◆肖紅威
(中國移動(dòng)通信集團(tuán)湖北有限公司襄陽云計(jì)算中心 湖北 441000)
隨著企業(yè)信息應(yīng)用逐漸云化,信息資源通過云計(jì)算手段,使用效率大大提高,但與此同時(shí),企業(yè)信息安全問題也面臨著更加復(fù)雜多變的挑戰(zhàn)。其中數(shù)據(jù)泄露問題日益突出,數(shù)據(jù)泄露問題內(nèi)外部均可能引發(fā),涉及人為和技術(shù)兩方面。云時(shí)代下企業(yè)面臨的數(shù)據(jù)泄漏問題風(fēng)險(xiǎn)極其嚴(yán)峻、不容樂觀,主要表現(xiàn)在幾個(gè)方面:數(shù)據(jù)的集中帶來泄漏風(fēng)險(xiǎn)增加;人員和數(shù)據(jù)接觸方式復(fù)雜;開發(fā)、測(cè)試和運(yùn)營環(huán)境混用;數(shù)據(jù)安全防護(hù)機(jī)制不健全。
在云時(shí)代下,數(shù)據(jù)防泄漏是一個(gè)系統(tǒng)工程,需要將人、設(shè)備、技術(shù)、制度、環(huán)境、供應(yīng)商等多方因素統(tǒng)一組織起來,進(jìn)行科學(xué)組合和研究,構(gòu)建以企業(yè)價(jià)值為核心的數(shù)據(jù)安全防護(hù)體系,從外網(wǎng)到內(nèi)網(wǎng)、從企業(yè)網(wǎng)到云資源池、從供應(yīng)鏈上游到下游的業(yè)務(wù)數(shù)據(jù)流進(jìn)行防泄漏保護(hù),對(duì)泄密行為提前遏制,實(shí)現(xiàn)全網(wǎng)協(xié)調(diào)監(jiān)控,減低企業(yè)風(fēng)險(xiǎn)成本,提高泄露防護(hù)能力。
在現(xiàn)代企業(yè)的經(jīng)營管理中,數(shù)據(jù)不僅運(yùn)用在人力財(cái)務(wù)方面,從研發(fā)到采購、生產(chǎn)、物流、營銷等一系列環(huán)節(jié)上產(chǎn)生數(shù)據(jù)并發(fā)揮其作用,數(shù)據(jù)成為企業(yè)的重要工具、寶貴資源。隨著大數(shù)據(jù)、云計(jì)算、人工智能等技術(shù)的發(fā)展,企業(yè)對(duì)數(shù)據(jù)管理要求越來越高,不僅需要對(duì)多樣化的數(shù)據(jù)進(jìn)行有效整合,還需要對(duì)數(shù)據(jù)進(jìn)行實(shí)時(shí)分析、根據(jù)數(shù)據(jù)開展決策工作等。數(shù)據(jù)管理技術(shù)成為企業(yè)在激烈競爭環(huán)節(jié)中取勝的要素之一。
得益于云計(jì)算時(shí)代的技術(shù)發(fā)展,數(shù)據(jù)管理技術(shù)可對(duì)龐大的數(shù)據(jù)信息進(jìn)行處理和分析,并且其管理性特點(diǎn)突出、操作友好便捷,同時(shí)擴(kuò)展性與存儲(chǔ)性能力提升。企業(yè)會(huì)更注重對(duì)各類資源的細(xì)節(jié)處理;同時(shí),對(duì)數(shù)據(jù)進(jìn)行自動(dòng)化排查和更換處理,進(jìn)而保障數(shù)據(jù)處理與分析統(tǒng)一化,最終實(shí)現(xiàn)企業(yè)一體化平臺(tái)建設(shè)與發(fā)展。
雖然云計(jì)算下的數(shù)據(jù)管理技術(shù)逐步發(fā)展,但仍然存在數(shù)據(jù)泄密等安全性問題。云數(shù)據(jù)的儲(chǔ)存和安全主要由云服務(wù)提供商負(fù)責(zé),對(duì)于企業(yè)用戶來說,這一方面降低了企業(yè)投入成本,無須搭建平臺(tái)即可享受云服務(wù)。但云模式架構(gòu)存在多用戶使用及抽象控制等挑戰(zhàn),云上數(shù)據(jù)有些部分涉密,保障數(shù)據(jù)安全,對(duì)于企業(yè)立足與長遠(yuǎn)發(fā)展至關(guān)重要。
