高校圖書館私有云存儲(chǔ)的安全性問題分析

【摘要】 本文通過分析影響高校圖書館私有云存儲(chǔ)的安全因素，提出了構(gòu)建合理的私有云存儲(chǔ)架構(gòu)，采取數(shù)據(jù)分片存儲(chǔ)與備份策略，應(yīng)用虛擬防火墻技術(shù)加強(qiáng)防護(hù)，采用集成監(jiān)控自我修復(fù)機(jī)制，對(duì)服務(wù)器做定期預(yù)防性維護(hù)等方法，以制定私有云存儲(chǔ)在高校圖書館的應(yīng)用安全措施。

【關(guān)鍵詞】私有云;云存儲(chǔ);存儲(chǔ)安全;圖書館

【作者單位】袁艷，常州信息職業(yè)技術(shù)學(xué)院圖書館。

目前，可供高校圖書館選擇的云存儲(chǔ)模式有 “聯(lián)盟云”模式、“混合云”模式、外包式的租用“公有云”模式以及自建的私有云模式。私有云模式的部署方式可根據(jù)自身單位的情況靈活運(yùn)用，因此比較受青睞。大多數(shù)專家學(xué)者認(rèn)為，私有云是在各單位局域網(wǎng)內(nèi)部部署的，安全性會(huì)相對(duì)較高。但筆者認(rèn)為并非如此，如果私有云存儲(chǔ)配置糟糕或管理不善同樣容易受到攻擊，其安全性也是值得探討的。

一、高校圖書館私有云的架構(gòu)

通用的私有云架構(gòu)有兩種，一種是先虛擬化再集群，另一種是先集群再虛擬化。前者要建立虛擬機(jī)的集群，需要的服務(wù)器數(shù)量小，軟硬件均有高可用性，缺點(diǎn)是部署及配置管理復(fù)雜，空間可能會(huì)造成浪費(fèi)。后者是先將虛擬主機(jī)建立集群，虛擬機(jī)運(yùn)行在集群上，這樣硬件不僅可達(dá)到高可用性，存儲(chǔ)空間也可按需分配，部署及配置管理相對(duì)比較簡(jiǎn)單，缺點(diǎn)是所需服務(wù)器數(shù)量多，軟件無法達(dá)到高可用性。目前市場(chǎng)上提供私有云服務(wù)的有微軟、思科、VMWare等開源軟件。多數(shù)高校采用了后一種模式進(jìn)行構(gòu)建，如蘭州大學(xué)和西南大學(xué)圖書館建立的校內(nèi)私有云平臺(tái)等。

二、影響高校圖書館私有云存儲(chǔ)的安全因素分析

1.網(wǎng)絡(luò)安全

據(jù)調(diào)查，云存儲(chǔ)自應(yīng)用以來，頻頻發(fā)生黑客攻擊導(dǎo)致系統(tǒng)故障及泄密的事件，造成幾次大面積服務(wù)器宕機(jī)?？梢姡瑏碜跃W(wǎng)絡(luò)黑客的惡意攻擊以及各種因素的物理故障所造成的惡性事件，會(huì)對(duì)數(shù)據(jù)的安全存儲(chǔ)造成災(zāi)難性影響。因此，無論是公有云還是私有云，網(wǎng)絡(luò)安全對(duì)其威脅是致命的，網(wǎng)絡(luò)安全至關(guān)重要。

2.服務(wù)器的穩(wěn)定性安全

私有云的架構(gòu)需多個(gè)服務(wù)器的集群，服務(wù)器自身性能的穩(wěn)定性，以及系統(tǒng)軟件如web 軟件、私有云開源軟件等在服務(wù)器上的設(shè)置是否合理;服務(wù)器基礎(chǔ)架構(gòu)的本身是否合理;服務(wù)器中各組建的相互融合，以及服務(wù)器的溫濕度、電源電壓、灰塵等運(yùn)行環(huán)境是否良好，等等，都會(huì)影響私有云存儲(chǔ)整體的安全穩(wěn)定服務(wù)。

