私有云安全风险与部署技巧指导

私有云安全风险与部署技巧指导
私有云安全风险与部署技巧指导
在谈论云计算时，每个人都会把它视作传统计算模式的一个替代项。

但是许多人对于把公司的数据交由公共云服务供应商管理仍抱着谨慎态度。

其结果是，一些想要采纳云架构的公司开始着手构建他们自己的私有云环境。

那么，与传统数据中心相比，私有云架构的定义是什么呢？私有云环境的安全风险是什么？企业如何建立虚拟云环境虚拟服务器连接？本技术手册将为您一一讲解。

私有云安全风险
云备份解决方案有诸多诱人的地方，诸如容量廉价、降低资金花销、简化数据管理等等。

作为云计算分布式体系架构和软件即服务（SaaS）交付模型，它允许你快速廉价地签订合同、启动服务以及更改所选服务。

云中数据备份方案的关键：安全和性能
Terremark安全专家：如何应对平台安全审计（上）
Terremark安全专家：如何应对平台安全审计（下）
私有云部署技巧
因为云环境是动态灵活的环境，它们必须能够应对负荷量激增的状况——不能只满足平均负荷的要求。

因此最可能要做的就是往虚拟环境中添加功能，以提高可用性、自动化程度、资源分配利用的测量以及提供自助服务的能力。

搭建私有云之前要做哪些准备？
如何建立云环境虚拟服务器连接？（上） 如何建立云环境虚拟服务器连接？（下）
云中数据备份方案的关键：安全和性能
云备份解决方案有诸多诱人的地方，诸如容量廉价、降低资金花销、简化数据管理等等。

作为云计算分布式体系架构和软件即服务（SaaS）交付模型，它允许你快速廉价地签订合同、启动服务以及更改所选服务。

但是这样的体系架构和交付模型却令管理者们提心吊胆。

对于向组织以外发送重要数据，他们感觉不方便，而且这还须取决于第三方的备份性能、数据私有性、安全以及恢复能力。

的运维主管Robb Bryn同样也遇到了这些问题。

CFWebmasters是一家位于美国北卡罗来纳州（N.C.）威明顿市（Wilmington）的Web开发与设计公司，它拥有16名员工和400到500名用户。

这家公司由托管供应商Hosted Solutions Acquisition（位于北卡罗来纳州罗利市）负责管理，供应商建议该公司使用云备份解决方案来减轻Bryn所面临的容量短缺问题。

CFWebmasters在Hosted Solutions租用了半机架设备。

几个月前，Bryn还处在业务决策改变的十字路口，他过去使用Dell的PowerVault 220S并预留了2TB 的备份容量，但单单是他的日常备份每周就累计达到了1.5TB，这使得Bryn不能保留超过两周的数据备份。

