云主機(jī)資源池安全策略分析

翟麗娜

（廣州番禺職業(yè)技術(shù)學(xué)院，廣東 廣州 511483）

0 引 言

云計(jì)算技術(shù)是一種新興的共享基礎(chǔ)架構(gòu)方法，將龐大的信息系統(tǒng)池連接起來提供各種IT服務(wù)。云計(jì)算被視為“革命性的計(jì)算模型”，其利用互聯(lián)網(wǎng)使得計(jì)算能力的自由流通成為可能，主要優(yōu)勢(shì)包括按需自助服務(wù)、廣泛的網(wǎng)絡(luò)接入、資源池化、快速?gòu)椥允湛s以及可計(jì)量服務(wù)[1]。

目前，規(guī)?；_展的商業(yè)性云計(jì)算業(yè)務(wù)主要集中在云主機(jī)資源池和云存儲(chǔ)資源池兩大領(lǐng)域。隨著信息系統(tǒng)的不斷發(fā)展，安全問題也逐漸引起人們的注意。從本質(zhì)上說，云主機(jī)資源池也是一種IT系統(tǒng)，存在和其他IT系統(tǒng)一樣的安全問題，包括基礎(chǔ)設(shè)施安全、數(shù)據(jù)安全、應(yīng)用安全等。安全共性問題如圖1所示。

圖1 安全共性問題

與此同時(shí)，基于虛擬化、分布式計(jì)算等底層架構(gòu)技術(shù)的引入，云計(jì)算應(yīng)用的信息呈現(xiàn)出高度集中性、無邊界性以及流動(dòng)性特點(diǎn)，云主機(jī)資源池面臨許多新的安全威脅。

1 云主機(jī)資源池安全問題

在深入探討云主機(jī)資源池的安全問題前，不得不提到虛擬化。在云計(jì)算領(lǐng)域有一種共識(shí)，即云計(jì)算是一種模式，但虛擬化是一種技術(shù)，而且是提供基礎(chǔ)設(shè)施即服務(wù)（Infrastructure as a Service，IaaS）云計(jì)算服務(wù)的核心技術(shù)。通過虛擬化可以在1臺(tái)物理服務(wù)器上模擬出多個(gè)獨(dú)立的服務(wù)器來，這些模擬出的多個(gè)服務(wù)器都有自己獨(dú)立的操作系統(tǒng)。虛擬化的本質(zhì)就是將原先的物理設(shè)備進(jìn)行邏輯卷化，轉(zhuǎn)化成1個(gè)個(gè)文件夾或文件，解除軟硬件的綁定[2]。傳統(tǒng)數(shù)據(jù)中心網(wǎng)絡(luò)的安全策略更多針對(duì)看得見、摸得著的物理設(shè)備，對(duì)于數(shù)據(jù)和流量的安全方案也會(huì)有一一對(duì)應(yīng)的檢測(cè)設(shè)備去實(shí)現(xiàn)。云主機(jī)資源池安全問題類型如圖2所示。

圖2 云主機(jī)資源池安全問題類型

分布式拒絕服務(wù)攻擊（Distributed Denial of Service，DDoS）是常見的網(wǎng)絡(luò)攻擊，并非云計(jì)算環(huán)境下特有。企業(yè)中的關(guān)鍵應(yīng)用、核心服務(wù)數(shù)據(jù)由傳統(tǒng)內(nèi)外隔離的內(nèi)網(wǎng)遷移到了云計(jì)算主機(jī)資源池，更多的數(shù)據(jù)應(yīng)用和集成業(yè)務(wù)開始依靠互聯(lián)網(wǎng)，DDOS帶來的破壞程度將會(huì)大大增加，這也從側(cè)面反映出安全性問題是云主機(jī)資源池推廣和應(yīng)用的最大挑戰(zhàn)之一[3]。虛擬化技術(shù)的引入使得不同虛擬主機(jī)之間的安全邊界不再清晰，傳統(tǒng)以物理服務(wù)器為單位劃分安全域的方式已不再適用。尤其在多租戶模式下，安全需求復(fù)雜多變，虛擬安全域數(shù)量增多，用戶都期望擁有獨(dú)立的安全空間，并配備自我服務(wù)的安全管理和配置功能，因此虛擬安全域的隔離和防護(hù)是云安全的一個(gè)重要問題。

