云计算安全和标准及发展问题与建议

PPT参见http://www.myplick.com/view/bGHMlrwd9t-/

Slide 1:
云计算安全和标准及发展问题与建议世纪互联云快线 刘黎明

Slide 2: 提   纲 云计算概念 云计算产业链 安全问题 标准问题
监管问题 Q&A

Slide 3: 云计算概念云计算关键特征： 通过互联网提供自助式服务 快速获得服务 按需扩展和使用
按使用量付费从专业化角度讲，云计算体现了专业的服务由专业的组织和人员提供更为高效的原理。
从规模化角度讲，云计算体现了规模化采购减低采购成本，规模化运营降低人力成本，规 模化服务提高峰值复用水平。  
从服务模式角度讲，云计算体现了用户自助和按需付费的趋势。传统那个的连看一样商品
都要柜台服务员参与的供销社模式与后来的超市模式，与云计算的产生有共同之处。  
从精细化角度讲，云计算体现了按需使用、按实际使用量付费的趋势。这个特点就比如水
电的趋势，量化到一定的精细度，比如水用立方米，电用度，就能保证所有用户都是按实 际使用付费的。这一特点区别于按峰值计费和包月包年制。

Slide
4: 云计算产业链一切皆服务 软件即服务 安全即服务 集成即服务平台即服务开发平台测试平台 非结构化存储服
务运营平台基础设施即服务计算服务结构化存储服务 虚拟化管理器供应商操作系统供应商 基础软件供应商 分布式存储系供应商 处理器制造商
网络设备制造商基础设施管理系统供应商 存储设备制造商 通风设备制造商基础设施制造商服务器制造商 制冷设备制造商

Slide 5:
云计算安全问题概述 安全是信息产业领域永恒的主题 安全是相对的和有前提的 云计算的安全问题 80% 是传统 IT 就存在的安全问题 剩下 20%
的安全问题来自于：新技术的使用带来的新 的管理问题；老技术的新用法带来的老安全问题的扩大 化；新的服务模式带来的潜在问题。
传统的信息安全理论仍旧对解决云计算安全适用 SaaS ， IaaS 计算服务， IaaS 存储服务， PaaS ，私
有云等，不同的云计算服务应用场景面临的安全问题是 不一样的。

Slide 6: 云计算安全问题举例   数据泄漏 数据所有权
数据物理定位 数据传输通道服务器虚拟化管理器可靠性维护 虚拟服务器故障隔离性 虚拟服务器组成文件的权限控制   审计数据来源与配合   Dos
攻击，恶意代码， ARP 攻击，内部人员越权，设备故障 。。。

Slide 7: 云计算安全建议  单点登录双因素认证 加密数据 数据校验
安全传输 最小权限控制 推进可行的安全认证   不要对外暴露服务器虚拟 化管理器 增强对虚拟服务器的监控 和处理 虚拟服务器的组成文件进
行权限授权和控制 系统管理、物理机与虚拟 机操作日志进行管理和存 档   警惕传统 IT 企业以 FUD （ Fear,
Uncertainty, Doubt ，即惧、惑、疑）方法 暂时阻碍云计算产业发展

Slide 8: 云计算标准 “
三流企业卖产品，二流企业卖技术，一流企业卖标准”容易 引起误解，有本末倒置之嫌。 没做过好的产品，就没有过硬的技术。没有过硬的技术和相
当的技术经验积累，就不能有效参与制定合理的标准。 云计算并不是一项单纯的技术，而是一场信息产业变革，设
计广泛的产业链和众多的企业，所以其标准形成过程必将是 漫长而艰难的。 标准不是做出来的或制定出来的。标准是在良好的法治环境
下，市场充分竞争和公平竞争，博弈与妥协的结果。 标准可能领先或者落后于市场，但都有一个被市场检验的过 程。

Slide 9:
可能产生标准的方向 跨云的联合安全 云之间的元数据和数据交换 不同云平台之间迁移应用 描述资源能力和需求
云应用程序和服务的监控、审计、计费、报告、通知的标准化输 出与云资源交互的通用形式（ api ，协议） 独立于单个云的策略和控制的表示
开发、部署、管理可移植的云应用和服务的工具 创建跨多个云的应用的开发包 机器可识别的服务水平协议

Slide 10: 参与云计算标准的组织
CSA （云计算安全联盟， Cloud Security Alliance ） DMTF （分布式管理工作组） SNIA （存储网络行业协会）
OGF （开放网格计算论坛） OCC( 开放云计算联盟） OASIS （结构信息标准化促进组织 ) TM Forum(TM 论坛 ) IETF
（互联网工程任务组） ITU （国际电信联盟） ETSI （欧洲电信标准化协会） OMG （对象管理组织） NIST （国家标准与技术研究院）