“我们必须做出决定。

” Bryn谈到：“我们要么使用最后机架内3个模块单元用作备份空间，要么转到整个机架设备上，要么获得一台SAN或NAS设备。

”而他真正希望的是将最后机架内的3个模块单元用作附加处理能力，由VMware的ESX服务器来运行公司的关键应用。

Hosted Solutions提供Stratus Cloud Storage服务。

Stratus Cloud Storage服务结合了前端的TwinStrata CloudArray虚拟化设备以及后端的EMC Atmos。

这将会是托管供应商第一次全线侵入云备份服务领域。

Hosted Solutions
向Bryn展示了云备份服务如何省钱以及如何省去为存储容量而购买额外设备填充
机架的费用。

Bryn有两大关注的问题。

首先，他担心可能会带来的性能问题，性能问题很
可能会影响到夜间备份的工作完成，夜间备份一次会花费6个小时左右。

“我熟悉附加光纤存储（Fibre-attached Storage）。

”他谈到：“我知道直接附加存储（Direct-attached Storage）如何工作，毕竟我们就处在这样的环境下。

但在线
备份对我们来说却是件令人担忧的事情，主要是涉及到时间问题。

我们最关心的问题就是能否按照我们已有的存储例程实现备份。

”Bryn所关心的第二个问题就是，是否需要向Hosted Solutions购买额外的带宽以适应附加备份网路。

最终，Bryn
选择使用Stratus Cloud Storage服务完成日常备份，使用Dell PowerVault完成每月备份。

“我想我可能每月至少进行一次完全备份，这就是我们眼下唯一薄弱的环节。

”他谈到。

Bryn担心的还有安全问题，这也是考虑转向云备份的企业们通常所遇到的问题。

Bryn使用了Symantec的Backup Exec，这款产品实现了加密并对密钥进行保
护以及加密压缩TwinStrata虚拟化设备与Hosted Solutions服务器之间的链路。

云备份安全是用户重点关注的问题
根据Enterprise Strategy Group高级分析师Lauren Whitehouse的观点，她的研究调查显示，安全问题是影响企业是否考虑使用云数据备份服务的关键因素。

IT和管理两方面都关系第三方供应商能否在物理、数字安全以及隐私上有着和企
业内部IT部门一样严格的措施。

“我的数据是不是和其他公司的数据混在一起？”Whitehouse提出了一个典型的问题：“其他人会不会意外地闯入我的系统？这些
都是人们感觉云备份的不便之处。

”
为缓解云计算解决方案中的这些问题，Whitehouse建议，要求服务提供商内
部控制文档化，调查供应商数据中心的等级。

此外，Principle Logic LLC（一家
独立的信息安全公司）的创建人与咨询师Kevin Beaver（通过CISSP）建议寻找已经通过SAS（Statement on Auditing Standards，审计准则公告）NO.70 Type II
审计的数据中心，这可以反映出服务供应商对托管用户数据有足够地控制和保障措施。

然而，SAS Type II审计报告可能无法揭露出针对特殊应用的技术缺陷。

“想
深入了解应用以及其支持系统的安全状况就要求有渗透试验或弱点评估的结果。

”Beaver谈到。

云备份性能问题
当Bryn同意加入Hosted Solutions云备份的测试，并最先实现该服务时，Bryn的性能问题就成为了现实。

他的备份要花费12到18个小时完成。

但是他发现，这并非云备份方案所致。

“多数是我们自己的问题，诸如内部的网络设计问题或是并行硬件。

”他解释说：“最终并非云计算的性能。

” Hosted Solutions增
强了虚拟化设备，他们用镜像阵列替代了RAID5配置，同时用更快的1950模型替
代了原先的Dell 1850服务器。

如今，他的备份时长下降到5.5小时。

“所以性能和以前基本差不多。

”他说。

原本Bryn必须自己支付硬件更新，而如今Hosted Solutions则免费提供全部设备。

Whitehouse推荐企业在考虑云备份解决方案时要考虑性能问题，要询问供应
商是否使用了先进数据服务，例如压缩和去数据冗余。

如果供应商不能足够地控制连接组织与后端云存储带宽时，他们又能控制线路上多大量的数据传输。

另一个策略就是要求服务级别协议（SLA），但是要做好遇到障碍的心理准备。

“除了极少数的以外，第三方提供商并不喜欢把这些内容写入条款，”Whitehouse 说：“他们不喜欢明确指出条款，原因是这里有很多变数存在。

”
Forrester研究机构的分析师Rachel Dines在写给的
电子邮件中谈到，她看到越来越多的云服务供应商同意保证用户的恢复时间目标（RTOs）和恢复点目标（RPOs）。

在与云服务供应商谈判SLA时，Dines也建议指
出其他的问题。

“这点很重要，SLA不仅仅是恢复时间问题。

”Dines写到：“即
使恢复时间通常是公司最为关注的。

”除了性能方面，SLA还包括地址安全、弹性化、隐私性。

Whitehouse表示，Iron Mountain公司是少数几家提供云备份与存储SLA的服务供应商，这在于他们从事线下数据存储业务已经很久了。

在开始使用服务之前，Bryn考虑到带宽问题。

他说：“我们开始通过线路输
出大量的数据时，速度还是很快的。

” Hosted Solutions调整CFWebmasters从95%到整个容量，还不包括云备份网路。

Bryn有100Mbps带宽，而如今只用到
50Mbps。

至于他在Hosted Solutions罗利市数据中心的半机架设备，Bryn增加了PowerVault MD3000以及8TB的容量，此外还有另一台Dell 1950服务器。

