RSA中國大會張振倫：私有云安全構(gòu)架概覽
【51CTO.com 綜合報(bào)道】在前不久，剛剛結(jié)束的RSA 2010大會上，我們聆聽了多為嘉賓的演講。51CTO作為特邀媒體，對大會進(jìn)行了相關(guān)報(bào)道。更多內(nèi)容請參閱RSA 2010信息安全國際論壇專題報(bào)道。那么，對于大會中所涉及的一些演講內(nèi)容，這里我們再來總結(jié)一下。現(xiàn)在，先讓我們一起來回顧下VMware公司大中華技術(shù)總監(jiān)張振倫，所帶來的演講《私有云安全構(gòu)架概覽》。
張振倫：大家下午好！今天很高興有這樣一個機(jī)會，一起跟大家分享一下關(guān)于虛擬化以及云計(jì)算上的安全問題。實(shí)際上我相信大家剛才聽了很多介紹，包括我剛才聽陳教授的介紹，大家都在講云存儲以及云各個方面的安全，好像現(xiàn)在所有的安全在云上也變成的一個特別特別重要的話題。今天大家都在講公有云的時候，都覺得最最重要的一個障礙也是安全。我們?nèi)绾慰窗踩?？在云的架?gòu)下，會發(fā)生哪些方式的一些改變，從整個架構(gòu)的角度，我們應(yīng)該怎么樣重新考量？在這之前，我想問一下在座的各位，我不知道有多少人知道VMware公司是做什么的？（聽眾回答：虛擬機(jī)）
這位先生說VMware公司是做虛擬機(jī)的，還有人知道VMware公司是做什么的？我相信幾年前大家去看VMware的時候，很多人都知道VMware做服務(wù)器虛擬化，這個概念已經(jīng)過時了。可能兩三年前，或者說到我加入VMware的時候，說VMware開始做數(shù)據(jù)中心虛擬化，數(shù)據(jù)中心虛擬化比服務(wù)器虛擬化的內(nèi)容拓展了很多，因?yàn)檫@中間加入了網(wǎng)絡(luò)虛擬化、存儲虛擬化、內(nèi)存虛擬化、應(yīng)用虛擬化、桌面虛擬化、安全虛擬化等等。也就是說它變成了整個數(shù)據(jù)中心，在做虛擬化。
今天我告訴各位，VMware也不是做數(shù)據(jù)中心虛擬化，這個概念也已經(jīng)過時了，那VMware到底在做什么？如果說前些日子大家去關(guān)注VMware剛剛在美國召開的用戶大會，我們VMware 2010，相信大家看到一個很明確的主題，在這次大會上VMware正式發(fā)布的內(nèi)容。以前很多人都在用VMware的服務(wù)器，后來我們改名VMware。今天看到我們發(fā)布vSphere，標(biāo)志著VMware在云計(jì)算方面的產(chǎn)品正式落地，同時上周我們在歐洲的用戶大會上，VMware又正式發(fā)布了vSphere 4.20。這兩個重要的發(fā)布意味著我們云不是一直飄在天上，要落地了一旦要落地，我們就引出今天的話題，如果說前幾年大家一直在說云在天上，這個云下到地上，變成雨之后，長成什么樣子，大家會有各種各樣的想法，這些想法就造成我們今天根本就沒有方向。但是今天這兩個對于云計(jì)算重要的發(fā)布，已經(jīng)讓我們云計(jì)算真正可以落地，有現(xiàn)成的產(chǎn)品，我相信如果說我們回過去20年的時候，大家都會覺得互聯(lián)網(wǎng)是一個很神秘的東西，但是說互聯(lián)網(wǎng)會帶來什么樣的影響，沒人知道。大家只是覺得我們有很多的東西要往這個方向去走。但是今天我們已經(jīng)到了另外一個時點(diǎn)，就是云計(jì)算。這個時點(diǎn)就是云計(jì)算真正落地之后，我們架構(gòu)的一些挑戰(zhàn)。我們今天開始正式看我們整個架構(gòu)的挑戰(zhàn)，在這個架構(gòu)上，我們怎么樣把我們安全的東西加到這個平臺，讓我們構(gòu)建一個安全的私有云，或者公有云。
我們分成幾個階段去看，我們?nèi)タ唇裉煳覀兊臄?shù)據(jù)中心或者這樣一個虛擬的云計(jì)算的平臺到底有什么樣的挑戰(zhàn)，我們?nèi)绻脗鹘y(tǒng)的安全架構(gòu)去做，我們還有一些什么樣的漏洞，或者有一些什么樣的差距，我們要去彌補(bǔ)，來確保我們上到云計(jì)算的時候，我們在安全體系上沒有任何的問題。在這里討論很多可能都是面向于體系結(jié)構(gòu)的角度，可能不是加密、解密等等某一個組件角度怎么樣去看。我們?nèi)?gòu)建整個安全的架構(gòu)，然后在云計(jì)算這個平臺上，同時我們也會看一下混合云的平臺下如何解決安全的問題。
