云计算

一.什么是云计算

       简单地讲，云计算就是Internet为中心的软件。这个软件需要动态改变的访问资源与服务，应用和服务请求的资源来自“云”，而不是固定的有形的实体。云就是一些可以自我维护和管理的虚拟资源。

    云计算的基本原理是，通过使计算分布在大量的分布式计算机上，而非本地计算机或远程服务器中，企业数据中心的运行将更与互联网相似。这使得企业能够将资源切换到需要的应用上，根据需求访问计算机和存储系统。
    这可是一种革命性的举措，打个比方，这就好比是从古老的单台发电机模式转向了电厂集中供电的模式。它意味着计算能力也可以作为一种商品进行流通，就像煤气、水电一样，取用方便，费用低廉。最大的不同在于，它是通过互联网进行传输的。
　云计算的蓝图已经呼之欲出：在未来，只需要一台笔记本或者一个手机，就可以通过网络服务来实现我们需要的一切，甚至包括超级计算这样的任务。从这个角度而言，最终用户才是云计算的真正拥有者。
　云计算的应用包含这样的一种思想，把力量联合起来，给其中的每一个成员使用。
    从最根本的意义来说，云计算就是利用互联网上的软件和数据的能力。 
    对于云计算， 李开复（现任Google全球副总裁、中国区总裁）打了一个形象的比喻：钱庄。 最早人们只是把钱放在枕头底下，后来有了钱庄，很安全，不过兑现起来比较麻烦。现在发展到银行可以到任何一个网点取钱，甚至通过ATM，或者国外的渠道。就像用电不需要家家装备发电机，直接从电力公司购买一样。
    “云计算”带来的就是这样一种变革——由谷歌、IBM这样的专业网络公司来搭建计算机存储、运算中心，用户通过一根网线借助浏览器就可以很方便的访问，把“云”做为资料存储以及应用服务的中心。

二.云计算的特点

首先，云计算提供了最可靠、最安全的数据存储中心，用户不用再担心数据丢失、病毒入侵等麻烦。
其次，云计算对用户端的设备要求最低，使用起来也最方便。
此外，云计算可以轻松实现不同设备间的数据与应用共享。
最后，云计算为我们使用网络提供了几乎无限多的可能，为存储和管理数据提供了几乎无限多的空间，也为我们完成各类应用提供了几乎无限强大的计算能力。

三.云计算的优点

    

1、数据集中存储

    减少数据泄露：这也是云服务供应商谈论最多的一个。在云计算出现之前，数据常常很容易被泄露，尤其是便携笔记本电脑的失窃成为数据泄露的最大因素之一。为此需要添置额外备份磁碟机，以防数据外泄。而且随着云技术的不断普及，数据“地雷”也将会大为减少。掌上电脑或者Netbook的小量、即时性的数据传输，也远比笔记本电脑批量传输所面临的风险小。你可以问任何一家大公司的信息安全管理人员(Certified Information Security Office，简称CISO)，是不是所有的笔记本电脑都安装有公司授权的安全技术，比如磁盘加密技术(Full Disk Encryption)，他们会告诉你这是不大现实的。尽管在资产管理和数据安全上投入了不少精力，但是他们还是面临不少窘境和困难，更何况那些中小企业?那些使用数据加密或者对重要数据分开存储的企业，可以说少之又少。

    可靠的安全监测：数据集中存储更容易实现安全监测。如果数据被盗，后果不堪想象。通过存储在一个或者若干个数据中心，数据中心的管理者可以对数据进行统一管理，负责资源的分配、负载的均衡、软件的部署、安全的控制，并拥有更可靠的安全实时监测，同时，还可以降低使用者成本。

