论文部分内容阅读
关键词：信息安全 云计算 云安全 身份管理 安全解决方案
企业信息安全， 因“云”生变
随着云计算、物联网、大数据融合应用的迅速推进，云计算中心在各个城市不断落地，几乎很少有人会否认云计算是这个时代最为主要的IT趋势。
然而，“棱镜门”事件却给蓬勃发展的云计算中心敲响了信息安全的警钟——由于信息泄密的风险威胁并未消除，尤其是那些牵涉敏感信息安全防护的问题，更是受到了许多人的“诟病”。信息安全虽是老问题，但其内涵随着信息技术的发展、经济社会信息化程度的加深而不断丰富，面临的新挑战和新问题也不断出现。
《2011年互联网安全威胁报告》曾将2011年列为数据泄露年。据此推测，2013年则是不折不扣的“严重泄露年”。因为，2013年的泄露事件总数比2012年的253起高出 62%。这个数字当然更高于2011年的208起。即便是62%也未能真实反映出2013年泄露事件的规模之巨。在2013年的8起泄露事件中，每起事件泄露的身份信息都超过了1000万条。2012年，仅有一起事件泄露的身份信息超过千万条。就连2011年，达到如此规模的事件也仅有五起。
2013年10月3日，Adobe发布了一份官方声明：“290万Adobe客户的某些信息，包括客户名称、加密的信用卡或借记卡号码、到期日期、以及其他与客户订单相关的信息” 被盗用。最昂贵的密码黑客会打包盗取一个组织的整个数据库资料，包括客户和/或雇员的用户 ID 和密码。凭借窃取的资料，犯罪分子就能迅速获得数据或金钱。无论是出于财务考虑还是间谍活动，由此导致的结果都是灾难性的。
于是，云安全越来越成为安全业界关注的重点，一方面云计算应用的无边界性、流动性等特点引发了很多新的安全问题；另一方面云计算技术及理念也对传统安全技术及应用产生了深远的影响。
相信每个企业CIO都会承认数据是所有企业的核心资源，企业处理业务，使产品和服务在未来转化为竞争优势，在很大程度上都依赖数据信息，这一点在IT技术迅猛发展的今天，得到了更多的证明。因此，保护数据对企业来说是至关重要的。今天，对于大部分组织企业来说，风险防范、数据隐私和遵从法规要求，成为云安全的首要顾虑。
云计算产业具有巨大的市场增长前景，但对于使用这项服务的用户来说，云计算服务存在着异于传统IT的风险和挑战，企业迁入云中后，信息资源放在云端，其安全性又受到了新的威胁。为了提高云中各系统资源的安全性，企业必须提供更高层次的保密性以实现对云中资源的安全访问和管理。构建云环境下安全有效的资源访问以实现业务逻辑的增值已成为众多企业的最新选择，基于网络分配资源的云计算，面临诸多的安全挑战，如身份认证安全挑战、虚拟化安全挑战和数据安全挑战等。
对采纳云计算服务企业的主要挑战之一是在云端安全和及时地管理报到（即创建和更新账户）和离职（即删除用户账户）的用户。企业私有云中的用户是动态变化的，用户的角色和职责经常会因为业务因素而变化。同时，各组织企业内还存在用户流动的问题。针对用户的移动性，各组织企业应加强和改进对访问内部及外部服务的不同用户群的访问管理。
当企业开始利用云端服务时，以可信赖及易于管理方式来认证用户是一个至关重要的要求。企业必须解决跟身份认证有关的挑战，例如凭证管理（特权账户以及密码管理）、强认证（通常定义为多因素身份认证）、SSO（单点登录）、及跨越所有云服务类型的访问控制管理以及数据安全。
云安全应对有招，拨开云安全迷雾
那么，企业应如何应对这些风险和挑战呢？
首先，用户的身份识别及访问权限控制成为核心问题，必须进行有效的管理；其次，随着访问点以及企业内部与外部各种用户的不断增加，“身份”数量攀升，要应对预算减少而风险增大的压力，企业需要的是一套集成化的安全解决方案，来简化身份识别和访问管理，从而确保哪些用户能够访问哪些信息；第三，很多企业采用各不相同的系统来实现用户的访问权限管理等功能，一方面导致后台成本增加，一方面难于管理，无法进行方便有效的审计等。
