《云安全：安全地共享 IT 解决方案》由会员分享，可在线阅读，更多相关《云安全：安全地共享 IT 解决方案（7页珍藏版）》请在金锄头文库上搜索。
1、您可以在本地资源的固定成本与云资源的可变成本之间共享 I 解决方案,而不会失去对企业资产访问的控制。我们来告诉您怎么做。n Grifin 和 Tom ones在孩子年纪很小的时候,我们会让他们乖乖呆在家里，确保安全。在他们学会照顾自己后，我们就会让他们出去闯荡。企业资产就像我们的孩子一样。过去，我们一般把企业资产放在网络外围防护之内。我们设置防火墙以确保这些资产不会流失。如果您告诉 I 经理他可以将本地计算负载共享到可按需提供的基于云的资源,他的第一反应肯定是非常兴奋,因为这样能够节约成本并改善用户体验。但与过度保护孩子的父母一样，兴奋往往会变为疑虑和不安，因为要面对通过多个控制点来保护企业资
2、产的新挑战。数据处理已从企业数据中心迁移到世界各地的 PC 上。从逻辑上讲，下一步就要将企业数据和应用程序从企业防火墙后面移动到更靠近需要这些数据的业务用户的位置。这意味着要移动到云中。若要从云计算中获益，免除后顾之忧,您需要建立分布式访问控制,来配合分布式内容和分布式应用。在本文中,我们将概要介绍一些步骤,在将数据和应用程序移出企业外围防护后仍能确保可靠性和可控性。保护您的云体系结构：循序渐进1. 建立面向服务的体系结构 (SOA) 以确保您可以安全地重定位每个组件2. 集中管理数据和应用程序的部署和更新3. 使用联合身份管理来确保所有用户在云中的每个点上是已知的4. 向每个用户分配角色和其
3、他特性来验证数据访问声明5. 向应用程序及可随应用程序一起移动到云中的数据分配访问控制规则6. 基于已验证的用户访问声明来授予对应用程序和数据的访问权面向服务的体系结构确保云部署无后顾之忧的第一步是要创建一个展示应用程序和数据流的关系图。对于要面向服务的设计，每个应用程序都必须作为一项可供用户本地访问或在云中访问的服务。类似地，对于数据，应用程序中不应指定数据的位置。您必须能在部署应用程序时配置该位置。您可以通过图 1来了解 I环境的各个组件将如何与源自本地资源或云资源的应用程序和数据关联。图 应用程序和数据流的体系结构概览。您的开发团队会外包应用程序可执行文件。您可以让开发团队直接从供应商那
4、里应用可执行文件,但如果您首先将所有应用程序代码和更新放在企业内部，然后从企业进行分发,则可进行更多控制。数据将从客户端计算机迁移到企业或云数据存储(云数据存储在图中显示为 Sharoint服务器)。当应用程序访问数据时,此操作将通过每个数据存储的本地访问控制机制进行授权。当应用程序可执行文件和企业数据移出企业外围并移至云中时，还需考虑其完整性。最灵活的理想管理情况是,您可以将本地资源和云资源作为一个实体进行管理,这可动态响应资源请求。关于云的财务情况证明任何云部署的合理性的第一步是确定投资回报。您通常将成本分类为设置或转换(包括配置新服务、培训和停用旧服务)成本。投资回报以每个月减少的成本和
5、收回投资的月数表示。更复杂的分析包括折扣现金流分析,但如果投资回报的时间不到两年，则很可能对决策过程没有任何实际价值。云部署的真正价值在于可产生无形效益，如改进对服务需求波动的响应和加强成本控制。从 I 部门的角度考虑以下各类成本：1. 固定成本通常从对固定设备(如服务器和机房)的投资中产生。在资产的整个生存期内，固定成本通常会进行折旧。无论设备的使用情况如何,每月都会将该折旧成本计入收益表。2. 可变成本取决于提供的服务量,并包括货物销售成本和根据云的使用情况收取的任何费用(如根据当前工作量收取的短期设备租赁费）。利用此类成本，I部门可将成本与服务交付紧密联系起来。3. 半可变成本通常从为全
