毀滅or新生 安全開啟英雄時(shí)代
時(shí)值年末，國(guó)內(nèi)主流專業(yè)技術(shù)網(wǎng)站、社交網(wǎng)站等爆發(fā)的群體性用戶數(shù)據(jù)泄漏事件，再一次將安全的等級(jí)提升到了前所未有的高度。一時(shí)間互聯(lián)網(wǎng)關(guān)于“拖庫”，“修改密碼熱潮”，充斥到網(wǎng)絡(luò)的各個(gè)角落，國(guó)內(nèi)用戶安全神經(jīng)的緊繃程度直逼當(dāng)年的“CIH”，“熊貓燒香”等重大安全事件爆發(fā)時(shí)的心里承受底線，而如此重大的數(shù)據(jù)泄漏事件相信一定會(huì)被載入中國(guó)安全發(fā)展的歷史。將2011年定義為數(shù)據(jù)安全年一點(diǎn)都不過分，一波接一波的安全陰霾會(huì)給2012乃至未來的安全發(fā)展帶來怎樣的深遠(yuǎn)影響。哪些復(fù)雜、手段更加隱蔽、方式更加多樣化的威脅會(huì)在2012年震動(dòng)IT的神經(jīng)?同時(shí)，屹立在安全潮頭的領(lǐng)航者們也不得不慨嘆“我們命該遇到這樣的時(shí)代”，哪些技術(shù)和產(chǎn)品能夠成為這個(gè)時(shí)代的弄潮兒，誰又會(huì)成為這個(gè)處于安全變革轉(zhuǎn)型期，威脅亂象叢生時(shí)代的“末世”英雄?ZDNet將與你一起從2012安全威脅的發(fā)展趨勢(shì)，安全技術(shù)和產(chǎn)品變革的方向，以及云計(jì)算安全的未來走向三個(gè)維度進(jìn)行探討。2012年安全無論是毀滅還是新生，都將開啟新的英雄時(shí)代。
CSDN網(wǎng)站600余萬用戶資料遭泄露，給眾多企業(yè)信息安全保障帶來恐慌
毀滅or新生——安全威脅篇
APT攻擊“橫掃千軍”
業(yè)界普遍認(rèn)為2010年的伊朗“震網(wǎng)”病毒事件，是APT的首例攻擊實(shí)例。然而今年年初，RSA公司遭受入侵，部分SecurID技術(shù)及客戶資料被竊取，這一被外界賦予神秘外衣的APT攻擊逐漸引起業(yè)界關(guān)注和討論。截至2011年10月，APT攻擊已在全球多個(gè)國(guó)家的政府和企業(yè)內(nèi)部發(fā)生，造成的損失難以預(yù)估。
2011年3月，RSA公司遭受入侵，部分SecurID技術(shù)及客戶資料被竊取。源于攻擊者給RSA的母公司EMC的4名員工發(fā)送了兩組惡意郵件
APT攻擊可以被看成是各種社會(huì)學(xué)攻擊與各類0day利用的綜合體，具有很強(qiáng)的針對(duì)性，攻擊觸發(fā)之前針對(duì)攻擊目標(biāo)收集大量關(guān)于業(yè)務(wù)流程和目標(biāo)系統(tǒng)使用情況等信息。這種攻擊和普通攻擊行為的差別體現(xiàn)在，APT出于經(jīng)濟(jì)或其他利益的動(dòng)機(jī)，會(huì)利用多種惡意軟件和黑客技術(shù)武裝自己，攻擊者愿意花時(shí)間和精力瓦解組織的防御能力。
我們發(fā)現(xiàn)，在APT極高的隱蔽性和目的性面前，大部分企業(yè)和組織的安全防御體系都失靈了。攻擊行為開始從亂槍打鳥向定向、目標(biāo)性攻擊演變，2012年以至未來，攻擊者為目標(biāo)定制的攻擊方式將逐漸顯現(xiàn)并且開始個(gè)性化。企業(yè)只有健全安全標(biāo)準(zhǔn)、安全流程與規(guī)范、員工培訓(xùn)等形式形成完善的安全防護(hù)體系，尤其是將“人與信息”納入防范機(jī)制，對(duì)抗目標(biāo)性攻擊。