比如這是一個企業(yè)級的虛擬的云計(jì)算中心，或者我們叫做內(nèi)部云。今天很多人都聽到內(nèi)部云、外部云、混合云，或者說內(nèi)部云和外部云之間如何協(xié)同的問題，這不是我們今天討論的主題，但是我們會想到今天云計(jì)算的第一步，對于企業(yè)的數(shù)據(jù)中心來說，大家想到就是怎么變成內(nèi)部云。從今天或者說從前些年大家一直在提的概念，（NGDC），到今天大家基本上又把這個概念OUT了，然后變成內(nèi)部云這個概念，我們要想完成這個華麗的轉(zhuǎn)身，其中從安全的架構(gòu)商來說，我們有誰挑戰(zhàn)，比如我們看到有各種各樣的安全的設(shè)備，無論從防火墻，從VPN等等，IDS、IPS一些防御機(jī)制，這些事情逐漸堆積在我們整個云計(jì)算或者企業(yè)數(shù)據(jù)中心當(dāng)中，同時我們傳統(tǒng)都是煙囪式的管理機(jī)制，每一個部分可能都沒有很好的實(shí)現(xiàn)均衡，我們也建了越來越多的VLAN，如果說隨著云規(guī)模逐漸擴(kuò)大，整個架構(gòu)變得越來越復(fù)雜，我們在VLAN建設(shè)上可能也會窮盡我們所能設(shè)計(jì)的VLAN數(shù)量，導(dǎo)致我們最后設(shè)不下去，同時我們所有建制的這些安全傳統(tǒng)的策略都是靜態(tài)的。所謂靜態(tài)的，我們怎么樣跟著虛擬機(jī)或者我們云架構(gòu)上的動態(tài)資源調(diào)度，能夠確保安全跟著動態(tài)變化。如果這些安全結(jié)構(gòu)和體系不能夠給云計(jì)算動態(tài)的調(diào)整和優(yōu)化做好很好的整合的話，那么安全就帶來了巨大的挑戰(zhàn)，可能會限制很多資源就無法調(diào)度。在這里可能又回到傳統(tǒng)的模式。
當(dāng)然我們也看到其他一些挑戰(zhàn)，跟云結(jié)合的時候一系列的挑戰(zhàn)，我們傳統(tǒng)都沒有考慮這些動態(tài)的因素，資源可以調(diào)度來調(diào)度去，虛擬機(jī)可以在不同物理機(jī)上通過其他一些機(jī)制進(jìn)行漂移，漂移走了之后，連接物理的端口，連接防火墻或者一些安全機(jī)制都在發(fā)生變更，怎么樣來保證這些有效的連接。
剛才講的是數(shù)據(jù)中心，另外一塊也不容忽視，就是我們的桌面或者我們的終端。有很多人都會說數(shù)據(jù)中心是我們今天要重點(diǎn)關(guān)注的，桌面，有專門做IT的人去管。實(shí)際上我們走到云計(jì)算階段的時候，大家千萬不要忽略了桌面。我們在桌面上可以發(fā)生各種各樣的問題。
我不知道大家有沒有去關(guān)注，前一段時間，比如我們都知道一個事件，肯德基的"秒殺門"，是怎么導(dǎo)致的。另外在歐洲一個事件，匯豐銀行發(fā)生了9.7萬個客戶信息的泄露，這意味著什么？這意味著要有很多的罰款，要有很多形象的損失等等一系列問題。大家想想這些都是黑客攻擊到你的數(shù)據(jù)中心，把這些數(shù)據(jù)給拿走的嗎？真的是有人跑到你的數(shù)據(jù)中心把你的門撬開，把里面的磁盤搬走的嗎？我們說可能那個磁盤搬走也沒有用。剛才陳教授講的時候，里面也有各種數(shù)據(jù)的加密，我搬走這個數(shù)據(jù)也沒有用，也解不開，但為什么這些數(shù)據(jù)輕輕松松泄露到市場上去了？到底誰干的？到底我們的問題何在？實(shí)際上不是數(shù)據(jù)中心的保安問題，也不是數(shù)據(jù)中心設(shè)置一些防火墻或者防入侵等等系統(tǒng)有問題，而是我們的桌面有問題，我們的人有問題。這是最最重要的，最最關(guān)鍵的，無論怎么樣加密，無論這個系統(tǒng)再怎么樣安全，總歸有幾個人，甚至幾十個人，能夠去訪問這些數(shù)據(jù)。如果你要訪問這些數(shù)據(jù)的時候，這些人會不會把這個數(shù)據(jù)挪作他用，那怎么辦。
這實(shí)際上就是我們今天很多時候講到桌面云的概念，桌面建數(shù)據(jù)中心的時候，千萬不要覺得它不重要，建云的時候，千萬要覺得這一塊也是整個安全架構(gòu)最薄弱環(huán)節(jié)，也應(yīng)該把它考慮進(jìn)來，應(yīng)該形成桌面云。作為桌面云，給我們企業(yè)級的數(shù)據(jù)中心，或者虛擬數(shù)據(jù)中心有同樣的問題，當(dāng)然我們也有很多不同的一些問題，比如說我們桌面這一塊要裝各種各樣的軟件，要裝安全防護(hù)，今天防病毒，明天防入侵，不斷往里面加很多的東西，一旦形成桌面云，就是想桌面應(yīng)該是放在數(shù)據(jù)中心的，前面盡可能是一種安全的訪問架構(gòu)，這種安全的訪問架構(gòu)意味著前臺的東西就變成了類似于受客戶機(jī)一切軟件裝到你的傳統(tǒng)筆記本、臺式機(jī)上，然后直接訪問后臺，盡可能不讓你前臺能夠拿到這些數(shù)據(jù)，你可以看，但是你沒辦法把它拷走，把它復(fù)制，然后把它刻成光盤，把它從網(wǎng)絡(luò)上傳走，等等都不可以做。
