[ 導讀 ] 張偉欽先生，是趨勢科技執行副總裁，全球研發長、大中華區總經理，張先生獲得臺灣計算機大學博士學位，93年就加入趨勢科技，從研發工程師，到06年全球研發長，07年大中華區總經理，現在領導著1200多名的研發團隊，分布在全球。他給我們帶來的題目是云計算時代的新安全挑

趨勢科技執行副總裁張偉欽演講全文：

    各位來賓，大家下午好！首先很高興今天有這個機會，和各位探討一下云計算時代新的網絡安全問題。

    很多人聽到安全公司，就會覺得每一次有好玩的東西，做安全公司出來搗蛋，覺得云很美好，從昨天到今天關于很多美好云的故事，但是安全公司說很多危險，不要隨便去，很多人覺得安全公司有一點掃興。可是我常常說，安全公司就象是一個開車時候的剎車。其實今天開車沒有剎車不敢開開車，慢慢的開，就是因為有剎車的關系，可以敢開快車，本身安全公司沒有限制進入云，在進入云的時候，安全廠商有一個防范的措施，在享受云計算所有的好處的時候，而且不用太擔心安全問題。

    抓住云，不要讓它跑掉。

    貴公司已經開始做虛擬化的人，舉手一下？真的很少，講問題的時候會講的更仔細一些。四個部分：

    1、云計算概述

    2、安全問題及風險

    3、云安全解決方案

    4、建議

    很多人說傳統上資料中心碰到的防火墻，很多問題都還是會繼續存在的，但是我在進入云計算的時候，有沒有新的問題產生？這里應該是我們探討的一個比較重點。我大概會說一般的解決方案，我會盡量不要太學術，最后會給一個建議。

    整個云的變化，其實是一個虛擬化的轉變，包括從一開始看到是一個物理機，慢慢走向虛擬化，走向云計算。云計算是虛擬化最后的延伸，所以說現在很多公司部署，必須要考慮好虛擬化的問題。

    可能今天聽到很多有關云的好處，基本上不要在說了。

    當然云有什么特點？云有很多人住在一個房子里，有很多彈性，今天要多少，明天就有多少，比如家里明天要辦一個聚會，不要擔心電。大規模擴展性，只需要支付就有人幫你。

    很多人都說IT是下一個很好的產業，說道這里都是有關云好的一面。在全世界真正開始談到云安全，是08年安全最大的會議上，思科的老板曾經說過，云計算是安全的惡夢，這是他第一次講的。

    從08年開始，2009年在美國問所有的公司專門管IT內部架構，什么問題什么樣的考慮是你最不敢使用問？答案就是安全問題。

    基本上我們從所有一般從公司走到所謂的政府、公眾云，這個過程中，整個對機器的控制和權限從企業慢慢走到服務[FS:PAGE]商的手段，尤其是使用公有云，管那臺機器不是你在管，在乎不在乎這臺機器是IBM還是DELL，在乎的是用里面多少計算能力、多少內存，云走到最后一個階段，整個權力慢慢從所謂的企業移下服務商。

    從傳統的架構走向虛擬的架構，從趨勢的立場，我們一般看到， 整個虛擬化，整個云化分成三個階段：
    第一個階段服務器整合，這一段最簡單，今天機房沒有空間，傳統的方法先蓋機房，可能要花很長時間，現在有選擇，把兩臺機器結合成同一臺，最簡單的是省電，這是最基本的方法，最簡單的方法，所謂我們說的虛擬化的第一步。最主要來源是我希望我可以減低一些空間，節能減排，讓企業更綠一些，這是后面的推理。到了第二步，很多企業想，他會希望因為他會增加服務器的整合，這個時候真正考慮的問題在什么地方？一臺機器壞了多長時間在另外一臺里排起來，節能減排很重要，但更重要的是業務的連續性。是否可以讓業務是否繼續起來，如果我的系統在一臺壞掉，我趕快搬到另外一臺，馬上又起來，這時候很多人會想到，桌面的虛擬化就會出來，這個瞬間就會出現。這是一般看到的第二階段，桌面虛擬化，變得比較省電，很多人都在做。