社交媒體“所向披靡”
用“人類已經(jīng)阻止不了SNS了”這句話，來形容社交媒體的發(fā)展一點(diǎn)都不為過。一方面企業(yè)認(rèn)識(shí)到社交媒體帶來的價(jià)值，另一方面從國(guó)內(nèi)的開心網(wǎng)到微博的普及，企業(yè)和員工在得到便利的同時(shí)，也帶來了數(shù)據(jù)丟失、員工辦公效率和惡意軟件風(fēng)險(xiǎn)。2012年，社交媒體的資料將成為社會(huì)工程學(xué)攻擊的渠道。盜取信息的人利用社工技術(shù)迫使終端用戶公開敏感信息、下載惡意軟件。
另外，企業(yè)傳統(tǒng)應(yīng)用開始融入社交媒體的協(xié)作功能，這種趨勢(shì)將讓公司制定和實(shí)施政策并為更精確的控制制定新要求時(shí)更加復(fù)雜，IT主管的任務(wù)是如何保護(hù)網(wǎng)絡(luò)免遭黑客攻擊和保證生產(chǎn)率。企業(yè)在制定合情合理的用戶政策的同時(shí)，應(yīng)該監(jiān)督員工使用社交媒體的情況，保證他們遵守公司內(nèi)部政策，降低發(fā)生欺詐事件的概率。
邊界安全“強(qiáng)弩之末”
其實(shí)早在幾年前，就有人預(yù)測(cè)針對(duì)移動(dòng)終端攻擊時(shí)代的來臨。然而隨著今年包括智能手機(jī)、平板電腦等移動(dòng)設(shè)備的風(fēng)靡，越來越多的企業(yè)通過移動(dòng)終端的應(yīng)用來提高生產(chǎn)力。但是由于缺少對(duì)移動(dòng)設(shè)備的安全和管理手段，大范圍的攻擊在2011年爆發(fā)了。
無疑，2012年企業(yè)將會(huì)以更加開放的態(tài)度迎接移動(dòng)設(shè)備的接入，用戶在任何時(shí)間和地點(diǎn)接入企業(yè)網(wǎng)絡(luò)將會(huì)越來越明顯，這使傳統(tǒng)網(wǎng)絡(luò)安全防護(hù)的邊界逐漸模糊。CIO和IT經(jīng)理們對(duì)移動(dòng)設(shè)備談?wù)撟疃嗟目峙率瞧鋷淼木W(wǎng)絡(luò)危害、數(shù)據(jù)丟失和違法法規(guī)。并且可以預(yù)計(jì)的是，針對(duì)移動(dòng)定位服務(wù)來設(shè)計(jì)各種通過地理定位發(fā)起的社會(huì)工程學(xué)攻擊將會(huì)被越來越多的罪犯利用。移動(dòng)設(shè)備應(yīng)用功能趨于桌面計(jì)算機(jī)的同時(shí)，針對(duì)安全性的要求也要與PC的安全管理一視同仁。企業(yè)要建立移動(dòng)設(shè)備可接受的用法制度，并審計(jì)和監(jiān)視員工中移動(dòng)設(shè)備的活動(dòng)情況，來檢查安全策略的遵守情況。
云服務(wù)“云之罪”
隨著數(shù)據(jù)向云平臺(tái)轉(zhuǎn)移，網(wǎng)絡(luò)攻擊者和數(shù)據(jù)竊取者也將聞風(fēng)而至。最直接的威脅是竊賊從廠商用于存儲(chǔ)數(shù)據(jù)的服務(wù)器上竊取信息，遠(yuǎn)程操控、公司內(nèi)部人士或其他獲準(zhǔn)進(jìn)入數(shù)據(jù)中心的人員都有可能竊取，任何被竊數(shù)據(jù)都極有可能被非法復(fù)制。
