云计算作为一项新型IT服务模式已经改变了IT消费形态。对小微企业来说，当企业主想开始一项新业务时，往往希望通过灵活可扩展的方式进行管 理。相对于把产品推向市场、投资研发以及保障资金流而言，成立IT部门显得并没有那么重要。由于小微企业自身内部没有IT基础设施，因此大多选择公有云服 务提供商来供应IT服务，从而成为了公有云服务应用的先锋。对于小微企业的IT管理者来说，公有云服务的安全性看起来是可以接受的，甚至比他们内部的IT 安全做的更好。

　　但公有云中模糊的信任边界，使云安全成为了大型企业CIO应用云计算的首要顾虑。这种顾虑源自许多公有云服务提供商并没有明确表达信任边界(例 如哪些安全由云计算服务提供商提供，哪些安全仍然需要由用户提供)，这些新的信任边界也没有在SLA中得到补充说明。公有云服务提供商由于对安全管理流程 的治理与实施方面难以提供足够的透明度，以及确保云计算中的数据得到妥善保护，只能把共享责任安全模型中本该自己承担的安全责任丢回给用户自行处理。

　　在这种局面下，相对于将安全运行责任转移给公有云服务提供商而带来对于其SLA及支持企业内部安全管理流程特定功能的依赖，大型企业则更倾向于 搭建一个安全稳定的私有云平台。企业自建私有云，意味着企业需要面对各种信息安全威胁：账号泄露、API安全问题、内部员工的恶意破坏、非法用户对数据库 的访问、授权用户的超权访问、数据泄露、正常网络服务被劫持、黑客网络入侵等一系列安全问题。

　　成熟企业IT部门通常会使用标准的安全管理框架来应对安全问题，如ISO/IEC 27000以及信息技术基础设施库ITIL服务管理框架。这些行业标准的管理框架为治理方案的计划与实施提供指导，以及实现信息资产保护的可持续管理过程。基于这些框架，企业内部私有云平台需要关注的安全管理领域如下：

　　可用性管理(ITIL)

　　访问控制(ISO/IEC 27002, ITIL)

　　漏洞管理(ISO/IEC 27002)

　　补丁管理(ITIL)

　　配置管理(ITIL)

　　事件响应(ISO/IEC 27002)

　　系统使用及访问监测(ISO/IEC 27002)

　　在每个需要关注的安全管理领域，都需要企业IT部门投入相当的精力来承担安全风险和挑战。这个过程中，云平台厂商对此的支持程度，将会对企业 IT安全管理的透明度及可控度产生直接影响。这时，选择运营经验丰富、安全体系完善的云平台服务商就显得格外重要。品高云BingoCloud作为国内首 个自主研发的商用IaaS平台，已陪伴国内数十家大型企业的IT云平台不断成长，并在此过程中携手企业成功应对云平台的各种安全挑战。 BingoCloud在丰富自身云平台安全功能的同时，也不断增强云平台对于企业内部IT整体安全框架的支持能力。不仅为用户提供安全稳定的基础架构云平 台，也为企业用户整体的IT安全流程建设提供更好的支撑，绝不让用户独自面对云平台的安全挑战。

　　可用性管理

　　随着云平台在企业内部的广泛应用，企业会把更多关键业务应用部署在云平台，这就会越来越依赖于云服务的持续可用性。BingoCloud提供的 云监控服务(CloudWatch)，为用户提供了实时查看云中各类服务资源如 EC2 实例、EBS 存储卷、ELB 负载均衡器的运行情况的方法，并且提供了多种监控指标供用户使用，用户还可以针对指标设置“阈值”。当超过“阈值”时会触发“警报机制”，报警机制不但支 持常见的邮件通知，还可以调用自动伸缩服务(Auto Scaling)动态增长/减少某类应用服务器数量，从而灵活应对应用的突发访问量，实现BingoCloud中的应用负载高可用。

　　访问控制

　　为保障企业访问控制的有效性，BingoCloud提供网络访问控制和用户访问控制的二维访问控制。网络访问控制表现为云平台防火墙策略，这个 策略在云平台的出入口处执行基于主机的访问控制，并对云平台内部的实例进行逻辑分组。支持基于标准TCP/IP参数的策略实现，包括源IP、源端口、目的 IP及目的端口等。除此之外，BingoCloud中的用户访问控制也会起到关键作用，它是将用户身份与云服务资源绑定在一起的重要手段，并实现了细粒度 访问控制、用户审计、合规性支持以及数据保护等重要业务需求。通过强身份认证、单点登录(SSO)、特权管理以及云计算资源日志记录和监测，保护云计算中 信息的保密性和完整性。

　　安全漏洞、补丁及配置的管理

　　不安全的应用程序、不安全的操作系统、不安全的网络配置等脆弱点，都会给黑客远程侵入企业私有云平台提供机会，令企业IT部门不堪其扰。为避免 给黑客提供可侵入的漏洞，保证系统高效、安全地运行，BingoCloud将底层操作系统定制剪裁，减少不必要的进程和服务，在满足云平台所需的最小功能 需求的情况下，使系统占用资源最小、稳定性更高。除了保障云平台自身安全性，BingoCloud也为其IaaS/PaaS用户提供安全标准化镜像，根据 不同场景的安全需求强化虚拟机镜像并使其标准化，用户可以放心地直接使用获得安全实例。对于操作系统、应用程序服务器、数据库和Web服务器等不同业务资 源，BingoCloud则根据最小特权和业内公认的最佳实践进行安装和配置。

　　入侵检测和事件响应

　　入侵和事件管理在企业信息安全管理域内是管理和降低风险的关键职能。传统安全中的入侵检测系统由于云平台的网络虚拟化特性，无法检测到虚拟环境 内的网络通信。为保障企业对于内部IT架构的全面监测，支持传统安全工具的引入，BingoCloud的网络虚拟化系统应用软件定义网络(SDN)技术， 通过Openflow协议可以实现虚拟机网络流量的重定向，提供将虚拟网络流量引入第三方安全虚拟网关的能力，实现虚拟化环境内NIDS的部署，以监测云 平台内部的安全事件。安全事件的响应不能靠单一的安全设备，需要调动整个数据中心的IT能力。为满足CERT对于安全事件采集的数据需 求，BingoCloud管理中心收集云平台各组件的系统日志、安全日志、性能日志等，并提供外部接口支持日志导出第三方安全管理分析工具，为企业安全事 件响应和追踪提供依据。

　　大型企业内部的私有云平台使用户可以高度掌控及监管私有云基础设施的物理安全和逻辑安全，为企业安全管理提供高度的可控性和透明度，更容易实现 整体的安全标准、策略及合规。但同时这也将安全管理和安全维护的责任划归到企业自身内部IT部门。品高在为企业建设私有云平台时，不仅为企业用户提供了一 个功能强大且商用成熟的云平台产品BingoCloud，而且为企业IT部门提供丰富的云平台安全功能保障以及安全运行实践，以满足企业云平台的安全管理 需求。除此之外，BingoCloud提供广泛的第三方支持能力可以引入传统安全手段，以融合企业现有IT管理框架。因此从这个角度上说，优秀的云平台厂 商并不仅仅是云产品的制造者和销售者，而是陪伴企业云成长，共同面对挑战的亲密伙伴。

本文由IT外包网 www.it-zm.com摘自互联网