面向企業私有云計算平臺的安全構架研究

劉勝娃+陳思錦+李衛+高翔

摘 要： 云計算是一種基于互聯網的新興應用計算機技術。私有云是在企業自有數據中心內部搭建云管理環境系統的基礎支撐，為定義、運行云應用提供計算、存儲和網絡資源管控平臺。對企業私有云建設方案進行了探討 ，介紹和分析了企業私有云建設內容 、目標及效益分析，并進一步分析了私有云所面臨的安全問題，提出了私有云的安全框架，為企業私有云建設提供參考。

關鍵詞： 云計算； 網絡安全； 私有云； 計算機技術

中圖分類號： TN915?34； TP309 文獻標識碼： A 文章編號： 1004?373X（2014）04?0034?03

Research on security framework of enterprise private cloud computing platform

LIU Sheng?wa1， CHEN Si?jin1， LI Wei1， GAO Xiang2

（1. CNPC Chuanqing Drilling Engineering Company， Xian 710018， China； 2. Northwestern Polytechnical University， Xian 710072， China）

Abstract：Cloud computing is an Internet?based emerging application of computer technology. Private cloud is a basic support for setting up the cloud management system in the internal of enterprise private datacenter. It provides a platform of computation， storage and network resource management and control for definition and running of cloud. The enterprise private cloud construction plan is discussed in this paper. The enterprise private cloud construction content， goal and benefit are analyzed. this paper also analyzes The further analysis on security problems of cloud platform are conducted. A security framework for dealing with this problem is proposed. A reference for the enterprise private cloud construction is presented in this paper.

Keywords： cloud computing； network security； private cloud； computer technology

0 引 言

自從2006年云的概念被谷歌首次提出以來，隨著虛擬化，網絡寬帶、分布式計算等關鍵技術的飛速發展，云應用的時代已經悄然開啟，越來越多的企業把自己的信息平臺從原有的客戶機/服務器架構中轉移到了嶄新的云平臺上。云計算作為一個新生事物，在被人們了解和接受的同時，也受到了來自網絡信息安全方面的巨大挑戰。自2011年以來，谷歌、亞馬遜、微軟等公司的云平臺都受到了規模不等的攻擊，給客戶造成了極大的影響，而且在全球范圍內，針對云平臺的攻擊次數逐年增長，呈顯出愈演愈烈的趨勢。如何保證企業私有云平臺的數據安全、計算可靠，已經成為企業私有云的構建者不得不面對的問題。本文根據現有的云安全現狀，結合本企業建設的實際經驗，介紹了一種較為通用的云安全框架，希望對其他企業的云搭建提供有價值的參考。

1 私有云的概念

云計算的技術實現手段更多地表現為一種商業模式，它將將計算資源、存儲資源、網絡資源以虛擬化和自動化的方式通過網絡來提交。“云”是一些可以自我維護和管理的虛擬計算資源，通常是一些大型服務器集群，包括云控制器服務器，云配置服務器，云配置服務器，云配置服務器等。云計算通過網絡提供用戶所需的計算力、存儲空間、軟件功能和信息服務等。支持各種應用程序的運轉。云計算是并行計算（Parallel Computing）、分布式計算（Distributed Computing）和網格計算（Grid Computing）的發展。私有云（Private Clouds）是為一個客戶單獨使用而構建的，因而提供對數據、安全性和服務質量的最有效控制。該公司擁有基礎設施，并可以控制在此基礎設施上部署應用程序的方式。私有云可部署在企業數據中心的防火墻內，也可以將它們部署在一個安全的主機托管場所。私有云可由公司自己的 IT 機構，也可由云提供商進行構建。在此“托管式專用”模式中，像 Sun，IBM這樣的云計算提供商可以安裝、配置和運營基礎設施，以支持一個公司企業數據中心內的專用云。此模式賦予公司對于云資源使用情況的極高水平的控制能力，同時帶來建立并運作該環境所需的專門知識。

