| 夏克強 |
前言
近來在虛擬化技術蓬勃發展下，相信一定有很多企業或多或少都已開始導入虛擬化環境，但各個目標不一，有些可能是為了成本節能考量，有些可能是為了管理方便或甚至是為了邁進雲端做準備。虛擬化的導入通常不會一次到位，所以一定會有傳統IT環境與虛擬化環境並存的現象發生，所以我們在看含有虛擬化環境的安全課題時必須把傳統的IT環境一併考量進來。因為虛擬化改變了IT環境，因此一些資訊安全的控制方法也必須跟著改變，甚至是講到更進一步的雲端技術亦然，資安控制方法在必須考量技術與運作的特殊性時，傳統的方法就不見得可以滿足這些環境的安全需求。本文將先從兩個面向來談虛擬化的安全問題，且因為VMware vSphere 4是虛擬化技術的領導廠商，所以本文有關虛擬化安全技術的探討大都是以VMware的虛擬化技術為內容。
VMware的網站上有Released出2010年的vSphere 4 Security Hardening Guide，如圖一。安全指引的範圍包括了ESX/ESXi、VM Container、vCenter及其資料庫與子元件、VMware Update Manager、vNetwork及COS(Console Operating System)等。但VM裏頭安裝的軟體、Guest OS的Security及有關的操作安全上的問題並不在此指引涵蓋的範圍裏。此安全指引在每個大項(諸如Virtualization Host及VM及COS等)中都有針對其子項有建議的設定值，子項都有特定的代碼及其強調的問題點以及這些安全的問題點所適用的環境、所造成的威脅及防護的設定等。本文內容不針對此安全指引再做贅述，此指引的內容就留由讀者自己參考。本文所探討的VMware安全問題主要是針對VMware的built-in的安全設計以及一些在VM管理部署、虛擬網路及儲存網路的安全問題上做探討。
虛擬化的最主要目的當然在於虛擬機的使用，在ESX或ESXi上執行的眾多虛擬機的安全與否當然會影響到Host的安全，相對地，這些虛擬機的安全性也會被其Host的安全性所影響，Virtualization Administrator可以在Host上看到每個虛擬機的Memory及Swap空間等。
一、虛擬機的安全
1.虛擬網路(Virtual Networking)安全的問題
講到網路的安全問題，一般我們會從所謂的Attack Surfaces來做探討。在虛擬網路安全裏我們要特別注意幾個點： 一個是純虛擬化的地方，另一個則是實體網路與虛擬網路的交會點。Hypervisor不允許vmknic與vNIC在同一個Portgroup，因此可避免vkmnic被惡意的VMs所影響。vMotion亦會使用vmknic來與外界溝通，而通常在vMotion時會建議使用SSL來保護敏感資料(或記憶體中資料)不被攔截(事實上，SSL一直都有MITM攻擊的問題)，也因此看成是vmknic必須單獨使用一個security zone來減低風險的必要性。vSwitch及Portgroup提供了部份安全機制來保護vSwitch的安全，諸如是否允許MAC Address改變、是否允許偽造的MAC傳送及是否允許Promiscuous Mode等。vSwitch是很簡單的2層交換器，它並沒有很多實體Switch所會發生的Attacks。但對於ARP Spoofing及Layer 3的Attacks卻沒有任何防護，主要是因為這些Attacks是發生在虛擬機(VMs)裏而不是在vSwitch上面。
如非必要，儘量減少VST(Virtual Switch Tagging)及VGT(Virtual Guest Tagging)等 802.1q VLAN的使用。以實體交換器及實體網路卡取代，增加Virtualization Network的Redundancy及網路的隔離(pSwitch)，若無法網路隔離，也必須依據不同Requirements或安全等級來設計Security Zones(或者使用Private vSwitch方式來隔離)，包括管理的Zone、vMotion的Zone、Storage的Zone、VMs的Zone或是上線區的Zone、開發環境的Zone、測試的Zone，或是安全等級高的Zone及安全等級低的Zone等。
2.VM及VA的部署
最嚴謹的方式就是將所有的VMs都視為不安全的狀況來考慮VMs及Virtual Appliances(VMsafe)的安全問題，尤其是Virtual Appliances可以接觸到Hypervisor，因此必須以更高標準的防護來保證這些VMsafe VA的安全，比方更嚴謹的存取控制及Auditing機制，使用Private vSwitch與實體的外加虛擬化的Security Tools來做縱深防護。來路不明的Virtual Appliances也不可任意部署來使用，最好是使用經過VMware簽章過的vendors所發佈的Virtual Appliances。圖一為使用PVLAN的隔離方式。
3.VM的管理
新加入要Power On的VMs的控管也要特別留意，包括其上的應用程式等也要一併考量風險評鑑問題，新啟動的VMs或Application都有可能影響到Virtualization Host的Disk、CPU及Memory等資源的使用，嚴重的話還可能造成Resource的DoS攻擊，特別是在VMware DRS的環境下。
VM的Life Cycle管理的工具及產品也可提供保護，它可以對VMs的Power On、Power Off、註冊與否及所配置的VMDK與LUN實施Auditing。藉由VM Log的設定，可以藉由減少不必要的Logs數量、Log的Rotate及Log的保留數量來控制Log Files的增長問題。
VMs的新增與刪除也必須同時注意是否有無主的Virtual Disk Files存在Datastore裏，除可避免無謂的佔用空間外還可避免這些Virtual Disk Files被誤用。VMs的設定檔的變更管理也很重要，特別是虛擬化硬體資源設定的變更。除VMware本身的管理工具(例如RCLI、VIC及VI SDK等)可對變更的設定有Audit的Record外，一些商用的工具(例如Tripwire的Configuration Management產品)也可對這些變更管理做良好的稽核記錄，使VM的設定的變更管理更為完善。
Distributed Management Task Force (DMTF)是一個旨在提供簡化及方便的虛擬化環境的管理，它在2007年建立了一個有關VM管理的Open Standard標準，使用Open Virtualization Format (OVF)做為VM部署的方式，OVF是一個平台獨立而且可支援大多數的Virtual Hard Disks，OVF除了包含Virtual Disk外、還包括了VM的規格描述與相關的硬體設定。DMTF亦創立了Virtualization Management Initiative (VMAN)標準，內容涵蓋了包括VM的部署、VM的Discovery and Inventory、VM的Lifecycle的管理、VM新建與刪除、VM的移動與遷移、及VM的效能與狀態的監控等 。
4.VM的加固
VMs本身的Guest OS的安全也是一大重點，但這部份很好處理，因為你就用跟OS部署在實體機器上的加固方式一樣即可，Internet上有很多關於不同OS的Hardening Guide及相對應的工具(Commercial或Non-commercial)可以參考。下圖為vSphere4的Hypervisor的安全設計可使虛擬化環境得到先天設計的安全的防護。
5.VMware Backdoor
Guest OS可以使用一些工具(例如VMware Tools或其他Open Source的Tools)利用VMware Backdoor I/O Port來與Hypervisor做某種程度的溝通以取得一些資訊，例如Copy/Paste的內容，可Touch到的虛擬化硬體，Virtualization Host所使用CPU的Speed，VMware版本、時間及BIOS的UUID等。這些資訊可以被用來Fingerprint出Guest OS是不是run在VM裏，而被駭客拿來當做是準備攻擊的一個點。強制型存取控制(MAC)的使用(或Microsoft的UAC或Linux的SELinux等)，都可以利用嚴謹的存取控制來限制這些Tools對VMware Backdoor I/O Port的存取。談資訊安全就是要讓駭客沒有任何可利用來攻擊的地方可以利用(Exploit)，而且請記得，安全與效能及便利性本來就是互相替代的。另外，網路上有一些Hardening Guideline，例如DISA STIG(Security Technical Implementation Guide)，也建議了一些設定可以有效改善這個安全問題。底下是它建議的設定值：
isolation.tools.copy.enable => false isolation.tools.paste.enable => false isolation.tools.setguioptions.enable => false isolation.tools.setinfo.disable => true isolation.tools.connectable.disable => true isolation.tools.diskshrink.disable => true isolation.tools.diskwiper.disable => true
二、其他虛擬機相關的安全
1.VM的Storage存取
VMs到Storage Network也存在著部份的被攻擊點，經由Hypervisor控管的Storage存取比較沒問題，但是那些可不受Hypervisor控管的Storage存取，例如NPIV、iSCSI Initiator或FCoE(如果VMs有FCoE Driver)，有可能將存取資源的VMs當成攻擊點進而攻擊到Hypervisor後端的Storage Network。所以比較好的方式是用網路隔開這些VMs直接存取的Storage，避免跟Virtualization Host共用Storage。以目前Virtualization Host常用的四種方式來對後端storage做存取的狀況(這四種方式為NFS, iSCSI, SAN及Local Storage)，必須要留意儘量避免虛擬機直接對Storage做存取，如果有直接存取的必要(例如使用iSCSI Initiators、NFS及CIFS的檔案分享、NPIV等)，儘量使用Isolated Storage的概念來存取資料，也就是使用獨立分開的storage來提供資料存取服務。另外，在DMZ中(或者說風險較高的Zone)的Virtualization Host或虛擬機所使用的Storage也最好與內部網路(或者說風險較低的Zone)中的Virtualization Host或虛擬機所使用的Storage獨立分開。
