云计算安全

云计算安全，或者更简单地说，云安全是指用于保护虚拟化 IP、数据、应用程序、服务和相关云计算基础架构的一组广泛的策略、技术、应用程序和控制。 它是计算机安全、网络安全以及更广泛的信息安全的子域。

云计算和存储为用户提供了在第三方数据中心存储和处理数据的能力。 组织在各种不同的服务模型（缩写为 SaaS、PaaS 和 IaaS）和部署模型（私有、公共、混合和社区）中使用云。

与云计算相关的安全问题通常分为两类：云提供商（通过云提供软件、平台或基础设施即服务的组织）面临的安全问题和他们的客户（公司）面临的安全问题 或在云端托管应用程序或存储数据的组织）。 然而，责任是共享的，并且通常在云提供商的共享安全责任模型或共享责任模型中有详细说明。 供应商必须确保他们的基础设施是安全的，并且他们的客户的数据和应用程序受到保护，而用户必须采取措施来加强他们的应用程序并使用强密码和身份验证措施。

当一个组织选择在公共云上存储数据或托管应用程序时，它就失去了对托管其信息的服务器进行物理访问的能力。 因此，潜在的敏感数据面临内部攻击的风险。 根据 2010 年云安全联盟的一份报告，内部攻击是云计算领域的七大威胁之一。 因此，云服务提供商必须确保对可以物理访问数据中心服务器的员工进行彻底的背景调查。 此外，建议经常监控数据中心是否存在可疑活动。

为了节约资源、削减成本和保持效率，云服务提供商通常将多个客户的数据存储在同一台服务器上。 因此，一个用户的私人数据有可能被其他用户（甚至可能是竞争对手）查看。 为了处理此类敏感情况，云服务提供商应确保适当的数据隔离和逻辑存储隔离。

在实施云基础设施中广泛使用虚拟化为公共云服务的客户或租户带来了独特的安全问题。 虚拟化改变了操作系统和底层硬件之间的关系——无论是计算、存储还是网络。 这引入了一个附加层——虚拟化——它本身必须被正确配置、管理和保护。 具体问题包括危害虚拟化软件或管理程序的可能性。 虽然这些担忧主要是理论上的，但它们确实存在。 例如，带有虚拟化软件管理软件的管理员工作站出现漏洞可能会导致整个数据中心崩溃或按照攻击者的喜好进行重新配置。

仅当正确的防御实施到位时，云安全架构才有效。 高效的云安全架构应该认识到安全管理会出现的问题，并遵循所有最佳实践、程序和指南，以确保安全的云环境。 安全管理通过安全控制解决这些问题。 这些控制措施保护云环境，并用于保护系统中的任何弱点并减少攻击的影响。 虽然云安全架构背后有多种类型的控制，但通常可以在以下类别之一中找到它们：

威慑控制这些控制是旨在减少对云系统的攻击的管理机制，用于确保遵守外部控制。 就像栅栏或财产上的警告标志一样，威慑控制通常会通过告知潜在攻击者如果他们继续攻击将对他们造成不利后果来降低威胁级别。 （有些人认为它们是预防控制的一个子集。）此类控制的示例可以被视为指导组织实现安全的政策、程序、标准、指南、法律和法规。 虽然大多数恶意行为者会忽略此类威慑控制，但此类控制旨在抵御那些缺乏经验或对破坏组织 IT 基础设施感到好奇的人。预防性控制预防性控制的主要目标是加强系统对事件的防范，通常通过减少如果 并没有真正消除漏洞，也没有防止未经授权的入侵者访问或进入系统。