云計(jì)算環(huán)境下網(wǎng)絡(luò)安全問(wèn)題淺析

◆姚金玲 閻紅

（天津職業(yè)大學(xué)電子信息工程學(xué)院 天津 300000）

近年來(lái)，“視頻云”、“金融云”、“辦公云”、“政務(wù)云”不斷地刷新這人們的眼球，“云”成了信息產(chǎn)業(yè)里最熱門的詞匯之一。一方面，隨著云計(jì)算技術(shù)逐漸成熟，越來(lái)越多的企業(yè)和用戶選擇將信息系統(tǒng)建在“云端”；另一方面，云計(jì)算技術(shù)滲透進(jìn)入更多的行業(yè)場(chǎng)景，進(jìn)入到與其他行業(yè)深度融合的階段?？梢灶A(yù)見(jiàn)到在不久的將來(lái)，隨著云計(jì)算技術(shù)向垂直化產(chǎn)業(yè)化縱深發(fā)展，“學(xué)習(xí)云”、“醫(yī)療云”、“圖書云”等更多地產(chǎn)品將會(huì)不斷出現(xiàn)，可以說(shuō)我們正在進(jìn)入“云時(shí)代”。

雖然云計(jì)算技術(shù)已經(jīng)全面成熟，并成了推動(dòng)信息產(chǎn)業(yè)乃至社會(huì)進(jìn)步的重要力量，但仍然面臨著一些網(wǎng)絡(luò)安全問(wèn)題。首先，云租戶通過(guò)互聯(lián)網(wǎng)使用“云服務(wù)商”的“云服務(wù)”時(shí)，可能遭到黑客惡意地監(jiān)聽(tīng)或數(shù)據(jù)篡改，存在著數(shù)據(jù)泄漏或丟失的風(fēng)險(xiǎn)；其次，“云計(jì)算”架構(gòu)下，多個(gè)云租戶可能共享相同的物理服務(wù)器、網(wǎng)卡、存儲(chǔ)等基礎(chǔ)設(shè)施，這使得“云計(jì)算”環(huán)境下的拒絕服務(wù)、惡意使用相對(duì)傳統(tǒng)方式更加復(fù)雜；最后，“云計(jì)算”是基于Web的服務(wù)形式，而在移動(dòng)互聯(lián)時(shí)代，Web漏洞數(shù)量正以指數(shù)級(jí)別增長(zhǎng)，這就使得“云計(jì)算”環(huán)境下漏洞發(fā)現(xiàn)及修復(fù)變得更加重要。本文首先對(duì)云計(jì)算技術(shù)及其發(fā)展進(jìn)行了簡(jiǎn)述，并對(duì)“云計(jì)算”環(huán)境下面臨的網(wǎng)絡(luò)安全問(wèn)題進(jìn)行了淺析，進(jìn)而提出了“云計(jì)算”環(huán)境下加強(qiáng)網(wǎng)絡(luò)安全的具體舉措。

1 “云計(jì)算”及其發(fā)展

“云計(jì)算”是一種IT資源的供給方式。其通過(guò)虛擬化技術(shù)將網(wǎng)絡(luò)、計(jì)算、存儲(chǔ)等基礎(chǔ)設(shè)施資源池化，并通過(guò)網(wǎng)絡(luò)向用戶提供IT資源服務(wù)，云租戶可以向使用水電一樣以“按需付費(fèi)”的方式使用各種IT資源。這些存在網(wǎng)絡(luò)上的被資源池化的IT資源，就被稱為“云”?！霸朴?jì)算”既是一種IT技術(shù)架構(gòu)，同時(shí)也是一種“共享”的商業(yè)模式。這種理念突破了傳統(tǒng)的IT資源使用方式，使得有限的IT資源可以“共享”的方式更加充分地被利用。在傳統(tǒng)的模式下，企業(yè)必須建立自己的IDC機(jī)房，部署網(wǎng)絡(luò)、存儲(chǔ)、服務(wù)器等基礎(chǔ)設(shè)施，并配備專業(yè)的IT“運(yùn)維人員”進(jìn)行后期維護(hù)，需要很大的成本。然而在“云計(jì)算”模式下，企業(yè)可以按需租用“云服務(wù)商”提供的虛擬化的“基礎(chǔ)設(shè)施”，極大地減少了信息系統(tǒng)運(yùn)維成本?！霸朴?jì)算”的推廣與應(yīng)用對(duì)于整個(gè)降低整個(gè)社會(huì)的能源消耗，實(shí)現(xiàn)“綠色經(jīng)濟(jì)”具有非常重要的現(xiàn)實(shí)意義。