數(shù)據(jù)泄露原因可分為人員、技術(shù)、外部環(huán)境三個(gè)層面:
在人員層面,企業(yè)仍然缺乏對(duì)數(shù)據(jù)安全理解和認(rèn)識(shí)。企業(yè)在數(shù)據(jù)安全方面投入往往僅為滿足基本需求,而不是以保護(hù)數(shù)據(jù)安全為出發(fā)點(diǎn),數(shù)據(jù)安全目標(biāo)沒有進(jìn)入企業(yè)戰(zhàn)略或章程中。許多員工并不了解他們正在使用的數(shù)據(jù)的價(jià)值所在,并錯(cuò)誤地以為數(shù)據(jù)安全是由專人負(fù)責(zé)的,以及未充分認(rèn)識(shí)到自己也是企業(yè)數(shù)據(jù)安全中的重要角色;同時(shí)員工對(duì)便利性的需求遠(yuǎn)勝于安全,為了工作效率而輕視安全問題。
在技術(shù)層面,企業(yè)數(shù)據(jù)的訪問控制手段落后或不健全是發(fā)生泄露事件最常見原因,主要體現(xiàn)在簡單身份認(rèn)證體系、弱口令和簡單的密鑰或證書系統(tǒng),不規(guī)范的角色權(quán)限、臟賬號(hào)信息。未經(jīng)過數(shù)據(jù)安全評(píng)估的接口和API,可能非法調(diào)用各類云資源或服務(wù),在系統(tǒng)上打開了數(shù)據(jù)泄露的后門。企業(yè)系統(tǒng)本身漏洞或程序中的安全缺陷,一旦云化之后,共享內(nèi)存、數(shù)據(jù)庫以及其他的鄰近資源產(chǎn)生了新的攻擊面,數(shù)據(jù)泄露問題更加嚴(yán)重。
在外部環(huán)境層面,上下游合作伙伴會(huì)共享企業(yè)的一些數(shù)據(jù),合作伙伴的信息安全問題也會(huì)牽涉到企業(yè)數(shù)據(jù)泄露。其中云服務(wù)提供商擔(dān)當(dāng)了重要角色,共享基礎(chǔ)設(shè)施、共享平臺(tái)、共享應(yīng)用環(huán)境中的漏洞波及每個(gè)企業(yè)客戶。黑客利用云環(huán)境中存在的漏洞,可以進(jìn)行竊取活動(dòng)、操作業(yè)務(wù)和修改數(shù)據(jù)從而增加攻擊面,也可使用云服務(wù)發(fā)起其他對(duì)外的攻擊,最終導(dǎo)致泄密。
數(shù)據(jù)泄漏是一個(gè)逐步的過程,從企業(yè)數(shù)據(jù)生成的源頭逐漸向外擴(kuò)散,通常最終由非授權(quán)用戶通過不同的邊界途徑傳播到企業(yè)無法控制的外部環(huán)境,從而造成數(shù)據(jù)泄漏。數(shù)據(jù)泄漏過程的關(guān)鍵環(huán)節(jié)是:核心數(shù)據(jù)->人->邊界。數(shù)據(jù)源于企業(yè)各類系統(tǒng),數(shù)據(jù)的下載和傳播都是人為操作,都需要通過邊界(網(wǎng)絡(luò)、終端、虛擬化等物理邊界和邏輯邊界)進(jìn)行外泄。
企業(yè)開展各類生產(chǎn)經(jīng)營活動(dòng)會(huì)產(chǎn)生大量核心數(shù)據(jù),而這些核心數(shù)據(jù)是企業(yè)寶貴資源,主要包括財(cái)務(wù)數(shù)據(jù)、人力數(shù)據(jù)、生產(chǎn)和技術(shù)信息、客戶及銷售信息等。
