公共云進入快速發展期安全系統建立需精細化分析

山東師范大學信息科學與工程學院 | 王俊杰 劉麗

雖然云計算技術的安全環節受到人們重視，相關云安全標準已出臺，但云安全依然處于初級階段，需要業界人士共同進行更深入的研究和完善。

隨著固定寬帶的不斷提速，幾年前，谷歌和亞馬遜推出了云計算的運營模式，微軟和其他一些大型IT公司也紛紛加入了云計算的熱潮，各自構建了自己的云計算模式（如Windows Azure、Amazon EC2、Google App Engine），云計算的建設項目如雨后春筍般冒出，電信運營商也開始向云計算轉型。

然而，并不是所有的企業都對云計算充滿信心，據IDC公司近期的一次市場調查顯示，現階段僅有約11%的企業采用云計算，約41%的用戶正在對云方案進行評估，更多的用戶一直對云計算持觀望態度。之所以如此，是因為大家認為云計算還處于發展初期，很多方案都沒有成型，更重要的是“云”上的安全性無法得到保證。

公共云呈現快速發展趨勢

在國內，近期，IDC綜合考慮中國各方面因素，提出云計算將在中國具有廣闊的發展前景。一方面，由于中國擁有世界上數量最多的中小企業，而云計算的商業模式會為中小企業提供合適的解決方案，所以中小企業是推動中國云計算發展的主要驅動因素之一。從政策方面來說，政府對云計算的理念和技術也非常感興趣，一個運轉良好的云計算公共服務平臺不僅能帶動區域軟件產業的發展，而且有助于政府與企業實現共贏。所以在用戶需求的推動以及政府支持下，公共云將有非常良好的發展前景。

另一方面，推動公共云發展最關鍵的因素是電信運營商提供的強大基礎設施和網絡。由于云計算服務都是基于互聯網協議，而數據網絡帶寬經過幾年來電信運營商的建設，已經能夠滿足大量并發訪問和數據傳輸。所以，以電信運營商主導的公共云將取得更快的發展。可以看到，在國外，主流電信運營商均在不同方面、不同程度涉足云計算領域，例如at&t、NTT docomo等年收入排名前12名的全球運營商均開展了IaaS、SaaS等云服務，而Orange、BT、at&t和Verizon四家國際電信運營商開展云計算服務相對廣泛和深入。

雖然云計算技術的安全環節受到人們重視，相關云安全標準已出臺，但云安全依然處于初級階段，需要業界人士共同進行更深入的研究和完善。可以看到，自從云計算在IT界推廣以后，云安全問題就成為大家關注的焦點。進軍云計算的國內三大運營商也按照云安全模式，紛紛制定了自己的安全措施并推出云安全服務。

三方面保障運營商公共云安全

云安全防御體系主要包括三個方面，一是云服務提供商的安全防御措施，二是企業客戶該具備的安全防御措施，三是審計合規。我們對此進行了深入研究。

1.基礎設施層安全（IaaS服務）

基礎設施層次服務為企業客戶提供網絡、存儲、服務器等資源，維持物理平臺及數據中心的正常運行，為云計算安全提供最基本的保障。

（1）硬件資源安全性

存儲設備、服務器等硬件資源是系統正常運行的保障，如果硬件的某一部分發生故障，都會造成云計算無法正常運行。幸運的是，在數據中心建設完成以后，都會在其中設置自治系統，以備在硬件發生故障時及時檢測并告訴維護人員更換出現故障的硬件。合理規劃和布局我國數據中心建設成為當前一項緊迫任務。一些互聯網企業和電信運營商已經開始探索數據中心節能的各種最佳實踐技術，通常采用自然冷卻、智能電能分析、高壓直流供電系統的研究等，節能效果明顯。

（2）劃分VLAN，防止高流量

傳統網絡中劃分VLAN的方法有多種，不過在運營數據中心網絡上，基本都是以柜式機房為單位來劃分VLAN，它的好處是可以防止可能的高流量影響到其他VLAN網絡，使得網絡管理更加簡單，提高網絡整體安全性。傳統的以太網幀格式中只定義了4096個VLAN，在二層網絡的條件下，VLAN在更大規模上形成了制約，那么，作為電信級以太網領域的領先企業，SCNB為此提出了全面的解決方案。為解決以太網的廣播問題和安全性，在以太網幀中VLAN增加了頭，用VLAN ID把用戶劃分為更小的工作組，限制不同工作組間的用戶二層互訪，每個工作組就是一個虛擬局域網。

（3）拒絕服務攻擊

不管是IT網絡還是云計算，幾乎都受到拒絕服務攻擊和由其派生的分布式拒絕服務攻擊的威脅，它會以暴增的流量來讓服務器不堪重負而變慢或死機。目前大多數的服務器都是利用異常流量方式讓拒絕服務攻擊不至于影響所有用戶。

2.平臺服務安全（PaaS服務）

基礎設施層次安全涉及的基本都是一些硬件的安全，而平臺服務安全則重視系統與軟件的安全。

（1）操作系統的安全

就像所有的企業的操作系統都會打補丁一樣，數據中心內的操作系統也會出現漏洞，也需要不斷地進行安全性修補，不過它的修補不是程序更新發布后立刻執行，而是要先經過測試，確定修補不會影響云本身和自治系統時才進行。

（2）多租戶隔離

在Paas層次，幾乎所有服務都會以多租戶技術來設計。為了要標識不同的用戶，保證賬戶只訪問自己的信息，Paas要求用戶都要創建自己的賬戶，每個向Paas服務提交的請求會需要裝載來自于Paas服務的驗證與授權信息。

采用多租戶技術有很多優點，比如一個軟件實例可被多個組織共享，從而減低了整體資源的消耗；多租戶架構能減少物理資源和軟件資源，簡化管理；另外最重要的是，采用多租戶技術，會由有經驗的云供應商管理人員來運營，能提升效率。

（3）數據傳輸安全

不管是在傳統網絡還是在云中，在用戶終端與數據中心傳輸數據的過程中，用戶往往會擔心自己的數據被惡意用戶偷聽和竊取，造成企業核心技術泄露。所以，為保證傳輸層次的安全性，通常在SSL層都會對數據加密，這種技術是目前數據傳輸中最為常見保密性較好的一種數據傳輸加密技術，它能很好得保證傳輸中應用程序的安全。

然而由于SSL VPN技術比IP Sec VPN技術出現得晚，所以目前電信運營商的絕大部分網絡設備支持IP Sec VPN功能而不支持SSL VPN功能。與SSL VPN相比，IP Sec VPN利用組網無需新增網關設備、無需調整網絡結構，但IP Sec VPN的訪問終端需要安裝客戶端軟件管理和維護的工作量較大，不利于業務推廣應用，而SSL VPN的優勢是利用IE瀏覽器訪問終端，無需安裝專用客戶端軟件。

（4）數據存儲安全

云計算中的數據存儲都是基于虛擬機技術，即在相同的物理和軟件平臺上構建出不同的虛擬機，而企業客戶的數據就是存儲在不同的虛擬機上。目前大家一致質疑的數據存儲安全問題就是所謂的虛擬化技術還不夠成熟，虛擬機上也會存在很多安全漏洞，導致自己的鄰居客戶或不法用戶偷窺竊取自身信息。當然這樣的問題可能會存在，不過就目前虛擬化技術發展的程度看，想要尋找虛擬機的安全漏斗將是一件相當困難的事情，另外在虛擬機上一般都會部署防火墻等軟件，進一步保護了數據存儲安全。

3.軟件服務安全（SaaS服務）

SaaS提供商提供的一般都是一些軟件服務，因此開發人員一定要保證軟件服務的安全，防止應用程序被黑客攻擊，確保數據不會被未授權的用戶訪問。所以開發人員一定要按照Windows Azure的應用解決方案來構建安全應用。

企業用戶安全防御不容忽視

通過分析可知，云服務提供商所做的安全防御措施，包括硬件安全、數據隔離保護、數據傳輸保護等關鍵安全技術。不過，企業用戶將運營方案轉向“云”時應該采取的安全防御措施與此不同，包括服務水平協議、數據備份、審計管理以及其它安全策略。

