肖 飛，楊晉利

（中移設(shè)計院陜西分院，西安 710065）

1 信息安全體系

云計算系統(tǒng)安全涵蓋基礎(chǔ)安全、終端、應(yīng)用、業(yè)務(wù)、內(nèi)容、管控、管理等：

基礎(chǔ)安全，涉及網(wǎng)絡(luò)安全域劃分、入侵檢測、漏洞掃描、日志審計、系統(tǒng)合規(guī)等；終端安全，維護終端和監(jiān)控終端、辦公終端合規(guī)、準入、病毒管理；業(yè)務(wù)安全，支持業(yè)務(wù)內(nèi)容治理、行為治理、敏感數(shù)據(jù)防護；應(yīng)用安全，業(yè)務(wù)合規(guī)、安全支撐；系統(tǒng)安全，包括網(wǎng)絡(luò)、服務(wù)器、存儲設(shè)備等系統(tǒng)涉及自身安全；信息安全，專用系統(tǒng)，保證用戶信息，包括攔截垃圾短信、彩信，騷擾電話等；安全管控，支持業(yè)務(wù)運維、運營安全，涉及賬號、認證、授權(quán)、審計的管理和敏感數(shù)據(jù)、金庫管控；安全管理，資產(chǎn)管理、風(fēng)險管理、流量監(jiān)控，建立安全知識庫；安全運營，實現(xiàn)安全監(jiān)控、訪問控制、風(fēng)險評估、合規(guī)檢查、安全分析等功能。

開放的云環(huán)境下，任何一個系統(tǒng)節(jié)點都可能成為攻擊目標。安全設(shè)施分為：一類外部防御，用于防御各種外部威脅，指移動CMNet、Internet以及第三方攻擊，互聯(lián)網(wǎng)威脅主要是黑客攻擊、蠕蟲病毒等，第三方威脅主要是越權(quán)或濫用、泄密、篡改、惡意代碼或病毒等；另一類是內(nèi)部防護，針對系統(tǒng)內(nèi)部漏洞，違規(guī)操作等掃描、檢查，提供合規(guī)檢查、自身數(shù)據(jù)安全保護，以及內(nèi)部惡意攻擊、無作為或操作失誤、越權(quán)或濫用、泄密、篡改等。

2 云計算安全

云計算安全包括訪問控制、數(shù)據(jù)安全、虛擬化安全、數(shù)據(jù)泄漏丟失、病毒的快速傳播、共享隔離、分域防護等。

云計算為企業(yè)和用戶提供各種虛擬化服務(wù)。云計算服務(wù)分三類：基礎(chǔ)設(shè)施層即服務(wù)器（IasS）、平臺層即服務(wù)（PasS）和軟件層即服務(wù)（SaaS）。IaaS層中虛擬機的鏡像、物理機之間通信是關(guān)鍵點；PaaS層中后臺數(shù)據(jù)私密性是關(guān)鍵，確保數(shù)據(jù)受限訪問是防護重點；SaaS中對用戶的訪問控制關(guān)鍵。

3 關(guān)鍵技術(shù)

（1）訪問控制：訪問控制指用戶認證和授權(quán)。云計算中資源是動態(tài)分配，系統(tǒng)信任邊界變化，用戶的授權(quán)及認證動態(tài)分配和注銷，不同于傳統(tǒng)IT系統(tǒng)的訪問控制。不同系統(tǒng)具有不同SLA，需要采用多層系安全措施保障用戶的安全。用戶認證與授權(quán)旨在授權(quán)合法用戶進入系統(tǒng)和訪問數(shù)據(jù)，保護資產(chǎn)免受非法用戶訪問。傳統(tǒng)認證有安全口令、令牌口令、數(shù)字簽名、單點登錄認證等，云計算中使用Kerberos、DCE和Secureshell等實現(xiàn)。

（2）云計算用戶認證和授權(quán)。一是身份管理：用戶身份生命周期中如用戶注冊、自管理；用戶身份控制包括訪問控制和權(quán)限控制、單點登錄和審計。訪問授權(quán)：授權(quán)管理，對用戶與被管資源權(quán)限進行分配過程。二是授權(quán)全生命周期管理：授予權(quán)限、修改授權(quán)、解除授權(quán)，同時存在輔助管理。角色管理：為用戶配置一個或多個角色，隨著資源的動態(tài)變更，用戶的角色也隨之發(fā)生變化，為用戶自動化配置新帳號和權(quán)限。三是訪問注銷：在系統(tǒng)資源回收的情況下，及時注銷帳號。