按照服務(wù)類型，“云計(jì)算”可以分為基礎(chǔ)設(shè)施即服務(wù)（IaaS）、平臺(tái)即服務(wù)（PaaS）、軟件即服務(wù)（SaaS）?；A(chǔ)設(shè)施即服務(wù)就是“云服務(wù)商”向“云租戶”交付的是虛擬化的存儲(chǔ)、網(wǎng)絡(luò)、計(jì)算等基礎(chǔ)設(shè)施資源；平臺(tái)即服務(wù)就是“云服務(wù)商”在向“云租戶”提供虛擬化的基礎(chǔ)設(shè)施資源的同時(shí)，還為“云租戶”提供構(gòu)建應(yīng)用程序和服務(wù)的平臺(tái)，為開(kāi)發(fā)、測(cè)試和部署按需提供開(kāi)發(fā)環(huán)境；軟件即服務(wù)，是“云服務(wù)”商直接為“云租戶”提供按需使用的應(yīng)用程序，“云服務(wù)商”在云平臺(tái)上搭建和管理各類應(yīng)用程序，并提供“云租戶”使用這些應(yīng)用程序接口。

從2006年，Google首席執(zhí)行官首次提出“云計(jì)算”這個(gè)概念到2009年阿里軟件建立首個(gè)“電子商務(wù)云計(jì)算中心”，“云計(jì)算”已經(jīng)取得了飛速的發(fā)展和翻天覆地的變化。截至2019年，全球“云計(jì)算”的市場(chǎng)規(guī)模已達(dá)78.09億美元。“人工智能”、“大數(shù)據(jù)”、“物聯(lián)網(wǎng)”這些新技術(shù)的都離不開(kāi)“云計(jì)算”的支持。未來(lái)，“云計(jì)算”的應(yīng)用場(chǎng)景將更加平民化、豐富化，將在社會(huì)經(jīng)濟(jì)的各個(gè)領(lǐng)域和人們?nèi)粘Ｉ钪邪缪菰絹?lái)越重要的角色。

2 云計(jì)算網(wǎng)絡(luò)安全問(wèn)題分析

2.1 “云計(jì)算”網(wǎng)絡(luò)安全的復(fù)雜性

由于具有超大的規(guī)模，與傳統(tǒng)的信息系統(tǒng)架構(gòu)相比，“云計(jì)算”面臨的網(wǎng)絡(luò)安全問(wèn)題具有更大的復(fù)雜性。在傳統(tǒng)的信息系統(tǒng)架構(gòu)中，基礎(chǔ)設(shè)施的部署規(guī)模相對(duì)有限，并且網(wǎng)絡(luò)安全具有相對(duì)較為明確的邊界。在進(jìn)行網(wǎng)絡(luò)安全防范時(shí)，各個(gè)企業(yè)實(shí)體將自己的IT資源作為防范主體，按需部署各自的安全設(shè)備，其所面對(duì)的網(wǎng)絡(luò)攻擊流量相對(duì)較小。而在“云計(jì)算”中，“云服務(wù)”商為成千上萬(wàn)的“云租戶”通過(guò)互聯(lián)網(wǎng)提供服務(wù)，云平臺(tái)上應(yīng)用系統(tǒng)的規(guī)模以及網(wǎng)絡(luò)攻擊的流量較大。規(guī)模上的增加使得云平臺(tái)上的網(wǎng)絡(luò)安全問(wèn)題相較傳統(tǒng)的方式具有較大的復(fù)雜性，僅僅單純地堆砌網(wǎng)絡(luò)安全設(shè)備往往很難達(dá)成預(yù)期的結(jié)果，需要考慮進(jìn)行網(wǎng)絡(luò)安全問(wèn)題的提前預(yù)警，并采用分布式的架構(gòu)解決云平臺(tái)的網(wǎng)絡(luò)安全問(wèn)題。

