云計(jì)算安全風(fēng)險(xiǎn)與保護(hù)技術(shù)框架研究＊

陳雪

（廣州工商學(xué)院，廣東 廣州 510850）

近年來(lái)中國(guó)經(jīng)濟(jì)增速放緩，產(chǎn)業(yè)格局迭代升級(jí)趨勢(shì)愈發(fā)明朗，以網(wǎng)絡(luò)科技、通信科技為依托的新興產(chǎn)品、技術(shù)持續(xù)涌現(xiàn)，物聯(lián)網(wǎng)、區(qū)塊鏈等新名詞不絕于耳，云計(jì)算作為其中典型代表，通用性、擴(kuò)展性?xún)?yōu)勢(shì)非常明顯，解決了傳統(tǒng)業(yè)務(wù)處理方式下，計(jì)算能力不足、擴(kuò)建成本過(guò)高的困境，促進(jìn)了數(shù)據(jù)的高速流通和交互。但該種趨勢(shì)的發(fā)展也帶來(lái)了一定困擾，開(kāi)放環(huán)境下數(shù)據(jù)泄露、外部攻擊風(fēng)險(xiǎn)明顯提高，有必要對(duì)其安全防護(hù)技術(shù)框架進(jìn)行完善和優(yōu)化。

1 云計(jì)算安全風(fēng)險(xiǎn)探析

云計(jì)算是科技理念更新、迭代的產(chǎn)物，能夠通過(guò)虛擬化技術(shù)，將計(jì)算任務(wù)分布到不同資源池之中，從而增大系統(tǒng)存儲(chǔ)空間，獲得計(jì)算能力上的跨越式提升，從技術(shù)架構(gòu)上看，其大致可以分為3 個(gè)不同層級(jí)，其中，IaaS 層位于最底層，主要包含各類(lèi)基礎(chǔ)設(shè)施、設(shè)備，可以將其整合成虛擬資源池，方便用戶數(shù)據(jù)存儲(chǔ)以及程序代碼運(yùn)行；PssS 層則提供平臺(tái)、環(huán)境，可以容納多種程序接口，并為數(shù)據(jù)庫(kù)、文件系統(tǒng)等的測(cè)試運(yùn)行提供便利；SaaS 層處于架構(gòu)頂端，可以在Web 瀏覽器的支撐下，向用戶開(kāi)放交互界面和軟件[1]，滿足多點(diǎn)訪問(wèn)需求。

近年來(lái)中國(guó)網(wǎng)絡(luò)覆蓋率持續(xù)上升，各企業(yè)、用戶對(duì)云計(jì)算的需求量呈現(xiàn)出爆發(fā)式增長(zhǎng)，云計(jì)算應(yīng)用中潛在的風(fēng)險(xiǎn)因素也顯著增多，大致可以歸結(jié)為以下5點(diǎn)：①身份冒用風(fēng)險(xiǎn)。為確保安全，云計(jì)算虛擬平臺(tái)通常采用賬號(hào)密碼形式認(rèn)證用戶身份，但部分攻擊者通過(guò)不法渠道竊取該類(lèi)信息，借助冒用身份進(jìn)行消費(fèi)、竊聽(tīng)，嚴(yán)重危害了用戶安全。②共享環(huán)境風(fēng)險(xiǎn)。云計(jì)算之所以能夠?qū)崿F(xiàn)大規(guī)模的覆蓋和計(jì)算，關(guān)鍵在于虛擬資源池的搭建，在該種平臺(tái)組織策略下，傳統(tǒng)的防護(hù)墻技術(shù)很難發(fā)揮效能，惡意代碼一旦傳播擴(kuò)散，必將造成更大范圍的危害。③數(shù)據(jù)泄露風(fēng)險(xiǎn)。在新常態(tài)背景下，數(shù)據(jù)作為隱形資產(chǎn)的價(jià)值被越來(lái)越多的人所認(rèn)可，存儲(chǔ)于云平臺(tái)的數(shù)據(jù)一旦出現(xiàn)泄露、篡改、丟失等問(wèn)題必然影響其固有價(jià)值。④DDoS 攻擊風(fēng)險(xiǎn)。Web 環(huán)境是云計(jì)算技術(shù)的關(guān)鍵依托，部分不法分子利用該種特征，從多個(gè)節(jié)點(diǎn)同時(shí)實(shí)施攻擊，占據(jù)系統(tǒng)大量資源，并損壞運(yùn)行穩(wěn)定性。⑤對(duì)內(nèi)防范風(fēng)險(xiǎn)。云計(jì)算服務(wù)提供開(kāi)放資源池，從合作形式看，更傾向于外包業(yè)務(wù)，租戶企業(yè)的內(nèi)部員工、運(yùn)營(yíng)商員工、管理者等均具備接入資源池的能力，這就給內(nèi)部防范工作帶來(lái)極大壓力，控制協(xié)調(diào)不當(dāng)很容易導(dǎo)致數(shù)據(jù)異常泄露等問(wèn)題。