1.服務水平協議

當云服務提供商向企業客戶提供服務的時候，通常也會向用戶提供一份“服務水平協議”，該協議標明協議應達到的水平，這應當是云中技術人員必須關注的問題。對于該協議，企業客戶應充分了解其中有關可用性、可靠性及性能方面的條款，以達到充分保證自身利益的目的。

2．數據備份

云批判者反復轟炸云計算的一個焦點是云的安全問題。要把數據放到自己無法掌控的機器上，這從感情上很難接受。然而，實際上現在的云計算已經能做到和傳統數據中心一樣安全，甚至比那更安全。可是，正如傳統數據中心會出現數據丟失一樣，云計算環境下，數據也會因設備、災難等問題而丟失，所以，數據庫備份工作絕不容忽視。云中最好的備份策略是基于文件的照快照的備份方案。先鎖定數據，不讓寫入，然后找快照，最后解除鎖定，這種備份策略方便快捷，可以在應用程序不停止運轉的情況下進行，保證數據庫的完整性。

3．審計管理

審計工作在由多方云服務提供商動態提供計算機資源的環境下尤為重要，只有主動地檢測系統運行情況，才能及時調查和處理任何潛在問題。網御數據庫審計系統在數據庫審計工作中發揮中重要的作用，它不僅可以對數據庫操作內容進行審計，還可以對業務操作行為進行細粒度的合規性審計和管理，幫助用戶進行事前規劃預防、事中實時監視、事后合規報告、事故追蹤溯源，加強內外部網絡行為監管，完善業務系統的安全防范體系。

4．其它安全策略

在企業向公共云遷移時，應盡量選擇安全可信度高、信譽好的大型云服務提供商，降低云服務提供商出現破產導致的風險。

有選擇地將業務向云計算遷移，盡量避免將核心知識產權及敏感信息放入云中

明確云服務提供商存儲數據的地點，在可能的情況下，控制數據的存放地地點，以應對不同地區、不同國家因法律差異而引起的法律糾紛。

合作各方應重視審計和合規

盡管云服務提供商提供最可靠的安全技術，企業用戶也做好了最全的安全防御措施，但是不可避免的是，云服務提供商和企業用戶之間還是會產生安全責任方面的糾紛，所以這就需要審計合規和法律的介入。審計合規實施建議如下。

首先，目前IT界的相關法律法規在制定時很少涉及到云安全方面的責任，所以為保證審計合規的正常實施，必須要引入法律的監管。

其次，分析合規范圍和合規條例對數據的影響，消費者應考慮哪種數據和應用可以使用云服務，以避免使用云服務而造成安全信息泄露。

再次，在云服務模型要求，云服務提供者和用戶都有責任部署安全設施，但是對于不同的云服務提供商來時，它所應負的責任是不一樣的，比如對于Iaas服務商來說，它的功能就是提供基礎設施，對安全措施的部署不用考慮太多，而Saas提供商正好相反，它幾乎要負責所有安全責任。所以不管是云服務提供商還是企業用戶在審計合規中都要對此有明確的認識。

最后，提供關鍵服務的云提供商應該在信息安全管理系統中達到ISO/IEC 27001的標準，并且提供商應該有最低級別的審計聲明，為審計師和評估人員提供一個可識別的參考點。

我們以微軟基于云計算的操作系統Windows Azure為例，該操作系統實施的具體審核方案是采用多層次的檢測、記錄和報告。監控代理(Monitoring Agent)會采集FC和OS的檢測和診斷日志信息，將其寫入本地日志文件并定期將其傳送到預先配置好的存儲賬戶，以供用戶查詢。此外，檢測數據分析服務（Monitoring Data analysis Service）也會讀取各種檢測和診斷日志數據，將其總結分析，然后把它寫入一個綜合的日志以備差用。

總之，雖然云計算在技術方面已經有了相當大的進步，各種云安全組織也制定了相應的云安全標準，但是云計算是否能充分滿足隱私條例，是否能符合SLA規范，是否能保證平臺的絕對連續可靠，這些都是業界人士下一步需要考慮的問題。