劉瑞玲

摘要：為了確保云計算應用效果良好型，需要充分考慮其安全問題并結合其動態(tài)化、分布性等方面的特征，構建出可靠的安全模型，同時，在增強云數據安全性的過程中，需要在有效地管理舉措支持下，實現其科學管理，并提升云數據實踐應用中潛在的價值，該文就云計算安全模型與管理展開論述。

關鍵詞：云計算；安全模型；安全管理模式；潛在價值；應用范圍

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2018）15-0043-02

1 前言

云計算已經是非?；鸨母拍盍?，有關云計算的服務遍及各方面，有彈性計算方面的服務還有文件如何存儲的服務、以及關系型數據庫方面的服務等多方面。本文主要介紹彈性計算方面的服務及其安全方面的問題，這主要原因是彈性計算是云計算最廣泛的應用，它也是存在最大安全隱患的云服務。

2 有關云計算存在的新風險

就在云計算出現之前，那時候IDC機房就存在著很大的安全隱患。等云計算出現這些問題又變本加厲，不光這樣，云計算自身的特點也給它帶來了意想不到的風險。對于云內部所面臨的攻擊分析如下：

1）內部不再安全

互聯網公司在向外界提供云計算這個業(yè)務之前，全部使用的是獨立的數據中心機房，利用防火墻將互聯網內外分成兩部分。防火墻里邊屬于值得信賴的區(qū)域，屬于公司自己擁有，防火墻外邊部分則是不能相信的，黑客都在防火墻外邊。負責人員對這一塊隔離墻進行加厚和加高、既可以保證互聯網的安全，也能進行更深層次的防御。

可是在云計算出現了以后，這種利用防火墻進行簡單的隔離的辦法已經力不從心了。攻擊者完全可以用買到的云服務器，找到網絡的核心之地，對網絡發(fā)起攻擊。另外，在云計算內部，資源已經不是某一家公司獨自擁有，而是越來越多的企業(yè)或個人共享著所有的內部資源，在這其中肯定也包含有一些不懷好意的黑客，很明顯這種傳統(tǒng)的防御方法已經很不實用了。

2）新的攻擊方式

以前DC時期，互聯網攻擊者在邊界防火墻的外部，和路由器及企業(yè)服務器之間能到達的也就IP協(xié)議了，所以黑客能發(fā)起的攻擊，是在這三層的上面的。

云計算的出現使得情況發(fā)生了很大變化。在大型網絡中，由云服務器供應的那些路由器和黑客控制的被攻擊的云服務器兩層互相連接，這樣黑客就可以在更低層次上對某些設備發(fā)起有效的攻擊，比方說利用ARP協(xié)議進行相應的攻擊，就像我們經常遇到的ARP欺騙性的攻擊，還有利用以太網進行的偽造性攻擊。

以太網的這種頭部的偽造性質的攻擊方法，指的就是黑客通過發(fā)送特別小的數據包，此數據包是那些只包含以太網頭部的僅有的14個左右的字節(jié)，文件源和發(fā)送的目的地的物理地址大多數都是虛假的，最上面協(xié)議是那種只包含2個字節(jié)的一些隨機性數據，不是我們經常所碰到的ARP協(xié)議或者IP協(xié)議，這種攻擊對交換機會造成很大影響。

3）穿透虛擬層

在云計算的時代，一臺終端主機上大多情況下會運行多臺虛擬機，那么多臺虛擬機就會有多個不同的用戶。從一些層面上來講，這臺終端機和以前的交換機的功能差不多，實際上它的確就是一臺有交換功能的交換機，它擔負著多臺虛擬機上面的全部的流量的交換工作。如果攻擊了一臺終端主機，對網絡造成的危害就相當于攻擊了以前網絡時代的一臺交換機?？墒侨绻绕鸾粨Q機來，到底是這臺終端主機容易被攻擊還是交換機容易被攻擊，答案是顯而易見的。

首先，黑客的VM是通過一個簡單的虛擬層將其隔離起來，它可以直接在這臺終端主機的內存里運行，如果黑客發(fā)現了可以通過試圖穿透那些虛擬層就可達到入侵的漏洞以后，就會非常簡單的完成入侵，而這些漏洞恰巧就存在于我們見到的那些虛擬化層的比方kvm、xen等軟件。

