解密:“云”上的安全

安全是一个多层级的话题,包括物理、硬件、引导、存储和其他方面。本文只探讨数据中心工作负载的访问控制。

几乎所有企业数据中心里都有很多防火墙/VPN设备,但是Google的数据中心没有。Google是如何做到不部署传统的防火墙,还能对其数据中心应用做到访问控制的?

从技术方面得出的答案是Google将访问控制、身份验证和授权部署到应用层,而不是在网络层,Google通过这种方式有效的在应用程序中进行访问控制,而不是在网络层去实现。

Google的这种方式保证了访问控制的稳定性、可移植性、可伸缩性:app-to-app,service-to-service数据中心内部访问控制不再依赖于在正确的时间正确的地点的人类或者脚本。它是基于应用程序身份的控制,而不是网络代理的身份控制;也没有更容易出错的“after-thought”应用人员和运维人员的协调。

尽管有众多的好处,围绕应用级安全控制和网络级安全控制依然存在着辩论。从行业发展史上看,企业数据中心选择的是“after-thought”网络级安全模型,因为它对传统的环境有意义;大多数数据中心运行打包软件,工作负载信任他们的内部网络,并且实现了有责任的分离。

尽管以应用为中心的模式在过去不符合企业的需求,但是现在已经有了相当程度的改变,云本地的应用将改变企业数据中心安全工作负载的方式。

1、内部自定义软件将控制数据中心:传统上,企业数据中心运行大量的打包软件,企业可以采取实际的方式从包的外部软件来保护这种类型的工作负载。但是,企业将传统的打包软件转换成软件即服务(SaaS)消费,因此安全打包软件不再是内部网络的需求。企业将运行卓越的内部开发定制软件,对他们的业务进行差异化经营。对应用来说,“baked-in”安全是一个极其可行的方法,因为企业拥有这些应用的代码和设计。

2、内部安全与周边安全重要性等同:传统的企业工作负载通常有一个信任的内部网络,不需要对单个的工作负载做访问控制,因此传统的营销或微营销技术更适应应用案例。Google的安全需求是基于“零信任”的,它不能保证内部网络比公共网络更加安全,传统的基于网络的接入控制不能满足这种规模的需求。但是企业开始在内部安全和周边安全上投注更多的心力:究其原因是“内部”可能驻留在共有云或混合云上。基于应用的“baked-in”模型将更可取,因为它具备高可扩展性和可移植性。

3、企业广泛采用DevOps:传统上,开发和运维之间的职责是分离的,这就划清了开发与运维之间的界限,“after-thought”网络安全模型实际上更适应日常工作流程。尽管一些职责的分离会得到保留,DevOps将会促进开发人员参与安全保障。应用程序生命周期的变化率急剧增加,在Docker和微服务中可见一斑。基于网络的“after-thought”的方法跟不上变化的脚步,基于应用的安全就必须得到加强。

现在的网络采用的是“after-thought”安全模型,并且在过去的二十年中为整个行业提供良好的服务。随着云原生应用的出现,云计算被广泛采用,以及积极拥抱DevOps,企业将会寻求能与云计算原生波长相匹配的安全模式。从“after-thought”到“baked-in”的安全模式的转变不会一夜之间就实现,它是一个量变引起质变的过程,但是在云安全产业仍然有一些激动人心的变化。

原文发布于微信公众号 - SDNLAB(SDNLAB)

原文发表时间:2016-07-08

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏飞总聊IT

互联网企业的开源使用窘境与出路

1 自从Hadoop生态圈流行开来以后,以Apache基金会为代表的开源社区空前强大,国内外互联网公司都纷纷使用开源软件。然而参与开源社区并非是一件容易的事情。...

37580
来自专栏CSDN技术头条

采用微服务时必须解决的四个挑战

在过去几周,我们介绍了微服务的概念,以及它在商业计划中的角色,还有企业迁移到微服务模型的方式——迁移到微服务的工作对企业提出了很大的挑战。在本周的文章中,我们将...

194100
来自专栏云计算D1net

企业采用混合云需做好准备

如今,混合云存储已经获得了企业很大的兴趣,因为它可以节约成本,提供可扩展性。但在采用混合云存储之前,还需要考虑一些关键的问题。 ? 混合云承诺利用恰当数量的云...

27070
来自专栏移动开发平台

让移动开发更简单,腾讯云上线移动开发平台打造云端一体化

腾讯云正式上线移动开发平台 MobileLine,借助腾讯在移动应用开发领域的成熟积累,帮助移动开发者低成本、快速的构建弹性、高质量的精品应用。

2.9K100
来自专栏CSDN技术头条

详述从IaaS到PaaS的三种实现方法

随着云计算平台的优势变得越来越清晰,从IaaS到PaaS似乎是一项比较轻松的工作了。但是,方法各有不同,而找到实施PaaS最好的方法就意味着在三个可能的选项中进...

28260
来自专栏云计算D1net

全球化,云计算和移动性将改变网络需求

如今,网络需求正在不断发展。全球化要求企业在洲际距离与他人联系。云迁移意味着大多数流量现在流向互联网,而不是直接流向数据中心。此外,传统VPN连接不良,并要求企...

37970
来自专栏云计算D1net

公有云供应商加入无服务器计算的浪潮

无服务器计算正在所有云服务供应商间流行着,而AWS Lambda之类的工具将可能改变资源的利用方式,尽管这一切还在萌芽阶段。 无服务器架构是云服务提供商之间最新...

35460
来自专栏云计算D1net

三种方式实现从IaaS到PaaS

随着云计算平台的优势变得越来越清晰,从IaaS到PaaS似乎是一项比较轻松的工作了。但是,方法各有不同,而找到实施PaaS最好的方法就意味着在三个可能的选项中进...

63570
来自专栏靠谱PM

一个需求从提出到落地的过程

这篇文章主要借复盘天猫超市优惠券功能来聊下,一个优惠券功能的需求,从需求的提出到落地的一个复盘,有每个步骤的实操,这里的需求是明确的,后面有时间做一个需求分析的...

37020
来自专栏北京马哥教育

运维平台体系,你们真的有好好规划吗?

在之前的文章中,谈到过“运维的本质——可视化”,在可视化的篇幅中,着重介绍自动化的可视化和数据的可视化;在后续的篇章中又介绍了“互联网运维的价值体系”,里面分解...

33400

扫码关注云+社区

领取腾讯云代金券