張亞紅 鄭利華 鄒國霞

桂林航天工業(yè)高等?？茖W(xué)校計算機系 廣西 541004

0 前言

對于IT業(yè)最新的熱點話題之一---云計算，它的出現(xiàn)使得人們可以直接通過網(wǎng)絡(luò)應(yīng)用獲取軟件和計算能力，實現(xiàn)計算的隨時隨地使用。但是來自網(wǎng)絡(luò)威脅的多樣性和動態(tài)性也使用戶越來越多地感覺到單一的防御技術(shù)很難達(dá)到有效的防御效果，因為企業(yè)和用戶在享受云計算帶來的好處的同時也希望保護好自身的重要信息和降低管理風(fēng)險，這就涉及到云計算環(huán)境下的信息安全問題。

1 云計算

云計算是在分布式處理、并行處理和網(wǎng)格計算等發(fā)展的基礎(chǔ)上提出的一種新型計算模型，是一種新興的共享基礎(chǔ)架構(gòu)的方法，它面對的是超大規(guī)模的分布式環(huán)境，核心是提供數(shù)據(jù)存儲和網(wǎng)絡(luò)服務(wù)。云計算做為一種新型計算模式以服務(wù)作為核心理念，把信息、軟件、平臺和各種計算資源商品化和服務(wù)化，降低了信息處理和信息服務(wù)的成本。云計算利用軟件將硬件資源進行虛擬化管理和調(diào)度，形成一個巨大的虛擬化資源池，把存儲于個人電腦、移動設(shè)備和其他設(shè)備上的大量信息和處理器資源集中在一起，協(xié)同工作。它真正實現(xiàn)了按需計算，從而有效地提高了對軟硬件資源的利用效率。由此總結(jié)出云計算具有以下特點：①虛擬化；②高可靠性、可用性和可擴放性；③服務(wù)的多樣性；④經(jīng)濟性。

2 云安全

來自互聯(lián)網(wǎng)的主要威脅正在由電腦病毒轉(zhuǎn)向惡意程序及木馬，各種間諜軟件、傀儡程序、鍵盤記錄軟件、廣告軟件等趁機進入用戶的主機并運行，用戶卻未能及時察覺，這會給個人電腦和企業(yè)信息安全帶來巨大的安全風(fēng)險。在這種情況下，單純采用特征庫判別法顯然不能滿足安全需要，云安全應(yīng)運而生了。云安全是網(wǎng)絡(luò)時代信息安全的最新體現(xiàn)，它融合了并行處理、網(wǎng)格計算、未知病毒行為判斷等新興技術(shù)和概念，通過網(wǎng)狀的大量客戶端對網(wǎng)絡(luò)中軟件行為的異常監(jiān)測，獲取互聯(lián)網(wǎng)中木馬、惡意程序的最新信息，并在Server端進行自動分析和處理，再把病毒和木馬的解決方案分發(fā)到每一個客戶端。利用云安全技術(shù)，識別和查殺病毒不再僅僅依靠本地硬盤中的病毒庫，而是依靠龐大的網(wǎng)絡(luò)服務(wù)，實時進行采集、分析以及處理。整個互聯(lián)網(wǎng)就是一個巨大的“殺毒軟件”，參與者越多，每個參與者就越安全，整個互聯(lián)網(wǎng)就會更安全。簡言之，云安全就是從傳統(tǒng)的單機殺毒模式，轉(zhuǎn)換成網(wǎng)絡(luò)化的主動防毒模式。

云安全的概念提出后，瑞星、卡巴斯基、金山、360安全衛(wèi)士、卡卡上網(wǎng)安全助手等都推出了云安全解決方案。例如，瑞星基于云安全策略開發(fā)的 2009新品，每天攔截數(shù)百萬次木馬攻擊。

雖然很多公司已經(jīng)推出了云安全解決方案，但是離真正的安全云還有一定的距離。原因主要有一下幾點：

（1）云計算提供的法律保護仍不充足

由于目前缺乏云計算架構(gòu)的安全模型和標(biāo)準(zhǔn)，云計算服務(wù)提供商有可能規(guī)避大部分安全風(fēng)險，而將風(fēng)險轉(zhuǎn)嫁給用戶。因為云服務(wù)公司一般都有訓(xùn)練有素的法律部門，因而用戶在購買這些服務(wù)后，在簽訂的協(xié)議中絕對占不到任何便宜。

（2）需要加強用戶教育

盡管云計算為企業(yè)帶來了很大的好處和便利，比如允許隨時隨地訪問數(shù)據(jù)、消除了令人頭痛的維護問題，但隨時可用的服務(wù)也意味著，那些原本只會對在家辦公的員工產(chǎn)生威脅的網(wǎng)絡(luò)釣魚攻擊，現(xiàn)在也可能危及到公司。因此企業(yè)要加強用戶教育，讓用戶明白，不但自己面臨那些危險，自己所在的企業(yè)也將因自己的行為而面臨同樣的危險。