但是你一旦做成這些架構(gòu)之后，比如早晨上班，所有員工登陸這些系統(tǒng)，所有機(jī)器開始幾點(diǎn)鐘指定做病毒掃描，會不會造成整個桌面的災(zāi)難。這些方面怎么解決？如果我們還是在玩?zhèn)鹘y(tǒng)警察抓小偷的游戲，那我們今天的社會治安肯定就會變得更為糟糕。#p#
我們今天所有的防病毒、防入侵很多機(jī)制是怎么樣來做的，我們說這臺PC怎么樣保證安全，我要裝一個防病毒軟件，防病毒軟件是根據(jù)一些字節(jié)、特征來進(jìn)行不斷的掃描，任何數(shù)據(jù)進(jìn)來之后，確保沒有問題。一旦有病毒就要怎么樣跟這個病毒進(jìn)行打架。這就類似于傳統(tǒng)的我們警察看到一個小偷怎么辦。警察看到小偷，警察就拼命去追，看警察是不是能追上。如果警察追上了，小偷倒霉被抓了，如果警察追不上，小偷就跑了。我們今天防病毒、防入侵很多機(jī)制都是類似的概念。如果我們不去改變這種概念，我們今天整個架構(gòu)就是可怕的。就像我們今天的社會，如果僅僅說警察跟小偷之間看誰跑得快，我相信大多數(shù)的小偷都跑得比警察快，我們警察肯定追不上。但是我們知道警察為什么能夠抓到小偷，小偷一般都沒有槍，警察配槍。警察有各種先進(jìn)的裝備，我們做防病毒、防入侵的時候，是不是也應(yīng)該給這些模塊賦予更高的一些策略和機(jī)制，讓它這些先進(jìn)的配備跟病毒進(jìn)行戰(zhàn)斗的時候，它勝出的機(jī)率更高，否則的話這個系統(tǒng)可以想像它的安全不安全，純粹只能靠大家燒香燒的及時不及時，如果燒的不及時就不安全。
當(dāng)然在服務(wù)器這一端，我們也有很多問題需要解決，我們要在上面不斷加模塊，因?yàn)檫@些安全的機(jī)制還是要放在后臺，桌面有一個很重要的特點(diǎn)，就是我們桌面都飄到后臺去了，它的操作系統(tǒng)和數(shù)據(jù)都在后端，這些數(shù)據(jù)如何有效保護(hù)，在服務(wù)器端也要做很多這樣的工作。
如何解決這個問題？我們都知道云計(jì)算有很多的好處，我們有很多計(jì)費(fèi)上一些優(yōu)惠，我們有很多管理上的便利性，可以讓IT真正進(jìn)行產(chǎn)業(yè)化，或者工業(yè)化。云計(jì)算讓整個IT變得工業(yè)化或者產(chǎn)業(yè)化。我不知道大家有沒有想過一件事情，如果用今天IT這種銷售機(jī)制去賣汽車的話，今天你要買汽車應(yīng)該是一個什么樣的概念。你應(yīng)該找一家廠商，買到了一個輪胎，那邊買到一個發(fā)動機(jī)，在那家廠商買到一個汽車的車蓋，那家買到一個車燈，回家找一個集成商把所有東西裝起來，然后往路上一跑，原先發(fā)動機(jī)廠商告訴我這個汽車可以跑每小時200公里，我到外面一開只能開20公里，這個汽車怎么有問題，我們應(yīng)該找一個汽車的調(diào)優(yōu)師，就是我們一些專業(yè)人士來調(diào)一下，這個汽車總算上路了。哪天又開不動了，發(fā)動機(jī)廠商告訴你這跟發(fā)動機(jī)沒有問題，我們發(fā)動機(jī)好，我們輪胎是好的，沒有問題。如果今天汽車還處于這樣一個階段，我們汽車能賣多少。
今天云計(jì)算徹底改變這種架構(gòu)，讓IT真正變成產(chǎn)業(yè)化，類似汽車這種模式。不應(yīng)該考慮這些復(fù)雜的管理的問題，復(fù)雜的集成的問題，組裝的問題，這一系列的東西不需要你太多的關(guān)注，你更多的類似一個自助服務(wù)。云帶來這么多的好處，類似我們?nèi)ベI汽車、買房一樣，應(yīng)該是全裝修的，它是一個交鑰匙工程。
有這么多的好處，但是我們也看到了很多今天去擔(dān)心的一些問題，如果不能滿足這些方面的問題，就成了一個很追求的挑戰(zhàn)，可能這個云根本走不下去。其中會看到安全可能是重中之重。說到云的安全，我們后面會看架構(gòu)，但是其中有一點(diǎn)大家也要記住，我覺得云的安全實(shí)際上有很多是跟法律法規(guī)，然后跟大家傳統(tǒng)的理念直接相關(guān)。大家可以想一下，如果我們回到200年前或者300年前，大家那時候有了錢是放在什么地方，半夜睡覺，放在枕頭下面，在家里挖一個坑，找個罐子把錢埋在地下，大家覺得最安全。我不知道今天還有誰把自己家的鈔票這樣放的，可能我們偶爾會看到幾個個案，有一些貪官是這樣放的，但是大多數(shù)正常的人都會把自己的錢放到銀行，可能大家最后看到的是一串?dāng)?shù)字。我們之所以把錢敢放到銀行，因?yàn)槲覀冎婪旁诶锩婺苋〉贸鰜?，我們放在銀行里面，銀行里面有各種各樣的保障機(jī)制，不會倒閉，并且這個銀行也不會把我們的一些信息透露出去。就像我們今天說到云一樣，這些都需要一個慢慢的健全體系去保障。我們接下來要講怎么樣確保銀行的安全。這是從架構(gòu)上，法律的問題還是留給法律工作者去考慮，不是我們今天討論的重要范圍。
