云安全：Gartner Conference上心得
我參加了 12 月份在美國拉斯維加斯舉行的 Gartner Data Center Conference，希望透過這項(xiàng)活的觀察深入了解企業(yè) IT 專業(yè)人員對于虛擬化與云計(jì)算的看法。 雖然我個人并不喜歡拉斯維加斯，但我還是逛了一下彈珠臺迷必到的旅游勝地：Pinball Hall of Fame （彈珠臺名人堂）。從信息安全的角度來看，Gartner 分析師和與會人員對于云計(jì)算的態(tài)度給了我?guī)c(diǎn)啟示。
虛擬化正當(dāng)?shù)?/STRONG>
VMware 的課程人數(shù)爆滿，大多數(shù)關(guān)于虛擬化與儲存交換網(wǎng)路的課程也是人潮洶涌。有關(guān)虛擬化安全的課程，倒提到了一個重點(diǎn)，那就是：負(fù)責(zé)應(yīng)用程序與儲存的 IT 人員與負(fù)責(zé)信息安全的 IT 人員彼此之間缺乏聯(lián)系。虛擬化的列車目前正全速向前邁進(jìn)，但信息安全團(tuán)隊(duì)卻在后面苦苦追趕，努力研究虛擬化可能帶來的安全問題。舊的邊界安全模型正受到嚴(yán)重挑戰(zhàn)，因?yàn)橥高^ VMotion 的技術(shù)，應(yīng)用程序在 VMware 環(huán)境當(dāng)中可以自由移動 （小心別讓一些敏感的應(yīng)用程序意外掉入 DMZ 區(qū)域）。對信息安全的影響：您最好小心架構(gòu)您的虛擬化資料中心，并且考慮采用 VLAN 以及分散式虛擬交換器 （Distributed Virtual Switch）。
私人云計(jì)算是企業(yè)的短期因應(yīng)之道：CEO們的要求是：”利用云端來降低成本”，而CIO們的回應(yīng)則是：”是的，我們已經(jīng)在做了，那就是所謂的私人云端”。在 Gartner 這次的活動當(dāng)中，廠商與 Gartner 分析師的重點(diǎn)大都圍繞在私人云計(jì)算。對于所謂的私人云端，不論行銷人員或是正在利用云計(jì)算概念的企業(yè) IT 人員，每一個人似乎都自己的一套定義。某些正統(tǒng)派云端人士或許對這樣的情況感到不安，但企業(yè) IT 與廠商正紛紛透過”私人云端”的概念來趕搭云計(jì)算的列車。我在 Gartner Data Center Conference 大會上看到的整體趨勢是積極虛擬化的資料中心，不過，如果您跟人家說：”我們已經(jīng)擁有自己的私人云端”，那會讓您的企業(yè)聽起來似乎更先進(jìn)一點(diǎn)。
儲存公共云端
SaaS/PaaS/IaaS 最酷的應(yīng)用程序，是 General Electric 公司的 Matthew Merchant （CTO） 在其名為”Cloud Storage @ GE”（GE 的云端儲存） 的演講所提到的。GE 內(nèi)部開發(fā)了一個透過公共云端儲存 （例如 Amazon AWS） 進(jìn)行備份的應(yīng)用程序。公共云端讓他們減少了 40% 至 60% 的備份成本，聽起來似乎很酷。對信息安全的影響：記得將資料加密以便能夠符合法規(guī)遵循要求。
企業(yè)韌性與災(zāi)難復(fù)原的公共云端：Gartner 的 John Morency 開了一門課叫做”Building Resiliency via Colocation and the Cloud”（透過比鄰與云端建立韌性），討論有關(guān)使用公共云端做為”熱備份”（warm spare） 或”冷備份”（cold spare） 災(zāi)難復(fù)原 （DR） 的備援移轉(zhuǎn)據(jù)點(diǎn)。Morency 有一段發(fā)人深省的話：”到了 2014 年，有 15% 的大型企業(yè)將合并使用私人基礎(chǔ)架構(gòu)與公共云端服務(wù)來提升復(fù)原能力與企業(yè)永續(xù)性?！盌R 是非常適合公共云計(jì)算的一項(xiàng)應(yīng)用，擁有降低成本、提高彈性的效益。對信息安全的影響：企業(yè)應(yīng)該考慮采用像 趨勢科技 Deep Security 7.0這樣的解決方案來保護(hù)云端服務(wù)器 （抱歉，此處不免老王賣瓜一番）。
測試與開發(fā)云端：過去我曾經(jīng)聽過 Gartner 分析師說，云端是一個測試和開發(fā)應(yīng)用程序很好的平臺，但是這些測試和開發(fā)環(huán)境所使用的卻是真實(shí)且必須保護(hù)的資料。當(dāng)我與趨勢科技的信息安全客戶討論到云端時，他們一慣的答案都是：”我們沒有在用”。但是若問到是否有某些應(yīng)用程序開發(fā)人員會直接上 Amazon EC2 時，這些信息安全人員就會勉為其難地點(diǎn)頭。對信息安全的影響：位于云端的測試與開發(fā)環(huán)境，如果使用到真實(shí)的資料，或許應(yīng)該采取一些保護(hù)措施。
云端內(nèi)的信息：Cameron Haight 和 Milind Govekar 的演講”Cloud Computing Management - Making Sure Mountains Aren’t Hiding in the Mist”（云計(jì)算管理：確保云霧當(dāng)中沒有隱藏的高山） 當(dāng)中有一段話讓我深有同感：”云計(jì)算并非 IT 的喪鐘；是實(shí)上，這是一個讓 IT 服務(wù)供應(yīng)角色重新振作的機(jī)會，只要適當(dāng)?shù)馗铝鞒獭⒐ぞ吲c組織結(jié)構(gòu)即可?！边@一點(diǎn)在信息安全領(lǐng)域尤其如此，因?yàn)槌似髽I(yè)本身以外，沒有人會小心看管企業(yè)的重要資產(chǎn)。
【編輯推薦】