2、事件快速反应

    取证准备：在必要的时候，我可以利用基础架构即服务(Infrastructure-as-a-Service，简称IaaS)供应商提供的条件，为自己公司建立一个专门的取证服务器。当事件发生需要取证时，我只需要支付在线存储所产生的费用。而不需要额外配置人员去管理远程登陆及其软件，而我所要做的，就是点击云提供商Web界面中的一些按钮即可。如果一旦产生多个事件反应，我可以先复制一份，并把这些取证工作分发到不同部门或者人员手中，然后进行快速分析并得出结论。不过，为了充分发挥这项功能，取证软件供应商需要由过去传统的软件授权许可转变到新型网络许可模式。

    缩短取证时间：如果有某个服务器在云中出现了故障，我只要在云客户端点击鼠标，克隆该服务器并使得克隆后的服务器磁盘对取证服务器开放。我根本不需要临时寻找存储设备，并花时间等待其启动并进入使用状态，从而，大大缩短取证时间。

    降低服务器出错概率：和刚才讲述的情况类似，即使有某台服务器出现故障，也可以在极短时间内，快速克隆并拥有全新的服务器供使用。另外，在某些情况下，更换出故障的硬件也不会影响到取证的正常进行。

    取证更有针对性：在同一个云中，拥有克隆服务器的速度会快很多——克隆服务器可以更快的速度分发云提供商专门设计的文件系统。如果从网络流量角度来看的话，在同一个云中的服务器副本，可能并不会产生额外的费用。而如果没有云的话，要实现同样的目的，需要花费大量宝贵的时间和昂贵的硬件成本。在云环境下，我只需要对有用的取证支付存储费用。

    隐藏取证痕迹：有一些云存储可以执行加密校验和散列( hash)。比如，Amazon S3 会在你存储数据的时候自动生成一个MD5 散列(hash)。在理论上，你也并不需要浪费时间去使用外部工具生成MD5加密校验，因为云已经完全具备这些功能。

    缩短存取受保护数据时间：现在CPU性能已经十分强大。保护数据的密码，需要花费很长时间来检验，而现在云环境下配置强大的CPU，可以在短时间更大范围内检验出保护数据的密码性能。从而，批量处理受保护数据的存取工作也会变得简易快速
3、密码可靠性测试

    减少密码破解时间：如果你的公司需要使用密码破解工具定期对密码强度进行测试，那么你可以使用云计算减少密码破解时间，并更能保证密码强度的可靠性，而你只需要支付相关费用即可。

    密码破解专用机器：如果你使用分布式密码破解测试密码强度的话，工作量会波及到很多相关机器，从而影响使用效率。在云条件下，你可以设立密码破解专用机器，这样一来，既可以提供工作效率，又可以减少敏感数据外泄和工作超负荷的发生。

4、日志

    无限期记录，按次数收费：日志往往都是事后的，如果磁盘空间不足，可以重新分配，并不会影响日志的存储使用。云存储可以帮你随心所欲地记录你想要的标准日志，而且没有日期限制，你所需要的也仅仅是按使用量支付费用。

    完善日志索引机制：在云计算中，你可以根据你的日志实现实时索引，并享受到instant search带来的好处。如果需要，还可以根据日志记录探测到计算机的动态信息，轻松实现实时监测。

    符合扩展日志记录：现在，大部分的操作系统都使用C2审核跟踪模式支持扩展日志记录，这种方式能够保证系统能够保护资源并具有足够的审核能力，C2模式还允许我们监视对所有数据库的所有访问企图。现在，我们在云环境下更容易实现这一目的，而且Granular logging也会让取证调查变得更加容易。

5、提升安全软件的性能

    需求是前进的动力：CPU更新换代步伐越来越快。如果处理器性能成为机器运行瓶颈，那么用户必然会把目光投向更昂贵的CPU。同样的情况，安全产品厂商也明白这个道理。相信在云计算中，会出现越来越多的高性能安全软件，也可以在某种程度上说，云带来了安全产品的整体提升。

6、可靠的构造

     预控制机制：基于云计算的虚拟化能够获得更多的好处。你可以自定义“安全”或者“可靠”的状态，并且创建属于自己的VM镜像同时不被克隆。不过，需要指出的是这可能要求有第三方工具的配合。