再者，有關交換機的內部結構不算復雜，很有限的開放性的服務。而終端主機卻是一臺很標準的裝有Linux操作系統(tǒng)的服務器，在它上面運行著具有標準協(xié)議的服務和完全開放的Linux操作系統(tǒng)，這樣能被黑客使用的通道也要比傳統(tǒng)交換機多。

3 解決方案

有關云計算的安全性是我們要考慮的首要問題。2013年12月10日訊，英國標準協(xié)會（簡稱BSI）宣布阿里云計算有限公司（簡稱阿里云）獲得全球首張云安全國際認證金牌（CSA-STAR），這也是BSI向全球云服務商頒發(fā)的首張金牌。

3.1 分布式虛擬交換機

為了解決云VM的網絡控制問題，我們設計了一套分布式的虛擬交換機，并提供WEB API供外部調用。分布式虛擬交換機部署在每一臺宿主機里面，與控制中心通信，上報、接收安全策略。它主要提供兩大功能：

1）自動遷移的安全組策略

在云時代，不同的用戶共用同一段IP地址，基于IP地址已經難以區(qū)分業(yè)務了。因此，我們使用用戶ID來做區(qū)分，基于用戶ID來實現安全域，實施安全策略。當用戶的VM出現故障遷移到其他宿主機時，這個VM的安全策略會自動遷移過去。

2）動態(tài)綁定過濾

我們借鑒思科的DAI技術，實現了對數據包的動態(tài)檢查，在VM發(fā)出的數據包出虛擬網卡之前做一次過濾，剔除偽造的報文。如偽造源IP地址的報文，偽造源MAC地址的報文?？拷炊诉^濾，可以有效地減輕惡意流量對網絡造成的影響。

3.2 基于數據分析的云盾系統(tǒng)

從數據分析的那些個性化安全方面考慮，他們實際上與監(jiān)控方面的相關的惡意行為非常相似。我們研究并分析了每一個相關云服務器的QPS、PPS、 BPS方面的時間情況曲線圖，準確了解了每個最終用戶對云計算服務器訪問的那些規(guī)律。利用User-Agent、對于數據源的IP地址的歸屬地來計算移動APP、個人微機的訪問量的分布規(guī)律。我們從統(tǒng)計到的數據中，詳細制定出了每個云計算的防御策略，比方說DoS防御方面的觸發(fā)、清洗閾值都屬于我們的數據分析方面的云盾系統(tǒng)。

另外，因為那些大規(guī)模入侵的原因，那些大批量的有惡意行為的IP地址，都會被我們引以為豪的云盾系統(tǒng)獲取，比方說密碼破解、DoS攻擊、WEB攻擊、惡意注冊等不良行為。云盾系統(tǒng)把捕獲到的IP地址放在了一個統(tǒng)一的共享的資源庫，它可以對全部的安全產品控制，在黑客對哪個VM攻擊以前就很好地完成了防御。

正是因為對這些數據進行了相應的整合，我們的云盾形成一個完整的體系，在各個不同的層面可以進行有效的防御，組建戰(zhàn)略縱深。各個子產品的數據打通，互相協(xié)助，一同進化，保護著云平臺的安全。

4 結束語

總之，我認為云計算的安全絕對不能依靠云服務提供商自己來防御，它必須是把所有網絡都能進行開放，由眾多的安全服務廠商提供自己的產品，為形形色色的用戶提供個性化、定制化的產品和服務。

參考文獻：

[1] 于戈，谷峪，鮑玉斌，等.云計算環(huán)境下的大規(guī)模圖數據處理技術[J].計算機學報，2011，34（10）：1753-1767.

[2] 李健，黃慶佳，劉一陽，等.云計算環(huán)境下基于粒子群優(yōu)化的大規(guī)模圖處理任務調度算法[C]//2012年第三屆中國計算機學會服務計算學術會議論文集.2012：1-8.

[3] 趙小換.云計算環(huán)境下的大規(guī)模圖數據處理技術分析[J].中國外資（下半月），2012（5）：275.

[4] 李東升.云計算環(huán)境下的大規(guī)模圖數據處理技術[J].信息與電腦，2015（8）：35-35，40.