（3）云計算服務(wù)商的預(yù)置映像上的機器實例存在安全隱患

安全公司 SensePost公司的研究人員在瀏覽了許多預(yù)配置的實例后，發(fā)現(xiàn)了緩存中的驗證密鑰，信用卡數(shù)據(jù)，也證實惡意軟件有可能隱藏在系統(tǒng)里面，更讓人擔(dān)心的是，大多數(shù)客戶尚沒有意識到使用第三方開發(fā)人員開發(fā)的機器映射會帶來什么安全隱患。

（4）信任問題是云計算發(fā)展過程中的大障礙

華中科技大學(xué)教授金海指出，人們把錢放到銀行里，因為銀行是國有的背后有政府的法律保證。但對于云計算來說，沒有任何有公信力的第三方在制度上保證云計算運營商數(shù)據(jù)中心的數(shù)據(jù)是安全的，因此用戶不敢把數(shù)據(jù)放進運營商的數(shù)據(jù)中心，這就使得云計算的普及不太容易。

3 云計算環(huán)境下信息安全策略

針對上述云計算的安全風(fēng)險及信息安全需求，云計算在應(yīng)用過程中應(yīng)重點關(guān)注以下幾方面的安全策略。

（1）云計算相關(guān)標(biāo)準(zhǔn)及政策法規(guī)的制定與完善

在云計算應(yīng)用過程中，應(yīng)該組織對于應(yīng)用云計算所需的標(biāo)準(zhǔn)和相關(guān)政策法規(guī)的研究，以促成相關(guān)管理章程或政策法規(guī)制度的出臺，從而對知識產(chǎn)權(quán)保護、責(zé)任追究及各方權(quán)益提供有力保障。

（2）信息的安全存儲

一方面，云服務(wù)商應(yīng)采用目前最為先進的虛擬化海量存儲技術(shù)來存儲和管理數(shù)據(jù)資源，相應(yīng)的安全機制有數(shù)據(jù)加密、數(shù)據(jù)隔離、數(shù)據(jù)校驗、數(shù)據(jù)備份、災(zāi)難恢復(fù)。另一方面對于企業(yè)而言，企業(yè)也應(yīng)對自己的各種核心數(shù)據(jù)資源進行及時、全面的備份并長期、可靠地保存。

（3）信息的操作權(quán)限管理和用戶訪問控制

企業(yè)可以根據(jù)信息密級程度以及用戶對信息需求的不同，將信息和用戶從低到高劃分為若干個等級，并嚴(yán)格控制用戶對信息的訪問權(quán)限。其次用戶身份認(rèn)證對于云中的數(shù)據(jù)安全非常重要，只有通過認(rèn)證的授權(quán)用戶才能訪問云中相應(yīng)的信息。針對云計算環(huán)境動態(tài)性、跨組織性、服務(wù)的多樣性等特點，通過單點登錄的統(tǒng)一身份認(rèn)證與權(quán)限控制技術(shù)，嚴(yán)格控制用戶對信息資源的訪問，從而有效地保證數(shù)據(jù)與服務(wù)安全。

（4）信息的保密性與完整性

為了保證“云”中信息在存儲和傳輸過程中不被非法下載、泄漏或惡意篡改，應(yīng)加快信息安全基礎(chǔ)設(shè)施建設(shè)，使云中的企業(yè)或個人可以在各種網(wǎng)絡(luò)應(yīng)用中方便地使用加密、數(shù)字簽名技術(shù)和信息隱藏技術(shù)，從而保證數(shù)據(jù)的機密性和完整性，為用戶營造一個安全云。

（5）采用主動防御技術(shù)保證信息安全

云服務(wù)提供商需要專業(yè)的反病毒技術(shù)和經(jīng)驗，采用最新的主動防御技術(shù)，一方面保護存儲在云中心的數(shù)據(jù)安全，另一方面在用戶即將訪問有害網(wǎng)頁或病毒程序前提醒用戶。

4 結(jié)束語

云計算是未來IT互聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展的趨勢，本文圍繞云計算的特點探討了云計算的信息安全問題并提出了幾點安全策略?！霸瓢踩睂⑹谴髣菟叄霸瓢踩睍r代的到來，也必將引起安全行業(yè)的一場巨大變革。

[1]王萍,張際平.云計算與網(wǎng)絡(luò)學(xué)習(xí)[J].現(xiàn)代教育技術(shù).2008.

[2]尚建新,解月光,王偉.云計算模型下的 PLE 構(gòu)建初探[J].現(xiàn)代教育技術(shù).2009.

[3]陳丹偉,黃秀麗,任勛益.云計算及安全分析[J].計算機技術(shù)與發(fā)展.2010.