專家解析2011年云安全五大趨勢(shì)

CSO（首席安全官）和其他IT安全專家2011年首要考慮的云安全問(wèn)題將會(huì)有哪些？未來(lái)一年中敬請(qǐng)留意以下五點(diǎn)：

智能手機(jī)數(shù)據(jù)

Qualys公司的CSO及云安全聯(lián)盟（CSA）成員Randy Barr表示，越來(lái)越多的用戶將訪問(wèn)他們自選設(shè)備中的大量數(shù)據(jù)。

Barr稱："與此同時(shí)，這也將帶來(lái)許多未解決的安全問(wèn)題，我們可以期待新的解決方案來(lái)應(yīng)對(duì)移動(dòng)設(shè)備，但在此之前，大量的數(shù)據(jù)泄漏會(huì)暴露出相關(guān)的移動(dòng)安全問(wèn)題。這其中可能的腳本包括移動(dòng)設(shè)備上不可靠的云備份和高度機(jī)密資料。"

在移動(dòng)設(shè)備上使用多種云服務(wù)時(shí)，不同的安全模型和條件之間會(huì)存在一些相互依存性。云服務(wù)提供商在支持移動(dòng)用戶使用基于云的移動(dòng)設(shè)備的同時(shí)，提供了許多機(jī)密移動(dòng)設(shè)備數(shù)據(jù)的訪問(wèn)。此外，移動(dòng)設(shè)備的遺失或被盜能提供對(duì)云服務(wù)和數(shù)據(jù)進(jìn)行根級(jí)別的訪問(wèn)。移動(dòng)應(yīng)用程序通常會(huì)直接和自動(dòng)地提供云服務(wù)和數(shù)據(jù)的訪問(wèn)。如果管理人員的移動(dòng)設(shè)備被盜，亦或是利用不可靠的移動(dòng)設(shè)備管理云服務(wù)，都將成為高度機(jī)密數(shù)據(jù)的主要威脅。

需求更完善的訪問(wèn)控制和身份認(rèn)證管理

金融服務(wù)公司ING的IT策略和架構(gòu)高級(jí)副總監(jiān)Alan Boehme稱："云本質(zhì)上是高度虛擬化和高度聯(lián)合的，你需要一種方法，在自有云與他人云之間創(chuàng)建控制和管理身份。現(xiàn)在已經(jīng)有第三方廠商交付了可以解決這些問(wèn)題的產(chǎn)品和服務(wù)，但這些可能不適合那些傳統(tǒng)環(huán)境與云環(huán)境結(jié)合的大企業(yè)。"

持續(xù)關(guān)注法規(guī)遵從

Andy Ellis首席安全官Akamai表示："我認(rèn)為法規(guī)遵從（特別是PCI）有可能仍是一項(xiàng)安全問(wèn)題。企業(yè)還需要經(jīng)常應(yīng)對(duì)各種完全不同的流程來(lái)管理云中的數(shù)據(jù)和應(yīng)用程序。我們將看到更多關(guān)于云數(shù)據(jù)的安全保障案例。"

多租戶的風(fēng)險(xiǎn)

Sword Shield Enterprise Security安全評(píng)估和風(fēng)險(xiǎn)總監(jiān)、IANS教學(xué)成員Dave Shackleford表示，鑒于大多數(shù)云服務(wù)都大量運(yùn)用虛擬化技術(shù)，將多個(gè)組織的數(shù)據(jù)封裝在一個(gè)物理管理程序平臺(tái)中就會(huì)存在相關(guān)的風(fēng)險(xiǎn)，除非制定具體的細(xì)分規(guī)則。

雖然已經(jīng)假定虛擬機(jī)和虛擬網(wǎng)絡(luò)組件會(huì)被"默認(rèn)分離"，但管理程序平臺(tái)的缺陷和潛在弱點(diǎn)已經(jīng)證明云會(huì)產(chǎn)生細(xì)分問(wèn)題。

Shackleford表示，關(guān)于缺陷最有利的證明是去年大家關(guān)注的Kostya Korchinsky豁免案。Korchinsky"攻擊"了VMware虛擬機(jī)，并運(yùn)用被稱為CloudBurst的概念驗(yàn)證工具在基礎(chǔ)虛擬層系統(tǒng)中執(zhí)行了一段程序。Shackleford還表示在2008年 Core Security發(fā)現(xiàn)了一個(gè)目錄缺陷，它可允許攻擊者從虛擬機(jī)上訪問(wèn)管理程序的文件。

云標(biāo)準(zhǔn)和相關(guān)認(rèn)證的出現(xiàn)

Barr表示，由于選擇云服務(wù)時(shí)可進(jìn)行安全評(píng)估，標(biāo)準(zhǔn)和認(rèn)證將對(duì)幫助用戶估計(jì)其數(shù)據(jù)所需安全級(jí)別起到極其重要的作用。云用戶也可繼續(xù)利用其現(xiàn)有的流程去評(píng)估云提供商的安全態(tài)勢(shì)，但有望出現(xiàn)更多開(kāi)發(fā)指南和標(biāo)準(zhǔn)的民間組織。