2.VMCI介面與VMsafe的存取限制
VMCI與VMsafe可以提供VM對VM或Host的存取，特別是VMsafe CPU/Mem API對其他VM的CPU及Memory的存取，以及VMsafe-Net對虛擬網卡與虛擬交換器上的網路封包的存取、修改與阻擋等等。如下圖，只允許授權的Security Appliance去存取VM的CPU及Memory，因此那些沒被授權的Security Appliance就不能有Introspection Virtual Switch的設定。相對地，被允許使用VMsafe CPU/Mem API存取的VM的設定也必須設定Security Appliance的IP及存取的埠號。
3.部署與管理
VM與Virtual Network的部署必須要有一致性的授權機制，要避免例如網路管理者不知道虛擬網路被變更或新建立的情形；對系統管理者也是一樣，必須要對虛擬機的部署變更與建立取得一致的授權流程。如果無法適當的管理這些Virtual Network或VM，就有可能像是之前我們提到的Security Zone問題，如果一台VM被不經意或非法的部署到重要的Zone裏，可能會對此Zone的整個環境造成威脅。要解決這樣的情況通常必須依賴建全的監控與管理機制，也可藉由軟體的輔助來達成，例如一些商用的虛擬化管理軟體或者像是VMware的LifeCycle Manager。
VM部署對Security Zone的影響對Datastore亦有類似的負面結果，如果Datastore的Disk Space被佔滿就有可能產生DoS的狀況，就算不至於造成DoS也會對Performance有影響。另外，資料的掺混問題也必須特別留意，因為一旦此VM被駭，或是在被部署時就是被精心設計過的，例如Promiscuous Mode被enable，就有可能因為資料的掺混造成重要資料被竊聽或盜取。
VIC的Plug-ins的管理也是一個虛擬化管理面安全的重點，有一些VIC Plug-ins可能不需Authentication就可存取到Virtualization Host上的資料或者執行Scripts，因此最好只安裝經過VMware認證或簽章過的Plug-ins。
管理者有時有P2V(Physical to Virtual)的需求，當要將一台實體機器虛擬化時，如果P2V的過程是跨不同Security Zone的話，試想一下，若一台在DMZ的實體機器被P2V到內部Production的Zone時，萬一此實體機器中毒會是被植入木馬，或是Patch Level非常的低，就有可能在VM被boot起來後就直接在Production Zone產生安全問題，直接影響到此重要的Zone或經由跳板一步步導致內部網路被徹底破壞。建議可以使用具有USB儲存媒體並經安全檢測的中介機器，將此中介機器部署到一個firewalled的Virtual Network(或Pseudo Security Zone)，接著使用P2V工具將實體機器虛擬化到USB後Power On，實施安全檢測例如掃毒、木馬檢測及上補丁等等後再將此USB的Virtual Machine使用P2V導入到目標虛擬化環境。下圖為Zone的一個例釋。
三、新一代思科虛擬化環境安全的解決方案
Cisco對於虛擬化環境的安全設計也提出了幾個CVD指引，其中針對思科雲端安全架構也提出了包括VMware及NetApp在內的整合產品的安全設計。但就虛擬機在虛擬化環境中的安全問題，包括必須滿足虛擬機或Virtual Appliances的vMotion與DRS等動態特性在內，思科提出了基於Nexus 1000V的VSG的解決方案，為雲端架構與資料中心帶來了更多的安全保護與符合法規的要求。Cisco VSG使用了內崁在Nexus 1000V VEM中的 vPath(Virtual Network Service Data Path)來提供高效能並具分散式保護的安全方案。 Cisco VSG可與Nexus 1000V VSM與VNMC(Virtual Network Management Center)協同合作，可以讓單位內的網管、系統與資安等Teams在管理面達成協同合作、不相衝突的完善管理環境。Nexus 1000V的VEM及VSM可以讓網管與系統Team分工合作，而資安Team則藉由VNMC根據資訊安全政策來建立Security Profiles與稽核這些Security Profiles的成效。VNMC所建立的動態Profiles可以套用到Nexus 1000V的Ports上，因此這些Profiles就可隨vMotion動態地移動。如下圖所示，Cisco VSG可以讓雲端或資料中心架構上多租戶特性的安全保護得到解決，藉由基於Nexus 1000V的vPath功能與分散式整合特性，讓資安人員可以針對雲端或資料中心內的虛擬機依照不同類型或安全等級用Zone的方式來做區隔保護，根據單位對於虛擬化環境的安全政策套用適當的安全政策到虛擬化環境中，並且這些安全政策可隨vMotion等動態特性移動，確保所有安全政策都可適切且適時的套用到雲端或虛擬化架構中。
結語
虛擬化安全引申出的安全問題還是非常的多，畢竟很多IT人員已習慣傳統的網路設計與資訊安全設計的方法。但網路的隔離還是最安全做法，但若無法做網路的實體隔離，搭配Virtual Firewall與Virtual IPS的使用亦可以加強各個Zones之間的安全問題，但記住Virtual Firewall的DMZ跟實體Firewall的DMZ一樣，都不是安全的區域，要避免把一些重要的VMs或Management Interface放到此區域中。DMZ也可以用專用的Virtualization Host的方式來單獨配置成一個DMZ Zone。
參考文件:
|
2013年10月21日 星期一
虛擬化世界的安全設計與管理實務
2013年10月20日 星期日
個資法真的要來了-企業如何因應個資外洩風險
| 陳志遠 |
前言
保護公司與客戶機密資料不致外洩，一直是資訊安全中十分困難的一個環節。不管是政府單位還是民間企業，都曾發生民眾或客戶資料遭盜竊，成為犯罪的工具與幫兇。民眾與客戶基於對政府或企業的信任，而對於手握機密個資的犯罪行為疏於防範，成為詐騙集團覬覦的目標與詐騙的對象。何其無辜。
善盡重要機密敏感資料保護是企業十分重要的議題，除了避免商譽的損失、客戶流失、損害賠償外，也是對客戶支持與信任的最佳回應。
政府為了落實個人資料的保護與因應日新月異的科技發展，除了不斷編修舊有的”電腦處理個人資料保護法”，更在2010年4月27日由立法院三讀通過新版”個人資料保護法”，除了擴大納入所有非公務機關適用新版個資法規範，更提高民事與刑事責任、並可提起團體訴訟，同時企業需負無故意與過失之舉證責任。這些重大變革讓個資法更具可行性，與舊法相比，新法讓企業必須正視保護個資的責任，並採取行動。同時，民眾與客戶不再是相對弱勢的一群，不再求償無門。其施行細則草案已在2011年10月27日發布，最快2012年下半年可望正式實施。
為了因應新版個資法，其中的資料安全與稽核的要求讓很多企業傷透腦筋，不知道現有的資安系統是不是已經可以滿足要求。下面章節將有系統的分析資料外洩議題，協助企業提升資料外洩防護能力，以符合法規的要求。
一、如何因應新版個資法
從正面的角度來看，新版個資法的訂立對IT人員來說是一件好事，過去即使有心想要擴展公司的資訊安全防禦能力，總會面臨無法取得老闆支持與公司資源的窘境，資訊安全在傳統的台灣企業中其實是被嚴重忽視與低估的。有了新版個資法，總算是能讓IT人員”師出有名”去跟老闆要些經費來補強長久以來企業可能缺乏的資訊安全防禦能力。
面對新版個資法的實施，企業該如何因應?首先要先了解新舊版本個資法的差異，新版個資法的要求事項有哪些?以及新版個資法的實施時程究竟是如何，企業才能據以擬定計畫，回應法規要求。
1.新舊個資法差異
翻開新版個資法法條，洋洋灑灑五六十條八千多字，筆者整理了一些關鍵差異，而也是這些差異迫使企業得積極採取一些行動來符合法規要求。
其中，在舊版個資法原本規範對象有行業別限制，在新版個資法則取消此限制，所有非公務機關一體適用，也就是所有的企業都納入新版個資法規範。
在新版個資法很重要的部分是，當個資外洩事件發生，企業必須舉證無故意或過失責任，至於過失責任的輕重與否，新版個資法施行細則中的要求事項的落實程度深淺好壞將是很重要的指標。
為遏止個資竊用盜賣等惡意行為，意圖營利而侵害個資的犯罪行為改為非告訴乃論。另可由財團法人或公益社團法人提起團體訴訟，若企業沒有善盡保護個資的責任，在新版個資法施行後，若發生個資外洩而侵害權益者，面臨訴訟的機會大為增加。不再是過去小蝦米對大鯨魚，受害客戶摸摸鼻子自認倒楣息事寧人。
在民事賠償部分，相同事件的總求償金額最高提高至2億元，若是意圖營利犯罪者，最高處五年以下有期徒刑，都較舊版個資法大為提高。更甚者，為加強企業管理人的監督責任，在第五十條規定: 『非公務機關之代表人、管理人或其他有代表權人，因該非公務機關依前三條規定受罰鍰處罰時，除能證明已盡防止義務者外，應並受同一額度罰鍰之處罰。』企業老闆也需一併受罰。這條規定讓各企業老闆莫不如履薄冰，謹慎因應新版個資法的到來。
2.新版個資法的要求事項與企業因應措施
根據新版個資法第27條，施行細則中包含針對非公務機關所制定的「適當安全維護措施」，其中包括善良管理人的注意義務，以及12項明訂安全維護事項，藉此防止個人資料被竊取、竄改、毀損、滅失或洩漏。
當個資外洩事件發生，非公務機關過失責任的輕重與否，施行細則中安全維護事項落實程度深淺好壞將是很重要的證明依據。
法務部研擬的12項安全維護事項條列如下:
『安全維護事項』就是企業因應個資法的重要指導原則。由條列之安全維護事項可知，企業須有專責的編組負責個資保護相關事宜，並且得界定個人資料的範圍，訂立程序以確保個資的蒐集處理利用都能妥善受到保障。
證據與記錄的保存、稽核軌跡的建立與保留也是重要的要求。12項目中，部分項目可由企業內部經由組織的變更與建立作業程序來完成，特別要注意的是第(5)項資料安全的部分，牽涉到企業的資訊安全防禦能力的好壞，對於資安系統的建置與防禦架構是否足以防止個資外洩或遭受侵害，顯然是資料安全維護事項落實與否的重要指標。另第(6)項資料稽核的落實與第(8)項紀錄與證據之保存更是諸多企業客戶頭痛的問題，諸如資料庫的存取是否留有稽核紀錄?檔案的存取、修改、竄改紀錄是否也能稽核保存?
