云计算时代须安全全程护航

几乎很少有人会否认云计算是这个时代最为主要的IT趋势，几年前人们还会问什么是云计算，云计算是概念炒作还是未来的发展方向？而现在人们已经不再怀疑云计算是这个时代最为重大的IT变革。正如趋势科技董事长张明正所说，云计算的发展就像打棒球一样，一共有九级，但我们现在已经达到第二级。在第一级，我们会问什么是云计算，云计算是不是一个趋势？但现在很少有人问这样的问题，现在更关心云应用，怎样通过应用来降低企业的成本？怎样将现有数据迁移到云上？虚拟化的步骤会遇到什么样的困难？大家已经开始遇到真正的问题了。

中国政府在“十二五”新一代信息技术产业发展思路中明确提出，今后五年将利用云计算等技术开展新兴服务示范，实施信息惠民重大应用示范工程。工信部司长董宝青认为云计算是新一轮信息技术变革最具代表性、影响最深远的一 种技术变革。我国政府已经将云计算作为战略性新兴产业来推动发展，国家发改委和工信部也出台了有关促进政策。国内目前已建成五个主要的云计算试点，北京、上海、深圳、无锡、杭州。

趋势科技董事长张明正认为后PC的时代已经开启。近期的IT新闻不断震撼我们的神经：HP剥离其PC业务并收购一家做云业务的英国公司，谷歌收购摩托罗拉，苹果跃居为全球市值最大的公司。整个IT世界正在迎接一个新时代的到来。云计算已经很清楚的展现出来了，国外的谷歌、亚马逊，国内的阿里巴巴、百度等都有非常大规模数据的应用。宋家瑜谈到最近接触的一些金融客户，发现这些对数据安全最为谨慎的客户也要走向这一方向，而且不是作为一个选择，而是一种必须。

6月24日，趋势科技在京主办“云计算安全高端CIO峰会”暨2011企业云计算及虚拟化安全策略发布会，会上工业和信息化部信息化推进司副司长董宝青、趋势科技董事长张明正、宽带资本董事长田溯宁、VMware大中华区执行总裁宋家瑜与众多参会的CIO及嘉宾们分享了关于云计算带来的变革以及变革中可能会遇到的问题的观点。

趋势科技董事长 张明正

政府视角：云计算将带来了政府监管的新挑战

工信部司长董宝青认为，云计算时代的到来将会带来四个方面的影响：

在技术层面上，云计算是分布式计算架构的新发展，主要分为云端+宽带+终端这三段。每一段都是现在的IT厂商、ICT厂商竞争的重点，甚至还有企业想将三段集中起来形成更新的商业模式。

在产业层面，首先，云计算将带来产业集中度的增加，并有走向垄断发展的趋势，随着产业进一步提高，开始走向龙头企业+中小企业集群的产业链竞争模式。与过去ICT厂商各自为战的情况不同，将会形成产业链体系对产业链体系的竞争格局。其次，产业将从产品经济、项目经济走向服务经济。信息产业将越来越具有服务业的各种经营特征，走向现代信息服务业的发展方向。

从用户层面来说，云计算实现了按需付费，即查即用的使用方式，降低了技术的门槛，缩短使用现代科技的时间，能够降低企业的ICT成本，提高效率。

然而也带来了安全、监管和社会责任方面的挑战。在有关垄断、公平竞争，保护个人隐私、企业商业机密上为政府的监管代带来了巨大的挑战。此外，对于企业而言，新的IT架构的到来也意味着与之相适应的安全策略需要同步。

董宝青指出，云安全是云计算发展的前提，需要在发展中求安全，在安全中求发展。

商业视角：云时代意味着商业模式的变革和用户体验的重要性

云计算不仅意味着技术的变革，更意味着商业模式的变更。在技术上走向以开源为主的方向。在商业模式上，从以前的一次性售卖及收取服务费的模式，转向按需所取，按使用量计费的支付方式。

在张明正看来，云时代是一个知识经济的时代，是要考虑如何将数据进行大量处理后变为信息，信息变成能创造财务的知识。现在信息收集的手段越来越丰富，如智能电网中可以使用传感器来收集千家万户的用电信息，还可以将这些数据存在云上，并通过云端设备(诸如平板电脑手机等各种终端)随时接收这些信息，以迅速根据这些信息采取行动。云时代降低了技术的门槛，，带来了更多的创新机会和热情。

带来云计算很大的冲击性的应用，就是我们所津津乐道的苹果。苹果背后有不少商业模式值得探讨。以前使用甲骨文的数据库、IBM中间件、微软的系统，主要是运用复杂 的开发、布建、维护，但苹果的出现使我们反思是否有简单的使用方式？实际上现在技术已经走向这个方向，以开源为主。

