關(guān)于認(rèn)證與云計(jì)算中安全評(píng)估的思考

　　國(guó)家標(biāo)準(zhǔn)與技術(shù)協(xié)會(huì)（NIST）最近出版了一部《云計(jì)算標(biāo)準(zhǔn)的路線圖》，其中就描述了有關(guān)國(guó)有或國(guó)家管理機(jī)構(gòu)中的授權(quán)決策和云環(huán)境下的授權(quán)決策之間的基本區(qū)別。在云環(huán)境下，用戶以三種方式租賃服務(wù)：IaaS(InfrastructureasaService)基礎(chǔ)設(shè)施即服務(wù)，PlatformasaService(PaaS)平臺(tái)即服務(wù)，SoftwareasaService(SaaS)軟件即服務(wù)。不同于標(biāo)準(zhǔn)網(wǎng)絡(luò)環(huán)境提供對(duì)計(jì)算資源（如cpu、磁盤或數(shù)據(jù)）的直接可見化訪問(wèn)，以上三種模式都將大大減少對(duì)所提供的服務(wù)中涵蓋資源的直接可見化訪問(wèn)的程度，而現(xiàn)存有許多對(duì)服務(wù)進(jìn)行管理和認(rèn)證的既成標(biāo)準(zhǔn)，這就產(chǎn)生了云和標(biāo)準(zhǔn)間的沖突。

　　云中的SaaS應(yīng)用將被大部分關(guān)聯(lián)在web瀏覽器或使用其他應(yīng)用客戶端連接的web服務(wù)（如電子郵件）上。從這個(gè)角度看，便攜性和互通性將是云能夠成功部署的2個(gè)必須關(guān)鍵條件，這就需要統(tǒng)一數(shù)據(jù)格式標(biāo)準(zhǔn)和各類數(shù)據(jù)接口如果您要求各類服務(wù)能夠被順暢地遷移并且同時(shí)又能支持各種環(huán)境要求。對(duì)于e-mail郵件系統(tǒng)來(lái)說(shuō)，這一點(diǎn)就顯得特別重要，因?yàn)槠錃w屬于聯(lián)邦局的“按需服務(wù)”云，并且有著最嚴(yán)格的電子發(fā)現(xiàn)（eDiscovery）和記錄管理規(guī)范需要，所以就回到了上一點(diǎn)云與標(biāo)準(zhǔn)間的“沖突”。

　　對(duì)于PaaS來(lái)說(shuō)，其中普遍存在的多功能接口包含了軟件運(yùn)行環(huán)境，并且提供了基于標(biāo)準(zhǔn)的API函數(shù)，但是也有一些明顯的問(wèn)題，諸如在備份和應(yīng)用時(shí)需要進(jìn)行加載移植的數(shù)據(jù)格式就亟需標(biāo)準(zhǔn)化，這樣云計(jì)算與便攜性才能夠較好地進(jìn)行融合。同樣的，標(biāo)準(zhǔn)數(shù)據(jù)格式和接口還需要在某種程度上充分描述好服務(wù)等級(jí)協(xié)定（SLA）和服務(wù)質(zhì)量（QoS），這對(duì)于授權(quán)當(dāng)局比較傳統(tǒng)流程與云環(huán)境的相關(guān)參數(shù)時(shí)將是必備的。

　　安全與隱私也帶來(lái)了極大的挑戰(zhàn)，尤其是在提供商業(yè)化云服務(wù)的開源或外部環(huán)境下。在云環(huán)境下，身份與接入管理將帶來(lái)完全不同于傳統(tǒng)模式的挑戰(zhàn)，因?yàn)檫@兩個(gè)因素的實(shí)現(xiàn)很可能需要跨越云中各種不同的網(wǎng)絡(luò)和管理區(qū)域。在國(guó)家標(biāo)準(zhǔn)與技術(shù)協(xié)會(huì)（NIST）的文件中也提到，單一的登錄接口和協(xié)議是標(biāo)準(zhǔn)制定不充分的一種表現(xiàn)。