其中很重要的一點(diǎn)，我們從架構(gòu)上，力所能及的范圍之內(nèi)如何設(shè)計(jì)云的體系，它可以讓大家放心，大家把自己的應(yīng)用放在那兒，不會有安全隱患的云架構(gòu)。
首先，看到云的一個重要的特性是我們要構(gòu)建安全的一個模塊，沒有這個模塊的話，云對企業(yè)帶來很多的優(yōu)勢我們都不敢去享受，因?yàn)橛邪踩奶魬?zhàn)。如何去做？把安全做成安全的虛擬機(jī)，這意味著我們不需要在每一個應(yīng)用上面，或者每一個虛擬機(jī)里面都具有安全的模塊，這應(yīng)該有專門的人負(fù)責(zé)。就像銀行一樣，有很多部門，每個部門不可能都有自己的安全員去做專業(yè)的事情，而是我們在整個系統(tǒng)設(shè)計(jì)，有一個專門安全部門去管理，確保它的安全。
第二，我們要在虛擬化層，hypervisor以及上面的管理層如何確保它的安全，這塊的安全性是從整個虛擬化的架構(gòu)、資源池架構(gòu)上去實(shí)現(xiàn)，我們?nèi)绾螛?gòu)建一些可信任的區(qū)域，然后急于策略的構(gòu)建整個模塊化，使這個架構(gòu)實(shí)現(xiàn)整個外部云、內(nèi)部云，以及混合云的結(jié)構(gòu)。
我們做這個架構(gòu)的時候，不是VMware成為了一個專業(yè)的安全的廠商，然后把所有安全廠商生意都搶過來，然后VMware去替代，這是不可以的，因?yàn)橛泻芏鄬I(yè)的安全的廠商，他們積累了那么多的經(jīng)驗(yàn)，我們應(yīng)該把接口開放出來，他們基于這個去開發(fā)，實(shí)現(xiàn)云的自動化，我們也應(yīng)該整個虛擬數(shù)據(jù)中心的級別實(shí)現(xiàn)一些封裝，實(shí)現(xiàn)一些混合云的安全，當(dāng)然我們最終的目的是讓這個云更安全，同時又不能夠搞的特別復(fù)雜。特復(fù)雜的結(jié)果，就像剛才有人提的問題一樣，可能會導(dǎo)致整個性能的損失，也是讓我們無法忍受的。
有人說我想建一個百分之百安全的體系，有沒有？如果從理論上講絕對可以做到，只是投資你可不可以接受。如果有無窮多的錢，我們把飛船送上月球都做到了，我們做這個安全可以做到，但是我們想到一個企業(yè)可用安全解決方案的時候，我們絕對不能用嫦娥奔月項(xiàng)目的思路去而想，那樣設(shè)計(jì)的話，我想沒有幾個企業(yè)用得起，那不是我們今天要去真正產(chǎn)業(yè)化的東西。
有了這樣一個基本思路之后，我們第一步應(yīng)該做什么？怎么樣把這些安全的設(shè)備、硬件的設(shè)備進(jìn)行虛擬化。我們可以把所有物理資源進(jìn)行整合，整合成資源池，對于服務(wù)器來說就是整合成群集。整合成群集之后，我們可以把這些安全的功能，一項(xiàng)一項(xiàng)的移到hypervisor里面去，移到虛擬化層上面去。我們原先放在應(yīng)用這個層次上的一些安全的模塊，或者放在服務(wù)器這個等級的，我們一項(xiàng)一項(xiàng)把它移到hypervisor里去，同時我們其他一些安全模組，防火墻，網(wǎng)關(guān)等等都可以往hypervisor層次去移。于是真正構(gòu)建的是一個安全的云的計(jì)算平臺，而不是在上面做很多安全的模塊，應(yīng)該去構(gòu)建和諧社會，也可以說這是云計(jì)算里面的和諧社會，這是很的一支安全的力量。
同樣在服務(wù)器這一層也要做類似的事情，我們在接入層也可以把這些安全的模組都移到hypervisor里面去。我們原先用硬件去實(shí)現(xiàn)的一個一個模組，我們專門做了很多固定的硬件，這些硬件實(shí)際上今天都可以加到hypervisor這個層次里面去。原先需要很多計(jì)算，這個計(jì)算現(xiàn)在放到hypervisor里面去，誰來幫計(jì)算。hypervisor是裝在PC服務(wù)器上，PC服務(wù)器負(fù)責(zé)去完成這個計(jì)算，用PC服務(wù)器的CPU去完成。當(dāng)然很多人會說傳統(tǒng)復(fù)雜的計(jì)算能力都放到這里，對服務(wù)器計(jì)算性能會有多大影響。VMware作出了hypervisor對整個服務(wù)器CPU都在10%之內(nèi)，也就是我們把這么多安全、管理、資源池的模組放在里面，對性能的影響還是很小，我們到今天為止，看到虛擬化的應(yīng)用，可以到99%點(diǎn)多，因此可能只有極個別特殊的情況做不到，但是在我們企業(yè)數(shù)據(jù)中心能看到的基本上接近百分之百都可以做到。#p#