2 云計(jì)算安全保護(hù)技術(shù)框架搭建

2.1 設(shè)計(jì)思路

云安全框架搭建環(huán)節(jié)，需要對(duì)攻擊特征、風(fēng)險(xiǎn)種類(lèi)、防護(hù)需求等進(jìn)行全方位分析，從既有案例來(lái)看，惡意入侵造成的波及范圍是十分廣泛的。從物理層視角上看，可能發(fā)生門(mén)禁破壞、設(shè)施破壞等問(wèn)題；從網(wǎng)絡(luò)層、主機(jī)層視角看，又可能發(fā)生非法訪問(wèn)、非法入侵等情況；針對(duì)應(yīng)用層、數(shù)據(jù)層展開(kāi)攻擊時(shí)，還會(huì)發(fā)生數(shù)據(jù)丟失、應(yīng)用宕機(jī)等情況。因此要采用針對(duì)性分析策略，分別引進(jìn)聯(lián)動(dòng)預(yù)防、隔離預(yù)防、統(tǒng)一身份認(rèn)證等技術(shù)，保障安全框架全面性和系統(tǒng)性。

2.2 網(wǎng)絡(luò)安全層

2.2.1 數(shù)據(jù)中心劃分與隔離

開(kāi)放、共享是云計(jì)算平臺(tái)最為顯著的特征，其中牽涉、覆蓋的數(shù)據(jù)節(jié)點(diǎn)數(shù)量多、結(jié)構(gòu)復(fù)雜，一旦發(fā)生惡意攻擊行為，將會(huì)在平臺(tái)內(nèi)部發(fā)生大范圍擴(kuò)散，因此引入網(wǎng)絡(luò)隔離技術(shù)，對(duì)數(shù)據(jù)中心進(jìn)行分隔保護(hù)。分隔依據(jù)主要為業(yè)務(wù)功能，同時(shí)兼顧網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，重點(diǎn)區(qū)域分述如下：①DMZ 區(qū)，該區(qū)域位于內(nèi)外防火墻中間，可以起到緩沖、防護(hù)的作用，整體安全性能低于內(nèi)網(wǎng)，面臨的潛在風(fēng)險(xiǎn)也非常之多，主要負(fù)責(zé)部署前置部件，管理對(duì)象包含API 網(wǎng)關(guān)[2]等。設(shè)計(jì)環(huán)節(jié)增加入侵檢測(cè)、攔截設(shè)備，與基礎(chǔ)防火墻搭配，可以起到抵御風(fēng)險(xiǎn)、保護(hù)數(shù)據(jù)安全的作用。②公共服務(wù)區(qū)，在安全框架中扮演部署、統(tǒng)籌角色，可以對(duì)IaaS、PaaS等層級(jí)組件進(jìn)行分配，設(shè)計(jì)環(huán)節(jié)隔離等級(jí)設(shè)置為半開(kāi)放，可以受限向租戶提供服務(wù)，且所有操作均要經(jīng)過(guò)DMZ 區(qū)過(guò)濾。

2.2.2 業(yè)務(wù)平面劃分與隔離

云計(jì)算平臺(tái)涉及的業(yè)務(wù)種類(lèi)非常多樣，為避免業(yè)務(wù)繁雜性帶來(lái)的不利影響，確保設(shè)備、資源始終處于安全防范范疇以?xún)?nèi)，還需要對(duì)相關(guān)業(yè)務(wù)項(xiàng)目進(jìn)行劃分隔離，分隔依據(jù)包含安全風(fēng)險(xiǎn)等級(jí)、業(yè)務(wù)權(quán)限等，劃分后主要分為5 個(gè)部分，其中，租戶數(shù)據(jù)平面是主要通信渠道，可以與下設(shè)的各類(lèi)虛擬機(jī)建立聯(lián)系，保障業(yè)務(wù)的正常供應(yīng)；業(yè)務(wù)控制平面則提供接口服務(wù)，可以保障各類(lèi)API 安全性能；平臺(tái)運(yùn)維板塊則為運(yùn)行、維護(hù)業(yè)務(wù)設(shè)計(jì)，可以面向網(wǎng)絡(luò)設(shè)備、服務(wù)器等開(kāi)展管理。此外還有BMC 管理平面、數(shù)據(jù)存儲(chǔ)平面等，分別負(fù)責(zé)應(yīng)急維護(hù)、安全存儲(chǔ)，業(yè)務(wù)板塊相互獨(dú)立、各自為政，同時(shí)又協(xié)調(diào)配合、相得益彰，能夠較好地防止業(yè)務(wù)數(shù)據(jù)泄露、混淆等問(wèn)題。