在云時(shí)代下,企業(yè)往往會(huì)采用IT手段管理,主要包括數(shù)據(jù)接入、數(shù)據(jù)處理、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)傳輸,人在各環(huán)節(jié)中發(fā)揮至關(guān)重要作用。若員工在崗位上不能對(duì)數(shù)據(jù)防護(hù)盡職盡責(zé),數(shù)據(jù)就會(huì)在有意或無意中泄露,特別是在云時(shí)代下,應(yīng)設(shè)置合理的人員責(zé)任矩陣,實(shí)現(xiàn)數(shù)據(jù)訪問的最小授權(quán)。
同時(shí),虛擬化和云計(jì)算技術(shù)的采用,將改變現(xiàn)有傳統(tǒng)IT的體系架構(gòu),從物理邊界逐步發(fā)展到邏輯邊界,存儲(chǔ)虛擬化、網(wǎng)絡(luò)虛擬化、服務(wù)器虛擬化、終端桌面虛擬化等,防護(hù)邊界更加模糊,網(wǎng)絡(luò)攻擊、病毒木馬的攻擊更加泛濫。企業(yè)邊界防護(hù)面臨更大的挑戰(zhàn),隨時(shí)出現(xiàn)邊界崩潰問題。
云時(shí)代的到來,對(duì)企業(yè)IT安全提出了新的規(guī)范要求,企業(yè)雖然可以照搬過去的安全模式,但現(xiàn)在的部分安全責(zé)任必須倚仗合作伙伴。
在保護(hù)云中的數(shù)據(jù)時(shí),企業(yè)用戶采用不同的云服務(wù)商,雙方的安全責(zé)任也不同。使用IaaS服務(wù)時(shí),服務(wù)提供商管理設(shè)施、數(shù)據(jù)中心、網(wǎng)絡(luò)接口、處理和管理程序,企業(yè)用戶負(fù)責(zé)虛擬網(wǎng)絡(luò)、虛擬機(jī)、操作系統(tǒng)、中間件、應(yīng)用程序、界面和數(shù)據(jù)。使用PaaS服務(wù)時(shí),虛擬網(wǎng)絡(luò)、虛擬機(jī)、操作系統(tǒng)和中間件增加到服務(wù)提供商的職責(zé)中,企業(yè)用戶仍負(fù)責(zé)保護(hù)和管理應(yīng)用程序、界面和數(shù)據(jù)。使用SaaS服務(wù)時(shí),除界面和數(shù)據(jù)之外的所有內(nèi)容的責(zé)任都移交給服務(wù)提供商。
隨著數(shù)據(jù)不斷移到云端,企業(yè)用戶有責(zé)任確保自身符合安全、監(jiān)管和合規(guī)要求,因此建立云安全責(zé)任矩陣,為企業(yè)和每個(gè)供應(yīng)商(包括云計(jì)算服務(wù)提供商)定義安全角色和職責(zé),是企業(yè)和供應(yīng)商共同的必然選擇。
無論IaaS、PaaS到SaaS,對(duì)于云企業(yè)用戶來講,數(shù)據(jù)安全防護(hù)是始終要面對(duì)的一個(gè)很重要的問題。企業(yè)IT系統(tǒng)安全機(jī)制非常重要,保障數(shù)據(jù)的安全性,需要采取技術(shù)措施,包括數(shù)據(jù)防錯(cuò)和嚴(yán)防非法入侵。
數(shù)據(jù)存儲(chǔ)方面,應(yīng)對(duì)分配的數(shù)據(jù)卷實(shí)施加密,以防卷被快照克隆或出現(xiàn)數(shù)據(jù)泄露的風(fēng)險(xiǎn);對(duì)象存儲(chǔ)服務(wù)提供加密功能,防止數(shù)據(jù)被非法篡改或泄露。數(shù)據(jù)傳輸方面,采用網(wǎng)絡(luò)傳輸加密技術(shù),保證網(wǎng)絡(luò)傳輸數(shù)據(jù)信息的機(jī)密性、完整性、可用性,包括不同主機(jī)的虛擬機(jī)間的、虛擬機(jī)與存儲(chǔ)資源間以及主機(jī)與網(wǎng)絡(luò)設(shè)備間的加密傳輸。數(shù)據(jù)遷移方面,采用客戶端/應(yīng)用程序加密、代理加密、鏈路/網(wǎng)絡(luò)加密模式,可以防止用戶數(shù)據(jù)在虛擬機(jī)遷移過程中被竊聽而泄露。
