云安全的基本概念

随着云计算技术的快速发展和普及，越来越多的企业和个人开始采用云计算服务来降低成本、提高效率、实现资源共享等。然而，随着云计算应用的不断拓展和深化，云安全问题也逐渐浮出水面，成为行业关注的热点和难点。在本文中，我们将从初识云安全、认识云安全、云安全的两种形态、云安全服务商、云计算环境下的安全需求和挑战等多个方面，详细探讨云安全的相关话题，以期帮助大家更好地理解和应对云安全问题。​

初识云安全​

什么是云计算​

云计算概念最早提出是在1983年，当年太阳计算机系统公司(在2009年被甲骨文公司收购)第次提出了“网络是计算机” (“The Network is the computer”)的概念1996年，康柏电脑公司(在2002年被惠普公司收购)在其公司的内部文件中，首次提及“云计算”这个词汇。​

云计算:是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池资源包括网络，服务器，存储，应用软件，服务)，这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。——美国国家标准与技术研究院​

云计算:是一种基于互联网的计算方式，通过这种方式，共享的软硬件资源和信息可以按需求提供给计算机和其他设备。云计算依赖资源的共享以达成规模经济，类似基础设施(如电力网)。——维基百科​

云计算的基本概念：云计算就是一种新兴的计算资源利用方式，云计算的服务商通过对硬件资源的虚拟化，将基础IT资源变成了可以自由调度的资源池，从而实现IT资源的按需分配，向客户提供按使用付费的云计算服务。用户可以根据业务的需求动态调整所需的资源，而云服务商也可以提高自己的资源使用效率，降低服务成本，通过多种不同类型的服务方式为用户提供计算、存储和数据业务的支持​

什么是云安全​

最早的云安全概念，2008年，趋势科技首次提出了云安全概念。​

云安全”是“云计算”技术的重要分支，已经在反病毒领域当中获得了广泛应用。云安全通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，推送到服务端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。整个互联网，变成了一个超级大的杀毒软件，这就是云安全计划的宏伟目标。​

云安全通过技术+管理的方法保护云计算，尽可能降低安全风险的发生。 

云安全的两种形态​

在国内云计算蓬勃发展的现阶段，业内有两种不同的声音出现:​

• 云计算安全，主要是对云自身的安全保护，包括云计算应用系统安全、云计算应用服务安全、云计算用户信息安全等​
• 安全云计算，通过使用云的形式提供和交付安全，即通过采用云计算技术来提升安全系统的服务性能，如基于云计算的防病毒技术、挂马检测技术等​

云安全服务商​

• 传统安全厂商：以前做硬件安全设备(如硬件防火墙)的厂商为了顺应客户环境的发展，将其传统设备云化。因为现在很多企业将业务放到了云里面，而传统的硬件防火墙没办法放到云里所以传统厂商也顺势推出可以部署在虚拟云里面的虚拟防火墙，这样的形式叫传统设备云化。​
• 云计算服务商：基本所有企业在考虑上云的第一点因素都是云的安全性。这一点原因导致云服务商大力关注他们自身的安全性。不管是微软还是亚马逊，他们会额外提供安全的附加服务，比如说WAF(Web应用防火墙)等。但是这种WAF的本质还是基于云主机的WAF，俗称微WAF并不是真正意义上的云WAF。​

云计算环境下的安全需求和挑战​

安全管理使用​

1. 云上安全部署困难:传统的硬件盒子已经无法部署到用户的虚拟网络中​
2. 安全按需自服务:按需自助申请安全资源，实现安全服务的即开即用的模式成为云上用户的云安全基本诉求​
3. 安全按需计量计费:安全资源也需要满足按需计量计费的原则​
4. 安全资源弹性伸缩:云上安全需要具备安全资源池弹性伸缩的特点​
5. 统一运维管理:安全统一运维管理是云安全解决方案需要解决的一大痛点​

