如何保证混合云环境的安全



公司或者机构时常会犯这样一个错误,他们会潜意识里认为他们的服务供应商会处理云安全方面的所有问题。因而,一旦他们选择了某个服务供应商,他们就不需要再担心他们的云安全了。事实是,云安全是企业和服务供应商双方共同的责任:服务提供商负责保证基础架构的安全,企业或组织负责其数据的安全。只有更完善的访问权限设置、加密方式和云服务管理的整体配置才能满足企业这样的要求。另外,云安全还涉及到其他方面,例如公司内部计算机的更新和修复和对计算机所安装的软件的监管等等。

企业在选择第三方供应商的时候需要全面考虑到公司各方面的需求——不仅仅需要考虑到供应商所提供的服务的特点,还要考虑到所选择服务的安全性。由于使用第三方云服务器,服务供应商也可以访问公司的数据,这对于某些公司来说是不可行的。

尽管具体的混合云的设置有所不同,但是以下这几个安全原则可以适用于所有形式的混合云,包括:

  • 无论环境如何,始终坚持同一个流程可以让整个系统运行得更加顺畅。混合云环境和传统环境通常不能很好的融合。传统的基础架构通常包括应用程序、应用平台以及业务流程。混合云则可以集成到现有的基础架构中,保证灵活性和可延展性。例如,组织或公司可以在其实体或传统服务器上保留其关键工作负载(如数据),同时将应用程序、电子邮件和客户关系管理(CRM)迁移到云中。
  • 自动扩展工具可以帮助公司最大限度地利用其人力和资源,从而将更多的精力投入到核心业务领域,这也是混合云的主要优势之一。实体基础设施的升级成本十分昂贵,硬件、维护、应用程序开发和部署等方面的成本都会随着扩展快速增加。然而,混合云可以根据公司的具体需求进行定制,并且不需要承担相关操作的成本。
  • 使用可定制化的工具,这样企业就可以根据公司特定的需求来定制混合云。目前市场上大部分的混合云供应商都可以提供这项服务。
  • 混合云供应商所部署的混合云解决方案可以在某些情况下代替公司做出安全决策,如第二点所提到的一样,自动化的工具可以减少人力和资源,最大限度地提高安全性,这对于大部分业务托管在云上的公司来说十分重要。考虑到现在社会对云安全的各方面威胁,混合云供应商仅仅为其产品和服务提供基础的安全解决方案是远远不够的。

云安全的最佳实践

无论公司决定采用何种类型的云结构,下列这些实践都可以帮助企业保证最大化的云安全性。

坚持最低权限原则

所有的云环境都应该采取最低权限原则,也就是说,只对确实需要访问云的人员提供访问权限。虽然这是私有云中很常见的原则,但是这对于所有的云环境来说都是一个需要着重强调的点。

保护网络中所有端点

使用云基础架构并不意味着不需要更强大的端点安全性,因为很多的攻击都是从端点级别开始的。因此,企业应当实施适当的端点保护措施,比如浏览器漏洞保护、应用程序白名单以及用户安全教育等等措施。

隔离最关键的基础设施

对于那些想把重要数据储存到云端的公司来说,他们应该尽早摒弃这个想法:访问关键数据的人越少,安全性就越高,受到攻击的概率也越低。

加密云上的数据

数据不管是在传输过程中还是存储时都需要采取安全措施进行加密。许多云服务供应商已经提供数据加密解决方案来保证其云安全。

备份外部存储设备上的关键数据

由于来自外部的攻击或系统故障可以导致临时甚至永久性的数据丢失,云基础设施其实也就不那么安全。为了进一步保证数据的安全,公司应该在物理和虚拟端都备份关键数据,这样就可以确保始终可以访问数据。

制定业务连续性和灾难恢复计划

公司需要制定一个后备方案来保证紧急情况下(例如,数据中心遭受服务中断或者电力故障)业务仍然能够顺利运作。 这包含实施基于镜像的备份,它能为计算机或者虚拟机(VMs)创建拷贝,以便用来恢复系统和数据。

选择合适的云安全解决方案

混合云环境需要混合安全解决方案。企业可以通过有效的服务器保护来保证云和虚拟化环境中关键数据和应用程序的安全,从而最大限度地提高运营和经济效益。

Nilesh Jain is vice president SEA and India at Trend Micro

作者:Nilesh Jain 译:Yvonne Feng

http://www.datacenterdynamics.com/content-tracks/security-risk/securing-the-hybrid-cloud-as-a-shared-responsibility/100481.article