     减少漏洞：通过离线安装补丁，可以极大减少系统漏洞。镜像可以在安全的状态下做到实时同步，而即使离线VM也可以很方便地在断网情况下安上补丁。

     更容易检测到安全状况：这是个很重要的方面。通过你的工作环境的一个副本，可以更低的成本和更少的时间执行安全检测。这可以说，在安全工作环境上前进了一大步。

 7、安全性测试

     降低安全测试成本：SaaS供应商只承担他们安全测试成本中的一部分。通过共享相同的应用程序服务，你可以节省不少昂贵的安全性测试费用。甚至通过软件即服务(Platform as a Service ，PaaS)，也可以让你的软件开发人员在潜在成本规模经济下撰写程序代码( 尤其是利用扫描工具扫描安全漏洞的程序编码)。
四.云计算的不足

    Gartner公司的两名分析师Jay Heiser和Mark Nicolett共同撰写了《评估云计算的安全风险》，这份报告列出了云计算存在的许多危险因素。
　　他们想要传达的主题倒不是建议公司不要使用云计算。确切地说，公司在采用云计算时要睁大眼睛，完全明白相关风险，并且采取必要的防范措施来确保安全，或者说尽量确保安全，这是由于云计算具有“黑盒子”的性质，充满了未知因素。
　　Heiser说：“要是人们对相关风险没有顾虑，云计算恐怕已经更加流行了。我认为大多数潜在的用户没有真正认识到相关风险。他们都是直觉上觉得这是一种新技术；不应该草率对待。”
　　的确，高盛公司最近调查了CIO们对2009年的计划，他们觉得明年的经济形势让人不安。调查结果对云计算服务来说不是什么好兆头：只有不到2%的调查对象把云计算列为优先考虑的项目。
　　云计算的众多安全问题足以让人提出这样一个问题：难道我们就不能继续使用那种传统而可靠的客户机/服务器架构吗？毕竟，服务器的价格在一路下滑，毫无止跌的势头，而从事维护工作的IT员工势必不会像过去那样领取高得离谱的薪水。为什么要寻求外界的帮助呢？
　　Heiser认为，尽管存在这些那样的怀疑，但云计算这股潮流确实有潜力改变行业。这趟列车已经驶离了车站，尽管CIO们被经济衰退吓破了胆。简而言之，云计算可以大幅节省成本，显著提高效率和灵活性，优点实在太明显了，以至人们没法忽视它。
　　Heiser说：“云计算基本上是经济可行的，不过存在便利问题。”
　　“这存在一个控制问题。我把云计算与消费化归为一类，这是表明最终用户如何从IT部门手里夺取主动权的另一个例子。如果他们不喜欢IT部门提供的方案，就会出去、自行购买。”
　　比方说，“一心想摆脱IT部门、自行部署CRM的销售经理在很大程度上促进了Salesforce.com的迅猛发展。”
　　另外，与斥资购买拆开包装后就开始老化的服务器相比，购买云计算服务更合人们的心意。Heiser说：“如果你购买云计算服务，这只需要花费一笔小钱。如果你购买计算机之类的东西，那可是一笔大额投资。”
　　“所以同样是花钱，但性质不同；人们喜欢花小钱办大事。”

