本文將揭秘在云中存儲(chǔ)數(shù)據(jù)5個(gè)最有影響力的不安全因素，并詳細(xì)闡述為什么CSO和安全決策者最重要的事情是思考如何有效地保護(hù)數(shù)據(jù)本身的安全。

2010年12月，思科發(fā)布了一份針對(duì)IT高層管理人員的調(diào)查報(bào)告，52%的受訪者表示已經(jīng)在使用或計(jì)劃使用云計(jì)算，遺憾的是，他們?cè)趯?shù)據(jù)轉(zhuǎn)移到云端時(shí)面臨的最大障礙是安全，盡管對(duì)不安全因素的擔(dān)心在迅速擴(kuò)散，但使用云的用戶仍然在增長(zhǎng)，因?yàn)樵朴泻芏鄻O具吸引力的優(yōu)點(diǎn)，如節(jié)省成本，協(xié)作，效率和移動(dòng)性。

企業(yè)應(yīng)該仔細(xì)研究IT環(huán)境的優(yōu)勢(shì)和風(fēng)險(xiǎn)，建立充分的數(shù)據(jù)保護(hù)策略，而不是毫無(wú)準(zhǔn)備地跳入云中。

將業(yè)務(wù)轉(zhuǎn)移到云端會(huì)引入許多不安全因素，所有一切必須遵循一個(gè)安全原則，才能確保存儲(chǔ)在云中敏感數(shù)據(jù)的真正安全，這個(gè)原則就是：數(shù)據(jù)本身必須得到有效的保護(hù)。

在云端存儲(chǔ)數(shù)據(jù)的5大不安全因素是：

1、濫用和惡意使用云計(jì)算

基礎(chǔ)設(shè)施即服務(wù)（IaaS）提供商往往會(huì)聲稱可以為客戶提供無(wú)限制的計(jì)算、網(wǎng)絡(luò)和存儲(chǔ)容量，但這些都是幻覺(jué)，是浮云。

如果提供商提供免費(fèi)的有限的試用期，大門(mén)也將會(huì)向垃圾郵件發(fā)送者，惡意軟件作者和網(wǎng)絡(luò)犯罪人員敞開(kāi)，他們可以在云中匿名操作，以逃避懲罰。

過(guò)去，只有平臺(tái)即服務(wù)（PaaS）提供商是攻擊者的目標(biāo)，但世界在變化，現(xiàn)在IaaS提供商也不再安全了，組織需要擔(dān)心諸如密鑰破解，分布式拒絕服務(wù)攻擊（DDoS），托管惡意數(shù)據(jù)和彩虹表等因素。

2、不安全的接口和API

對(duì)大多數(shù)組織而言，轉(zhuǎn)移到云是不可避免的，遺憾的是，服務(wù)提供商只是熱心于叫你遷移到云，而不思考他們API和接口中的不安全因素。

通常情況下，管理、業(yè)務(wù)流程、配置和監(jiān)控都是通過(guò)這些接口執(zhí)行的，安全和可用性完全依賴于每個(gè)基礎(chǔ)API內(nèi)置的安全性。

從身份認(rèn)證到訪問(wèn)控制，再到加密和監(jiān)控都在在這些API中體現(xiàn)出來(lái)，但現(xiàn)在它們通常沒(méi)有這樣設(shè)計(jì)，這意味著不但可能發(fā)生無(wú)辜的事故，惡意活動(dòng)的成功幾率也會(huì)越來(lái)越高。

通常，組織和第三方都會(huì)使用這些現(xiàn)成的API走捷徑，要實(shí)現(xiàn)對(duì)數(shù)據(jù)的保護(hù)，你需要脫去這些API的外衣，重新封裝一層安全保護(hù)層。

3、不懷好意的內(nèi)部人員

這些人不會(huì)消失，大多數(shù)組織已經(jīng)意識(shí)到不懷好意的雇員可能會(huì)破壞數(shù)據(jù)，遺憾的是，在云端一樣不能幸免，事實(shí)上，轉(zhuǎn)移到云中后，內(nèi)部人員破壞數(shù)據(jù)的可能性還越來(lái)越大。

由于客戶只有一個(gè)管理域，加上提供商缺乏透明度，導(dǎo)致缺陷被放大。

例如，云提供商可能不會(huì)透露它是如何授權(quán)雇員訪問(wèn)物理或虛擬數(shù)據(jù)，如何監(jiān)控這些雇員，或如何分析服從報(bào)告的，他們僅僅為你提供了一個(gè)快速，劃算的業(yè)務(wù)增長(zhǎng)方法，但不會(huì)提供任何有關(guān)雇員在云中如何工作的可視化報(bào)告。

這使得黑客，企業(yè)間諜，犯罪集團(tuán)，甚至國(guó)家贊助的入侵者對(duì)云中的數(shù)據(jù)更感興趣。

4、共享的技術(shù)問(wèn)題

IaaS提供商的基礎(chǔ)設(shè)施是自己建立的，因此具有良好的擴(kuò)展能力，但這種架構(gòu)解決方案的挑戰(zhàn)是底層組件通常沒(méi)有為多租戶架構(gòu)提供強(qiáng)大的隔離措施。