鉴于上述趋势和挑战，企业CIO、IT安全架构师们面临着这样一个问题，即如何用合理的资本和运营成本来解决管理多个机制的复杂性，并灵活响应身份认证不断变化的需求？
现在我们已经了解了威胁环境及其对企业的影响，因此，需要通过实现多因素认证，以确定用户是否是他所宣称的那个人，这是如今每个企业关注的焦点。
我们建议可以选用通用认证服务器，更重要的是要断开认证后台和认证设备供应商的联系。通用认证服务器，使企业能够通过建立一个统一的系统架构，部署各种不同的认证方法，以实现强身份认证，并从不断变化的认证机制中受益。一个通用的，且永远不会过时的认证基础设施，它支持多种认证机制对强身份认证的要求，使组织能够快速配置那些已选的认证方法，从而满足其具体需求。支持多种认证方法，而且容易添加新的方法以满足不同的认证机制。企业还可以通过认证工作流程，捆绑两个或以上的认证方法，以满足强身份认证和授权的要求。
技术创新和业务中断正在改变当今的软件市场。针对不同企业的软件应用
程序，人们对软件即服务（SaaS）的理念不断加深，并逐渐深入人心。今天，一个组织和部门内部使用10个或以上的Sa a S应用程序是很常见的。Gartner预测，从2010年至2015年，在预测期结束时，企业应用软件市场中的 SaaS 软件收入总额的整体年均复合增长率估计为 17.2%，或者 SaaS 软件收入总额超过 220亿美元。这种发展创新使环境变得更为复杂，它要求员工在访问不同系统、应用程序或服务时，记住多个用户名和密码。而这些组织的用户必须不断努力才能记住每个应用程序所产生的新密码和帐户。
对于CIO，还需要思考如下一些问题： 1. 用户在一个工作日内会访问多少个应用程序？
2. 密码多久更换一次？每90天？60天？ 30天？
3. 是否有有效的密码策略？谁强制遵从？
4. 是否有密码泄漏的情况（如便利贴、智能手机）？
5. 员工的工作效率/绩效对企业重要吗？
6. 是否因密码共享导致欺诈事件？
随着应用和部署的多样化，组织需要制定和执行一个SSO策略，以减少密码相关的支持事件，并为用户提供更多的便利和更高效的认证流程。一个全面的SSO策略需要解决以下需求：
· 企业 SSO
· Web SSO
· 联邦 SSO
· 移动 SSO
另外，出于合规或公司隐私的需求，云中的机密数据必须要保护。随着由系统内部管理的机密信息不断的迁移到云中，与之相应，需要花同样的力气去保护这些机密信息。将数据迁移到云中对提高机密性和数据保护没有任何帮助。与之相反，由于失去了对处于公司安全边界外的数据的控制，将会增加数据保护的复杂度，因而欺诈的风险也会上升。有很多因素促使企业考虑云中数据加密，包括：在将数据迁移到云中时通过加密来保护数据，所需要做的工作要多于仅仅确保使用安全转移通道。在数据传输过程中加密不能确保数据在云中能得到保护。一旦数据达到云中，这些数据无论在云中还是在使用仍然需要保护；理解在数据的整个生存周期中，如何管理加密或解密的密钥。如果只有你自己有密钥，那么只有你有资格访问你的文件；不要忘记保护那些经常被忽略的文件，因为它们经常包含敏感信息。在数据的访问控制方面，可通过采用基于身份认证的权限控制方式，进行实时的身份监控、权限认证和证书检查，防止用户间的非法越权访问。对数据进行加密是实现数据保护的一个重要方法，即使该数据被人非法窃取，对他们来说也只是一堆乱码，而无法知道具体的信息内容。
