作者： 周凯 李国军
美国时间2月29日，为期5天的RSA Conference 2016（RSA2016）安全大会在美国旧金山盛大开幕，作为安全界的奥斯卡、全球IT趋势的风向标，此次RSA大会汇集了超过3万名观众参会，500多家全球顶级安全厂商联袂参展。作为连续9年RSA参展商，绿盟君带你玩转云安全。
绿盟君云安全
第一次参加RSA大会的人会有很多感悟，因为很多安全相关的会仪，更多的时候是4A领域（4A可以理解为集中统一的帐号管理Account、授权管理Authorization、认证管理Authentication和安全审计Audit），不像RSA的会议，涉及的安全领域如此之广，如此之全。同时也反映出了信息安全的复杂性和专业性，虽然每个厂商都有自己擅长的领域，但没有那个厂商能够解决所有的安全问题。
云安全发展趋势
从首日的议题内容和本次RSA conference的议题设置看，云安全趋势有如下几点：
1、 从资产角度看，Cloud已经成为企业的重要IT基础设施，SDN已经开始商用，但SDN的接口标准尚未统一，目前仍是一个群雄争霸，合纵连横的时代。
2、 从威胁角度看，Cloud安全威胁呈现“fan-out”展开，并成为重要威胁之一。原因包括：
- 云成为人们能够日常使用的最频繁的IT基础设施，例如微信、微薄、办公应用、商用应用等。
- 未来“（云+网络+终端）s”是重要的IT业务形态，“终端”可以通过“云”互通，“云”通过“终端”互通，边界模糊活着消失，一旦发生恶意代码攻击，就会呈现快速扩散趋势。
3、 从安全防护措施看，主流做法包括：
-
SDS（软件定义安全）成为主要技术流派。其核心思想是，探针可以无缝潜入到用户系统、应用、网络中，并可按需而制，所需而变，也可以分布在安全提供者所需要的地方，并具有期望的功能，多种安全措施也可按需编排，并最终达成相应的目的，可以做到智能、敏捷、可管理。
-
采用CASB（Cloud Access Security Brokers）方式。其核心思想是建一个云（性能要足够强悍）来隔离Cloud-Client之间的通信，并对所有访问进行认证、鉴权、加解密、监控、过滤、转发等。当前这种方式主要是一些创新者、互联网领导者在倡导，而设备厂商主要侧重于SDS方式。
目前，国内的云计算发展水平要落后于美国，所以SDS、CASB相对于美国发展要慢，但基本上也是沿着这种方式在演进，观察一下国内的安全厂商，心里就明白了。
公有云选择及问题
从这次参会的议题来看，云计算仍然是这次会议的一个主要内容，云计算把原先物理形态的IT环境转变成虚拟形态的IT环境，这种转变在方便最终用户的同时，也引入了新的安全隐患。和云计算相关的安全领域一直是最终用户和安全厂商关注的焦点。在这次会议上有关云安全的话题很多，SDS，CASB、DevSecOps等等。在这里，绿盟君想从安全的角度为用户如何选择公有云上的服务提些思路，仅供参考。
如我们所了解的，公有云上的服务大致分为IaaS，PaaS，以及DaaS（数据即服务）、SaaS（软件即服务）等等。下面也分别从这几个层面来介绍：
IaaS
提供IaaS的公有云平台很多，最终用户的选择空间也很大。理论上讲公有云平台能够保证操作系统之下的安全，比如：物理安全，服务器的硬件可用性，部分网络安全能力等，但是通常不会保证操作系统以及操作系统之上（例如：安装在虚机上的MySQL）的安全，因为用户拿到虚机之后会做配置调整，会安装软件，这些调整和软件有可能会产生漏洞，所以这些都需要用户自己去想办法修复和防范，至于修复和防范的方法已经比较成熟，只不过需要根据自身的条件去选择。由于最终用户不可能部署硬件盒子，所以可选择的方式主要以软件、基于SDS的一些虚拟化防护手段、以及基于云端的Sec-aaS（安全即服务）为主。
PaaS
如果最终用户觉得安全对于他们来说有难度，那他们可以选择公有云的PaaS服务，例如：关系型数据库服务，分布式文件系统服务，对象存储服务，身份认证服务，甚至Java或者.Net应用的运行环境等，选PaaS服务的好处是最终用户只需要关心由于应用自身和业务逻辑产生的安全隐患就可以了，这对于不少企业来讲要容易多了，因为理论上讲PaaS服务的提供方要保证他提供的服务的安全性、可用性和完整性，所以最终用户不用去考虑操作系统是不是安全，中间件和数据库是不是安全，也不需要考虑运行环境是不是安全，只需要去购买满足功能要求的服务即可。
在这里，需要明确的有两点：
- PaaS服务提供方不会保证业务层面的安全，这是最终用户需要解决的问题；
- 需要考虑如果采用这些服务，能不能满足国家、行业以及企业自身的安全规范，因为数据放在云端的话，有可能会有多份，而且数据存放地点也不确定。
绿盟君云安全1
云服务与云安全携手同行
云计算的吸引力之一在于由经济上的可扩展性、重用和标准化提供的成本效率，为了支撑这种成本效率，云提供商提供的服务必须足够灵活，以服务最大可能的用户数和最大化的市场，这一切让云安全的发展像一阵风，绿盟科技、金山等公司都推出了云安全解决方案。这次RSA大会，又把云安全推上了热点，对于云安全的发展，让我们拭目以待吧……
如果您需要了解更多内容，可以
加入QQ群：486207500
直接询问：010-68438880-8669