在這個基礎(chǔ)上，有了這樣一個基礎(chǔ)，我們把很多虛擬的安全模組都弄到hypervisor這個層次上之后，IaaS層次已經(jīng)實(shí)現(xiàn)了可信的、安全的模組。上面還有云應(yīng)用的平臺，是做云應(yīng)用開發(fā)的，云應(yīng)用開發(fā)就意味著我們將來要面對的一些應(yīng)用，不是今天的應(yīng)用。今天現(xiàn)有的這些應(yīng)用，我們怎么樣牽上去，是今天的問題。將來的應(yīng)用，我們要移到云平臺上去，我們要開發(fā)基于云的應(yīng)用，這時候我們要有云應(yīng)用平臺，在這個平臺上我們?nèi)绾伪ＷC，實(shí)際上就是SaaS的平臺，都是設(shè)計(jì)企業(yè)級的應(yīng)用，這些應(yīng)用我們?nèi)绾伪ＷC基于云開發(fā)?；谠崎_發(fā)好了之后，最上面是一些前端的客戶端，客戶端怎么樣保證，從架構(gòu)到應(yīng)用到上面的客戶端，每個層次我們應(yīng)該怎么樣保證安全，整個安全實(shí)際上是跨這三個層次，在每一個層次上都有相應(yīng)的模組去完成。
比如我們在最上面的，可能我們有一些身份認(rèn)證。在每個層次，我們能夠確保它的安全，就意味著整個架構(gòu)的安全，整個架構(gòu)設(shè)計(jì)的安全。這是誰來提供？所有安全部件是VMware和我們共同合作伙伴提供，而不是VMware一家獨(dú)大的其提供。VMware構(gòu)建了一個云時代的IT的生態(tài)環(huán)境，這個生態(tài)環(huán)境可能跟我們傳統(tǒng)IT有很大的差別，基本上大家探討都是機(jī)遇的云的API，基于云上面的模組怎么樣構(gòu)建。VMware從虛擬服務(wù)器，到軟件服務(wù)器，一起去構(gòu)建，今天我們?nèi)虻暮献骰锇閿?shù)千家，大家共同打造一個讓大家放心的安全的體系。
第一個階段，怎么樣讓我們虛擬架構(gòu)變得安全，也就意味著我們資源池構(gòu)建時候的安全。就涉及到虛擬機(jī)，也有相應(yīng)的客戶端，可能有不同的一些應(yīng)用，比如有桌面，有數(shù)據(jù)中心，有企業(yè)級應(yīng)用云的，有桌面云，這其中VMware有一個很產(chǎn)品的發(fā)布，前不久剛剛結(jié)束，9月22日在美國拉斯維加斯發(fā)布的，是基于下一代，基于動態(tài)架構(gòu)、云架構(gòu)的安全模塊，讓大家能夠更好的讓各個廠商基于這個平臺開發(fā)它的安全的一些模組，動態(tài)的滿足云計(jì)算的需求。它首先可以形成安全的虛擬機(jī)，專門由安全構(gòu)建。在這之上進(jìn)行應(yīng)用的安全，進(jìn)行客戶端安全的一些規(guī)劃，這個客戶端的安全意味著我們桌面這一級的安全。傳統(tǒng)的來說，這個桌面一級，現(xiàn)在我們用這個模組，可以配上槍，配上直升機(jī)等等一些先進(jìn)的武器，確保我們終端的安全。
同時我們在上面這個層次也加了很多安全的一些模組，我們在邊緣這一塊有一個VMsafe，是基于每一個VDC，都會受到它進(jìn)行保障，它會建一個一個的VDC，就類似于我們針對每一個部門或者每一個應(yīng)用來形成的虛擬的數(shù)據(jù)中心，不是整個大的數(shù)據(jù)中心，數(shù)據(jù)中心里面可以形成很多虛擬的數(shù)據(jù)中心。從而能夠構(gòu)成一個安全的模組，形成一些安全的邊界。同時有一個vShield管理者統(tǒng)一管理，同時vShield管理者還可以和我剛才提到的集成在一起，然后進(jìn)行有效管控，這個安全模組不需要單獨(dú)或者獨(dú)立于整個架構(gòu)體系之外的一個系統(tǒng)去管理，跟它完全融合在一起，然后管理起來更為方便。從整個架構(gòu)角度來說，通過這樣幾個模組把虛擬架構(gòu)形成一個安全的虛擬架構(gòu)。
通過vShield zones，我們還可以去創(chuàng)建授信的區(qū)域或者授信分區(qū)，授信分區(qū)可以基于你的虛擬機(jī)，也可以基于你的操作系統(tǒng)或者應(yīng)用，也可以基于其他更多一些資源，根據(jù)你的需要，整個VDC也可以形成整個授信的區(qū)域，這些授信的區(qū)域就可以進(jìn)一步的幫助你更靈活配制這些云資源更安全。配制好了以后，可以隨著資源動態(tài)調(diào)整進(jìn)行有效流動，來確保這些安全的策略不會固化到某一個硬件端口，或者受某一個硬件資源的限制而限制了云里面資源動態(tài)調(diào)度的能力。這些從虛擬機(jī)到虛擬的應(yīng)用，到虛擬的VDC，到客戶可以根據(jù)需要自己進(jìn)行定制化，然后形成一個安全的管理和機(jī)制。