在云计算应用环境下，数据的网络传输不可避免，因此保障数据传输的安全性也很重要。数据传输加密可以选择在链路层、网络层、传输层等层面实现，采用网络传输加密技术保证网络传输数据信息的机密性、完整性、可用性。对于管理信息加密传输，可采用SSH、SSL等方式为云计算系统内部的维护管理提供数据加密通道，保障维护管理信息安全。对于用户数据加密传输，可采用IPSec VPN、SSL等VPN技术提高用户数据的网络传输安全性。
由于用户数据在云计算平台中是共享存储的，今天分配给某一用户的存储空间，明天可能分配给另外一个用户，因此需要做好剩余信息的保护措施。所以要求云计算系统在将存储资源重分配给新的用户之前，必须进行完整的数据擦除，在对存储的用户文件/对象删除后，对对应的存储区进行完整的数据擦除或标识为只写（只能被新的数据覆写），防止被非法恶意恢复。
某大型商业银行业务系统信息安全案例
该银行需要一个基于网络的网上银行渠道，为地区的个人客户和企业客户服务。它必须符合或超出央行，包括金融管理局、银监会所规定的安全准则的要求。
该银行需要一整套解决方案，并要求该方案能满足以下几点：
· 对客户PIN的端到端保护—必须从输入点（浏览器）到比较点（硬件安全模块内部）对加密的PIN进行加密。在整个创建和打印的过程中，客户PIN也必须受到保护。
· 结合OTP（一次性密码）、VASCO令牌和短信OTP的强身份认证—这也是基于企业的安全标准和网上银行监管规定的要求。
· 一个通用的安全解决方案，以帮助他们解决上述两个要求，以遵守针对网上银行应用的政府法规。该解决方案必须提供行政和管理职能，以处理硬件令牌的分配和管理。
我们的集中安全管理方法在整个项目中都得以应用，以协助银行实施和配置通用认证服务器（UAS）的端到端加密认证（E2EEA）、VASCO令牌管理模块和短信OTP模块，从而为银行实现认证和管理要求提供后台认证和管理平台，以遵守针对网上银行的银行管理制度。
项目通用认证服务器的端到端加密认证（UAS E2EEA）为PIN生命周期管理，包括pin generation 和 pin mailer printing提供了一整套解决方案；通过UAS客户端的加密库，在端点（PC或移动设备）对Pin进行加密，并保持加密状态，直到HSM内部的比较点。这可确保银行内部无人有权访问PIN。通用认证服务器的VASCO 令牌管理模块还提供了与银行现有的动态密码锁 OTP令牌的无缝集成，使得该银行能够不受干扰地保护现有的投资；通用认证服务器的VASCO令牌管理模块还提供了开箱即用的解决方案，以充分利用由VASCO的DigiPass令牌提供的所有安全功能。预集成和经验定的双因素认证解决方案可降低集成的复杂性，并缩短对安全性要求较高的的应用程序为满足强身份认证的要求而部署双因素认证的时间。该集成解决方案还能管理整个令牌管理的生命周期，例如：
· 发行（出厂初始化或自动初始化）、交付、启用、遗失令牌、不同步和超时更换
· 可定制的用户界面，方便帮助台的工作人员支持令牌管理功能
· 详细审计跟踪信息和灵活的报告
· 为用户提供可定制的自助服务界面，以实施令牌管理职能
我们的通用认证服务器平台保证了该银行跨电子渠道访问的信心及完整性。该平台也奠定了强大的技术风险管理程序的信任基础。该程序能够处理所有已知的攻击，并为快速响应未来攻击提供了平台。最后但同样重要的是，该平台允许银行及其客户端，灵活地选择便捷而安全的、基于风险的认证方法来访问其产品。
如今，世界各国之间的联系日渐紧密，全球通信系统不断推动着技术进步、社会变革和文化变迁。这种互联导致风险的多样化。如果企业不认证评估自己的风险，并确定和实施合适的认证，那么，他们终将继续处于劣势。多因素认证是确保企业朝正确的方向发展的重要一步。采用多因素认证允许跨端点的普适性，同时，可以保持高度的安全性和可靠性。
