中小企業(yè)云安全策略分析

摘 要：由于云計算的虛擬化、無邊界、流動性等特征，使其面臨較多新的安全威脅；同時，云計算使各種資源、數(shù)據(jù)、應用高度集中，所帶來的安全隱患與風險較傳統(tǒng)網(wǎng)絡應用高出很多。所以，云安全問題是傳統(tǒng)網(wǎng)絡安全問題和云計算帶來的新的安全問題的綜合。文章分析了云安全與傳統(tǒng)網(wǎng)絡安全的區(qū)別、云安全現(xiàn)狀、中小企業(yè)向云的安全遷移的措施，以及中小企業(yè)的IaaS安全策略、PaaS安全策略、SaaS安全策略，并提出中小企業(yè)云安全風險與防護建議。

關鍵詞：中小企業(yè)；云計算；云安全；策略

中圖分類號：TP39 文獻標識碼：A

Abstract： Due to the characteristics of cloud computing such as virtualization， no boundary， mobility， it faces a lot of new security threats. And cloud computing makes all kinds of resources， data， application of a high degree of concentration， it brings more risks than the applications of traditional network. So， the problem of cloud security is the integration of the traditional network security and the new security problem brought by cloud computing. This article gave analysis of the difference between the cloud security and the traditional network security， cloud security situation， and gave medium-sized and small enterprises the security transfer measures， IaaS security strategy， PaaS security strategy， SaaS security strategy， and put forward the cloud security risks and protection suggestions for medium-sized and small enterprises.

Key words： medium-sized and small enterprises； cloud security； cloud security； strategy

1 云安全與傳統(tǒng)網(wǎng)絡安全的區(qū)別

云安全在廣義上包含兩層含義，一是云計算自身應用的安全，二是云計算在網(wǎng)絡安全領域的應用。本文主要針對云計算自身應用的安全展開討論。云計算安全與傳統(tǒng)信息安全并無本質(zhì)區(qū)別，許多安全問題并非云計算特有，不論黑客入侵、惡意代碼攻擊、拒絕服務攻擊、網(wǎng)絡釣魚、敏感信息泄露等都是已經(jīng)存在的信息安全問題，但由于云計算的虛擬化、無邊界、流動性等特征，使其面臨較多新的安全威脅；同時，云計算使各種資源、數(shù)據(jù)、應用高度集中，所帶來的安全隱患與風險較傳統(tǒng)網(wǎng)絡應用高出很多。所以，云安全問題是傳統(tǒng)網(wǎng)絡安全問題和云計算帶來的新的安全問題的綜合。

2 云安全現(xiàn)狀分析

安全是用戶權(quán)衡是否使用云計算服務的重要指標，是云計算健康發(fā)展的基礎。目前，許多云服務提供商提出了相應的安全解決方案，Amazon在保障用戶系統(tǒng)和數(shù)據(jù)保密性、完整性、可靠性方面做了很多努力，包括認證鑒權(quán)、物理安全、備份、EC2安全、S3安全和SimpleDB等；IBM推出虛擬化網(wǎng)絡安全平臺，嵌入云計算基礎構(gòu)架里，具有入侵監(jiān)測、網(wǎng)絡應用程序保護、網(wǎng)絡政策執(zhí)行等安全防護功能，提供身份、訪問、認證、審查等服務；CSA著重總結(jié)了云計算的技術架構(gòu)模型、安全控制模型，圍繞13個關注點，從用戶角度闡述了可能存在的商業(yè)隱患、安全威脅，并推介安全措施?？傮w來說，目前云計算安全的研究主要集中在云計算系統(tǒng)自身的安全性、數(shù)據(jù)中心安全管理、服務連續(xù)性、用戶數(shù)據(jù)的安全性、保密性等方面。

3 中小企業(yè)向云的安全遷移

云計算服務可分為私有云、公共云、混合云。私有云一般在用戶內(nèi)網(wǎng)，專為某企業(yè)提供服務，但需專業(yè)的維護隊伍，運行管理成本高。和私有云相比，公共云的規(guī)模效應使其成本較低、管理負擔更輕，并且在資源彈性分配方面更具優(yōu)勢，出于性價比的考慮，中小企業(yè)應選擇公共云服務，而公共云在安全方面所面臨的風險要高于私有云，所以，中小企業(yè)在向公共云遷移時，應采取以下措施，規(guī)避遷移風險：

