基于等級保護的云計算安全防護體系研究

譚彬++楊明++梁業裕++寧建創

摘 要：云計算是傳統計算機技術和網絡技術發展融合的產物，也是引領未來信息產業創新的關鍵戰略性技術和手段。可以說，云計算技術的興起，提供了一種適應于各行業領域信息化發展需要的解決方法；云計算的出現，為信息技術領域和企業信息化建設帶來了新的挑戰和機遇。論文結合我國信息安全等級保護技術，主要研究了云安全防護體系框架的構建。

關鍵詞：云安全；等級保護；云計算；防護指標體系

1 引言

隨著云計算技術的發展，云服務基于虛擬化、高可擴展性、通用性等獨特優勢，已被越來越多的傳統應用和產品所運用。但盡管使用云計算服務優點眾多，但作為一項新生事物，云計算仍然面臨一些問題，使人們對其仍然抱有懷疑和觀望的態度，如安全是云計算面臨的首要問題，相當數量的個人用戶對云計算服務尚未建立充分的信任感。

目前，眾多云計算服務提供商各自云計算服務的技術和標準還不統一，用戶在選擇時面臨不少困惑等。由此，為促進云計算穩步發展，有效解決云服務安全問題，還需深入分析云計算系統面臨的安全威脅。

2 云計算安全防護概述

2.1 云計算安全防護的現狀

網絡安全問題是國家安全的重要組成部分，為了保障關系國家安全、關系經濟命脈及社會穩定的重要信息系統和基礎設施，我國實施了信息安全等級保護制度。該制度已成為國家信息安全保障工作的基本方法和策略，并且為了便于等級保護工作的順利實施和開展，我國制定并形成了較為完善的信息安全等級保護標準體系。但面對云計算、物聯網等新技術、新應用的出現。該標準體系在安全防護方面還存在一定的不足：云計算安全防護體系不完善；現有的信息安全等級保護體系無法在云計算領域充分應用；云計算領域信息安全問題的考慮還不充分等。

此外，綜合應用層的不同應用之間的安全需求、安全機制差異較大，隱私保護方面的研究和產業化是最大的技術短板，安全管理作為安全隱患的非技術因素也需要加強。由此基于現有的信息安全等級保護基礎，建立更為完善的安全防護框架和防護指標體系，已刻不容緩。

2.2 云計算安全防護面臨的威脅

2.2.1 數據方面的威脅

在云計算模式中，用戶和云計算中心的數據交換都是通過網絡進行傳輸的，其中包括網絡中的惡意攻擊等造成的服務中斷、數據破壞、信息被竊取和篡改等，對實現數據的安全存儲造成一定的影響，數據的安全通信、訪問認證與保密性也是有待解決的問題[1]。

2.2.2 安全管理方面的威脅

隨著云計算模式的采用，用戶的網絡、系統、應用程序和數據的很大一部分將移至第三方提供商的控制之下，云計算服務提供商會創建具有虛擬邊界的云提供給用戶使用。這種情況下，云的安全就需要云計算用戶和提供商共同進行維護，這種共享責任的模型會給用戶的IT運維人員帶來新的安全管理挑戰。

2.2.3 隱私方面的威脅

目前政府機構以及公共服務機構越來越多的發布包含個人信息的數據，并且各種網絡應用服務越來越多地收集和泄漏用戶隱私，因此，在云計算的背景下，無論是數據發布中的隱私，還是位置服務中的位置隱私，用戶個人信息的保護顯得尤為重要，同時這也是云計算是否能夠普及將要面臨的一個重要難題。

3 云安全防護體系的構建思路

3.1 技術方面

3.1.1 虛擬化安全防護策略

在物理層面上一方面可選擇具有可信賴安全模塊的物理服務器，該安全模塊可以在虛擬服務器啟動時檢測用戶信息，如果發現密碼及用戶信息不匹配，就不允許啟動此虛擬服務器；另一方面在安裝虛擬服務器時，為每臺虛擬服務器分配一個獨立的硬盤分區，以便從邏輯上將各虛擬服務器隔離開來。

在虛擬化軟件層面上，為了確保其安全，任何未經授權的用戶嚴格禁止訪問虛擬化軟件層，而對于授權用戶，則必須完整記錄其對虛擬化軟件層的物理訪問和邏輯訪問，以便利執行審計[2]。

對于虛擬化操作系統，其使用方法和物理操作系統一樣。因此，可以將在物理操作系統上采用的安全策略運用到虛擬操作系統上，更重要的是，可以兼顧虛擬操作系統的特點進行安全配置。可為每個虛擬操作系統安裝基于主機的防火墻、殺毒軟件、入侵檢測系統、入侵防御系統以及日志記錄和恢復軟件，并做相應的安全防護設置，以便將它們互相隔離，進一步進行保護。

3.1.2 應用安全策略

（1）SaaS應用安全

一方面SaaS提供商應最大限度地確保提供給客戶的應用程序和組件的安全；另一方面客戶應了解SaaS提供商使用的虛擬數據存儲架構和預防機制，以保證多租戶在一個虛擬環境所需要的隔離。

（2）PaaS應用安全

首先，PaaS云服務提供商必須意識到SSL風險的存在，并給出預案，一旦SSL出現漏洞，能夠及時確保SSL補丁能夠迅速發揮作用。

其次，在多租戶PaaS的服務模式中，最核心的安全原則就是多租戶應用隔離。云用戶應確保自己的數據只有自己的企業用戶和應用程序可以訪問。

最后“沙盒”不僅是隔離運行程序的一種安全機制，也是觀察計算機病毒行為的重要環境，通過使用“沙盒”的這種特性可以保證客戶部署在PaaS平臺上應用的保密性和完整性。云服務提供商負責監控新的程序缺陷和漏洞，以避免這些缺陷和漏洞被用來攻擊PaaS平臺和打破“沙盒”架構[3]。

