云資源池數(shù)據(jù)安全生命周期研究與實踐

亓清華，王海飛，洪濤涌，費孔鶴

（中郵建技術(shù)有限公司，江蘇 南京 210012）

近些年來，云計算技術(shù)發(fā)展迅速，云端運算中所采用的云資源池也被大規(guī)模采用，在這個背景下，云資源池數(shù)據(jù)使用的安全性問題也得到了更多的關(guān)注，而與此同時云資源池數(shù)據(jù)的安全性風(fēng)險隨著被使用率的增大也與日俱增。如何在云計算技術(shù)中有效規(guī)范對云資源池的數(shù)據(jù)管理，有效維護云資源池中的虛擬資產(chǎn)，從而避免數(shù)據(jù)外泄已成為當(dāng)前云計算技術(shù)發(fā)展中必須研究的重點課題，課題研究的主要意義就是實現(xiàn)對云資源池中敏感數(shù)據(jù)的系統(tǒng)監(jiān)管、歸類、分析、審核、授權(quán)、脫敏等目標(biāo)。

1 云資源池數(shù)據(jù)安全系統(tǒng)架構(gòu)及防護體系

隨著信息時代的發(fā)展，信息具備越來越重要的價值，信息價值的提升提高了信息泄露的成本；對于一些具備較高價值的數(shù)據(jù)，如果不采取一定手段加以防護，讓不法分子趁虛而入獲得這些數(shù)據(jù)，給數(shù)據(jù)持有者或者運營者帶來巨大的經(jīng)濟損失、信用損失以及社會影響。由此可見，對于云資源池數(shù)據(jù)安全的全生命周期管控是非常必要的，當(dāng)下云資源池的數(shù)據(jù)安全防護系統(tǒng)架構(gòu)和防護體系如下。

1.1 系統(tǒng)架構(gòu)

云資源池的安全建設(shè)，需要針對云資源池中的虛擬主機實施加密數(shù)據(jù)保護，而防護加密數(shù)據(jù)的前提就是識別和歸類加密信息，對敏感數(shù)據(jù)實施目標(biāo)指向的防護，而實現(xiàn)這種防護的方式主要是利用對云資源池的引流技術(shù)，對云資源池中的加密內(nèi)容和信息流進行即時監(jiān)測，同時利用計算機的辨識技術(shù)對敏感數(shù)據(jù)進行傳輸、儲存過程中出現(xiàn)的威脅檢測，上傳到云計算管理平臺對這些數(shù)據(jù)進行統(tǒng)一保護。根據(jù)實現(xiàn)數(shù)據(jù)安全防護的功能構(gòu)建云資源池拓?fù)鋱D，如圖1所示。

圖1 云資源池拓?fù)鋱D

對云資源池數(shù)據(jù)的整個生命周期管理、管控措施等，必須從加密信息的產(chǎn)生和加密信息的資源管理出發(fā)，使SDN虛擬化引流成為重要手段，突破物理機與流量不可分割的技術(shù)難題。即實現(xiàn)云資源池敏感數(shù)據(jù)生命周期控制策略和集中于虛擬化安全域的重要手段，是云計算安全與管控功能擴展的關(guān)鍵。

1.2 防護體系

云計算的安全保護框架是依據(jù)云等保三級規(guī)定，并根據(jù)工信部關(guān)于云計算基礎(chǔ)系統(tǒng)建立的規(guī)定對云端的保護做出完整的設(shè)計。按照云等保三級要求的界定標(biāo)準(zhǔn)，使云計算信息安全保護系統(tǒng)分為內(nèi)容安全、使用信息安全、服務(wù)器設(shè)備安全、網(wǎng)絡(luò)安全、運維信息安全等五大類，在國家人社部云計算規(guī)范體系要求下，在云計算資源池系統(tǒng)中的所有用戶，均必須經(jīng)過虛擬機的虛擬層與外界聯(lián)系，而虛擬聯(lián)系的實質(zhì)目的就是保證所有用戶之間真實信息的隱秘性，要對信息互換的虛層進行嚴(yán)格控制與管理，以防止云資源池系統(tǒng)在虛擬環(huán)境下出現(xiàn)安全問題?；诖藢Π踩雷o控制機制基本模型進行優(yōu)化，如圖2所示。

圖2 安全防護控制機制基本模型

云計算資源池的管理服務(wù)器由虛擬化系統(tǒng)為基礎(chǔ)構(gòu)建，通過虛擬主機、虛擬系統(tǒng)實現(xiàn)對用戶的管理，并通過對虛擬系統(tǒng)的入侵檢測等手段，建立完善的安全控制系統(tǒng)和防護功能。在安全防御系統(tǒng)中包括應(yīng)用安全防御系統(tǒng)軟件。目前云計算安全防護體系應(yīng)用的入侵監(jiān)測工具主要有IDS、WAF、IPS等，在防護策略上分為以下幾點。

1.2.1 高效的網(wǎng)絡(luò)行為檢測

對重點虛擬化文件訪問進行實時監(jiān)控，監(jiān)控范圍覆蓋虛擬訪問的全生命周期?？勺R別廣泛網(wǎng)絡(luò)應(yīng)用層協(xié)議，辨別文件真實類型。通過協(xié)議分析、內(nèi)容萃取、事件觸發(fā)、跟蹤監(jiān)控等報告事件，再經(jīng)深度分析快速鑒別出DDoS攻擊、SSH/FTP暴力破解、SQL注入、DNS/ARP污染、漏洞掃描等網(wǎng)絡(luò)惡意行為。

1.2.2 威脅變種基因檢測

可以利用惡意代碼在變種過程中的遺傳學(xué)特征，即基因在遺傳過程中的復(fù)制特性及部分基因突變特性，對惡意代碼進行檢測。通過基因比對，可以很輕易的識別出惡意代碼變種。

1.2.3 敏捷的機器學(xué)習(xí)

具備學(xué)習(xí)功能，利用基因檢測情報自動升級病毒特征庫，利用未知威脅檢測情報自動升級基因圖譜庫。各檢測引擎相互學(xué)習(xí)、相互補充，機器將不斷自我強壯，進一步鞏固防御能力。

2 云資源池功能性分析

2.1 自動聚類算法的實現(xiàn)

數(shù)據(jù)分類標(biāo)準(zhǔn)會在人工智能的自動聚類算法中得到定義，促使廣義敏感數(shù)據(jù)詞條能夠不斷地被納入到人工智能的數(shù)據(jù)庫中，經(jīng)過長時間的篩選，最終形成云資源數(shù)據(jù)防火墻。

自動聚類算法是一種典型的無機器指導(dǎo)學(xué)習(xí)方法，該方法能夠使用特定的算法對不同的文檔、詞條數(shù)據(jù)分類，并映射特征向量到空間中不同的點，根據(jù)這些點的聚焦程度對某些特定的敏感詞匯進行標(biāo)記。在一個特定的空間中，同一類型的文本、詞條對應(yīng)點的集合也相同，而這些點通常都會聚集在同一個空間區(qū)域內(nèi)，自動聚類算法正是應(yīng)用了這種空間區(qū)域的捕捉讓文本、詞條對應(yīng)的點得以歸類，分析數(shù)據(jù)之間的相似性，將屬于同一類別的詞匯劃分出來并整合到一起。

2.2 資源池敏感數(shù)據(jù)的管理

對現(xiàn)有的資源池虛擬機進行更迭，在虛擬機中嵌入掃描賬號，讓虛擬機能夠自動發(fā)現(xiàn)新增、新建的詞條。這種管理方式在云計算資源池的敏感數(shù)據(jù)管控中起到良好效果，虛擬機的賬號掃描功能以及自動聚類算法能夠?qū)崿F(xiàn)資源池的敏感數(shù)據(jù)管理。將數(shù)據(jù)中心整體結(jié)構(gòu)劃分為4個區(qū)域，構(gòu)建資源池敏感數(shù)據(jù)管理模型，如圖3所示。

圖3 資源池敏感數(shù)據(jù)管理模型

虛擬機的服務(wù)端會通過多種方式識別資源池中的敏感信息和機密信息，然后通過自動聚類算法將這些信息納入到數(shù)據(jù)庫中進行統(tǒng)一管理。掃描功能涉及到字、詞、字段的識別技術(shù)，同時一些表達式、文件指紋指令、文件MD5等都是掃描關(guān)注的目標(biāo)。

2.3 資源池敏感數(shù)據(jù)牽引及審計

資源池敏感性信息的牽引是利用虛擬導(dǎo)流器進行的，透過對虛擬機導(dǎo)流器引流所產(chǎn)生的流動做出標(biāo)識，并追溯標(biāo)記目標(biāo)中的敏感性信息，從而在安全區(qū)域的內(nèi)部對各個子區(qū)域、安全域和其他類型的信息交換、數(shù)據(jù)傳輸、數(shù)據(jù)流等建立可視化的關(guān)聯(lián)圖，而這種可視化關(guān)聯(lián)圖也就是加密數(shù)據(jù)的實時流動圖像，這樣就完成了資源池敏感數(shù)據(jù)的牽引工作。

對資源池數(shù)據(jù)審計的主要過程是通過審查數(shù)據(jù)流發(fā)布的內(nèi)容，對公共、未開放的內(nèi)容進行識別，并由此而產(chǎn)生了各種編碼格式的協(xié)議，而審計工作的終極目的則是對各種編碼格式的內(nèi)容進行整合，并由此來管控資源系統(tǒng)中不同模塊間的數(shù)據(jù)，對信息共享、日志轉(zhuǎn)發(fā)、計劃執(zhí)行、流量查詢等操作均建立相應(yīng)的接口，進而對資源池內(nèi)加密數(shù)據(jù)的用戶系統(tǒng)和存放敏感數(shù)據(jù)的虛擬系統(tǒng)等實施流量控制，并及時發(fā)現(xiàn)敏感數(shù)據(jù)的異常情況，并對此進行限流。

2.4 資源池數(shù)據(jù)脫敏

資源池的信息脫敏技術(shù)能夠?qū)Σ煌男畔⒒蛎舾袛?shù)據(jù)實現(xiàn)自動化鑒別，從而進行對這些加密數(shù)據(jù)的預(yù)設(shè)屏蔽，屏蔽后的數(shù)據(jù)完全保持了原始數(shù)據(jù)的風(fēng)格、特征，而僅僅篩選掉了信息中的隱私和敏感部分，使得應(yīng)用程序可以在對資源池數(shù)據(jù)脫敏后，依然能夠使用這些信息進行研究和試驗。資源池數(shù)據(jù)脫敏功能支持B/S應(yīng)用模式。應(yīng)用B/S應(yīng)用模式的產(chǎn)品提供了統(tǒng)一的管理界面，同時脫敏算法以及可拓展的數(shù)據(jù)庫類型變得更為多元化，目前應(yīng)用B/S脫敏的數(shù)據(jù)庫系統(tǒng)有Oracle、DB2等，這些系統(tǒng)都在B/S的支持下滿足其他任意類型的數(shù)據(jù)庫添加和敏感信息脫敏等。

3 云資源池數(shù)據(jù)備份的安全策略

3.1 確定數(shù)據(jù)備份對象

為了防止云資源池數(shù)據(jù)在極限場景下發(fā)生重大數(shù)據(jù)泄露事故，需要在云資源池數(shù)據(jù)區(qū)域確立后對數(shù)據(jù)進行備份，對于敏感數(shù)據(jù)需要及時進行數(shù)據(jù)恢復(fù)，整個備份和恢復(fù)的過程依托自動化識別存儲技術(shù)，并考慮不同設(shè)備數(shù)據(jù)備份的價值，讓最有價值的一級數(shù)據(jù)優(yōu)先得到備份和存儲。

對云資源池數(shù)據(jù)進行備份的先決條件是確定數(shù)據(jù)備份對象。對于大區(qū)節(jié)點的VNF數(shù)據(jù)，其中話單需要保存近90天的數(shù)據(jù)；ENUM/DNS用戶數(shù)據(jù)需要對近一周之內(nèi)每天的數(shù)據(jù)進行備份保存，近1個月之內(nèi)的每周數(shù)據(jù)進行備份保存，近3個月之內(nèi)的每月數(shù)據(jù)進行備份保存；其他類型的數(shù)據(jù)則需要對近1個月之內(nèi)的每周文件進行數(shù)據(jù)保存。對于cloud OS數(shù)據(jù)中的配置數(shù)據(jù)需要對近1周之內(nèi)每天的數(shù)據(jù)進行備份保存。這就是云資源池數(shù)據(jù)備份的主要對象和備份時限。