另外值得注意的是，云服務(wù)帶給用戶按需的計(jì)算模式同時(shí)，也給網(wǎng)絡(luò)犯罪提供了大量的計(jì)算資源。這些資源具有強(qiáng)大的網(wǎng)絡(luò)攻擊性，并具有很強(qiáng)的破壞性。因?yàn)樵品?wù)的租金將越來越便宜，各種類別惡意代碼將會(huì)低成本的濫用在大多數(shù)合法的云服務(wù)上，這種合法的云服務(wù)將繼續(xù)被不同的網(wǎng)絡(luò)攻擊犯罪所利用。云供應(yīng)商應(yīng)該反思，以期更好的監(jiān)測(cè)系統(tǒng)消減利用云發(fā)動(dòng)的惡意攻擊。
搜索引擎“功與過”
搜索引擎擁有龐大的用戶群是毋庸置疑的，但它不僅是互聯(lián)網(wǎng)上最流行的應(yīng)用，也是惡意網(wǎng)絡(luò)的主要進(jìn)攻發(fā)起點(diǎn)。2011年上半年，搜索引擎中毒是最流行的惡意軟件載體。據(jù)某廠商的調(diào)查報(bào)告顯示，在近40%的所有惡意軟件事件中，搜索引擎/門戶網(wǎng)站是進(jìn)入惡意軟件交付網(wǎng)絡(luò)的切入點(diǎn)。
BlueCoat2011年中網(wǎng)絡(luò)安全報(bào)告顯示，搜索引擎中毒是最流行的惡意軟件載體
網(wǎng)絡(luò)罪犯根據(jù)新聞事件創(chuàng)造感染的搜索結(jié)果，把其作為發(fā)起攻擊的誘餌，然后通過數(shù)量巨大的用戶基數(shù)進(jìn)行傳播。尤其是2012年到來的倫敦奧運(yùn)會(huì)、美國(guó)總統(tǒng)大選以及瑪雅歷法、末日預(yù)告等熱點(diǎn)新聞和事件會(huì)被用來炮制誘餌，騙取用戶點(diǎn)擊惡意鏈接。只有通過更好的監(jiān)管搜索結(jié)果，才能避免成為惡意網(wǎng)絡(luò)的攻擊發(fā)起點(diǎn)。#p#
毀滅or新生——安全技術(shù)變革篇
下一代防火墻
2011年一開年，多家廠商不約而同的開始對(duì)下一代防火墻(NGFW)齊發(fā)力。銳捷網(wǎng)絡(luò)、梭子魚、深信服陸續(xù)在國(guó)內(nèi)發(fā)布下一代防火墻產(chǎn)品，加上耕耘已久的SonicWALL、juniper、CheckPoint等廠商，這個(gè)在2009年Gartner定義的來形容防火墻進(jìn)化發(fā)展的產(chǎn)品開始進(jìn)入IT經(jīng)理們的視野。
ZDNet安全頻道曾在9月份重點(diǎn)專題報(bào)道：下一代防火墻能否笑傲江湖
雖然NGFW沒有統(tǒng)一的標(biāo)準(zhǔn)，各家廠商對(duì)NGFW的發(fā)展訴求是一致的，把傳統(tǒng)防火墻將訪問控制對(duì)象從網(wǎng)絡(luò)層、傳輸層(L3-L4)調(diào)整為應(yīng)用層(L7)協(xié)議，并能夠識(shí)別用戶、應(yīng)用和內(nèi)容，具備完整的安全防護(hù)能力的高性能下一代防火墻。
對(duì)于用戶而言，要的不僅是高性能、多功能的安全產(chǎn)品，在面對(duì)威脅時(shí)，一款定位于邊界防御的安全產(chǎn)品能否表現(xiàn)出穩(wěn)定和高可靠性至關(guān)重要。會(huì)不會(huì)和當(dāng)時(shí)UTM推出一樣，是一些安全產(chǎn)品或功能的疊加，這有待市場(chǎng)的檢驗(yàn)。但長(zhǎng)期來看，NGFW代表了未來綜合安全網(wǎng)關(guān)的發(fā)展方向，國(guó)內(nèi)其他FW、UTM等廠商在2012年也會(huì)改進(jìn)現(xiàn)有產(chǎn)品線以符合NGFW方向。技術(shù)上也將不斷發(fā)展和規(guī)范，在市場(chǎng)逐步接受的同時(shí)，NGFW的統(tǒng)一標(biāo)準(zhǔn)也會(huì)期待推出。
