學習手冊：“雲安全”之雲資料安全
雲端計算、大資料等資訊科技正在深刻改變著人們的思維、生產、生活和學習方式，並延深進入人們的日常生活。伴隨著社交媒體、電商、健康醫療、智慧交通、電信運營、金融和智慧城市等各行業各領域的大資料的產生，大資料分析技術和應用研究使大資料呈現出不可限量的經濟社會價值和科學研究意義，引起了國內外學術界和產業界的研究熱潮，對此各國政府也高度重視並不斷上升為國家戰略高度。資料資訊在很多環節暴露出的大資料安全問題日益突出，成為了制約大資料應用發展的瓶頸。
今兒想聊聊雲安全的雲資料安全，畢竟雲端計算技術的發展導致大資料在收集、儲存、共享、使用等過程面臨的安全威脅愈演愈烈，大資料洩露的企業個人隱私資訊給使用者帶來了巨大的損失。
一、加密和金鑰管理
加密根本不是一項新技術，但在過去，加密的資料儲存在伺服器上，而伺服器擺放在公司內部，公司直接控制著它們。由於如今許多流行的業務應用程式託管在雲端，企業主管們要麼需要依賴合同條文來保護資產，選擇一家讓客戶可以先加密資料，然後傳送到雲端以便儲存或處理的雲服務提供商，要麼與軟體即服務(SaaS)提供商合作，由對方管理其企業資料的加密和解密工作。
1. 客戶端加密方式
其實在客戶端主要做的是資料的可見性，主要的安全問題還是放在服務端，畢竟所有的資料都是在服務端，服務端收到資料還會進行校驗，還要看是否是重放攻擊等;而客戶端要做的無非防止反編譯和傳輸資料加密。
一般的都會做傳輸資料加密，有的公司app不存在敏感資訊，就只用post get方式。之前的加密是用的DES和RSA加密方式，先生成一個DESKey然後用RSA公鑰加密DESKey，然後用DESKey加密資料，最後將加密後的資料和加密後的DESKey一同傳輸到後臺;後臺先用RSA私鑰解密DESKey，然後用解密後的DESKey解密資料。
這是整個加解密過程，但是因為後臺解密速度達不到要求(後臺解密壓力太大，因為RSA解密太耗時，客戶端可能沒什麼感覺)，所以進行了改進：先和服務端交換DESKey(先將加密後的DESKey傳輸到後臺)，返回交換成功後，再將用DESKey加密的資料傳輸到後臺。這樣做服務端可以用傳輸間隙進行解密，適當的緩解服務端壓力。
PS：AES和DES加密都是對稱加密，RSA是非對稱加密，區別和使用可以查查相關資料~
2. 雲服務端加密方式
內容感知加密和保格式加密是雲端計算的常用加密方法：
- 內容感知加密：在資料防洩露中使用，內容感知軟體理解資料或格式，並基於策略設定加密，如在使用email將一個信用卡卡號傳送給執法部門時會自動加密;
- 保格式加密：加密一個訊息後產生的結果仍像一個輸入的訊息，如一個16位信用卡卡號加密後仍是一個16位的數字，一個電話號碼加密後仍像一個電話號碼，一個英文單詞加密後仍像一個英語單詞;
雲服務端加密服務是雲上的加密解決方案。服務底層使用經國家密碼管理局檢測認證的硬體密碼機，通過虛擬化技術，幫助使用者滿足資料安全方面的監管合規要求，保護雲上業務資料的隱私性要求。藉助加密服務，使用者能夠對金鑰進行安全可靠的管理，也能使用多種加密演算法來對資料進行可靠的加解密運算。
3. 雲密碼機服務
雲伺服器密碼機是硬體密碼機，採用虛擬化技術，在一臺密碼機中按需生成多臺虛擬密碼機(以下簡稱VSM)，每臺VSM對外提供與普通伺服器密碼機一致的金鑰管理和密碼運算服務(支援SM1/SM2/SM3/SM4演算法)。同時，雲伺服器密碼機採用安全隔離技術，保障各VSM之間金鑰的安全隔離。
4. 金鑰管理服務
現有的雲服務提供商可以提供基礎加密金鑰方案來保護基於雲的應用開發和服務，或者他們將這些保護措施都交由他們的使用者決定。當雲服務提供商向支援健壯金鑰管理的方案發展時，需要做更多工作來克服採用的障礙。