Slide
11: 当前可能成为标准的规范 SNIA CDMI （云数据管理接口） DMTF OVF （开放虚拟化格式） OGF OCCI
（开放云计算接口） OVF 正如其名字所示，是一个开放虚拟化格式，描述了一个用来封装和分发运行在虚拟机上的软件的安全
的、开放的、可移植的、有效的、可扩展的格式。主要特点如下：易于分发；简单、自动的用户体验；支
持单虚拟机和多虚拟机部署；可移植的虚拟机封装；独立于供应商和平台；可扩展；易于本地化。一个 OVF 包含如下内容：一个 OVF 描述符文件，以
ovf 为后缀； 0 或 1 个 OVF 清单文件，以 mf 为后缀； 0 或 1 个 OVF 证书文件，以 cert 为后缀； 0
或多个磁盘镜像文件； 0 或多个资源文件，比如 iso 镜像。 OCCI 提供一个一扩展的 Restful 的 API
。每个资源用同一资源标识符标识。资源通过一组操作（建立、获 取、更新、删除）来控制，建立操作用 POST 请求，获取操作用 Get
请求，更新或建立用 Put 请求，删除 操作用 Delete 请求。此外，如下 HTTP 请求也被用到： COPY 、 HEAD 、 MOVE 、
OPTIONS 。目前可 管理三种资源：存储、网络、计算。将这些资源组合在一起，加上必要的属性，就形成一个虚拟机。 CDMI
即云数据管理接口，提供了一个在云存储环境中具有互操作性的传输和管理数据的规范。参与制定该 规范的企业包括： Bycast ， Cisco ，
Ologic ， Qlogic ， SUN ， XyRatex 。当然， SNIA 的董事会单位
不止这些企业。该模型展示了能够支持传统和新应用的多种类型的云数据存储接口。所有的接口都允许存 储动态提供和获取。 Data Servcies
根据数据的元数据应用到单个的数据元素上。元数据则是建立在单独数 据元素或多个数据元素集合基础上的数据需求。

Slide 12:
云计算标准发展建议 标准着眼于开放性、移植性、互动性，去除强制性、准 入门槛等色彩。 标准着眼于引导市场正确认识云计算，扶植新入企业，
具备理解和实现上的参考价值。标准着眼于让国内领先企业具备国际竞争力，让有兴趣 的企业和个人找到方向和可参考的实现建议。 云计算同 PC
和互联网产业一样，是一个全球性很强的 产业链，其产业布局、发展、标准制定都应从全球发展 和竞争态势联系起来
标准制定与国际标准和组织相配合，用借鉴和合作的态 度参与国际标准工作，避免一国标准对垒国际产业链的 尴尬。

Slide 13:
中国云计算产业面临的特殊环境 不同运营商之间的网络连接速度较慢 不同城市的带宽价格相差较大 人力成本相对较低
政府、事业单位、国有企业、国家控股企业没有严格的 预算限制 国有性质单位缺乏提高资金使用效率的动力和理念
互联网创新、行为、内容受到越来越严格的管制 其他领域的垄断性企业不受限制地试图垄断互联网和云 计算

Slide 14:
给政府和监管部门的建议 建议严格审查各地兴建的云计算中心和各科研事业单位上报的云计算科 研项目。
建议警惕以“中国云”“国产云”之名携民族自强自立之托词行垄断、骗取 资金之实。 建议政府： 1
完善法制和信用建设。只有在法制健全、信用有效的环境 中，云计算才能蓬勃发展。 2
继续改善投资和创新环境。提供对创新的鼓励和宽容、良好的投资创业环境、好的人才政策，引导风险投资渠
道的简历，倡导正常的投资理念，为云计算领域的创新和发展提供合适 的土壤。 3 政策资金上的倾斜。比如成立云计算创新基金扶植中小创新
企业，以及更合理使用 973 、自然科学基金，做好产学研转化和合作的 支持。 4 政府作为一个 IT 基础设施和服务的消费者，从消费者的角度
推动云计算产业的发展。建立政府内部云计算服务，适度采用公共云服 务。 网络备案制度有所改进，但也许可以做得更云计算化。 三网或四网融合过程中考虑
IT 和云计算产业的整体和长期发展。

Slide 15: 谢谢 liu.liming@cloudex.cn
liuliming2008@126.com