企业信息安全， 因“云”生变
随着云计算、物联网、大数据融合应用的迅速推进，云计算中心在各个城市不断落地，几乎很少有人会否认云计算是这个时代最为主要的IT趋势。
然而，“棱镜门”事件却给蓬勃发展的云计算中心敲响了信息安全的警钟——由于信息泄密的风险威胁并未消除，尤其是那些牵涉敏感信息安全防护的问题，更是受到了许多人的“诟病”。信息安全虽是老问题，但其内涵随着信息技术的发展、经济社会信息化程度的加深而不断丰富，面临的新挑战和新问题也不断出现。
《2011年互联网安全威胁报告》曾将2011年列为数据泄露年。据此推测，2013年则是不折不扣的“严重泄露年”。因为，2013年的泄露事件总数比2012年的253起高出 62%。这个数字当然更高于2011年的208起。即便是62%也未能真实反映出2013年泄露事件的规模之巨。在2013年的8起泄露事件中，每起事件泄露的身份信息都超过了1000万条。2012年，仅有一起事件泄露的身份信息超过千万条。就连2011年，达到如此规模的事件也仅有五起。
2013年10月3日，Adobe发布了一份官方声明：“290万Adobe客户的某些信息，包括客户名称、加密的信用卡或借记卡号码、到期日期、以及其他与客户订单相关的信息” 被盗用。最昂贵的密码黑客会打包盗取一个组织的整个数据库资料，包括客户和/或雇员的用户 ID 和密码。凭借窃取的资料，犯罪分子就能迅速获得数据或金钱。无论是出于财务考虑还是间谍活动，由此导致的结果都是灾难性的。
于是，云安全越来越成为安全业界关注的重点，一方面云计算应用的无边界性、流动性等特点引发了很多新的安全问题；另一方面云计算技术及理念也对传统安全技术及应用产生了深远的影响。
相信每个企业CIO都会承认数据是所有企业的核心资源，企业处理业务，使产品和服务在未来转化为竞争优势，在很大程度上都依赖数据信息，这一点在IT技术迅猛发展的今天，得到了更多的证明。因此，保护数据对企业来说是至关重要的。今天，对于大部分组织企业来说，风险防范、数据隐私和遵从法规要求，成为云安全的首要顾虑。
云计算产业具有巨大的市场增长前景，但对于使用这项服务的用户来说，云计算服务存在着异于传统IT的风险和挑战，企业迁入云中后，信息资源放在云端，其安全性又受到了新的威胁。为了提高云中各系统资源的安全性，企业必须提供更高层次的保密性以实现对云中资源的安全访问和管理。构建云环境下安全有效的资源访问以实现业务逻辑的增值已成为众多企业的最新选择，基于网络分配资源的云计算，面临诸多的安全挑战，如身份认证安全挑战、虚拟化安全挑战和数据安全挑战等。
对采纳云计算服务企业的主要挑战之一是在云端安全和及时地管理报到（即创建和更新账户）和离职（即删除用户账户）的用户。企业私有云中的用户是动态变化的，用户的角色和职责经常会因为业务因素而变化。同时，各组织企业内还存在用户流动的问题。针对用户的移动性，各组织企业应加强和改进对访问内部及外部服务的不同用户群的访问管理。
当企业开始利用云端服务时，以可信赖及易于管理方式来认证用户是一个至关重要的要求。企业必须解决跟身份认证有关的挑战，例如凭证管理（特权账户以及密码管理）、强认证（通常定义为多因素身份认证）、SSO（单点登录）、及跨越所有云服务类型的访问控制管理以及数据安全。
云安全应对有招，拨开云安全迷雾
那么，企业应如何应对这些风险和挑战呢？
首先，用户的身份识别及访问权限控制成为核心问题，必须进行有效的管理；其次，随着访问点以及企业内部与外部各种用户的不断增加，“身份”数量攀升，要应对预算减少而风险增大的压力，企业需要的是一套集成化的安全解决方案，来简化身份识别和访问管理，从而确保哪些用户能够访问哪些信息；第三，很多企业采用各不相同的系统来实现用户的访问权限管理等功能，一方面导致后台成本增加，一方面难于管理，无法进行方便有效的审计等。