6、职员工提供的服务或更加难以增加或减少的其他资源中产生。软件租赁服务或电子邮件配置服务属于此类别。为员工提供服务和取消为员工提供服务所具有的惯性，将导致此成本明显跟不上服务需求的变化。您可以证明出于某些原因（如将工资单服务转交给专门的提供商）将云服务用于半可变成本的合理性。与电子邮件中一样，工资单中的规则也是快速变化的 软件需要不断更新，而用于执行这些功能的专业技术的成本很高。虽然根据半可变成本来证明云配置的合理性会更加困难，但结果仍具有积极意义,可帮助 T 部门集中精力完成将价值传递给企业产品这一实际使命。完成安全云部署所需的四个步骤大多数 IT主管人员都认为,云计算是一种采用虚拟化技术降低资
7、本支出的方法。许多供应商将所有 Itret 服务都附上“云”这个标签。在本文中,我们引用了Gartner I 的描述来说明云如何变得对业务如此重要：“因为技术的商品化和标准化，部分因为虚拟化和面向服务的软件体系结构的兴起,最重要的是因为 ntern 普及率的急剧增长。”这在以下四个特定领域显得尤为重要：1. 集中化数据管理(例如使用 arePoint)2. 集中化应用程序管理(例如使用 Exchnge）3. 联合身份管理（例如使用Active Dieto联合身份验证服务 （ADF）)4. 为迁移到云提供的其他帮助集中化数据管理早在 207年,Gatne就已开始在安全会议上表示,是时候放弃企业和
8、nteet 之间厚重的外围边界了。当时,专家们甚至还在为企业边界是否已可穿透一事争论不休。外围已变得与抵御入侵者这一任务毫无关联,因此每种 IT 服务都需要访问控制。当前实际使用的是安全多层保护策略。为了确保真正的安全,仅包含数据的服务器才可最终控制访问。由于许多部署都包含几百台甚至几千台服务器，因此管理每台服务器上的访问仍是不合理的。 部门无法真正确定数据权限和访问规则。但IT 部门可建立角色管理系统，业务所有者可利用此系统来允许或拒绝与业务目标相关的访问。有关数据修改和数据访问的法规要求变得越来越严格。这就需要采用一种新的模式，从而允许将数据迁移到最适合服务访问请求的服务器，同时以合理的成
9、本确保合规性。以下是在云环境中进行数据管理时需考虑的一些要求: 随时随地快速访问用户已获授权的数据 访问不会因自然灾难或业务灾难受损 应合法的政府请求发现数据（假定企业可提供所需数据） 数据丢失防护 （DLP) 是服务产品不可缺少的一部分 面向服务的体系结构 (SO) 应能够轻松地将数据迁移到云以及从云迁移回来 数据标识不得包含其物理位置，以便轻松移动数据 数据的位置标记应为逻辑上的原产国家/地区，而非数据的物理位置 数据备份和恢复操作应基于数据标识而非其位置 数据访问规则可由数据的业务所有者创建和维护 访问权限可由合规性审核员查看 敏感数据可具有针对修改和访问的审核控制 职责分离可防止同一个
10、管理员同时修改数据和审核日志 服务级别协议(L) 必须明确说明每个人的期望和职责Sabucks Crp 发现，通过纸质介质来分发最新定价信息、业务分析数据和新闻不仅成本较高而且会导致延迟,这样做并不划算。因此，该公司现在利用 ShrePoint 来为其由 16,000个位置构成的网络提供支持。SarePont 网站已成为关键业务通信渠道,员工可通过此网站获取最新信息,并能够在需要某些信息时快速搜索到这些信息。使用Microsoft Sst ntr OperiosManger (SCM)和其他分析工具跟踪可用性和可靠性。由于 SharePit 同时支持内部网络连接和外部网络连接，因此服务器位置会