下一代IPS
Gartner在今年10月份發(fā)布題目為《定義下一代網(wǎng)絡(luò)入侵防御DefiningNext-GenerationNetworkIntrusionPrevention》的報(bào)告指出，“未來的威脅將集中在將目標(biāo)惡意程序安裝于用戶的PC，采用先進(jìn)的技術(shù)躲避檢測(cè)并使用僵尸網(wǎng)絡(luò)傳遞機(jī)制實(shí)施多級(jí)攻擊。在這樣的環(huán)境下，只簡(jiǎn)單地阻止針對(duì)未修補(bǔ)服務(wù)器的攻擊時(shí)遠(yuǎn)遠(yuǎn)不夠的。”
Gartner使用‘下一代網(wǎng)絡(luò)IPS(next-generationnetworkIPS)’這一術(shù)語來表示網(wǎng)絡(luò)IPS需要不斷發(fā)展，以應(yīng)對(duì)網(wǎng)絡(luò)通信和應(yīng)用程序以及安全態(tài)勢(shì)的變化。除具備標(biāo)準(zhǔn)的第一代IPS功能外，下一代IPS至少還擁有應(yīng)用程序感知、背景感知、內(nèi)容感知，提供全套堆棧檢測(cè)。
10月12日，邁克菲就宣布推出其網(wǎng)絡(luò)安全架構(gòu)，稱該架構(gòu)將先進(jìn)的網(wǎng)絡(luò)入侵防御與下一代核心控制功能相集成。也許你會(huì)覺得下一代防火墻剛耳熟，下一代IPS又鉆進(jìn)視野，到底是概念炒作還是真有其用?誰能代表安全產(chǎn)品的明天?無論怎樣，只有滿足客戶需求，在實(shí)際使用中可以提供良好效率和安全性的產(chǎn)品才是王者。但根據(jù)安全圈子的規(guī)律，明年會(huì)有更多的廠商跟進(jìn)推出類下一代IPS產(chǎn)品。
安全運(yùn)維SOC
SOC作為一個(gè)舶來詞，并沒有形成統(tǒng)一的定義。某媒體調(diào)查顯示，在用戶對(duì)SOC的認(rèn)知程度調(diào)查上，調(diào)研結(jié)果比較讓人驚訝，僅有6.6%的用戶表示對(duì)SOC安全運(yùn)維管理很熟悉。57%的用戶了解一點(diǎn)兒。而高達(dá)36.4%的用戶不了解。但是，安全管理的需求卻很突出，市場(chǎng)亟需培育。
SOC安全運(yùn)維管理平臺(tái)致力于將目前信息系統(tǒng)中各類數(shù)據(jù)孤立分析的形態(tài)轉(zhuǎn)變?yōu)橹悄艿年P(guān)聯(lián)分析，并借助整個(gè)平臺(tái)，實(shí)現(xiàn)技術(shù)人員(維護(hù)人員、應(yīng)急小組)、操作過程(相應(yīng)的管理制度和事件處理流程)和技術(shù)三者的融合。解決海量數(shù)據(jù)和信息孤島的困擾，整體上簡(jiǎn)化安全管理的數(shù)據(jù)模型。
在安全防御無邊界的今天，安全意識(shí)與體系推廣顯得尤為重要。如果云安全技術(shù)將所有人都加入到了安全防護(hù)中來，那么SOC就做到了從信息的源頭杜絕了威脅的發(fā)生。在未來，SOC管理理念將與云安全等新技術(shù)有機(jī)結(jié)合，更好地服務(wù)于行業(yè)用戶的安全運(yùn)維管理。
可信云計(jì)算
業(yè)界預(yù)測(cè)明年將會(huì)有更多的企業(yè)從觀望轉(zhuǎn)向真正采用云服務(wù)。但在云技術(shù)當(dāng)中，數(shù)據(jù)的移動(dòng)、存儲(chǔ)和訪問都和以往不同，多數(shù)CIO在考慮企業(yè)數(shù)據(jù)和信息遷移到云端時(shí)，對(duì)云計(jì)算缺乏可信，成為云服務(wù)更廣泛采用的絆腳石。
