《利用委托特权提升云安全性》由会员分享，可在线阅读，更多相关《利用委托特权提升云安全性（50页珍藏版）》请在金锄头文库上搜索。
1、利用委托托特权提提升云安安全性Jim Zieericck, 执行副副总裁, BeeyonndTrrustt Sooftwwaree简介：本文中中，作者者将讨论论促使数数据中心心迁移到到云的一一些需求求，详细细介绍虚虚拟化在在公共和和私有云云基础架架构中的的作用，并并简要说说明云计计算的安安全性和和遵从性性含义，了了解如何何通过 “管理理性访问问” 和和 “特特权委托托” 保保护云中中的敏感感数据。发布日期期：220122 年 2 月月 277 日 级别：初级级 原创创语言：英文访问问情况 ：882688 次浏浏览 评评论：0(查看|添加加评论 - 登登录) 平均分 (2个个评分)为本文文评分虚
2、拟机使使得硬件件购买及及部署与与软件部部署的分分离成为为可能，并并且可以以让企业业内交付付速度加加快 110、220 甚甚至 330 倍倍。 TThommas J. Bitttmaan，副副总裁兼兼高级分分析师，GGarttnerr在当今的的经济环环境中，许许多企业业都在努努力降低低成本，少少花钱多多办事，同同时还要要保持竞竞争力。这这就意味味着 IIT 部部门面临临严格的的审查，以以确保他他们能够够满足关关键业务务需求，并并以最高高效、最最合算的的方式交交付预期期的结果果。为了了克服这这些困难难，ITT 组织织正日益益偏离以以设备为为中心的的 ITT 观点点，转向向更加专专注于应应用程序序、
3、信息息和人员员上的云云计算特特征。云计算是是一项正正在兴起起的技术术，它提提供了对对动态可可伸缩和和虚拟化化 ITT 资源源的快速速访问，为为企业创创建轻便便、强壮壮、成本本高效、更更适合业业务目标标的 IIT 基基础架构构带来了了新的激激动人心心的机会会。但是是，必须须先处理理好某些些跟控制制、遵从从性和安安全性有有关的权权衡，才才能充分分发挥这这些优势势。本文将描描述能够够促进数数据中心心向云迁迁移的一一些因素素，包括括虚拟化化在公共共云基础础架构中中的作用用，并简简要说明明云计算算的安全全性和遵遵从性含含义，了了解如何何通过 “管理理性访问问” 和和 “特特权委托托” 这这两种关关键方法
4、法保护云云中敏感感数据。为何迁移移到云？为什么企企业想要要将数据据中心迁迁移到云云呢？原原因很简简单，主主要有两两个：一一是因为为虚拟化化服务器器提供的的灵活性性，二是是较大私私有云或或公共云云的规模模经济为为当今的的计算需需求创建建了一个个更好的的经济模模式。虚拟化为为更好的的经济模模式提供供了起点点：在工工作负载载发生变变化时提提供更高高的服务务器和存存储硬件件利用率率： 当跨公共共云中的的业务单单位或者者跨公共共云中的的公司共共享资源源时，会会增加规规模经济济甚至更更高的资资源利用用率，因因而您有有了一个个更低的的成本模模式。 增加了灵灵活性，可可以只为为所使用用的资源源付费，而而不会带
5、带来大量量的固定定成本和和巨额资资本支出出，因而而 ITT 可以以更好地地满足很很多行业业的业务务需求。但是，除除了简单单的经济济意义之之外，云云模型更更能提供供重大的的操作优优势。通通过缩短短配备所所需应用用程序和和工作负负载的时时间，虚虚拟化又又为更好好的操作作模式提提供了起起点。通通过让 最终用用户从物物理基础础架构的的复杂性性和配备备及管理理过程的的细节中中解脱出出来，云云模型建建立了这这些能力力，这使使得计算算跟任何何其他业业务服务务一样容容易购买买和管理理，也为为计次服服 务 (meeasuuredd seerviice) 和服服务水平平协议提提供度量量。除此此之外，还还为移动动或
