混合雲工做負載5個安全問題

企業開始運行應用程序工做負載時，一切彷佛都很簡單：企業運行測試數據，而且每一個工做人員均可以看到，並且它在哪裏運行都可有可無。在本地部署的數據中心或在雲端，它們都是同樣的。可是，一旦開始部署實際工做負載，使用真實數據和實際流程，就會發生一些變化：某些數據以及其中一些過程會很敏感。那麼企業應該如何決定將工做負載放在哪裏，一旦他們部署在那裏，企業應該如何保護它們?

如何爲工做負載找到適合的場所?人們老是聽到企業IT領導者提出這樣的問題。如下經過詢問五個相關的問題來回答這個問題，這些問題將幫助企業選擇工做負載的適合場所：

什麼是敏感數據和敏感過程?
誰應該訪問，誰不該該?
我能夠信任誰，爲何?
什麼位置適合?
如何控制工做量安置?

1.什麼是敏感數據和敏感過程?

這個問題可能須要長篇大論進行闡述。閱讀敏感數據須要從新考慮企業的定義的時間。可是若是沒有時間閱讀這些觀點，那麼簡而言之，幾乎全部的數據都有多是敏感的，這取決於應用場景。一旦肯定了須要保護的數據以及須要保護的屬性，不管是保密性、完整性、可用性、正確性仍是其餘屬性，那麼如今是花費一些時間思考如何保護它的時候了。

2.誰應該訪問，誰不該該訪問?

在研究什麼樣的數據和過程是敏感的時候，人們不會作的一件事就是了解它們在哪些狀況下是敏感的。這會提供一些關於什麼樣的人應該有權訪問的指標。人們應該意識到，這些人常常會隨着時間的推移而變化：假設某人獲得提高，而且如今能夠訪問新數據，或者企業結果發佈後，其保密的財務數據就會公開化。

解決這一系列變化的標準方法是標記數據並賦予不一樣的角色，這些角色在移動角色時可能會發生變化：限制哪些角色應該訪問哪些數據是很是簡單的。這一般稱爲RBAC(基於角色的訪問控制)。在某些場景下，這些是不夠的，所以可使用數據或人員的其餘屬性，從而致使採用ABAC(基於屬性的訪問控制)等替代方案。

也許人們會注意到，這裏將上述指標從「數據和過程」改成「數據」。那是由於過程可能會很尷尬。過程能夠常常改變他們的敏感度，有時會出乎意料地或惡意地改變他們的敏感度?那麼，也可能企業的數據如今被勒索軟件劫持，目前正在後臺加密其硬盤驅動器。

過程一般很難用與數據徹底相同的方式來描述，所以，一個很好的經驗法則是根據在出現問題時可能發生的最壞狀況來限制它們。

3.我能夠信任誰，爲何?

這個問題的答案是「沒有人」，即便人們意識到這是不現實的。簡單的說，如何信任別人取決於場景。

就數據而言，正如上面所描述的，在考慮信任時，背景是王道。例如，人們相信魚販會了解和管理會計事務嗎?你會相信會計師會去賣魚嗎?對於操做和管理系統的人也是如此：人們會認爲他們各自作不一樣的事情。

具體來講，這裏正在討論的是兩套系統：人們運行的工做負載以及它們運行的​​主機。你可能已經有了控制措施來確保只有本身的財務和人力資源團隊才能夠訪問的工資覈算工做負載，但工資覈算工做負載所運行的主機呢?

人們並不老是可以意識到這一點，但當工做負載在主機上運行時，在容器中或在虛擬機中，任何人或者任何具備對該機器的管理訪問權限的進程，都能徹底控制該工做負載。這不只能夠阻止它運行：人們能夠查看它，甚至能夠更改它包含的數據。這是使人震驚的，由於對於工資覈算工做負載範例而言，這意味着人們不只須要信任財務和人力資源團隊的數據，任何管理人員還有權訪問運行工做負載的主機。

固然，企業還須要確保主機自己具備足夠的安全性，由於若是攻擊者設法進入其中一個主機，那麼就可以控制敏感的工做負載。

企業管理人員須要相信員工，但也須要確保主機自己的管理良好，並將這兩方面結合，那麼人們須要開始思考可能會將工做負載放在哪裏。

4.什麼位置適合?