麟瑞科技針對這些棘手問題提供了十分完整且有效的解決方案，可以幫助企業客戶解決這些問題，提升全面的資訊安全資料防護能力。
3. 個人資料保護法發展時序
下圖以時間為橫軸說明了我國個資法的發展進程，預計2012年下半年，施行細則將由行政院公布實施。屆時新版個資法就算完全生效了。
 二、資料存取稽核與外洩防護
1. 資料存取稽核
要討論資料外洩防護議題，就得從原始資料來源從頭到腳的流向分析，從中找出可能產生外洩問題的環節，其實說複雜也複雜，說簡單也簡單---請看圖二，很清楚的把問題的根本點出來了『It’s All about the Data』。
整個流向的中心就是Data，Data會以甚麼樣的方式存在企業內部?其實就是資料庫跟檔案。透過各式各樣的Interface、API、APP、資料才會傳送到公司員工、或是客戶手中。看了這張圖，大家應該很快的能想到，如果要稽核與防護資料的存取行為，checkpoint應該設在哪個節點，效果最好、最快而且可行的?如果讀者有印象的話，上一個章節已經透露端倪---從資料庫與檔案的存取點下手，可以快速提升企業與公司的資料外洩防護能力，同時可以滿足個資法中對於資料稽核的落實要求。
現在大部份的公司針對資料庫與檔案存取防護相當薄弱，筆者接觸客戶時，常會有需求討論跟經驗分享，企業常見的資料庫如Oracle、MSSQL等其實都內建資料庫稽核功能，但是大部份的公司並沒有開啟，開了以後資料庫的效能將大為下降。而且稽核出來的資料可閱讀性差，不具分析問題的能力與效果。更大的問題是記錄了一大堆資料，結果來源都是Application用來開啟Database的account，非真正的使用者帳號，這樣等於有紀錄跟沒記錄一樣。因為所有的來源都是同一個AP帳號。
針對檔案的稽核更是很多企業的迫切需求，共享資料夾、網路磁碟機是大部份企業都會使用的網路服務，可以用來分享公司重要的檔案，方便的同時也存在風險---離職或惡意員工要把檔案一次大量copy走也很方便。這造成很多企業的重大的損失。還有檔案被誰改了、刪除了、copy了、讀取了、這其實是很多企業都會面臨的問題與需求，現在更有個資法的資料稽核要求，迫使企業得尋求檔案稽核的解決方案。
還好有個具有前瞻性的公司看到了這方面的問題，提出前瞻性的產品可以彌補這方面的風險與需求---iMPERVA。
圖三是iMPERVA針對資料安全保護所提出的解決面向---5W1N 。也就是所有資料庫跟檔案的存取，它能提供5W----WHO、WHAT、WHEN、WHERE FROM、HOW這五個完整的資料存取面向資訊，更重要的它還能確保這些行為是不是Normal的。說到這個不得不提iMPERVA這家公司，提到iMPERVA，讀者應該不陌生，很多讀者多半是從
他廣為人知的WAF(Web Application Firewall)產品知道這家公司，這跟資訊防護類型的產品在台灣的發展進程式有關係的，從早期的Friewall到IPS等Layer6以下產品，針對Layer7以上的防護，大概在四五年前就已經開始有些公司注意到諸如SQL INJECTION、XSS、CSRF等漏洞的可怕(其實很多公司已經受害)，所以iMPERVA在台灣很早就以WAF產品優異的性能廣為人知，殊不知它其實是做資料庫稽核與防護產品起家的，近來更推出針對檔案存取稽核與權限管理功能。所以針對網頁應用程式存取的安全乃至於資料庫與檔案存取的稽核與安全防護，iMPERVA可以說是市面上唯一具有三合一能力，整合在同一平台的解決方案。
iMPERVA保護資料的解決方案、圖四提供了一個很清楚的說明，不但在重要的資料庫與檔案伺服器前面提供了防護與稽核功能，這些資料彙整回管理平台後，還能跟前端的WAF作使用者的追蹤與關聯，不但能提供最佳的稽核能力與安全防護效能。
同時針對真正使用者的追蹤，iMPERVA具有獨家專利技術，可以找出真正的使用者而非應用程式用來存取資料庫的共享帳號。這大大提升了稽核資料的可用性與可讀性，不會浪費了資源卻記錄了一堆沒有用處的資料(請參閱圖五)。最後關聯出來的結果如圖六所示，把所有該紀錄的東西(5W)清清楚楚的記錄下來，同時還能確保這些是Normal(安全的)存取，可以簡單而且輕鬆的滿足個資法中針對資料稽核的要求。
 
2. 資料外洩防護
看了上一個章節，可能會有讀者開心的跳起來說: 『我出運了!!我買iMPERVA就可以解決資料外洩的問題了!! 』呃…其實那張圖沒畫錯，但是只畫了一半，當這些資料的存取與稽核需求被滿足了，資料到了同心圓的最外圍(請參考圖七)，也就是用戶端、員工手上，那要是從這些地方被外洩了該怎麼辦?
從稽核紀錄會發現，正常的業務使用存取敏感資料跟惡意的資料外洩行為，都會一併被記錄稽核，可是最終我們怎麼去區分哪些使用是因應業務所需的存取?哪些是惡意的資料外洩行為?這就是另一層面的資料外洩防護議題---用戶端的資料外洩防止。
 
完整的資料外洩防護體系，除了原始資料的稽核與保護，不能缺少的是用戶端資料外洩防止，請參考圖八，這張圖看了實在讓人冷汗直流，圖的中間是內部員工，外圍環繞著的各個item都是可以用來外洩資料的管道，不管是惡意或是無心，只要其中有某個環節形成漏洞，就有機會對企業造成傷害。
為了因應新版個資法的實施，許多企業都在積極尋找解決方案以滿足法規要求，現今企業在資安防禦的投資與多半已付出相當大的心力，多已建置如防毒軟體、防火牆、入侵偵測與入侵防禦、以及內容過濾等資安系統，但還是面臨發生洩露客戶資料與機密資訊的風險。資安解決方案如防火牆與入侵防禦系統對外來的攻擊可以提供不錯的防禦能力，但無法防止資訊外洩的事件，畢竟它們的設計原意並不在此。
現有資料外洩防護系統的瓶頸與難題在於
1、如何判斷哪些是機密敏感資訊?
2、如何阻擋所有可能的外洩管道?
通常MIS人員可能會藉由關鍵字判斷、檔案類型或藉由網站類型的阻擋(如webmail)來阻擋資料外洩，最後的下場往往是擋了一堆不應該擋的東西，而變成全都不能擋也不敢擋。
幸而隨著資訊科技發展，已經有些十分出色的資訊外洩防護解決方案。可以在機密敏感資訊的判讀方面提供十分高度可靠的判斷能力，讓機密敏感資料的判讀準確度大為提高，同時提供多種外洩管道的監看與阻擋功能，可在機密資料不小心或惡意外洩之前，阻止機密性資料從內部流出，有效保護企業資產與客戶資料安全。
如何在現有的資安架構下去選擇適合的資料外洩防護系統?這其實跟企業自身已有的防護能力有直接的關連。在跟客戶訪談需求的時候，筆者有時候會問幾個問題，各位也可以藉由這些問題評估自己公司目前針對資料外洩的防護在甚麼樣的等級。
1. 企業內部對於員工透過公司的電子郵件外洩機密資料怎麼辦?郵件歸檔可以即時防止資料外洩嗎?事後的追查可以查的到嗎?
2. 如果在電子郵件中的附件加密呢?
3. 透過IE等瀏覽器上傳資料到如網路硬碟、gmail/hotmail/yahoomail等網路信 箱怎辦?要是透過SSL (gmail/facebook)加密呢?有沒有可能透過無界或自由 門、Softether這種規避企業安全政策的軟體翻牆出去? 4. 員工透過USB隨身碟可以把機密檔案帶出公司嗎?其實不少企業已經引進 這類型解決方案，但是總是有員工是經過授權可以使用的，依據經驗，企業 中有通常將近三成的員工是被授權可以使用USB隨身碟讀寫。那這類型解 決方案的效果就會大打折扣，因為只有yes or no可以選擇。 5. 員工透過即時通訊軟體如加密的skype、QQ或是msn、yahoo messenger外洩資料怎麼辦?很多業務都要透過即時通訊軟體跟他的客戶建立關係，又不能 禁止他們使用? 6. IPHONE/Android等智慧型手機或是3G無線網卡插上電腦或是NoteBook可以建立另外的INTERNET連線規避公司的政策嗎? 7. 員工透過印表機把客戶資料列印出來帶走，可以防止或紀錄嗎? 8. 員工有沒有可能把自己的NoteBook帶來公司，透過網路芳鄰把資料copy到自己的Notebook上呢? 9. 員工透過智慧型手機等mobile device收發公司內部郵件到手機上，那這些資料不就管不到了? 如果把上面的問題想過一遍，應該有不少讀者背脊發涼，發現自身的企業已經暴露在相當高的資料外洩風險。其實有些問題是因為即時通訊與3G網路蓬勃發展或智慧型手機的普及才衍生而出的，多數的企業多半已知存在這些問題，卻苦無對策因應。針對這些問題，很多企業都在找尋所謂資料外洩防護(DLP)的解決方案，但是怎樣的解決方案才是有效，全面且部署容易的呢?
筆者聽過很多人談DLP，多半會覺得複雜、困難、建置時間長、資源與人力投入龐大、誤判率高。而望之卻步。這真是誤會大了，其實選擇適合的解決方案與有經驗的合作夥伴，可以讓DLP的導入變得簡單而且有效。
對於前述的DLP議題會碰觸到的難題，現在已經有非常成熟且完整的解決方案，這類型的解決方案通常稱為”Content-Aware Data Leakage Prevention System”，翻成中文就是”內容感知型的資料外洩防護系統”，有別於以往只針對關鍵字、正規表示、字典辭庫、檔案類型等誤判率高而可用性低的傳統的資料外洩防護方式，新型的內容感知資料外洩防護系統不但可以精準的判斷資料傳輸的內容是不是牽涉公司機密敏感資料，更可以全面性地在各個環節達到防護資料外洩的效果。
面對現今複雜多變的資料外洩途徑，有三個面向是使用者評估DLP產品的重要指標:
1.誤判率低---可以精準判斷何為機密敏感資料
圖九為DLP產品用來分析與判斷資料是否為敏感機密內容的方式，市面上DLP產品所使用的技術其實可以以金字塔的形狀來呈現，越往上越少產品能有這樣的技術能力。面對複雜與多樣的客戶環境跟需求，光關鍵字與正規表示式(Regular Expression)、字典辭庫這類型基本的判斷功能將會面臨大量誤判的問題，可用性非常的低。
所謂Content-Aware DLP產品就是為了解決大量誤判問題而衍生而 出的新產品，藉由更先進的判斷技術如提供資料庫與檔案內容(包含部分 檔案內容與完整內容)比對功能，相較於傳統的關鍵字與字典辭庫等傳統 比對方式，新型態的Content-Aware DLP系統可以直接與企業資料庫跟檔 案內容同步，可精確判斷外洩的內容是否真正為公司重要資料。此外 針對身分證字號、信用卡號等具有checksum(檢查碼)特性的資料，技術 領先的DLP產品內建程式化判斷運算檢查碼功能，可避免隨機組成的數 字容易造成系統誤判的情況。
市面上許多防火牆、郵件、網頁閘道系統號稱具有DLP能力，通常 僅能針對關鍵字或檔案類型過濾，這跟市面上較成熟且全面的DLP產品其實存在很大差距。完整的DLP產品除了支援的判斷技術完整(如圖九)，且政策訂立與條件設定最好可以任意彈性組合(如圖十)，以將誤判率降至最低。
2.涵蓋範圍廣---包含越多外洩管道越好: 如HTTP/HTTPS網際網路、SMTP電子郵件、FTP、網路芳鄰乃至於client端的USB隨身碟、即時通訊軟體、應用程式、印表機列印等。
若外洩管道無法完整涵蓋，就如同容器破了洞，水還是會從漏洞流出去，所以涵蓋範圍的完整性與否，十分關鍵地決定了DLP產品的可用性。圖十一即為Websense Data Security在單一介面，檢視所有涵蓋的外洩管道。一覽無遺。
如果一套DLP系統必須由多台伺服器組成，而且記憶體跟
CPU的等級要求都很高，建置時間長，那就不是很理想了。這表示分析 技術沒有效率，這在整體的使用上會造成很大的問題，再深究下去會發 現這類型的系統在很多層面有隱藏的”地雷”跟”但書”。而且困難的部署將造成DLP系統建置的困難。簡單的元件組成更有助於政策管理與發佈。 
“Content-Aware DLP”這類新型態的資料外洩防護系統，在個資法雷厲風行的施行之際，可有效地替客戶解決了用戶端資料外洩的問題。不但可以防止資料外洩，還有教育與遏止員工外洩資料的念頭，所留存的證據更可作為企業在面臨訴訟時保護與舉證之用。