2.3 主機(jī)安全層

2.3.1 CPU 隔離

主機(jī)板塊是整個(gè)云計(jì)算平臺(tái)的核心所在，本次設(shè)計(jì)中主要采用最小化裁切策略，對(duì)各主機(jī)設(shè)備進(jìn)行分隔防護(hù)，并附帶安全加固手段，謹(jǐn)防惡意攻擊和入侵。在整個(gè)主機(jī)板塊的安全層設(shè)計(jì)過(guò)程中，CPU 隔離占據(jù)關(guān)鍵位置，主要以虛擬機(jī)為中心，實(shí)現(xiàn)其與UⅤP（Unified Ⅴirtualization Platform，統(tǒng)一虛擬化平臺(tái)）之間的隔離，同時(shí)相鄰虛擬機(jī)節(jié)點(diǎn)之間，信息也應(yīng)當(dāng)是相互隔離獨(dú)立的?？蚣艽罱ㄖ饕ㄟ^(guò)模式切換完成，Non-Root 模式下CPU 正常運(yùn)轉(zhuǎn)，可以支持基礎(chǔ)的運(yùn)算、交互需求，進(jìn)入Root 模式后，UPⅤ對(duì)虛擬機(jī)的控制能力有所上升，可以靈活調(diào)整各類(lèi)設(shè)備的訪問(wèn)權(quán)限，最終實(shí)現(xiàn)虛擬機(jī)資源隔離，確保虛擬機(jī)節(jié)點(diǎn)之間相互獨(dú)立，無(wú)法獲取到其他平臺(tái)資源信息。

2.3.2 內(nèi)存隔離及I/O 隔離

云計(jì)算平臺(tái)綜合處理能力強(qiáng)大，可以承擔(dān)數(shù)據(jù)存儲(chǔ)、交互等功能，由于虛擬平臺(tái)開(kāi)放性較為顯著，因此海量存儲(chǔ)數(shù)據(jù)如何隔離、獨(dú)立就成為了重點(diǎn)，只有采取必要措施進(jìn)行優(yōu)化，使得各虛擬機(jī)能且只能訪問(wèn)對(duì)應(yīng)內(nèi)存，才能最大限度保證安全性。為實(shí)現(xiàn)該種設(shè)想，設(shè)計(jì)時(shí)引入了映射策略，在虛擬機(jī)、物理內(nèi)存之間，搭建起單點(diǎn)映射關(guān)系，訪問(wèn)環(huán)節(jié)虛擬層率先運(yùn)作，實(shí)現(xiàn)對(duì)IP 地址的轉(zhuǎn)化，確保其只能訪問(wèn)對(duì)應(yīng)內(nèi)存。I/O設(shè)備同樣是UⅤP隔離環(huán)節(jié)，重要的關(guān)注對(duì)象包含磁盤(pán)、網(wǎng)卡等重要裝置，安全架構(gòu)設(shè)計(jì)時(shí)采用邏輯卷策略，以虛擬磁盤(pán)設(shè)備為中心，對(duì)應(yīng)關(guān)聯(lián)鏡像文件[3]，實(shí)現(xiàn)各對(duì)象之間的對(duì)應(yīng)，確保I/O 路徑相互隔離。

2.4 應(yīng)用安全層

縱觀已有的應(yīng)用層安全事故，會(huì)發(fā)現(xiàn)其中大部分危害因素均來(lái)源于網(wǎng)絡(luò)，有統(tǒng)計(jì)的數(shù)據(jù)中甚至可以達(dá)到70%，因此安全框架設(shè)計(jì)過(guò)程中，搭設(shè)了專(zhuān)用的WAF（Web Application Firewall，Web 應(yīng)用防火墻）進(jìn)行風(fēng)險(xiǎn)抵御，運(yùn)行邏輯可見(jiàn)。該種防火墻的增設(shè)可以實(shí)現(xiàn)如下4 種功能：①Web 攻擊過(guò)濾?？梢宰R(shí)別幾種常見(jiàn)的惡意攻擊行為，比如SQL 注入、代碼注入以及敏感文件獲取等，主要通過(guò)參數(shù)、地址等關(guān)鍵信息的分析處理達(dá)成預(yù)期目標(biāo)。②編碼還原。內(nèi)部裝配了集成語(yǔ)義分析引擎，與原有的正則引擎搭配使用，可以實(shí)現(xiàn)高精度還原和識(shí)別，防止編碼混合亂入。③惡意信譽(yù)庫(kù)。這是一種基于已有經(jīng)驗(yàn)設(shè)計(jì)的防范模塊，通過(guò)云計(jì)算平臺(tái)與全球情報(bào)庫(kù)連接，收集了大量的惡意IP、惡意bot 等。④CC 攻擊防護(hù)。該種攻擊類(lèi)型較為隱蔽，攻擊者不直接執(zhí)行DDoS 攻擊，而是借助代理服務(wù)器實(shí)現(xiàn)偽裝，一旦成功將會(huì)嚴(yán)重影響系統(tǒng)穩(wěn)定性，因此安全層設(shè)計(jì)中，依托WAF 完善識(shí)別功能，可以對(duì)IP、cookie 文件開(kāi)展標(biāo)識(shí)處理，精準(zhǔn)識(shí)別出超閾限訪問(wèn)節(jié)點(diǎn)，并阻斷相關(guān)攻擊行為。

2.5 數(shù)據(jù)安全層

2.5.1 訪問(wèn)隔離設(shè)計(jì)

近年來(lái)高新科技產(chǎn)業(yè)迅猛發(fā)展，數(shù)據(jù)、信息作為無(wú)形資產(chǎn)的地位得到加強(qiáng)穩(wěn)固，云計(jì)算平臺(tái)中，必須以機(jī)密性、完整性作為數(shù)據(jù)存儲(chǔ)、交互衡量要點(diǎn)，以確保云安全體系切實(shí)有效。訪問(wèn)隔離設(shè)計(jì)是該體系的重要關(guān)卡，本系統(tǒng)中引入了IAM（Identity and Access Management，統(tǒng)一身份認(rèn)證）技術(shù)進(jìn)行優(yōu)化，面向企業(yè)、個(gè)體租戶提供服務(wù)，可以實(shí)現(xiàn)用戶集中管理，安全憑證集中驗(yàn)證等功能，除用戶賬號(hào)注冊(cè)外，還可以調(diào)整資源操作權(quán)限，從而降低系統(tǒng)防內(nèi)壓力，確保云計(jì)算平臺(tái)安全性能。

2.5.2 傳輸通道設(shè)計(jì)

應(yīng)用云計(jì)算平臺(tái)開(kāi)展業(yè)務(wù)處理工作時(shí)，經(jīng)常會(huì)涉及到數(shù)據(jù)傳輸問(wèn)題，為確保安全主要引入了ⅤPN 技術(shù)，可以以ⅤPC 為依托，與遠(yuǎn)端用戶建立聯(lián)系，與傳統(tǒng)開(kāi)放渠道相比，通信路徑經(jīng)過(guò)加密更加嚴(yán)謹(jǐn)安全，可以實(shí)現(xiàn)數(shù)據(jù)中心的無(wú)縫擴(kuò)展。當(dāng)系統(tǒng)中產(chǎn)生新的數(shù)據(jù)、信息，租戶也可以借助該通道打包上傳，啟動(dòng)額外服務(wù)器增強(qiáng)計(jì)算能力，降低泄露風(fēng)險(xiǎn)的同時(shí)保證使用性能。在通信協(xié)議上，使用了TLS（Transport Layer Security，傳輸層安全協(xié)議）技術(shù)與證書(shū)管理，一方面可以提供REST 網(wǎng)絡(luò)，以RESTful 為依托，對(duì)目標(biāo)API進(jìn)行直接調(diào)用；另一方面開(kāi)放Highway 通道，可以滿足特殊場(chǎng)景下的使用需求，私密性、高效性更有保障。

2.5.3 存儲(chǔ)安全設(shè)計(jì)