在未来
的六个月里，他计划使用额外的处理能力把web服务器全部部署到云中。

另外，他也有能力保证两个月的完全备份以及3个月的基于云计算的日常备份。

安全、性能以及额外带宽花费正成为企业考虑转向云备份的关注点，根据Whitehouse的观点，首要关注问题是企业拒绝将关键数据移到公司范围以外。

“最大的障碍是克服整个企业文化或是组织反对云备份。

”她说：“主要是企业中人员反对。

”这是任何提供商都不能控制的。

查看原文
（作者：Todd Erickson 译者：梁英宗来源：TechTarget中国）
Terremark安全专家：如何应对平台安全审计（上）
全球托管供应商Terremark的安全架构师Chris Day就公司如何将法规遵从融入自身的企业云计算、电子云计算（e-cloud）以及相关服务等问题与TechTarget 记者进行了探讨。

具备通过像联邦信息安全管理法案（Federal Information Security Management Act ，缩写为FISMA）这样繁琐审计的能力，对Terremark 的政府用户而言是必要的，不过服务供应商觉得对此投资是值得的。

对此，Chris Day就如何简化流程问题回答了TechTarget记者的提问。

TechTarget：使用云计算平台的前提会是它必须已经通过了审计？
Chris Day：从开始设计，我们就服从审计要求，因为我们清楚我们的目标是可以支持民政机构。

为此，我们必须确保有能力通过中级FISMA，事实上我们也在向高级FISMA努力。

你不能在已经设计出产品后再回头说，“让我们来通过FISMA审核吧！”如果你没有为此做好准备，事实上要想通过审核是不可能的。

我想你可能已经见过一些符合要求的供应商了。

整个“企业云计算”的概念就在于拥有企业级的服务级别协议（SLA）、企业级的任务支持、企业级的关键业务支持。

对此我们清楚必须要支持PCI，我们也清楚必须要支持其它的框架。

这已经不是什么大秘密了。

我仍旧对一些号称专家和权威人士感到吃惊——他们并没有实际运作任何云计算架构的经历，他们置身事外，大谈特谈云计算并混淆云计算的实质。

TechTarget：为什么它不是大秘密？云计算安全一直以来都是市场的焦点。

Chris Day：实际上，云计算就只是一个IT服务的平台。

你可以获得所有这些很炫的新特性——弹性扩展、自助式服务等等——但从安全角度来看，它根本没有改变什么。

不论你在企业组织中采用什么样的控制框架，你是否是一家规范化的商业机构或是政府机构，不论你是否希望认真对待信息安全，你都必须要进行审核。

如今，其他的问题又浮出水面，特别是平台即服务（IaaS）在取证与及时响应方面。

机器在何处可以快速地分配，你就可以用它来做坏事，然后快速地去分配（de-provision），这样证据就消失了。

如何从法律的角度处理这类问题是件很棘手的事情。

TechTarget：在现在恶劣的环境下，你又将如何设计安全？
Chris Day：眼下我们所做的，比方说我们设计和构建云计算基础设施，就是
在包装各种各样的安全服务。

我们希望有能力成倍提高成熟度，从信息安全的角度，一个企业自身环境下的任何关键平台可能都需要这样的安全保障。

TechTarget：规范化的用户又该如何使用云计算？
Chris Day：这里有一整套的产品设计审核过程，我们有属于自己的一套基线
文档，如果有人找到我们说：“如果有我需要的产品的话，我就部署到你们的环境下。

”这里有一套打包文档需要填写。

如果是部署新系统，为了让用户系统运作，我们可能必须培训员工——然后为了网络运作中心（network operations center，缩写NOC）和安全运作中心（security operations center，缩写SOC）的员工，
我们会支持有关需求把新系统集成到仪表盘上。

