【51CTO.com原創稿件】大家好，手頭的項目告一段落，哥上周休假去了。記得在電影《羅馬假日》里曾有提到：“要么讀書，要么旅行，身體與靈魂，必須有一個在路上。” 所以，習慣閱讀與思考的我在行囊里也放了一本專業書籍。玩耍了一整天后，夜深人靜之時也會拿出來撫卷閱讀。同行的損友笑話我：出來放松還把自己整得像頭上懸著達摩克利斯之劍似的。我只能說：世人笑我太癡狂，燕雀安知鴻鵠之志。好吧，不扯遠了，繼續這次的正題吧。

[[177554]]

跟大家匯報一下，前幾次提到過的那個云平臺項目基本已成型，現在進入到了對其服務連續性和災備以及安全性分析的階段了。所以這次的漫談的靈感來自該項目中的點滴收獲，和大家分享的思路也是：先談基本系統的普遍注意點，然后深入交流云服務系統(特別是在公有云上)的特殊性。

連續性與災備

說到服務連續性和災備計劃，基本上當前大多數企業都或多或少的有所涉及。就像我們小時候常聽到的《狼來了》的故事一樣。如果狼總是不來，喊多了也就沒有意思了。但是上升到理論層面，套用時間管理的術語來說，連續性和容備其實屬于“重要但不緊急”的事情。我們不得不花時間和精力去“以大博小”，來體現我們那“高瞻遠矚”的憂患意識。

對于一般企業IT服務的連續性設計，我們可以從如下三個方面進行考慮：

• 識別服務與資產，對其進行分級和估值，并完成業務影響分析(BIA)。
• 通過關鍵服務的各種測試，包括：功能測試、性能測試、壓力測試、滲透測試以及恢復測試，制定出效率和精度平衡的策略來備份應用程序、配置和業務數據等。
• 從業務和用戶角度出發，制定相應的應急預案和災難恢復措施，加強日常演練，從而將業務中斷的風險降到企業及用戶的可接受范圍內(可參照上次我們聊到的服務級別約定)。
• 選用軟/硬件的瞬間切換和容錯/互備技術來保證系統高可用性。

而在編制系統災難恢復的流程時，可以參考如下通用步驟，具體系統與特殊服務可在此基礎上增刪。

• 恢復硬件或相關設施。
• 利用技術手段恢復操作系統。
• 根據配置管理數據庫里的相關文檔描述，重新配置該系統，包括驅動程序設置、用戶參數、文件修改與增刪等。
• 應用軟件或程序的加載與定制。
• 應用數據的導入與測試。
• 對整個系統進行重新全量備份。

那么除了上述傳統的連續性和災備要點之外，對于正在使用云系統或服務的企業來說，和以前完全自行管控的不同之處在于，現在由于使用的是云平臺，在網絡資源、硬件配置和軟服務上各種服務，基本上是以平臺提供商為單位整體展現出的一體化的打包模式。所以原始的細粒度的BIA已經不一定適用了。反而，及時、準確的向云服務提供商更新自己系統的各項配置，保持順暢溝通，并時常與之聯動，進行事件(事故)的響應與恢復演練，就顯得更為重要的。我的經驗是：乘著現在還是“買方市場”的格局，這些條款或事項完全可以追加到與他們的SLA中。

另外，因為在云端，對于IT部門來說，某種程度上已經是“摸不著”了，那么就要做得任何時候都能“看得見”，就需要加強監控。監控的內容可以包括：對服務頁面(網站)的監控、服務器(虛擬主機)的監控、各項服務性能的監控、甚至是各種API調用的監控等。通過主動發現、準確定位、快速響應的方式來減少云端業務中斷所給企業帶來的運營風險。

同時，我也注意到自己身邊有一些企業會另辟蹊徑，他們把云服務作為自己當前系統的一種備份方式。通過運用云計算技術中的虛擬化，實現重要數據資源以多樣、安全和快捷的方式進行備份和遷移，從而利用云計算帶來的“紅利”，實現了自身業務的彈性變更，也達到了系統災備和恢復能力的提升。

