模块4：云计算数据安全

模块4：数据安全,学习目标,云存储的交付模式公有云中的数据安全问题数据安全生命周期云安全事件，以及针对安全和管理的特定安全措施数据加密技术,2,CloudDataArchitectures云数据架构,3,云存储的属性,池化存储多租户自服务，弹性数据抽象/虚拟化数据多副本服务商可以访问你的数据问题：谁为数据的安全负责？,4,云存储的交付模式,5,IaaS数据存储,IaaS提供：Rawstorage原始存储，未格式化的磁盘Volumestorage卷存储，格式化后的磁盘ObjectStorage对象存储Other(CDN)其它（内容分发网络）,6,云数据存储：原始存储,原始存储：没有文件系统服务，没有任何结构，通过可编程API的远程挂载HTTPS和（有时）SSL提供访问控制，通常没有授冗余存储，通常未归档可靠的，但并非安全用户对授权，静态数据安全，应用&使用安全，共享，归档安全和数据销毁/删除负责。,7,云存储以结构化的卷出现，作为一个虚拟的磁盘或者“卷”，块的大小预先定义好，其本质上是一个虚拟硬盘持久的&弹性的提供访问控制，通常没有授权通常使用HTTPS冗余存储，通常未归档可靠的，但并非安全用户对授权，静态数据安全，应用&使用安全，共享，归档安全和数据销毁/删除负责。,8,云数据存储：卷存储,对象存储：以虚拟文件系统的形象出现，可加载、可寻址的虚拟化文件系统，用于模仿Windows/Mac/Linux文件系统提供完整的文件操作提供访问控制和授权使用HTTPS使用数据加密以保护静态数据安全,9,云数据存储：对象存储,PaaS数据存储,PaaS提供：数据库API或Hadoop或大数据API存储应用/APIPaaS后台使用：数据库对象存储卷存储,10,云存储PAAS层交付的典型例子是DBAAS，用户不用关心数据如何在磁盘上存储和组织的，只需要使用标准的API（例如SQL）来定义和操作数据例子：D,SQLAzure,AmazonEMR,Hadoop,11,云数据存储：DBAAS,SaaS数据存储,SaaS提供：通过web页面或应用访问的信息内容/文件存储SaaS在后台使用：Database数据库Objectstorage对象存储Volumestorage卷存储,12,用户通过应用界面或API调用来存储和操作数据。服务提供商对安全负责。用户的审计、监控能力是受限的例如：Salesforcegoolgedoc,13,云数据存储：应用管理,存储被抽象为应用/服务的一部分。数据访问是通过应用界面或web/编程接口。服务提供商的对安全负责，用户的审计、监控能力是受限的。例如：百度云盘,14,云数据存储：内容/文件存储,数据分片技术,15,File文件,Server1,Drive1服务器1，磁盘1,Server2,Drive3服务器2，磁盘3,Server2,Drive1服务器2，磁盘1,Fragment2片段2,Fragment3片段3,Fragment1片段1,Fragment2片段2,Fragment3片段3,Fragment1片段1,一种数据安全技术，将一个文件的片段分散存储在不同位置，以防止数据丢失并增加攻击者获取文件的难度,数据安全生命周期,16,如何使用生命周期,数据安全生命周期是帮助你对安全控制措施建模的工具不要太细粒度否则建模太复杂。聚焦在大视图上。使用生命周期决定数据的流向然后使用它映射数据*能够*如何使用，以及它*应该*如何使用当你能够做你不应被允许的事情时，这儿就需要插入一项安全控制措施,17,数据安全生命周期,18,数据安全生命周期,创建是新数据内容的产生，或替换/更新/修改已有内容。身份数据标签/分类能力分类/分析/标签/标记是创建阶段的安全选项,19,Create创建,加密是主要的安全工具直接应用于存储但随存储类型而不同应用/数据库层加密是一个选项集中的密钥管理,Store存储,数据安全生命周期,数据被浏览、处理或以其它方式使用文件，数据库，APP监控App逻辑执行内容感知技术（DRM,DLP,DAM）数据屏蔽,20,Use使用,信息可以供他人访问传输层加密磁盘/文件/数据库加密访问控制内容感知技术（DRM,DLP,DAM）对象级数据库控制,Share共享,加密和资产管理磁盘文件加密数据加密其它方面密钥管理,21,Archive归档,数据安全生命周期,采用物理或数字手段永久销毁密码粉碎物理销毁内容发现和验证在云中删除数据是不够的（特别是如果合规性是