中国乃至整个亚洲从工业革命到现在基本上也制造业为主，主要进行价格竞争，因此不断地削薄利润。苹果的成功也让我们反思，看到用户体验的重要性，根据用户的需求进行设计，去考虑使用者如何使用技术，并了解使用者的使用体验。做好用户体验将成为企业真正的竞争优势。

如何应对云计算和虚拟化的安全挑战？

在云计算能够带来更多的敏捷和资源的有效使用上目前几乎没有人会怀疑，但对于云计算及其供应商是否值得信赖，是否安全上很多客户还存在疑虑。根据众多调查结果，目前阻碍企业采用云技术的主要问题一般包括数据安全、合规性，以及厂商的技术封锁。这些阻碍所涉及的外在因素包括云技术供应商的稳定性以及监管机构的影响。其中，数据安全和合规性是安全公司和云供应商亟待解决的问题。

目前云计算的发展处于虚拟化与企业业务深入融合所带来的全新变革阶段。因此目前最为紧要的便是解决虚拟化环境下的安全问题。在虚拟化环境下，遇到的典型安全问题包括：

一、外部攻击。虚拟服务器同样面临着与物理环境中存在的安全风险，如恶意软件感染、漏洞利用和SQL注入。对此可在虚拟化环境下，使用防恶意软件和漏洞屏蔽的解决方案来保护应用程序和系统安全。

二、即时启动的防护间隙。在快照、休眠、激活过程中，快速且一致性地为这些虚拟机配置安全策略且保持它们为最新是不可能的。对此，可通过部署与虚拟环境底层系统无缝集成的无代理安全解决方案，这样，之前处于休眠状态但现在已激活的虚拟机便可以立即获得最新的防护。

三、虚拟机内部攻击。传统的网络安全设备无法查看虚拟机内的网络通信，因而无法检测或抑制源于同一主机的虚拟机的攻击。对此，可以通过部署与虚拟环境底层系统无缝集成的无代理安全解决方案，拦截并检查虚拟机内部网络通信。考虑到系统和应用程序漏洞是攻击的主要目标，因此该安全解决方案必须具有屏蔽虚拟机漏洞的功能。

四、资源争夺。在主机的虚拟机上同时执行病毒扫描或防病毒更新等占用资源较多的操作时会快速导致系统(CPU、内存、网络和磁盘I/O)负荷激增。对此，通过部署具有虚拟化感知能力的安全解决方案，可以消除资源争夺并使用预设的和基于任务的安全策略，确保在高峰和非高峰时段服务器效率为最高。

五、管理的复杂度。在动态数据中心中，新的安全虚拟机自动进行设置、重新配置，甚至自动迁移。这使得管理员在追踪、维护和实施一致的安全策略时变得异常困难。对此，可以通过部署与虚拟环境底层系统无缝集成的无代理安全解决方案，可以最大程度上降低需要安装和管理的客户端的数量，并保证无论该虚拟机位于何处，对其的安全策略、防护和配置，都能持续遵从合规要求。

六、审计检查合规性/不足。在虚拟环境中保持符合行业规定变得更加复杂，这是虚拟数据中心的动态特征。最有效的方法就是使用具有虚拟机监控程序内视功能(可以监控进入/流出虚拟机的所有通信)的解决方案，将安全功能直接集成到虚拟化平台中。

在趋势科技看来，云安全可以从四个方向来看：云基础设施(尤其是虚拟化环境下的安全保护措施)、云数据(大量集中的数据)、云应用(网站、软件即服务)、云终端设备(移动、终端设备)。

图：趋势科技的云计算安全整体解决方案架构示意图

趋势科技最新发布的“云计算安全5.0”解决方案从四个方面来提供针对以上四大方向的针对性保护策略：

一、为虚拟化架构的无代理安全。用“云的防护盾”技术与虚拟环境进行无代理动态集成，来保护各种企业数据中心、应用系统安全，让云应用/云服务平台本身免受病毒、攻击、系统漏洞等威胁的侵害。

二、云平台数据保护。通过“云中保险箱”技术中密匙与策略管理机制来保护用户存放于云的隐私和数据不被非法窃取和利用，使得企业可以随时随地安全的使用云平台存放或者交换数据。

三、移动设备无边界安全访问。防护移动互联网中的移动终端、智能手机免受病毒威胁侵害，并有效管理移动设备随时在线上的无边界数据访问。

四、云计算安全威胁管理。通过智能的统一云计算安全威胁管理平台提供灵活策略管理、只能的关联查询，以及丰富的日志审计和报表功能。