有时人们如何思考是很好笑的，“这就是云计算，它就是出路。

”它是所谓的产品集，它又不是。

它是一个必须具备支持灵活性能的平台。

实际上，我们有一位客户运行了后台使用主机的云计算环境。

他采用了托管空间，我们要跨越连接主机到他自身的云计算环境。

查看原文
（作者：Carl Brooks 译者：梁英宗来源：TechTarget中国）
Terremark安全专家：如何应对平台安全审计（下）
TechTarget：那么Terremark的云计算是拥有不同的实际安全等级，还是说对所有用户都有统一的安全基线呢？
Chris Day：用户都是同等对待的。

这里有一条基线，举个例子，IDS（入侵检测系统）、被管理的防火墙、流量监控以及其他产品都会提供给所有人。

不论用户是否支付了额外的附加服务。

如果他们想要日记汇总，因为他们可能需要实现良好的安全监控或是他们需要实现PCI要求，那么可以选择购买这些功能。

从报告的角度，这更接近你想要从SLA获得的交付产品。

当一位新客户选择电子云计算（e-cloud），其中的流程是很快速的，但不像vCloud Express那样快。

顾客会选择并表示，这里的安全技术实现指南（Security Technical Implementation Guides，缩写STIGs）和ISOs （International Organization for Standardization）是他们想要的。

我们会帮助他们导入这些，这样就可以显示在界面上了。

该流程中的一些环节要比其它同类流程容易的多。

根据用户平台的复杂程度，它可以做需要的改变，但这要花费一些时间。

我们正将ArcSight从用户站点移出并扩展到我们的vCloud Express上。

TechTarget：如何使得从事的审计变得轻松？
Chris Day：我们分配一些人力资源到该过程上。

举个例子，我雇了一个员工，相当于全职的。

他的工作就是与客户和审计人员打交道，让他们了解该过程。

如果你接触过FISMA审计，你就会了解它不像PCI那样勾选项，这里有更多主观因素会起作用，这都取决于你的审计员。

你必须要有经历过整个过程并有丰富经验的人员来从事该项工作。

另外，云计算是新生事物，虚拟化也是新生事物。

我们做得第一个FISMA审计让审计员们费劲了心思。

他们谈到“我们没有任何可以参考的资料”。

所以我们和他们一同工作来开发工具，这些工具随后帮助他们加快了控制链并获得了认可，并在时间上大大简化了该过程。

我们开发了一些用户脚本，这些脚本允许我们检查和审核。

我们有自己的审计书，它列出了以往出现的全部问题。

一位新审计加入，他可以得到打包好的资料，这其中包括了以前审计人员所要的全部资料以及我们对此的认证。

他们可以浏览这些后再决定想要检查些什么。

但这需要花费一些时间，通常真正的FISMA审计，要花费30到60天。

TechTarget：云计算会实现安全上的理想状态吗？何处才能彻底地托管存储与计算，彻底实现透明与安全，以及用户的独立控制呢？
Chris Day：我不认为目前能实现你所描述的产品，到目前为止没有哪个系统
会像那样。

如果真是那样，那将意味着坏人是静止的，这种情况根本就不存在。

云计算终究只是个平台——这里没有什么魔法存在。

它仅仅是实现更快速更弹性化地提供IT系统的另一种方式。

人物简介
Chris Day负责管理Terremark的全球信息安全服务以及客户信息。

Chris参与有关安全审计、弱点评估、计算机取证和安全系统设计等领域管理着众
多咨询项目。

他是在众多安全事件中处理系统入侵、知识产权窃取、电子骚扰和诈骗方面的专家。

Chris获得迈阿密大学（the University of Miami）物理数学的学士学位。

查看原文
（作者：Carl Brooks 译者：梁英宗来源：TechTarget中国）
搭建私有云之前要做哪些准备？
在谈论云计算时，每个人都会把它视作传统计算模式的一个替代项。