（1）選擇信譽好、可信度高的云服務提供商，降低云服務提供商可能產(chǎn)生的負面影響。

（2）有選擇性地向云服務遷移，對于企業(yè)重要數(shù)據(jù)或敏感信息，應做好各項測試和驗證，謹慎遷移。

（3）做好業(yè)務遷移后的安全管理和監(jiān)控，一方面應通過技術手段和合規(guī)審計驗證云服務提供商的安全措施，另一方面做好自身系統(tǒng)的安全管理和監(jiān)控，包括關鍵信息的備份等。

（4）詳細了解服務協(xié)議、隱私協(xié)議，通過協(xié)議條款維護自身權(quán)益，包括要求云服務提供商及時更新保護系統(tǒng)，以及在協(xié)議終止時數(shù)據(jù)傳回和提供商數(shù)據(jù)備份的流程監(jiān)控等。

（5）明確云服務提供商存儲企業(yè)數(shù)據(jù)的地點，盡可能控制數(shù)據(jù)的存放地，并且要注意避免因不同國家、地區(qū)的法律差異而可能引起的法律糾紛。

4 中小企業(yè)IaaS安全策略

IaaS可以提供服務器、操作系統(tǒng)、存儲、數(shù)據(jù)、信息資源。企業(yè)應用遷移到云端后，企業(yè)的數(shù)據(jù)被存放在云服務提供商的數(shù)據(jù)中心內(nèi)，企業(yè)應關心數(shù)據(jù)中心的安全問題，誰能進入數(shù)據(jù)中心？進入數(shù)據(jù)中心的操作能否受到監(jiān)控？除常規(guī)安全設備（如鎖、門禁、攝像頭、讀卡器、報警器）外，中小企業(yè)IaaS在信息安全方面還需要考慮以下幾個方面。endprint

4.1 物理環(huán)境的安全

（1）訪問人員限制

除數(shù)據(jù)中心員工或承包商的契約條款外，還應具備有效安全機制，比如通過最小特權(quán)策略對訪問進行限制，只有必要的人員才能獲得特權(quán)并管理客戶的應用程序和服務。

（2）身份驗證

在標準安全協(xié)議中，對于站點項的身份驗證、訪問令牌、日志等內(nèi)容，應明確列出所需驗證的身份，如果要訪問高敏感度數(shù)據(jù)，則需多因素身份驗證。

（3）物理資產(chǎn)的訪問管理

物理資產(chǎn)訪問管理提供完整工作流程記錄，包含申請、批準、交付、訪問等活動的可審計的記錄（含文檔材料），并可編入工作流，以便獲得來自多個身份驗證方的審批，該流程遵循訪問最低特權(quán)原則。

4.2 網(wǎng)絡與主機安全

在云端，企業(yè)的所有數(shù)據(jù)、應用、請求、回應都通過網(wǎng)絡進行通信，網(wǎng)絡與主機的安全是企業(yè)正常運營的關鍵，可以使用防火墻、防毒墻、入侵檢測等防護系統(tǒng)，保障網(wǎng)絡與主機安全。

5 中小企業(yè)PaaS安全策略

PaaS提供應用基礎設施，軟件開發(fā)者可以在這個基礎設施之上建立新的應用，或擴展已有的應用，它使中小企業(yè)從繁雜低效的程序開發(fā)環(huán)境的搭建、配置、維護工作中解脫出來。中小企業(yè)PaaS在信息安全方面需要考慮以下幾個方面。

5.1 身份與訪問管理

（1）身份認證/單點登錄

啟用單點登錄，以簡化應用程序訪問中的用戶（企業(yè)）體驗，降低與額外的用戶憑據(jù)有關的風險和管理負擔。

（2）身份周期管理

管理企業(yè)的交付，以確保企業(yè)權(quán)限的精確。企業(yè)還應考慮采用聯(lián)合身份驗證，以增強現(xiàn)有權(quán)利在內(nèi)部系統(tǒng)和云服務之間的便攜性。

