每隔一段時間，云計算領域就會出現(xiàn)泄露或者安全相關的新聞，似乎只要是云服務商，都有安全相關的問題，于是乎，公有云的安全問題在這個時候總會被拿出來點評一番。聯(lián)系客服小表妹（VX：pingaoyunzzm）了解更多。

注：上述消息引自云頭條公眾號

雖說云計算依托大型數(shù)據(jù)中心、規(guī)?；瘧煤蛷姶蟮倪\維體系等優(yōu)勢環(huán)節(jié)，讓云主機的可靠性遠超傳統(tǒng)小型數(shù)據(jù)中心。但是云計算并不是世外桃源，原本存在的安全問題在云上依然存在，甚至問題的維度更多了——除了用戶主機端的安全問題，支撐云計算底層的服務器硬件、網(wǎng)絡和存儲等環(huán)節(jié)，在資源池化的模式下，帶來了更多安全上的問題。

在云計算領域中有這樣的一個觀點：目前的云計算環(huán)境，有兩個典型的安全問題需要用戶重視。

第一個就是開源軟件漏洞。和商業(yè)軟件不同，開放源碼的軟件是由世界各地的程序員維護開發(fā)的，雖然具有開放的平臺，但是動輒數(shù)十萬行的開放源代碼在用戶端部署應用時容易被第三方利用。相比傳統(tǒng)的商業(yè)軟件，開源系統(tǒng)存在不可控的安全隱患。

第二個是傳統(tǒng)的木馬、黑客程序。雖然云主機提供了系統(tǒng)安裝鏡像，但是用戶在安裝和部署應用環(huán)境時，有可能安裝帶有后門的程序，前一陣爆出的基于某平臺開發(fā)環(huán)境的漏洞就是一個典型的案例。

安全對于用戶而言是頭等大事，甚至在某種情況下是決定企業(yè)生死的命門。傳統(tǒng)數(shù)據(jù)中心雖然也會出現(xiàn)宕機、崩潰、甚至丟失數(shù)據(jù)的問題，但是相比企業(yè)關鍵業(yè)務數(shù)據(jù)的泄露，運維能搞定的都不算大事。

一、云上安全的思考

單純的從技術分析——云主機本身是安全的，云存儲本身也是安全的，因為它們設計之初就是給用戶提供高性能、高可用的計算/存儲環(huán)境，只要在這兩個框架下滿足了用戶的需求，那么就可以認為它是稱職的角色。但是網(wǎng)絡做為連接資源池的重要通道，面對的環(huán)境卻大不一樣了。物理網(wǎng)絡時代用戶可以通過防火墻等設備來防護網(wǎng)絡安全問題，可是在大規(guī)模的虛擬網(wǎng)絡時代，用戶數(shù)據(jù)像洪水般奔騰在虛擬的環(huán)境中，傳統(tǒng)的網(wǎng)絡保護手段難以保護大規(guī)模虛擬網(wǎng)絡下的安全。

虛擬網(wǎng)絡同樣有兩個關鍵的安全問題。

第一，云網(wǎng)絡環(huán)境大都缺乏東西向的安全防護。在大數(shù)據(jù)、大規(guī)模的分布式SDN虛擬環(huán)境下，此時依托物理核心交換機的傳統(tǒng)方案無法滿足安全控制的需要。在分布式SDN網(wǎng)絡中，物理網(wǎng)關不在核心交換機上，而是虛擬分散在各個SDN控制器中。此時虛擬主機的東西向流量并不經(jīng)過核心交換機，傳統(tǒng)的IDS/IPS方案就難以發(fā)揮作用。

第二，對接容器網(wǎng)絡缺乏標準。數(shù)據(jù)中心的網(wǎng)絡邊界下沉到虛擬化網(wǎng)絡中，傳統(tǒng)的安全產(chǎn)品無法探測云內(nèi)部的網(wǎng)絡流量。邊界安全產(chǎn)品，旁路安全產(chǎn)品，甚至是插件式的軟件安全產(chǎn)品都需要深度改造。

與軟件定義網(wǎng)絡的安全體系同樣也分為兩部分，一是云平臺自帶的，二是NFV方式。

二、品高云平臺安全攻略

在品高SDN的體系中，引入了VPC安全域的概念，虛擬網(wǎng)絡可以使用VPC實現(xiàn)多租戶間的網(wǎng)絡隔離，并且多VPC（私有網(wǎng)絡）環(huán)境下都能提供獨立的網(wǎng)絡功能，支持各種網(wǎng)絡場景的落地需求。