（3）IaaS應用安全

客戶的應用程序和運行引擎，無論運行在何種平臺上，都由客戶部署和管理，因此它的安全主要靠用戶自身進行配置，用戶的配置方法和配置物理主機一樣。

3.1.3數據防護

由于云計算模式中不同用戶的數據實際上可能保存在同一物理區域，所以必須對存儲在云中心的數據進行加密。可以用來防止惡意的云服務提供商、惡意的鄰居“租戶”以及某些類型應用的濫用。endprint

針對數據殘留問題，用戶應該通過和云服務提供商簽訂協議，要求云服務提供商確保系統內的文件、目錄和數據庫記錄等資源所在的存儲空間被釋放或重新分配給其他云用戶前得到完全清除。

3.1.4 隱私保護

一方面國家和政府要建立相應的隱私保護法律法規，對竊取和泄露隱私的行為進行懲罰，并對隱私數據的使用特定規范。另一方面用戶需要和云計算服務提供商簽訂好SLA協議，在該協議中明確云計算服務提供商在收集、使用、傳輸、保留和銷毀個人數據時應遵守的原則。要求云計算服務提供商只能收集滿足收集需要的最低數量的個人數據，并且按照用戶個人意愿保護用戶不希望暴露的個人數據。

3.2 安全管理策略

首先，必須深刻理解在采用不同服務交付模式時與云計算服務提供商的責任分工，清楚自身所擁有、接觸和交互的層面，如網絡、主機、應用程序、存儲和包括身份服務在內的Web服務。

其次，企業應依據自身需求，選擇合適的云計算服務提供商及其服務水平協議，以獲取由云計算服務提供商提供的所需服務水平的服務，并明確自己應承擔的安全管理責任。

最后，為了確保企業安全管理，企業應根據云計算服務功能、信息敏感度以及規范各種管理職能的服務水平協議等，對于這些框架進行審查和不斷調整[4]。

4 云計算安全防護體系的構建

通過以上云計算安全防護策略的分析，為了更好地建設云安全防護體系，本次將等級保護思想融入到體系建設中。

4.1 建立方法

本次采用蛛網圖法來建立云安全防護體系。

（1）明確與計算信息系統的保護對象。

（2）分析安全保護對象所存在的安全風險及安全漏洞。

（3）根據對象的風險等級及防護體系的脆弱性，建立針對性的防護措施，如圖1所示。

對于保護對象，可根據云計算交付模式來進行劃定，如IaaS的保護對象為設備、環境等物理系統，數據庫、虛擬機等主機，網絡結構、網絡設備等網絡；PaaS的保護對象為中間件、開發框架；SaaS的保護對象為業務應用系統、數據。然后根據對象，從威脅場景（對象安全威脅存在的場景），威脅來源（從云自身、內外部及其他方面分析來源），威脅對象（從云自身、內外部及其他方面分析來源）三個方面來分析可能存在的弱點，及安全防護需求，進而明確不同等級云計算系統應對抗的安全威脅。

4.2 云安全防護體系的應用策略

4.2.1 加強軟件開發和應用

概括來說，云架構是由基礎設施層、平臺層和應用層組成，對應了三個層次的服務：基礎設施即服務、平臺即服務以及軟件即服務。無論是哪個層次的運轉，必須要依賴其核心軟件的驅動。發展云計算，硬件設備不是瓶頸，云計算的瓶頸和關鍵在于軟件。但人們傳統地認為，使用最好的設備就能構建最好的系統。這既造成了設備的浪費，又無益于我國的硬件產業的發展。云計算通過軟件的高效調度和高精度管理，可將計算結點集成為一個大型、高速、穩定運行的系統。這些計算結點并不需要高性能的高檔計算機或服務器，只需要價格便宜的結點，通過云計算軟件就能保證系統性能的穩定性。

4.2.2 重視集體整合思想

云計算的思想是集成整合現有的計算機和服務器資源，整合各領域現有的信息資源。對于企業用戶來說，云計算的價值在于重新梳理內部的IT基礎架構。云計算將服務器資源、存儲資源進行統一管理，而后根據應用需求的多少動態地對這些資源進行調整。最終，社會各個領域都會有一套較為完善的信息系統，用戶可以根據自己的需要購買相應的產品，這樣可以降低信息化成本，提高全社會的信息化程度。

5 結束語

隨著云計算的廣泛應用，我們應當高度重視云計算所面臨的安全風險。通過將安全風險因素嵌套到防護體系中，有利于等級保護框架下的云平臺建設，并能夠促進我國云計算信息系統等級保護標準研制工作的開展，因此相關工作者應加強等級保護思想在安全防護體系中的應用，合理統籌規劃資源，從根本上提高我國信息化建設水平。

參考文獻

[1] 董建鋒，裴立軍，王蘭英.云計算環境下信息安全分級防護研究[J].信息網絡安全.2014（06）.

[2] 姜政偉，趙文瑞，劉宇，劉寶旭.基于等級保護的云計算安全評估模型[J].計算機科學.2013（08）.

[3] 楊冰，張保穩，李號，張京海.面向云計算中虛擬化技術的等級保護要求研究[J].信息安全與通信保密.2014（02）.

[4] 朱圣才.基于等級保護基本要求的云計算安全研究[J].微型機與應用.2013（14）.endprint