云安全的挑战及解决方案是什么？

云安全到底是什么？云安全与传统安全有什么区别？

一、云计算的基本概念

谈到云安全的概念就不得不聊一下云计算了。

简而言之，云计算就是一种新兴的计算资源利用方式，云计算的服务商通过对硬件资源的虚拟化，将基础IT资源变成了可以自由调度的资源池，从而实现IT资源的按需分配，向客户提供按使用付费的云计算服务。

用户可以根据业务的需求动态调整所需的资源，而云服务商也可以提高自己的资源使用效率，降低服务成本，通过多种不同类型的服务方式为用户提供计算、存储和数据业务的支持。

二、云计算环境下的安全需求和挑战

有信息传输的地方就存在安全问题，云安全就是云计算环境下面临的安全问题。

一方面，传统环境下的安全问题在云环境下仍然存在，比如SQL注入、内部越权、数据泄露、数据篡改、网页篡改、漏洞攻击等。

另一方面，云环境下又不断涌现一堆新的安全问题，以下将会从管理使用和业务安全防护两个维度为大家分析云计算环境下的安全挑战。

安全管理使用维度面临的需求和挑战：

1）云上安全部署困难

云计算打破了传统IT环境的网络边界，用户的业务部署在云上，传统的硬件盒子已经无法部署到用户的虚拟网络中，满足不了用户的云上安全需求。

2）安全按需自服务

云上每个用户的业务千差万别，安全需求自然也各不相同，传统环境下预先规划好安全设备对特定业务系统做防护的模式已经不适用于云计算环境，而按需自助申请安全资源，实现安全服务的即开即用的模式成为云上用户的云安全基本诉求。

3）安全按需计量计费

云环境下，用户使用IT资源像使用水一样即开即用，按需付费，而传统环境下，安全设备型号性能和使用期限都是固定的，显然不满足云上用户对安全资源的需求，安全资源也需要满足按需计量计费的原则。

4）安全资源弹性伸缩

用户云上的业务规模会随着业务的发展弹性伸缩，因此安全资源也需要随着的业务的伸缩和伸缩，即云上安全需要具备安全资源池弹性伸缩的特点。

5）统一运维管理

云上用户采用的安全服务可能有很多种，如果每一种安全服务都单独运维管理会给用户日常的安全运营工作带来极大的挑战，因此安全统一运维管理是云安全解决方案需要解决的一大痛点。

业务安全防护面临的需求和挑战：

1）虚拟机逃逸

云计算实现了主机资源的共享，理想情况下运行一个虚拟机中的程序是无法影响其他虚拟机的，然而某些情况下，在虚拟机运行的程序会绕过底层从而控制宿主机，一旦宿主机被控制，其他用户的业务就会面临巨大的安全威胁。

2）东西向安全防护

云上用户的业务可能会部署在多虚拟机中，一旦某一个虚拟机被控制或感染病毒，对整个业务系统的影响也是灾难性的，因此东西向防护成为云安全的主要需求之一。

3）数据泄漏

云计算依托的基础就是海量数据，而海量数据若发生泄露，造成的损失也将远大于传统环境，云环境下多用户的数据共享云上存储，如若一个用户的应用存在漏洞可能就会导致其他客户数据的泄露，而恶意黑客会使用病毒、木马或者直接攻击方法永久删除云端数据来危害云系统安全。

4）云平台安全审计

用户的业务依托在云上，数据也存储在云上，针对云平台本身的合规性和安全审计也是云上用户面临的重大困扰。

三、市场上常见的几种云安全解决方案

目前市场上在公有云和私有云场景下出现的解决方案有一定的差异，下面将会从公有云和私有云两个维度为大家解析：

公有云

公有云场景下，主线的比较常见的接种解决方案有：

1）安全厂商提供单一的安全软件

由于硬件已经无法部署到云上，安全厂商通常实现了安全产品的软件部署，将安全产品软件部署在用户提供的虚拟机上，为用户提供安全防护能力。

这种方式有几个弊端：

（1）部署复杂：首先得用户提供虚拟机，然后安全厂商手动将安全软件部署到用户的虚拟机上；

（2）安全组件管理复杂，需要逐一登陆到不同的安全组件做安全管理；

（3）用户购买流程复杂，无法做到安全性能的弹性扩展。

2）安全厂商提供安全SAAS服务

安全厂商提供SAAS化的云安全服务，常见的如扫描服务、WEB应用防护服务，可以为用户的云上业务系统提供安全能力。

3）安全厂商的安全产品入驻云平台的云市场

每个公有云都有安全市场，安全厂商可以将安全产品入驻云平台的安全市场，用户可以通过市场自助选购。

4）云服务商自己提供安全服务能力

随着云平台的发展，目前大部分的云厂商慢慢都具备自己的安全能力，用户可直接通过云管理平台申请开通云服务商的安全服务。

这种方式也有一个很大的弊端：缺乏第三方的安全审计。

私有云

私有云场景下，前面公有云场景下提到的：安全厂商提供单一安全软件部署在虚拟机上，安全厂商提供安全SAAS服务、云服务商自己提供自己研发的安全服务等方式也都会存在，不同点主要有以下两种：

1）云市场：

私有云场景下往往不会有云市场模式将不再存在。

2）安全资源池：

为了满足云场景下的安全需求，市场上目前比较常见的一种方式是安全资源池的方式，帮助用户构建一个统一管理、弹性扩容、按需分配、安全能力完善的云安全资源池，为用户提供一站式的云安全综合解决方案。

四、云安全的趋势

1）多云安全和混合云安全成为用户的安全痛点：

市场上云服务厂商众多，用户往往将业务部署在多个平台上，多云和混合云的场景在国内市场上将会长期存在，因此多云安全和混合云安全将成为云安全解决方案需要解决的安全痛点。

2）安全服务SAAS化：

通过VM的方式为每个用户提供独立的安全产品这种方式会造成巨大的资源浪费和，同时大大增加了安全运维成本，安全服务SAAS化可以很好的解决以上问题。

3）第三方安全审计视角成为安全：

用户的业务和数据都依托在云服务商的云平台上，第三方的安全审计视角必不可少。