云計算安全模型與傳統安全模型的差異

　　云計算帶來(lái)的是一種全新的商業(yè)模式。它改變的是計算分布或分配的模式(par-adigm)。根據計算分配模式的不同，云計算又可分為共有云、私有云以及公共云。在云計算中心中，云計算模式會(huì )在根本上改變IT部門(mén)的運營(yíng)模式，因此用戶(hù)需要仔細評估不同云計算模式造成的影響，以及這些因素對自身安全策略的影響，然而云環(huán)境下的安全模式與傳統安全模型又存在著(zhù)差異。讓我們先看看云計算供應商的安全模式。

　　云計算供應商的安全模型實(shí)例

　　Microsoft的云計算模式是基于WindowsAzure平臺來(lái)實(shí)現的。與Google和Amazon相比，WindowsAzure可以被第三方部署，即提供私用云和混合云的模式，并增加了IaaS服務(wù)。由于WindowsAzure提供的運行模式比較靈活，用戶(hù)在選擇適合自身的云計算模式要仔細考慮，因為不同的運行模型對安全的影響是非常大的。

　　Amazon的云計算模式是基于A(yíng)mazonEC2托管服務(wù)和AWS(AmazonWebService)來(lái)實(shí)現的。與GAE相比，Amazon的云計算模式涵蓋SaaS和PaaS(AmazonEC2)，因此運營(yíng)模式更為靈活。在PaaS模式下，對云端資源的控制更加靈活，但是用戶(hù)需要承擔更多的安全實(shí)現，例如認證和權限管理等等。特別指出的是，AWS通過(guò)了SAS70類(lèi)型II的審核，在一個(gè)方面也反映出了CSP認識到滿(mǎn)足合規性檢查對安全的影響。

　　Google的云計算模式是基于Google應用程序引擎GAE(GoogleApplicationEngine)來(lái)實(shí)現的。GAE可以將Web應用托管到Google的數據中心上。從運營(yíng)模式上來(lái)分，GAE提供的是基于公用云的SaaS服務(wù)。從安全的角度來(lái)講，GAE的用戶(hù)對云計算系統的安全控制是非常少的。主要安全功能是通過(guò)GAE來(lái)實(shí)施的。

　　與傳統傳統安全模型的差異

　　1.虛擬化要求：安全作為一種服務(wù)(SaaS)，如何實(shí)現虛擬化交付?

　　基于存儲資源和服務(wù)器資源的高度整合，云計算服務(wù)商在向客戶(hù)提供各項服務(wù)的時(shí)候，存儲計算資源的按需分配、數據之間的安全隔離成為基礎要求，這也是虛擬化成為云計算中心關(guān)鍵技術(shù)的原因。在這種情況下，安全設備如何適應云計算中心基礎網(wǎng)絡(luò )架構和應用服務(wù)的虛擬化，實(shí)現基礎架構和安全的統一虛擬交付，是云計算環(huán)境下安全建設關(guān)注的重點(diǎn)。

　　2.流量模型的轉變：從分散走向高度集中，設備性能面臨壓力

　　傳統的企業(yè)流量模型相對比較簡(jiǎn)單，各種應用基準流量及突發(fā)流量有規律可循，即使對較大型的數據中心，仍然可以根據web應用服務(wù)器的重要程度進(jìn)行有針對性的防護，對安全設備的處理能力沒(méi)有太高的要求;而在云計算環(huán)境下，服務(wù)商建設的云計算中心，同類(lèi)型存儲服務(wù)器的規模以萬(wàn)為單位進(jìn)行擴展，并且基于統一基礎架構的網(wǎng)絡(luò )進(jìn)行承載，無(wú)法實(shí)現分而治之，因此對安全設備提出了很高的性能要求。

　　3.未知威脅檢測引擎的變更：客戶(hù)端將從主體檢測引擎轉變?yōu)檩o助檢測的傳感器

　　傳統的安全威脅檢測模式中，客戶(hù)端安全軟件或硬件安全網(wǎng)關(guān)充當了威脅檢測的主體，所有的流量都將在客戶(hù)端或網(wǎng)關(guān)上完成全部的威脅檢測。這種模式的優(yōu)點(diǎn)是全部檢測基于本地處理延時(shí)較小，但是由于客戶(hù)端相互獨立，系統之間的隔離阻止了威脅檢測結果的共享。這也意味著(zhù)在企業(yè)A已經(jīng)檢測到的新型威脅在企業(yè)B依然可能造成破壞，沒(méi)有形成整體的安全防護。而在云計算環(huán)境下，客戶(hù)端更多的將充當未知威脅的傳感器，將本地不能識別的可疑流量送到云端，充分利用云端的超強計算能力進(jìn)行未知威脅的檢測，從而實(shí)現云模式的安全檢測。

　　4.安全邊界消失：云計算環(huán)境下的安全部署邊界在哪里?

　　在傳統安全防護中，很重要的一個(gè)原則就是基于邊界的安全隔離和訪(fǎng)問(wèn)控制，并且強調針對不同的安全區域設置有差異化的安全防護策略，在很大程度上依賴(lài)各區域之間明顯清晰的區域邊界;而在云計算環(huán)境下，存儲和計算資源高度整合，基礎網(wǎng)絡(luò )架構統一化，安全設備的部署邊界已經(jīng)消失，這也意味著(zhù)安全設備的部署方式將不再類(lèi)似于傳統的安全建設模型，云計算環(huán)境下的安全部署需要尋找新的模式。