基于云計(jì)算的信息安全研究

孟慶偉 張 玉 劉 婷

（鄭州師范學(xué)院，河南 鄭州 450044）

云計(jì)算（cloud computing）是一種因特網(wǎng)的超級(jí)計(jì)算模式，是當(dāng)前全球IT界共同關(guān)注的熱點(diǎn)。云計(jì)算是基于虛擬化技術(shù)快速部署云端的資源以獲取服務(wù)，通過互聯(lián)網(wǎng)讓云端的用戶方便的參與海量的信息處理。云計(jì)算給終端用戶提供超強(qiáng)的計(jì)算能力和海量的虛擬化資源，終端用戶體驗(yàn)到云計(jì)算優(yōu)越性的同時(shí)，也開始成為各種惡意組織或黑客為某種利益攻擊的目標(biāo)。組成云的各種軟硬件系統(tǒng)等資源依然面對(duì)傳統(tǒng)網(wǎng)絡(luò)環(huán)境中所面對(duì)的各種病毒、木馬、和惡意的攻擊，云計(jì)算的信息安全值得我們高度關(guān)注。

1 云計(jì)算

云計(jì)算是一個(gè)完全由第三方提供計(jì)算資源的新的計(jì)算理念，它由大量計(jì)算機(jī)群組成，動(dòng)態(tài)的分配資源，實(shí)時(shí)監(jiān)控資源的部署和分配情況，提供可托管的應(yīng)用程序環(huán)境。廣義的云計(jì)算是指服務(wù)的交付和使用模式，指通過網(wǎng)絡(luò)以按需、易擴(kuò)展的方式獲得所需的服務(wù)。狹義的云計(jì)算是指IT基礎(chǔ)設(shè)施的交付和使用模式，指通過網(wǎng)絡(luò)以按需、易擴(kuò)展的方式獲得所需的資源(硬件、平臺(tái)、軟件)。云計(jì)算中的服務(wù)根據(jù)提供的服務(wù)層次可以分為軟件即服務(wù)(software as a service SaaS)、平臺(tái)即服務(wù)(platform as a service PaaS)和基礎(chǔ)設(shè)施即服務(wù)(infrastructure a service IaaS)3個(gè)層次。提供軟件資源的網(wǎng)絡(luò)被稱為"云"。存在于互聯(lián)網(wǎng)的服務(wù)器、存儲(chǔ)器、CPU等硬件資源和應(yīng)用軟件、集成開發(fā)環(huán)境等資源可以按使用者的需求隨時(shí)獲取，隨時(shí)擴(kuò)展，并按使用情況付費(fèi)。

2 云計(jì)算的優(yōu)勢(shì)

云計(jì)算將計(jì)算任務(wù)分布在大量的計(jì)算機(jī)構(gòu)成的資源池上，通過網(wǎng)絡(luò)按需提供可動(dòng)態(tài)伸縮的廉價(jià)計(jì)算服務(wù)。云中的資源對(duì)使用者來說可以隨時(shí)獲取，隨時(shí)擴(kuò)展，按需使用，按使用付費(fèi)。

2.1 終端用戶投入低，效益高。

云計(jì)算模式中，互聯(lián)網(wǎng)的計(jì)算架構(gòu)由“服務(wù)器+客戶端”向“云服務(wù)平臺(tái)+客戶端”模式演變。用戶不用投入大量的資金用于配置大型機(jī)和購(gòu)買昂貴的高性能設(shè)備，也不需要花費(fèi)資金來更換陳舊的設(shè)備，只需一臺(tái)PC機(jī)作為終端就可以登錄到云系統(tǒng)中直接使用其高性能的資源。通過虛擬化、自動(dòng)化等云計(jì)算關(guān)鍵技術(shù)，智能、動(dòng)態(tài)地調(diào)配各種資源，如計(jì)算、存儲(chǔ)、帶寬、硬件、軟件等。

2.2 用戶使用方便

用戶可以在任何地方通過瀏覽器在“云”的另一端運(yùn)行程序和數(shù)據(jù)，可以和相關(guān)人員隨時(shí)分享信息，不用擔(dān)心機(jī)器上是否安裝了應(yīng)用軟件，或擔(dān)心是不是最新的版本。云計(jì)算可以輕松實(shí)現(xiàn)不同設(shè)備間的數(shù)據(jù)與應(yīng)用共享，實(shí)現(xiàn)云計(jì)算中"一切皆服務(wù)"的理念。

