云計算安全問題及防范措施淺析

李倩

摘要：云計算是一種新興的技術和商業(yè)模式，它將IT資源以服務的形式通過互聯(lián)網提供給用戶使用。近年來，云計算發(fā)展迅速，其應用范圍不斷擴大，也推動著其他行業(yè)的發(fā)展，然而其信息安全問題逐漸暴露出來，制約著云計算的發(fā)展。文章首先簡要介紹了云計算的概念和特征，然后從幾個方面分析了云計算存在的安全問題，最后從云計算相關制度與法律法規(guī)的建設，以及安全保障技術層面分析了云計算的安全防范措施。

關鍵詞：云計算；IT資源；信息安全；法律法規(guī)；安全保障技術

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2018）25-0021-02

Analysis on the Security Problems and Precautions of Cloud Computing

LI Qian

（College of Information Science and Engineering， Chengdu University， Chengdu 610106， China）

Abstract： Cloud computing is a new technology and business mode. It provides IT resources to users through the Internet in the form of services. In recent years， cloud computing has developed rapidly， its application scope is expanding， and it also promotes the development of other industries. However， the problem of information security has been gradually exposed， which restricts the development of cloud computing. The paper first briefly introduces the concept and characteristics of cloud computing， and then analyzes the security problems of cloud computing from several aspects. Finally， it analyzes the security precautions of cloud computing from the construction of cloud computing related systems and laws and regulations， and the technical level of security guarantee.

Key words： cloud computing； IT resources； information security； laws and regulations； security technology

云計算是通過云來共享分布式資源的形式，是時代、科技發(fā)展的產物。自2006年谷歌的首席執(zhí)行官埃里克·施密特提出了“云計算”的概念之后，時至今日，云計算已經不僅僅是IT基礎設施的交付和使用，更是一整套云解決方案的提供。云計算的應用在當今越來越普遍，當它給社會帶來巨大經濟效益、給人們帶來極大便利的同時，其安全問題也隨之而來。

1 云計算概述

對于云計算的定義有多種說法，美國國家標準與技術研究院（NIST）對其定義為：“云計算是一種按使用量付費的模式，這種模式提供可用的、便捷的、按需的網絡訪問，進入可配置的計算資源共享池（資源包括網絡、服務器、存儲、應用軟件、服務），這些資源能夠被快速提供，只需投入很少的管理工作，或與服務供應商進行很少的交互?！痹朴嬎憔哂刑摂M化、規(guī)模大、可靠性高、通用性強、擴展性強、價格低廉、按需服務等特點[1]。目前，越來越多的企業(yè)和個人使用云計算服務，這也是未來的發(fā)展趨勢。用戶最關心的問題是數(shù)據的安全，商業(yè)機密、隱私信息、敏感數(shù)據等不被泄露。因此，云計算的信息安全備受人們的關注[2]。

2 云計算的信息安全問題

近年來，云計算的發(fā)展很快，但是其安全問題從一定程度上影響了它的普及，不少人擔心數(shù)據丟失，隱私數(shù)據被泄露，企業(yè)敏感數(shù)據、商業(yè)機密被竊取等。以下從不同方面對云計算面臨的安全問題進行分析。

2.1 物理安全

云計算的安全首先要從物理安全開始。物理安全主要包括云物理設備的安全、介質的安全、云物理環(huán)境的安全等。需要防盜、防毀、防火、防水防潮、電能供給、電磁保護等[3]。

2.2 虛擬化安全

虛擬化技術是云計算的核心技術之一，是基于基礎架構層的資源管理技術，它對計算機硬件平臺的各種資源進行抽象、模擬，并最大化利用。在當今硬件系統(tǒng)快速發(fā)展和應用需求復雜多變的情況下，虛擬化技術能夠提高資源的利用率和使用的靈活性，帶來更高的可擴展性、可用性，同時減少管理成本。然而，虛擬化技術也存在安全問題。

虛擬機監(jiān)控程序（Virtual Machine Monitor，VMM），也稱為監(jiān)管程序（Hypervisor），是一種中間層軟件，它運行在操作系統(tǒng)和物理服務器之間，能夠訪問物理服務器上的各種硬件設備。服務器啟動后執(zhí)行Hypervisor，為每個虛擬機分配相應的CPU、內存、磁盤、網絡等物理資源，并對資源的訪問進行協(xié)調。因此，在云計算環(huán)境中，Hypervisor是核心軟件，如果攻擊者控制了Hypervisor，則相當于控制了Hypervisor監(jiān)控的整個資源[4]。虛擬機溢出導致安全問題蔓延、黑客攻擊、補丁更新負擔加重等都是一些安全隱患。