11、进行调整以适应当前网络拓扑，而无需考虑本地环境、云环境或混合环境。此部署使 tbuks 公司获得了以下好处: 通过利用有效的监控和报告工具来提高系统稳定性,为店铺发展和容量需求提供支持 允许店铺合作伙伴利用直观的门户界面更高效地工作,并轻松访问企业内部的信息 利用增强的文档管理和隐私功能来维护数据的安全性 通过与合作伙伴进行沟通来完善趋势和增长报告，使店铺的工作重点与公司的目标保持一致完整性保护必须阻止任何数据存储变成病毒或间谍软件的传染媒介。数据类型（如可执行文件和压缩或加密文件）可能会因各种完整性和合规性问题而被阻止。Mirosft 员工 Dvid Tsa 发表了一篇有关使用Forront
12、 Poecin2010r SharePont(已于 2010 年 5 月发布）来保护 SharePoint的一些商业原因的博客文章。数据丢失保护和检测为了确保完全保护，必须将一个客户的数据与另一个客户的数据正确分离。必须安全存储数据(在数据“闲置”时），并能够安全地将数据从一个位置移动到另一个位置（“移动”安全性)。IT 经理必须确保云提供商的系统已准备就绪，以防止数据泄露或被第三方访问。此内容应纳入 SA 中。正确的职责分离将确保未经授权的用户无法通过审核和/或监控 即便是云提供商的“特权”用户也是如此。图2演示了易受外部攻击的各种数据转换。图2数据转换和信任转换间的关系针对使用 Inter
13、 或物理介质的企业桌面和服务器的新攻击点包括：1. 从企业到云的数据传输(传输过程中会丢失授权信息）2. 对不具有企业保护的云 SharPont服务的云访问3. 私有数据泄露或来自外部ID提供商的授权信息的数据泄露随着数据量的增加,筛选此类数据所需的时间量或增加存储容量所需的成本可能会相当大。利用Forefot Prection210fo SharPoint所具有的数据关键字和文件筛选功能,可以控制 ShrePoin 服务器上允许的数据类型,并提供有关已存在的文件类型的报告。此功能不需要额外存储容量并可帮助防止数据泄露,这样便降低了成本。例如,如果您公司内有一台可公开访问的 SharPont
14、服务器，则可启用关键字文件筛选来防止文件内出现任何包含“机密”或“仅供内部使用”一词的内容。您甚至可以指定一个阈值,规定这些词在被您禁止发布之前可出现的次数。权限管理服务 （RS）也是对深层防御策略的有效补充,可用于保护文档自身,而不管文档的存储位置或下载位置如何。虽然大多数商业应用程序都不需要这一层保护,但它对于一些特别机密的文件(如公开发布之前的财务计划或收购计划）很有用。自发布 indos erv 20 之后，S就在 Acieiecor中起到了一定的作用。任何取证调查都需要完整的审核跟踪,这将产生大量数据。您可以对高风险资源启用审核收集服务 （CS)（SCO 的一个加载项),以便在每条审
15、核记录生成时将其放到一个中心位置以进行安全存储和分析。此配置将阻止攻击者篡改取证数据，即便攻击者拥有很高的特权也是如此。图 2中的“信任”箭头指示此重要的身份验证信息和授权信息流（本文后面的“联合身份管理”一节将对此进行讨论）。集中化医疗保健数据管理期盼进入医药信息市场分一杯羹的主要参与者包括icrosoft HlthVaut和ssia。Dosia 是一家独立的非盈利性机构，它由美国的一些规模最大的雇主创办,专门负责收集和存储终身健康记录信息。美国总统奥巴马期望通过集中管理美国医疗保健数据，从而降低成本并提高研究质量。尽管颁布了健康保险携带和责任法案,但在保护病人隐私方面还是面临着巨大的压力。医疗信息是相当敏感的，它所产生的巨大影响可能会改变人们的生活（例如，在雇用决策中使用医疗信息)。在雇用决策中使用遗传标记这一点上已经出现了一些问题。国会已在反基因歧视法中解决了这些问题。由于云服务提供商尝试越过此雷区,因此未来几年成本遏制和私密性之间的紧张局势将日益加剧。虽然雇主采取了鼓励降低医疗保健成本的措施,但了解安全模型也非常重要:
