云安全技術(shù)探究

牛延莉+周坤+張化+孔令梅+曾超

摘要：云計(jì)算技術(shù)是當(dāng)前產(chǎn)業(yè)界和學(xué)術(shù)界的研究熱點(diǎn)，被認(rèn)為是改變世界的十大科技之一。云計(jì)算技術(shù)的廣泛應(yīng)用，不僅推動(dòng)了國(guó)民經(jīng)濟(jì)的飛速發(fā)展，也日益影響著人類的生活方式。在享受云計(jì)算技術(shù)帶來(lái)好處的同時(shí)，切實(shí)做好云安全（cloudSecurity）技術(shù)保障，充分發(fā)揮云計(jì)算技術(shù)的長(zhǎng)處，意義重大。

關(guān)鍵詞：云計(jì)算技術(shù)；云安全

美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院認(rèn)為，云計(jì)算技術(shù)是一種資源利用模式，它能以簡(jiǎn)便的途徑和以按需的方式通過(guò)網(wǎng)絡(luò)訪問(wèn)可配置的計(jì)算資源（網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)、應(yīng)用、服務(wù)等），這些資源可快速部署，并能以最小的管理代價(jià)或只需服務(wù)提供商開(kāi)展少量的工作就可實(shí)現(xiàn)資源發(fā)布?？v觀云計(jì)算技術(shù)的概念和實(shí)際應(yīng)用，可以看出云計(jì)算技術(shù)有兩個(gè)特點(diǎn)。一是互聯(lián)網(wǎng)的基礎(chǔ)服務(wù)資源如服務(wù)器的硬件，軟件，數(shù)據(jù)和應(yīng)用服務(wù)開(kāi)始于集中和統(tǒng)一；二是互聯(lián)網(wǎng)用戶不需再重復(fù)消耗大量資源，建立獨(dú)立的軟硬件設(shè)施和維護(hù)人員隊(duì)伍，只需通過(guò)互聯(lián)網(wǎng)接受云計(jì)算技術(shù)提供商的服務(wù)，就可以實(shí)現(xiàn)自己需要的功能。云計(jì)算技術(shù)的研究應(yīng)用，不僅推動(dòng)了經(jīng)濟(jì)的飛速發(fā)展，而且也影響著人類的生活方式。思科預(yù)測(cè)，到2020年，三分之一的數(shù)據(jù)都將存儲(chǔ)在云上或通過(guò)云進(jìn)行存儲(chǔ)。目前，推動(dòng)移動(dòng)互聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)等與現(xiàn)代制造業(yè)結(jié)合，被寫入了政府工作報(bào)告。因此，加強(qiáng)云計(jì)算技術(shù)的研究和應(yīng)用，特別是與現(xiàn)代制造業(yè)相結(jié)合，對(duì)我國(guó)經(jīng)濟(jì)的發(fā)展和人民生活水平的提高A2.重大。在加強(qiáng)云計(jì)算技術(shù)應(yīng)用推廣的同時(shí)，做好云安全（Cloud Security）防護(hù)則顯得尤為重要。

1 云安全概念

最早提出“云安全”這一概念的是趨勢(shì)科技，2008年5月，趨勢(shì)科技在美國(guó)正式推出了“云安全”技術(shù)。云安全技術(shù)是網(wǎng)絡(luò)時(shí)代信息安全的最新體現(xiàn)，它融合了并行處理、網(wǎng)格計(jì)算、未知病毒行為判斷等新興技術(shù)和概念，通過(guò)網(wǎng)狀的大量客戶端對(duì)網(wǎng)絡(luò)中軟件行為的異常監(jiān)測(cè)，獲取互聯(lián)網(wǎng)中木馬、惡意程序的最新信息，推送到Server端進(jìn)行自動(dòng)分析和處理，再把病毒和木馬的解決方案分發(fā)到每一個(gè)客戶端。云安全技術(shù)是P2P技術(shù)、網(wǎng)格技術(shù)、云計(jì)算技術(shù)等分布式計(jì)算技術(shù)混合發(fā)展、自然演化的結(jié)果。云安全是繼云計(jì)算技術(shù)、云存儲(chǔ)之后出現(xiàn)的“云”技術(shù)的重要應(yīng)用，是傳統(tǒng)IT領(lǐng)域安全概念在云計(jì)算時(shí)代的延伸，已經(jīng)在反病毒軟件中取得了廣泛地應(yīng)用，發(fā)揮了良好的效果。在病毒與反病毒軟件的技術(shù)競(jìng)爭(zhēng)當(dāng)中為反病毒軟件奪得了先機(jī)。云安全是我國(guó)企業(yè)創(chuàng)造的概念，在國(guó)際云計(jì)算技術(shù)領(lǐng)域獨(dú)樹(shù)一幟。“云安全”的概念在早期曾經(jīng)引起過(guò)不小爭(zhēng)議，已經(jīng)被普遍接受。值得一提的是，中國(guó)網(wǎng)絡(luò)安全企業(yè)在“云安全”的技術(shù)應(yīng)用上走到了世界前列，金山毒霸、瑞星等公司都相繼推出了云安全產(chǎn)品。