3.數(shù)據(jù)安全

數(shù)據(jù)安全是私有云存儲(chǔ)中的重要內(nèi)容。除了依賴網(wǎng)絡(luò)安全及服務(wù)器安全，私有云存儲(chǔ)中數(shù)據(jù)的傳輸、遷移、備份、冗余管理等安全問題依然是私有云存儲(chǔ)的核心安全問題。這主要表現(xiàn)在存儲(chǔ)節(jié)點(diǎn)與管理結(jié)點(diǎn)、客戶端與管理節(jié)點(diǎn)，以及存儲(chǔ)節(jié)點(diǎn)間數(shù)據(jù)傳輸?shù)耐暾?、保密性等安全問題。當(dāng)數(shù)據(jù)在云存儲(chǔ)節(jié)點(diǎn)間進(jìn)行遷移時(shí)，遷移請(qǐng)求的合法性及遷移過程中數(shù)據(jù)的安全性問題，冗余數(shù)據(jù)存儲(chǔ)清理的不及時(shí)也會(huì)影響服務(wù)器的計(jì)算速度，甚至?xí)绊懼鞣?wù)的正確判斷，進(jìn)而造成系統(tǒng)數(shù)據(jù)紊亂，形成安全威脅。

4.訪問對(duì)象控制的安全

在私有云存儲(chǔ)系統(tǒng)中，當(dāng)數(shù)字資源的種類增加或減少、用戶數(shù)量增加時(shí)，系統(tǒng)管理員將根據(jù)用戶對(duì)資源的需求類型更新用戶的訪問權(quán)限。隨著數(shù)量增多，處理的信息數(shù)據(jù)不斷增大，對(duì)用戶權(quán)限的管理任務(wù)將變得十分繁重，安全隱患也會(huì)降低系統(tǒng)的安全性和可靠性。

5.系統(tǒng)管理員操作的安全

私有云存儲(chǔ)作為一個(gè)新型的存儲(chǔ)系統(tǒng)，系統(tǒng)管理員需及時(shí)更新原有的知識(shí)內(nèi)容，熟練掌握私有云系統(tǒng)的基礎(chǔ)架構(gòu)、系統(tǒng)操作管理、系統(tǒng)應(yīng)用管理、用戶服務(wù)與管理、安全管理、預(yù)警系統(tǒng)管理等。若缺少上述知識(shí)和內(nèi)容，沒有安全的網(wǎng)絡(luò)解決方案，私有云存儲(chǔ)系統(tǒng)隨時(shí)有被攻擊的風(fēng)險(xiǎn)。

三、構(gòu)建高校圖書館私有云存儲(chǔ)安全性的對(duì)策

1.構(gòu)建合理的私有云存儲(chǔ)架構(gòu)

高校圖書館可采用先集群再虛擬化的方式進(jìn)行高校圖書館私有云存儲(chǔ)的演進(jìn)式架構(gòu)，以保障后續(xù)投資設(shè)備的更新跟進(jìn)。具體做法如下：首先，配置一個(gè)綜合性能高的服務(wù)器作為主機(jī)，通過對(duì)服務(wù)器虛擬化，將一臺(tái)服務(wù)器虛擬成多臺(tái)服務(wù)器來使用;然后，通過云存儲(chǔ)管理軟件的集群技術(shù)實(shí)現(xiàn)存儲(chǔ)虛擬化;最后，部署云存儲(chǔ)的管理層和應(yīng)用層以及客戶端設(shè)置。此構(gòu)建方法不僅可大大提高存儲(chǔ)空間的利用率，還可以進(jìn)行有效的監(jiān)控和管理。

在進(jìn)行中心數(shù)據(jù)服務(wù)器配置時(shí)，可采用分布式文件系統(tǒng)進(jìn)行布局。在進(jìn)行功能模塊劃分時(shí)，不僅要有用戶管理模塊、管理用戶模塊、文件目錄管理模塊、文件管理模塊，還應(yīng)有私有云共享模塊、私有云的客戶端模塊等。在基礎(chǔ)設(shè)施架構(gòu)上，要關(guān)注網(wǎng)絡(luò)基礎(chǔ)設(shè)施的物理安全、環(huán)境安全、主機(jī)安全等。在服務(wù)平臺(tái)方面要注意運(yùn)行安全，加強(qiáng)硬件和軟件系統(tǒng)運(yùn)行的穩(wěn)定性。在應(yīng)用程序上，關(guān)注的安全問題主要是軟件的應(yīng)用環(huán)境安全等。

