面向企業(yè)私有云計(jì)算平臺(tái)的安全框架研究

劉淑艷 史迎春 母俐麗

摘? ?要：私有云作為云計(jì)算技術(shù)的一種，以企業(yè)自有的數(shù)據(jù)中心為軟硬件基礎(chǔ)，搭建云管理系統(tǒng)，并以此為平臺(tái)實(shí)現(xiàn)云應(yīng)用相關(guān)的運(yùn)行計(jì)算和數(shù)據(jù)存儲(chǔ)，同時(shí)對(duì)私有云應(yīng)用的網(wǎng)絡(luò)資源進(jìn)行管控。文章在對(duì)面向企業(yè)的私有云計(jì)算平臺(tái)建設(shè)方案的研究基礎(chǔ)之上，對(duì)面向企業(yè)的私有云計(jì)算平臺(tái)建設(shè)內(nèi)容和目標(biāo)進(jìn)行分析，對(duì)私有云經(jīng)濟(jì)和運(yùn)營(yíng)效益進(jìn)行分析，針對(duì)私有云目前面臨的安全問(wèn)題，對(duì)相應(yīng)安全框架的建設(shè)進(jìn)行研究。

關(guān)鍵詞：私有云;安全框架;云計(jì)算平臺(tái)

互聯(lián)網(wǎng)技術(shù)的快速發(fā)展以及分布式計(jì)算技術(shù)的迭代更新，為云應(yīng)用提供了廣泛的技術(shù)基礎(chǔ)，實(shí)現(xiàn)了企業(yè)生產(chǎn)經(jīng)營(yíng)和內(nèi)部管理的虛擬化，云平臺(tái)正逐漸得到企業(yè)的青睞。與此同時(shí)，云計(jì)算由于過(guò)度依賴(lài)網(wǎng)絡(luò)寬帶，在應(yīng)對(duì)網(wǎng)絡(luò)攻擊方面存在著天生的劣勢(shì)，網(wǎng)絡(luò)信息安全受到嚴(yán)重威脅和巨大挑戰(zhàn)。有數(shù)據(jù)顯示，針對(duì)谷歌、微軟等云計(jì)算平臺(tái)開(kāi)展的網(wǎng)絡(luò)攻擊愈演愈烈。面對(duì)嚴(yán)峻的網(wǎng)絡(luò)安全形勢(shì)，企業(yè)需要對(duì)私有云計(jì)算平臺(tái)加強(qiáng)網(wǎng)絡(luò)防護(hù)，構(gòu)建云安全框架[1]。本文根據(jù)私有云安全威脅現(xiàn)狀，結(jié)合相關(guān)經(jīng)驗(yàn)和防護(hù)實(shí)踐情況，為企業(yè)私有云服務(wù)環(huán)境搭建提供參考。

1? ? 私有云計(jì)算技術(shù)概念闡述

云計(jì)算從技術(shù)層面實(shí)現(xiàn)了計(jì)算技術(shù)的持續(xù)演進(jìn)，從應(yīng)用層面表現(xiàn)為企業(yè)經(jīng)營(yíng)的一種商業(yè)模式。

云計(jì)算的概念由IBM公司于2007年在其技術(shù)計(jì)劃中提出，云計(jì)算平臺(tái)建立在存儲(chǔ)、網(wǎng)絡(luò)、計(jì)算和安全等基礎(chǔ)之上，用戶(hù)以租賃的形式，通過(guò)互聯(lián)網(wǎng)技術(shù)手段使用云計(jì)算平臺(tái)提供云應(yīng)用。云計(jì)算通過(guò)程序分解和分布式服務(wù)器系統(tǒng)，對(duì)數(shù)據(jù)進(jìn)行分析處理，能快速地將運(yùn)算結(jié)果呈現(xiàn)給客戶(hù)。云計(jì)算為數(shù)據(jù)儲(chǔ)存和處理提供了廣闊的發(fā)展空間，在形式上主要表現(xiàn)為：完整軟件程序服務(wù)的“軟件即服務(wù)”;數(shù)據(jù)存儲(chǔ)業(yè)務(wù)的“數(shù)據(jù)即服務(wù)”;應(yīng)用開(kāi)發(fā)平臺(tái)的“平臺(tái)即服務(wù)”;電信網(wǎng)絡(luò)業(yè)務(wù)的“通信即服務(wù)”;硬件或虛擬主機(jī)業(yè)務(wù)的“硬件即服務(wù)”;數(shù)據(jù)運(yùn)算、內(nèi)部存儲(chǔ)資源的“基礎(chǔ)設(shè)施即服務(wù)”。目前常用的3種形式服務(wù)分別是軟件、平臺(tái)和基礎(chǔ)設(shè)施。