深入來看，云備份鏡像可以實現對主站點的完全備份。當服務流量負載從主站點切換到云端的熱鏡像后，利用云端資源的彈性優勢，服務性能基本上不受影響。大幅縮短恢復點目標和恢復時間目標。當然鏡像同樣需要IT人員進行日常維護，災難恢復的各種演練可以在鏡像上反復模擬。根據云服務的本質特點，鏡像的運營成本相對另建備用站點的軟硬件成本要低廉許多。另外，雙方也可事先確認SLA，說明系統將以何種速度啟動，需要哪些資源，才能將業務恢復到正常工作的水準。

安全與取證

既然說回到安全，我們IT部門仍然應當根據相關的管理標準(如ISO27001等)去著力建立一個業界時常提到的但應適合于自己企業的信息安全管理體系(ISMS)。

首先是在整體上，對IT服務所涉及到的信息進行機密程度的等級劃分，對各種軟/硬件服務進行單點故障和潛在風險識別、分析與評估，找到性能的瓶頸并區分優先級。

其次是在技術上，可從如下三方面技術入手，根據企業的自身條件和IT狀況進行應用和部署：

• 基礎支撐技術：密碼技術，認證技術，訪問控制理論，網絡資源管理。
• 被動防御技術：入侵檢測系統，蜜罐，虛擬機，應用網閘，數據備份與恢復。
• 主動防御技術：防火墻，入侵防御系統，VPN，病毒查殺，安全掃描。

當然，在各種安全技術引入的同時要注意控制選購、實施和維護的成本，而且要兼顧安全可靠性與易用性的平衡。

再次是在物理上，應做到信息以及設備之間有物理的隔離，各個功能區的分隔與劃分，機房和門禁出入的記錄、控制和審計。

最后是管理上，要注重各種安全方針和手冊以及操作流程文件的制定，安全意識和應對安全事件的人員培訓，相應賬戶和訪問權限的最小化設定與監控等。以及當有安全事件發生時，可以考慮用多種取證技術相結合。例如：存儲介質的數據恢復、解密技術、入侵追蹤、信息過濾、搜索和挖掘、以及磁盤鏡像拷貝等。

我們再來看看云服務及系統的相關安全方面。先看“事前”。

不得不承認，若干年來，各大安全硬件廠商都諱莫如深的形成了所謂的“聯盟”極力想企業兜售安全硬件產品。而今，既然已經是云時代了，成千上萬的多租戶共享著相同的物理資源，云平臺提供商已經為我們準備好了前端的安全硬件“黑盒子”，提供了接入端的一攬子解決方案。他們通過整合各種物理資源(如加解密類硬件設備)、虛擬資源(如虛擬IDS、IPS、WAF)以及提供專業技術支持方面的人力資源(如安全事件管理員、漏洞分析員)，采用虛擬化技術構建了統一的資源池，并對資源采用均衡負載、靈活調配以及最大化利用等方式，實現對租戶安全功能的便捷交付?？梢院敛豢蜌獾恼f，由于面對多租戶環境，云服務提供商可能會比我們自己傳統的IT部門更加及時和專業。他們通過云端強大的服務器，實時處理隨時爆發的新型攻擊，更新信息數據，能夠有效控制危險事件的大規模發生和傳播。