我們看到2011年，以RSA為首的安全廠商開始倡導(dǎo)可信云計(jì)算的重要性。確實(shí)，IT主管們只有覺得向云端遷移就像向銀行存款一樣放心，才會(huì)到云普遍應(yīng)用的那一天。這需要企業(yè)對(duì)云信任的幾個(gè)因素：可視性、控制性和法規(guī)遵從。2012年，不論是云供應(yīng)商還是第三方機(jī)構(gòu)都會(huì)有更多的產(chǎn)品或技術(shù)證明企業(yè)的數(shù)據(jù)在云服務(wù)環(huán)境中得到了很好的保護(hù)。同時(shí)，更加完善的數(shù)據(jù)訪問策略和機(jī)制保證企業(yè)對(duì)云環(huán)境的控制。并且，在遷移云環(huán)境之后，企業(yè)要像以前一樣滿足政策監(jiān)管規(guī)定和企業(yè)內(nèi)部的合規(guī)性。要達(dá)到這些要求，需要身份安全的強(qiáng)認(rèn)證機(jī)制、保護(hù)基礎(chǔ)架構(gòu)的安全技術(shù)、以及數(shù)據(jù)加密和丟失防護(hù)的技術(shù)，這在明年會(huì)有較多的廠商跟進(jìn)和投入使用。
高級(jí)安全系統(tǒng)
隨著數(shù)據(jù)存儲(chǔ)系統(tǒng)、計(jì)算能力和分析能力方面的進(jìn)步，信息安全管理的大數(shù)據(jù)時(shí)代已經(jīng)到來。企業(yè)的安全團(tuán)隊(duì)需要迅速甄別出內(nèi)部的威脅，保護(hù)信息資產(chǎn)，隔離基礎(chǔ)設(shè)施受損部分，從而消除攻擊威脅。信息安全必須從現(xiàn)有的常規(guī)和不協(xié)調(diào)的靜態(tài)單點(diǎn)產(chǎn)品陣容，向更高級(jí)的安全系統(tǒng)發(fā)展。
RSA執(zhí)行主席亞瑟?科維洛在RSA2011大會(huì)上表示，面對(duì)新的威脅局面，過去的信息安全技術(shù)已經(jīng)疲于應(yīng)付，并歸納了未來高級(jí)安全系統(tǒng)所要具備的基本特征
這要求高級(jí)安全系統(tǒng)需要具備幾個(gè)特征，首先是一個(gè)治理、風(fēng)險(xiǎn)和法規(guī)遵從框架，讓企業(yè)可以快速響應(yīng)缺陷和漏洞，對(duì)合規(guī)要求進(jìn)行報(bào)告;必須具備靈活性，更智能的發(fā)現(xiàn)和阻止復(fù)雜攻擊必需的感知能力和能見度。大型企業(yè)往往有相關(guān)的技術(shù)和能力，建立高級(jí)的安全管理系統(tǒng)。但隨著時(shí)間的推移，中小企業(yè)未必能跟上威脅發(fā)展的步伐，供應(yīng)商要確保為中小企業(yè)提供安全的能力。#p#
毀滅or新生——云計(jì)算安全篇
云計(jì)算安全標(biāo)準(zhǔn)兼容法規(guī)呼之欲出
眾所周知，云計(jì)算缺乏統(tǒng)一的標(biāo)準(zhǔn)，比如數(shù)據(jù)存放在哪里，云計(jì)算供應(yīng)商是否滿足當(dāng)?shù)卣囊蠛托袠I(yè)標(biāo)準(zhǔn)等等。同樣云計(jì)算安全也面臨同樣的問題，企業(yè)一旦從云計(jì)算供應(yīng)商那里選擇服務(wù)，那么信息與數(shù)據(jù)的安全如何規(guī)避風(fēng)險(xiǎn)?