6、远程程用户提提高了可可靠性和和可访问问性，云云成为一一种非常常有价值值的主张张。回页首虚拟化充充当促成成者尽管云并并不是本本质上的的虚拟化化，但是是虚拟化化是云计计算的一一个关键键组件和和主要促促成者。虚虚拟化的的服务器器和存储储器让工工作负载载变动时时的物理理硬件利利用率更更高。在需要时时自动转转移工作作负载的的能力增增加了可可靠性，无无需为每每个应用用程序提提供冗余余硬件（通通常未充充分利用用）。云云提供者者建立在在虚拟化化的经济济优势之之上；这这一点与与规模经经 济及及日常系系统管理理自动化化相结合合，带来来了成本本节约，使使得基于于云的数数据中心心成为一一种经济济可行的的解决方方案或补
7、补偿方式式。然而而，将数数据迁移移到云的的企业必必须考虑虑到虚拟拟 环境境管理不不当时面面临的风风险。此外，虚虚拟化正正使得 IT 部门本本身成为为企业的的一个事事实上的的服务提提供者。通通过缩短短配备所所需应用用程序和和工作负负载的时时间，虚虚拟化又又为更好好的操作作模式提提供了起起点。通通过让最最终用户户从物理理基础 架构的的复杂性性和配备备及管理理过程的的细节中中解脱出出来，服服务器虚虚拟化 “帮助助 ITT 在行行为上更更像一个个云提供供者，并并将企业业准备成成一个更更好的云云计算消消费者”。（出出自 GGarttnerrGrooup，“SServver Virrtuaalizzati
8、ion: Onne PPathh Thhat Leaads to Clooud Commputtingg”，RRAS Corre RReseearcch NNotee G00017717330，TThommas J. Bitttmaan，220099 年 10 月 229 日日。） 那么，这这对数据据中心和和 ITT 操作作意味着着什么呢呢？高度度虚拟化化的数据据中心的的第一特特征是要要管理的的服务器器数量急急剧增加加。这种种不断增增大的规规模（服服务器从从百到千千、从千千到万地地增长）大大大增加加了数据据 中心心操作的的复杂度度。更改改和配置置管理变变得更为为重要且且富有挑挑战性，并并且自动
9、动化从一一种很好好的省钱钱方式变变成了基基本需求求。由于虚拟拟环境和和云环境境中这种种额外的的复杂性性，客户户数据被被暴露到到不只是是纯物理理环境中中存在的的安全问问题中。IIT 堆堆栈中增增加的虚虚拟层在在已建立立的安全全模型中中引入了了一个新新的故障障点，并并为恶意意知情人人的入侵侵增加了了一个新新的攻击击面。HHypeerviisorr 层次次的任何何安全攻攻击都会会发展到到危及堆堆栈中这这一层次次之上的的所有层层（从操操作系统统一直到到数据层层和应用用程序层层）的安安全性。回页首云数据中中心的危危险根据 IIDC Entterpprisse PPaneel 调调查，迁迁移到云云计算环环
10、境的企企业关心心的第一一个问题题就是安安全性（见见图 11）。图 1. 安全全性是迁迁移到云云中时关关注的第第一个问问题围绕特定定应用程程序、客客户、业业务单位位、操作作和法规规遵从性性而构建建专用 IT 基础架架构所导导致的筒筒仓（ssiloo），通通常是企企业 IIT 环环境规模模和复杂杂性急剧剧增大的的结果。尽管云计计算消除除了数据据中心的的传统应应用程序序筒仓，并并为 IIT 组组织带来来了新级级别的灵灵活性和和可伸缩缩性，但但是对多多租户计计算环境境的支持持也引入入了额外外的安全全风险，其其中最大大的潜在在危险是是数据窃窃取。尽管安全全性对于于迁移到到云的客客户来说说是重中中之重，但
11、但是对于于云提供供者并不不总是那那么重要要。Poonemmon Insstittutee 最近近一次关关于 “云云计算提提供者的的安全性性” 的的调查指指出，“多多半云计计算提供供者并不不认为安安全性是是他们最最重要的的职责之之一”。另另外，“调调查对象象绝大多多数认为为，确保保他们提提供的资资源的安安全性是是云计算算用户的的职 责责”。很多云供供应商有有广泛的的操作，提提供更多多资源和和专业知知识，来来解决虚虚拟化和和云模型型中固有有的安全全难题。尽管云让让企业无无需操作作自己的的服务器器、存储储器、网网络和软软件，但但是它也也消除了了很多有有助于定定义和保保护企业业数据资资产的传传统物理理