    第三步，開始要嘗試，從我們家的云搬到中國電信的云，這就是第三步。走到這一步，基本上開始考量的我們家機房，有沒有和中國移動租賃一個，不管你怎么蓋，是否在東北還是黑龍江，蓋在那里可以給我最好的價格？我有一個客戶很簡單，企業再大，買平方沒有中國電信，線是他們家拉的，在怎么省也省不過他們。和IBM談價錢，你殺的價格永遠殺不過。第一步最重要的就是每一個企業到最后，生存可以省的比別人厲害，另外該掙的地方比別人多，今天面臨的是IT部門，面對內部的挑戰。 第一步考量的時候，做IT的主管，面對是讓我的公司在生存，在IT是否更有競爭力。

    從第一個階段，到第二個階段，到第三個階段，這個數字是我們統計出來，一般有百分制多少的機器，你會進入虛擬化，很多人問我不是百分之百，這是心態問題，還沒有碰到任何一家公司百分之百，因為總有一些東西不敢擺出去的。到底什么時候應該擺？

    我們在過去三年，針對每個階段，我們認為每個階段因為面臨怎么新的風險？強調一下新的風險，傳統該殺的還要殺，傳統上防火墻該買還得買，必須問出新的風險。很多人問我，更簡單的問題，其實注意看虛擬化，其實講到最后就是兩個東西不能控制，第[FS:PAGE]一個系統不能控制，傳統一臺機器在那里，跑也跑不掉。第二資料不能控制。到云以后，這兩個東西會從你現在可以控制的時間轉成不可以控制。整個思維里，系統變成不可控，資料變成不可控，這是兩個最大的。在云最大的變化，和傳統最大的變化。

    解釋一下，什么叫做虛擬機之間的相互攻擊？如果各位有玩虛擬化，是否可以攻擊另外一臺虛擬機？這在2007年就被證明了，如果百度搜一下，在07年的證明波蘭的一個女孩子已經可以做了，從技術上是可行的，證明是可以攻擊的。永遠記住，在虛擬化的那一層，虛擬機本身是一個的操作系統，只要是操作系統就有漏洞。不要把虛擬機想的太復雜，虛擬機也就是一個操作系統，只要是操作系統就有漏洞，如果每一位是工程師，我寫的程序不會漏洞，只有有蟲就有漏洞。

    當你虛擬化碰到的問題，虛擬機和虛擬機之間會互相攻擊。第二個就會想，兩臺擺在一起，權限都可以開，研發的原始代碼對公司的價值遠遠超過外面發的小廣告。可以想這兩個東西是否可以擺在一起，這是第二個風險。

    第三個風險，當你把幾臺機器放在一起，五六臺虛擬機，很難控制。以前一臺機器防火墻、補丁都很容易，現在有四五臺，安全防護很難控制的很好。這是很多人做虛擬化第一個階段的問題，會發現很多機器會睡覺，不知道他里面在做什么，所謂睡覺就是不執行起來，你也不曉得到底是否安全。我們做的時間長了，常常碰到客戶和我們說，我們公司內部有病毒，那趕快查，查不到。我們幫助查，發現就一臺虛擬機，研發單位工程師做的虛擬機，測試的時候關掉，出現病毒出來感染一下別人，關掉就找不到病毒，常常會碰到這種問題。

    這是我剛才說的，到了第二步，隨時啟動，起來的時候會隨時起動，會出現安全策略問題。要考慮第二個步驟，很快上來。就會碰到，因為要快，所以這時候壓縮的比較緊，把一些能吃的吃掉，和研發擺在一起，等級的要求不一樣，你會有風險，兩邊資料會互相通。

    這是在美國，基本上在美國前面說的，有一些法規，那個機器移動過來移動過去，需要知道這臺虛擬機我呆在那里，必須要把之間的移動過的位置，審查和跟蹤，在國外是非常重要的。