關(guān)鍵的問題之一就是全球化的兼容性法規(guī)的制定，如果要充分發(fā)揮云計(jì)算的優(yōu)勢(shì)，為了實(shí)現(xiàn)彈性資源的收放自如，降低成本。那么眾多的云提供商就要與政府一起合作，制定標(biāo)準(zhǔn)的針對(duì)數(shù)據(jù)、隱私方面的共同標(biāo)準(zhǔn)。包括考慮功能、司法和合同幾方面的問題，比如政府管理法案和制度對(duì)于云計(jì)算服務(wù)、利益相關(guān)者和數(shù)據(jù)資產(chǎn)的影響等等。
另外，在云計(jì)算環(huán)境如何通過執(zhí)行安全策略和相關(guān)法規(guī)來保證企業(yè)自身的合規(guī)性也十分重要，比如與云供應(yīng)商明確在合規(guī)責(zé)任上的區(qū)別，云提供商合規(guī)方面的能力等等。
總之，未來全球范圍內(nèi)法律對(duì)合規(guī)的需求使得法律人士和技術(shù)專家需要更密切的配合，這一點(diǎn)在云計(jì)算中顯得尤為突出，原因在于云特有的分布式生態(tài)環(huán)境產(chǎn)生了潛在的法律風(fēng)險(xiǎn)。
云安全聯(lián)盟(CSA)發(fā)布云安全指南新版本3.0，目前中文版還未推出
云計(jì)算安全服務(wù)變革蓄勢(shì)待發(fā)
據(jù)Gartner預(yù)測(cè)，云計(jì)算安全服務(wù)占據(jù)了安全服務(wù)市場(chǎng)20%的份額，預(yù)期到2013年將會(huì)占到60%的份額。以云計(jì)算方式提供的安全應(yīng)用服務(wù)，在2013年將會(huì)增長(zhǎng)三倍。隨著企業(yè)成本控制因素在企業(yè)IT采購(gòu)中所占到的比重越來越大?；诎踩珡S商自身強(qiáng)大云安全平臺(tái)為基礎(chǔ)的云計(jì)算安全服務(wù)，將給安全產(chǎn)業(yè)帶來全新的改變。
云計(jì)算安全服務(wù)供應(yīng)商將安全控制及功能提供給企業(yè)，為企業(yè)提供極具成本效益的技術(shù)和服務(wù)，比如身份認(rèn)證、DLP、漏洞管理、Web安全等服務(wù)。
因?yàn)樵朴?jì)算的特性是資源按需提供，靈活極具彈性。企業(yè)可根據(jù)需要隨時(shí)增減安全功能，對(duì)企業(yè)評(píng)估安全開始的有效性。如果企業(yè)對(duì)目前安全架構(gòu)的有效性存在疑惑，或沒有能力短期內(nèi)完成自身安全架構(gòu)的建設(shè)，則完全可以選擇云計(jì)算安全服務(wù)保障企業(yè)Web、郵件等系統(tǒng)的安全性。云計(jì)算安全服務(wù)能以快速、符合不同企業(yè)規(guī)模的方式按需定制。而隨著又更多的提供云安全服務(wù)的廠商加入競(jìng)爭(zhēng)，企業(yè)選擇云安全服務(wù)的門檻也將降低，將給企業(yè)帶來更高的價(jià)值。
企業(yè)可以選擇讓自己購(gòu)買的安全設(shè)備真正發(fā)揮作用。也可以在安全即服務(wù)的模式下，將關(guān)注點(diǎn)從日常的安全運(yùn)維轉(zhuǎn)到業(yè)務(wù)的運(yùn)營(yíng)。
虛擬化安全進(jìn)入高速發(fā)展期
從虛擬化到數(shù)據(jù)中心，再到云計(jì)算。雖然對(duì)云計(jì)算的定義存在千差萬別，但公認(rèn)的是云計(jì)算一定要做資源池，所以虛擬化在云計(jì)算中始終扮演舉足輕重的角色。如何實(shí)現(xiàn)虛擬化的安全是所有企業(yè)步入云計(jì)算的首要擔(dān)心元素。從物理走到彈性環(huán)境如何控制?虛擬機(jī)如何實(shí)現(xiàn)安全管理?