2.2 “云計(jì)算”基礎(chǔ)設(shè)施的共享性

在云平臺(tái)上，成千上萬(wàn)個(gè)云租戶共享網(wǎng)絡(luò)、存儲(chǔ)和計(jì)算等基礎(chǔ)設(shè)施資源，這種共享性使得云租戶各個(gè)應(yīng)用系統(tǒng)之間可能存在著互相干擾，主要表現(xiàn)為以下幾個(gè)方面：（1）由于云租戶之間共享網(wǎng)絡(luò)資源，一個(gè)云租戶遭受拒絕服務(wù)攻擊，可能會(huì)將多個(gè)云租戶共享的網(wǎng)絡(luò)帶寬占滿，從而影響其他云租戶應(yīng)用系統(tǒng)的正常使用；（2）由于云租戶共享相同的計(jì)算和存儲(chǔ)資源，單個(gè)存在安全漏洞的云租戶應(yīng)用程序被入侵后，可能被用來(lái)作為攻擊其他云租戶應(yīng)用程序或者云平臺(tái)的“跳板”，因此云平臺(tái)的整體安全性存在“水桶效應(yīng)”，即云平臺(tái)的整體安全性往往由安全防范水平最低的云租戶來(lái)決定，然而使用云平臺(tái)的云租戶的安全意識(shí)和“運(yùn)維水平”參差不齊，最終導(dǎo)致云平臺(tái)整體網(wǎng)絡(luò)安全存在漏洞；（3）“云管理”軟件本身存在一些系統(tǒng)漏洞，存在惡意行為的“云租戶”可能利用云平臺(tái)本身固有的安全漏洞侵入宿主機(jī)，從而利用云平臺(tái)侵入或者干擾其上所有“云租戶”的應(yīng)用服務(wù)器，引起其他云租戶的服務(wù)中斷或數(shù)據(jù)丟失；（4）由于當(dāng)前還無(wú)法對(duì)云租戶的身份及行為進(jìn)行非常精準(zhǔn)的審計(jì)，云平臺(tái)上的虛擬機(jī)可能被“黑產(chǎn)”惡意利用，作為組織網(wǎng)絡(luò)攻擊以及網(wǎng)絡(luò)入侵的“肉雞”，這些處于不同云平臺(tái)上的“肉雞”被“黑產(chǎn)”控制并有計(jì)劃地在互聯(lián)網(wǎng)上對(duì)其他服務(wù)器進(jìn)行網(wǎng)絡(luò)攻擊，產(chǎn)生比較大的安全風(fēng)險(xiǎn)；（5）在云平臺(tái)中，多個(gè)虛擬機(jī)可能運(yùn)行在同一臺(tái)宿主機(jī)上，這些虛擬機(jī)之間的橫向流量只經(jīng)過(guò)宿主機(jī)內(nèi)部的虛擬交換機(jī)，不經(jīng)過(guò)傳統(tǒng)的網(wǎng)絡(luò)安全設(shè)備，而宿主機(jī)上的虛擬交換機(jī)具有的功能相對(duì)有限，并且往往由云平臺(tái)管理員進(jìn)行運(yùn)維，這使得這些虛擬機(jī)之間的網(wǎng)絡(luò)隔離相較傳統(tǒng)的部署方式更難。

2.3 云平臺(tái)固有風(fēng)險(xiǎn)