    資源沖突，大家傳統的做法，一臺虛擬機，里面就擺一個防毒軟件，結果要死不死，防毒軟件就會定時掃描，而突然下午三點給你定時掃描，這臺機器所有的資源被定時掃描全部吃掉，一臺機器上[FS:PAGE]面變成有十臺虛擬機，要裝十臺防毒，而且把整臺機器資源全部吃掉，就是要每臺進行改，這不是最好的解決方法，程序要擺十份，今天花錢買一個大機器，因為虛擬化買一個很大的，就會發現機器里多擺一些虛擬機，里面每一個病毒的程序，或所有的安全程序都擺一份，結果發現不是有效率的解決方案。今天到第二步還是所謂私有的概念。現在說到第三步，就是擺出去。就是一個非常有趣的，邊界的消失。當你們家機器瞬間可以擺出去，防火墻不叫做防火墻，我們現在在設計資料中心，怎么設計？很簡單，買一個最好的防火墻把資料中心圍住，機器都在里面買，突然發現機器都會跑出去，就沒有用了。現在用的所謂堡壘式的防御，現在這個堡壘就沒有什么用。

    對你公司的那個邊界，和公有云連接，堡壘就消失了，這是非常大的挑戰，公有云是最難的。從整個安全的架構，要重調。這是非常難的。

    出去的時候，不想鄰居是誰？不知道他在做什么事情。你們知道全世界現在公有云拿來做什么事情最多？如果公有云亞馬遜算有名的，被別人租來發垃圾郵件。這些垃圾郵件是要付錢的，在亞馬遜租一個空間一個小時，所以不曉得自己的鄰居是誰。現在亞馬遜自己也在查，可以非常明顯的看，公有云最有名的就是發垃圾郵件，病毒攻擊，租色情網站，這三種很流行的云計算的利用。  我們自己也非常驚訝，好多云計算進來是這些。
    我把數據擺上去，誰能看得到，因為機器不歸我管，是服務商。今天開開心網，我朋友可以看我的開心網，同樣的道理，很漂亮的圖片，其實開心網的人可以看到。

    數據銷毀，這個更有名，今天把一個圖片放到互聯網上，隨便你擺，你去殺掉，再查然后還是能查到。服務廠商很認真，幫助你備份，備份總沒有錯。殺掉的時候備份沒有殺掉。到這個時候，發現一個很嚴重的問題，你把資料一旦丟到互聯網，很難殺掉。我很多朋友不敢上開心網，隱私權被丟失了。一旦上去，是殺不掉的。

    服務供應商“沒有責任”。今天到全世界租，出問題誰負責？沒有一個廠商為你負責任。這是最有名的，亞馬遜全世界最大，被全世界大部分的供應商作為標準，很明確的說，你的資料放在我的云，出事和我一點關系沒有，合約上講的非常清楚。

    很多人都問公有云，我覺得公有云有很大的挑戰，必須要承認，今天在全世界沒有一加供應商我不做公有云，這是很大的變化。在所有的服務供應商，[FS:PAGE]我相信慢慢有人做價值。
   
    如果說各位，全世界比較有名的CSA，去網絡上查，算是大家比較認可的一個標準，他們寫了六七條，有一些傳統的問題，有一些新的問題。我大概把他們七條寫成十二條，大致差不多。員工不能把密碼隨便給別人，有一些人的原因，系統不能幫助解決。到目前為止，在不同的階段進入云，會碰到怎么的安全。

    在每一個階段，可能會有一些解決方案。

    第一個階段，考慮的就是防惡意軟件，從一臺虛擬機攻擊另外一臺虛擬機，做一些防火墻、IDS，因為你要記住，虛擬機會跑，慢慢要開始把防火墻從外面往里拉。會回到以前，一臺虛擬機有一個防火墻，慢慢往內拉，要記住，我的防范措施要么跟著我資料跑，資料在跑，他自己可以把握自己，虛擬機在跑，虛擬機自己能夠把握自己。這兩個東西會變，所以慢慢要說這兩個人自己要有保護自己的能力。講到比較簡單的就是這樣。
    至于說防毒，設計的時候要拉回來。傳統的說法，里面的人沒事干往外跑，要確定有保護自己的能力。很多人說，這樣不行，資源耗太多，每一個人都裝資源？資源太耗。

