保险业云计算安全应用探讨

来源: IT专家网
2012/10/11 9:55:15
云计算通过虚拟化技术,极大地提高了资源的使用效率,它将改变我们获取信息的方式,随之产生的是数据在云中的安全问题。本文由云计算面临的安全威胁引出了其特定的安全需求,通过CSA的安全模型映射出安全层次和具体要解决的安全内容,针对各层次提出了应对策略。


分享到: 新浪微博 腾讯微博
本文关键字: 云计算 虚拟化 保险业

云计算通过虚拟化技术,极大地提高了资源的使用效率,它将改变我们获取信息的方式,随之产生的是数据在云中的安全问题。本文由云计算面临的安全威胁引出了其特定的安全需求,通过CSA的安全模型映射出安全层次和具体要解决的安全内容,针对各层次提出了应对策略。

近几年,随着保险行业的快速发展,各大保险公司的经营规模不断扩大,公司的信息化建设也经历了一场跨越式的发展:从最初的几台服务器、几十台客户端小型网络,发展到今天的近百台服务器、上千台客户端。与此同时,后台存储、计算机能量消耗,数据量急剧增长,成本也随之升高。原始的互联网系统与服务设计已经不能解决上述种种问题,云计算应运而生。云计算是在分布式计算、网格计算、并行计算等发展的基础上提出的一种新型计算模型,它面对的是超大规模的分布式环境,核心是提供数据存储和网络服务。

伴随着云计算的应用,随之产生的是数据在云中的安全问题。云的安全和传统的安全到底有多大的差异?需要在哪些方面给予特别的注意?如云安全联盟(CSA)在其发布的“Security Guidance for Critical Areas of Focus in Cloud Computing”中所言:在安全控制方面,云与其它IT环境相比并没有很大的不同;但是,在服务模型、运营模型以及用于提供服务的相关技术等方面,云可能会导致与以往不同的风险。

云计算存在的安全问题

虚拟化安全问题。虚拟化技术能够充分利用现有的硬件资源,拓展了基础设施、硬件、软件的服务能力,然而,虚拟化技术也带来了如下的安全问题:如果主机遭到破坏,那么主机所管理的虚拟机VM将面临威胁;如果虚拟网络遭到破坏,那么客户端也将受到损害;如果单台VM虚拟机存在漏洞,那么相邻的其它VM也将面临威胁。

云平台可用性问题。用户的数据存储、处理、网络传输等都与云计算系统有关。这对云平台服务的连续性、SLA以及事件处理等提出了挑战。另外,当发生系统故障时,如何保证用户数据的快速恢复也成为一个重要问题。

云平台遭受攻击的问题。云计算平台由于其用户、信息资源的高度集中,容易成为黑客攻击的目标。另外,关键信息的丢失或者被窃取,对于用户来说,都是不能接受的。

云计算安全参考模型

从服务模型的角度,CSA 提出了3种基本云服务层次模型。IaaS 是所有云服务的基础,PaaS建立在IaaS之上,而SaaS又建立在PaaS之上。

IaaS:为用户提供处理、存储、网络以及其它基础计算资源的服务,用户可以在其上部署和运行包括操作系统和应用在内的任何软件。

PaaS:为用户提供将其应用部署在云架构上的服务,而创建这些应用的编程语言和工具必须得到服务提供商的支持。

SaaS:为用户提供在云架构上运行的应用的服务。用户可以从多种多样的瘦客户设备经由瘦客户接口(例如web浏览器)对应用进行访问。

此处,我们给出一种云计算平台安全技术体系框架,如图所示。

云计算平台安全技术体系框架

从图中可以看出,对于不同的云服务模式(IaaS、PaaS、SaaS),安全关注点是不一样的;当然,也有一些是这3种模式需要共同关注的,即无论是IaaS、PaaS,还是SaaS,都应该关注的安全,如:数据安全、加密和密钥管理、身份识别和访问管理、安全事件管理、业务连续性等等。

IaaS层安全策略:

IaaS涵盖了从机房设备到其中的硬件平台等所有的基础设施资源层面。IaaS层的安全,主要包括物理与环境安全、主机安全、网络安全、虚拟化安全、接口安全。

1.物理安全:是指保护云计算平台免遭地震、水灾、火灾等事故以及人为行为导致的破坏。

2.主机安全:应该要求做到身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码控制、资源控制等。

3.网络安全:网络结构安全、网络访问控制、网络安全审计、边界完整性检查、网络入侵防范、恶意代码防范、网络设备防护。

4.虚拟化安全:包括两个方面的问题:一是虚拟技术本身的安全,二是虚拟化引入的新的安全问题。

5.接口安全:需要采取相应的措施来确保接口的强用户认证、加密和访问控制的有效性,避免利用接口对内和对外的攻击,避免利用接口进行云服务的滥用等。

PaaS层安全策略:

PaaS位于IaaS之上,又增加了一个层面用以与应用开发框架、中间件能力以及数据库、消息和队列等功能集成。PaaS允许开发者在平台之上开发应用,开发的编程语言和工具由PaaS支持提供。PaaS层的安全,主要包括接口安全、运行安全。

1.接口安全:需要采取相应的措施来确保接口的强用户认证、加密和访问控制的有效性,避免利用接口对内和对外的攻击,避免利用接口进行云服务的滥用等。

2.运行安全:主要包括对用户应用的安全审核、不同应用的监控、不同用户系统的隔离、安全审计等。

SaaS层安全策略:

SaaS位于底层的IaaS和PaaS之上,SaaS能够提供独立的运行环境,用以交付完整的用户体验,包括内容、展现、应用和管理能力。SaaS层的安全,主要包括应用安全:就是要在应用的设计开发之初,充分考虑到安全性,应该制定并遵循适合SaaS模式的SDL(安全开发生命周期)规范和流程,从整个生命周期上去考虑应用安全。

共有安全:

无论是IaaS、PaaS还是SaaS,都存在数据安全、加密和密钥管理、身份识别和访问管理、安全事件管理、业务连续性。

1.数据安全:就是要保障数据的保密性、完整性、可用性、真实性、授权、认证和不可抵赖性。

2.加密和密钥管理:包括密钥存储的保护、密钥存储的访问控制、密钥的备份和恢复。

3.身份识别和访问管理:包括认证、访问控制、单点登录、职权分离、数据保护、特权用户管理、数据防丢失保护措施与合规报告等。

4.安全事件管理:实现数据采集、关联分析、事件优先重要性分析、安全事件处理等。

5.业务连续性:进行业务连续性管理(BCM),制定相应的业务连续性规划(BCP),并且能够得以落实和实施,使得当出现灾难时,可以快速的恢复业务,继续为用户提供服务

云计算正处于发展初期,云计算安全还面临很多需要解决的问题,除了前面提到的安全风险之外,还包括相关曜嫉慕⒁约胺煞ü姹U系龋庑┒冀呛艽蟮奶粽健T萍扑阌悠占埃踩跃陀Ω玫玫街厥樱栽品务提供商来说,如何保证用户存储在云中的数据的安全,对用户来说,如何才能相信云服务提供商能保证云中数据的安全,将是云计算落地急需解决的问题。

责编:罗信
vsharing 微信扫一扫实时了解行业动态
portalart 微信扫一扫分享本文给好友
著作权声明:kaiyun体育官方人口 文章著作权分属kaiyun体育官方人口 、网友和合作伙伴,部分非原创文章作者信息可能有所缺失,如需补充或修改请与我们联系,工作人员会在1个工作日内配合处理。
最新专题
IT系统一体化时代来了

2009年Oracle 用Exadata服务器告诉企业,数据中心的IT服务一体化解决方案才是大势所趋,而当前企业对大数据处理的..

高性能计算——企业未来发展的必备..

“天河二号”问鼎最新全球超级计算机500强,更新的Linpack值让世界认识到了“中国速度”。但超算不能只停留于追求..

    畅享
    首页
    返回
    顶部
    ×
    畅享IT
      信息化规划
      IT总包
      供应商选型
      IT监理
      开发维护外包
      评估维权
    客服电话
    400-698-9918
    Baidu
    map