從技術(shù)演進(jìn)過(guò)程來(lái)看，云計(jì)算技術(shù)實(shí)現(xiàn)了并行計(jì)算、分布式計(jì)算和網(wǎng)格計(jì)算的深度發(fā)展。私有云（Private Clouds）實(shí)現(xiàn)了云計(jì)算技術(shù)細(xì)分發(fā)展，滿(mǎn)足了云計(jì)算業(yè)務(wù)個(gè)性定制化的需求。這種個(gè)性定制化能夠?qū)崿F(xiàn)數(shù)據(jù)處理、數(shù)據(jù)存儲(chǔ)安全以及網(wǎng)絡(luò)服務(wù)質(zhì)量的最優(yōu)化。私有云一般部署在客戶(hù)自有網(wǎng)絡(luò)基礎(chǔ)設(shè)施之中，也可通過(guò)“托管式專(zhuān)用”的委托管理模式，由云計(jì)算服務(wù)供應(yīng)商提供建設(shè)、維護(hù)和管理服務(wù)。

私有云技術(shù)的實(shí)現(xiàn)是多個(gè)技術(shù)融合發(fā)展的結(jié)果，主要包括接入設(shè)備、寬帶等。寬帶技術(shù)的發(fā)展能最大限度地降低網(wǎng)絡(luò)延時(shí)，使云計(jì)算應(yīng)用的訪問(wèn)速度與本地應(yīng)用基本相同。私有云計(jì)算能夠?qū)崿F(xiàn)高速數(shù)據(jù)運(yùn)算和大容量數(shù)據(jù)存儲(chǔ)。數(shù)據(jù)存儲(chǔ)技術(shù)的發(fā)展，為數(shù)據(jù)容災(zāi)性和容量的提升創(chuàng)造了可能。數(shù)據(jù)和計(jì)算資源通過(guò)操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用軟件的虛擬化，實(shí)現(xiàn)了資源共享。應(yīng)用程序接口技術(shù)的發(fā)展實(shí)現(xiàn)了云計(jì)算資源的擴(kuò)展和外部管理，私有云技術(shù)的發(fā)展反過(guò)來(lái)促進(jìn)了應(yīng)用程序編程接口（Application Programming Interface，API）的標(biāo)準(zhǔn)統(tǒng)一。

2? ? 私有云計(jì)算平臺(tái)風(fēng)險(xiǎn)分析

私有云計(jì)算平臺(tái)由物理資源、資源池、管理中間件以及面向服務(wù)的體系構(gòu)件（Service-Oriented Architecture，SOA）4層體系構(gòu)成。物理資源層完成數(shù)據(jù)信息的傳輸，管理中間件將應(yīng)用層和資源層聯(lián)系起來(lái)，在管理中間件層可以完成資源代理、安全控制等功能。SOA構(gòu)件層面向服務(wù)提供接口和訪問(wèn)。在私有云計(jì)算平臺(tái)管理中，中間件和資源池是重要的服務(wù)內(nèi)容。

私有云在網(wǎng)絡(luò)層存在安全風(fēng)險(xiǎn)，例如數(shù)據(jù)可信性和數(shù)據(jù)包的完整無(wú)法得到保證，在訪問(wèn)控制方面也存在缺陷。由于不能對(duì)網(wǎng)絡(luò)操作進(jìn)行審計(jì)，因此難以對(duì)數(shù)據(jù)進(jìn)行全面收集和深入調(diào)查分析。托管云服務(wù)商的私有云網(wǎng)絡(luò)層安全更為重要，往往面臨著前綴、域名系統(tǒng)（Domain Name System，DNS）、分布式拒絕服務(wù)（Distributed Denial of Service，DDoS）等類(lèi)型的網(wǎng)絡(luò)攻擊。