2.3 數(shù)據(jù)存儲(chǔ)安全

云計(jì)算提供最安全最可靠的數(shù)據(jù)存儲(chǔ)中心，不僅能夠確保數(shù)據(jù)的隱私性，而且確保數(shù)據(jù)不會(huì)受到破壞。因?yàn)樵凇霸啤崩镉凶顚I(yè)的團(tuán)隊(duì)來幫忙管理信息；有先進(jìn)的數(shù)據(jù)中心來保存數(shù)據(jù)；有專業(yè)的計(jì)算機(jī)維護(hù)人員來管理維護(hù)硬件，升級(jí)軟件；有專門的殺毒軟件幫忙防范病毒的攻擊和網(wǎng)絡(luò)攻擊。用戶不用擔(dān)心自己的數(shù)據(jù)丟失或病毒入侵等。

2.4 充分利用資源共享

云計(jì)算提供不同服務(wù)器間數(shù)據(jù)共享環(huán)境，有效擴(kuò)大信息資源的共享范圍。云計(jì)算將分散在不同服務(wù)器上的數(shù)據(jù)庫(kù)統(tǒng)一起來，為用戶提供一站式服務(wù)。云計(jì)算模式可以在技術(shù)和管理上將分布式存儲(chǔ)的數(shù)據(jù)庫(kù)和一站式的檢索界面結(jié)合起來，幫助用戶高質(zhì)量的完成任務(wù)。

3 云計(jì)算帶來的安全挑戰(zhàn)

云計(jì)算時(shí)代的安全設(shè)備和安全措施的部署位置不同，安全的主體也由用戶自己保證安全變?yōu)橛稍朴?jì)算服務(wù)提供商來保證安全，云計(jì)算雖然改變了服務(wù)方式，但并沒有顛覆傳統(tǒng)的安全模式，因此用戶使用云計(jì)算仍將面臨信息安全風(fēng)險(xiǎn)。

信息安全是指信息網(wǎng)絡(luò)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，保證信息的保密性、真實(shí)性、完整性、未授權(quán)拷貝和所寄生系統(tǒng)的安全性，信息服務(wù)不中斷。

3.1 云計(jì)算服務(wù)提供商的風(fēng)險(xiǎn)

(1)服務(wù)質(zhì)量問題

云服務(wù)提供商的硬件設(shè)施遭到損壞或故障，或云計(jì)算服務(wù)提供商維持不了經(jīng)營(yíng)時(shí)，能否提供相應(yīng)的措施來保障正常的服務(wù)。如：亞馬遜云計(jì)算中心宕機(jī)，包括回答服務(wù)Quora、新聞服務(wù)Reddit、Hootsuite和位置跟蹤服務(wù)FourSquare在內(nèi)的一些網(wǎng)站都受到了影響。但相關(guān)的法律制度不建全，各云服務(wù)提供商都有自己的標(biāo)準(zhǔn)，云服務(wù)提供商的服務(wù)協(xié)議中盡可能地規(guī)避大部分風(fēng)險(xiǎn)，亞馬遜連續(xù)4天宕機(jī)事故競(jìng)不違反和用戶簽訂的"霸王"服務(wù)水平協(xié)議。

(2)用戶的隱私問題

云服務(wù)提供商是否會(huì)以越權(quán)的方式訪問或使用用戶的數(shù)據(jù)，掌握企業(yè)信息、客戶信息等敏感的商業(yè)數(shù)據(jù)。多主租用架構(gòu)下用戶分享基礎(chǔ)設(shè)施，如何防止用戶間有意或無意的"窺視"行為？當(dāng)用戶的隱私被侵犯時(shí)，云服務(wù)提供商是否支持用戶調(diào)查。云計(jì)算應(yīng)用在設(shè)計(jì)之初已采用諸如"數(shù)據(jù)標(biāo)記"等技術(shù)以防非法訪問混合數(shù)據(jù)，但是通過應(yīng)用程序的漏洞，非法訪問還是會(huì)發(fā)生。另外，云服務(wù)提供商必須能向用戶確保：在信息所占存儲(chǔ)空間被釋放或再分配給其他云用戶之前，相關(guān)信息能得到完全清除（無論其信息存放在硬盤還是在內(nèi)存中），避免數(shù)據(jù)殘留泄露敏感信息。