2 云計(jì)算技術(shù)存在的安全問(wèn)題

隨著云計(jì)算技術(shù)的不斷發(fā)展，安全性問(wèn)題將成為企業(yè)高端、金融機(jī)構(gòu)和政府IT部門的核心和關(guān)鍵性問(wèn)題，也直接關(guān)系到云計(jì)算技術(shù)產(chǎn)業(yè)能否持續(xù)健康發(fā)展。云計(jì)算技術(shù)涉及三個(gè)層面的安全問(wèn)題。

2.1 云計(jì)算用戶的數(shù)據(jù)和應(yīng)用安全。

在用戶數(shù)據(jù)方面，云用戶和提供商需要避免數(shù)據(jù)丟失和被竊。如今，個(gè)人和企業(yè)數(shù)據(jù)加密都是強(qiáng)烈推薦的，甚至有些情況下是世界范圍法律法規(guī)強(qiáng)制要求的。云用戶希望他們的提供商為其加密數(shù)據(jù)，以確保無(wú)論數(shù)據(jù)物理上存儲(chǔ)在哪里都受到保護(hù)。同樣的，云提供商也需要保護(hù)其用戶的敏感數(shù)據(jù)。云計(jì)算技術(shù)中對(duì)數(shù)據(jù)的安全控制力度并不是十分理想，API訪問(wèn)權(quán)限控制以及密鑰生成、存儲(chǔ)和管理方面的不足都可能造成數(shù)據(jù)泄漏，并且還可能缺乏必要的數(shù)據(jù)銷毀政策。同時(shí)，數(shù)據(jù)的完整性、可用性以及數(shù)據(jù)的可恢復(fù)性，都需要云計(jì)算技術(shù)去考慮。在應(yīng)用安全方面，由于云環(huán)境的靈活性、開(kāi)放性、以及公眾可用性這些特性，在SaaS、PaaS、IaaS的所有層面，運(yùn)行的應(yīng)用程序安全設(shè)計(jì)也至關(guān)重要。同時(shí)，應(yīng)用層的安全認(rèn)證、審計(jì)以及數(shù)據(jù)的訪問(wèn)權(quán)限控制也需要考慮。

2.2 云計(jì)算服務(wù)平臺(tái)自身的安全。

包括了云計(jì)算平臺(tái)的硬件基礎(chǔ)設(shè)施安全、共享技術(shù)安全和web安全等問(wèn)題。在硬件基礎(chǔ)設(shè)施方面，如網(wǎng)絡(luò)、主機(jī)/存儲(chǔ)等核心IT設(shè)備，網(wǎng)絡(luò)層面的設(shè)備需要考慮包括網(wǎng)絡(luò)訪問(wèn)控制（如防火墻），傳輸數(shù)據(jù)加密（如SSL、IPSec），安全事件日志，基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)/入侵防御系統(tǒng)（IDS/IPS）等安全問(wèn)題，主機(jī)層面的設(shè)備需要考慮包括主機(jī)防火墻、訪問(wèn)控制、安裝補(bǔ)丁、系統(tǒng)鞏固、強(qiáng)認(rèn)證、安全事件日志、基于主機(jī)的入侵檢測(cè)系統(tǒng)/入侵防御系統(tǒng)等安全問(wèn)題。在共享技術(shù)方面，如在云計(jì)算中，簡(jiǎn)單的錯(cuò)誤配置都可能造成嚴(yán)重影響，因?yàn)樵朴?jì)算環(huán)境中的很多虛擬服務(wù)器共享著相同的配置，因此必須為網(wǎng)絡(luò)和服務(wù)器配置執(zhí)行服務(wù)水平協(xié)議（SLA）以確保及時(shí)安裝修復(fù)程序以及實(shí)施最佳做法。在web安全方面，云計(jì)算模式中，Web應(yīng)用是用戶最直觀的體驗(yàn)窗口，也是唯一的應(yīng)用接口。而近幾年風(fēng)起云涌的各種Web攻擊手段，則直接影響到云計(jì)算的順利發(fā)展。