2.采取數(shù)據(jù)分片存儲(chǔ)與備份策略

目前，云存儲(chǔ)系統(tǒng)中的數(shù)據(jù)多采用以文件為單位進(jìn)行存儲(chǔ)，這樣容易造成服務(wù)器中獨(dú)立節(jié)點(diǎn)負(fù)載過大。對(duì)高校圖書館來說，并不是所有的數(shù)據(jù)都需要備份，可采用數(shù)據(jù)分割后的分片存儲(chǔ)和備份，將大量數(shù)據(jù)保存到不同的存儲(chǔ)節(jié)點(diǎn)上，這樣即使其中幾個(gè)分片數(shù)據(jù)丟失，也不會(huì)造成重要信息完全泄露，保證了數(shù)據(jù)的安全性。同時(shí)，可實(shí)現(xiàn)服務(wù)器的負(fù)載均衡，提高系統(tǒng)處理數(shù)據(jù)的能力。

廣東工業(yè)大學(xué)的錢進(jìn)進(jìn)在其碩士論文中提出了“一種基于ID特征碼的數(shù)據(jù)分片與備份策略”，當(dāng)相應(yīng)的存儲(chǔ)區(qū)節(jié)點(diǎn)全部有效時(shí)，經(jīng)過一次計(jì)算找到最后一個(gè)分塊的存儲(chǔ)節(jié)點(diǎn)即可完成一個(gè)文件的第一個(gè)副本所有分塊的存儲(chǔ)節(jié)點(diǎn);當(dāng)有失效節(jié)點(diǎn)時(shí)，需要存儲(chǔ)在失效節(jié)點(diǎn)上的文件塊隨機(jī)地分配在該區(qū)的有效節(jié)點(diǎn)上，可減少主服務(wù)器的CPU負(fù)荷，提高系統(tǒng)效率。不同的副本存儲(chǔ)在不同的區(qū)，當(dāng)系統(tǒng)中任何兩個(gè)區(qū)的所有存儲(chǔ)節(jié)點(diǎn)服務(wù)器全部宕機(jī)時(shí)，所有用戶的數(shù)據(jù)都至少存在一個(gè)副本，提高了系統(tǒng)的可靠性和可用性。

3.應(yīng)用虛擬防火墻技術(shù)加強(qiáng)防護(hù)

防火墻的部署模式和擺放位置不同會(huì)直接影響管理的靈活性和安全效果。常用的防火墻部署做法一般有三種，一是在線部署防火墻，將防火墻串聯(lián)于網(wǎng)絡(luò)中，所有訪問均經(jīng)過防火墻，安全性較高。缺點(diǎn)是防火墻若出現(xiàn)單點(diǎn)故障，則會(huì)影響使用。二是將防火墻掛在交換機(jī)兩側(cè)，訪問時(shí)可選擇性地經(jīng)過防火墻，不容易產(chǎn)生性能瓶頸，但流量需多次在防火墻和交換機(jī)的不同接口上迂回，部署策略復(fù)雜。三是將防火墻模塊集成在交換機(jī)內(nèi)進(jìn)行插卡部署，這樣不容易產(chǎn)生單點(diǎn)故障，可靠性好，性能高，缺點(diǎn)是防火墻串在各層的網(wǎng)關(guān)交換機(jī)之間，無法實(shí)現(xiàn)管理網(wǎng)和數(shù)據(jù)網(wǎng)的整合。

中國(guó)電子研究所的敖勇提出的“虛擬防火墻+扁平化”部署模式可供高校圖書館私有云借鑒。具體做法是，將一臺(tái)防火墻在邏輯上劃分成多臺(tái)虛擬的防火墻，通過將不同層的網(wǎng)關(guān)交換機(jī)整合到云數(shù)據(jù)中心的一臺(tái)（組）交換機(jī)上，擁有獨(dú)立的系統(tǒng)資源、管理員、安全策略、用戶認(rèn)證數(shù)據(jù)庫等。這種架構(gòu)設(shè)計(jì)將管理網(wǎng)和數(shù)據(jù)網(wǎng)絡(luò)進(jìn)行整合，能使跨層間的網(wǎng)絡(luò)訪問根據(jù)安全設(shè)計(jì)要求經(jīng)過防火墻進(jìn)行轉(zhuǎn)發(fā)，也可以不經(jīng)過防火墻進(jìn)行轉(zhuǎn)發(fā)。同時(shí)為網(wǎng)絡(luò)提供按需服務(wù)，這樣既便于管理，又提高了云數(shù)據(jù)中心的安全性。

