劉曉星

摘要：對于云計算數(shù)據(jù)集中的安全問題，用戶的數(shù)據(jù)存儲、處理和網(wǎng)絡傳輸?shù)榷寂c云計算密切關，如何有效存儲數(shù)據(jù)以避免數(shù)據(jù)丟失或損壞，如何避免數(shù)據(jù)被非法訪問和篡改，如何對多租戶應用進行數(shù)據(jù)隔離，如何避免數(shù)據(jù)服務被阻塞，如何確保云端退役數(shù)據(jù)的妥善保管或銷毀等問題都是云計算解決問題時需要重點考慮的。

關鍵詞：云計算 數(shù)據(jù) 網(wǎng)絡傳輸

云計算是一種新的服務模式，它將影響傳統(tǒng)的信息安全領域。特別是對傳統(tǒng)的反病毒、入侵檢測和防御廠商而言，利用云計算平臺，將大大提升他們的服務能力和水平。

一、云計算對于傳統(tǒng)信息安全領域的影響

（1）約束云計算的服務提供商的行為和技術，需要國家出臺相應的法規(guī)，比如云計算服務提供商的網(wǎng)絡安全嗎？有沒有別人闖進去盜取賬號？他們提供的存儲安全嗎？會不會造成數(shù)據(jù)泄密？這些疑問都是云計算服務提供商們要解決、要向客戶承諾的問題。

（2）客戶在使用云計算服務的同時也要考慮：在云計算服務提供商的安全性和自己數(shù)據(jù)的安全性上做個平衡，特別重要的數(shù)據(jù)不要放到云里，可以將其加密后再放到云中，只有自己才能解密，將安全性的主動權牢牢掌握在自己手中，而不是依賴于服務提供商的承諾和他們的解決方案。

（3）客戶要保管好自己的賬戶，防止他人盜取你的賬號使用云中的服務，而讓你承擔后果。

二、云計算關鍵特征

（1）按需自助服務（on-demandself-service）。用戶能夠自動獲取所需計算資源或服務，而不必和服務供應商交互。

（2）寬帶網(wǎng)絡接入（broad network access）。服務能力通過網(wǎng)絡提供，帶寬足夠且成本低廉，支持各種標準接入手段，包括各種類型的客戶端平臺（如智能手機、筆記本電腦或PDA），也包括其它傳統(tǒng)的基于云的服務。

（3）虛擬化的資源“池”（resource pooling）。提供商的計算資源匯集到資源池中，使用多租戶模型，按照用戶需要，將不同的物理和虛擬資源動態(tài)地分配或再分配給多個消費者使用。

（4）快速彈性架構（rapid elasticity）。資源或服務能力可以快速、彈性地供應。對于用戶來說，可供應的資源或服務能力近乎無限，可以隨時按需購買。用戶既不用擔心資源不夠用，也不用擔心資源浪費。

（5）可測量的服務（measured service）。云計算利用經(jīng)過某種程度抽象的測量能力（例如存儲、處理、帶寬或者活動用戶賬號等）實現(xiàn)自動控制，優(yōu)化某種服務的資源使用，有明確的價格與收費政策。

三、云計算安全參考模型

1.云服務模型

（1）軟件作為服務（software as a service，SaaS）。提供給用戶的能力是使用服務商運行在云基礎設施之上的應用。

（2）平臺作為服務（platform as a service，PaaS）。提供給用戶的能力是在云基礎設施之上部署用戶創(chuàng)建或采購的應用，這些應用使用服務商支持的編程語言或工具開發(fā)。

（3）基礎設施作為服務（infrastructure as a service，IaaS）。提供給用戶的能力是云供應了處理、存儲、網(wǎng)絡以及其它基礎性的計算資源，以供用戶部署或運行自己任意的軟件，包括操作系統(tǒng)或應用。