數(shù)據(jù)訪問控制方面,應(yīng)對(duì)所有接入用戶提供身份認(rèn)證,防止未授權(quán)的訪問;針對(duì)云平臺(tái)對(duì)外提供的接口應(yīng)定期進(jìn)行安全評(píng)估,防止被黑客攻擊;同時(shí)加強(qiáng)對(duì)接入用戶或業(yè)務(wù)的身份認(rèn)證和權(quán)限控制,包括但不限于:基于IP的鑒權(quán),基于賬號(hào)、口令、令牌等的鑒權(quán),設(shè)置強(qiáng)認(rèn)證機(jī)制。在資源重新分配用戶之前,必須對(duì)存儲(chǔ)空間中的數(shù)據(jù)進(jìn)行徹底擦除,防止被非法恢復(fù)。
最后,應(yīng)按照密碼管理有關(guān)規(guī)定管理密碼設(shè)施,使用開放、可驗(yàn)證格式和標(biāo)準(zhǔn)算法,按規(guī)定生成、使用和管理密鑰,管理和使用職責(zé)必須分離,防止第三方惡意竊取云數(shù)據(jù)信息。
隨著IaaS、PaaS、SaaS的融合發(fā)展,企業(yè)IT系統(tǒng)的邊界逐漸從物理形態(tài)轉(zhuǎn)為邏輯形態(tài),企業(yè)應(yīng)對(duì)云邊界(安全域)進(jìn)行劃分,以具體業(yè)務(wù)為導(dǎo)向,對(duì)重要系統(tǒng)或應(yīng)用之間做好隔離及防護(hù),在云邊界部署相應(yīng)的檢測(cè)防護(hù)設(shè)備,如防火墻、入侵檢測(cè)等系統(tǒng),防止黑客的攻擊。
虛擬機(jī)作為云計(jì)算中的重要資源載體,其安全水平對(duì)企業(yè)整體安全影響極大。為加強(qiáng)安全風(fēng)險(xiǎn)防范能力,虛擬機(jī)需要自主的安全域,實(shí)行邊界隔離。這種隔離需要通過網(wǎng)絡(luò)設(shè)備將不同的虛擬機(jī)作出標(biāo)記,再通過物理交換機(jī)進(jìn)行流量監(jiān)測(cè)。實(shí)現(xiàn)原理在于采用邊緣虛擬橋EVB協(xié)議實(shí)現(xiàn)靈活的流量監(jiān)控策略。
虛擬機(jī)間的訪問控制應(yīng)實(shí)施嚴(yán)格的訪問控制,防止虛擬機(jī)之間的非法訪問。可以采用安全組或者VLAN隔離以及虛擬防火墻、虛擬安全網(wǎng)關(guān)等方式,實(shí)現(xiàn)虛擬環(huán)境下的邏輯分區(qū)邊界防護(hù)和分段的集中管理,做好虛擬機(jī)之間的訪問控制,防止跨租戶之間的非授權(quán)訪問等安全威脅??筛鶕?jù)具體的拓?fù)浜屯ㄐ拍J?,在虛擬網(wǎng)卡和虛擬交換機(jī)上配置防火墻;也可以在虛擬機(jī)上部署代理或借助專門的虛擬機(jī)或虛擬交換機(jī)等方式實(shí)現(xiàn)對(duì)虛擬機(jī)間東西向流量的安全隔離與過濾。
最后企業(yè)應(yīng)加強(qiáng)對(duì)虛擬機(jī)鏡像、虛擬機(jī)快照的安全管理,同時(shí)對(duì)于需要銷毀或撤銷的虛擬機(jī)也要做好數(shù)據(jù)徹底刪除。為防止虛擬機(jī)出現(xiàn)異常行為,應(yīng)對(duì)虛擬機(jī)當(dāng)前的性能、進(jìn)程以及所申請(qǐng)的資源等予以實(shí)施監(jiān)控,應(yīng)做好虛擬機(jī)的安全配置、系統(tǒng)補(bǔ)丁以及惡意代碼防范等虛擬機(jī)的安全防護(hù)。
本文充分論述了企業(yè)數(shù)據(jù)管理特點(diǎn)、數(shù)據(jù)泄露原因和過程,結(jié)合企業(yè)的人、制度、技術(shù)、環(huán)境等因素,研究和探討了企業(yè)云安全責(zé)任矩陣、云數(shù)據(jù)加密技術(shù)、云邊界防護(hù)等內(nèi)容,為解決企業(yè)的云上數(shù)據(jù)安全管控等問題進(jìn)行了有益的探索。