5.2 信息保護

在云環(huán)境中，數(shù)據(jù)可能會處于多個范圍或位置中，誰或哪些實體對數(shù)據(jù)享有“主權(quán)”至關重要，目前，云服務正在嘗試允許客戶（企業(yè)）指定數(shù)據(jù)的物理存儲位置。

既然中小企業(yè)選擇使用公共云服務，數(shù)據(jù)就會被存放在公共云中，那么承載數(shù)據(jù)的基礎設施可能與其他組織共用，這就需要借助有力的數(shù)據(jù)保護措施進行數(shù)據(jù)隔離；同時，還要防范來自相同物理硬件上所共享的虛擬機被惡意攻擊的威脅。

另外，還需做好數(shù)據(jù)備份、加密、驗證，以及和云服務提供商之間有關數(shù)據(jù)訪問和管理的協(xié)議。

5.3 服務連續(xù)性

如果企業(yè)將關鍵業(yè)務遷移到云中，可能會有多個云服務提供商參與各環(huán)節(jié)的運作，其中包括安全監(jiān)控、審計、法定責任、事件響應等，這一協(xié)作需要照顧各參與方的需求，體現(xiàn)出服務的連續(xù)性。若涉及高價值資產(chǎn)服務，則要有更嚴格的需求，如物理安全、額外的日志、更嚴格的管理員背景核查等。

云服務協(xié)議也應體現(xiàn)連續(xù)性，云服務協(xié)議除包含有關性能問題、管理問題的詳細規(guī)劃，以及網(wǎng)絡和映像方面的責任，還應包含在服務交付遇到中斷后，負責修復的責任人和流程。

6 中小企業(yè)SaaS安全策略

中小企業(yè)通過SaaS，可以使用云服務提供商建立在云基礎設施上的應用，用戶（企業(yè)）可使用客戶端設備通過瀏覽器進行訪問。中小企業(yè)SaaS在信息安全方面需要考慮以下幾個方面。

6.1 工程安全

云計算環(huán)境的設計和開發(fā)應當遵循一定的流程，以在產(chǎn)品中包含安全和隱私保護功能，并且將安全和隱私保護貫徹到流程的每一個環(huán)節(jié)中：

（1）需求：這一階段的任務是確定安全目標。

（2）設計：分析潛在攻擊，建立威脅模型。

（3）實施：編寫代碼，并確保代碼中不存在已知的安全漏洞。

（4）確認：確保代碼滿足前階段建立的安全規(guī)則和隱私信條，開發(fā)團隊還需完成公開發(fā)布的隱私評估。

（5）發(fā)布：進行最終的安全審查，確保系統(tǒng)滿足所有安全需求，包括額外的，與特定項目有關的安全需求。

（6）響應：成立安全小組，用于響應安全事件，以及對安全漏洞進行查找、監(jiān)控、修復等，安全小組還需管理整個公司范圍的安全流程，并承擔協(xié)調(diào)和溝通工作。

6.2 安全設計框架

安全設計框架用以加強SaaS服務的安全性，包括如下幾個方面：

（1）審計和日志：對安全相關事件的記錄、監(jiān)控、查看。

（2）身份驗證：證明身份的過程，如用戶名和密碼。

（3）授權(quán)：應用程序為角色、資源及運作提供訪問控制。

（4）通信：決定數(shù)據(jù)安全傳輸?shù)姆绞健?/p>

（5）配置管理：從安全的角度考慮，管理應用程序和處理配置的方式。如：應用程序以誰的身份運行？鏈接到哪個數(shù)據(jù)庫？設置是如何保護的？

（6）算法：用于保證應用程序的機密性和完整性。

（7）例外管理：用于處理應用程序錯誤和例外事件。

（8）敏感數(shù)據(jù)：用于保護數(shù)據(jù)在內(nèi)存、網(wǎng)絡以及存儲過程中的安全。

（9）會話管理：用于保護用戶和應用程序間的操作。

（10）驗證：在開始處理之前，對數(shù)據(jù)進行驗證、篩選或約束，確保收到的數(shù)據(jù)可信、安全；驗證還包括對輸出進行整理。

7 中小企業(yè)云安全風險與防護

由于中小企業(yè)大多處于公共云環(huán)境，安全威脅和私有云相比更為直接，情況也更為復雜，針對中小企業(yè)的云安全風險，分析以下幾點，并提出防護建議：