虛擬化安全經(jīng)過緩慢的起步之后，眾多的廠商紛紛在虛擬化安全控制和管理方面取得了進(jìn)步，為防火墻、入侵防御提供虛擬設(shè)備選擇，將迎來新一輪的高速發(fā)展期。根據(jù)Technavio的調(diào)查顯示，預(yù)計(jì)在2014年虛擬化安全管理解決方案的市場(chǎng)規(guī)模將達(dá)到15.73億美元，年復(fù)合成長(zhǎng)率將高達(dá)46.9%。
因?yàn)樵朴?jì)算服務(wù)選擇了虛擬化技術(shù)，那么虛擬機(jī)間的隔離和安全防護(hù)是必須要考慮的。虛擬通信流量對(duì)標(biāo)準(zhǔn)網(wǎng)絡(luò)安全控制來說是不可見的，無法對(duì)其進(jìn)行監(jiān)控和檢測(cè)，那么安全控制功能需要在虛擬化環(huán)境中采用新的技術(shù)和手段。同時(shí)數(shù)據(jù)和資源的集中到底是否安全?以及不同安全級(jí)別虛擬機(jī)該如何共存?等問題將得到更有效的解決。
另外以虛擬化為重點(diǎn)的基于軟件的安全控制和管理解決方案將在未來得到企業(yè)的認(rèn)可，雖然目前這一趨勢(shì)還存在著不確定性，市場(chǎng)規(guī)模也有限，但比硬件成本要低的軟件誰不愿意選擇呢?
云計(jì)算能否邁過數(shù)據(jù)安全這道坎
從安全角度看，大數(shù)據(jù)是指規(guī)模和格式前所未有的大量數(shù)據(jù)，搜集自企業(yè)的各個(gè)部分，互相關(guān)聯(lián)，以便進(jìn)行高速分析。隨著數(shù)據(jù)存儲(chǔ)系統(tǒng)、計(jì)算能力和分析能力方面的進(jìn)步，數(shù)據(jù)安全管理的大數(shù)據(jù)時(shí)代已經(jīng)到來，那么云計(jì)算必須邁過數(shù)據(jù)安全這道坎。據(jù)早先一份調(diào)查顯示，21%的受訪者擔(dān)心云計(jì)算會(huì)產(chǎn)生數(shù)據(jù)丟失。20%的人拒絕使用云服務(wù)，因?yàn)樗麄儗?duì)數(shù)據(jù)安全心懷疑慮，而這樣的憂慮在中國(guó)更為突出。
虛擬化安全和數(shù)據(jù)安全是云計(jì)算安全防護(hù)的重點(diǎn)。2011年企業(yè)數(shù)據(jù)安全成了重災(zāi)區(qū)，這無疑給企業(yè)放心的將企業(yè)數(shù)據(jù)放入云端埋下了伏筆。2012年云計(jì)算能否邁過這道坎，成了擺在企業(yè)面前的實(shí)際問題。云計(jì)算產(chǎn)業(yè)的發(fā)展必須克服數(shù)據(jù)加密、遷移、備份、數(shù)據(jù)傳輸安全等方面的問題。