由于使用及管理方式，云平臺(tái)還存在一些固有風(fēng)險(xiǎn)，主要表現(xiàn)在以下一個(gè)方面：（1）云租戶通過(guò)互聯(lián)網(wǎng)管理和“運(yùn)維云”平臺(tái)上的虛擬機(jī)，存在中間人攻擊的風(fēng)險(xiǎn)，黑產(chǎn)有可能通過(guò)監(jiān)控云租戶與云平臺(tái)之間的數(shù)據(jù)流，利用技術(shù)手段破解“云租戶”的管理員賬戶，并利用云租戶的管理員賬號(hào)入侵虛擬機(jī)，從而引起云租戶部署在虛擬機(jī)上的信息系統(tǒng)服務(wù)中端或數(shù)據(jù)泄漏；（2）云平臺(tái)服務(wù)商內(nèi)部人員的道德風(fēng)險(xiǎn)，在云平臺(tái)中可能部署著成千上萬(wàn)個(gè)“云租戶”的應(yīng)用服務(wù)器，這些服務(wù)器上存有“云租戶”的所有業(yè)務(wù)數(shù)據(jù)，而所有這些服務(wù)器均由“云服務(wù)”商的平臺(tái)管理員進(jìn)行運(yùn)維，云平臺(tái)管理員的個(gè)人惡意行為或者疏漏將會(huì)對(duì)云租戶的系統(tǒng)運(yùn)行和業(yè)務(wù)數(shù)據(jù)帶來(lái)非常大的影響。

3 加強(qiáng)“云計(jì)算”網(wǎng)絡(luò)安全的舉措

3.1 賬號(hào)認(rèn)證和數(shù)據(jù)加密

針對(duì)云租戶通過(guò)互聯(lián)網(wǎng)使用云平臺(tái)易于遭受中間人攻擊從而造成數(shù)據(jù)泄漏或服務(wù)中斷的問(wèn)題，需要加強(qiáng)賬號(hào)認(rèn)證和數(shù)據(jù)加密，相關(guān)舉措如下：（1）采用多因子身份認(rèn)證，除采用賬號(hào)密碼認(rèn)證之外，增加諸如硬件Token、硬件特征碼、軟證書、短信驗(yàn)證碼等其他認(rèn)證方式，通過(guò)綁定線下硬件的方式增加云租戶的安全性，即便賬號(hào)、密碼被黑客破解，由于線下其他硬件無(wú)法復(fù)制，黑客也無(wú)法獲得虛擬機(jī)的管理權(quán)限；（2）在云租戶和云平臺(tái)之間采用SSL、L2TP、IPSEC等隧道加密技術(shù)對(duì)整個(gè)數(shù)據(jù)流進(jìn)行加密，即云租戶在將數(shù)據(jù)流傳輸至互聯(lián)網(wǎng)上之前，首先通過(guò)加密技術(shù)轉(zhuǎn)換成密文，即便數(shù)據(jù)流被黑客截獲，其也無(wú)法破解并拿到明文；（3）云租戶采用專用終端進(jìn)行云平臺(tái)運(yùn)維，并加強(qiáng)專用運(yùn)維中斷的安全管理，安裝專用殺毒軟件，即時(shí)進(jìn)行補(bǔ)丁更新和木馬檢測(cè)，以防止運(yùn)維終端一側(cè)的數(shù)據(jù)信息被黑客惡意獲取。

3.2 建立云監(jiān)測(cè)服務(wù)平臺(tái)