整個都是基于策略的，形成一個安全的框架架構(gòu)。下面有這些安全的加強(qiáng)模塊，從FW到VPN到LB等等，DLP，全部基于策略去實(shí)現(xiàn)。在這之上我們會加上相應(yīng)安全的管理組件，可以基于策略的動態(tài)去管理，管理這些授信分區(qū)，當(dāng)然也會提供API給我們合作伙伴，這些合作伙伴可以開發(fā)他們相應(yīng)的模組。
說要API，有很多API比如今天我們用亞馬遜，用谷歌，發(fā)覺一個應(yīng)用如果今天能放到谷歌上，下一段時間想移到亞馬遜上去，把應(yīng)用直接拷貝過去，是不是就可以用了呢？實(shí)際上發(fā)覺不是，因?yàn)樗麄兲峁┑腁PI接口不一樣。我前一段時間去參加上海市整個云計(jì)算項(xiàng)目的規(guī)劃，上海云海戰(zhàn)略一些課題研究的時候，他們也提到上海應(yīng)該形成這樣一個云的標(biāo)準(zhǔn)，今天國內(nèi)一些廠商也看到每家都在做一些標(biāo)準(zhǔn)，這家作出的云的API有20個，那邊作出有100個，那邊作出有80個，各家都不一樣。實(shí)際上這就會導(dǎo)致我們將來沒有形成統(tǒng)一標(biāo)準(zhǔn)的話，我們應(yīng)用就無所適從，我們移到另外一個平臺都會受到挑戰(zhàn)。 我們提到一些API，已經(jīng)遞交DMTF，相信今年下半年或者明年應(yīng)該就會成為整個業(yè)界的標(biāo)準(zhǔn)，也就是說我們除了在推動這一塊之外，提供給你API，我們是提交了一個業(yè)界功用的API標(biāo)準(zhǔn)，讓我們在用的時候，這些安全廠商沒有后顧之憂。
我們在VMware發(fā)布的vShield上提供一系列的產(chǎn)品，vShield Edge是構(gòu)建安全的邊緣，vShield App是基于虛擬機(jī)里面的應(yīng)用，也是基于虛擬化這樣一個單位去做安全；vShield Endpoint進(jìn)行安全掃描等等。通過這個我們可以實(shí)現(xiàn)一些私有云的架構(gòu)，從而確保我們實(shí)現(xiàn)端到端云的安全
vShield Endpoint和我們業(yè)界所有安全廠商一起協(xié)作，我們提供一個類似界面，一個接口，大家可以在這個基礎(chǔ)上把他們的東西裝到安全的虛機(jī)里先去，這個安全的虛擬機(jī)是在每一個服務(wù)器上只要裝一個，這個服務(wù)器上面可能裝了30個虛擬機(jī)，不需要在每一個機(jī)器里面單獨(dú)的安裝防病毒、防入侵引擎，只需要在這個里面進(jìn)行安裝。這個安裝好了之后，從hypervisor監(jiān)控上面的所有數(shù)據(jù)流的安全，所有病毒的掃描，所有來避免任何惡意的一些攻擊。
當(dāng)然通過這種方式，這不僅適用于內(nèi)部云，也適用于外部云和混合云。和哪種云的架構(gòu)沒有關(guān)系，因?yàn)槭窃谝粋€服務(wù)器上面，無論哪種云可能都需要這種資源區(qū)構(gòu)建。有了VMsafe zone，通過它可以把這些安全的策略，跟著虛擬機(jī)去做遷移，這些虛擬機(jī)遷移的過程當(dāng)中，安全的策略沒有被破壞，我們不需要重新設(shè)計(jì)，從而形成一個安全策略跟著虛擬機(jī)的動態(tài)遷移進(jìn)行遷移，然后形成一個動態(tài)的、可控的、可管理的，基于策略的安全的策略，來滿足云計(jì)算的需求。
我們在vShield Edge，形成在VDC這樣一個級別，不是在某一個服務(wù)器上去確保它的一些安全策略的構(gòu)建，它的整個思路基本上形成一些資源池，端口組，這是怎么樣形成一個VDC，創(chuàng)建好了這個VDC之后，就會啟動一些服務(wù)，這就是vShield Edge，在這里面從內(nèi)部到外部，形成各種各樣的服務(wù)，這些服務(wù)都是原先我們在很多硬件上要去實(shí)現(xiàn)的，現(xiàn)在都是在hypervisor層次實(shí)現(xiàn)，可以看到有net，甚至有負(fù)載均衡。我們這個VDC取了一個名字叫做Org VDC，在里面創(chuàng)建它的一些安全的應(yīng)用，有了這些應(yīng)用之后，我們可以對vShield Edge進(jìn)行應(yīng)用保護(hù)，構(gòu)建授信區(qū)，在授信區(qū)里面裝vShield App，在這里面干各種各樣的事情，包括安全訪問控制等共享的服務(wù)，在共享服務(wù)基礎(chǔ)上創(chuàng)建內(nèi)部的授信區(qū)，形成一些內(nèi)部網(wǎng)絡(luò)，同時把這些虛擬機(jī)變成虛擬的應(yīng)用，通過vShield App形成它的整個安全的架構(gòu)。