所以我們真心沒有必要再花大力氣去為自己的云平臺考慮購置安全硬件了，只要守護好自己的“一畝三分地”便可。大家都知道軟件定義網絡(SDN)技術吧?個人覺得它已經不只是簡單的實現“Bridge”或“vSwitch”的基本功能了。它是安全界的一股清流。對于實力雄厚且富有開發經驗的企業來說，可以運用SDN的技術，通過軟件編程等方式，定義自己的虛擬防火墻、入侵檢測、DDoS檢測、流量清洗甚至解決各種QoS問題;而對于“只愿出錢不遠出力”的企業，也可以通過購買集成了IPS功能的軟件來進行深度流量報文檢測，從而發現虛擬機上是否存在漏洞。這里要多說一點的是：由于離開了企業傳統的較為封閉的系統環境，這些基于云端的安全軟件網絡防護所設置的規則、漏洞庫等數據不再受本地數據源限制而依賴于小范圍數據采集，也擺脫了服務器定時或者手動更新的性能瓶頸。各種安全知識庫，病毒特征碼、URL黑名單、垃圾郵件指紋集，Web 攻擊特征等，可以通過云的方式實現第一時間的更新，也就是在和0 day攻擊者賽跑時穿上了跑鞋。

為了防止由于各種外部攻擊或者是云服務提供商自身的原因所導致的租用空間的隔離失效的情況，必要的縱深防御是個趨勢。我們企業安全人員在學會善用各種云安全相關工具的同時，要花時間制定和最終踐行一個適合自身企業的“安全基線”。它也可作為上述服務連續性和災備計劃的一個重要參考依據。下面給大家簡單列舉一個范例供大家批判性的接受哦：

• 網絡層面：

運用防火墻策略隔離出用于平臺管理的網絡。

啟用VPN或者是雙因素認證的訪問接入控制。

• 操作系統層面：

調整默認設置，關閉不必要的服務，定期打系統補丁等系統加固。

安裝基于主機的IDS。

開啟詳細的日志服務，并定期將日志離線導入中央日志管理平臺或聚合到安全信息事件管理SIEM，以防日志被篡改。

定期審查系統級別的管理員權限。

• 應用層面：

啟用多因素認證來保護Web表示層和應用日志。

用基于角色的訪問控制來細粒度控制應用的各項工作流及操作。

同樣定期將日志離線導入中央日志管理平臺或聚合到安全信息事件管理SIEM，以防日志被篡改。

我們最后來看看“事后”。據我的一個在云安全運營中心(SOC)的“眼線”朋友透露：一直以來，在各種使用云服務的企業的被攻擊案例中，大多數是因為采用了弱口令之類的弱安全基線。而受到攻擊后一般都以“Just my luck!”的方式三緘其口，并無后續的取證或訴訟。正所謂“God only help those who help themselves”，我們對待既已發生的云安全事件，要像“法醫秦明”做好各種取證工作，以彰顯自身專業性。依據經驗，哥總結下來，一般步驟分為文件分析取證和數據分析取證兩步驟：

文件分析取證是通過各種日志(包括超過閥值的錯誤登錄日志，當然也包括成功登錄的日志，因為里面特殊賬戶登錄的時間戳)信息的查找，以及文件目錄結構和文件名的掃描，如果發現可疑的shell腳本之類的文件，可以通過查詢其生成的時間和其關鍵字信息等，來判斷其是否利用了諸如Web漏洞或者是通過Web Server執行的命令等進行了攻擊。

而數據分析取證則是登陸到攻擊主機或“肉雞”主機的數據庫的后臺，查詢是否有不明IP地址的登陸記錄，結合服務器日志分析，重點考慮是否有非法的用戶名生成，或是有提權之類的操作。

總的說來，可以用一個P2DR2M(Protection、Policy、Detection、Response、Recovery和Management)的口訣來概括企業云服務系統安全所涉及到和需要考量的各個方面。

好了，佛語有言：“你種下什么因，就會有什么樣的果。”我既然在幾個月前選擇開啟了咱們漫談這個大IP劇，我自然會一直惦記著它。平日雖無什么如芒在背的“鴨梨”(壓力)，但還是有義務和責任保證其每一集的頻率和質量的。誠然我自知文采有限，且談的既“漫”又“慢”，但還是真心希望能對讀者您的工作有所幫助，讓你能有“看過都說好”的趕腳。

【51CTO原創稿件，合作站點轉載請注明原文作者和出處為51CTO.com】