2.3 應用安全

目前，云主機上部署的Web應用程序也存在來自互聯(lián)網的安全威脅。由于云服務應用的客戶端普遍采用瀏覽器進行訪問，而各類瀏覽器均存在軟件漏洞，有被攻擊的風險，從而影響應用的安全[5]。不同的云計算服務模式下，存在不同的應用安全責任主體。IaaS（基礎設施即服務）模式提供的是云計算基礎設施，用戶在其上部署和管理其應用程序，也就由用戶自己負責全部應用的安全。PaaS（平臺即服務）模式提供的服務是應用的開發(fā)和運行環(huán)境，由PaaS提供商負責PaaS平臺自身的安全，用戶在平臺上開發(fā)或部署自己的應用，進行應用的安全配置和管理。SaaS（軟件即服務）模式提供的是云平臺上軟件的租用服務，由SaaS提供商負責平臺及應用的安全，用戶只需通過瀏覽器對應用進行訪問，負責操作的安全。

2.4 數(shù)據安全

云計算要對大量數(shù)據進行存儲、傳輸、處理，而且是分布式的計算，數(shù)據通過網絡進行傳輸，如果沒有保護措施，則存在著很大的安全隱患。一方面用戶信息有被竊取、篡改、丟失、損壞的可能，另一方面如果云計算缺乏對數(shù)據的審核，也不能保證數(shù)據本身是安全的，從而有可能帶來更大范圍的安全威脅。

3 云計算的安全防范措施

面對云計算存在的各種安全威脅，必須采取有效的安全防范措施。以下從制度、法律法規(guī)層面和技術層面進行分析。

3.1 加強相關制度與法律法規(guī)的建設

云計算作為新興產業(yè)，不僅需要政策支持，更應有相應制度和法律進行約束和規(guī)范，保障其安全順利的發(fā)展。雖然在我國已有的法律法規(guī)中有一些與云安全密切相關，如：在加強個人信息保護方面，《中華人民共和國網絡安全法》《中華人民共和國刑法修正案（九）》等對個人信息進行了定義，并對收集、使用、傳輸、存儲個人信息提出了要求，規(guī)定了泄露個人信息行為的罰則，但相對于云計算安全問題的日益復雜化，相關制度還不夠完善，法律法規(guī)也沒能及時跟進，均有待加強和完善。

3.2 加強技術保障

云計算的信息安全問題更多是技術層面的問題，因而必須加強技術的完善。身份認證是保障云計算信息安全的重要手段之一，應提高身份認證水平和強度，可進行多層身份認證，如密碼、數(shù)字證書、生物特征識別、智能卡等。各種系統(tǒng)漏洞和業(yè)務軟件的漏洞易成為入侵者攻擊的目標，應加強漏洞檢測，及時修補漏洞。數(shù)據加密是數(shù)據安全的最后一道防線，根據云服務模式不同，由用戶加密數(shù)據后上傳至云端，或由云服務提供商提供數(shù)據的加解密。應結合對數(shù)據加密強度、速度等方面的要求選擇加密算法，同時做好密鑰的定期更新和備份。另外，還要加強入侵檢測、訪問控制、病毒防治、防火墻技術等多方面的安全防護。

4 結論

云計算是一種新興的商業(yè)模式，以虛擬化技術為基礎，將IT資源以服務的形式提供給用戶，用戶按需付費。云計算發(fā)展迅速，在向各行業(yè)滲透、推動行業(yè)發(fā)展的同時，其安全問題也逐漸顯現(xiàn)出來，影響著自身的發(fā)展。因此，要從制度、法律法規(guī)的建設上，以及云計算技術保障上多層面地分析安全問題，并積極應對，從而保障云計算產業(yè)的可持續(xù)發(fā)展。

參考文獻：

[1] 王碩剛，巨維博，王一寧，等.淺談大數(shù)據、云計算技術對高校學生管理信息化建設的影響[J].中國管理信息化，2018（3）：211-213.

[2] 王然然.論云計算下的網絡安全及措施[J].電子技術與軟件工程，2018（1）：224-225.

[3] 黃金鳳，鄭美容.基于云計算的信息安全風險評估模型[J].寧德師范學院學報，2018，30（1）：34-40.

[4] 王麗麗.云計算中虛擬化技術的安全問題及對策研究[J].首都師范大學學報，2015，36（4）：16-19.

[5] 張云勇，陳清金，潘松柏，等.云計算安全關鍵技術分析[J].電信科學，2010，26（9）：64-69.

【通聯(lián)編輯：梁書】