    九大安全问题及相应对策
　　Heiser表示，要评估云计算服务提供商，最实际的办法就是请第三方来进行评估。牵涉的问题和顾虑实在太多了，所以要是内部开展所有工作可能会让人望而生畏。让这项工作难上加难的是，许多云计算服务提供商一点也不透明。
　　他说：“打电话给谷歌公司，问一下对方的透明度如何。”他暗示答复很可能这样：“不是很透明”。“如果这样，为什么你要信任对方呢？”
　　Heiser说：“我平时拿谷歌的透明度与Salesforce.com的透明度进行比较。我们强调，Salesforce早期在加强透明度方面确实作出过一番努力；我们其实没有把谷歌当作是Salesforce的对立面，但它确实很不透明。”
　　如果你或者第三方在试着评估云计算服务提供商，以下是要注意的一些问题，以及Gartner公司建议的相应对策。
　　1、特权用户访问
　　若使用云计算，你的机密数据将由贵公司外面的人员来处理，所以可想而知：不是贵公司的员工完全可以访问这些数据。
　　忠告：“要求提供商提供招聘及监管享有特权的管理员方面的具体信息以及控制访问方面的具体信息。”
　　2、法规遵从
　　在《萨班斯－奥克斯利法案》当道的时代，公司有责任实施严格的数据监控和归档级别。即便一家公司与外部的云计算服务提供商签订了合同，这些法规仍要求这家公司负有责任。云计算服务提供商应当提交审计和安全方面的证书，确保对方能够履行约定的承诺。
　　忠告：“如果云计算提供商不愿意或者没能力做到遵从法规，这表明客户只能用它们来处理最不重要的功能。”
　　3、数据位置
　　若使用云计算，你不知道自己的数据到底存放在什么地方。服务器可能建在马来西亚、加拿大或者美国的新泽西州，说不定同时建在上述三个地方。
　　忠告：询问提供商，他们是否愿意给出合同承诺，遵守相关的一些隐私法？
　　4、数据隔离
　　当然，云计算提供商会使用SSL来保护传输中的数据，但当贵公司的数据位于存储设备中时，可能与其他公司的数据共用一只“虚拟保管箱”。贵公司的数据与别人的数据经过适当隔离吗？
　　提供商可能会夸耀自己的加密技术如何强大、安全。你会听到密钥长度有多长、采用哪种深奥的加密算法。不过，如果你的数据能够被提供商读取，那么可以这么认为：数据也会被别人读取。
　　忠告：“如果你的数据将采用加密格式来进行保存及备份，就要弄清楚谁有权访问解密密钥，贵公司的授权人员在紧急情况下是不是可以访问本公司员工的数据。”
　　5、可用性
　　从理论上来说，如果你使用云计算服务提供商，没有必要担心自己的数据会消失――这些提供商很容易采用冗余机制把你的数据复制到众多地方，这样万一系统崩溃，仍可以高枕无忧。
　　但你的员工能不能随时访问完成工作所需的数据呢？比方说，要是虚拟管道受到堵塞会怎样？要是提供商自身出现的某种内部故障导致你无法访问自己的关键数据，又会怎样？
　　忠告：“公司应当为任何重要的IT工作负载确定服务级别方面的要求，并且需要提供商签订服务级别协议，从而确保合同里面写明惩罚条款，以防出现服务级别协议未得到遵守的情况。”
　　6、灾难恢复
　　希望最糟糕的永远不会发生；任何重大的灾难也不会发生在你、你的提供商或者整个世界头上。但你的提供商必须为此作好防备。
　　重要问题：你的提供商有能力进行全面恢复吗？需要多少时间才能完成全面恢复？
　　7、调查支持
　　开展内部的法律调查向来就不是容易的事，因为这需要清查可能散布在实体位置和虚拟位置的大批文档。如果你使用云计算服务提供商，那么开展这种调查更是困难重重：许多客户的数据也许放在一块儿，散布在地点不断变化的一系列数据中心。
　　忠告：“如果你得不到提供商的合同承诺来支持特定的几种调查，又得不到证据表明对方曾经成功地支持这类工作，那么你几乎可以肯定，对方几乎不可能满足你要求的调查和发现。”
　　8、存活能力
　　你的提供商会被收购吗？或者更糟糕的是，会破产吗？如果是这样，对方需要多久才能把数据交还给你、而且采用的格式让你可以导入到另一家提供商的基础设施上？
　　9、降低风险方面的支持
　　你的员工开始使用外部提供商时，会经历一个学习过程。这家提供商提供的界面用起来多容易？提供商是否帮助你的管理人员设置监控政策？又采取了哪些措施来防范恶意软件和网络钓鱼？