但是许多人对于把公司的数据交由公共云服务供应商管理仍抱着谨慎态度。

其结果是，一些想要采纳云架构的公司开始着手构建他们自己的私有云环境。

那么，与传统数据中心相比，私有云架构的定义是什么呢？难道只要声称现有的数据中心是私有云就行了么？
实际上没那么简单。

私有云意味着公司要进行自我管理并部署单独使用的数据中心，它体现出有别于传统数据中心的几个特征，包括：
●高度的伸缩性：应该能够按需动态添加或减少可用资源
●高可用性：云架构能够保障尽可能长的服务运行时间和尽可能短的服务中
断时间
●成本监测模型：云资源消耗能够被监测并计算用户分担成本
●自助服务：用户自身能够提出请求并获取相应的云资源
●自动化：云架构中的数据处理流程应该尽可能实现自动化，确保数据及时
交付用户
同时，还要评估现有企业环境向私有云迁移的成熟度。

虚拟化是建立云架构的必备条件之一，因此首先确定现有的虚拟环境是否满足云架构的需求——如果不能的话，需要做出什么改变。

因为云环境是动态灵活的环境，它们必须能够应对负荷量激增的状况——不能只满足平均负荷的要求。

因此最可能要做的就是往虚拟环境中添加功能，以提高可用性、自动化程度、资源分配利用的测量以及提供自助服务的能力。

私有云架构产品
上述提到的功能有时可以从系统管理程序厂商那里获取，厂商以配套产品或者高价定制版本方式出售。

例如，VMware vSphere版本提供了如下功能：动态资源
管理、VMotion、高可用性和容错，这些工具帮助平衡主机资源，并为虚拟机器提
供持续的高可用性。

VMware vCenter服务器产品线还有LifeCycle Manager、Orches-trator和Chargeback可用来管理虚拟化和自动化。

除此以外，还有许多第三方厂商可以提供私有云架构的相关功能。

VKernel有
一款针对Microsoft Hyper-V和VMware平台的产品叫作Capacity Analyzer，同
时另有Chargeback产品服务于VMware。

Akorri公司的BalancePoint同时支持Hyper-V和VMware平台。

Akorri还支持物理性服务器——以防云架构的某部分没
有虚拟化。

私有云要求购买的存储系统虚拟化成熟度不够的话，那么将会付出昂贵的代价。

同理，当说到网络时，你必须的考虑最大的冗余和充足的带宽，保证云的高可用性。

私有云存储和网络虚拟化
对于私有云来讲，不止有服务器虚拟化，还应要注意部署存储和网络虚拟化，以确保私有云各层间的协同效用达到最大化。

存储虚拟化把多种存储设备合并到单一资源中，减少了后端的复杂性，简化了可视效果。

另外，许多存储产品直接与服务器虚拟平台进行了整合来实现自动化、智能的多路径和失效备援，这些对云架构都是有益的。

网络虚拟化融合了物理网络和虚拟网络，使得可以像只管理一个网络那样进行操作。

像Cisco Nexus 1000v这样的产品将一般物理交换机上常见的高级性能扩展到虚拟环境中，从而实现了私有云环境里更高的安全级别、更好管理和服务质量。

私有云环境中什么部分不需要虚拟化
最后要考虑的就是，在私有云环境下是否全盘虚拟化。

云应用通常是多层级的，所以需要考虑是否要将所有层级虚拟化，以满足云应用的要求。

云的特性可能要求某些层级在需要的时候能够骤然增加资源，但可能不要求所有层级都达到这个标准。

要确定出哪些应用能从虚拟化中受益最大，哪些可能不需要虚拟化。

即使虚拟化能产生与云计算无关的某些益处，但虚拟化现有的所有应用系统可能是无意义的——尤其那些花费高昂的部分。

然而，从另一方面来看，不对所有层级虚拟化会加大chargeback扣款的难度，原因是资源要跨越虚拟和物理性的服务器。

在规划的早期阶段，评估需求和条件是决定云应用中哪些要虚拟，哪些则不用的关键因素。

在分析中一定要考虑整体架构。

服务器、存储和网络都有各自具体的要求和依赖条件，忽略任何一个方面都可能对其他部分产生负面影响。

查看原文
（作者：Eric Siebert 译者：孙少忆来源：TechTarget中国）
如何建立云环境虚拟服务器连接？（上）
建立基于云的数据和应用服务器通常需要创建企业本地网络或桌面到虚拟服务器实例的远程连接。