(3)網(wǎng)絡(luò)安全問題

網(wǎng)絡(luò)是云存儲(chǔ)和云服務(wù)的基礎(chǔ)和媒介，云計(jì)算所采用的技術(shù)和服務(wù)同樣面臨著網(wǎng)絡(luò)安全問題，如：網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，利用大規(guī)模僵尸網(wǎng)絡(luò)進(jìn)行的拒絕服務(wù)攻擊（DDOS）、漏洞攻擊、木馬惡意程序入侵等。識(shí)別和查殺病毒不再僅僅依靠本地硬盤中的病毒庫(kù)，而是依靠龐大的網(wǎng)絡(luò)服務(wù)，實(shí)時(shí)進(jìn)行采集、分析以及處理。云計(jì)算服務(wù)提供商要采用防火墻保證不被非法訪問，使用殺毒軟件保證機(jī)器不被染毒，要防止入侵，保證數(shù)據(jù)信息不被竊取。

3.2 云計(jì)算用戶的風(fēng)險(xiǎn)

(1)選取可靠的云計(jì)算服務(wù)提供商

用戶在使用以前，要了解云計(jì)算的風(fēng)險(xiǎn)，選取可靠的、商業(yè)信譽(yù)好的云計(jì)算服務(wù)提供商。慎重將企業(yè)信息、客戶信息等數(shù)據(jù)放在云端，增強(qiáng)安全防范意識(shí)，數(shù)據(jù)加密后再放入云端，保證存儲(chǔ)在云端的數(shù)據(jù)只能以密文的形式存在。注意密碼的保密性。

(2)做好備份，防止數(shù)據(jù)丟失

放在云端的數(shù)據(jù)要經(jīng)常備份，以免在云計(jì)算服務(wù)受到攻擊或云計(jì)算資源受到破壞時(shí)數(shù)據(jù)丟失的情況下數(shù)據(jù)得不到恢復(fù)。

(3)建立自己“私有云”

用戶絕不要將具有競(jìng)爭(zhēng)優(yōu)勢(shì)或包含用戶敏感信息的應(yīng)用軟件放在公共“云”上。重要數(shù)據(jù)放在自己建立的私有云中，擁有私有云的控制權(quán)，自主控制數(shù)據(jù)的安全性。

(4)注意數(shù)據(jù)殘留的問題。

數(shù)據(jù)殘留是數(shù)據(jù)在被以某種形式擦除后所殘留的物理表現(xiàn)，存儲(chǔ)介質(zhì)被擦除后可能留有一些物理特性使數(shù)據(jù)能夠被重建，在云計(jì)算環(huán)境中，數(shù)據(jù)殘留更有可能會(huì)無意泄露敏感信息，用戶要密切關(guān)注殘留數(shù)據(jù)是否能得到完全清除。

結(jié)束語

云計(jì)算作為一種新型服務(wù)模式，具備了眾多的優(yōu)勢(shì)和商機(jī)，并將對(duì)IT產(chǎn)業(yè)的諸多方面產(chǎn)生積極影響。但同時(shí)必須意識(shí)到云計(jì)算上存在著信息安全問題，只有正視并有效解決云計(jì)算面臨的這些挑戰(zhàn)，云計(jì)算才能更好地被用戶接受。趨勢(shì)、瑞星、卡巴斯基、賽門鐵克、金山、360安全衛(wèi)士等都推出了“云安全”的解決方案來保證信息安全，我們也要增強(qiáng)安全意識(shí)，及早發(fā)現(xiàn)并采取必要的防范措施來確保信息安全。

[1]余娟娟.淺析“云安全”技術(shù)[J].計(jì)算機(jī)安全，2011(09)：39-44.

[2]汪兆成.基于云計(jì)算模式的信息安全風(fēng)險(xiǎn)評(píng)估研究[A].第26次全國(guó)計(jì)算機(jī)安全學(xué)術(shù)交流會(huì)論文集[C].2011(9).

[3]蔡盈芳.基于云計(jì)算的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估研究[J].中國(guó)管理信息化，2010(06)：75-77.

[4]葉加龍，張公讓.云計(jì)算和信息安全[J].價(jià)值工程，2011（02）：184-185.