IBM云计算安全顾问万涛：云安全建设路径与最佳实践(3)

安全服务窗口云：云安全管理的窗口服务与动态展现

第一个安全服务的窗口云，安全服务窗口云，这个IBM跟日本最大电信运营商跟ITT合作的时候已经有所实现，这里面因为服务一定要有呈现，一个安全云对外提供服务的时候，我们刚刚讲第一个话题，要让客户知道你所有的安全状况，一个人要看医生，定期体检一下，看看有什么毛病。而且窗口云是一个随时知道你所处的安全状态，因为它是变化的。上个月微软的一个OFFICE出现了，有可能在这上面有所提高。所以这种情况应该有一个动态实现。这里面包括了安全事件可能对你的云产生的影响，包括安全云的分析对你产生的影响。包括你的保护区一些动作，包括你相关一些人员一些变化产生的这种影响，那么这个都应该通过一个安全服务的窗口去进行体现。

第二个就是基础服务，基础服务就如刚才我们已经讲过的，你在这个层面上，你可以用更多的安全资源做集中，除了可能在在一个特定范围领域，或者某一个特定属性做情况下，你还可以用同样属性的云，或者同样的业务云提供这种服务，现在已经有支持虚拟化的方式了，有支持虚拟化的IPS，有支持虚拟化的WAP，帮助你做对操作系统网络进行的分享，这样大大提高云安全的能力，而且节约社会的投资。第三个就是核心，安全是更多安全管理者去考虑你所知道的，最大的变化就是我们刚才讲模拟的，我关心的是过程，而不像过去我只关心结果，过去装防火墙，每天打开一堆，你每天看十几万条，要逐条分析你肯定死掉了。人家拿扫描器扫扫都会曝你，所以除非出现威胁了，高风险了，被黑了才做安全。尤其作为一个服务商提供者，或者作为服务者，业务安全比如说银行，有一个系统管理员，他真正在云下的系统管理员可能拥有比以前过去非云系统下更大的权限，更大的管理能力和资源，这样他有些行为，以前不关心现在要关心了。比如说过去你只关心他写，他改变什么东西，他做了一个变更，他做了一些调整你关心这个，现在你关心它的过程，比如说他读的过程你要不要关心，甚至不仅是管理员，甚至哪怕是一个柜台小姐你可能也要关心。他没有

呼叫请求的情况下，还有电信诈骗，很多情况可以通过银行发现的，发现很短时间有他的帐户金额巨大，输入之后会迅速被拆开转到其他帐户。这种情况下，是更多关心的内容。这一些情况是在你云下更关心的，比如说包括帐户常识，还有可能越权，或者他有权限，或者是访问频繁度突然提升。我们IBM有做安全的人一些知识库，一些案例，去年有一次我去找一些智慧地球的案例，我发现这个库里面当时有很多资料，因为它是PPT，我那天就挂着机器不停的下，一晚上下了两个G的东西下来。平常我基本上没用过，偶尔进去看一下。这种情况你不会有，第二天收到一封邮件，这个邮件是发给老板的，信息是给我的，具有我们的社会关系和组织关系，通知我老板说，万涛在什么时候访问了高度文件，有一个按钮说我是不是有必要做这个事情，这个事情是不是有特殊性，老板可以随时通过这个权限把我禁了，这就是关于风险性的观察。我一年没有去那个库了，今年又收到一个邮件，还是问我老板，有没有这个权限给我去看这个库。可能你更多设计是设计这样的东西，你企业的规则变了，黑客单纯的攻击不是你关注的，更关注跟你的业务相关的企业规则改变。

所以过去我们在安全业界有不成功的案例，或者一个不成功的模式就是SOC，就是安全总机，过去有美好的期望，安全事件复杂繁多，我把安全关联起来找问题，这些项目大部分失败了，第一个由于不同厂商、不同设备去做是一个难度挑战。只在一些通用的情况下比如说病毒爆发才可以做，真的是这样，这个分析很必要。今天刚刚讲这个安全更多是从企业规则来考虑这个问题，再就是审计，直一点叫调查取证，现在正在做包括民法的修订这个电子证据很重要，比如说聊天记录现在正在修订，可能还没有颁布，修订以后QQ聊天记录可以作为证据来做了。所以像调查取证会成为云下必须要做的东西，过去我们做这个安全里面可能有LOOG，但是由于在云下这个LOOG反应的信息不够了，产品不够了，第二个在云下，如果真的是黑客闯进来，我进入Logo肯定做处理，有可能你产生处理不够的，所以由于在边界模糊之后，你要辨认究竟是不是。所以说你一定是我的话，你就很难去界定在云下，所以云下取证，物理里面有没有，过去我把硬盘一扣就可以取证了。

所以这种情况下，从业务角度来说，现在刑法修整案明确规定，证券、银行、金融涉及公共利益的单位，如果出现了隐私泄露的事件单位是要承担责任，应该是被判三年以下。所以以后像运营商作为一个云提供服务的时候，这个风险你要能够证据我是清白的，这个事情跟我没有关系，所以调查取证也是要把它云化。还有一个就是说从服务支持，所有的安全都是需要人来做的，所以过去来讲这种安全主要是在操作层面，今天你要考虑，比如说在既定模式分成五级，这个级别里面可以确定你的人的模式，你从坚持控制到分析判断，一直到专家你是有区分的。这样几朵云，所谓安全组件的云构成的话就是一个完整安全云。如果从最佳实践来说，这个是我们所要考虑的一个方式。

IBM我们也是通过我们全球的资源去汇集，比如说我在云计算部，有一些同事在软件、也有在硬件，也是用云化组件，但是我们在组织上我们是是统筹来说的，而不是运营方面。我们现在全球光做内部安全我们是用300多人的团队完成所有的管理超过130多个国家，40万美元一个内部安全管理控制。从98年到今天IBM内部没有出现大的安全问题，以上是跟大家分享关于怎么样考虑云计算的安全，以及怎么样建一个安全的云来去满足未来在云环境下，安全风险的不对称以及过去不对称的局面，最终用一种智慧安全的方式，更好的汇集安全的资源，应对未来还是可能不断增长的无限的安全风险问题。谢谢！