一个问题的话），物理销毁在公有云中是超出你的控制的,Destroy销毁,访问控制,访问、处理和存储数据是云的基本功能允许的功能随着位置/用户而改变控制措施根据用户/位置不同也不同内部和外部访问通常有不同的安全策略因此你需要有*多个*数据安全生命周期对数据安全生命周期的每个阶段（访问处理，存储）我们需要理解：谁使用数据它们允许在哪里使用、它们允许对数据做什么,22,23,生命周期与功能的映射关系,24,映射控制措施,服务商提供的数据安全,25,IaaSProviderIaaS服务商,0%,100%,PaaSProviderPaaS服务商,SaaSProviderSaaS服务商,Nosecurityis100%!没有安全可以做到100%！,云服务商控制一部分基础设施,他们控制的越多，你在安全控制措施方面的灵活性就越小,他们控制的越少，你负责的就越多.找出服务商提供了什么，要满足你的需求还缺少什么,然后：选择工具/技术来弥补安全差距在云中部署工具修改你的过程和列表以进行验证,数据安全&加密,26,数据安全工具,发现和监控通信安全加密存储数据数据防泄露（DLP）数据库活动监控以及文件活动监控（DAM&FAM）数字版权保护（DRM）,27,数据安全工具的使用,28,Discovery,数据传送时的保护,29,数据存储加密,定位敏感数据并进行分类，以便于我们了解什么控制措施是适用的基于数据类型应用安全控制措施加密部署和密钥管理随云服务模型、存储模型而变化在所有情况下，密钥应该由*你*保护和控制而不是服务商,30,云加密系统组件,31,每个组件可以放置在不同的位置：在虚拟机中，或专有硬件上。例如：虚机中的一个密钥管理器，或者在数据中心中VPN里的一个专有硬件中。在一个私有云或者公有云中。例如，将加密引擎置于公有云的主机上，而密钥管理器运行在私有云中（以一种混合模式连接）。在主机上或网络中。例如，有的商业加密工具既可以在主机上作为agent，也可以在网络上作为一个代理运行。,数据加密实施的层次,32,加密IaaS卷（块存储）,33,实例管理的加密：在虚拟机实例中实现。外部管理的加密：加密作为一种服务，密钥管理和加密/解密操作在另一个虚拟机实例中处理。代理加密：以一个中间人方式运行，独立于应用和存储介质。在数据存储前进行加密，在发送给用户前解密，,虚拟私有存储（用于对象/文件）,34,在虚拟私有存储模型：每个用户在将数据发送到云中之前，使用各自的密钥加密他们的数据。,CloudKeyManagementOptions云密钥管理选项,35,SplitKeys分裂密钥,DataLossPrevention数据防泄露,36,Productsthat,basedoncentralpolicies,identify,monitor,andprotectdataatrest,inmotion,andinusethroughdeepcontentanalysis.”基于集中策略通过深度内容分析来识别、监控和保护空闲态、移动态和使用态数据的产品,DLP的产品形态,专有设备/服务器虚拟设备终端agent虚拟管理程序agentDLP软件即服务,37,加密的替代措施,38,数据屏蔽举例,39,(Wewilltalkmoreaboutthisintheapplicationsecuritymodule)（我们将在应用安全模块中进一步讨论）,Tokenization脱敏,40,DigitalRightsManagement数字版权管理,Usableforenterprise,notsogreatforconsumer.适用于企业，不太适合消费者。Difficulttomanage-typicallyaworkgroup-leveltool.难以管理是一个典型的工作组级别的工具。Canprotectdocumentsincloudstorage.可以在云存储中保护文档。,41,总结,与云相关的数据安全问题出现在：传送过程和静态存储。传送过程：客户端/应用加密，链路加密，基于代理的加密静态存储：实例加密、外部加密、代理加密有许多云数据存储的选项从对象（文件）到卷到数据库在数据的全生命周期进行管理包括数据移入和移出云中。对大多云数据安全而言，加密是你基本的工具，但你需要根据云架构来调整你的加密架构,42,练习题,下面哪项不是IaaS中的常用存储选项？原始存储大数据即服务内容分发网络对象存储卷存储为什么同时了解云中数据的逻辑位置和物理位置很重要？