也就是說整個VDC的構(gòu)建，變成可能我只需要幾分鐘的時間就可以完成，也就意味著通過這種方式去構(gòu)建一個很安全、很可靠的一個內(nèi)部云的組件也變得相當(dāng)?shù)姆奖悖僖膊恍枰獋鹘y(tǒng)的方式帶來的這兒要去定制，那兒要做很多集成的工作，這些過程都可以通過vShield這個家族去實(shí)現(xiàn)，而整個創(chuàng)建過程，實(shí)際上里面很多步驟。
通過這樣一個模組VDC，有了這個VDC，比如企業(yè)數(shù)據(jù)中心的VDC，企業(yè)桌面的VDC，因?yàn)樗麄傾PI，他們的接口是完全兼容的，意味著他們可以講同一種語言，中間就不需要做任何的翻譯，意味著將來我們?nèi)プ鰞?nèi)部云和外部云之間協(xié)同的時候，或者聯(lián)邦的時候，這之間就更方便。這個基礎(chǔ)都是在這里一同去構(gòu)建的。同時看到安全模組可以跨內(nèi)部云和外部云，來形成一個聯(lián)邦，不僅僅說我架構(gòu)怎么來建，安全的架構(gòu)也是跟隨這樣一個體系去構(gòu)建的。從VMware角度來說，云是一個旅程，云不是一蹴而就，也就是說你會讓天下一場雨不是那么簡單的，你會看到天上的云是慢慢增多，然后烏云密布，然后怎么樣在其中加一點(diǎn)催化劑，有時候?qū)嵲诓幌掠?，我們只好在里面搞一點(diǎn)人工降雨，慢慢的形成雨，雨往往剛開始慢慢下，然后越下越大，最后形成大到暴雨的過程，云也一樣，云往往也是在企業(yè)里面某一塊，比如某一個應(yīng)用，某一個部門先形成云，然后在這個基礎(chǔ)上積累經(jīng)驗(yàn)，慢慢擴(kuò)展到其他一些應(yīng)用，從邊緣應(yīng)用到核心應(yīng)用，到我們可能原先一直認(rèn)為這些應(yīng)用太關(guān)鍵，我們真的不敢往云上放，到后來我們大膽可以放到上面的這些應(yīng)用，包括今天我們看到不僅僅國外的用戶，國內(nèi)很多用戶已經(jīng)把他們的SAT等等這些應(yīng)用都放到上面來，而在云上的安全也是一個旅程。我們首先會形成積攢這些安全的模組，在構(gòu)建一個小的云架構(gòu)的時候，我們?nèi)?shí)踐這種安全，再去考驗(yàn)這種安全，再去積累安全的一些經(jīng)驗(yàn)，然后我們逐漸構(gòu)建一些授信的區(qū)域，可能我們只建一個區(qū)域的時候無所謂授信不授信，如果我們構(gòu)建很多的時候就會涉及到這一點(diǎn)。當(dāng)然我們慢慢的也會從我們的內(nèi)部云而擴(kuò)展到內(nèi)部云，內(nèi)外部云之間協(xié)同的時候，安全怎么樣有效的協(xié)同，構(gòu)建的是一個"安全的混合云"，安全的混合云最后是我們實(shí)現(xiàn)的一個終極目標(biāo)。這可能根據(jù)不同的企業(yè)，每一個階段需要停留的時間，需要學(xué)習(xí)的時間不一樣，但是任何的企業(yè)應(yīng)該都是沿著這個步驟一步步走下去，絕對不是一日之間，昨天是一個傳統(tǒng)的架構(gòu)，今天就變成了一個安全混合云的架構(gòu)，這是絕對做不到的。#p#
這中間大家怎么樣一步步走好這個路程，VMware在這里會一直支持中國的一些用戶往這方向去走。我們不僅僅在美國有龐大的研發(fā)體系，在中國，特別是在清華科技園，我們有很多清華的、北大的，有很多北郵電的，很多很聰明、很智慧的畢業(yè)生，都去構(gòu)建這一塊的安全體系。我們今天在清華科技園的研發(fā)人員已經(jīng)超過300人。2007年下半年我們開始招第一個人，到今天有300人，每年校園宣講也在吸引全國各高校人才來加入這個團(tuán)隊(duì)，我們同時也在做一些核心的開發(fā)，包括安全，包括云計(jì)算，包括虛擬桌面等等，這一切都給中國客戶足夠的信心，你在部署和實(shí)施的不是一個遙不可及開發(fā)出來的產(chǎn)品，我們在北京有我們的售后支持團(tuán)隊(duì)，同時也有我們的研發(fā)團(tuán)隊(duì)，來保證用戶從簡單的今天的數(shù)據(jù)中心架構(gòu)，轉(zhuǎn)變成安全的最終的混合云的架構(gòu)的旅程，一路平安和順利。謝謝！