　　在簡(jiǎn)單分析了云的基本特性后，讓我們進(jìn)入有關(guān)安全評(píng)估的話題。一直以來(lái)，只有國(guó)家機(jī)構(gòu)被規(guī)定必須遵從FISMA（聯(lián)邦信息安全管理法案）的認(rèn)證體系并進(jìn)行相關(guān)審計(jì)，但這個(gè)局面將逐漸被打破。工業(yè)系統(tǒng)的互聯(lián)互通正在飛速發(fā)展，與此匹配的是，越來(lái)越多的非國(guó)家機(jī)構(gòu)用戶（如企業(yè)）迫切需要一個(gè)標(biāo)準(zhǔn)化的目標(biāo)來(lái)幫助他們保證自身區(qū)域的安全。

　　為了應(yīng)對(duì)云計(jì)算帶來(lái)的諸如此類的挑戰(zhàn)，國(guó)家標(biāo)準(zhǔn)與技術(shù)協(xié)會(huì)（NIST）正在參與發(fā)表一部名為《機(jī)構(gòu)間咨詢報(bào)告草案（draftinter-agencyadvisoryreport）》(NISTIR7328)的文檔，其中就歸入了對(duì)一種名為“安全評(píng)估提供商”（securityassessmentproviders）的需求，這是一類特殊的提供商，他將各種評(píng)估或評(píng)定作為自己所提供的服務(wù)。在這份草案中還指出，“安全評(píng)估并不是一份簡(jiǎn)單的清單，也不僅僅是通過(guò)/不通過(guò)某些評(píng)測(cè)的結(jié)果參數(shù)，或是生成一份文檔來(lái)通過(guò)測(cè)評(píng)或?qū)徲?jì)。安全評(píng)估真正的意義是，它將幫助用戶深入知曉所屬機(jī)構(gòu)的信息系統(tǒng)的強(qiáng)項(xiàng)和短板分別在什么位置，它是防御的真正意義上的底線。”當(dāng)然，如果要制定一項(xiàng)安全決策，那么評(píng)估服務(wù)的質(zhì)量將是十分關(guān)鍵的，同樣的，對(duì)于共享數(shù)據(jù)及計(jì)算資源的系統(tǒng)而言，安全評(píng)估也是關(guān)鍵，以上兩種情況適用于所有政府或非政府機(jī)構(gòu)。

　　評(píng)估過(guò)程的關(guān)鍵是測(cè)試流程本身。在許多案例中，對(duì)安全性進(jìn)行評(píng)估的各種測(cè)試事實(shí)上僅僅是為了生成一份通過(guò)或不通過(guò)的結(jié)果清單而已，對(duì)于云環(huán)境來(lái)說(shuō)，這將是遠(yuǎn)遠(yuǎn)不夠的。同樣的，對(duì)于安全建設(shè)的中間期（指缺乏固定標(biāo)準(zhǔn)及策略的時(shí)期），這種對(duì)待評(píng)估測(cè)試的態(tài)度也很難支撐起安全決策的制定。而最有趣的問(wèn)題則是，誰(shuí)來(lái)決定一個(gè)有效的評(píng)估測(cè)試計(jì)劃由哪幾部分組成？

　　軟件發(fā)展方法學(xué)對(duì)安全性評(píng)估的測(cè)試流程進(jìn)行了長(zhǎng)期的相關(guān)實(shí)踐，并將這些流程從內(nèi)部進(jìn)行了關(guān)聯(lián)，因此能夠有效地對(duì)相關(guān)流程進(jìn)行評(píng)估，從而能夠幫助用戶決定測(cè)試標(biāo)準(zhǔn)的結(jié)構(gòu)組成，或決定在云計(jì)算這種動(dòng)態(tài)環(huán)境下的測(cè)試計(jì)劃開發(fā)。NIST制定的風(fēng)險(xiǎn)管理體制中也提到評(píng)估性測(cè)試和測(cè)試計(jì)劃的開發(fā)是保證用戶能夠持續(xù)制定授權(quán)和安全決策的關(guān)鍵組成。在傳統(tǒng)網(wǎng)絡(luò)轉(zhuǎn)變到云模式的大背景下，我們發(fā)現(xiàn)對(duì)安全性測(cè)試和評(píng)估流程進(jìn)行標(biāo)準(zhǔn)化正處在一個(gè)極好的歷史時(shí)機(jī)。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]