，有不少云配置工具都已集成在了領(lǐng)先CSP的服務(wù)中。企業(yè)可以在流量峰值期間按需自動(dòng)啟動(dòng)多個(gè)CSP的附加的服務(wù)器實(shí)例，在此處，如果CPU使用率達(dá)到某個(gè)閥值，附加的實(shí)例便會(huì)啟動(dòng)，而當(dāng)使用率下降時(shí)，實(shí)例便會(huì)關(guān)閉。
雖然安全是很多組織在使用公有云作為IaaS時(shí)的首要關(guān)注問(wèn)題，但是也有不少方法可以有效地解決這一問(wèn)題。最簡(jiǎn)單的方法就是只將最不敏感的應(yīng)用和數(shù)據(jù)遷移到公有云中。如果組織決定把關(guān)鍵任務(wù)應(yīng)用遷移到云中，則需要在CSP所提供的安全措施之外再增加一些安全措施。不過(guò)在增加公有云安全層時(shí)總是需要進(jìn)行一番權(quán)衡的，因?yàn)檫@樣做有可能增加故障點(diǎn)或?qū)е聭?yīng)用運(yùn)行得更慢。在安全和性能之間尋找恰當(dāng)?shù)钠胶恻c(diǎn)可能是困難的，但努力實(shí)現(xiàn)這種平衡則會(huì)讓組織感到安心。
|