业务安全防护​

1. 虚拟机逃逸:在某些情况下，在虚拟机运行的程序会绕过底层从而控制宿主机，一旦宿主机被控制，其他用户的业务就会面临巨大的安全威胁​
2. 东西向流量防护:云上用户的业务可能会部署在多虚拟机中，一旦某一个虚拟机被控制或感染病毒，对整个业务系统的影响也是灾难性的，因此东西向防护称为云安全的主要需求之一​
3. 数据泄露:海量数据若发生泄露，造成的损失也将远大于传统环境​
4. 云平台安全审计:用户的业务依托在云上，数据也存储在云上，针对云平台本身的合规性和安全审计也是云上用户面临的重大困扰​

云安全解决方案​

公有云安全解决方案​

1. 安全厂商提供单一的安全软件: 由于硬件已经无法部署到云上，安全厂商通常实现了安全产品的软件部署，将安全产品软件部署在用户提供的虑拟机上，为用户提供安全防护能力​
2. 安全厂商提供安全SAAS服务：安全厂商提供SAAS化的云安全服务，常见的如扫描服务、WEB应用防护服务，可以为用户的云上业务系统提供安全能力。​
3. 安全厂商的安全产品入驻云平台的云市场：每个公有云都有安全市场，安全厂商可以将安全产品入驻云平台的安全市场，用户可以通过市场自助选购。​
4. 云服务商自己提供安全服务能力：随着云平台的发展，目前大部分的云厂商慢慢都具备自己的安全能力，用户可直接通过云管理平台申请开通云服务商的安全服务。​

私有云安全解决方案​

1. 云市场：私有云场景下往往不会有云市场模式​
2. 安全资源池：为了满足云场景下的安全需求，市场上目前比较常见的一种方式是安全资源池的方式，帮助用户构建一个统一管理、弹性扩容、按需分配、安全能力完善的云安全资源池，为用户提供一站式的云安全综合解决方案.​

• 云安全管理平台：实现安全的统一运维管理和统一运营管理，实现安全组件的自动编排和安全策略统一管理，实现用户自助按需申请安全服务，安全按需分配，自动化部署等。​
• 云安全资源池：通过虚拟化技术实现机算资源、存储资源、网络资源共享，为安全管理平台和各个安全模块提供资源承载，为用户提供包含云监测、云防御、云审计等覆盖全生命周期的云安全产品服务，满足用户多样化的云安全需求。​

云安全三大研究方向​

云计算安全：主要研究如何保障云自身及云上各种应用的安全，包括云计算机系统安全、用户数据的安全存储与隔离、用户接入认证、信息传输安全、网络攻击防护、合规审计等​

安全基础设施云化：主要研究如何采用云计算新建与整合安全基础设施资源，优化安全防护机制，包括通过云计算技术构建超大规模安全事件、信息采集与处理平台，实现对海量信息的采集与关联分析，提升全网安全事件把控能力及风险控制能力。​

云安全服务：主要研究各种基于云计算平台为用户提供的安全服务，如防病毒服务等

云安全未来发展趋势​

• 应用程序与API​
• 下一代防火墙(物理和虚拟)​
• 数据安全协作​
• 多云安全和混合云安全​
• 安全服务SAAS化​
• 第三方安全审计视角成为安全​
• 云原生安全​
• 零信任安全​
• 以数据为中心的安全中心建设​
• 新身份认证技术​
• 持续性、准实时安全对抗​
• 软硬件供应链安全​
• DevSecOps​
• 数据安全“新”合规​
• 多云协同的云安全治理模式​

总的来说，云安全是云计算的重要组成部分，也是当前业界关注的焦点。随着云计算技术的广泛应用，云安全问题越来越受到重视。虽然云安全面临许多挑战，但通过采用合适的技术和管理方法，可以有效地保护云计算环境的安全性。同时，云安全服务商也在不断创新和改进，提供更加高效、安全、可靠的云安全服务，以满足用户的需求。随着云计算技术的不断发展，我们相信云安全将会得到更加广泛的应用和推广。​