不論企業(yè)數(shù)據(jù)放在云端或本地，或是是企業(yè)選擇私有云模式還是公有云模式，安全問題都是需要考慮的。需要評(píng)估數(shù)據(jù)的風(fēng)險(xiǎn)和合規(guī)性，當(dāng)然如果企業(yè)數(shù)據(jù)在自己的數(shù)據(jù)中心不需要考慮這方面的因素，那么一旦進(jìn)入公有云這樣的問題就變得完全不一樣了，需要關(guān)注數(shù)據(jù)隱私保護(hù)、數(shù)據(jù)歸屬、服務(wù)協(xié)議保障(SLA)、數(shù)據(jù)完整性、數(shù)據(jù)刪除和持續(xù)性、不同數(shù)據(jù)的混合等等諸多問題。
可以預(yù)見是針對(duì)企業(yè)數(shù)據(jù)的高持續(xù)性安全威脅，將在2012年來的更加兇猛，因?yàn)樵絹碓蕉嗟钠髽I(yè)意識(shí)到云計(jì)算的大勢(shì)所趨，盡快選擇已使然，而數(shù)據(jù)安全的階段性瓶頸而又不得不面對(duì)，這就給了云計(jì)算犯罪更多的利益驅(qū)動(dòng)力。所以確保數(shù)據(jù)安全在未來，依然是云計(jì)算取信于用戶的關(guān)鍵，而關(guān)鍵數(shù)據(jù)的安全性是企業(yè)業(yè)務(wù)正常運(yùn)轉(zhuǎn)的保障，所以針對(duì)關(guān)鍵和敏感數(shù)據(jù)安全的解決方案和策略對(duì)企業(yè)至關(guān)重要。
安全成云計(jì)算可管理性重要指標(biāo)
云計(jì)算是顛覆性的概念，對(duì)所有領(lǐng)域而言都是全新的，不可能一蹴而就的。邁進(jìn)云計(jì)算將面臨不同數(shù)據(jù)，不同資源的整合，如何區(qū)分?jǐn)?shù)據(jù)，如何保證正確的人有正確的權(quán)限訪問合適的數(shù)據(jù)和資源，將變的越來越重要。而目前的狀況是還存在很多的數(shù)據(jù)和資源無法進(jìn)行物理的控制，這就給安全帶來了全新的思考。
安全已經(jīng)逐漸成為衡量云計(jì)算可管理性的重要標(biāo)準(zhǔn)，管理包括企業(yè)風(fēng)險(xiǎn)管理、信息風(fēng)險(xiǎn)管理、第三方機(jī)構(gòu)對(duì)云提供商提供管理、信息生命周期管理、加密和密鑰管理和身份和訪問管理等等。
比如企業(yè)風(fēng)險(xiǎn)管理的最佳實(shí)踐。許多云計(jì)算部署中缺少對(duì)基礎(chǔ)設(shè)施的物理控制，因此與傳統(tǒng)的企業(yè)擁有基礎(chǔ)設(shè)施相比，服務(wù)水平協(xié)議(SLA)、合同需求及提供商文檔化在風(fēng)險(xiǎn)管理中會(huì)扮演更重要的角色。
比如信息風(fēng)險(xiǎn)管理，需要成熟模型評(píng)估管理的有效性，對(duì)與企業(yè)選擇不同的云計(jì)算模式時(shí)，企業(yè)都需要知道信息的采集、流程、分析等要求。身份和訪問管理利用目錄服務(wù)來管理身份，提供訪問控制能力，企業(yè)將身份管理擴(kuò)展進(jìn)云中遇到的問題等。這些管理層面問題不再展開討論。
【編輯推薦】