（3）數(shù)據(jù)安全。數(shù)據(jù)安全包括數(shù)據(jù)傳輸、數(shù)據(jù)存儲，分布存儲漸成主流。一是安全傳輸：當系統(tǒng)數(shù)據(jù)在互聯(lián)網(wǎng)環(huán)境中傳輸時，需要進行加密，預(yù)防丟失對數(shù)據(jù)進行監(jiān)控，最大化降低數(shù)據(jù)泄漏的可能性，數(shù)據(jù)到達目的地后采用相應(yīng)的算法進行解密，保證接收到數(shù)據(jù)安全可識別。二是安全存儲：數(shù)據(jù)存儲主要分為數(shù)據(jù)隔離、數(shù)據(jù)備份、數(shù)據(jù)殘留處理等。云計算環(huán)境中，數(shù)據(jù)有結(jié)構(gòu)化、非結(jié)構(gòu)化，數(shù)據(jù)存儲方式多元化，如文件存儲、塊存儲、對象存儲等，由于可靠性的要求，分布式存儲需要采取1∶3或更多冗余保證安全性，數(shù)據(jù)裸容量相比較傳統(tǒng)更大；同時存儲中含有大量私密數(shù)據(jù)，需及時進行釋放銷毀，防止殘留導(dǎo)致泄漏。

（4）虛擬化安全。虛擬化是云計算最主要特征，通過虛擬機進行應(yīng)用部署、管理、擴展和遷移。虛擬化技術(shù)是一種調(diào)配硬件資源的方法，動態(tài)分配計算資源、存儲資源和網(wǎng)絡(luò)資源，同時對整個資源進行管理，實現(xiàn)架構(gòu)的動態(tài)化。

虛擬化的安全直接關(guān)系云計算的安全：

軟件安全：虛擬化軟件部署在物理機上，提供創(chuàng)建、運行、銷毀虛擬服務(wù)器能力，虛擬機攻擊分兩種，一是惡意代碼通過應(yīng)用程序API接口進行攻擊，API向Hypervisor發(fā)出請求，Hypervisor確保虛擬機只會接收經(jīng)過認證和授權(quán)的請求；二是通過網(wǎng)絡(luò)對Hypervisor進行攻擊，通常Hypervisor所使用的網(wǎng)絡(luò)設(shè)備也是虛擬機使用，虛擬機可連接Hypervisor的IP地址，在沒有登錄密碼的情況下入侵Hypervisor。因此虛擬機初始化設(shè)置時，進行軟件功能關(guān)閉，防止Dos攻擊，使外網(wǎng)無法連接Hypervisor。

服務(wù)器安全：虛擬化前，不同服務(wù)器劃分不同的VLAN，采用不同規(guī)則進行隔離；虛擬化后，虛擬機連接到同一臺（對）虛擬交換機與外部通信，或造成網(wǎng)絡(luò)爆炸式傳播。虛擬機遷移及虛擬機間通信增加滲透攻擊機率，需安裝防病毒和安全加固，每臺虛擬服務(wù)器通過VLAN和不同的IP地址進行邏輯隔離，服務(wù)器之間通過VPN網(wǎng)絡(luò)連接。

（5）網(wǎng)絡(luò)安全。SDN和VFN技術(shù)對為云計算安全提出新的要求。SDN網(wǎng)每個控制節(jié)點和轉(zhuǎn)發(fā)節(jié)點需要維護大量的“數(shù)據(jù)流表”，控制或轉(zhuǎn)發(fā)節(jié)點內(nèi)存及其他資源需求相應(yīng)提高，大量突發(fā) “數(shù)據(jù)流”會導(dǎo)致控制器出現(xiàn)瓶頸，在網(wǎng)絡(luò)策略配置時，需要根據(jù)業(yè)務(wù)屬性按照大流量沖擊配置，并采用軟件檢測監(jiān)控流量，實施流量分流。

4 結(jié)束語

云計算邊界隨著資源變化而變動，防護策略需隨之變化配置，根據(jù)安全級別劃分云化網(wǎng)絡(luò)，分為互聯(lián)網(wǎng)域、核心域和內(nèi)部接入子域等，各域制定對應(yīng)策略，最終實現(xiàn)云計算網(wǎng)絡(luò)系統(tǒng)安全。