尤其針對金融與電子商務或政府單位等掌握大量個人資料的企業與機關更收奇效。在筆者協助客戶導入的過程中，這類掌握大量個資的客戶通常都可以藉由有效率的政策設定，快速地解決用戶端資料外洩的問題。不僅保護了重要的客戶資料，也保住了商譽更避免了公司的傷害跟損失，兼顧法律層面的要求與企業的永續經營的信念。
結語
由前述章節可知，個資法針對企業保護個資的要求落實，可以從兩個層面來看(見圖十三):
重要資料的存取稽核絕對是在個資法中被強烈要求的事項，這在資料外洩防護策略中是為部署於server端的第一防線。同時因應業務需要，員工會被授權直接碰觸或處理重要的敏感資料，如何規範與保障這些敏感資料的合理運用，確保資料流動僅限於公司內部業務所需不致外洩，則是屬於client端的資料外洩防護議題，也就是第二道防線。
在資料流動的重要關鍵點建立checkpoint，是資料外洩防護一個很重要的概念，也可讓防禦系統的建立變得很簡單。選擇合適的解決方案與專業有經驗的合作夥伴更是系統導入的重要考量。
有客戶問筆者，這樣就做可以符合個資法了嗎?其實善良管理人的認定與罰責的輕重是相對的概念不是絕對的概念，在企業能力範圍內，能做該做而不去做，自然就有被質疑的空間。盡力強化企業防護系統，降低風險，除了可以滿足法規要求，也是對企業本身和對客戶負責任的表現。
參考文件：
|
完美打造虛擬化之儲存管理架構
| 前言 「虛擬化」確實可為企業帶來管理與成本上的效益，但一般廠商在導入虛擬化專案時，通常只將重心擺在前端主機如何虛擬化、如何Sizing將多個實體主機虛擬至一台主機上、…，皆著重於前端主機上的考量因素，常常會忽略另一個同等重要的因素－虛擬主機存放的儲存平台；就資料安全層面來看，將前端實體主機虛擬化後，負責儲存這些虛擬主機的儲存平台扮演的角色更較以往重要，要達成完整的主機虛擬化及應用各種虛擬化的好處勢必要將資料集中，但這也意謂著主機虛擬化背後的風險－”Consolidated Servers = Consolidated Risk”。 此外，「虛擬化」並非只是將前端主機虛擬化而已，也必需搭配後端儲存系統提供相對應的「內部虛擬化」機制來相配合才能將虛擬化的效益真正地展現出來，以下是NetApp Solution提供相對應於VMware的解決機制與架構圖。
 主機虛擬化與儲存系統虛擬化整合架構圖 主機虛擬化雖是當前也是未來的既定趨勢，但唯有建置一套穩定、可靠且易於管理的儲存平台才能將主機虛擬化的效益完全展現，否則如同將所有的雞蛋放在一個不牢固的破籃子裡，稍一不慎，將更難以收拾。而虛擬化的目的是要滿足使用者對環境的多種需求，當然不能只從前端主機著手，若沒有後方儲存系統相對應機制的緊密整合，充其量也只是做到前端主機利用率的提升，並不能提高儲存系統的利用率及效能，以下僅就NetApp Solution應用在主機虛擬化時之整合優勢作一詳細介紹。 一、更安全的資料保護 1.1 專利的RAID DP保護機制：傳統只能容錯單顆磁碟故障的硬碟保護機制(RAID 3、4、5)，隨著硬碟容量愈來愈大及SATA硬碟的大量使用，其安全性受到相當嚴重的挑戰，而對一些要求高度可靠性的環境而言，似乎唯一的選擇既是RAID1/0，但選擇RAID1/0意謂使用者要投資多一倍的磁碟成本，雖然得到較RAID 5更高的安全性，但卻無法提供在單一RAID Group中同時或先後容錯「任意」兩顆的磁碟故障。  資料來源：EMC CLARiiON Best Practices for Fibre Channel Storage, CLARiiON Firmware Release 16 Update 近來各大儲存廠商先後宣佈支援RAID 6，乍看之下能容錯「任意」兩顆磁碟故障似乎是各儲存廠商基本、必要的機制，但其實宣誓的意義卻大於實質應用的意義，傳統的RAID 6雖能獲得高安全性與低建置成本，但卻需忍受「效能不佳」的問題，因此很少在講求效能的production環境上真正使用。  SNIA只給予RAID 6定義－能容錯「任意」兩顆磁碟，較為常見的為Distributed Dual Parity RAID 6，透過這類演算法實做的RAID 6(EMC CX3, DMX3, HDS AMS/USP, HP XP)，只是在既有的RAID 5下延伸一顆磁碟，缺點是會付出更高的overhead，如下圖在同樣顆數的RAID 5與RAID 6在random write環境下會有1/3效能上的耗損。  資料來源: HDS - Using RAID-6 with Hitachi TagmaStore™ Storage for Improved Data Protection 相較前述RAID 1/0或一般常用的RAID 6，NetApp專利的RAID DP能提供與一般RAID 6相同等級的安全機制(皆高於RAID 1/0)，不僅不需投資多一倍的成本，且更不會有效能overhead的缺陷問題，以下是Microsoft TechNet網站上說明NetApp 獨家專利的RAID DP機制雖有與RAID 6同等級的安全性，但並卻不會有像傳統RAID 6有效能差的缺陷。  資料來源:http://technet.microsoft.com/en-us/library/bb738146.aspx 1.2檔案系統： NetApp的專利檔案系統WAFL，可提供最高的資料安全與最低的停機時間。在不正常斷電與關機狀態下，不限容量大小，也不需要執行硬碟檢查，能在復電三分鐘後即可開始提供服務，檔案系統不會損毀，尚未完成的交易也不會流失。而當備援硬碟正在重建資料時發生斷電，復電後系統會自動從未完成的地方繼續重建，不會從頭開始重建，以縮短重建的時間，並降低風險。 1.3虛擬主機備份 NetApp Snapshot緊密整合VMware Virtual server backup，讓這些Guest OS能保有不同時間點的複本，透過NetApp Snapshot能讓Guest OS獲得一致性的線上快照備份，其過程如下： (1)讓VM進入「Hot Backup」模式，並產生一份redo log，在結束前該VM新增的寫入會先寫到該redo log上。 (2)透過NetApp Snapshot執行快速對該VM進行線上快照備份。 (3)將該VM離開備份模式，並apply redo log，確保資料能維持正確性。 透過NetApp Snapshot來備份VM的優點如下：
根據IDC報告指出，有93%的資料回復需求可從Snapshot中取回，此舉也說明了快照備份機制對防止資料毀損的重要性，現行各儲存廠商也都提供硬體的快照備份機制，一般可概分兩大類，最常見的為Copy On Write Snapshot，代表廠商有EMC：CLARiiON /SnapView, Celerra /SnapSure, DMX/Snap；IBM：DS/FlashCopy；HP：EVA/Vsnap, XP/Business Copy, MSA/Virtual Replicator；HDS：Copy-on-first write Snapshot，此類的快照機制，不僅要預先規劃快照保留空間(Reserved LUN)，而且執行後會對儲存設備效能產生極大的影響，通常每個LUN的可保留份數也很少(EMC SnapView每個LUN最多只能做8份snapshot，HDS AMS只能做14份，HDS USP能做到64份)，這也意謂使用者無法常常對資料做備份且又能保存一段時間，代表資料落差的指標RPO(Recovery Point Objective)也勢必加大，資料損失量也愈多。 相較於友商的快照備份機制，NetApp專利的快照機制(Redirect On Write Snapshot)不會對儲存設備效能產生嚴重的影響，也不需要預先規劃保留空間，且每個LUN或Volume可提供最多255份的快照備份，可經常做快照備份，大幅降低資料損失量。  Source：VeriTest, Nov 2006 二、更彈性的資料管理 2.1 存取模式：ESX 3.0.x以上皆支援 FCP、iSCSI與NFS方式將Guest OS放置在Storage上運行，而NetApp是目前業界唯一有能力同時提供FCP、iSCSI與NFS三種存取協定來建置VMware平台的儲存設備。
 如考慮最低建置成本與最彈性運用建議採用NFS，透過NFS做為VMware的Datastore可獲得最佳的管理性與擴充性，從ESX 3.0.x以上的版本已能支援NFS做為Datastore，不需像先前版本必需要先格式化成VMFS，因此也不會有像VMFS有效能及擴充上的限制。  透過VMFS做為Datastore示意圖  透過NFS做為Datastore示意圖 2.2彈性空間配置：在設計和部署VMware整合方案時，如果没有完善地考慮儲存系統的整合，只會將成本由前端主機轉嫁到儲存管理上。虛擬化前有100台主機需要管理，虛擬化後也依然需管理100台的主機資料，差別只在於要管理的實體主機減少了，全集中在同一座儲存系統上，因此若儲存系統無法提供彈性的空間管理機制，人員的負擔並不會有所減輕。透過NetApp獨步全球的內部空間虛擬化技術，可協助使用者輕易實現從實體層到VM層的線上容量管理，大幅降低人員管理負擔。  2.3瞬間複製部署虛擬主機：透過NetApp的瞬間複製技術-FlexClone，可瞬間完成OS複製，且不影響線上系統運作，最後再視狀況決定是否進行實體分割，減低容量的需求。 雖然VMware本身也能提供複製虛擬主機的功能(template)，但需要有1：1的額外空間，不僅耗費空間且相當費時，無法做到快速部署，但透過NetApp FlexClone卻可解決上述問題，每個虛擬主機的複本不佔空間，只佔異動量，可視情況進行實體分割。  三、更有效率的資源調配：主機利用率的提升並不代表能提高儲存系統的利用率及效能，主機虛擬化後，儲存系統彈性空間調整機制將更加重要。 3.1效能調配：透過NetApp的動態虛擬化技術-FlexVol可大幅提高儲存系統的效能，而透過FlexShare可以動態調配各應用服務的效能優先權，將硬碟的空間與性能做最有效率的利用。 大多數公司或單位內都有各種類的應用服務，例如資料庫、電子郵件和主目錄及應用程式等。而傳統IT環境面臨的難題是無法整合上述各類的應用服務，既使花大錢導入高昂的儲存系統也未必能解決上述問題，原因是一開始儲存系統資源已經先被配置給某一應用服務，除非打掉重建，否則無法重態重新調配儲存資源，但透過NetApp FlexShare可以在同一系統上合併兩種或更多種上述應用服務。例如，IT環境中有Oracle Database和用戶主目錄，透過FlexShare可以為為資料庫設置高於主目錄的資源優先級，以便確保主目錄流量不會干擾重要的資料庫操作。 FlexShare可以Volume為單位，設定存取資源的優先程度，分別對前端應用程式的重要性與對效能的需求，調配資源使用的優先順序，用戶還能以FlexShare設定更精細的存取政策動態調整，如下圖所示。  3.2空間虛擬化調配：透過資源隨選配置(Thin Provisioning)機制-NetApp FlexVol來最大化企業對儲存系統的投資。NetApp具備動態虛擬化技術能大幅提高儲存空間利用率及系統效能，可隨時根據應用服務的使用現況做動態線上空間的擴增與縮小，透過NetApp儲存系統內部虛擬化的機制來與前端VMware主機虛擬化做完整的整合。  3.3 空間節省：NetApp A-SIS消除重複數據(Deduplication)技術能與Vmware完美结合，藉由刪除虛擬機器底層重複的數據資料，可大幅節省VMware空間消耗(30%-60%)，而且適用所有資料型態(SAN/NAS/ISCSI)，背景執行的A-SIS亦不會影響線上環境的效能。  四、完整有效的異地備援措施：當虛擬化開始建構實施後，真正底層實體的資料事實上已經全部集中在後端的儲存設備內，儲存設備的資料可用度變成第一優先的重要。這時候有效保障虛擬化服務可用度的異地備援方案變得勢在必行。 異地備援架構：NetApp提供全系列儲存設備內建Snap Mirror功能，配合導入虛擬化架構時，任何本地儲存設備的資料損毀皆可以有效的透過遠端的NetApp儲存設備立刻接手啟動服務。而需要針對線上的虛擬化主機進行額外獨立的測試開發時也可以直接利用NetApp儲存設備提供的 Flex Clone功能，不影響及中斷異地備援保護措施而讓測試開發或需要演練的項目直接獨立運作。  NetApp業界獨一的異地備援架構同時提供線上資料與歷史備份的遠端複製 結語 根據國外分析單位統計，當客戶真正建構一個虛擬化環境與建構相對應的儲存管理架構的投資比重約是1:5的比值。意味者假設當你真正導入虛擬化在虛擬軟體架構上花費了100元，相對應的儲存管理花費累計平均會是5倍以上。如此驚人的隱藏管理成本絕對是客戶再導入虛擬架構必須謹慎思量的，透過NetApp簡單穩定快速的儲存架構，完美輕鬆打造建構一個虛擬化儲存管理架構。 |