2 云計算實現機制

云計算技術體系結構分為四層：物理資源層、資源池層、管理中間件層和SOA構建層。物理資源層直接面向實際承擔數據傳輸的物理媒體。管理中間件層中間件層充當了應用層和資源層之間的橋梁。這層提供了資源代理，通信服務、任務分析器、任務調度器、安全訪問、可靠性控制和信息服務能力。SOA構建層是面向服務的體系架構，包括服務接口、服務注冊、服務查找、服務訪問和服務工作流等。管理中間件層和資源池層是云計算技術的最關鍵部分，外部設施提供了SOA構建層的功能。云計算的管理中間件層負責資源管理、任務管理、用戶管理和安全管理等工作。資源管理負責底層硬件資源，處理能力（服務器），網絡傳輸（局域網、外網），存儲能力（虛擬存儲領域），對VM資源的控制與管理（包含系統、應用軟件、數據庫）等資源的管理；任務管理負責任務狀態遷移、任務控制塊、內核中各種隊列、調度算法和內核時鐘等內容；用戶管理在后臺管理節點內所有用戶的功能，包括提供用戶交互接口、管理和識別用戶身份、創建用戶程序的執行環境、對用戶的使用進行計費等；安全管理分析和研究各種不安全因素，從技術上、組織上和管理上采取有力的措施，解決和消除各種不安全因素，防止事故的發生，包括身份認證、訪問授權、綜合防護和安全審計等。

基于上述體系結構，云計算的實現機制有虛擬化機制，海量數據分布式存儲管理機制和分布式計算機制。虛擬化機制通過對物理資源抽象、映射和展現，將實際物理資源隱藏在其后，為上層系統提供統一的設備使用形式。海量數據分布式存儲管理機制采用分布式存儲的方式來存儲數據，用冗余存儲的方式保證數據的可靠性。分布式計算機制把一個大的應用程序分解成若干可以并行處理的子程序，基于互聯網由許多計算機分別計算，然后對結果進行組合得出數據結論。

3 私有云安全

3.1 私有云安全問題

云計算的技術基礎是在一個應用的管理程序的基礎上的。管理程序能夠把計算（及其相關的安全威脅）與傳統的安全工具隔離開，檢查網絡通訊中不適當的或者惡意的數據包。由于在同一臺服務器中的虛擬機能夠完全通過管理程序中的通信進行溝通，數據包能夠從一個虛擬機發送到另一個虛擬機，不必經過物理網絡。一般安裝的安全設備在物理網絡檢查通訊流量。至關重要的是，這意味著如果一個虛擬機被攻破，它能夠把危險的通信發送到另一個虛擬機，機構的防護措施甚至都不會察覺。換句話說，一個不安全的應用程序能夠造成對其他虛擬機的攻擊，用戶采用的安全措施對此無能為力。由此，得出結論，私有云也是不安全的。

3.2 私有云安全框架的組成

由于云服務能夠以多種方式提供服務（SaaS，PaaS，IaaS和運維模式），云安全框架解決方案依賴于上下文情景。因此，解決方案架構應該基于云應用架構去適配這些顧慮并構建安全控件。公有云的云安全是用戶和云服務提供商共同的職責，在私有云里面，消費者自身需要管理云平臺的安全狀況。云服務提供商只負責確保基本的公用基礎設施。因此為了保證私有云的安全，必須保證以下四個方面的安全：運行系統的安全；云上系統信息的安全；服務器間信息傳播安全和網絡上信息內容的安全。與所有云安全技術類似，私有云安全框架也由終端和云端兩部分構成。

3.2.1 終端組成

終端可以分為兩種角色：

（1） 負責數據采集的云安全設備。主要采用API監控結合沙箱技術提供多文件、程序行為、關聯數據的采集能力。例如：Windows終端上通過API Hook技術對瀏覽器進行監控可以采集用戶下載的新可執行文件、以及利用漏洞運行的惡意代碼、用戶訪問過的URL等信息，通過關聯分析就可以發現利用未知漏洞運行程序，為后續制定防御策略和追溯威脅來源提供數據支持。

（2） 負責安全防御與威脅處置的云安全軟件。主要利用云查殺技術和API監控等傳統監控能力與云結合實現多層級多緯度的安全策略。例如，在云安全設備中的防火墻可，在管理員發現威脅后，通過私有云安全平臺將該潛在威脅直接標為不可信，并進行阻斷處置，同時禁止該程序在任何計算機上運行來達到防御的目的。這些防御和處置手段都是通過云安全軟件來實現的。在實際使用的過程中，經常會有同一個終端充當多個角色的情況。