虛擬機(jī)管理器（Virtual Machine Monitor，VMM）是所有虛擬化的核心，負(fù)責(zé)管理所有的虛擬資源，具有分區(qū)、隔離、封裝的功能。在虛擬環(huán)境中，以虛擬化機(jī)作為最小網(wǎng)元單位，傳統(tǒng)防火墻、入侵檢測(cè)與防御設(shè)備并不能感受到同一臺(tái)物理服務(wù)器上各虛擬機(jī)之間的通信流量變化，這已經(jīng)成為安全保護(hù)中的盲區(qū)。云主機(jī)資源池安全系統(tǒng)在提供安全防護(hù)的同時(shí)，應(yīng)保持高可用度，以確保業(yè)務(wù)連續(xù)性、更高的可靠性、更短的停機(jī)時(shí)限以及更簡(jiǎn)單的維修與更新。同時(shí)，由于云主機(jī)資源池是彈性拓展，因此安全設(shè)備也必須是彈性擴(kuò)展。主機(jī)資源池的用戶數(shù)據(jù)、管理、存儲(chǔ)等均與云計(jì)算系統(tǒng)有關(guān)，應(yīng)支持通過采用隔離數(shù)據(jù)、控制訪問、傳輸加密、存儲(chǔ)安全以及保護(hù)剩余數(shù)據(jù)等技術(shù)手段向用戶提供點(diǎn)對(duì)點(diǎn)（Peer-to-Peer，P2P）的數(shù)據(jù)安全與隱私保障，從而確保用戶信息的可用性、私密性、完整性[4]。運(yùn)維管理人員和客戶有遠(yuǎn)程進(jìn)行連接、訪問并控制云服務(wù)器的需求，因此需要對(duì)服務(wù)器進(jìn)行安全訪問控制、安全審核等，確保服務(wù)器的安全接入。

2 云主機(jī)資源池安全防護(hù)架構(gòu)

2.1 物理安全防護(hù)

云主機(jī)資源池對(duì)物理環(huán)境安全的要求符合數(shù)據(jù)中心相關(guān)建設(shè)標(biāo)準(zhǔn)，由于云計(jì)算技術(shù)的應(yīng)用導(dǎo)致宿主服務(wù)器的使用率提升，數(shù)據(jù)中心容易出現(xiàn)局部熱點(diǎn)問題，因此要充分考慮電力與空調(diào)配置安全。此外，考慮到多個(gè)數(shù)據(jù)中心的備份及冗余問題，獨(dú)立雙傳輸鏈路也很有必要[5]。

2.2 基礎(chǔ)設(shè)施安全防護(hù)

主機(jī)主要指運(yùn)行虛擬機(jī)的宿主主機(jī)（物理服務(wù)器），系統(tǒng)上線運(yùn)行前要先進(jìn)行安全評(píng)估，根據(jù)評(píng)估結(jié)果從系統(tǒng)安全加固、安全防護(hù)、訪問控制3個(gè)層面采取安全措施。建議在云計(jì)算數(shù)據(jù)中心網(wǎng)絡(luò)中部署入侵檢測(cè)與防御系統(tǒng)，實(shí)時(shí)檢測(cè)各類非法入侵行為，并在發(fā)生嚴(yán)重入侵事件時(shí)及時(shí)采取有效的解決措施[6]。

