20100913大象无形-安全云思(CNCERT-CC年会).pptVIP

大象无形　安全云思 From Zone to Space，Cloud Thinking of Security Jordan Pan 潘柱廷 启明星辰 首席战略官 中国计算机学会 理事 云安全联盟中国区 理事 /jordan2k /jordan2k /in/jordanpan 到底什么东西变化了？ What is changing? 我们习惯的内外有别 敏感区 核心区 非敏感内部区 互联网 纵深防御 敏感区 核心区 非敏感内部区 互联网 IDS 监控中心 IPS 物理隔离 内网管理 终端防护 上网保护 安全客户端软件 天燕式 木马发现/分析工具 内网巡警 内网防毒 IPS UTM IDS 监控中心 IDS 监控中心 纵深的安全产品和服务覆盖 多层次的安全掌控 各种合规性要求 国际/国家标准 等级保护 CC / ISO15408 ISO 27001 ISO 20000系列 SOX … 机构内部制度 网络安全体系指南 防病毒指南 系统加固手册 防火墙配置手册 入侵事件处理流程 … IATF信息技术保障框架和安全域 3+1 服务域示意图 网络可以按照业务的服务特征分解成4个域 终端域 Client Zone 互联基础设施域 Inter-networking Zone 支撑性基础设施域 Supporting Zone 计算服务域 Service Zone 新变化 新业务 Web2.0 网络游戏 博客、微博 IM SNS iPhone、iPad … 新计算 云计算 虚拟化 物联网 移动计算 三网融合 … 基础技术 芯片能力 网络带宽 无线 电池容量 虚拟化 开源 … 从区域变为空间 From zone to space 互联网: 　载体  空间 　网站: 　媒体  空间 　用户: 访问者  空间的一员 　管理: 　管控  治理 　业务: Zone业务  +Space业务 大象无形 大漠无边, 古城翩然如舟 云海漫漫, 陋舍不知其所 云思Cloud Thinking 从房间到空间的大象无形 NIST给出的定义 NIST给云计算定义了五个关键特征、三个服务模型、四个部署模型。 云的五个关键特征 按需自服务 用户可以在需要时自动配置计算能力，例如服务器时间和网络存储，根据需要自动计算能力，而无需与服务供应商的服务人员交互。 宽带接入 服务能力通过网络提供，支持各种标准接入手段，包括各种瘦或胖客户端平台（例如移动电话、笔记本电脑、或PDA），也包括其它传统的或基于云的服务。 虚拟化的资源“池” 提供商的计算资源汇集到资源池中，使用多租户模型，按照用户需要，将不同的物理和虚拟资源动态地分配或再分配给多个消费者使用。虽然存在某种程度上的位置无关性，也就是说用户无法控制或根本无法知道所使用资源的确切物理位置，但是原则上可以在较高抽象层面上来指定位置（例如国家、州、省、或者数据中心）。资源的例子包括存储、处理、内存、网络带宽以及虚拟机等。即使是私有的“云”往往也趋向将资源虚拟“池”化来为组织的不同部门提供服务。 快速弹性架构 服务能力可以快速、弹性地供应 – 在某些情况下自动地 – 实现快速扩容、快速上线。对于用户来说，可供应的服务能力近乎无限，可以随时按需购买。 可测量的服务 云系统之所以能够自动控制优化某种服务的资源使用，是因为利用了经过某种程度抽象的测量能力（例如存储、处理、带宽或者活动用户账号等）。人们可以监视、控制资源使用、并产生报表，报表可以对提供商和用户双方都提供透明。 大象亦有具象的微粒 关于水滴和沙粒 Everything as a Cloud Service? 是不是所有的事情都可以变成云计算、云服务？ 只有资源性的对象，最适合云服务？ 比如：自来水、电力、计算能力、存储空间、特征代码、黑名单… 三个( *aaS ) 模型 云的三个服务模型 云软件作为服务 (SaaS). 提供给用户的能力是使用服务商运行在云基础设施之上的应用。用户使用各种客户端设备通过“瘦”客户界面（例如浏览器）等来访问应用（例如基于浏览器的邮件）。用户并不管理或控制底层的云基础设施，例如网络、服务器、操作系统、存储、甚至其中单个的应用能力，除非是某些有限用户的特殊应用配置项。 云平台作为服务 (PaaS). 提供给用户的能力是在云基础设施之上部署用户创建或采购的应用，这些应用使用服务商支持的编程语言或工具开发，用户并不管理或控制底层的云基础设施，包括网络、服务器、操作系统、或存储等，但是可以控制部署的应用，以及应用主机的某个环境配置。 云基础设施作为服务 (IaaS). 提供给用户的能力是云供应了处理、存储、网络，以及其它基础性的计算资源，以供用户部署或运行自己任意的软件，包括操作系统或应用。用户并不管理或控制底层的云基础设施，但是拥有对操