探究部署私有云的安全策略

張濤

摘要：私有云有很多優勢但也存在許多安全問題。本文分析了威脅私有云安全的因素，研究如何從泛型、隔離、管理等方面給出部署私有云的安全策略。

關鍵詞：云計算；私有云；安全策略

中圖分類號：TP391文獻標識碼：A

許多中大型企業和政府實體都實施私有云，以實現更大的業務靈活性，提高效率，并獲得競爭優勢。私有云能夠加強信息資產的安全和保護，實現資源的虛擬化和匯集，減少資源浪費，降低成本。它還可以即時分配額外的計算資源，以滿足業務需求。目前，私有云已經在各大通信運營商的增值業務、IDC、IT支撐等網絡中得到應用，之后還可擴展到核心網、數據網中并逐步應用起來，打破傳統的網絡線條化維護管理[1]。與此同時，私有云的安全也面臨很多挑戰，比如特權用戶訪問風險，法規遵從風險，數據保存位置不確定，數據分離風險，數據恢復，調查支持風險和長期可用性風險等[2]。安全管理的投入也越來越大，有些公司已經開始將安全與預算分開。所以在部署私有云的時候，需要使用相對完善的安全策略。

1 部署私有云的安全策略

對于私有云，驅動有效設計的關鍵安全原則是，您的設計應該構建一個控制系統，而不是一系列控件。這種統一的控制系統不僅僅是單個的安全技術和方法，每個部分相互集成以提供全面的防御。

1.1 應用泛型安全最佳實踐

私有云使用現有的技術，如虛擬化等，擴展了許多組織中的基礎結構設計。因此，您應該維護現有安全實踐，作為私有云安全設計的一部分。例如，您應該繼續深入貫徹最低特權原則和防衛原則，使用防火墻和使用單獨的網卡管理功能，進行滲透測試和審核安全過程。然而，私有云的新架構可能存在潛在的漏洞，你必須修改和添加你現有的設計以減輕這些新的威脅。

1.2 隔離是關鍵

通常，私有云實現使用虛擬化技術為企業內部的客戶提供基礎設施、平臺和軟件資源。租戶使用私有云資源向客戶業務部門提供服務。它們可能是企業內部的其他業務單位，或IT部門的其他部門。盡管私有云租戶是同一組織的一部分，但您必須確保隔離它們的資源。例如，即使人力資源系統可以在與公司內部網相同的物理服務器上運行，也不能普遍訪問機密的人力資源數據。這不僅僅是簡單保密的問題。在IaaS、PaaS和SaaS的服務交付模式中，你可能不知道在任何特定的時間里，哪些租戶服務駐留在同一物理設備中。因此，單租戶服務中的問題可能會影響同一物理硬件上其他租戶服務的性能、網絡連接性或網絡可用性。所以，您的設計必須確保在構成私有云的物理環境和虛擬環境中，租戶之間都是隔離的。如果您的私有云部分或全部由第三方托管，那么您必須確保第三方使用的云基礎設施也保證了隔離，無論是在您的服務之間，還是在您的服務和第三方還托管的任何其他組織的服務之間。

1.3 實施有效的治理、風險管理和合規性

在私有云中，云計算的服務責任制是各方自己制定的，所以協議雙方必須明確有那些責任和各方彼此間的期望。服務水平協議的設置，將取決于特定的云模型。如果你選擇采用混合云模式，或選擇一個第三方組織您的私有云主機，那么企業CSP將SLA與第三方云服務提供商與客戶業務單位內的組織。在這些場景中，IT部門充當代理，負責向外部客戶提供和管理外部實體提供的云服務。如果你是托管的私有云，你必須再協商SLAs、IT部門和業務部門之間的客戶。如果您使用的是第三方提供部分或全部的私有云服務的企業，那么你必須確保與第三方供應商的SLAs使你達到你的要求和你的內部客戶。這需要詳細了解第三方協議提供安全方面。例如，它們如何保證租戶之間的隔離？它們在可用性和災難恢復方面保證什么？等等。

無論你選擇使用外部第三方托管私有云，或采用一種混合的方法，你仍然需要組織內的IT部門和租戶之間服務等級協議。私有云的隨需應變、自服務屬性意味著可能有一些代表負責管理租戶虛擬化環境的安全。此外，由云服務提供商對承租人的保證，SLAs可能還需要指定相關的安全，承租人必須履行的要求。例如，SLA可能指定租戶服務應該用來保護數據的加密技術，或者租戶應該通過CSP提供的聯邦服務使用企業目錄進行身份管理。

組織和租戶之間的責任分配會有多少變化？對于一些組織來說，采用私有云模型的主要動機是通過將它們組合起來更有效地利用資源：IT部門仍然代表客戶機業務單元部署和管理應用程序和服務。在這種情況下，按需自助服務的特點，不是云服務提供商和客戶的業務單元之間的關系顯著，與SLAs等傳統領域的可用性，災難恢復和性能。然而，在某些場景中，租戶將利用私有云的隨需應變、自助服務功能來獲取和管理基礎設施或平臺資源，以運行自己的應用程序和服務。在這種情況下，在諸如身份和訪問管理、數據保護可能更復雜和SLA必須包括理解和所有有關各方商定的明確定義的安全功能的責任分。更復雜的場景也是可能的。例如，除了管理私有云基礎設施之外，IT部門還可以為組織內的其他業務單位委托、采購或開發應用程序。在這種情況下，IT部門的一部分可采用點播，私有云的自助能力獲得的基礎或平臺對客戶的業務單元服務代表也處理一些或所有的業務持續管理對客戶的業務單元的代表。這種安排的情況下，有兩個SLA：一個IT部門的云服務提供商和服務提供商之間的部分，和一個IT部門的服務提供商和客戶的業務單元之間的。在私有云中，所有各方必須明確了解其義務和責任，并同意它們。根據公司所采用的模式，有關各方的名單可能包括：第三方云服務提供商，內部云服務提供商，信息技術部門的一部分和消費私有云服務的應用程序和軟件供應商等。

2 結論

私有云面臨許多安全方面的挑戰，這也使不少使用私有云的單位加大投資以保證安全。本文提出了部署私有云的安全策略，為使用私有云的單位提供了參考，以便在保證安全的前提下降低成本。

參考文獻：

[1]項昆.私有云在移動通信網絡應用的研究[J].網絡安全技術與應用，2017（6）：9495.

[2]郭春梅.政企私有云的結構性安全保障研究[J].信息安全研究，2017，3（2）：188192.