4.采用集成監(jiān)控自我修復(fù)機(jī)制

圖書館自建的私有云存儲(chǔ)雖然放在了層層防火墻的保護(hù)中，但在運(yùn)行中仍會(huì)因?yàn)楦鞣N因素而出現(xiàn)問題。因此，采用集成監(jiān)控和自我修復(fù)機(jī)制來提高系統(tǒng)安全性很有必要。集成監(jiān)控的作用是通過檢測(cè)隱藏進(jìn)程，驗(yàn)證關(guān)鍵程序的運(yùn)行狀態(tài)，有效地檢測(cè)出運(yùn)行在虛擬機(jī)上的惡意程序，然后把該進(jìn)程的病毒文件特征提交給防火墻，通過防火墻的狀態(tài)及時(shí)提醒管理人員進(jìn)行維護(hù)。自我修復(fù)機(jī)制是由監(jiān)視器對(duì)整個(gè)私有云的基礎(chǔ)構(gòu)架、性能、網(wǎng)絡(luò)等運(yùn)行狀態(tài)進(jìn)行監(jiān)測(cè)，發(fā)現(xiàn)問題時(shí)，由分析決策器自動(dòng)對(duì)報(bào)警信息進(jìn)行關(guān)聯(lián)分析，等問題確認(rèn)后由執(zhí)行器發(fā)起修復(fù)措施。同時(shí)，系統(tǒng)發(fā)出報(bào)警通知，以便管理人員能及時(shí)查看系統(tǒng)狀態(tài)。

5.定期對(duì)服務(wù)器進(jìn)行維護(hù)

定期對(duì)服務(wù)器進(jìn)行維護(hù)也是提高私有云存儲(chǔ)系統(tǒng)安全性和穩(wěn)定性的基礎(chǔ)。維護(hù)內(nèi)容主要包括對(duì)服務(wù)器冗余數(shù)據(jù)的管理、現(xiàn)有硬件及固件的補(bǔ)丁和升級(jí)、錯(cuò)誤日志的排查、設(shè)備運(yùn)行的清潔以及網(wǎng)絡(luò)光纖接口插口的牢固等。對(duì)高校圖書館而言，采用私有云存儲(chǔ)比租用公有云存儲(chǔ)容易實(shí)現(xiàn)。隨著技術(shù)的發(fā)展，尤其是一些安全技術(shù)如端點(diǎn)檢測(cè)、沙盒分析、入侵指標(biāo)等的應(yīng)用，高校圖書館可嘗試采用新的安全技術(shù)在保證數(shù)據(jù)安全的同時(shí)，提供高質(zhì)量的服務(wù)。

[1]施蓉蓉. 高校圖書館數(shù)字資源云存儲(chǔ)模式探究[J]. 江西圖書館學(xué)刊，2012（3）：32-34.

[2]經(jīng)冬鋆. 高校圖書館云存儲(chǔ)基礎(chǔ)存儲(chǔ)層架構(gòu)安全問題對(duì)策[J]. 圖書館學(xué)研究，2014（1）：38-41.

[3]胡秀建等. 私有云架構(gòu)下的信息安全模型分析[J]. 通化師范學(xué)院學(xué)報(bào)，2012（12）.

[4]錢進(jìn)進(jìn). 私有云安全存儲(chǔ)技術(shù)的研究與實(shí)現(xiàn)[D]. 廣東工業(yè)大學(xué)，2013.

[5]敖勇. 私有云數(shù)據(jù)中心網(wǎng)絡(luò)及安全設(shè)計(jì)[J]. 信息安全與通信保密，2014（7）：87-89.

[6]曹立銘，趙逢禹. 私有云平臺(tái)上的虛擬機(jī)進(jìn)程安全檢測(cè)[J]. 計(jì)算機(jī)應(yīng)用研究，2013（5）：1495-1499.