云平臺(tái)涉及云租戶終端安全、系統(tǒng)安全、數(shù)據(jù)安全、應(yīng)用安全、云平臺(tái)安全等多個(gè)層面，無(wú)論哪個(gè)個(gè)層面出現(xiàn)問(wèn)題都會(huì)給云租戶的業(yè)務(wù)系統(tǒng)帶來(lái)非常大的影響，需要建立涵蓋終端到服務(wù)器、數(shù)據(jù)到應(yīng)用的全面地監(jiān)測(cè)服務(wù)平臺(tái)，主要分為以下幾個(gè)方面：（1）建立終端、系統(tǒng)、應(yīng)用和數(shù)據(jù)的安全預(yù)警系統(tǒng)，將云租戶相關(guān)的基礎(chǔ)設(shè)施資源報(bào)警日志標(biāo)準(zhǔn)化并輸出至云租戶管理運(yùn)維終端上，使得云租戶可以隨時(shí)掌握“云”上出現(xiàn)的問(wèn)題，以便及時(shí)采取相應(yīng)的應(yīng)對(duì)措施；（2）云平臺(tái)服務(wù)商定時(shí)對(duì)“云”端的基礎(chǔ)設(shè)施進(jìn)行包括漏洞掃描、后門檢測(cè)、木馬查殺等健康檢查服務(wù)，及時(shí)對(duì)云平臺(tái)管理軟件、操作系統(tǒng)和開(kāi)發(fā)平臺(tái)的系統(tǒng)補(bǔ)丁進(jìn)行更新，提示系統(tǒng)存在安全風(fēng)險(xiǎn)的云租戶及時(shí)進(jìn)行安全整改，對(duì)存在嚴(yán)重安全漏洞可能會(huì)危及整個(gè)云平臺(tái)或其他云租戶安全的應(yīng)用系統(tǒng)及時(shí)下架隔離；（3）建立“云端”安全大數(shù)據(jù)分析系統(tǒng)，對(duì)未來(lái)可能發(fā)生的安全事件進(jìn)行提前預(yù)測(cè)和報(bào)警，云平臺(tái)提前做好系統(tǒng)層面的流量牽引、木馬監(jiān)控、入侵防御等措施，并通知云租戶在業(yè)務(wù)系統(tǒng)層面提前進(jìn)行防范；（4）集中利用云平臺(tái)安全管理的技術(shù)優(yōu)勢(shì)，為用戶提供安全開(kāi)發(fā)接口，使得云租戶可以根據(jù)自身的安全需求，通過(guò)云平臺(tái)提供的防火墻API、應(yīng)用安全API、數(shù)據(jù)安全API、業(yè)務(wù)安全API實(shí)現(xiàn)自己個(gè)性化的需求；（5）建立云端應(yīng)用系統(tǒng)分級(jí)管控機(jī)制，云租戶在租用“云服務(wù)”商的“云端資源”時(shí)可以根據(jù)自身的實(shí)際需求購(gòu)買不同等級(jí)的“安全服務(wù)”，“云服務(wù)”商應(yīng)將處于不同安全等級(jí)的虛擬機(jī)部署在不同的宿主機(jī)上并做好相互之間的隔離，以盡量減少安全等級(jí)較低的虛擬機(jī)由于自身的安全問(wèn)題向安全等級(jí)較高的業(yè)務(wù)系統(tǒng)進(jìn)行滲透；（6）建立云租戶和“云服務(wù)”商內(nèi)部人員權(quán)限分級(jí)和操作審計(jì)管理系統(tǒng)，形成從云租戶到內(nèi)部管理人員的完整審計(jì)鏈條，防范“云服務(wù)”商內(nèi)部人員的操作風(fēng)險(xiǎn)和道德風(fēng)險(xiǎn)。

4 結(jié)論

“云”的超大規(guī)模帶來(lái)了網(wǎng)絡(luò)安全問(wèn)題的復(fù)雜性，“云端”資源共享帶來(lái)了不同云租戶業(yè)務(wù)系統(tǒng)之間互相影響并使得整個(gè)“云端”存在“水桶效應(yīng)”的問(wèn)題，云平臺(tái)存在固有的賬號(hào)和數(shù)據(jù)安全、管理人員道德風(fēng)險(xiǎn)的問(wèn)題。這些安全問(wèn)題，與傳統(tǒng)的網(wǎng)絡(luò)安全互有交叉，但存在著一些新的趨勢(shì)和特點(diǎn)。本文對(duì)這些安全問(wèn)題進(jìn)行了淺析，提出了加強(qiáng)賬號(hào)認(rèn)證和數(shù)據(jù)加密，并建立涵蓋從云租戶到”云服務(wù)”商、從終端安全到業(yè)務(wù)業(yè)務(wù)安全、從漏洞掃描到安全接口、從安全需求到審計(jì)預(yù)警系統(tǒng)的全方位的”云監(jiān)測(cè)”服務(wù)平臺(tái)的舉措。