3.2 網(wǎng)元數(shù)據(jù)的備份要求

目前云資源池中的網(wǎng)元主要分為EPC、NFVI、VoLTE、IMS和5GC等，首先需要確定各個網(wǎng)元下的產(chǎn)品數(shù)據(jù)安全重要性等級高低，然后根據(jù)重要性和數(shù)據(jù)類型對其進行備份。其中EPC網(wǎng)元的數(shù)據(jù)產(chǎn)品包含USN、UGW、CG、DNS幾種，USN的數(shù)據(jù)安全等級較高，一旦USN數(shù)據(jù)丟失可能會造成系統(tǒng)損壞，并且無法在短時間內(nèi)恢復(fù)到最新的產(chǎn)品配置，因此USN產(chǎn)品的數(shù)據(jù)備份周期也需要盡量縮短，保證數(shù)據(jù)丟失后能夠檢索到最近一天的產(chǎn)品配置，建議USN備份周期為對一周之內(nèi)每天的數(shù)據(jù)進行備份保存，備份文件大小在5~1000M（根據(jù)產(chǎn)品的性質(zhì)而定），備份的介質(zhì)為硬盤。對于UGW、CG、DNS等產(chǎn)品的備份要求同樣如此，如果數(shù)據(jù)本身的重要性并不高，那么可以適當(dāng)延長備份周期，對于非常重要的數(shù)據(jù)資料則需要進行實時備份，備份文件的大小依據(jù)產(chǎn)品的性質(zhì)而定，一般情況下采用的備份介質(zhì)為硬盤，一些極為重要的數(shù)據(jù)文件備份可能會用到磁陣。

3.3 網(wǎng)元數(shù)據(jù)的恢復(fù)方法

在網(wǎng)元數(shù)據(jù)備份周期確定后，很大程度上已經(jīng)保證云資源池數(shù)據(jù)生命周期的安全性。數(shù)據(jù)丟失后，可以使用備份數(shù)據(jù)對數(shù)據(jù)進行恢復(fù)，就NFVI網(wǎng)元的數(shù)據(jù)恢復(fù)而言，具體的數(shù)據(jù)恢復(fù)操作主要分為以下幾個步驟：

（1）校驗NFVI網(wǎng)元側(cè)配置數(shù)據(jù)和原網(wǎng)元側(cè)數(shù)據(jù)配置是否一致。

（2）上載、下載NFVI網(wǎng)元的配置數(shù)據(jù)。

（3）腳本文件導(dǎo)入、導(dǎo)出，將備份NFVI網(wǎng)元側(cè)數(shù)據(jù)配置導(dǎo)出為腳本進行保存。

（4）恢復(fù)NFVI網(wǎng)元產(chǎn)品數(shù)據(jù)庫，在恢復(fù)的過程中如果遇到系統(tǒng)異常情況可以中斷恢復(fù)，清空已恢復(fù)數(shù)據(jù)后重新操作。

4 結(jié)語

綜上所述，云資源池的數(shù)據(jù)安全相關(guān)研究是一項具有前瞻性的研究，并且保護云資源池數(shù)據(jù)安全生命周期相關(guān)技術(shù)屬于前沿技術(shù)。就技術(shù)角度而言，云計算行業(yè)內(nèi)的相關(guān)學(xué)術(shù)研究還較少，傳統(tǒng)的數(shù)據(jù)安全大多依靠的是終端和網(wǎng)絡(luò)側(cè)的數(shù)據(jù)防泄露檢測，也就是通常意義上來講的防火墻、WAF等，但是在云計算環(huán)境中，云資源池的數(shù)據(jù)安全防護無法使用這些較為傳統(tǒng)的數(shù)據(jù)防護技術(shù)，傳統(tǒng)技術(shù)并不能夠識別云資源池中虛擬機之間的數(shù)據(jù)泄露風(fēng)險。因此需要針對云資源池的數(shù)據(jù)安全進行技術(shù)革新，并為數(shù)據(jù)拓展奠定堅實的基礎(chǔ)。