資料中心儲存趨勢、挑戰和解決方案
簡介
資料中心已成為企業商業永續經營的核心關鍵。它所能提供的已遠遠超過商業技術方面，但一般資料中心卻也因此變得極端複雜。新的技術、迅速的成長、併購、線上資料的爆炸性增加，以及日益嚴重的安全問題，種種因素使得資料中心複雜性愈來愈高，而利用率卻每下愈況。近年來，天災人禍不斷，從恐佈攻擊到全國性大停電，以及颶風與龍捲風等天然災害，也進一步加深資料中心承受的挑戰。雖然管理資料中心的任務優先性會不斷改變，不過有一項任務仍屹立不搖，那就是需要以更少資源做更多的事。NetApp 將在本白皮書說明影響現今與未來資料中心的八大趨勢與挑戰：連接性、階層式儲存管理、資源隨需配置、儲存系統的靈活度、應用可用度、統一化儲存、儲存安全、整合式資料管理。 連接性 根據 Gartner Group 的產業資料顯示，光纖通道 (Fibre Channel, FC) 成長率趨緩，但未來至少五年內它仍將是支配儲存網路的主流技術，即使成長速度遭到乙太網路上網際網路小型電腦系統介面的限制。持續地向後相容及速度上的增加 (4Gb、8Gb)，將使得FC技術持續在資料中心佔有一席之地。乙太網路為基礎的iSCSI 可視為FC優勢的最大挑戰，10GbE 則有助於拉近兩者間的距離。InfiniBand (IBA) 帶來了低成本的交換技術，但它作為儲存網路技術的成熟度還稍顯不足，只有少數幾家業者提供原生IBA 儲存。而序列式 SCSI (SAS) 則提供另一種從中階到低階儲存、伺服器 / 儲存 (DAS) 叢集環境的低價選擇，未來還可成為小型 SAN。不過，它將不足以影響 FC 在資料中心內的地位。 階層式儲存管理 企業需要有方法，才能依據資料對公司的價值提升儲存容量利用率與最佳化儲存成本。資料中心內建置階層式儲存可協助企業因應關鍵資料的管理挑戰，像是一線 (價錢較為昂貴) 儲存設備需求愈來愈高，但二線 (近線) 儲存的使用率偏低、無法依據資料的業務相關性質用於不同型態的儲存設備上，以及在未來能做好資料適當分類情況下投入成本高昂的備份，導致不甚重要的資料反而花費太高來保護。 資料中心的階層式儲存解決方案，應具備以下能力： (見圖一) • 高度自動化 • 異質儲存的集中管理 • 能依政策橫跨儲存階層而進行資料搬移 • 在不干擾情況下移動資料 • 從業務觀點管理資料，而不是從實體儲存系統。 
圖一 儲存的階層
資源隨需配置 (Thin Provisioning) 資料中心 IT 經理人與儲存管理人員，長久以來時常反應他們的磁碟容量利用率僅達 30%~40%。不論原因是直接附加儲存基礎架構先天即形成一座座儲存孤島，還是資料管理軟體效率低落或靈活度欠佳，唯有著手改善儲存架構，否則利用率不可能提升。對資料中心經理人的一項好消息是，將儲存利用率最佳化，將能大幅提升儲存容量 / 成本比率，同時滿足IT管理、使用者以及公司財務管理等多方需求。 不過想對儲存架構進行評估，必須考量所有可能影響利用率的因素。像是作業系統效能、資源配置技術、容量管理、資料防護及備份設備等等。當各項服務建置後將如何同時兼顧滿足應用與業務目標，又不致影響最佳化的儲存效率？ 建置任何儲存系統的第一步是對伺服器與應用程式分配空間。多數儲存系統都需要儲存管理員先分配一定實體磁碟空間給應用程式，然而一旦分配出去後，別的應用程式使用者就再也無法運用。問題是在早期佈署階段，儲存管理員很少會精確知道使用者與應用上的實際需求，而且多數儲存員分配儲存空間給應用程式時，往往會把特定磁碟「鎖定」在一定磁碟容量與特定邏輯磁碟。 例如 (見圖二) ，如果某管理員想把 500GB 的容量空間分配給實際資料量只有 100GB 的使用，其他 400GB 則是英雄無用武之地，無法發揮任何作用。這些閒置的容量還是為該應用程式所有，其他應用程式都無福享用。如此一來，這 500GB 形同浪費，就算總有一天都會用上，但也要花上數月甚至數年。資源隨需配置技術就能免除這種浪費。我們再以同一例說明，管理員把 500GB 的空間挪給了實際資料只有 100GB 的應用程式中，我們利用資源隨需配置技術，那未用到的 400GB 仍然可為其他應用程式所用。這樣不但做到應用程式的透通性，同時也避免容量浪費的問題。 
圖二 資源隨需配置
資源隨需配置基本上就是即時儲存。應用程式以為它有 500GB 儲存，但儲存系統實際只給它必要的容量，其他容量則開放共用，管理員並可設定區間準值，以便需要再對磁碟時發出警告。對資料中心而言，資源隨需配置能將儲存利用率提升到 65%~85%，同時也降低了儲存成本與管理的複雜性。 儲存系統的防護力 企業資料中心必須具備應用程式的高可用度與恆久的資料完整性，以支援跨國企業的關鍵應用。長久以來，資料中心經理人一直致力於避免非預期性停機，就是為了要保應用程式隨時可用，和為了維持資料隨時都是正確與即時的，也必須防止資料毁損。只要資料可用性或完整性遭到破壞，都對企業營運與聲譽帶來不堪設想的嚴重後果。 雖然地區性災害或網站故障對企業影響巨大，而漸漸受到企業重視，然而造成企業非預期性停機最主要原因卻是來自日常營運面的失誤，其次才是元件或系統故障（見圖三）。要能確保 99.999% 的應用程式的可用性，企業需要高穩定的儲存環境，以防止任何原因導致的停機或資料毀損。 
圖三 停機所造成的原因與發生機率
現今兩大產業趨勢 --資料中心儲存整合至超大容量儲存系統的普及，使得高可用度的應用程式已躍升為儲存與IT經理人最重要挑戰。愈來愈多資料與應用程式整合於同一環境下，可用性的要求隨之升高。同時磁碟空間更大的 SATA 儲存技術逐漸普及，系統故障的可能性與風險也隨之增加。此外，生產力提升、全球競爭轉趨激烈，以及法規要求愈來愈嚴峻，更進一步加重儲存系統承受的挑戰。因此，資料中心必須要有完整的儲存防護技術以支援高應用程式可用度。為防止業務發生中斷，儲存系統的防護力乃成為儲存解決方案裡一個不可或缺的必要元素。（資料來源：Gartner Group） 真正的儲存防護力必須要從兩個方面來看，這也是儲存架構的必備條件: (1) 藉由早期偵測與自我修復流程，來防止錯誤發生與系統故障； (2) 在錯誤與故障發生時能迅速與在不干擾正常作業情況下自動復原。廠商解決 方案應包含能事前預知磁碟故障並加以自動修復、以最具成本效益的方法來防止各種兩顆磁碟故障，同時還使效能影響降至最小，即使磁碟、機箱與儲存迴路發生故障，資料依然能維持可用，並支援同步與非同步複製、叢集 (本地或遠端) 故障自動接管，並且本身就是具備全面性備援的容錯系統。 應用程式可用度 今日的資料中心正承受提升應用程式的可用度，目標是關鍵系統達到 100% 應用程式可用度的殘酷壓力。由於停機成本不斷攀升，企業必須找出停機的各項因素，並採取系統化策略來降低停機風險，因此，企業不僅要解決一般基礎架構的問題，還要包括人為與流程的問題。911 恐怖攻擊、卡崔娜風災與南亞海嘯促使企業重新審視其風險管理與災難規劃的策略。企業體認到天災人禍不可避免，但關注的重點已從如何避免災難轉為如何從中復原。 應用程式停機可分成兩種形態：計畫性與無預警兩種。不論是哪一種，絕大部份都是不可避免，而且往往最後都演變成為無預警停機。要提升應用程式可用度，不僅需預防無預警停機，並且在發生任何軟、硬體故障導致無預警停機下，能夠順利復原，當然這也得看系統管理員及操作員的能力有多少，能不能在不損及系統資源可用的情況下，仍舊執行每日的任務。 增強應用程式可用度且能快速從災難中復原，企業的儲存架構必須能防範各種計畫性停機與無預警停機，並能在停機發生時迅速恢復執行。所以儲存解決方案必須具備能解決應用程式停機問題的各種能力，防止操作員失誤、復原操作員及應用過程中的失誤、將預期性停機降到最低、系統運作時間拉至最大，並且從災難中回復運作。儲存業者無不提供可用性能力，但並非每一家的解決方案都能解決停機兩大元凶：應用程式與作業流程操作上的失誤。 整棟機房大樓故障與天然災害雖然發生頻率較人為作業流程操作上失誤低得多，但殺傷力卻大得多。資料中心需一具成本效益的彈性化災難復原解決方案，以便能在單 一 DR 方案中涵蓋各層應用。此外，它還要有能讓 DR 端點拿來作商業運用。應用程式管理員與資料庫管理員需要以應用程式為導向的整合方案，以便在不影響作業的幾秒鐘內完成備份，並確保同時符合復原時間目標RTO (Recovery Time Objectives) 與復原點目標 RPO (Recovery Point Objectives) 等兩大目標。 統一化儲存 資料中心想真正獲得網路儲存所帶來整合與管理的最佳化效益，佈署的解決方法必須具備可同時滿足管理 SAN 與 NAS 的相同單一管理工具。統一化的儲存空間能提供更高的儲存利用率、單一資料回復解決方案、單一資料管理模型，更能讓 IT 人員發揮他們的技能。在統一化儲存平台下，儲存管理員只需一套軟體與流程就可管理一線、二線各層級的儲存系統，這些效益自然就可帶來更高的投資報酬率與更低的整體擁有成本。 統一化儲存系統能將 SAN 與 NAS 虛擬化，就能利用同一組工具及技能加以分配與管理。要執行各種網路儲存 (FC SAN, NAS, IP SAN) 的工作，使用者都能在單一介面下全部完成。（見圖四） 
圖四 統一化儲存
