每隔一段時間，云計算領域就會出現泄露或者安全相關的新聞，似乎只要是云服務商，都有安全相關的問題，于是乎，公有云的安全問題在這個時候總會被拿出來點評一番。聯系客服小表妹（VX：pingaoyunzzm）了解更多。

注：上述消息引自云頭條公眾號

雖說云計算依托大型數據中心、規?；瘧煤蛷姶蟮倪\維體系等優勢環節，讓云主機的可靠性遠超傳統小型數據中心。但是云計算并不是世外桃源，原本存在的安全問題在云上依然存在，甚至問題的維度更多了——除了用戶主機端的安全問題，支撐云計算底層的服務器硬件、網絡和存儲等環節，在資源池化的模式下，帶來了更多安全上的問題。

在云計算領域中有這樣的一個觀點：目前的云計算環境，有兩個典型的安全問題需要用戶重視。

第一個就是開源軟件漏洞。和商業軟件不同，開放源碼的軟件是由世界各地的程序員維護開發的，雖然具有開放的平臺，但是動輒數十萬行的開放源代碼在用戶端部署應用時容易被第三方利用。相比傳統的商業軟件，開源系統存在不可控的安全隱患。

第二個是傳統的木馬、黑客程序。雖然云主機提供了系統安裝鏡像，但是用戶在安裝和部署應用環境時，有可能安裝帶有后門的程序，前一陣爆出的基于某平臺開發環境的漏洞就是一個典型的案例。

安全對于用戶而言是頭等大事，甚至在某種情況下是決定企業生死的命門。傳統數據中心雖然也會出現宕機、崩潰、甚至丟失數據的問題，但是相比企業關鍵業務數據的泄露，運維能搞定的都不算大事。

一、云上安全的思考

單純的從技術分析——云主機本身是安全的，云存儲本身也是安全的，因為它們設計之初就是給用戶提供高性能、高可用的計算/存儲環境，只要在這兩個框架下滿足了用戶的需求，那么就可以認為它是稱職的角色。但是網絡做為連接資源池的重要通道，面對的環境卻大不一樣了。物理網絡時代用戶可以通過防火墻等設備來防護網絡安全問題，可是在大規模的虛擬網絡時代，用戶數據像洪水般奔騰在虛擬的環境中，傳統的網絡保護手段難以保護大規模虛擬網絡下的安全。

虛擬網絡同樣有兩個關鍵的安全問題。

第一，云網絡環境大都缺乏東西向的安全防護。在大數據、大規模的分布式SDN虛擬環境下，此時依托物理核心交換機的傳統方案無法滿足安全控制的需要。在分布式SDN網絡中，物理網關不在核心交換機上，而是虛擬分散在各個SDN控制器中。此時虛擬主機的東西向流量并不經過核心交換機，傳統的IDS/IPS方案就難以發揮作用。

第二，對接容器網絡缺乏標準。數據中心的網絡邊界下沉到虛擬化網絡中，傳統的安全產品無法探測云內部的網絡流量。邊界安全產品，旁路安全產品，甚至是插件式的軟件安全產品都需要深度改造。

與軟件定義網絡的安全體系同樣也分為兩部分，一是云平臺自帶的，二是NFV方式。

二、品高云平臺安全攻略

在品高SDN的體系中，引入了VPC安全域的概念，虛擬網絡可以使用VPC實現多租戶間的網絡隔離，并且多VPC（私有網絡）環境下都能提供獨立的網絡功能，支持各種網絡場景的落地需求。

品高云在VPC環境下，為用戶提供了多樣化的安全功能：

IP與MAC綁定：虛擬機IP與MAC綁定，私自修改則引起網絡中斷，防止IP盜用、私接設備的等安全隱患；

安全組：針對虛擬機的類似于虛擬防火墻的安全規則集合，可以自定義虛擬機的訪問端口，實現虛擬機之間的安全訪問控制；

子網ACL：SDN針對子網的安全控制手段，可以自定義出入的允許和拒絕規則及優先級，實現子網級別的安全訪問控制；

子網分化：通過子網微分段的手段實現子網內IP之間的APR隔離，避免ARP嗅探引起的ARP攻擊、ARP欺騙的行為；

隱藏式虛擬化網關：SDN構建的虛擬化隱藏網關，避免因黑客攻破網關而引起的大范圍安全事件；

自定義路由：SDN支持自定義路由，可將流量路由至防火墻接受檢測，實現流量過濾；

彈性IP地址池：防止傳統NAT一對多方式引起的范圍式入侵行為，采用一對一的方式保證NAT轉換的安全性；

物理網關對接：SDN對接物理網關，可在物理網關和機房疊加安全防護策略；

VPC隱藏隔離：實現VPC內不同安全組間的網絡數據隔離，解決APR欺騙和攻擊的行為；

VPC對等連接：實現跨VPC網絡內網數據通信的互聯服務，避免跨VPC互通需求下需要外網或其他設備接入帶來的安全隱患；

三、云平臺NFV安全策略

安全是沒有上限的，除了品高云自帶的安全架構外，品高云采用了目前云計算領域中處理安全問題公認的有效手段-----NFV。支持耦合第三方安全廠商，通過將不同安全的網絡能力采取編排的手段，變為云中的一個網元，實現安全功能，如此可以充分發揮不同安全廠商在邊界安全、殺毒、網絡分析、加密等領域的優勢，提供給云主機用戶更好的安全使用體驗。

品高云NFV策略有以下四個安全優勢：

01 | 可擴展的軟件定義網絡安全體系

軟件定義安全通過支持各種標準的網絡引流技術，讓第三方可以在安全體系上接入自己的網絡安全技術，實現網絡安全功能與服務的疊加，形成網絡安全生態體系。

02 | 東西南北向分離管控機制

東西流量通常是數據流量，南北流量通常是業務流量，用戶對它們的管理控制要求是不同的，因此需要區別對待，實現分開監控并使用不同的網絡策略進行管理和控制。

03 | 非插件式的全網漏洞掃描技術

通過對網絡的掃描，網絡管理員能了解容器網絡的安全設置和運行的應用服務，及時發現系統及應用的安全漏 洞，能有效避免黑客攻擊行為，做到防患于未然。

04 | 網絡入侵蔓延回溯和控制技術

通過SDN網絡感知回溯技術，可以記錄從入侵開始，到入侵被發現的全過程網絡行為，跟蹤與定位入侵的蔓延范圍。通過網絡策略阻斷蔓延的受控制的容器節點，防止入侵潛伏與二次攻擊。

可以使用中這樣的比喻來說明云計算的安全目前需要的是什么：“云計算的安全需要大量的“朝陽群眾”，群防群治，不能單純依靠負責安全的“警察”，那樣的安全會出現各種意想不到的漏洞。”

目前品高云已經支持對接的邊界防護（包括WAF/IDS/IPS/數據庫審計等）：山石網科、啟明星辰、有云、昂楷；網絡分析：科來；加密：安全狗；殺毒：360虛擬化安全、趨勢。未來還將逐步對接更多的安全廠商的產品，提供給用戶更好更安全的云計算環境。

品高云支持的安全廠商產品（朝陽群眾）矩陣：

四、總結

品高云SDN的獨特架構為用戶提供了從硬件到虛擬層的全面安全防護，相比開源環境和純商業化的云平臺，依托品高SDN的云計算平臺可以提供用戶更好更安全的云計算生態。

責任編輯：ct