3.2.2 云端分類

（1） 惡意代碼查殺云（也可稱為可信軟件查詢云、文件信譽云），負責為云安全軟件和下級惡意代碼查殺云提供惡意代碼和可信軟件程序的按需查詢服務。

（2） 安全基線云，負責為不同計算機提供不同的安全基線，位于基線內的文件對于指定的計算機來說是可信的，不在基線內則可以視為威脅。

（3） 程序、數據鑒定云，負責對云安全設備采集到的文件實體、數據分析鑒定并給出分析報告或鑒定結果。

（4） 文件追溯云。提供對全網可執行文件和關鍵文件的追溯能力，利用云安全設備充當探頭，完成對全網文件狀態的全面追溯。

3.2.3 私有云安全框架的特點

私有云安全框架具有以下特點：

（1） 能提供不依賴黑名單的威脅防御能力，以企業內部基本穩定的軟件生態系統為基礎形成可分級的自定義的安全基線。利用安全基線，可以將原來單一依靠黑名單防護的“泛安全邏輯”轉換為“精確安全邏輯”。

（2） 改進的云安全軟件監控，實時發現網內新產生的程序、軟件或數據。

（3） 多級多維文件分析鑒定系統，綜合多種靜態、動態文件鑒定系統提供對文件辨別是否安全可信的綜合依據。

（4） 實時的威脅風險評估，通過各種云安全設備（客戶端終端軟件、基于云安全技術的網絡檢測設備、移動檢測設備等），對網內威脅風險進行實時的變化反饋。

（5） 多級安全防御、威脅處置策略，根據威脅評估的結果和用戶對資產價值的評估結果，將安全防御與威脅處置策略的制定權力與建議方案提供給用戶。減少用戶對非核心價值資產的關注所導致人力物力投入的分散與浪費。

3.3 私有云安全框架建立的意義

隨著企業管理信息化、政府政務信息化等各行業信息化全面的發展，對于企業、政府機關、組織機構和特定的封閉環境對安全都有新的要求。要滿足在封閉環境可用又有廣泛的適用性，就必須改變基于惡意代碼特征檢測的安全防御方式，改變安全廠商完全封閉且用戶幾乎不可定義的安全防御模型。隨著“等級保護 ”、“分級保護 ”、“企業內控 ”等相關法規與政策的相繼頒布，特別是與國計民生息息相關的大型國有企業與各級政府機關， 對于實施知識產權和涉密信息保護的需求十分迫切。打破傳統網絡運維和安全防護的界限，構建自主可控的智能信息終端安全運維體系， 實施業務網絡完整的“發現、評估、處置、審計”威脅監控流程，是新形勢下確保關鍵信息系統安全穩定運營的重要前提。以完整的“監測、發現、清除、恢復、審計”威脅監控流程為基礎，綜合利用云安全設備與云安全軟件的高度開放平臺即私有云安全平臺應對未來安全的威脅是必要的。

4 結 語

本文詳細敘述了云技術的背景以及現狀，闡明私有云安全平臺建立的意義及必要性，給出了私有云安全的完整定義，通過分析私有云安全特點的同時，給出了一個私有云安全框架的設計。

參考文獻

[1] 林曉鵬.云計算及其關鍵技術問題[J].現代電子技術，2013，36（12）：67?70.

[2] 劉宇濤，夏虞斌，陳海波.基于體系結構擴展的云計算安全增強研究[J].集成技術，2012（1）：30?33.

[3] 白妙青.云計算技術在廣播電視網中的應用[J].現代電子技術，2013，36（11）：142?144.

[4] 馬杰，羅東芳.云計算安全防范技術[J].電腦開發與應用，2013（6）：76?78.

[5] 田燕，張新剛，梁晶晶，等.基于身份認證和訪問控制的云安全管理平臺[J].測控技術，2013，32（2）：97?99.

[6] 趙建.視覺零知識身份認證的研究[J].現代電子技術，2013，36（13）：100?101.

[7] 劉東霖.SSL VPN技術研究及仿真分析[J].現代電子技術， 2013，36（13）：102?104.

[8] 馬曉昊.基于云計算的安全數據存儲服務的研究與實現[D].上海：同濟大學，2008.

[9] 譚武征.云安全存儲解決方案[J].信息安全與通信保密，2012（11）：147?149.

[10] 耿琳瑩，張要鵬，魯智勇，等.不可直接測量的網絡攻擊效能評估技術研究[J].現代電子技術，2013，36（10）：62?66.

[11] 陳真.云計算平臺入侵檢測系統的設計與實現[D].廈門：廈門大學，2012.