云中数据保护管理探讨

admin 2024年2月22日18:46:30评论11 views字数 3726阅读12分25秒阅读模式

现在谈云计算,谈公有云,似乎有点落伍,技术上也感觉不够那么潮流、不够性感。市场的技术趋势分析似乎也在为我们的感觉给出注脚。Gartner给出的近一两年需关注的技术列表里,基础公有云云计算平台应用,已经不在其中。而关注点,都集中在新兴业务方向,例如微服务架构、数据科学和机器学习、无服务器计算、人工智能云服务,NFT,元宇宙等等。其实,正因为大家已经不再认为它是个潮流,反而恰恰体现了它的日趋成熟,也说明我们需要更多的去关注它日常的柴米油盐。

谈到日常,我们则需要回归业务本质,无论IT基础平台如何演化,我们依然需要面对业务和数据对安全、可靠的本质要求。AWS作为云基础架构服务商的翘楚,应该是认识到了这点的,在云平台优秀架构规划的几个核心点中,是把安全性和可靠性作为独立专题讨论的。新的架构,云的环境下,保障客户业务和数据的安全可靠,这是所有云中业务专家需要认真考虑的,这就是云环境中的柴米油盐酱醋茶,云环境IT运维必不可少的关注点。既然躲不过,那我们就先从云中数据层面的基础保护需求出发,一起讨论云环境中数据保护的特点。
首先,我们从数据保护管理的驱动力来看,公有云云环境中相比原来的本地数据中心环境有差异,但也有相同之处。最明显的差异是,由各大公有云服务商专业运营的数据中心,相比原有各散落在企业中的数据中心,在基础设施建设力度及IT运维能力上会有明显的提升。基础架构损坏,大规模故障的概率大大降低,因上述原因而导致的数据丢失风险也随之降低。这确实会让很多云中业务专家产生幻觉,似乎无需考虑数据层面的保护了。但我们仍需要在此澄清,因人为因素带来的风险,比如误删除,内外部安全威胁、尤其外部的病毒及勒索安全威胁等,这类风险非但未能降低,还随着云环境更大规模的开放而增加,导致因此类风险引发的数据不安全概率极大上升。同时,随着业务形态在云中的越来越丰富,以前对企业内部的各类法规监管,会延伸到云环境。比如网络安全等级保护(GB/T 22239-2019)、数据安全法、GDPR等等。包括一些具备行业属性的信息系统管理规范,都会将对本地环境的数据保护规范要求,延伸到公有云云环境中。这方面的带来的数据保护驱动力,会与本地环境相同。
其次,云环境下的数据保护工作,所要考虑的数据源有变化。云环境的数据源形态,在业务转向云时代的过程中,经历了re-host的试探,re-place/repurchase的纠结, 再到re-platform/refactor的架构性决然转型。业务及数据被分散丢进了各种类型的虚机中、在海量的EFS/S3中、在各种不同于传统关系型数据库的云中RDS中。管理和获取这些数据的手段也应稍有变化,对于这些新型的云中RDS类数据库,虚机,K8S环境,可能需要利用适用于相关资源的技术手段,快速、并发的获取并保护数据。当然,在另外的很多场合下,传统的很多类似用代理的手段依然需要使用,比如为了保障某些数据库的一致性,利用标准的数据库自身抽取数据能力,获取一份完整一致性数据。这些能力不能遗忘。
再次,架构要求有变化,云环境下,任何服务都要能适应云中快速部署,具备快速横向伸缩的能力。这方面,数据保护的技术能力要能跟得上节奏,既要能快速启用,适配海量的云上备份要求,又要能适应传统应用在重新构建后的传统高一致性数据获取需要,还要能做到在非备份窗口期,尝试去释放备份所占用的计算资源。既要、又要、还要,云时代的技术发展就是这么卷。
最后,但是最为关键的,就是对成本要更敏感。很多企业决策在云上构建业务,其决定因素之一就是起步成本很低,随着很低的起步投入,业务系统能够快速搭建,并提供服务。在这个过程中,很容易就发现,业务的服务能力和云中的使用成本,大体上是个线性关系,也就是说业务需求越多,云中成本会变大,业务需求如果逐步减少,可以快速的将资源释放,降低当前云中成本。但当我们开始考虑对云中业务的数据加以保护,并且长期保留下来时,那些用以保护这些数据的云上各种成本,会随着保留份数以及时间周期的增长,可能呈现指数级增长了。更为麻烦的是,随着监管延伸到云上,云上数据会需要为监管而保留,而不仅仅是为业务而保留,它可能会不依赖与业务的存续而存续。有几率会出现,企业某方面的业务已经停止了,但为了应对监管而需要保存数据的成本,还依然得支付。这些麻烦事儿,在本地系统中,体现的不会太明显,本地系统投资是一次性,后续的管理和维护本可分摊可控,但在云中,持续增长的数据保护成本,如不妥善解决,会成为企业发展的一个成本黑洞。
云中数据保护需求的相关特殊性,决定了解决它要有不同的解决之道,我们列出些许想法,愿能抛砖引玉。