云服務的規(guī)模化、專業(yè)化改變了信息資源的分散格局，還可以融合信息安全專家資源，安全本身也可以作為服務提供。

2.云部署模型

（1）公共云（public cloud）。由某個組織擁有，其云基礎設施對公眾或某個很大的業(yè)界群組提供云服務。

（2）私有云（private cloud）。云基礎設施特定為某個組織運行服務。

（3）社區(qū)云（community cloud）。云基礎設施由若干個組織分享，以支持某個特定的社區(qū)。

（4）混合云（hybrid cloud）。云基礎設施由2個或多個云（私有的、社區(qū)的或公共的）組成，獨立存在，但是通過標準的或私有的技術綁定在一起，這些技術促成數(shù)據(jù)和應用的可移植性。

3.云計算的安全挑戰(zhàn)

云計算作為多種傳統(tǒng)技術并行計算、分布式計算、網(wǎng)格計算、虛擬化、效用計算等綜合應用、發(fā)展與商業(yè)實現(xiàn)的結果，信息安全的基本屬性與安全需求不變，涉及信息資產(chǎn)、安全威脅、保護措施等的信息保障安全觀不變。

從供應商的安全能力角度分析云計算面臨的安全風險來講，云計算技術主要存在7大安全風險，特權用戶接入，可審查性，數(shù)據(jù)位置、數(shù)據(jù)隔離、數(shù)據(jù)恢復、調查支持、長期生存性。

4.云計算安全應對策略

（1）CSA的安全指南

云計算中的安全控制機制與傳統(tǒng)IT環(huán)境中的安全控制機制沒有本質的不同。不過，云計算環(huán)境下有凸顯的安全風險，因此具有特別的安全關注領域。CSA對云服務的主要安全關注點分為治理和運行2個領域，共涉及12個具體的關鍵域，如治理和企業(yè)風險管理、法律和電子證據(jù)發(fā)現(xiàn)、合規(guī)與設計、信息生命周期管理和可移植性和互操作性等。

對于每一個關鍵域給出相應的安全控制實施建議，為用戶安全地使用云服務提供指南。不是已有的安全技術簡單拿過來就成為云計算環(huán)境的安全解決方案，需要針對這些安全領域研究安全技術面臨的需求、規(guī)模、性能等方面的新問題，如虛擬機安全、取證與安全審計等。

（2）云計算安全管理

NIST、Sun公司、國際信息系統(tǒng)審計協(xié)會（information systems audit and control association，ISACA）都提倡應用管理的手段來控制和減小云計算安全風險，服務水平協(xié)議（service level agreement，SLA）和相關的安全管理標準的應用是主要方式。

SLA是服務提供者和用戶之間的唯一的法律協(xié)議，是為委托給供應商的信息提供充分保護的最有效的工具之一。服務提供者利用SLA獲取用戶的信任。典型的云服務水平協(xié)議內容包括：交割的服務定義；性能管理（對服務水平的監(jiān)控和測量）；問題管理（最小化事故和問題的負面影響）；用戶職責和責任；擔保和補償；安全；災難恢復和業(yè)務連續(xù)性等。

沒有人能夠準確預期云計算將給我們的生活帶來哪些巨大變化，但隨著這一運動的不斷推進，不管是作為消費者，還是商業(yè)人士，都可以感受到云計算帶來的巨大變化。云計算正處于發(fā)展之初，云計算安全還面臨很多需要解決的問題，除了前面歸納的云計算安全風險難題之外，還包括相關標準的建立、合規(guī)性問題、業(yè)務連續(xù)性與災難恢復、服務質量保證、法律法規(guī)保障等，這些都將是很大的挑戰(zhàn)。

云計算將首先通過管理、法律的手段逐步解決信任問題，并在云計算的發(fā)展過程中將各種信息安全保障手段融入體系，完善安全服務。

參考文獻：

[1]林立宇，陳云海，張敏.云計算技術及運營可行性分析[J].通信熱點，2008.

[2]姜國華，李曉林，季英珍.基于SOA的框架模型研究[J].電腦與信息技術，2007.

[3]宋坤，周智海.面向服務的軟件體系結構[J].海洋技術，2007.

[4]曹會敏，林碧英.SOA服務設計原則的研究[J].中國電力教育，2007.