IaaS环境下的SaaS（安全即服务）模型分析

　　1 云计算IaaS的发展

　　IaaS作为基础设施级别的云计算服务，其将网络、存储、计算等资源进行虚拟化等处理，能够为每个用户提供相对独立的服务器计算资源、存储资源以及在承载网上设定专有的数据转发通道，这种云计算的模式已经得到IT业界的广泛认可。

　　IBM、惠普、亚马逊、谷歌等IT巨头，凭借强大的IT基础设施硬件能力和IaaS云计算软件平台总体解决方案独占鳌头;而国内部分传统的IDC服务商或数据中心外包服务厂商，凭借其对IDC业务运营的经验也逐渐开始切入到IaaS云计算市场;一些大型企业尤其是互联网企业利用自身对互联网运营的理解和应用系统资源也积极切入云计算市场，典型如阿里云、盛大云和腾讯云等;此外积极参与IaaS云计算服务的还包括国内多家运营商以及部分地方政府等。尤其是国内的大型运营商，凭借其在基础网络设施管道、互联网出口宽带资源、大量中小企业托管客户资源平台的优势以及强大的运维支撑能力，已经成为IaaS云计算建设的重要力量。如中国电信“天翼云”已经推出云存储、云主机等业务，中国联通也正在推进虚拟数据中心VDC的商用并为用户提供云存储、云主机等IaaS服务，这些运营商所具备的大型IDC的运营能力、强大的软件开发能力和整合硬件平台的能力以及互联网的运营经验将有助于其云计算IaaS服务的推广。

　　在IaaS环境下，云计算租户无须关注基础设施的建设和维护，只需要结合自身的业务向服务商提交相应的存储计算网络资源申请，就可以在服务商提供的存储计算环境上，基于自身业务自行选择适合自身的操作系统和安装各种应用程序，这对于很多类型的企业或者企业中的部分业务具备很好的吸引力。尤其是对一些业务系统访问流量具有周期性特点的企业，或者是对部分需要较大计算能力的用户，IaaS的云计算服务可以帮助企业以最小的代价满足自身需要。

　　2 SaaS(安全即服务)的主要内容

　　2.1 IaaS环境下的公共安全防护

　　IaaS的服务提供商需要对IaaS环境提供一些基础的公共安全保障，服务商需要对用户的数据安全或应用安全提供一定程度的安全保证，甚至签署SLA协议。这些公共的安全防护包括以下几个方面：

　　· 基础网络安全保障

　　对于云计算服务商而言，在其将网络、存储、计算和带宽等资源统一打包租给用户时，这些基础物理设施的安全防护是需要重点保证的，也应该是SLA内容的一部分。包括基本的物理环境安全防护;交换机设备安全特性的开启以防止诸如ARP攻击和MAC地址攻击等L2层网络安全攻击;云服务商互联网出口的基础安全防护以及针对DDoS的攻击防护，特别是对于DDoS攻击服务，单纯的基于用户进行防护并不能起到很好的效果，云计算服务商需要将这些危害到基础设施基础安全的风险统一考虑。

　　· 用户自助服务管理平台的访问安全

　　用户需要登录到运营商的云服务管理平台，进行自身的管理操作，如设置基础的安全防护策略，针对关键服务器的访问权限控制，用户身份认证加密协议配置，虚拟机的资源配置、管理员权限配置及日志配置的自动化。这些部署流程应该被迁移到自服务模型并为用户所利用。在这种情况下，云计算服务商本身需要对租户的这种自服务操作进行用户身份认证确认，用户策略的保密、不同租户之间的配置安全隔离以及用户关键安全事件的日志记录以便后续可以进行问题跟踪溯源。

　　· 服务器虚拟化的安全

　　在服务器虚拟化的过程中，单台的物理服务器本身可能被虚化成多个虚拟机并提供给多个不同的租户，这些虚拟机可以认为是共享的基础设施，部分组件如CPU、缓存等对于该系统的使用者而言并不是完全隔离的。此时任何一个租户的虚拟机漏洞被黑客利用将导致整个物理服务器的全部虚拟机不能正常工作，同时，针对全部虚拟机的管理平台，一旦管理软件的安全漏洞被利用将可能导致整个云计算的服务器资源被攻击从而造成云计算环境的瘫痪。针对这类型公用基础设施的安全需要部署防护。

　　· 内部人员的安全培训和行为审计

　　为了保证用户的数据安全，云服务商必须要对用户的数据安全进行相应的SLA保证。同时必须在技术和管理两个角度对内部数据操作人员进行安全培训。一方面通过制定严格的安全制度要求内部人员恪守用户数据安全，另一方面，需要通过技术手段，将内部人员的安全操作日志、安全事件日志、修改管理日志、用户授权访问日志等进行持续的安全监控，确保安全事件发生后可以做到有迹可寻。

　　2.2 IaaS环境下SaaS(安全即服务)的增值服务

　　为了差异化用户的类型，服务商还可以根据用户的需求，将网络安全作为一种增值服务出租给用户，这些安全增值服务包含以下几个方面：

　　· 防火墙增值服务

　　用户在租用计算资源后，相当于自身具备了一台相对独立的网络安全存储计算环境，在这种情况下，面对自身的应用系统，需要进行安全区域的设置，并配置适当的安全域策略来规范对应用系统的访问和禁止;与此同时，服务商需要为每个租户提供网络安全事件的日志信息，以及经过分析归并的安全事件分析报表，便于租户对自身的网络、计算及存储资源的安全状况进行评估，在必要的情况下可以给用户的策略调整提供依据和支撑。

