云计算安全与标准.ppt

* 云计算安全和标准及发展问题与建议 世纪互联云快线 刘黎明 提 纲 云计算概念 云计算产业链 安全问题 标准问题 监管问题 QA 云计算概念 云计算关键特征： 通过互联网提供自助式服务 快速获得服务 按需扩展和使用 按使用量付费 从专业化角度讲，云计算体现了专业的服务由专业的组织和人员提供更为高效的原理。 从规模化角度讲，云计算体现了规模化采购减低采购成本，规模化运营降低人力成本，规模化服务提高峰值复用水平。 从服务模式角度讲，云计算体现了用户自助和按需付费的趋势。传统那个的连看一样商品都要柜台服务员参与的供销社模式与后来的超市模式，与云计算的产生有共同之处。 从精细化角度讲，云计算体现了按需使用、按实际使用量付费的趋势。这个特点就比如水电的趋势，量化到一定的精细度，比如水用立方米，电用度，就能保证所有用户都是按实际使用付费的。这一特点区别于按峰值计费和包月包年制。 云计算产业链 基础设施制造商 基础软件供应商 服务器制造商 网络设备制造商 通风设备制造商 制冷设备制造商 存储设备制造商 处理器制造商 操作系统供应商 基础设施管理系统供应商 分布式存储系供应商 虚拟化管理器供应商 基础设施即服务 平台即服务 一切皆服务 计算服务 非结构化存储服务 结构化存储服务 开发平台 运营平台 测试平台 软件即服务 安全即服务 集成即服务 云计算安全问题概述 安全是信息产业领域永恒的主题 安全是相对的和有前提的 云计算的安全问题80%是传统IT就存在的安全问题 剩下20%的安全问题来自于：新技术的使用带来的新的管理问题；老技术的新用法带来的老安全问题的扩大化；新的服务模式带来的潜在问题。 传统的信息安全理论仍旧对解决云计算安全适用 SaaS，IaaS计算服务，IaaS存储服务，PaaS，私有云等，不同的云计算服务应用场景面临的安全问题是不一样的。 云计算安全问题举例 数据泄漏 数据所有权 数据物理定位 数据传输通道 服务器虚拟化管理器可靠性维护 虚拟服务器故障隔离性 虚拟服务器组成文件的权限控制 审计数据来源与配合 Dos攻击，恶意代码，ARP攻击，内部人员越权，设备故障。。。 云计算安全建议 单点登录双因素认证 加密数据 数据校验 安全传输 最小权限控制 推进可行的安全认证 不要对外暴露服务器虚拟化管理器 增强对虚拟服务器的监控和处理 虚拟服务器的组成文件进行权限授权和控制 系统管理、物理机与虚拟机操作日志进行管理和存档 警惕传统IT企业以FUD（Fear, Uncertainty, Doubt，即惧、惑、疑）方法 暂时阻碍云计算产业发展 云计算标准 “三流企业卖产品，二流企业卖技术，一流企业卖标准”容易引起误解，有本末倒置之嫌。 没做过好的产品，就没有过硬的技术。没有过硬的技术和相当的技术经验积累，就不能有效参与制定合理的标准。 云计算并不是一项单纯的技术，而是一场信息产业变革，设计广泛的产业链和众多的企业，所以其标准形成过程必将是漫长而艰难的。 标准不是做出来的或制定出来的。标准是在良好的法治环境下，市场充分竞争和公平竞争，博弈与妥协的结果。 标准可能领先或者落后于市场，但都有一个被市场检验的过程。 可能产生标准的方向 跨云的联合安全 云之间的元数据和数据交换 不同云平台之间迁移应用 描述资源能力和需求 云应用程序和服务的监控、审计、计费、报告、通知的标准化输出 与云资源交互的通用形式（api，协议） 独立于单个云的策略和控制的表示 开发、部署、管理可移植的云应用和服务的工具 创建跨多个云的应用的开发包 机器可识别的服务水平协议 参与云计算标准的组织 CSA（云计算安全联盟，Cloud Security Alliance） DMTF（分布式管理工作组） SNIA（存储网络行业协会） OGF（开放网格计算论坛） OCC(开放云计算联盟） OASIS（结构信息标准化促进组织) TM Forum(TM论坛) IETF（互联网工程任务组） ITU（国际电信联盟） ETSI（欧洲电信标准化协会） OMG（对象管理组织） NIST（国家标准与技术研究院） 当前可能成为标准的规范 SNIA CDMI（云数据管理接口） DMTF OVF（开放虚拟化格式） OGF OCCI（开放云计算接口） OVF正如其名字所示，是一个开放虚拟化格式，描述了一个用来封装和分发运行在虚拟机上的软件的安全的、开放的、可移植的、有效的、可扩展的格式。主要特点如下：易于分发；简单、自动的用户体验；支持单虚拟机和多虚拟机部署；可移植的虚拟机封装；独立于供应商和平台；可扩展；易于本地化。一个OVF包含如下内容：一个OVF描述符文件，以 ovf为后缀；0或1个OVF清单文件，以mf为后缀；0或1个OVF证书文件，以cert为后缀；0或多个磁盘镜像