2.3 云計(jì)算資源的濫用。

主要包括2個(gè)方面，一是使用外掛搶占免費(fèi)試用主機(jī)，甚至惡意欠費(fèi)，因?yàn)樵朴?jì)算的許多業(yè)務(wù)屬于后付費(fèi)業(yè)務(wù)，惡意用戶可能使用虛假信息注冊(cè)，不停的更換信息使用資源，導(dǎo)致云服務(wù)提供商產(chǎn)生資損。另一方面，許多攻擊者也會(huì)租用云服務(wù)器，進(jìn)行垃圾郵件發(fā)送、攻擊掃描、欺詐釣魚(yú)之類的活動(dòng)。

這些安全問(wèn)題實(shí)際上在傳統(tǒng)的信息系統(tǒng)和互聯(lián)網(wǎng)服務(wù)中也存在，只不過(guò)云計(jì)算技術(shù)業(yè)務(wù)高彈性、大規(guī)模、分布化的特性使這些安全問(wèn)題變得更加突出。同時(shí)云計(jì)算技術(shù)的資源訪問(wèn)透明和加密傳輸通道等特性給信息監(jiān)管帶來(lái)了挑戰(zhàn)，使得對(duì)信息發(fā)布和傳輸途徑的定位跟蹤變得異常困難。安全是云計(jì)算技術(shù)面臨的首要問(wèn)題。Google等云計(jì)算服務(wù)提供商造成的數(shù)據(jù)丟失和泄漏事件時(shí)有發(fā)生，這表明云計(jì)算的安全性和可靠性仍有待提高。根據(jù)IDC的調(diào)查結(jié)果，將近75%的受訪企業(yè)認(rèn)為安全是云計(jì)算發(fā)展路途上的最大挑戰(zhàn)。相當(dāng)數(shù)量的個(gè)人用戶對(duì)云計(jì)算服務(wù)尚未建立充分的信任感，不敢把個(gè)人資料上傳到“云”中，而觀念上的轉(zhuǎn)變和行為習(xí)慣的改變則非一日之功。安全已經(jīng)成為云計(jì)算業(yè)務(wù)拓展的主要困擾。

3 云安全防護(hù)措施

針對(duì)云計(jì)算技術(shù)中暴露出的一些安全問(wèn)題，必須強(qiáng)化云安全防護(hù)措施，這樣才能讓用戶滿意。云安全防護(hù)措施主要有以下幾項(xiàng)。

3.1 強(qiáng)化數(shù)據(jù)安全和應(yīng)用安全。

數(shù)據(jù)安全技術(shù)包括諸如數(shù)據(jù)隔離、數(shù)據(jù)加密解密、身份認(rèn)證和權(quán)限管理，保障用戶信息的可用性、保密性和完整性。密碼學(xué)界正在努力研究謂詞加密等新方法，避免在云計(jì)算中處理數(shù)據(jù)時(shí)對(duì)數(shù)據(jù)進(jìn)行解密，近期公布的完全同態(tài)加密方法所實(shí)現(xiàn)的加密數(shù)據(jù)處理功能，都大大地推進(jìn)了云計(jì)算的數(shù)據(jù)安全?；谠朴?jì)算的應(yīng)用軟件，需要經(jīng)過(guò)類似于DMZ區(qū)部署的應(yīng)用程序那樣的嚴(yán)格設(shè)計(jì)。這包括深入的前期分析，涵蓋傳統(tǒng)的如何管理信息的機(jī)密性、完整性、以及可用性等方面。在安全認(rèn)證方面，可通過(guò)單點(diǎn)登錄認(rèn)證、強(qiáng)制用戶認(rèn)證、代理、協(xié)同認(rèn)證、資源認(rèn)證、不同安全域之間的認(rèn)證或者不同認(rèn)證方式相結(jié)合的方式，有效防止云資源濫用問(wèn)題。在權(quán)限控制方面，服務(wù)提供商和用戶提供不同的權(quán)限，對(duì)數(shù)據(jù)的安全提供保證。用戶應(yīng)該擁有完全的控制權(quán)限，對(duì)服務(wù)提供商限制權(quán)限。