數(shù)據(jù)存儲(chǔ)環(huán)節(jié)引進(jìn)KMS（Key Management Service，密鑰管理服務(wù)）技術(shù)，依托硬件安全模塊進(jìn)行密鑰創(chuàng)建，避免出現(xiàn)密鑰泄露等問(wèn)題，密鑰正式使用環(huán)節(jié)，所有操作均會(huì)被同步到日志板塊，以便后期調(diào)取審計(jì)。對(duì)數(shù)據(jù)進(jìn)行刪改操作、銷(xiāo)毀操作時(shí)，系統(tǒng)會(huì)事先處理前一階段內(nèi)存，通過(guò)寫(xiě)“零”操作防止有效信息泄露，對(duì)于已經(jīng)廢棄的數(shù)據(jù)，則開(kāi)放安全刪除功能，直接在磁盤(pán)中執(zhí)行相關(guān)操作，消除數(shù)據(jù)恢復(fù)讀取可能[4]。此外還搭配了自發(fā)加密功能，租戶可以根據(jù)實(shí)際需求，對(duì)上云數(shù)據(jù)進(jìn)行加密，若有丟棄需求直接銷(xiāo)毀密鑰即可，物理磁盤(pán)報(bào)廢后，也會(huì)通過(guò)云平臺(tái)消磁，并提醒租戶折彎、破碎，以阻斷所有可能的隱私泄露渠道。

2.6 運(yùn)維安全層

2.6.1 安全日志設(shè)計(jì)

從云計(jì)算平臺(tái)運(yùn)行現(xiàn)狀來(lái)看，會(huì)發(fā)現(xiàn)安全防護(hù)需求基本上是逐年增長(zhǎng)的，各類(lèi)攻擊事件、泄露事件嚴(yán)重威脅著數(shù)據(jù)安全性，除了完善防護(hù)性能外，還應(yīng)當(dāng)做好日志記錄，以防惡意篡改刪除造成隱性數(shù)據(jù)資產(chǎn)損失。要結(jié)合需求劃定云安全事件，包含系統(tǒng)入侵、基礎(chǔ)設(shè)施受損、網(wǎng)絡(luò)掃描竊聽(tīng)等，發(fā)現(xiàn)苗頭后及時(shí)記錄用戶名、源頭IP 地址、變更內(nèi)容等，設(shè)置90 d 左右的開(kāi)放查詢(xún)事件，方便回溯和修補(bǔ)，日志內(nèi)融入大數(shù)據(jù)技術(shù)，可以將異常狀況生成可視化成果，輔助人工決策。

2.6.2 災(zāi)難恢復(fù)設(shè)計(jì)

云計(jì)算平臺(tái)依托資源池完成業(yè)務(wù)計(jì)算和運(yùn)行，節(jié)點(diǎn)宕機(jī)、損壞等均有可能影響架構(gòu)運(yùn)行質(zhì)量，因此安全設(shè)計(jì)環(huán)節(jié)，還開(kāi)辟了災(zāi)難恢復(fù)模塊，異地?cái)?shù)據(jù)中心之間相互聯(lián)通，鄰近節(jié)點(diǎn)互為災(zāi)備，當(dāng)其中一點(diǎn)出現(xiàn)故障時(shí)，數(shù)據(jù)會(huì)自動(dòng)拷貝、轉(zhuǎn)移，所有傳遞操作依托高速光纖實(shí)現(xiàn)，以確保業(yè)務(wù)連續(xù)性。針對(duì)難以預(yù)見(jiàn)的自然災(zāi)害、重大災(zāi)難等，同樣編制了系統(tǒng)的連續(xù)性計(jì)劃，借助仿真平臺(tái)模擬測(cè)試，將目標(biāo)區(qū)域云平臺(tái)轉(zhuǎn)換為離線狀態(tài)，模擬災(zāi)難并規(guī)定處理路線，測(cè)試過(guò)程、結(jié)果被系數(shù)記錄下來(lái)，方便后續(xù)調(diào)取刪改。

3 結(jié)論

綜上所述，云計(jì)算技術(shù)具有覆蓋范圍廣、計(jì)算能力強(qiáng)大等優(yōu)勢(shì)特征，應(yīng)用于企業(yè)管理、信息傳遞時(shí)，可以顯著減少硬件資源開(kāi)銷(xiāo)，保障資源池供應(yīng)充足性，實(shí)踐環(huán)節(jié)要正視其中存在的身份冒用、數(shù)據(jù)泄露、DDoS 攻擊等風(fēng)險(xiǎn)，積極引入網(wǎng)絡(luò)隔離技術(shù)，對(duì)數(shù)據(jù)中心、業(yè)務(wù)平面等關(guān)鍵區(qū)域進(jìn)行分隔防護(hù)，同時(shí)關(guān)注主機(jī)層安全隱患，通過(guò)權(quán)限設(shè)置、映射關(guān)系搭建等確保CPU、I/O 設(shè)備的隔離，在應(yīng)用層增加Web 攻擊過(guò)濾、CC 防護(hù)攻擊等功能，最大限度保障云計(jì)算平臺(tái)應(yīng)用安全性。