至少有三种不同的方法来连接云环境下的虚拟服务器。

比如，我们将介绍Amazon Web Services、VMware托管供应商Terremark以及一家名为的供应商，在这里企业可以免费托管三台虚拟服务器。

如果你已经开始着手实施云计算，那么有可能你正在使用这三种工具中的一种来连接你的服务器。

也许你更习惯于使用Windows Remote Desktop或者Secure Shell（SSH）来远程管理物理服务器。

如果你从未使用过上述的三种工具，那么快来了解一下哪些虚拟机资源可以使用它们来连接通信。

通过VPN连接
最常用最直接的方式就是使用虚拟专用网络（VPN）。

许多云供应商使用类似思科AnyConnect VPN客户端，它能在浏览器中通过插入Active-X或者Java插件来启动。

这样在桌面PC和云网络之间建立VPN。

一些VPN用户对于使用哪种浏览器感到很迷惑，我推荐使用IE7或者Firefox 3。

太新或太久的浏览器版本可能与AnyConnect和你的供应商服务兼容不够。

Cisco VPN客户端
Amazon Web Services（AWS）拥有自己的虚拟私有云（VPC），可通过它在企业网络和云之间建立VPN，这种方法非常有用，特别对于部署那些基于Amazon的按需私有云应用。

之后，通过AWS Web management console来连接VPC服务。

你需要经过一些步骤来建立连接然后下载VPN网关的配置文件。

亚马逊VPC只支持部分思科和Juniper VPN网关，比如J-series、SSG、ISG和ISR series。

Amazon VPC console
在你建立VPN连接并拥有了云中服务器共享文件以后，你就能通过自己的IP 地址来部署网络驱动。

用这种方法可实现快速迁移，而且不用在本地服务器文件系统中作过多调整。

查看原文
（作者：David Strom 译者：王涛来源：TechTarget中国）
如何建立云环境虚拟服务器连接？（下）
通过远程桌面客户端连接
如果你想直接对服务进行管理，那么你必须使用另一个工具。

比如你想要运行Windows虚拟服务器，就必须启动远程桌面连接客户端。

如果你想运行Linux虚拟服务器，就必须启动SSH客户端。

使用上述方法时，你需要在虚拟服务器上建立服务来接受相关连接，同时保证端口（3389 for RDC）已对外开放。

之后，便可在window服务器桌面运行指令来远程管理，这种方法适合于从console运行Windows服务器管理指令和Linux命令行，比如启动Web和数据库服务器或建立新的共享文件。

远程桌面console（Remote Desktop console）
大多数云供应商能通过windows浏览器或远程桌面连接来实现远程控制。

虽不向用户提供VPN连接，但它在你需要的时候通过浏览器显示一切连接信息，包括指令的细节。

的window浏览器界面
通过FTP连接
第三种方法是使用文件传输协议（FTP）。

之前，你必须在虚拟服务器上建立服务并保证端口20和21可通过外部IP地址识别。

这样的话，你就能在本地桌面上传你的FTP客户端或者直接在服务器上运行FTP指令以及在互联网上连接复制文件。

这是传送大型文件的最好方法，比如建立新网站或上传数据库。

FTP传输
通过比较显示，在桌面和虚拟服务群中提供拖拽式的文件传输，这种方式虽然方便但是安全性不够。

提供VMware托管服务的Terremark提供另一中向云中传输数据发方式。

一旦你连接了VPN，你便可以使用远程VMware console来配置本地桌面和云服务的DVD 驱动。

这适用于上传ISO或在云服务器中安装磁盘，其速度取决于你使用的网络连接。