企業顯然但願將工做負載放在安全的地方。或者更確切地說，企業能夠在何處應用相對於其所包含的數據和流程敏感性的適當措施。這並不老是意味着採用最高級別的安全性或最昂貴的解決方案，但代表企業須要決定哪些工做量應該放在哪裏。

企業的管理人員會說，「咱們不能信任公共雲，由於它不是咱們的員工運行系統」。但公共雲多是企業運行工做負載的很好選擇。成本和易用性的平衡可能賽過許多低靈敏度工做負載的安全問題，這就是爲何混合雲對許多組織來講是如此引人注目的緣由。

企業真的須要最高級別的安全性，仍是最昂貴的解決方案?

另外，正如以上所提到的，主機自己管理良好相當重要。雲計算服務提供商在其基礎設施上花費大量資金，爲主機提供多級管理和運營專業知識，許多企業可能沒法將其擴展到整個計算機產業。

有一系列要求，從安全保障嚴密的基礎設施到商品公共雲。諸如「只有通過受權的，通過安全檢查的工做人員才能管理的機器池」等選項位於這兩者之間的某處。

企業須要根據風險、成本、可用性，以及組織中可能適用的其餘因素來肯定適用於每種類型的工做負載。

5.如何控制工做量的安置?

在決定了哪些工做負載應該容許在哪些主機上運行後，如何確保全部工做都能正常工做?企業能夠採用什麼措施提升各類主機的安全級別?將可用控件分類的一種方法是將它們分紅三種類型：

合同或行政控制：

這些方法包括數據隱私協議、員工背景調查、ISO 9001，以及相似方法，這些方法可以讓管理人員對組織內部或內部雲組織進行控制，以及如何控制主機運行他們的過程。具體哪些方法適用將取決於許多因素，但這些始終是一個很好的考慮起點。然而，它們自己並不足夠。

架構控制：

這些方法容許管理人員執行有關應將哪些工做負載託管在何處的放置策略。它們包括調度和放置算法(經過編排平臺，如Kubernetes或OpenShift)、API控制、虛擬網絡、存儲規則、身份驗證機制等機制。綜合起來，這兩個選項容許管理人員指定哪些主機集能夠放置不一樣類型的工做負載，而後驗證並監控這些規則是否已經遵循。

這些是當今大多數組織可用的最具表現力和多功能的工具，可以讓企業跨越混合雲部署跨越各類工做負載。

技術控制：

有幾種機制可讓企業在不徹底信任的主機上運行工做負載，並確保不會被篡改。

第一個也是最爲人所知的是HSM(硬件安全模塊)，但部署這些模塊代價高昂，不能很好地擴展而且很難編程，特別是對於通用工做負載來講。第二種是FPGA(現場可編程門陣列，這是位於主機主板上的芯片)，但編程昂貴，而且像HSM(硬件安全模塊)同樣僅適用於某些工做負載類型。第三個TEE(可信執行環境)提供了一種新的方法，芯片生產商在高端商品硬件上的發展頗有前景，一旦它們變得可用，就能夠提供一種方法來隱藏主機上管理員執行的工做負載。如今，對於大多數組織來講，這些都是將來的事情。

與此同時，大多數組織將依靠前兩種機制控制來管理工做負載的安置。

完善地點和緣由

並不是全部的工做負載都是平等的，由於全部的主機都不同。管理人員須要瞭解數據和進程的敏感度，考慮適當的工做負載放置，容許在它們應該運行的地方建立策略，而後控制、驗證和監視這些策略是否正確應用。對於敏感的工做負載技術控制的將來機會看起來頗有必要，但對企業的工做負載需求和現有工具和機制應用的良好分析，已經令人們可以很好地控制在哪裏運行以及爲何這麼作。