應用程序庫軟件一直以來都是大部分企業(yè)的主要應用。這類軟件允許管理員跟蹤企業(yè)所正在使用的應用程序，以確保軟件的使用許可和安全合規(guī)性問題。但是，這種應用程序庫跟蹤的方法對于云計算是存在問題的，也就是說它并不適合跟蹤云計算應用程序。

首先，對于云計算應用程序來說，應用程序庫跟蹤的概念似乎有些過時了。畢竟，云計算應用程序通常都是基于訂閱模式的。這意味著，確保使用許可合規(guī)性的概念已成為過時的概念。但是，這并不是說不需要進行庫跟蹤了。云計算簡單地改變了編制和管理庫的方法，以及編制云計算軟件庫的原因。

盤點云計算應用程序：安全性

當談及云計算應用程序盤點時，我們所關(guān)注的重點已從確保使用許可合規(guī)性轉(zhuǎn)移至控制成本和確保安全性。

安全性是編制基于云計算應用程序庫中最常被忽略的原因之一。對于管理員來說，在驗證應用程序是安全之前就知道用戶們正在使用哪些應用程序是至關(guān)重要的，因此需要編制一個云計算應用程序庫。然而，云計算應用程序庫的安全性內(nèi)涵要比這深入得多。

一些基于云計算的應用程序在配置安全設置上提供了極其有限的方法，但另外一些應用程序所提供的方法則要豐富得多。擁有一個云計算應用程序庫可以使我們識別出那些具有可配置安全選項的應用程序。然后，管理員就可以驗證(如有必要就可重新配置)這些應用程序的安全設置。

對于那些有較高合規(guī)性要求的企業(yè)來說，擁有一個云計算應用程序庫則顯得尤其重要。例如，醫(yī)療保健機構(gòu)就被HIPAA(醫(yī)療電子交換法案)要求確保以安全的方式來存儲和訪問受保護的電子健康數(shù)據(jù)。如果一個組織使用云計算應用程序來訪問這樣一個受保護的數(shù)據(jù)，那么該組織就必須負責確保所使用的云計算應用程序是符合HIPAA要求的。根據(jù)云計算應用程序的本質(zhì)特點，該組織可能還必須在他們的合規(guī)性文檔中明示使用了該應用程序。

云端應用程序庫跟蹤最佳實踐

有時，云計算應用程序會對一個組織的安全性帶來直接的威脅。在過去的幾年中，就已出現(xiàn)過無數(shù)個跟蹤在線活動或包含某種形式間諜軟件的云計算應用程序例子了。對這些類型云計算應用程序的最好的保護應當是一個強有力的政策，由它來規(guī)定在云計算應用程序被使用之前它們必須得到IT部門的授權(quán)。當然，對于組織中個別部門已經(jīng)使用了不同云計算應用程序的情況來說，這樣的政策已基本不起任何的保護作用了。一個集中式的云計算應用程序庫可以幫助我們確定目前正在使用的云計算應用程序。這樣一來，企業(yè)就可以研究不同的應用程序以確定是否存在著任何嚴重的安全漏洞。

構(gòu)建一個云計算應用程序庫

似乎并不存在著這么一個專為編制云計算應用程序庫報告而設計的應用程序。在這樣的情況下，企業(yè)可能會考慮沿用他們現(xiàn)有使用許可軟件的方式，這樣他們就可以開始跟蹤云計算應用程序的使用情況。雖然，這個方法一開始可能并不能讓人滿意，但是這終究還是一個辦法。對云計算和內(nèi)部部署兩種情況使用一個單一的應用程序庫應用程序就意味著在一個集中的位置存放所有的軟件庫數(shù)據(jù)。

在盤點云計算應用程序和內(nèi)部部署應用程序之間還是存在著一些關(guān)鍵的差異點的，而這些差異點可能會影響到企業(yè)編制其軟件庫的方法。其中最顯著的差異點就是應用程序庫軟件將無法自動檢測到云計算應用程序。當然只要應用程序庫軟件允許手工輸入應用程序數(shù)據(jù)，那這就不成為一個問題。

但是，市場上的一些軟件庫應用程序是專為已安裝軟件而設計的，它們會周期性地掃描各網(wǎng)絡端點，因此也就不支持手工輸入數(shù)據(jù)了。對于那些希望編制云計算應用程序庫產(chǎn)品的擁有者來說，這可能是一個大問題，因為云計算應用程序?qū)嶋H上并不會被安裝到網(wǎng)絡端點上。

管理員可能會面臨的另一個挑戰(zhàn)是，傳統(tǒng)軟件庫應用程序是專為自動跟蹤軟件使用情況和編制使用許可數(shù)量而設計的。但是，這樣的一個應用程序是沒有辦法知道有多少用戶正在使用云計算應用程序或者是否所有的云計算應用程序都被計入。再次強調(diào)，應由管理員來對該信息進行手工維護。

實際工作中的應用程序庫

就目前而言，維護一個云計算應用程序庫在很大程度上是一個手工的過程。即便如此，花費相當資源來編制和維護這樣一個應用程序庫也是非常值得的，因為這個庫能夠幫助我們管理應用程序的安全控制。

例如，我們可以使用這個庫來確保不使用未經(jīng)授權(quán)的云計算應用程序。很多軟件庫應用程序允許管理員編制一個“禁用軟件”列表。在云計算應用程序的情況下，這個列表可能會包含那些已知有間諜軟件的應用程序或具有違反企業(yè)安全策略已登記在冊漏洞的應用程序?？赡芎茈y記住所有被禁的應用程序，但是一個好的軟件庫應用程序應該可以對正在使用的云計算應用程序和被禁的云計算應用程序列表進行比較，并針對任何的違反情況向管理員提出警告。

此外，我們還可以通過跟蹤使用率的方法來使用這個庫以提高安全性。大多數(shù)企業(yè)都使用一個單獨的工具來跟蹤用戶訪問的網(wǎng)站。我們可以互相參考互聯(lián)網(wǎng)使用報告和云計算應用程序庫報告，以確定哪些云計算應用程序的使用率較高。從安全性的角度來看，這是非常重要的，因為如此多的云計算應用程序都把數(shù)據(jù)保存在云計算服務器中。如果數(shù)據(jù)表明，任意一個特定的云計算應用程序不再被使用，那么企業(yè)的應用程序支持團隊就可以提取這個應用程序的數(shù)據(jù)并取消云計算訂購，從而降低數(shù)據(jù)意外泄漏或因受攻擊而泄漏的機會。

結(jié)論

云計算應用程序的分散性就決定了應用程序訂購是非常容易失控的。當訂購一個新的云計算應用程序時，最好應對誰要求訂購、誰需要訪問以及訂購的目的等信息進行詳細地記錄。有了這樣的信息就會非常易于進行周期性的云計算應用程序庫審核，從而確保企業(yè)所訂購的云計算應用程序仍在被使用。

更重要的是，可以使用云計算應用程序庫來確保企業(yè)的數(shù)據(jù)仍然是安全的。擁有一個集中式的云計算應用程序庫可允許IT人員進行定期檢查，以確保云計算應用程序可繼續(xù)被安全地配置和使用。

作者簡介

Brien M. Posey, MCSE曾為他對Windows 2000 Server和IIS的貢獻而被授予微軟最有價值專業(yè)人士。他擔任一家全國性連鎖醫(yī)院的CEO，并曾為Fort Knox負責IT安全工作。