12、边界，并并引入了了新的风风险，因因为虚拟拟服 务务器和移移动的虚虚拟机器器取代了了物理服服务器和和防火墙墙。虚拟拟化消除除了物理理服务器器之间的的隔离，并并且不再再能够将将多个设设备清楚楚地分隔隔成物理理上独立立的网络络。没有了这这种物理理隔离和和网络隔隔离，就就较难限限制系统统和网络络管理员员的访问问途径。云云环境规规模和灵灵活性的的增大，增增加了更更改和配配置管理理的复杂杂度，这这使得实实现最小小特权主主体和职职责划分分更难了了。例如，具具有虚拟拟基础架架构管理理资格的的恶意用用户可以以克隆虚虚拟机器器，以获获得对客客户机器器中包含含的所有有数据的的访问权权。他们们甚至可可以克隆隆这台虚虚
13、拟机器器，删除除该克隆隆对象，并并将删除除的镜像像安装在在您的正正常安全全监视范范围之外外。由于云为为敏感数数据和应应用程序序制造了了千变万万化的入入侵环节节，保护护这些资资产变得得更加困困难了。敏敏感信息息不应该该放在云云中存储储或处理理而不监监视供应应商的技技术和处处理过程程，以确确保适当当级别的的信息保保护。回页首云计算的的主要攻攻击根据 CClouud SSecuuritty AAlliiancce 的的 “TTop Thrreatts tto CClouud CCompputiing v1.0”（220100 年 3 月月），以以下攻击击被认为为是云计计算的主主要安全全攻击（不不分先
14、后后顺序）： 滥用和恶恶毒使用用云计算算：IaaaS 提供商商利用一一种简单单、容易易、相当当开放的的注册过过程，提提供一种种无限计计算、网网络和存存储能力力的假象象。垃圾圾邮件发发送者可可以使用用这种注注册过程程达到他他们的目目的。尽尽管传统统 上 PaaaS 提提供商最最多遭受受此类攻攻击，但但是最近近有证据据表明，这这类攻击击者也针针对 IIaaSS 供应应商。关关注的领领域包括括密码和和密钥破破解、DDDOSS、发动动动态攻攻击点、宿宿主恶意意数据、bbotnnet 命令和和控件、构构建彩虹虹表和 CAPPTCHHA 解解析器。 不安全的的接口和和 APPI：云云提供者者暴露一一组软件
15、件接口或或 APPI，让让客户用用来管理理云服务务以及与与云服务务交互（即即配备、管管理、编编排和监监视）。普普通云服服务的安安全性和和可用性性都依赖赖于这些些基本 APII 的安安全性。企企业通常常依赖这这些 AAPI 来提供供增值服服务，因因而通过过 APPI 分分层增加加了复杂杂性。关关注的领领域包括括身份验验证、访访问控制制、加密密和活动动监视。 恶意知情情人：通通过单个个管理领领域下 IT 服务和和消费者者的合并并，加之之提供者者的流程程和过程程缺乏透透明度，这这一攻击击对于云云消费者者被加强强了。关关注的领领域包括括：提供供者如何何向员工工提供物物理和虚虚拟资产产的访问问权， 如何
16、监监视这些些员工，如如何分析析和报告告政策遵遵从性。云云提供者者的雇用用标准和和惯例也也会是一一个关注注方面。 共享的技技术漏洞洞：IaaaS 供应商商通过共共享基础础架构以以可伸缩缩的方式式交付服服务；组组成该基基础架构构的组件件可能并并不被设设计成为为多租户户体系结结构提供供强大的的隔离属属性。虚虚拟化 hyppervvisoor 被被用于调调解客户户 OSS 和物物理计算算资源之之间的访访问，但但是即使使 hyyperrvissor 也具有有缺陷，让让客户 OS 能够获获得不适适当级别别的对底底层平台台的控制制或影响响。关注注的领域域包括计计算、存存储和网网络安全全性实施施和监视视。 数据丢失失/泄漏漏：由于于风险与与挑战很很多并且且二者