更強大的儲存整合能力、保護既有投資及更少的管理工作，已成為推動統一化儲存普及的主要驅動力。如果能將 NAS、中階 IP SAN 儲存及高階 FC SAN 儲存這三者的管理方式，整合在單一管理介面下，將會對資料中心來說變得極具吸引力。統一化儲存與資料管理的軟體與流程，將可大幅簡化資料擁有的複雜程度、降低與使用者失誤相關的風險，並減少昂貴訓練與整合服務的需求。 儲存安全 NAS與SAN網路儲存技術的優點眾所周知，但將公司資料儲存在網路上卻有相當的安全風險顧慮。網路儲存環境下的資料比傳統直接附加儲存 (DAS) 更容易遭到未經授權的存取、偷竊或誤用。因為集結式儲存並未將資料分隔，所以來自不同部門的資料都混在一起。資料複製、備份與遠端鏡射，以及其他災害復原技術，更增加了公司內外未授權的存取行為。而合作夥伴在防火牆內部及其他合法管道的存取行為，也使得安全風險變高。 在儲存網路裡面，一個安全漏洞就可能危及整個公司的資料資產。防火牆、入侵偵測系統 (IDS) 與虛擬私人網路 (VPN) 都是藉由保護網路周邊來防護這些資產。這些技術雖然重要，但卻不足以確保儲存安全性，也使得資料可能遭到來自公司內、外部的攻擊。一旦這些防禦因為密碼被偷竊、病毒侵入或是組態錯誤而被破壞，資產安全也就門戶洞開。 機密資料卻不實施加密的企業，可能因無法符合法規或資料保護的合約要求，而得花上大筆金錢在事後修正或補償措施上。一個防護全公司儲存資料且支援 NAS 、 DAS 、 SAN 、磁帶及 iSCSI 環境的統一化平台是保護資料中心資產的最佳選擇。統一化平台提供了線速加密，並可在網路儲存環境下，以更簡易的安全模式來進行存取控管、授權與安全登入方式來確保儲存媒體裡休息的資料安全。安全應用裝置必須也能在無需變更應用程式、伺服器、桌面與儲存等情況下，透通性地佈署於資料中心內。 整合式資料管理 傳統資料中心 IT 部門中，應用程式、資料庫、系統與儲存管理員總是只關心一小部份的資料 / 儲存管理問題，權責義務各有所屬。因此一個端對端資料管理就得仰賴資料管理員與儲存管理員的溝通，以人工方式把資料連結到儲存系統上，這種作法不但干擾運作且容易出錯，更可能導致重大問題與失去生產力。傳統作法使得資料與儲存管理間出現斷層，徒增資料複製工作的負擔，並經常打斷各自獨立的管理部門之作業。 整合式資料管理將可簡化並涵括儲存裝置與其內資料的管理作業（見圖五）。如此一來，儲存管理員將可藉由流程與應用程式的需求相連接，而使日常管理流程自動化，達到提升營運效率，及最小程度干擾的目的。然而整個過程因為能定義適當且可重覆使用的政策，並支援各應用程式的不同 QOS 需求，也不會犧牲對儲存環境的控管。 
圖五 整合式資料管理
由於能在受到良好控管的環境下，將應用程式的需求與儲存管理流程連接起來，系統管理員、應用程式管理員與資料管理員就能以他們熟悉的語言來控管資料，無需繁複的儲存管理技能。一旦資料擁有人能夠執行特定資料管理任務，他們對不同商業需求的回應能力也隨著提升。此外，使用流程自動化、角色為基礎的存取、政策為基礎的管理可使企業依據業務需求來管理資料，降低儲存與資料管理人員間相互依賴性，進而大幅提升生產力與靈活度。 將儲存與常見的資料中心商用軟體緊密整合在一起，可使應用程式與伺服器管理員即使不用特地去學習儲存管理技巧，也不用經常求助儲存管理員，如此一來資料中心的效率將能大幅提升，更能實現最大的成本效益。 結論 由於資料儲存量呈現爆炸性成長，而資料對企業的重要性也愈來愈高，企業必須為資料中心制定一個能確保資料儲存與應用具備最大防護力與最佳化狀態。企業的營運體質取決於不間斷的資料可用性、牢不可破的資料安全，以及對變動環境的靈活應變能力。因此，簡化資料與儲存管理乃是今天與未來資料中心的第一關鍵要務。 |
如何建構企業專屬的雲端運算平台
| 陳中欣 |
雲端運算(Cloud Computing)或又有學者建議翻譯成”雲運算”，這個名詞真可說是繼”虛擬化(Virtualization)”後最被廣泛”應用”的名詞了!雲端運算彷彿代表了一個新科技、跨時代的新商機!一時之間各大軟硬體廠商、供應商、開發商什麼新的產品、服務、技術都強調跟雲端運算應用有關係，IDC指出2010年將是台灣雲端運算服務元年，資訊服務市場將有許多商機與重大改革與變化!Gartner更將雲端運算列為未來IT發展趨勢之首!有此可見其火紅程度與重要性!但到底”雲端運算”是什麼?對我們有什麼具體效益?現在導入有什麼風險?安不安全?有何標準可依循?這些的確是困擾著許多人的問題!底下我們將來做詳盡的探討。
什麼是雲端運算?
”雲(雲端)”其實指的就是”網路”，在繪製網路示意圖時，我們通常就是用一個雲狀圖案來代表”網路”，簡單來說”雲端運算”就是”網路運算”，使用者端不需安裝複雜軟體、不需使用或建置本地大量運算、儲存交換資源，只需一個連上網路的設備與簡單的介面（比方說瀏覽器），即可使用來自於雲端所有的資源，經由網路來完成各種複雜工作，這樣的運作方式就是”雲端運算”。引述美國國家標準與技術研究院(NIST)與維基百科對雲端運算的定義與說明如下:
美國國家標準與技術研究院(NIST)對雲端運算的定義-
“雲端運算是一種透過網路連結存取共享的運算資源池（如網路、伺服器、儲存空間、應用程式及服務）運作模式，可以在最少的管理工作或服務提供商介入下，自動迅速的提供資源配置和發佈。”
維基百科對雲端運算的定義-
“是一種基於網際網路運算的新方式，透過網際網路上的服務為個人和企業使用者提供按需即取的運算。由於資源是在網際網路上，而在電腦流程圖中，網際網路常以一個雲狀圖案來表示，因此可以形象地類比為雲端，『雲端』同時也是對底層基礎設施的一種抽象概念。” “雲端運算的資源是動態易擴充套件而且虛擬化的，透過網際網路提供。終端使用者不需要了解「雲端」中基礎設施的細節，不必具有相應的專業知識，也無需直接進行控制，只關注自己真正需要什麼樣的資源以及如何透過網路來得到相應的服務。”
“雲端運算”其實不代表一種技術而是一個概念，而在實做這樣的概念會依據產業及應用的不同衍生出不同的技術與架構，但什麼才是真正(我們需要)的雲端運算?只要是透過網路(雲)利用網路上的資源完成工作就是雲端運算，熱門的交友行銷平台Facebook、線上收發郵件的Gmail、P2P技術的檔案分享、方便備份的網路硬碟…等，伴隨來的如隱私、資安管控、服務品質…等問題，這是我們需要的?可以應用於企業內部?的確!不是所有的雲端運算服務都是可以應用在企業內的!甚至因為在本質上的不同、應用的範圍與依循的規範都應該不同，依據在國際上普遍被認同的”美國國家標準與技術研究院(NIST)”對雲端運算的定義(第15版)，對雲端運算定義出五個關鍵特性、三個服務模式、四個部署模式，整體架構如下圖。
 圖一 NIST定義的雲端運算架構
雲端運算-五個關鍵特性：
按需自助服務-可在客戶需要時配置運算能力，如伺服器時間和網絡存儲空間，無需供應商服務人員介入即可自動依需求提供服務。
廣泛的網絡存取-通過網絡提供服務，可支援各種標準的連線機制，包括各種精簡或厚實的客戶端(thin or thick client)平台（如行動電話、筆記型電腦或PDA），存取其他傳統或以雲為基礎的軟體服務。
資源池-供應商的運算資源彙集到資源池中，使用多重租戶模型，按照使用者需要，將不同的物理和虛擬資源動態地分配或再分配給多個消費者使用。雖然存在某種程度上的位置無關性，也就是說用戶無法控制或根本無法知道所使用資源的確切物理位置，但是原則上可以在較高抽象層面上來指定位置（例如國家、州、省、或者資料中心）。資源池範圍包括存儲、處理、記憶體、網路頻寬以及虛擬機等。即使是私有的雲(Private Cloud)往往也趨向將資源池虛擬化來為組織的不同部門提供服務。
快速彈性-服務能力可以快速、彈性地供應–在某些情況下自動地–實現快速擴容、快速上線。對於使用者來說，可供應的服務能力近乎無限，可以隨時按需要購買。
服務可測量-雲系統(Cloud System)之所以能夠自動控制優化某種服務的資源使用，是因為利用了經過某種程度抽象的測量能力（例如存儲、處理、頻寬
或者活動用戶帳號等）。人們可以監視、控制資源使用、並產生報表，報表可以對提供商和用戶雙方都全然透明的提供。
雲端服務經常和虛擬化技術一起使用或者架構於虛擬化技術平台，雲端運算不一定要與虛擬化技術綁在一起，但沒有虛擬化的確很難做到很好的資源分配及高可用性，這是必須要取捨考量的。
雲端運算-三個服務模式：
雲軟體即服務（Cloud Software as a Service-SaaS）-該功能提供給客戶使用提供商運行在雲基礎設施的應用程式。該應用程式可從不同的客戶端設備通過一個精簡客戶端(Thin Client)連接，如網頁瀏覽器（例如-基於網頁服務的電子郵件系統）。客戶不需管理或控制底層的雲基礎設施，例如網路、伺服器、作業系統、儲存空間，甚至其中單個的應用程式的功能，除非是某些例外、有限用戶特定應用程式的配置設定。
雲平台即服務（Cloud Platform as a Service-PaaS）-提供給用戶的是在雲基礎設施之上部署用戶創建或採購的應用程式，這些應用程式使用服務商支援的程式設計語言或工具開發平台，使用者不需管理或控制底層的雲基礎設施，包括網路、伺服器、作業系統、或儲存設備等，但是可以控制應用程式的部署以及應用程式主機的某個環境配置。
雲基礎設施即服務（Cloud Infrastructure as a Service-IaaS）-提供給客戶的是雲供應的處理、儲存、網路以及其它基礎性的運算資源，以供客戶部署或運行自己任何的軟體，包括作業系統或應用程式。使用者不需管理或控制底層的雲基礎設施，但是擁有對作業系統、儲存空間和部署應用程式的控制管理，以及一些網路元件的有限控制（例如-主機式防火牆等）。
雲端運算-四個部署模式：
公共雲(Public Cloud)-由某個組織擁有，其雲基礎設施對公眾或大產業集團提供雲服務。
私有雲(Private Cloud)-雲基礎設施特定為某個組織運行服務。可以是該組織或某個協力廠商負責管理，架構可以是在內部部署（on-premises）也可以是在外部部署（off-premises）。
社區雲(Community Cloud)-雲基礎設施由若干個組織共享，以支援某個特定的社區。社區是指有共同訴求和追求的團體（例如使命、安全要求、政策或合規性考慮等）。可以是該組織或某個協力廠商負責管理，架構可以是在內部部署（on-premises）也可以是在外部部署（off-premises）。
混合雲(Hybrid Cloud)-雲基礎設施由兩個或多個雲（私有的、社區的、或公共的）組成獨立存在，但是通過標準的或私有的技術綁定在一起，這些技術促成資料和應用的可移植性（例如-多個雲之間的負載平衡「cloud bursting」技術）。
有關私有雲(Private Cloud)於外部部署（off-premises）這方面的一個例子就是虛擬私有雲（VirtualPrivate Clouds）-以私有或半私有的形式來使用公共雲基礎設施，通常通過虛擬專用網-VPN將公共雲裡的資源連回客戶資料中心內部。
依據NIST對雲端運算的定義與說明僅是讓大家能比較容易了解雲端運算，因為雲端運算目前仍在不斷發展，不管是公共或私人單位對它的定義、應用、基本技術、問題、風險和效益都還在”熱烈”的討論中，當然這些定義、屬性和特性會隨時間演變和變化。
另外一個特別需要關注的是CSA(Cloud Security Alliance)在該組織發表的”Security Guidance for Critical Areas of Focus in Cloud Computing V2.1”文件中提到”多重用戶共享(Multi-Tenancy)”這樣的架構並將其視為雲端運算的一個重要元素。並指出雲端服務模式中的”多重用戶共享(Multi-Tenancy)”意味著滿足不同客戶環境對安全、分段、隔離、監管、服務水準以及相應的計費回饋等不同需求。用戶可能會使用公共雲服務提供商的服務產品或者是同一家組織內部的雲服務，例如不同的業務單位，並不是完全不同的商業組織，它們之間依然需要分享基礎設施。從提供商的角度來看，多重用戶共享(Multi-Tenancy)對架構和設計提出的要求是通過在很多不同客戶之間分享基礎設施、資料、中繼資料、服務和應用等，來實現可擴展、可用性、管理、分段、隔離以及運行效率等方面的“經濟性”。
理解每個雲端運算模式之間的關係和依賴性對於理解雲端運算的安全風險是非常重要的關鍵!IaaS是所有雲端服務的基礎，PaaS建立在IaaS之上，而SaaS又建立在PaaS之上，請參照”圖二 雲端運算的服務方式”。非常重要的一點是，目前大多數”商業”雲端服務提供商可能並沒有與這個模式對應，如果廠商無法滿足不同客戶環境對安全、分段、隔離、監管、服務水準以及相應的計費回饋等需求，那使用這些廠商的服務是不是意味將帶來很大的風險?