第一、要适应云中架构设计的方法论。

云环境下的架构设计,有自己的一套方法论。有些数据安全方面的理论,与传统本地架构相同,比如管理逻辑上要为任何的变更和安全风险做好准备;比如要让非相关人员远离数据,并要将安全引入到各个层面。也有一些理念则相对于更具云计算特色,例如整个解决方案要具备很强的横向伸缩能力,部署简单,快速的形成能力交付。适应这些云中架构规划的方法论,才能更好的为云中的数据提供合适的保护能力。

第二、要帮助云环境去覆盖那些他们所没能想到的点。

相对传统环境,云平台高效便捷,大量业务专家在云计算的支撑下,快速的在云环境构建了业务系统,一般来说,着眼点都在业务本身上。很少有人关注数据用什么样的方法去保护,才能真正安全、有效、可靠的保护好数据,并支撑业务的可持续发展。很多情况下,业务专家就简单的用快照服务处理一下,丢进了S3,再也不做过问。这些方法,是不符合数据保护管理规范,以及新的安全威胁形势下数据保护安全需求的。云中的数据保护方案,仍然需要考虑适度遵循借鉴数据保护的3-2-1保护原则,将云中数据也从业务系统离线解耦,存放至少三份副本,两种不同的存放目标,并在异地(其他Region或者另外云环境)存放一份数据,同时更要考虑这些离线后的数据不受内外部安全威胁,不被勒索病毒等网络威胁所侵袭。此外,针对云中商业关系型数据库的数据,依然要考虑为其提供完整一致性的数据保护手段。

第三、无论怎么关注成本,都不为过。

如前文所述的,由于合规要求和内外部风险的影响,数据保护对成本影响,尤其是存储成本的消耗,实际上是超出了云用户的预期。
云中自带的常见快照等数据保护服务,以存放的数据量计费,这类服务很少会考虑帮助云用户节省存下来的数据空间,随着数据量的变大以及时间的推移,这些成本将会成为企业极大的负担。因此,云中数据保护方案,首要是利用成熟的存储技术手段,利用高效的去重技术,极大的降低所需要存放的数据量,以达到节省成本的目标。
另一个方向,在数据保护计算能力层面,也要能够在数据保护的非工作窗口,释放出计算能力,降低这部分的计算成本支出。
最后一个很容易被人忽视的点,是管理成本,云中数据量,或者说业务系统比较少的时候,业务专家自己用云中自带的快照服务或者自己写个脚本,没什么问题。但一旦数量变多,如何寻找要恢复的具体时间点?如何在一堆杂乱的环境里寻找所需要的那份数据?或者说如何从一个已经离职的同事手里,理清楚他所存放数据的逻辑并完成恢复?更别提真正威胁是存在于恶意的将之前保护的数据删除的情况。这些事情关注不到位,企业为之付出的成本,可能是无法估量的。
因此,真正可靠有效的云中数据保护手段,要完全考虑以上几点关于成本的关注,帮助云中数据保护提供成本可控的保护手段。

第四、要足够简单、有完整统一的视图管理界面

大部分云用户在使用云环境的时候,很少完全使用独立的一朵云,而是将业务放在跨越本地或多个云环境之间,数据也是分散在各个环境上。在这种环境下,拥有一个简单、完整统一,并且能够图形化操作的保护手段,将极大的降低业务专家在多个云之间实现数据保护的学习成本,同样的数据保护理论和概念,可以很轻易的从一个环境移植到另一个环境中去,而无需关注不同公有云环境带来的差异。而数据,更应该在这样的保护体系下,具备快速高效的云间传输和复制能力。并能在统一,完整的一个视图中,看到数据存放和流动的情况,帮助业务专家和运维人员实现对数据去向心中有数,从而真正的把握自己企业的数据,而不会再有一种面对数据黑洞无助感。

第五、做一个跨界的斜杠青年

实现上述几个能力,在云环境里,就能构建一个非常完整的数据保护能力。完成保护是整个数据保护方案的基本功课。“课余",保护方案应该能够为更多的场景提供服务,比如为业务的测试系统提供数据的快速供给能力;为分析系统,提供数据源供给;为容灾解决方案,提供底层数据传输手段;为集团式管理,提供数据离线上收能力;为业务及数据上云需求,提供简单低成本的数据上云技术。这些都是优秀的数据保护方案在云环境中均应呈现出来的跨界能力。
我们已身入云时代之中,帮助业务系统在云中运行的更好,这是抛开泡沫后,扎扎实实要考虑的柴米油盐。我们需要将已经在传统架构下非常成熟的数据保护思路,与云中的环境做适配,遵循云环境下的方法论和理念,配合云中业务专家,形成更有针对性的保护方案。

原文始发于微信公众号(无限手套Infinity Gauntlet):云中数据保护管理探讨

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年2月22日18:46:30
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   云中数据保护管理探讨https://cn-sec.com/archives/2516456.html

发表评论

匿名网友 填写信息