《安全：技術(shù)與應(yīng)用》第7章安全云技術(shù)與應(yīng)用，本章就將從這個角度出發(fā)，深入探討云計算在網(wǎng)絡(luò)安全領(lǐng)域應(yīng)用所衍生出的一類新興云計算服務(wù)--安全云服務(wù)，結(jié)合云計算定義和特征以及的，
安全云服務(wù)的層次模型
本書第一章介紹了云計算的SPI業(yè)務(wù)提供模型，包括、PaaS和IaaS三種不同層次的業(yè)務(wù)提供模式。其中SaaS是一種以為載體、以為交互方式，將服務(wù)提供端的應(yīng)用軟件傳給遠程用戶使用的業(yè)務(wù)提供模式，其核心技術(shù)是、Struts和Hibernate等各種在線軟件技術(shù)。PaaS是一種應(yīng)用程序開發(fā)、部署環(huán)境和工具服務(wù)化的業(yè)務(wù)模式，它面向廣大的應(yīng)用程序開發(fā)者，通過互聯(lián)網(wǎng)絡(luò)將軟件開發(fā)、測試、部署和運行環(huán)境作為一種業(yè)務(wù)提供給遠程用戶使用，其核心技術(shù)是分布式計算和分布式集成開發(fā)環(huán)境。IaaS是一種在、設(shè)備和網(wǎng)絡(luò)設(shè)備的基礎(chǔ)上，將IT基礎(chǔ)資源能力(計算能力、存儲能力等)提供給用戶使用的業(yè)務(wù)模式，其核心技術(shù)是服務(wù)器和網(wǎng)絡(luò)虛擬化、負載均衡和資源管理技術(shù)。
基于以上對云計算業(yè)務(wù)模式的分析，筆者認為在將云于網(wǎng)絡(luò)安全領(lǐng)域時可以采取兩種不同的技術(shù)路線。
第一種技術(shù)路線是技術(shù)應(yīng)用模式。這種技術(shù)路線的基礎(chǔ)是研究和探索三種不同云計算業(yè)務(wù)模式的核心技術(shù)如何應(yīng)用于網(wǎng)絡(luò)安全領(lǐng)域，例如研究在服務(wù)器虛擬化后如何進行網(wǎng)絡(luò)安全部署來獲得獨立的虛擬化的安全服務(wù)能力，又比如通過PaaS的分布式計算技術(shù)來提升網(wǎng)絡(luò)安全分析和計算能力，等等。這種技術(shù)路線盡管可以通過目前常見的云計算技術(shù)，在提升網(wǎng)絡(luò)安全服務(wù)能力以及網(wǎng)絡(luò)安全分析和防御能力上起到一定的作用，但在網(wǎng)絡(luò)安全領(lǐng)域，由于安全防范能力作為一種特殊的IT資源，其業(yè)務(wù)特點與傳統(tǒng)的IT計算和存儲能力完全不同，因而這種云計算技術(shù)的直接套用所能起到的作用將大打折扣。
第二種技術(shù)路線是業(yè)務(wù)應(yīng)用模式。這種技術(shù)路線的核心是以IaaS、PaaS、SaaS的業(yè)務(wù)提供層次為基礎(chǔ)，將網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全平臺能力和網(wǎng)絡(luò)安全在線軟件服務(wù)為業(yè)務(wù)提供目標，研究和解決在這三種安全業(yè)務(wù)能力構(gòu)建和網(wǎng)絡(luò)化提供中所涉及的各種技術(shù)和解決。這種技術(shù)路線的關(guān)鍵在于基于云服務(wù)的理念探索安全云的技術(shù)實現(xiàn)，在其技術(shù)實現(xiàn)中將充分考慮目前的網(wǎng)絡(luò)安全能力要求、設(shè)備現(xiàn)狀和，因此將更能符合網(wǎng)絡(luò)安全的防范特點和要求。
本書中將主要依據(jù)"業(yè)務(wù)應(yīng)用模式"的技術(shù)路線來探討安全云服務(wù)的技術(shù)實現(xiàn)。根據(jù)這種技術(shù)路線，安全云服務(wù)主要提供以下三種層次的安全服務(wù)能力。
安全基礎(chǔ)設(shè)施即服務(wù)(Security Infrastructure as a Service，SIaaS)。
安全平臺即服務(wù)(Security Platform as a Service，SPaaS)。
安全軟件即服務(wù)(Security Software as a Service，SSaaS)。
圖7-1描述了上述安全云服務(wù)的層次模型，體現(xiàn)了安全云服務(wù)中各層次所應(yīng)具備的安全能力及各類典型應(yīng)用。
(點擊查看)圖7 1 安全云服務(wù)層次模型
如圖7-1所示，在安全云服務(wù)層次的SIaaS層，主要將安全基礎(chǔ)設(shè)施作為一種云資源提供給用戶使用，包括了的訪問控制、攻擊防護、網(wǎng)絡(luò)異常流量檢測過濾、郵件等應(yīng)用的安全過濾、網(wǎng)絡(luò)安全掃描、安全管理等安全能力。典型應(yīng)用包括以為代表的電信運營商開展的基于的大容量DDoS攻擊防御平臺、安全云寬帶、業(yè)務(wù)運營平臺SOC等。
在安全云服務(wù)層次的SPaaS層，主要將安全能力以安全的形式提供給第三方或上層應(yīng)用，安全服務(wù)或安全產(chǎn)品開發(fā)商通過接口調(diào)用這些資源進一步開發(fā)后提供給用戶，主要包括集中的庫、庫、庫、URL黑白名單庫，以及提供給DDoS攻擊防御等產(chǎn)品作進一步分析的netflow異常流量檢測能力等。典型應(yīng)用包括綠盟科技的"云安全"平臺、 Sensorbase等安全云所提供的病毒庫、垃圾郵件庫、URL黑白名單庫等產(chǎn)品。
在安全云服務(wù)層次的SSaaS層，主要面向最終用戶通過瘦客戶端的方式提供服務(wù)，主要包括在線的病毒、木馬檢測和處理，以及Web等特定應(yīng)用的安全檢測等。典型應(yīng)用包括安全云服務(wù)、360木查殺等在線病毒、木馬檢測等特定應(yīng)用的安全檢測等。
上述典型應(yīng)用將在第8章重點闡述。
在理解安全云服務(wù)層次模型時需要注意，由于安全云服務(wù)的層次模型以業(yè)務(wù)應(yīng)用模式為基礎(chǔ)，因此同一安全能力的業(yè)務(wù)應(yīng)用模式不同其所對應(yīng)的安全云服務(wù)層次也可能不同。以異常流量檢測這一安全能力為例，如果直接面向客戶提供異常流量檢測業(yè)務(wù)，那么就認為這種安全能力是一種基礎(chǔ)安全云資源，處于安全基礎(chǔ)設(shè)施即服務(wù)這一層次;但如果將異常流量檢測到的信息作為輸入提供給第三方應(yīng)用系統(tǒng)(如DDoS攻擊防御平臺)作進一步的分析，則認為這種安全能力是一種安全中間件，處于安全平臺即服務(wù)這一層次。