 圖二 雲端運算的服務方式
導入雲端運算的效益與挑戰
藉由雲端運算方案導入對目前企業資料中心的現況有何幫助?列舉如下:
但要注意的是必須依據相關特性與應用要求選擇適合的服務方式及部署模式導入雲端運算方案，以服務方式來說:IaaS-供應商交付的是基礎架構設備(例如-主機、網路、儲存空間、作業系統…等)，建議適合無足夠人力、資金自建管理資料中心之企業導入，但必須評估該供應商服務中斷造成的影響;PaaS-供應商交付的是開發應用程式的平台(開發程式語言、工具及資料庫)
，建議適合無足夠人力、資金自建管理資料中心及購買、管理開發工具平台之企業導入，但必須考慮私密性、相關法律責任及所有權問題，畢竟有可能置放在供應商平台上的是企業較為機密的相關程式資料;SaaS-供應商交付的是較為標準且大多為透過網頁方式存取的應用程式(例如-Zimba、SalseForceCRM)，大多為中小型企業使用但也有可能需要因為法令規範或機密性問題甚至依據企業需要彈性移出、移回服務去取捨使用這樣的服務。
根據IDC針對企業應用雲端運算的分析報告，對企業來說有幾個項目是必須審慎考量評估的，例如-安全性、效能、可用性、與企業目前的IT整合、足夠的客製化、成本考量、未來可否從雲端移轉回來、符合法規要求、服務供應商能力是否足夠…等。
依據上述考量重點，以部署方式來說不管是公共雲、私有雲、社區雲、混和雲最重要的就是安全性!將對企業極為重要的系統服務、機密資料或是 圖三 雲端運算的挑戰與問題
備份備援建置於企業外部的公共平台，不可諱言的風險的確會是比較高的!應該審慎評估雲服務供應商的資訊安全管理流程和能力(比方說ISO/IEC 27001/27002認證)的充足性、成熟度及與使用者資訊安全管理流程的整合性、配合度，並能提供與客戶建立服務水準協定（SLA）及配合安全部門政策合同契約協定來確保安全需求在合約層面上是可強制執行的。
再來便是效能與可用性的要求，供應商提供的雲服務效能品質必須是可以被量測、監控的而且能隨時提供透明且詳細的報告甚至是趨勢預估讓客戶能準確的計算未來準備投入的預算、設備、人力…等;供應商提供的雲端運算服務模式與傳統的主機租賃是截然不同的，必須提出詳細可以被信任的傳統的物理安全防護(HA)、業務連續性計畫（BCP）和災難恢復（DR）等機制，且必須接受客戶定期、不定期審查、監測與驗證。
綜合上述條件要求甚至再談到能與企業目前的IT整合、是否能提供足夠的客製化、成本考量、未來可否從雲端移轉回來、配合符合法規要求…等，我們必須這樣說目前市面上全然能滿足企業要求的公共雲供應商難度是很高的!對企業來說利用雲端運算效益、優勢建置一個專屬的雲端運算平台是最低風險且最值得投資的!
建構專屬雲端運算平台
如何建構一個企業專屬的雲端運算平台?第一步就基礎架構，如同前文提到的不管是PaaS、SaaP都必須架構於IaaS，而最重要的關鍵將會是虛擬化的導入，而虛擬化解決方案無庸置疑的就是全球市佔率84%的最佳品牌VMware，VMware vSphere可以幫助企業集中整合既有主機、儲存、網路資源，利用VMware VMotion、DRS、HA、FT確保設備高可用性、服務不中斷，VMwae Site Recovery Manager達成更快速更彈性的異地備份備援，透過虛擬化資源池概念提升資源使用率，並能迅速部署系統、應用程式(vApp)，管理自動化來減少營運管理工作，透過VMware AppSpeed、CapacityIQ讓我們更容易做到服務的品質量測、評估並提供更好的服務等級。
 圖四 雲端運算的重要關鍵”虛擬化”
但這樣仍是不夠的，這個企業級資料中心基礎架構還需要符合哪些需求?引用CSA對”多重用戶共享(Multi-Tenancy)”描述提到的…”滿足不同客戶環境對安全、分段、隔離、監管、服務水準以及相應的計費回饋等不同需求”，滿足不同”客戶”對企業來說可當作是滿足不同”分公司、部門或合作夥伴”，事實上針對企業這樣的需求業界網路、儲存、虛擬化三大原廠Cisco、NetApp、VMware前所未有的結盟合作並提出”安全的多重用戶設計架構（Secure Multi-tenancy Design Architecture）”強調是可以全面性兼顧需求且易於部署的雲端運算解決方案，滿足企業目前在專屬雲端運算平台的四大要求：
●安全獨立性(Secure Separation)-用戶在任何情況下都無法存取其他用戶的虛擬機器 (VM)、網路或儲存資源，每個用戶都可確實分隔 。
利用vSpherevShield、Nexus 1000v及UCS 資源切割達成運算層資源的完全的切割與隔離;利用ACL、VLAN及QoS技術達成網路層資源的完全的切割與隔離;利用NetAppvFiler搭配VLAN的管控達成儲存層資源的完全的切割與隔離。  圖五 安全獨立性架構（Secure Separation）
●服務品質保證(Service Assurance)-無論在正常作業期間或是在故障發生當下、或某些用戶造成異常負載時，皆必須維持優質而穩定的運算、網路與儲存效能。
利用vSphere資源池概念的保留(預留)、限制、共用與可擴充保留等特性及主機資源負載平衡DRS技術達成運算層資源的動態分配與品質保證;利用QoS技術做到佇列與頻寬控制達成網路層資源的動態分配與品質保證;利用NetAppFlexShare搭配Thin Provisioning儲存虛擬化技術的達成儲存層資源的動態分配與品質保證。  圖六服務品質保證（Service Assurance）
●高可用性(Availability)-基礎架構必須確保在萬一發生故障時，仍可使用必要的運算、網路與儲存資源。
利用vCenter Server Heartbeat(保護vCenter)、VMware HA(保護ESX Server)、vMotion/Storage vMotion(保護VM-虛擬機器)及UCS Fabric多重線路(Active/Active Mode)等技術達成運算層資源的高可用性;Nexus vPC、Cisco EtherChannel、Nexus 1000v(VSM-Active/Standby Mode)達成網路層資源的高可用性;利用NetAppRAID-DP(保護磁碟)、NetApp HA(保護儲存設備)、Snapshot(保護資料、作業系統及應用程式)、SnapMirror/SnapVault(本地異地備份備援)達成儲存層資源的高可用性。 特別說明的是透過VMware Site Recovery Manager、Cisco Nuxus與NetAppSnapMirror整合可達成不管是運算層、網路層或儲存層的自動化異地備援機制，也就是完成整個資料中心的高可用性架構，這樣的效益是其它廠商無法完整提供的。  圖七 高可用性（Availability）
●易管理性(Management)-可快速配置、管理及監控所有資源的能力。
值得一提的是不管是NIST、CSA或是普遍對雲端運算的管理要求，Cisco、NetApp及VMware提出的”安全的多重用戶設計架構（Secure Multi-tenancy Design Architecture）”對管理者來說-只要透過網路，經由簡單的用戶端程式或網頁瀏覽器就可以做到整個雲端運算平台服務的管理，並可在最少的管理工作或服務提供商介入下，自動迅速的提供資源配置和發佈;對使用者來說-不必具有相應的專業知識，也無需直接進行控制，只關注自己真正需要什麼樣的資源以及如何透過網路來得到相利用運算層VMware vCenter(監控資源使用狀況)、VMware AppSpeed(監控系統服務品質)、CapacityIQ(管理資源與使用趨勢預估)、Lifecycle Manager(使用者依需自助配置資源)及UCS Manager...等管理功能，網路層Cisco Data Center Network Manager管理功能及儲存層NetApp Operations Manager(包括Provisioning Manager及Protection Manager )管理功能可達成整體資料中心資源易管理性要求。
應的服務，這就是『企業專屬的雲端運算平台』。
 圖八 易管理性（Management）
彈性端對端服務品質
目前的確鮮少有能對”端對端服務品質”的這項難題提出方案的廠商，常見的作法只能做到某一層(運算層、網路層或儲存層)的服務品質機制，以冀望能同時對下游或上游數層達到節流的目的。但事實上，不同的應用程式常會有不同的特性，有些可能需要密集運算、有些較耗用網路資源，有些則需要大量 I/O。僅只是限制 I/O，對於大量使用 CPU 的應用程式將難有效控制CPU使用率。若無法在這三層上都使用適當機制，就無法完全確保服務品質。
Amazon、Google 與其他幾家公司為了解決這樣的問題，皆已動龐大開發人力、歷時數年開發專屬軟體，建立其多重用戶共享或「雲端」服務，但遺憾的是這樣的”專屬軟體”是有局限的、是封閉的，無法提供給企業內部建置使用，Cisco、NetApp與VMware提供的”安全的多重用戶設計架構”是企業垂手可得的，而且相對建置起來容易且極富彈性。整體架構如下:
圖九安全的多重用戶設計架構（Secure Multi-tenancy Design Architecture）