    第二種時候，虛擬化的操作系統，虛擬機上面有一個虛擬化的操作系統，事實上好的安全軟件要把自己寫在中間虛擬化的操作系統的階段。

    第三步時候，資料往外跑，加密解密很重要。

    基本上一個好的云安全：

    1、靈活性，最好的方法從物理機到云計算都可以保護。

    2、最好是一個全面性，加密解密，WEB都要有。

    3、模塊化，許可和應用一個或多個防護模塊。

    4、開放性，能夠整合和利用Vmware的程序接口、產品和技術。虛擬平臺做整合，所用的資源會比較少。
    整個必須要整合的防護系統，事實上一種新的安全概念，看圖的最左邊，一般虛擬的安全本身自己是一臺虛擬機，所以說所有進到這臺物理機的時候，和系統整合的好，所有的流量先透過虛擬機在喂給其他的人，裝一臺安全就可以達到和裝十套安全一樣的效果。

    如果說有一個安全防護，事實上就可以慢慢把終端拆掉，把自己擺在虛擬機最大的好處，只要用一套，用一個虛擬的防護，用一套不需要裝十套，自動幫你做時間的調整，幫助你避開。最重要的就是數據安全，講到后面也不難。當你把資料擺出去的[FS:PAGE]時候，密鑰絕對在你的口袋。資料拷過來，只要你不罷鑰匙放出去，就打不開，看資料和放鑰匙一定要放開，如果哪一天要把你們家的資料和別人放在一起，最好要想到資料是否加密，鑰匙一定不要放在IT部門。所以很多人來說，因為資料的保密是很重要的，資料的保存者和鑰匙的擁有者一定要分開，這樣問題就不大了。

    基本上最重要的一個概念，整個云在保護的過程中，主機要能保護自己。當你可以虛擬化，資料永遠要存在加密狀態。這樣的話，很多人說要不要用什么加密的通路？不要想的太復雜，自然就加密了。最大的好處，很多人來問，有沒有其他的好處？第一個好處，正條鏈可以自己控制。今天要中國電信，覺得中國電信太貴，明天要換中國移動，不會被別人鎖住，因為鏈子你自己鎖住。

    這條鏈子隨時可以控制，不要擔心資料在外面，只要我鎖密了，別人解不開。如果加密是所謂的AES，我知道有人可以破解，但是也不值得，沒有那么多。我想全世界有很多人的資料比你的資料更值得他去擔心，我們一般的資料不會去破解，也不用擔心我的鄰居是誰。
   
    總結和建議

    很明確的說，趨勢2003年就開始用所謂的云計算，趨勢本身是一個絕對相信云會成功的公司，03年就開始用，碰到的問題就是垃圾郵件太多。我們到現在，已經玩了七八年，我們有一團云，大概有兩千多臺。每天處理病毒、色情網站、垃圾郵件。

    趨勢百分之百相信云會成功，就是云本身會帶來新的安全挑戰，你可能外圍防護突然消失，看到很多公司突然消失，如果不消失，調整防火墻，從一臺機器調到另外一臺機器，防火墻不可能三分鐘調出來。 合租，資料訪問權限等等。

    數據中心的安全策略需要變化，為虛擬環境的隔離做有效區分，虛擬機的狀態如何都要進行保護，很好的監控系統，要知道虛擬機什么時候跑到什么地方。

    解決云的方案：靈活，完整，模塊化，畢竟安全的東西，還是要對不同的環境不同的調整。最重要的一點，和所謂的虛擬環境做整合。我們趨勢本身最主要和VmWare，我們也在一起開發新的，可以把你的東西放到VmWare。大家想了解趨勢的東西，我們研發團隊大部分在南京，南京有很多。

    大步向前，抓住云！謝謝大家！

【聲明】物流產品網轉載本文目的在于傳遞信息，并不代表贊同其觀點或對真實性負責，物流產品網倡導尊重與保護知識產權。如發現文章存在版權問題，煩請聯系小編電話：010-82387008，我們將及時進行處理。