鉴于上述趋势和挑战，企业CIO、IT安全架构师们面临着这样一个问题，即如何用合理的资本和运营成本来解决管理多个机制的复杂性，并灵活响应身份认证不断变化的需求？
现在我们已经了解了威胁环境及其对企业的影响，因此，需要通过实现多因素认证，以确定用户是否是他所宣称的那个人，这是如今每个企业关注的焦点。
我们建议可以选用通用认证服务器，更重要的是要断开认证后台和认证设备供应商的联系。通用认证服务器，使企业能够通过建立一个统一的系统架构，部署各种不同的认证方法，以实现强身份认证，并从不断变化的认证机制中受益。一个通用的，且永远不会过时的认证基础设施，它支持多种认证机制对强身份认证的要求，使组织能够快速配置那些已选的认证方法，从而满足其具体需求。支持多种认证方法，而且容易添加新的方法以满足不同的认证机制。企业还可以通过认证工作流程，捆绑两个或以上的认证方法，以满足强身份认证和授权的要求。
技术创新和业务中断正在改变当今的软件市场。针对不同企业的软件应用
程序，人们对软件即服务（SaaS）的理念不断加深，并逐渐深入人心。今天，一个组织和部门内部使用10个或以上的Sa a S应用程序是很常见的。Gartner预测，从2010年至2015年，在预测期结束时，企业应用软件市场中的 SaaS 软件收入总额的整体年均复合增长率估计为 17.2%，或者 SaaS 软件收入总额超过 220亿美元。这种发展创新使环境变得更为复杂，它要求员工在访问不同系统、应用程序或服务时，记住多个用户名和密码。而这些组织的用户必须不断努力才能记住每个应用程序所产生的新密码和帐户。
对于CIO，还需要思考如下一些问题： 1. 用户在一个工作日内会访问多少个应用程序？
2. 密码多久更换一次？每90天？60天？ 30天？
3. 是否有有效的密码策略？谁强制遵从？
4. 是否有密码泄漏的情况（如便利贴、智能手机）？
5. 员工的工作效率/绩效对企业重要吗？
6. 是否因密码共享导致欺诈事件？
随着应用和部署的多样化，组织需要制定和执行一个SSO策略，以减少密码相关的支持事件，并为用户提供更多的便利和更高效的认证流程。一个全面的SSO策略需要解决以下需求：
· 企业 SSO
· Web SSO
· 联邦 SSO
· 移动 SSO
另外，出于合规或公司隐私的需求，云中的机密数据必须要保护。随着由系统内部管理的机密信息不断的迁移到云中，与之相应，需要花同样的力气去保护这些机密信息。将数据迁移到云中对提高机密性和数据保护没有任何帮助。与之相反，由于失去了对处于公司安全边界外的数据的控制，将会增加数据保护的复杂度，因而欺诈的风险也会上升。有很多因素促使企业考虑云中数据加密，包括：在将数据迁移到云中时通过加密来保护数据，所需要做的工作要多于仅仅确保使用安全转移通道。在数据传输过程中加密不能确保数据在云中能得到保护。一旦数据达到云中，这些数据无论在云中还是在使用仍然需要保护；理解在数据的整个生存周期中，如何管理加密或解密的密钥。如果只有你自己有密钥，那么只有你有资格访问你的文件；不要忘记保护那些经常被忽略的文件，因为它们经常包含敏感信息。在数据的访问控制方面，可通过采用基于身份认证的权限控制方式，进行实时的身份监控、权限认证和证书检查，防止用户间的非法越权访问。对数据进行加密是实现数据保护的一个重要方法，即使该数据被人非法窃取，对他们来说也只是一堆乱码，而无法知道具体的信息内容。
