云计算靠谱吗？

有一说一

人们说起云服务，经常会有一种感觉，“云上的资源都不在我本地”，心里不踏实。比如自己业务系统的数据上云、买的学术数据库提供云服务。

应该用云吗？

相信大家用过云盘，比如百度云盘，腾讯云，还有很多手机品牌自己的云；也用过在线多人协作文档，比如石墨、印象笔记、腾讯文档、有道云笔记。这都是云，用的人都问问自己为什么爱用？

管理过机房的人大概都碰到过主页不能访问、查询系统不能访问、径向数据库不能访问的故障吧。保持服务7x24小时开着服务其实是挺难的一件事，不要说持续关注操作系统的安全和补丁更新，光网站系统本身的漏洞和代码的稳定性都能耗进去好多经力，再别说黑客攻击、病毒攻击了。

单点故障是常见的一种现象，你可能会说，为啥不热备一下无缝切换呢，嘿嘿，那代价，除非你有矿，金矿煤矿啥啥矿。相比之下，对于web服务来说，云就要稳定得多，云不是单台机，而是一系列服务器组成的群集，很多业务都会自动以冗余的形式部署，并通过SLA提供保证。类似银行、大型企业、金融证券等网站，没有云来提供服务，那就是灾难在前方等着，当然也没人敢这么傻干。可能会有人说，那很早以前没有云怎么办，其实那时候也是云，不过是多地备份、热备的私有云，用的设备和网络都是个顶个的啊。

是否上云，可以考虑自身业务：可用性、冗余性、可伸缩性、托管式服务、数据安全性和合规性，从这几个方面去分析。举个例子，你要说有的网站停几天都没人反应，你说上个毛云啊，关了得了。

云安全吗？

有的人可能认为，大型云服务商提供的云服务就会确保安全，不是这样的，云服务商会提供安全工具，但是云上跑的程序，那是你自己负责编写的业务系统，云服务商怎么保证？云服务商保证数据中心、物理服务器和云管理平台自身的安全。你要编个很烂的程序，放在云上，那这个业务系统本身就不安全。所以这个安全性要界定，和云提供商商谈，责任共担。云服务商保证云计算服务、自身软件、平台和设备，用户的是数据和程序。这就好比买车，车辆生产、零部件供应商、设计和检测机构要对安全性做保证，但是驾驶者也要遵守良好安全可靠的驾驶习惯，确保搭载货物的安全，你不能去酒驾、也不能随便拉一堆炸药在车上。

云计算环境本质上是一种多租户共享的硬件平台，他的安全风险还有一个来自于内部，就是云自身内租户之间安全的隔离性，当然这个和云服务本身的机制关系比较大，现在主流的云平台这点都能做到安全隔离。

基础架构要安全：IaaS、PaaS、SaaS的安全性。数据中心要做到布遍全球，就越安全。截至2020年底，微软在全球140个国家和地区建立了60个数据中心，此外还有三个位置保密的政府云数据中心。

物理安全性很重要，首先大楼要安全，难以越狱的那种建筑最好，最主要的是谁能进这个大楼、机房，管控要十分严格。看看那些越狱的电影和电视剧，不亚于那种安全性。

微软的Azure都柏林数据中心，地点保密，人烟稀少，四周光秃秃的，可疑人员靠近都很难，高墙，摄像头，传感器，安全门禁，24小时保安。如果你不提前知道，还以为这是关押最重级别罪犯的监狱呢。下图是当时建设时的照片，我搜了好久，也没找到远景和近景图片。

设备的安全性很重要，这个就更具体了，数据中心建筑物理的网络、机架、服务器、存储等基础，这个和普通机房原理一样，只不过规模更大，更安全。谷歌和微软还会设计独特的针对自己云服务安全保护的芯片，从硬件级别来保护，这就比一般的云服务商更牛了。

运营安全性，这就要涉及到人、制度和技术。安全研究人员、事件响应专家、监控，还有设备报废的规定和流程等等的。

网络安全，这个是普遍存在于信息环境的各个环节了，不只是云计算要考虑，一切IT服务都要考虑。这个就有很多厂商发挥作用的战场了，不过云计算服务商在应对DDoS攻击方面就要厉害得多。

云上的数据安全是重中之重，数据上云，方便是很方便了，但是安全性一点没有放松，云数据会分布式存在很多不同的数据中心。数据可用性是最基本的需求，云服务承诺的一般都是99.9%的可用性。数据隐私是人们关注的重要方面，每个国家和政府都出台了很多法案和措施，可以依据法律法规来干这件事。

重点说下数据加密，加密技术比较成熟，数据经过各种严格的加密算法加密之后，想要原路破解回去，太难了。OneDrive使用AES256密钥进行静态加密，其他什么TLS等等的。要想知道解密有多难，回想一下那个勒索病毒。

在安全上有个威胁防护的说法，就是凡是放在网上的服务，都有可能受到各种威胁。比如数据丢失、身份伪造、数据泄露、数据加密攻击、数据备份等等的，这些都有相应的保护措施，具体就不展开了，这属于传统安全，不仅仅是云服务才需要。

计算安全是云计算里面要考虑的，多租户，大家用的可能是同一套硬件在处理数据，这中间可能存在不安全性。最基本的防护原理是租户隔离、计算隔离。租户隔离好理解，也好控制。计算隔离当中会有一个概念，叫做虚拟机逃逸，感兴趣的可以搜索“虚拟机逃逸”深度了解一下。这个既然知道了原因，就有一些应对的办法。

审计日志。信息系统产生的日志非常重要，怎么强调都不为过。比如谷歌云上就有这三种，管理活动审计日志、数据访问审计日志、系统事件审计日志。一般我们要考虑日志保留期、日志导出和下载、消息源、日志查询、日志的访问控制等等。

这里说一下合规性。就是使用云计算平台时要满足法律和法规，合规性必须考虑。记住下面这个图标，这是云服务商很重要的资质。

史上最严苛的数据保护条例，欧盟通用数据保护条例。

云计算安全吗。相信通过上面的叙述，大家能有个基本的了解。

当然，云计算平台成为了整个世界IT服务的基石，它也可能成为恐怖分子的袭击目标。所以，对云服务的安全防护，以后这个方面可能是更重要的考虑重点。因为，云上放的是金融、交易、政府数据、国防安全等等数据，尽管云中心在全球建了很多分中心，在这点上丝毫不能放松警惕。

云计算的安全其实很复杂，这里只能大概说说，有一说一，有几说几。