管理終端面臨病毒、蠕蟲、木馬泛濫的威脅，不安全的管理終端可能對(duì)整個(gè)云計(jì)算系統(tǒng)構(gòu)成極大的安全威脅。管理終端軟硬件配置應(yīng)能滿足和保證終端安全策略的執(zhí)行，主要包括終端系統(tǒng)安全防護(hù)、網(wǎng)絡(luò)接入控制、用戶行為控制3部分內(nèi)容。初始化過程應(yīng)嚴(yán)格遵守安全策略進(jìn)行配置，加強(qiáng)系統(tǒng)補(bǔ)丁管理，安裝防病毒和防惡意代碼軟件進(jìn)行病毒惡意代碼防范，及時(shí)更新病毒庫(kù)等。設(shè)置網(wǎng)絡(luò)認(rèn)證功能，只允許獲得合法授權(quán)的用戶登錄。強(qiáng)制性安全檢查，只有符合接入網(wǎng)絡(luò)安全策略的終端才允許接入網(wǎng)絡(luò)。精細(xì)化訪問控制，分級(jí)分權(quán)，禁止越權(quán)訪問。制定訪問策略規(guī)則，禁止非法外聯(lián)，監(jiān)控網(wǎng)絡(luò)使用狀態(tài)和網(wǎng)絡(luò)流量等。

2.3 網(wǎng)絡(luò)安全防護(hù)

網(wǎng)絡(luò)安全最重要的部分是實(shí)現(xiàn)主機(jī)資源池內(nèi)外網(wǎng)的分離、資源池內(nèi)部不同安全域之間的隔離[7]。在網(wǎng)絡(luò)搭建時(shí)，內(nèi)外部網(wǎng)絡(luò)鏈接實(shí)施物理隔離，即內(nèi)外網(wǎng)接入不同交換機(jī)，服務(wù)器上聯(lián)交換機(jī)端口。云主機(jī)數(shù)據(jù)網(wǎng)絡(luò)安全部署如圖3所示。

圖3 云主機(jī)數(shù)據(jù)網(wǎng)絡(luò)安全部署

根據(jù)云主機(jī)資源池的結(jié)構(gòu)特點(diǎn)，云主機(jī)資源池劃分為網(wǎng)絡(luò)模塊、計(jì)算模塊、存儲(chǔ)模塊、管理模塊等，并采用虛擬專網(wǎng)、虛擬防火墻、虛擬局域網(wǎng)（Virtual Local Area Network，VLAN）劃分以及分布式虛擬交換機(jī)等實(shí)現(xiàn)各模塊的安全隔離，避免網(wǎng)絡(luò)安全問題的擴(kuò)散。對(duì)大規(guī)模異常流量進(jìn)行監(jiān)測(cè)與診斷，防范網(wǎng)絡(luò)攻擊，可根據(jù)需求部署DDoS攻擊防御系統(tǒng)、入侵檢測(cè)和防御設(shè)備檢測(cè)系統(tǒng)。此外，數(shù)據(jù)中心承載網(wǎng)絡(luò)設(shè)備應(yīng)支持設(shè)備級(jí)、鏈路級(jí)的冗余備份，并根據(jù)業(yè)務(wù)需求部署虛擬專用網(wǎng)絡(luò)（Virtual Private Network，VPN）隔離，實(shí)現(xiàn)安全域劃分[8]。

2.4 虛擬化安全防護(hù)

虛擬化安全防護(hù)主要處理虛擬機(jī)數(shù)據(jù)安全隔離與保護(hù)問題[9]。采用虛擬擴(kuò)展局域網(wǎng)（Virtual eXtensible Local Area Network，VXLAN）技術(shù)解決服務(wù)器內(nèi)虛擬2層網(wǎng)絡(luò)通信問題，使用虛擬防火墻進(jìn)行隔離保護(hù)。虛擬機(jī)自身安全防護(hù)主要包括虛擬機(jī)安全加固和惡意代碼防護(hù)。為了防止虛擬機(jī)之間因非法互訪產(chǎn)生的風(fēng)險(xiǎn)，在傳統(tǒng)口令驗(yàn)證的基礎(chǔ)上，增強(qiáng)VPN安全隧道防控能力，并采用令牌環(huán)方式解決偽造不法身份進(jìn)行非法訪問的問題。