由于云計(jì)算存儲(chǔ)的虛擬化，私有云在主機(jī)層也存在諸多風(fēng)險(xiǎn)。在軟件即服務(wù)（Software as a Service，SaaS）和平臺(tái)即服務(wù)（Platform as a Service，PaaS）類(lèi)型的云服務(wù)中，通常由云服務(wù)供應(yīng)商負(fù)責(zé)主機(jī)安全的保護(hù)。這種特性是將主機(jī)隱藏并抽象化，達(dá)到保護(hù)主機(jī)的目的。與此不同，對(duì)于基礎(chǔ)設(shè)施即服務(wù)（Infrastructure as a Service，IaaS）類(lèi)型的私有云服務(wù)來(lái)說(shuō)，用戶(hù)是保護(hù)主機(jī)安全的主要力量。IaaS主機(jī)面臨的安全威脅是主機(jī)密鑰易被竊取，標(biāo)準(zhǔn)端口易受到針對(duì)漏洞的攻擊，未受保護(hù)的賬戶(hù)易被劫獲，存在配置漏洞的主機(jī)防火墻易被攻破，虛擬服務(wù)器軟件中易嵌入木馬。

私有云服務(wù)在應(yīng)用層易受到拒絕服務(wù)（Denial of Service，DoS）攻擊和DDoS攻擊，此類(lèi)攻擊會(huì)長(zhǎng)時(shí)間地阻塞云服務(wù)。還易受到用戶(hù)終端的攻擊，瀏覽器是保護(hù)私有云安全的薄弱環(huán)節(jié)，如果瀏覽器沒(méi)有及時(shí)升級(jí)打補(bǔ)丁，黑客就很容易通過(guò)漏洞對(duì)私有云服務(wù)系統(tǒng)進(jìn)行攻擊。

私有云服務(wù)在數(shù)據(jù)安全方面也存在風(fēng)險(xiǎn)。數(shù)據(jù)傳輸沒(méi)有用審核加密算法，導(dǎo)致數(shù)據(jù)的可信性與完整性易遭到破壞。在傳輸過(guò)程中，要確保協(xié)議的完整、可靠以及對(duì)數(shù)據(jù)進(jìn)行加密。由于操作復(fù)雜，私有云服務(wù)中的靜止數(shù)據(jù)往往不進(jìn)行加密，確保數(shù)據(jù)檢索的效率。私有云服務(wù)的中斷會(huì)導(dǎo)致存儲(chǔ)數(shù)據(jù)丟失，例如2009年因?yàn)橛布O(shè)備原因的備份錯(cuò)誤導(dǎo)致云存儲(chǔ)服務(wù)商Carbonite Inc丟失了7 500個(gè)用戶(hù)的數(shù)據(jù)。在私有云安全保證的過(guò)程中，可信性、完整性、可用性是不得不考慮的3大風(fēng)險(xiǎn)。

3? ? 私有云安全框架構(gòu)建研究

通過(guò)安全風(fēng)險(xiǎn)分析可以看出私有云服務(wù)是十分脆弱的。私有云安全管理的關(guān)鍵在于構(gòu)建一個(gè)管理程序。私有云服務(wù)設(shè)備的虛擬化，使全部數(shù)據(jù)成為整體，數(shù)據(jù)可以在不同的虛擬機(jī)之間發(fā)送、傳輸和接收。這種自由性和開(kāi)放性在為數(shù)據(jù)處理提供便利的同時(shí)，也為黑客提供了可乘之機(jī)，黑客只需要攻破一個(gè)虛擬機(jī)就能夠控制有數(shù)據(jù)關(guān)聯(lián)的其他虛擬機(jī)。因此，有效的數(shù)據(jù)管理和檢測(cè)能及時(shí)地發(fā)現(xiàn)危險(xiǎn)數(shù)據(jù)的傳遞。

由于云服務(wù)具有多種形式，因此私有云安全框架要充分考慮不同類(lèi)型云服務(wù)的特征。私有云的數(shù)據(jù)和應(yīng)用安全，需要從運(yùn)行系統(tǒng)、云上系統(tǒng)信息、服務(wù)器間信息傳輸以及網(wǎng)絡(luò)上信息4個(gè)方面確保[2]。私有云服務(wù)安全框架的構(gòu)建需要從終端和云端兩方面進(jìn)行。

私有云服務(wù)安全框架終端主要實(shí)現(xiàn)數(shù)據(jù)采集和威脅處置兩大功能。通過(guò)外部軟件接口云安全設(shè)備結(jié)合沙箱完成多文件和關(guān)聯(lián)數(shù)據(jù)的采集。例如可以在Windows終端對(duì)瀏覽器的相關(guān)活動(dòng)和文件進(jìn)行監(jiān)控，采集用戶(hù)下載的可執(zhí)行文件以及偽裝的各類(lèi)惡意代碼，分析與系統(tǒng)漏洞相關(guān)聯(lián)的安全威脅，最終為威脅處置和系統(tǒng)防御提供支持。通過(guò)云查殺以及外部接口，將防御策略的制定和威脅處置的措施完善。對(duì)采集的威脅信息進(jìn)行分級(jí)分類(lèi)，采取措施阻斷，并禁止相應(yīng)程序和網(wǎng)絡(luò)威脅的運(yùn)行，最終實(shí)現(xiàn)安全防御。私有云服務(wù)安全框架云端主要包括惡意代碼查殺、安全基線確定、數(shù)據(jù)鑒定、文件追溯等功能。實(shí)現(xiàn)了安全威脅的查殺和查詢(xún)服務(wù)，為云服務(wù)系統(tǒng)提供相應(yīng)的安全基準(zhǔn)[3]。