提問：我有兩個問題，第一個問題，您講云計(jì)算的時候，舉了一個銀行的例子。到云計(jì)算里面我存的是信息，和銀行不一樣，您把銀行的例子用到信息例子里面，應(yīng)該會有一點(diǎn)變化。
張振倫：第一個問題是把很多錢放在銀行，大家是通用的一種東西，然后我把我的數(shù)據(jù)放到數(shù)據(jù)中心的時候，放到一個外部云的時候，這其中涉及到我的數(shù)據(jù)可能是不一樣的，對各個人的需求是不一樣的。這之間的比喻有類似之處，如果看銀行另外一個業(yè)務(wù)，就跟銀行的保險(xiǎn)柜一樣，可能放在保險(xiǎn)柜里的東西不一樣，有的放一張紙，有的放公司機(jī)密，有的放可口可樂的配方，這些機(jī)密放在銀行保險(xiǎn)柜里鎖著的，如果看銀行這一點(diǎn)業(yè)務(wù)，跟云計(jì)算有某種程度的類似，這中間絕對不是完全可以去比的，因?yàn)檫@之間畢竟有很多東西是不一樣的。但是有一點(diǎn)是一樣的，就是大家一定要有一個相應(yīng)的法規(guī)來確保。如果東西放到銀行，一旦銀行出了問題，銀行應(yīng)該有什么法律責(zé)任。如果把這個東西放到數(shù)據(jù)中心，一旦出了問題，數(shù)據(jù)中心應(yīng)該有什么樣的責(zé)任，這中間應(yīng)該有什么樣的條條框框，我可以做一些調(diào)查，有什么樣的法律來確保。
這為什么說你會看到在歐美一些國家，我們都知道IT外包，這個IT環(huán)境建好了，可能在我這兒，但是上班的人都是外面的人，不是我公司自己的人，但是這種模式在歐美很流行。大家可能都知道EDS公司，在歐美和臺灣做的很成功，然后到大陸來做得就很不成功，前幾年它已經(jīng)退出，基本上在大陸撤出。最后我問他們，他們在我們寶島臺灣做的業(yè)績是我們大陸好多倍。為什么臺灣都可以做到，大家都是中國人，都是炎黃子孫，這中間就是一些法律法規(guī)的差異，絕對不是我們技能上有什么差異，相信我們技能是很容易做到的。
第二個問題，我剛才聽了下午第一場VMware做的報(bào)告，我們從端到虛擬機(jī)，到應(yīng)用都做了相關(guān)的安全產(chǎn)品，通過您的演講，我覺得產(chǎn)品很有吸引力。但是我感覺我們把傳統(tǒng)網(wǎng)絡(luò)安全的產(chǎn)品做到虛擬化的時候，就把網(wǎng)絡(luò)層所有的安全手段放在hypervisor里，但是可能我認(rèn)為虛擬化機(jī)器和物理機(jī)器不一樣，hypervisor本來應(yīng)該做得小一點(diǎn)，做得更可信一點(diǎn)，但是如果把所有的放到hypervisor里面去以后，變得更復(fù)雜，整個對于虛擬化來說不見得是一件好事。我認(rèn)為虛擬化最重要的是，跟物理機(jī)器之間的關(guān)系，它的物理界限消除了，所以可能更關(guān)心虛擬化之后的服務(wù)之間的用戶的隔離，現(xiàn)在VMware安全架構(gòu)能夠適應(yīng)這種虛擬的嗎？
張振倫：您說的第二個問題，hypervisor在逐漸往里面加很多東西的時候，怎么樣確保hypervisor也是授信的，而且是一個可靠的組件。可以從兩個方面去看：1、你會看到原先傳統(tǒng)的hypervisor，有很多裝過的人說你們的hypervisor就是一個Linux。后來大家看到我們ESX又出了一個新的版本叫做ESXI，它只變成了幾十兆的東西。今天幾十兆的東西，一個hypervisor可以做到幾十兆，它的代碼量急劇的壓縮，它真正成為一個瘦的hypervisor。到今天只有VMware hypervisor做到幾十兆，同時我們在這里添加所有東西的時候，都沒有把所有的接口，所有的東西公布成誰都可以往里面加。在我們網(wǎng)站上提供很多東西，這個層次的hypervisor今天都是提供給誰，提供給一些大的軟件開發(fā)商，其中通過一些保密協(xié)議去確保。類似于今天看到英特爾它的CPU逐漸加劇很多功能，這個CPU也逐漸變得復(fù)雜。但是到今天為止我們看到都是在受控范圍之內(nèi)，我們并沒有把這個層次變成一個像OS層次，變成一個讓大家覺得安全上不授信的一個體系。所以我覺得在今天這個階段，看上去可能還沒有問題。當(dāng)然很多時候我們再去加的時候，是不是我們所有的都加在hypervisor里面，可以看到另外一個重要的趨勢，為什么講VM，實(shí)際上很多東西是加在VM里面，hypervisor只是加了一些簡單的調(diào)用在里面，一些文件在里面，而很多計(jì)算能力是在VM里面，這樣能確保我在hypervisor這個層次加的代碼盡可能的少，而使它的架構(gòu)不至于變成傳統(tǒng)OS模式，今天我們看到的趨勢也是很好的趨勢，我們沒看到這個變得越來越龐大，或者變得越來越不可控。
【編輯推薦】