3.2 強(qiáng)化基礎(chǔ)平臺(tái)的軟硬件安全。

對(duì)于云計(jì)算平臺(tái)的網(wǎng)絡(luò)和主機(jī)設(shè)備，加強(qiáng)安全防護(hù)，可以通過(guò)網(wǎng)絡(luò)訪問(wèn)控制（如防火墻），傳輸數(shù)據(jù)加密（如SSL、IPSec），安全事件日志，基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)/入侵防御系統(tǒng)（IDS/IPS）等強(qiáng)化網(wǎng)絡(luò)安全，通過(guò)主機(jī)防火墻、訪問(wèn)控制、安裝補(bǔ)丁、系統(tǒng)鞏固、強(qiáng)認(rèn)證、安全事件日志、基于主機(jī)的入侵檢測(cè)系統(tǒng)/入侵防御系統(tǒng)等強(qiáng)化主機(jī)安全，控制防止非法用戶使用云計(jì)算資源；對(duì)于合法用戶的惡意使用，則可以通過(guò)審計(jì)日志來(lái)實(shí)現(xiàn)事后的追查。為了達(dá)到云計(jì)算終端到終端的安全，用戶保持瀏覽器的良好安全狀態(tài)是很必要的，這就需要對(duì)瀏覽器安裝補(bǔ)丁和升級(jí)以降低瀏覽器漏洞的威脅。此外，針對(duì)目前幾種典型的云計(jì)算模式，部分廠商采取了細(xì)化應(yīng)用安全防護(hù)的手段，針對(duì)不同的應(yīng)用，提供專業(yè)級(jí)的網(wǎng)關(guān)安全產(chǎn)品。在數(shù)據(jù)共享方面，可以根據(jù)用戶的需求，建立所需的云服務(wù)，即SaaS（軟件即服務(wù)）、PaaS（平臺(tái)即服務(wù)）和IaaS（基礎(chǔ)設(shè)施即服務(wù)）三種形式。

3.3 強(qiáng)化法律管理措施。

云計(jì)算的穩(wěn)定運(yùn)行和健康發(fā)展，需要一定的法律法規(guī)和規(guī)章制度進(jìn)行完善。SAS70標(biāo)準(zhǔn)是由美國(guó)公共會(huì)計(jì)審計(jì)師協(xié)會(huì)制定的一套審計(jì)標(biāo)準(zhǔn)，主要用于衡量處理關(guān)鍵數(shù)據(jù)的基準(zhǔn)，SAS70作為第三方驗(yàn)證來(lái)確保安全、政策執(zhí)行和驗(yàn)證等問(wèn)題，能夠確保云供應(yīng)商提供對(duì)客戶數(shù)據(jù)的保護(hù)。薩班斯法案的頒布，也為數(shù)據(jù)的保護(hù)提供法律的依據(jù)，屬于SarbanesOxley法案的企業(yè)在使用云計(jì)算服務(wù)的時(shí)候就必須確保他們的供應(yīng)商符合SOX（薩班斯法案）。這些法案和制度的建立為云服務(wù)提供商更好地服務(wù)及避免數(shù)據(jù)丟失對(duì)客戶的損害提供了法律保障，將更有利于云計(jì)算提供商開(kāi)發(fā)更優(yōu)秀的構(gòu)架。

4 結(jié)語(yǔ)

云計(jì)算對(duì)我國(guó)重要信息系統(tǒng)安全保障建設(shè)提出了更高的要求。利用云安全加強(qiáng)保護(hù)云中的數(shù)據(jù)安全與隱私，確保云計(jì)算提供商能夠保證數(shù)據(jù)的安全，進(jìn)一步加快云安全相關(guān)管理辦法和標(biāo)準(zhǔn)規(guī)范，盡快出臺(tái)云計(jì)算安全服務(wù)相關(guān)管理辦法，推動(dòng)云計(jì)算更好地為國(guó)民經(jīng)濟(jì)發(fā)展服務(wù)。