品高云在VPC環(huán)境下，為用戶提供了多樣化的安全功能：

IP與MAC綁定：虛擬機IP與MAC綁定，私自修改則引起網(wǎng)絡中斷，防止IP盜用、私接設備的等安全隱患；

安全組：針對虛擬機的類似于虛擬防火墻的安全規(guī)則集合，可以自定義虛擬機的訪問端口，實現(xiàn)虛擬機之間的安全訪問控制；

子網(wǎng)ACL：SDN針對子網(wǎng)的安全控制手段，可以自定義出入的允許和拒絕規(guī)則及優(yōu)先級，實現(xiàn)子網(wǎng)級別的安全訪問控制；

子網(wǎng)分化：通過子網(wǎng)微分段的手段實現(xiàn)子網(wǎng)內(nèi)IP之間的APR隔離，避免ARP嗅探引起的ARP攻擊、ARP欺騙的行為；

隱藏式虛擬化網(wǎng)關：SDN構建的虛擬化隱藏網(wǎng)關，避免因黑客攻破網(wǎng)關而引起的大范圍安全事件；

自定義路由：SDN支持自定義路由，可將流量路由至防火墻接受檢測，實現(xiàn)流量過濾；

彈性IP地址池：防止傳統(tǒng)NAT一對多方式引起的范圍式入侵行為，采用一對一的方式保證NAT轉(zhuǎn)換的安全性；

物理網(wǎng)關對接：SDN對接物理網(wǎng)關，可在物理網(wǎng)關和機房疊加安全防護策略；

VPC隱藏隔離：實現(xiàn)VPC內(nèi)不同安全組間的網(wǎng)絡數(shù)據(jù)隔離，解決APR欺騙和攻擊的行為；

VPC對等連接：實現(xiàn)跨VPC網(wǎng)絡內(nèi)網(wǎng)數(shù)據(jù)通信的互聯(lián)服務，避免跨VPC互通需求下需要外網(wǎng)或其他設備接入帶來的安全隱患；

三、云平臺NFV安全策略

安全是沒有上限的，除了品高云自帶的安全架構外，品高云采用了目前云計算領域中處理安全問題公認的有效手段-----NFV。支持耦合第三方安全廠商，通過將不同安全的網(wǎng)絡能力采取編排的手段，變?yōu)樵浦械囊粋€網(wǎng)元，實現(xiàn)安全功能，如此可以充分發(fā)揮不同安全廠商在邊界安全、殺毒、網(wǎng)絡分析、加密等領域的優(yōu)勢，提供給云主機用戶更好的安全使用體驗。

品高云NFV策略有以下四個安全優(yōu)勢：

01 | 可擴展的軟件定義網(wǎng)絡安全體系

軟件定義安全通過支持各種標準的網(wǎng)絡引流技術，讓第三方可以在安全體系上接入自己的網(wǎng)絡安全技術，實現(xiàn)網(wǎng)絡安全功能與服務的疊加，形成網(wǎng)絡安全生態(tài)體系。

02 | 東西南北向分離管控機制

東西流量通常是數(shù)據(jù)流量，南北流量通常是業(yè)務流量，用戶對它們的管理控制要求是不同的，因此需要區(qū)別對待，實現(xiàn)分開監(jiān)控并使用不同的網(wǎng)絡策略進行管理和控制。

03 | 非插件式的全網(wǎng)漏洞掃描技術

通過對網(wǎng)絡的掃描，網(wǎng)絡管理員能了解容器網(wǎng)絡的安全設置和運行的應用服務，及時發(fā)現(xiàn)系統(tǒng)及應用的安全漏 洞，能有效避免黑客攻擊行為，做到防患于未然。

04 | 網(wǎng)絡入侵蔓延回溯和控制技術

通過SDN網(wǎng)絡感知回溯技術，可以記錄從入侵開始，到入侵被發(fā)現(xiàn)的全過程網(wǎng)絡行為，跟蹤與定位入侵的蔓延范圍。通過網(wǎng)絡策略阻斷蔓延的受控制的容器節(jié)點，防止入侵潛伏與二次攻擊。

可以使用中這樣的比喻來說明云計算的安全目前需要的是什么：“云計算的安全需要大量的“朝陽群眾”，群防群治，不能單純依靠負責安全的“警察”，那樣的安全會出現(xiàn)各種意想不到的漏洞?！?/p>

目前品高云已經(jīng)支持對接的邊界防護（包括WAF/IDS/IPS/數(shù)據(jù)庫審計等）：山石網(wǎng)科、啟明星辰、有云、昂楷；網(wǎng)絡分析：科來；加密：安全狗；殺毒：360虛擬化安全、趨勢。未來還將逐步對接更多的安全廠商的產(chǎn)品，提供給用戶更好更安全的云計算環(huán)境。

品高云支持的安全廠商產(chǎn)品（朝陽群眾）矩陣：

四、總結

品高云SDN的獨特架構為用戶提供了從硬件到虛擬層的全面安全防護，相比開源環(huán)境和純商業(yè)化的云平臺，依托品高SDN的云計算平臺可以提供用戶更好更安全的云計算生態(tài)。

責任編輯：ct