云计算下的安全探讨.ppt

* 数据安全是指因信息治理的要求而采取的特定控制措施和技术。可分解成三部分，涵盖检测和预防）数据在 云架构中的迁移，保护数据进入云以及在不同提供者/环境之间的传输，保护已在云中的数据。 5.6.1 检测和预防数据在云架构内的迁移 组织所面临的云架构内的共同挑战就是管理数据本身。许多组织称，通常既没有得到许可，也没有作 IT 或 安全通告，个人或业务单元就将敏感数据迁移到云设施上了。 除了传统的数据安全措施外（例如：访问控制或加密），还有两个步骤可帮助管理未经审批的数据向云服务 设施的迁移： 1. 使用数据活动监测(DAM) 和文件活动监测(FAM)来监控大量内部数据的迁移。 2. 使用 URL 过滤器和数据丢失保护DLP 等技术监控数据向云中迁移的过程 内部数据迁移 在数据迁移到云之前，必须先将数据从所在的存储库中移出。数据库活动监控器可以监测到管理员或者其他 用户在某个时刻将一个大数据集移出，或者做了一次数据库复制，而这可以表明有一次迁移正在发生。 文件活动监控器提供类似的文件库迁移保护，比如文件共享机制等 数据迁移到云通过一个 URL 过滤器（比如 web 内容安全网关）和数据丢失防护（DLP：Data Loss Prevention）的联合机制 可检测到有数据从企业环境迁移到云架构中。 URL 过滤器可以监控（和阻止）用户连接到云服务上，因为云服务的管理控制台通常与用户消费端位于不同 的地址，所以用户能够明确的分辨出究竟是未知的某人人访问到管理控制台，抑或是真实用户访问了由供应商托 管的应用程序。 与其寻找一个提供并持续更新的云服务清单的工具，还不如找到一个用于创建自定义类别及管理目标地址的 用户的工具。 对于更细粒度的数据迁移，需要使用数据丢失防护（DLP）。DLP 工具监测实际传输的数据/内容，而不是仅 对目标地址进行检查。因此用户就可进行基于数据分级的告警（或拦截）。例如，用户可仅允许将企业内部数据 迁移到一个获得许可的云服务中，而拦截将同样内容迁移到一个未经授权服务之上。 DLP 方案的一个介入点就是数据泄漏的检测成功与否。例如，当企业网络环境外外部的各种用户（例如，员 工、供应商、最终客户）进入企业边界时，是否绕过了任何DLP 解决方案，以此来确保云解决方案的可用性。 5.6.2 保护迁往云和在云内迁移的数据 在公共云和私有云部署方案中，无论什么服务模型，保护数据传输都是非常重要的。这数据传输过程包括： ? 数据从传统基础架构迁移到云供应商中，包括公有与私有之间转移，内部与外部之间转移，以及其他各 种组合。 ? 数据在云供应商之间的迁移。 ? 数据在既定的云内实例间（或者其他组件之间）迁移。. 有三种选项（或选择顺序）： 1. 客户端/应用程序加密。数据在终端或服务器端先加密，然后再通过网络传输，或者在已经以恰当的加密 格式存储。这既包括本地客户端（代理模式）加密机制（例如，针对存储文件）或者集成在应用程序之 中的加密机制。 2. 链路/网络加密模式。标准的网络加密技术包括 SSL、VPNs 和 SSH。既可以是硬件加密，也可以是软件加 密。实现端到端加密当然是首选，但并适用用所有架构。 3. 基于代理的加密。数据通过一个代理设备或服务器进行传输，数据在网络传输前完成加密。通常都是将 代理加密机制整合到原有的应用程序中，但我们并不推荐采用这种方式。 5.6.3 保护云内数据的安全 云计算之中包括了非常广泛的技术与措施，就安全选项而言，也无法做到面面俱到。下面介绍一些更实用的 技术与最佳实践，来保护各种云模型中的数全。 内容发现 内容发现指的是用于识别存储的敏感信息的工具和过程。它允许组织定义基于信息类型、结构或分类的策略， 然后使用先进的内容分析技术扫描存储数据，来确定其存储位置及是否策略违规。 内容发现一般来说是数据丢失防护 DLP 工具的特性之一，有时也会内置在数据库活动监视类 DAM 产品中。 扫描可通过文件共享的访问方式或操作系统上运行本地代理的访问方式进行。这种工具必须是“云感知”化的， 而且能够具备在云环境中有效工作的能力（如：能够扫描对象存储）。内容发现也可以一种可管理服务的形式存 在。 基础设施服务加密 .1 卷存储加密 卷加密可抵御如下风险： ? 保护卷免除快照克隆或泄漏风险 ? 保护卷免除被云供应商（和私有云管理员）而随意查看的风险 ? 保护卷免除物理硬盘丢失（这更像是一个实际发生的安全事件，而不是仅仅满足合规性要求那么简单） 而导致的信息泄漏风险 基础设施服务的数据卷可通过以下三种方式加密： ? 实例管理加密。这种加密引擎是在实例中运行，密钥被存放在卷中，并采用密