私有云安全框架的構(gòu)建要充分考慮用戶(hù)的需求與系統(tǒng)安全要求。私有云安全框架實(shí)現(xiàn)威脅防御和處置應(yīng)不受黑名單限制。應(yīng)能夠通過(guò)私有云服務(wù)安全狀況和趨勢(shì)確定安全基線，實(shí)現(xiàn)精確化的安全邏輯。加強(qiáng)云安全監(jiān)控，對(duì)系統(tǒng)中新出現(xiàn)的程序和數(shù)據(jù)實(shí)時(shí)監(jiān)控[4]。建立封層分級(jí)和多重維度的文件分析鑒定系統(tǒng)，有助于通過(guò)對(duì)靜態(tài)和動(dòng)態(tài)數(shù)據(jù)的學(xué)習(xí)完成文件安全與否的綜合判定。云安全設(shè)備采集的信息為私有云快速、實(shí)時(shí)的風(fēng)險(xiǎn)監(jiān)測(cè)提供了依據(jù)，通過(guò)監(jiān)測(cè)對(duì)面臨的威脅和風(fēng)險(xiǎn)實(shí)時(shí)反應(yīng)。對(duì)安全威脅及時(shí)評(píng)估，采取有力的威脅處置手段，為用戶(hù)安全防御和制定處置策略提供參考。

4? ? 結(jié)語(yǔ)

隨著私有云應(yīng)用越來(lái)越廣泛，私有云服務(wù)的安全正越來(lái)越受重視。私有云安全架構(gòu)應(yīng)當(dāng)能在封閉環(huán)境中確保數(shù)據(jù)安全，進(jìn)一步優(yōu)化現(xiàn)有的針對(duì)惡意代碼的安全防御模式，提高私有云安全管理的智能化和自動(dòng)化，實(shí)現(xiàn)惡意代碼及時(shí)發(fā)現(xiàn)、安全威脅準(zhǔn)確評(píng)估、安全手段及時(shí)處置、處置結(jié)果隨時(shí)審計(jì)的良性循環(huán)和檢測(cè)流程。綜合利用私有云安全設(shè)備和軟件，實(shí)現(xiàn)對(duì)私有云安全風(fēng)險(xiǎn)的有效管控。

[參考資料]

[1]劉勝娃，陳思錦，李衛(wèi)，等.面向企業(yè)私有云計(jì)算平臺(tái)的安全構(gòu)架研究[J].現(xiàn)代電子技術(shù)，2014（4）：34-36.

[2]李鐵.云計(jì)算環(huán)境下企業(yè)私有云平臺(tái)安全架構(gòu)的機(jī)理和實(shí)現(xiàn)[J].電子技術(shù)與軟件工程，2017（2）：232-233.

[3]韓皓辰.一種適用于私有云環(huán)境的統(tǒng)一度量與存儲(chǔ)的可信計(jì)算模型的研究與設(shè)計(jì)[D].上海：復(fù)旦大學(xué)，2013.

[4]楊海亮，馬天丁，李震，等.淺析企業(yè)私有云平臺(tái)建設(shè)中的云安全管理問(wèn)題[J].中小企業(yè)管理與科技，2016（11）：15-16.

Study on security framework based on private cloud computing platform of enterprises

Liu Shuyan， Shi Yingchun， Mu Lili

（Yanjing Institute of Technology， Sanhe 065201， China）

Abstract：As a kind of cloud computing technology， the private cloud takes an enterprise's own data center as the foundation of software and hardware to build a cloud management system. On this platform， the enterprise can achieve the operational computing and data storage related to cloud application， and at the same time manage and control network resources used by private cloud applications. Based on the research on the construction plan of private cloud computing platform for enterprises， this paper analyzed its content and goals， private cloud economy and operational benefits. In addition， a study was conducted on the construction of the corresponding security framework against the existing problems of private cloud.

Key words：private cloud; security framework; cloud computing platform