整體方案提供彈性的端對端服務架構 (Resilient End-to-End Architecture)，針對各階層上的主要軟、硬體元件強調提供高安全性、高服務品質、高可用度與更便利彈性的管理。
 圖十彈性端對端服務架構 (Resilient End-to-End Architecture)
針對Cisco、NetApp與VMware提出的”安全的多重用戶設計架構”整體架構與效益部份，將其分成運算層、網路層、儲存層例舉幾個重點特色說明如下:
運算層 在運算層上，VMwarevSphere可提供健全的伺服器虛擬化環境，可將伺服器資源動態配置給在虛擬機器內執行的多個虛擬作業系統，並能夠確保資源被彈性且正常使用 (尤其是CPU與記憶體資源的使用)。其”資源池”是可彈性管理資源的邏輯概念，並且藉由資源的保留(預留)、限制、共用與可擴充保留等資源的資源池設計特性，獲得非常精細的控制性，並可讓您為某個用戶、系統、服務授與較高的優先權。 VMware VMotion、Storage VMotion透過這種兩種技術應用可確保企業資料中心的系統、服務、儲存空間在移轉過程中不會造成任何服務因此中斷。 VMware HA(High Availability)會持續監控資源池中的所有伺服器，並且偵測是否有故障，{0><}0{>而每一台ESX Server都會置放一個代理程式，以確認有伺服器彼此保持「心跳」並確保有足夠的備援資源，一旦某伺服器的「心跳」停止，就會對該ESX Server所有受影響的虛擬機器執行重新啟動於其他ESX Server。<0 br="" nbsp="">VMware Distributed Resource Scheduler (DRS)可持續監控各資源池中虛擬機器資源的使用情形，並以智慧方式為多部虛擬機器配置可用資源，而且完全自動化不需人為介入，使架構中的所有ESX Server內所有虛擬機器達到資源負載平衡。 VMware vShield Zone 可提供運算層內的安全性，它是 vSphere中附帶的一種集中管理、可設定狀態的分散式虛擬防火牆，可運用虛擬網路來建立安全性區域。 vShield Zone可整合至 VMware vCenter 中，可簡化防火牆規則的管理與信任區域的配置。 Cisco Unified Computing System(UCS) 是新一代的資料中心平台，可將運算、伺服器網路存取、儲存裝置存取與虛擬化整合在單一整合系統中。 UCS主體採用低延遲、不失真的 10 Gigabit乙太網路網路架構，整合並取代傳統乙太網路、儲存區域網路改善企業原有複雜、管理不易的架構，某種程度來說藉由這樣的特性是可以降低成本、提升效率的，並提供全新企業級的x86 架構伺服器，這樣的伺服器是整合式、可擴充的多機箱式平台，可讓所有運算資源統一管理且能彈性擴充，除了大幅節省資料中心空間並能達成節能成效。 在硬體層級上，Cisco UCS 會使用 Data Center Ethernet (DCE) 處理 Cisco UCS 系統內的所有流量。 這項業界標準的乙太網路強化功能會將乙太網路管道的頻寬分成八個虛擬通道，系統類別將決定這些虛擬通道中的 DCE 頻寬應如何配置給整個 Cisco UCS 系統，每個系統類別分別會為一個特定類型的流量保留一個特定頻寬區段，如此即可達成一定程度的流量管理彈性。 值得一提的是Cisco除了強調可以緊密與VMwarer結合提升虛擬化性(例如:Nexus 1000v、VN-Link技術或Nexus 1010-提升管理性與降低負載)，Cisco UCS整體硬體設計也具備虛擬化、資源池這樣的概念，透過網界面的管理模組UCSM可以很容易地去建立”Sevice Profile”、”Pool”，而每個Service Profile(包含了服務器名稱、主機識別碼、MAC address、WWN/ WWPN、網路設定參數、SAN設定參數、韌體、BIOS設定、開機設定)是可以動態部署在任一欲使用的主機(刀鋒)，當發生某一刀鋒主機故障僅需將Profile套用於未故障的主機上即可回復功能上線運作，而且每部主機(刀鋒)的網路(NIC)與HBA介面的都是虛擬化的可依需求設定數目或者是採取何種備援模式，這些設定都能更加提升設備高可用性、大幅降低故障停機帶來的影響! 相關對應的參數設定值以Pool(資源池)概念整合管理，可預先定義規畫好整個資料中心的IP、MAC、WWN…等資源參數(範圍)，當有實體主機資源需求時透過簡易且彈性的管理介面可以自動核發相關設定值給每部主機迅速的完成實體主機的部屬，不需要太多管理與技術介入。  圖十一Cisco UCS部屬自動化、管理簡易且便利
網路層
改變以往網路與儲存架構，網路層可提供運算層與儲存層之間的安全網路連線以及與外部網路和用戶端的連線。 主要元件包括：
在網路層級上，流量會根據由 Nexus 1000v 所指定、並經由 UCS 系統受理或納入規則的服務類別 (CoS) 進行分段。 有兩種不同的方法可提供狀態穩定的效能保護:
企業可以透過規則制訂與速率限定，來定義服務保護、保證層級，底下例舉三種流量類型的規則制訂方式說明效益：
儲存層
儲存層由NetApp 統一化儲存系統所構成，依據企業對服務應用各種要求，可以同時支援SAN連線 (比方說SAN Boot或LUN)、ISCSI、NFS環境，特別建議的是透過乙太網路執行採用NFS環境的VMware架構，不但可提供大幅簡化管理與降低備份備援程序，還可降低建置成本。 NetAppMultiStore在共用儲存裝置環境可提供如同實體隔離儲存陣列的安全性與隔離等級，在單一儲存系統上建立多個完全隔離的邏輯分割區，在共用儲存時仍能保有隱私與切割，用戶不可逾越此分割區的界限。 除了安全性以外，對於用戶分割區中正在執行的應用程式，也確保其不會間接干擾到其他用戶分割區中的運作。其可為多重用戶共享環境提供安全的隔離性。 NetAppFlexShare可對 MultiStore 組態中的每個儲存磁碟區或每項 vFiler 裝置調整三個獨立參數，依據需要對某個用戶分割區設定較高的優先權。 提到真正的儲存虛擬化NetApp的確是不遑多讓，其資源配置亦可提供「隨需儲存」的功能，達成所有儲存資源集中且共用分享可以依據需要分割隔離，在多重用戶共享組態中可設定「磁碟區自動成長」、「Snapshot排程自動執行」、「Snapshot自動刪除」與「部分保留」的規則。 「磁碟區自動成長」可讓磁碟區以定義的增量值為單位進行擴充，並以預先定義的臨界值為上限。 「Snapshot 自動刪除」是一項自動化機制，可在磁碟區空間即將滿載時刪除最舊的 Snapshot 複本。「部分保留」可讓空間保留百分比隨著相關資料的重要性進行修改。 結論 對企業來說雲端運算平台的導入最重要的就是安全性、高可用性、品質保證，還有更重要的一點就是更少的成本(人力、物力及資金)投入;雲端運算代表的只是一個概念而且不斷的在延伸、變化，重點是在現今這個”人云亦雲”的大環境下，如何了解雲端運算的真締並善用其特性帶來的效益建構一個企業專屬的雲端運算平台，才是企業如何永續經營的真正關鍵!
參考文件:
|
2013年10月19日 星期六
美網路影音使用飆增
（法新社華盛頓10日電） 皮尤網路計畫（PewInternet Project）今天公布調查顯示，越來越多美國人利用網際網路張貼自己影片或觀看別人影片。
調查發現，美國成年網路使用者上傳或張貼影片到網路的比例4年來成長1倍，從2009年的14%增加到目前的31%。
78%受訪者表示會從網路下載或觀看影片，數字高於4年前的69%。
年紀較輕的使用者，在網路上張貼或分享影片的比例是年紀較長者的2倍。皮尤網路計畫調查發現，在18至29歲年齡層中，有41%會在網路上張貼或分享影片，30至49歲年齡層的比例為36%，50歲以上者只有18%。
在各種影音類型中，音樂影片點閱次數成長最多，從2009年的32%增加到2013年的50%。
約12%的受訪者表示會在網路上觀看成人影片，其中男性受訪者有25%，女性則有8%。
在網路張貼或分享影片者中，有35%受訪者希望或認為影片會爆紅。僅有5%的影片上傳者曾後悔上傳影片。（譯者：中央社何世煌）
密碼錢包程式 空中簽名防破解
（中央社記者許秩維台北14日電）用手機收信、登入網銀雖然方便，卻有被破解或入侵危險。交大團隊研發「密碼錢包」程式，用空中簽名辨識，讓資安有保障。
世新大學今天舉行「大文山APP園區啟用典禮暨2013雲端創新應用服務競賽活動頒獎典禮」，全國第一個由產官學合作的「大文山APP園區」，將投入APP應用程式研發與人才培育。
世新大學表示，大文山APP園區目前設有「潛能開發區」、「創意交流區」及「開放空間討論區」等主題，將結合跨領域的學生或社會人士團隊，並邀業界師資講授專業課程，幫助團隊在園區完成創意發想、執行開發，希望成為年輕人創業的敲門磚。
世新大學傳播管理系學生林鈺婷研發「Easy watchEasy buy」，結合偶像劇與線上購物，方便用戶選購偶像劇內的商品，獲雲端創新應用競賽創意發想組冠軍。交通大學資訊工程研究所博士候選人陳柏愷與碩士生蔡孟勳研發「AirSig密碼錢包」，則獲應用開發組冠軍。
陳柏愷表示，用手機登入電子信箱、網路銀行等，都得輸入密碼，為防止被破解、入侵，因此開發3D空中簽名技術，使用者完成設定後，以拇指按住手機螢幕，想像手機左上角為筆尖，在空中簽名，通過驗證後，就可登入帳號，目前已能在Google Play免費下載。1021014
訂閱：
文章 (Atom)