在云计算应用环境下，数据的网络传输不可避免，因此保障数据传输的安全性也很重要。数据传输加密可以选择在链路层、网络层、传输层等层面实现，采用网络传输加密技术保证网络传输数据信息的机密性、完整性、可用性。对于管理信息加密传输，可采用SSH、SSL等方式为云计算系统内部的维护管理提供数据加密通道，保障维护管理信息安全。对于用户数据加密传输，可采用IPSec VPN、SSL等VPN技术提高用户数据的网络传输安全性。
由于用户数据在云计算平台中是共享存储的，今天分配给某一用户的存储空间，明天可能分配给另外一个用户，因此需要做好剩余信息的保护措施。所以要求云计算系统在将存储资源重分配给新的用户之前，必须进行完整的数据擦除，在对存储的用户文件/对象删除后，对对应的存储区进行完整的数据擦除或标识为只写（只能被新的数据覆写），防止被非法恶意恢复。
某大型商业银行业务系统信息安全案例
该银行需要一个基于网络的网上银行渠道，为地区的个人客户和企业客户服务。它必须符合或超出央行，包括金融管理局、银监会所规定的安全准则的要求。
该银行需要一整套解决方案，并要求该方案能满足以下几点：
· 对客户PIN的端到端保护—必须从输入点（浏览器）到比较点（硬件安全模块内部）对加密的PIN进行加密。在整个创建和打印的过程中，客户PIN也必须受到保护。
· 结合OTP（一次性密码）、VASCO令牌和短信OTP的强身份认证—这也是基于企业的安全标准和网上银行监管规定的要求。
· 一个通用的安全解决方案，以帮助他们解决上述两个要求，以遵守针对网上银行应用的政府法规。该解决方案必须提供行政和管理职能，以处理硬件令牌的分配和管理。
我们的集中安全管理方法在整个项目中都得以应用，以协助银行实施和配置通用认证服务器（UAS）的端到端加密认证（E2EEA）、VASCO令牌管理模块和短信OTP模块，从而为银行实现认证和管理要求提供后台认证和管理平台，以遵守针对网上银行的银行管理制度。
项目通用认证服务器的端到端加密认证（UAS E2EEA）为PIN生命周期管理，包括pin generation 和 pin mailer printing提供了一整套解决方案；通过UAS客户端的加密库，在端点（PC或移动设备）对Pin进行加密，并保持加密状态，直到HSM内部的比较点。这可确保银行内部无人有权访问PIN。通用认证服务器的VASCO 令牌管理模块还提供了与银行现有的动态密码锁 OTP令牌的无缝集成，使得该银行能够不受干扰地保护现有的投资；通用认证服务器的VASCO令牌管理模块还提供了开箱即用的解决方案，以充分利用由VASCO的DigiPass令牌提供的所有安全功能。预集成和经验定的双因素认证解决方案可降低集成的复杂性，并缩短对安全性要求较高的的应用程序为满足强身份认证的要求而部署双因素认证的时间。该集成解决方案还能管理整个令牌管理的生命周期，例如：
· 发行（出厂初始化或自动初始化）、交付、启用、遗失令牌、不同步和超时更换
· 可定制的用户界面，方便帮助台的工作人员支持令牌管理功能
· 详细审计跟踪信息和灵活的报告
· 为用户提供可定制的自助服务界面，以实施令牌管理职能
我们的通用认证服务器平台保证了该银行跨电子渠道访问的信心及完整性。该平台也奠定了强大的技术风险管理程序的信任基础。该程序能够处理所有已知的攻击，并为快速响应未来攻击提供了平台。最后但同样重要的是，该平台允许银行及其客户端，灵活地选择便捷而安全的、基于风险的认证方法来访问其产品。
如今，世界各国之间的联系日渐紧密，全球通信系统不断推动着技术进步、社会变革和文化变迁。这种互联导致风险的多样化。如果企业不认证评估自己的风险，并确定和实施合适的认证，那么，他们终将继续处于劣势。多因素认证是确保企业朝正确的方向发展的重要一步。采用多因素认证允许跨端点的普适性，同时，可以保持高度的安全性和可靠性。