7.1 黑客入侵

云數(shù)據(jù)中心集存大量敏感數(shù)據(jù)，成為黑客攻擊的目標。應包括針對網(wǎng)絡的防護（防火墻、IPS、DDoS）、針對系統(tǒng)的防護（弱點管理、主機型入侵防護）、針對應用的防護（應用程序滲透測試、WAF），并強調(diào)縱深的層層防護，阻擋黑客攻擊。

7.2 惡意員工

為防止云服務提供商內(nèi)部的惡意員工竊取企業(yè)的敏感數(shù)據(jù)，應強化數(shù)據(jù)訪問權(quán)限控制，并定期對訪問日志進行審計；另外，加密敏感數(shù)據(jù)，并提供安全的傳送通道。endprint

7.3 共享基礎設施的安全隱患

在公共云中，用戶（企業(yè)）無法選擇“鄰居”，在多租戶的環(huán)境下，惡意的云用戶，可能利用共享的設備或資源，竊取其他用戶的數(shù)據(jù)。防護措施是：在各租戶間建立完善的隔離機制，軟硬件資源應有適當?shù)臋?quán)限劃分；此外，各租戶間建立監(jiān)控機制，同時定期執(zhí)行弱點掃描，修補共享資源中的漏洞。

7.4 云計算資源濫用

若有黑客入侵主機，其可能向主機發(fā)送垃圾郵件，或散播惡意代碼；黑客有可能租用云計算資源從事非法活動（釣魚網(wǎng)站、木馬、僵尸網(wǎng)絡等）。防護措施是：對租戶進行嚴格身份驗證，若有不良行為，追究法律責任；實施異常流量監(jiān)控，采取有效措施防止惡意攻擊或垃圾郵件。

7.5 數(shù)據(jù)中心的安全審計

云用戶（企業(yè)）不易對云服務提供商地安全控制措施和訪問記錄進行審計，目前也沒有針對云數(shù)據(jù)中心的認證標準，但需提醒的是，現(xiàn)有的認證制度可以提升安全程度，但涵蓋面可能不能完全包含云構(gòu)架下的所有范圍。

7.6 災備管理

應建立健全災備管理機制，以避免數(shù)據(jù)中心因各種意外造成的如服務中斷、數(shù)據(jù)遺失等損失。

7.7 云服務提供商服務的連續(xù)性

云服務提供商可能因各種原因（政策、經(jīng)營不善等）停止服務，應提前評估是否有相同服務的提供商可以轉(zhuǎn)換，或評估替代方案的可行性。

參考文獻：

[1] IBM. IBM Point of View： Security and Cloud Computing[Z]. 2009.

[2] Li Liping. Analysis and Strategy of Customer Relationship Management in E-commerce[C] // 7th International Conference on Management of e-Commerce and e-Government.IEEE， 2013.

[3] 李莉平. 中小企業(yè)云計算策略分析[J]. 物流科技，2014（7）：54-57.

[4] 馬飛，等. 云計算安全現(xiàn)狀及我國政策思考[J]. 電信網(wǎng)技術，2015（2）：21-23.

[5] 雷萬云. 后危機時代集團企業(yè)信息化建設策略[J]. e制造雜志，2009（12）：32-35.

[6] 雷萬云. 云計算——技術、平臺及應用[M]. 北京：清華大學出版社，2011.

[7] 龐松濤，李清玉. 云計算安全體系探討[C] // 2013電力行業(yè)信息化年會論文集，2013.

[8] 王純子，等. 云網(wǎng)絡安全技術研究現(xiàn)狀綜述[J]. 信息安全與技術，2015（8）：12-16.endprint