由于失去关于信息线程的线索的潜在可能性。由于所有潜在的规章的、合同的或者其它法律的问题。由于数据过于广泛的散布的潜在可能性。由于数据安全生命周期的程序性限制。由于数据过密的聚集在某些节点的可能性。,43,练习题,下面哪项不是IaaS中的常用存储选项？原始存储大数据即服务内容分发网络对象存储卷存储为什么同时了解云中数据的逻辑位置和物理位置很重要？由于失去关于信息线程的线索的潜在可能性。由于所有潜在的规章的、合同的或者其它法律的问题。由于数据过于广泛的散布的潜在可能性。由于数据安全生命周期的程序性限制。由于数据过密的聚集在某些节点的可能性。,44,练习题,下面哪项陈述最好的描述了数据安全生命周期？6个阶段，是循严格线性的，从不存在不同。5个阶段，循环的，各自不同，有些数据可能不会通过所有阶段。6个阶段，可能是非线性的，各自不同，数据必须通过所有阶段。6个阶段，可能是非线性的，各自不同，有些数据可不通过所有阶段。5个阶段，可能是非线性的，各自不同，数据必须通过所有阶段。当数据迁移进云或者在云中转移时，三个有效的保护数据的选项是什么？客户端/应用加密，连接/网络加密，基于代理的加密客户端/应用加密，连接/网络加密，Hypervisor加密密码加密，链路/网络加密，基于代理的加密客户端/应用加密，云编码，基于代理的加密客户端/应用绑定，连接/网络绑定，基于代理的绑定,45,练习题,下面哪项陈述最好的描述了数据安全生命周期？6个阶段，是循严格线性的，从不存在不同。5个阶段，循环的，各自不同，有些数据可能不会通过所有阶段。6个阶段，可能是非线性的，各自不同，数据必须通过所有阶段。6个阶段，可能是非线性的，各自不同，有些数据可不通过所有阶段。5个阶段，可能是非线性的，各自不同，数据必须通过所有阶段。当数据迁移进云或者在云中转移时，三个有效的保护数据的选项是什么？客户端/应用加密，连接/网络加密，基于代理的加密客户端/应用加密，连接/网络加密，Hypervisor加密密码加密，链路/网络加密，基于代理的加密客户端/应用加密，云编码，基于代理的加密客户端/应用绑定，连接/网络绑定，基于代理的绑定,46,练习题,为什么推荐为SaaS加密使用每客户密钥？降低网络管理员的工作量满足合规性要求聚类相关数据更好的实现多租户隔离分散安全相关信息下面哪项关于数据泄露保护（DLP）的陈述是真的？DLP能提供快速删除云环境中存储的全部数据的选项。DLP从不提供对违反策略的数据如何进行处置的选项。DLP能提供数据存储在哪里的选项。DLP能将储存库中的全部数据进行分类。DLP能提供对违反策略的数据如何进行处置的选项。,47,练习题,为什么推荐为SaaS加密使用每客户密钥？降低网络管理员的工作量满足合规性要求聚类相关数据更好的实现多租户隔离分散安全相关信息下面哪项关于数据泄露保护（DLP）的陈述是真的？DLP能提供快速删除云环境中存储的全部数据的选项。DLP从不提供对违反策略的数据如何进行处置的选项。DLP能提供数据存储在哪里的选项。DLP能将储存库中的全部数据进行分类。DLP能提供对违反策略的数据如何进行处置的选项。,48,练习题,下面哪项陈述最好的描述了云中的充分的加密数据保护？当数据迁移至云时，对数据传输过程加密在数据存储到云中后将其加密当数据离开云时将其加密当数据迁移至云时，对数据传输过程加密，当数据存储在云中后对静态数据进行加密不要加密靠近云的任何数据在云中，如何最好的决定数据安全风险和潜在的控制措施？理解相关的监管规章要求标识主要的操作系统加密一切东西了解正在使用的云存储架构对用户数据文件进行搜索,49,练习题,下面哪项陈述最好的描述了云中的充分的加密数据保护？当数据迁移至云时，对数据传输过程加密在数据存储到云中后将其加密当数据离开云时将其加密当数据迁移至云时，对数据传输过程加密，当数据存储在云中后对静态数据进行加密不要加密靠近云的任何数据在云中，如何最好的决定数据安全风险和潜在的控制措施？理解相关的监管规章要求标识主要的操作系统加密一切东西了解正在使用的云存储架构对用户数据文件进行搜索,50,练习题,采用云服务的企业应该使用一个这样的集中密钥管理服务：为每一组用户维护一个密钥为每个云服务提供商发放一个密钥为每个用户分配一个密钥在多组用户中分享密钥以上都不是下面的哪项陈述最好的描述了为什么知道数据如何被访问非常重要？访问数据的设备可能具有不同的所有权特征。访问数据的设备具有不同的存储格式。设备可能影