5. 資料加密(儲存&傳輸)
加密技術就是用來保護資料在儲存和傳輸(鏈路加密技術)過程中的安全性，對做儲存的技術人員來說，平常遇到的加密方案和技術主要是儲存後端支援加密，如加密盤或儲存加密。但加密技術從資料加密位置一般分為應用層加密(如備份軟體，資料庫)，閘道器層加密(如加密伺服器，加密交換機等)，儲存系統加密和加密硬碟技術。
相容性最好的當屬應用層加密技術(很多辦公軟體都是這種加密實現方式)，因為這種加密方案在儲存、網路層是無感知的。個人認為應用層加密技術意義和實用價值更大些，可以保證資料端到端的安全性，而不是隻在儲存側或磁碟上資料是安全加密的。
二、資料備份和恢復
1. 資料備份
百度上說：資料備份是容災的基礎，是指為防止系統出現操作失誤或系統故障導致資料丟失，而將全部或部分資料集合從應用主機的硬碟或陣列複製到其它的儲存介質的過程。
隨著技術的不斷髮展，資料的海量增加，不少的企業開始採用網路備份。網路備份一般通過專業的資料儲存管理軟體結合相應的硬體和儲存裝置來實現。企業還可以通過高速光纖通道線路和磁碟控制技術將映象磁碟延伸到遠離生產機的地方，映象磁碟資料與主磁碟資料完全一致，更新方式為同步或非同步。
2. 資料恢復演練
當儲存介質出現損傷或由於人員誤操作、作業系統本身故障所造成的資料看不見、無法讀取、丟失。工程師通過特殊的手段讀取卻在正常狀態下不可見、不可讀、無法讀的資料。
硬體故障佔所有資料意外故障一半以上，常有雷擊、高壓、高溫等造成的電路故障，高溫、振動碰撞等造成的機械故障，高溫、振動碰撞、儲存介質老化造成的物理壞磁軌扇區故障，當然還有意外丟失損壞的韌體BIOS資訊等。硬體故障的資料恢復當然是先診斷，對症下藥，先修復相應的硬體故障，然後根據修復其他軟故障，最終將資料成功恢復。
亂入一下，其實資料恢復是一個技術含量比較高的行業，資料恢復技術人員需要具備組合語言和軟體應用的技能，還需要電子維修和機械維修以及硬碟技術
3. 備份加密
(1) 資料容災
資料容災是指建立一個異地的資料系統，為了保護資料安全和提高資料的持續可用性，企業要從RAID保護、冗餘結構、資料備份、故障預警等多方面考慮，將資料庫的必要檔案複製到儲存裝置的過程，備份是系統中需要考慮的最重要的事項,雖然他們在系統的整個規劃。
(2) 資料脫敏
資料脫敏是指對某些敏感資訊通過脫敏規則進行資料的變形，實現敏感隱私資料的可靠保護。在涉及客戶安全資料或者一些商業性敏感資料的情況下，在不違反系統規則條件下，對真實資料進行改造並提供測試使用，如身份證號、手機號、卡號、客戶號等個人資訊都需要進行資料脫敏。
(3) 資料刪除
百度說，如果表格中存在錯誤或重複的資料，比較簡單、快捷的方法就是選定該資料，然後將其刪除。進行資料刪除時分為兩種：常用資料刪除的方法和偽列資料刪除的方法。
偽列值刪除資料：
敏感資料處理：
- 加密以確保資料隱私，使用認可的演算法和較長的隨機金鑰;
- 先進行加密，然後從企業傳輸到雲提供商;
- 無論在傳輸中、靜態還是使用中，都應該保持加密;
- 雲提供商及其工作人員根本無法獲得解密金鑰;
雖然加密是隱私專家們一致認為是安全基石的基本技術，但云端加密困難重重。如何構建圍繞雲端大資料全生命週期的可管、可控、可信的資料安全體系，將大資料安全和雲資料應用深度融合，制定頂層規劃，保障雲安全產業健康發展，成為了大資料應用和安全研究領域中的主要科學問題。
【本文是51CTO專欄作者“綠盟科技部落格”的原創稿件，轉載請通過51CTO聯絡原作者獲取授權】
ofollow,noindex" target="_blank">戳這裡，看該作者更多好文