2.5 數(shù)據(jù)安全防護(hù)

數(shù)據(jù)安全防護(hù)主要包括數(shù)據(jù)隔離、訪問控制、剩余信息保護(hù)以及快照加密解密完整性保護(hù)等。數(shù)據(jù)安全隔離與訪問控制對(duì)有安全需求的不同虛擬機(jī)劃分不同的VLAN，賦予不同的VLAN ID。一般情況下，屬于不同VLAN的虛擬機(jī)會(huì)劃分不同的IP地址，不屬于同一個(gè)VLAN的用戶若要相互通信必須通過具有3層路由協(xié)議功能的網(wǎng)絡(luò)設(shè)備。用戶還可以根據(jù)自己的安全需求創(chuàng)建安全組，每個(gè)安全組都設(shè)定自己的訪問規(guī)則，加入統(tǒng)一安全組的虛擬機(jī)必須遵循該規(guī)則。通過此種方式，可以實(shí)現(xiàn)虛擬機(jī)的安全隔離和訪問控制。此時(shí)安全組的功能類似于防火墻的作用。

3 云主機(jī)資源池安全管理策略

云資源池安全管理主要通過構(gòu)建并完善用戶管理、認(rèn)證、授權(quán)以及安全審計(jì)等服務(wù)安全運(yùn)作管理體系來規(guī)范安全運(yùn)營(yíng)操作,減少用戶對(duì)安全性的顧慮[10]。服務(wù)安全管理體系問題包括建立服務(wù)安全運(yùn)作策略和安全保障制度等，并在用戶管理、認(rèn)證、授權(quán)以及安全審計(jì)等層次上規(guī)定安全運(yùn)行要求。

云安全管理平臺(tái)是承載云主機(jī)業(yè)務(wù)的基石，必須從多個(gè)層面做好合理的設(shè)置，提高其穩(wěn)定性。首先，做好備份工作，建立多機(jī)熱備機(jī)制，增強(qiáng)系統(tǒng)修復(fù)能力，提高管理平臺(tái)可靠性和數(shù)據(jù)安全性。其次，實(shí)施分權(quán)、分級(jí)管理，規(guī)定不同級(jí)別用戶的訪問權(quán)限，明確授權(quán)機(jī)制，進(jìn)行嚴(yán)格的訪問控制。再次，設(shè)定非法登錄標(biāo)準(zhǔn)，主要包括登錄次數(shù)和登錄時(shí)長(zhǎng)。禁止非法登陸的次數(shù)一般設(shè)定為3次，當(dāng)用戶嘗試3次登陸但均未能成功的情況下就將終止登錄連接。設(shè)置會(huì)話超時(shí)控制，用戶進(jìn)入資源池后在規(guī)定的時(shí)間內(nèi)未能完成操作，就將自動(dòng)暫停與網(wǎng)絡(luò)的連接。因此采用多種身份識(shí)別方法，包括采用復(fù)雜的口令、數(shù)據(jù)認(rèn)證等，實(shí)現(xiàn)對(duì)用戶身份的有效控制。最后，進(jìn)行全面的日志審核，包含對(duì)系統(tǒng)自身審核、數(shù)據(jù)變更審核以及對(duì)日常應(yīng)用操作的審核等。

4 結(jié) 論

云主機(jī)資源池安全方案是云計(jì)算主機(jī)業(yè)務(wù)開展的重要基礎(chǔ)，通過全面分析云主機(jī)資源池面臨的安全問題，明確其與傳統(tǒng)IT系統(tǒng)安全策略的區(qū)別和聯(lián)系。在此基礎(chǔ)上，劃分云主機(jī)資源池安全層次架構(gòu)，制定對(duì)應(yīng)的安全策略，重點(diǎn)實(shí)現(xiàn)虛擬化安全部署，為云主機(jī)安全方案的落地實(shí)施奠定基礎(chǔ)。