解決這個(gè)缺陷的快速方法是，使用虛擬化Hypervisor在客戶機(jī)操作系統(tǒng)和物理計(jì)算資源之間起到隔離作用，但如果Hypervisor本身也有缺陷，可能會(huì)給上層的客戶機(jī)操作系統(tǒng)或底層平臺(tái)帶入隱患。

總之，客戶不應(yīng)該有權(quán)訪問(wèn)其它客戶的數(shù)據(jù)，但遺憾的是，云一樣不能保證這一點(diǎn)。

5、未知的風(fēng)險(xiǎn)預(yù)測(cè)

云計(jì)算的一個(gè)信條是減少硬件和軟件所有權(quán)和維護(hù)權(quán)，釋放最終用戶的壓力，讓他們專注于核心業(yè)務(wù)的強(qiáng)項(xiàng)。

但財(cái)務(wù)和運(yùn)營(yíng)方面的好處需要結(jié)合所有安全擔(dān)心進(jìn)行權(quán)衡，毫無(wú)疑問(wèn)，云會(huì)讓你的生活更加簡(jiǎn)單，但它也可能讓你死于安樂(lè)。

你在調(diào)查云提供商時(shí)，諸如軟件代碼更新，安全補(bǔ)丁，缺陷預(yù)測(cè)，入侵嘗試和安全設(shè)計(jì)等都應(yīng)該被涉及。

數(shù)據(jù)本身需要得到保護(hù)才能確保它在云中的安全，不能只依靠云提供商，他們頂多能保證環(huán)境100%的安全，你自己必須確保對(duì)數(shù)據(jù)采取了切實(shí)有效的保護(hù)措施，那么什么措施才是切實(shí)有效的呢？

雖然沒(méi)有銀彈，我認(rèn)為保護(hù)云中的數(shù)據(jù)最核心的需求是斷詞（tokenization ），斷詞是使用別名值或無(wú)意義的標(biāo)識(shí)符代替敏感數(shù)據(jù)，以達(dá)到保護(hù)敏感數(shù)據(jù)的過(guò)程。

這種方法可以用來(lái)保護(hù)敏感信息，如信用卡號(hào)，個(gè)人身份信息（PII），如與健康相關(guān)的數(shù)據(jù)，email，密碼和登錄信息等。

但需要注意的是，不是所有斷詞方法都能起到同樣的的效果，最近幾年出現(xiàn)了多種不同的斷詞類型，每種類型之間的差別很大，下面逐一解釋。

動(dòng)態(tài)和靜態(tài)斷詞

動(dòng)態(tài)斷詞

靜態(tài)斷詞具有結(jié)合原始敏感數(shù)據(jù)預(yù)填充標(biāo)志查找表的特征，以減少斷詞過(guò)程。

這兩種方法都會(huì)占用大量的資源，大型標(biāo)志表不敏捷，會(huì)有延遲，性能地下，可擴(kuò)展性也不好，對(duì)多種數(shù)據(jù)類型執(zhí)行斷詞操作時(shí)，對(duì)云和其它環(huán)境來(lái)說(shuō)，動(dòng)態(tài)和靜態(tài)標(biāo)志表的大小將很快變成不切實(shí)際的解決方案，事實(shí)上，組織的確需要對(duì)多種數(shù)據(jù)類型執(zhí)行斷詞操作，如信用卡，email地址，健康信息等。

內(nèi)存中斷詞

內(nèi)存中斷詞這個(gè)新興技術(shù)的進(jìn)化版本，對(duì)那些將越來(lái)越多的數(shù)據(jù)轉(zhuǎn)移到云端的企業(yè)而言，內(nèi)存中斷詞是一個(gè)理想的解決方案。

它具有系統(tǒng)資源占用非常小的特征，可以壓縮和標(biāo)準(zhǔn)化隨機(jī)數(shù)據(jù)，可以完整分發(fā)，不需要任何類型的數(shù)據(jù)復(fù)制或同步操作。

相較于動(dòng)態(tài)和靜態(tài)斷詞，它顯著減少了性能和可擴(kuò)展性問(wèn)題，因?yàn)闃?biāo)志操作可以并行處理了。

這個(gè)方法也能讓不同的數(shù)據(jù)分類執(zhí)行斷詞操作，也沒(méi)有傳統(tǒng)斷詞方法對(duì)系統(tǒng)性能的影響那么大。

小結(jié)

保護(hù)云和保護(hù)云中的數(shù)據(jù)不是同一回事，在將數(shù)據(jù)轉(zhuǎn)移到云之前，請(qǐng)認(rèn)真思考本文提出的5大不安全因素，現(xiàn)在你應(yīng)該對(duì)為什么要保護(hù)數(shù)據(jù)本身有更深刻的認(rèn)識(shí)。

內(nèi)存中斷詞可以保護(hù)企業(yè)以一種有效的，可擴(kuò)展的方式保護(hù)云中的敏感數(shù)據(jù)，允許他們降低與服從有關(guān)的成本，這在以前是想都不敢想的。雖然沒(méi)有一種技術(shù)是完美的，但斷詞是那些想將數(shù)據(jù)放入云中的企業(yè)的關(guān)鍵需求。

原文名：Securing the cloud and securing data in the cloud are not the same 作者：Ulf Mattsson

譯文鏈接：http://cloud.51cto.com/art/201105/259522.htm