　　· IPS入侵防御增值服务

　　在IaaS环境中也存在很多的安全漏洞，用户在租用云服务商的计算资源并部署相关应用系统时，需要针对自身的应用系统的安全风险进行适当的漏洞防御;不同的租户有各自的应用系统环境，也面对差异化的安全漏洞风险，云服务商可以提供独立的安全资源池，用户可以根据自身业务系统的安全级别合理选择是否租用该漏洞防护服务。

　　· LB负载均衡增值服务

　　随着企业关键应用逐渐向Web化转移，企业所属服务器的对外Web应用正在不断增加，单业务流量带宽也在不断增加，此时，单个的虚拟机或服务器本身提供的性能不足，需要向服务商租用多台服务器或者虚拟机实现业务承载。在这种情况下，为了保证各服务器的均衡工作，租户可以有选择地使用服务商提供的负载均衡业务。

　　· 安全VPN服务

　　用户在租用云计算服务时，为了保证数据的访问安全，一般情况下都会对访问数据进行VPN加密，同时针对用户访问进行严格的身份认证和权限控制。一般来说用户可以根据自身的情况进行VPN模式的选择，如果主要是固定分支访问可以选择IPSec VPN的加密方式，如果是移动接入用户为主可以选择SSL VPN的接入方式，或者是两种方式的综合。服务商可以通过VPN增值服务来满足用户差异化的VPN访问要求。

　　2.3 IaaS环境下SaaS(安全即服务)的部署模型

　　在安全即服务的模型指导下，不同的租户可以选择适合自身需要的云服务模型，以满足差异化的需求;同时不同的用户对于同一种服务本身也会存在不同的技术要求，因此在服务模型设计时，需要从横向和纵向两个维度进行考虑为客户设计差异化的技术及方案：

　　从横向维度来看，云服务商可以根据增值安全服务的类型，在默认支持IPSec VPN接入的情况下，将FW、IPS或者LB等服务作为划分用户等级的元素，通过单类型服务或多种服务组合，设计出不同的套餐种类：如对普通客户默认不提供任何安全增值服务，对铜牌客户默认提供防火墙增值服务，对银牌客户可以提供防火墙加IPS入侵防护的增值服务，而对金牌客户则可以提供包括防火墙、IPS入侵防御、LB负载均衡以及SSL VPN的全套服务，这种划分方式比较简单直接，用户可以根据自身对安全的需求进行选择(如图1右侧图所示)。

　　从纵向维度来看，云服务商可以根据不同的用户对于单个增值服务的使用粒度进行划分。如针对防火墙服务，对于不同的用户级别，可以通过吞吐量、并发连接数、安全策略数等易测量指标进行划分，比如可以定义“50M防火墙吞吐量带宽+1万并发连接数+500条安全策略”作为一个基础性能包进行资费定义;针对IPS服务可以从特征库的类别进行划分，如只开启数据库类特征库、操作系统类特征库或者Web应用特征库等，用户可以根据自身应用系统的情况自行选择;针对LB负载均衡业务，则可以基于需要调度的流量负载、用户所拥有的最大虚服务个数、最大访问控制策略数等进行组合定义(如图1左侧图所示)。

　　图1 差异化的SaaS(安全即服务)模型定义示意图

　　在SaaS(安全即服务)的模型中，通过对安全作为服务进行精确的、可测量的划分，才能实现不同等级和需求的用户可以根据自身需要基于自助服务平台灵活选择。在实际的云计算环境部署过程中，多种安全服务将作为独立的资源池部署在云计算网络的汇聚或核心节点(如图2左上部分所示)，针对选择了安全服务的租户，将通过特定的引流策略或路由配置，引导这部分用户流量流经安全资源池，保证用户流量得到安全检查。

　　图2 SaaS(安全即服务)在云计算环境中心的部署

　　3 SaaS(安全即服务)的技术支撑

　　在SaaS(安全即服务)的模型中，要求安全设备及软件具备以下的技术支撑：

　　· 虚拟化的技术支持

　　在SaaS(安全即服务)的模型下，不同的租户可能选择差异化的安全模型，此时需要安全资源池的设备可以通过虚拟化技术提供基于用户的专有安全服务。如针对防火墙安全业务的租户，为了将不同租户的流量在传输过程中进行安全隔离，需要在防火墙上使能虚拟防火墙技术，不同的租户流量对应到不同的虚拟防火墙实例，此时，每个租户可以在自身的虚拟防火墙实例中配置属于自己的访问控制安全策略，同时要求设备记录所有安全事件的日志，创建基于用户的安全事件分析报告，一方面可以为用户的网络安全策略调整提供技术支撑，另一方面一旦发生安全事件，可以基于这些日志进行事后的安全审计并追踪问题发生的原因。其它的安全服务类型如IPS和LB负载均衡等也需要通过虚拟化技术将流量引入到设备并进行特定的业务处理。

　　· 管理平台的技术支持

　　云计算服务商需要建设统一的云管理平台，实现对整个云计算基础设施资源的管理和监控。在SaaS(安全即服务)的模型要求下，统一的云管理平台应在安全管理功能的完整性以及接口API的开放性两个方面有所考虑。前者要求管理平台需要切实承担起对全部安全资源池设备的集中设备管理、安全策略部署以及整网安全事件的监控分析和基于用户的报表展示;后者的考虑是为了适配云计算环境中可能存在的多种安全设备类型或多厂商设备，也需要在API接口的开放性和统一性上进行规范和要求，以实现对下挂安全资源池设备的配置管理和日志格式转换等需求。也只有这样才能实现设备和管理平台的无缝对接，提升云管理平台的自动化管理能力。

　　结束语

　　现阶段的云计算IaaS模式在国内还处在发展的初期，SaaS(安全即服务)的模型在安全服务的类型提供、安全资源的可测量性、以及安全运维管理能力基线化方面仍需进一步的探索和实践，才能形成完善的IaaS云计算解决方案，更好的满足用户的需求。