私有云信息安全體系架構研究*

朱德軍 劉樹軍 趙李東

石家莊郵電職業技術學院 河北 石家莊 050021

私有云建設對信息化建設、后期網絡、主機、業務運維提供非常方便的技術手段，并大大提高了工作效率；并且私有云內部的建設可以實現業務系統內的信息共享，方便用戶獲取相關業務信息。但網絡攻擊、一些惡性黑客行為，會造成數據泄露風險，并惡意造成系統癱瘓，使得用戶無法使用業務系統，造成企業經濟損失。如盜取用戶賬戶密碼，獲取敏感信息，如身份證信息、家庭住址、手機號等，掛載非法鏈接、如黃賭毒等非法鏈接、惡意堵塞網絡，造成網絡大面積癱瘓。私有云的信息安全是保障用戶業務數據安全的重要保障。

1 私有云的部署方式所帶來的安全隱患

私有云，由多臺本地服務器（CPU、內存、硬盤資源）、利用本地網絡和外置存儲組成，通常采用虛擬化技術、對整個集群的計算資源、內存進行池化，利用外置存儲和本地服務器的硬盤池化組成存儲資源，形成統一的資源池。最終由私有云的云管平臺管理調度所有的資源，根據業務部門的系統要求，分配相關資源，以虛擬機的方式提供給業務系統使用。

因為是集群化管理，云管平臺的統一調度、管理，可以理解為私有云是個硬件、軟件都高度耦合的，那么它存在的風險如下：

1.1 云管平臺的管理賬戶泄露

云管平臺是整個私有云的調度、管理的核心。它可以任意改變私有云內部的網絡拓撲、資源配置、強制關機等高權限的配置操作。若云管平臺被攻克，執行上述操作，會對業務系統造成不可預估的問題。并可以對平臺下所有的虛擬機進行代碼滲透，一旦拿到操作系統的高權限，進行數據竊取，或者植入惡性代碼進行橫向攻擊，那后果不堪設想[1]。

1.2 數據集中管理的使用風險

私有云是統一管理物理服務器和虛擬機，統一的資源分配，但總體都是在私有云平臺上，若數據都在外置存儲上，那物理數據屬于集中管理，一旦存儲發生故障，那會造成冗余數據的丟失，甚至會造成大面積業務系統癱瘓，那后果就是災難性的。

1.3 病毒風險

私有云分配完資源后，最終還是要交給軟件供應商來部署相應web應用和DB。終端遠程連接虛擬機，要上傳相關工具或者程序，那就有感染病毒的風險。一旦感染病毒會產生橫向擴展，如挖礦病毒，它會影響系統資源都處于高位運行，會嚴重影響系統運行速度，當無法及時排查是病毒造成，私有云管理員會給此系統追加資源，而感染的虛擬機多的情況下，會造成集群資源的浪費。若是破壞性病毒，一旦發生集群橫向、縱向感染，會造成大面積系統癱瘓，DB虛擬機也被破壞掉，造成數據無法恢復，那對用戶造成的損失是無法接受的。

1.4 機房環境風險

機房的環境如溫度、濕度、電力都會影響私有云集群的物理機運行的穩定性，私有云是高度集群化的，一旦機房內出現任何問題，都會造成整個集群的穩定性。機房內的各項參數的可控性對集群的穩定運行至關重要。

2 相對安全隱患的防御措施

私有云是高度信息化企業使用的必要手段，它的安全措施也是運維和使用的重心，下面我們將介紹相關的安全防御措施：

2.1 私有云外部防護

私有云是架在用戶內部網絡中，而訪問用戶分為外網用戶和內外用戶，對于外網用戶的訪問的保護措施，主要通過私有云核心網絡的上層安全設備來防護。如邏輯上自上而下的安全設備有：外部防火墻、IPS、WAF等安全設備，輔助態勢感知和流量分析，對外部訪問進行安全管控。內部用戶的訪問，通過私有云內部防火墻和內部WAF進行管控，將各個業務系統進行業務切割，切斷橫向、縱向的訪問，對IP地址進行精確管控，將風險控制在最小的范圍之內。對云平臺的賬戶采用大小寫+特殊字符，不少于10位，并規定密碼生效的時間范圍，到規定時間點強制更換密碼[2]。

2.2 私有云自身內部防護

虛擬化技術是云計算的主要技術支撐，私有云通過計算虛擬化、存儲虛擬化、網絡虛擬化來實現云平臺功能，同時采取了相應措施，保障云計算環境下信息安全。

2.2.1 內核加固。當私有云平臺底層使用linux系統時，為保障安全必須對Linux操作系統進行底層加固，相應的措施有：最小化服務、服務加固、內核參數調整、文件目錄權限設置、賬戶口令安全、系統認證授權、服務內核日志和審計

2.2.2 計算隔離。Hypervisor和虛擬機隔離：Hypervisor直接運作在裸機上,統一管理物理資源，防止虛擬機對物理資源的直接訪問，屏蔽虛擬資源故障。 Hypervisor和虛擬機之間隔離，確保用戶虛擬機無法通過未授權的方式訪問物理主機資源。

虛擬機之間隔離包括內存隔離和CPU隔離，其中內存隔離是指結合宿主機的進程隔離機制和x86服務器提供的內存頁表映(VT-X/EPT)訪問機制，從宿主機操作系統和底層硬件機制上，保證各虛擬機只能訪問自己空間內的內存地址。CPU隔離是指通過使用物理處理器的不同權限級別，可以有效地防止虛擬機通過未授權的方式訪問物理主機和其他的用戶虛擬機的系統資源，同時也做到了虛擬機之間的有效隔離。

2.2.3 網絡隔離。虛擬交換機邏輯隔離：提供分布式虛擬交換機，采用了VXLAN技術和VLAN技術實現大二層網絡隔離，包括不同虛擬機之間、以及虛擬機和物理機之間的網絡流量隔離。

2.2.4 存儲隔離。作為云計算虛擬化基礎設計的一部分，深信服Sangfor Cloud將基于虛擬機的計算與存儲分離。在虛擬化層，Hypervisor采用分離設備驅動模型實現I/O虛擬化。虛擬機所有I/O操作都會被Hypervisor截獲處理，保證虛擬機只能訪問分配給它的物理磁盤空間，從而實現不同虛擬機硬盤空間的安全隔離。

2.2.5 集群內虛擬安全設備。在私有云的邊界，融入了虛擬分布式防火墻、IPS、VWaf等虛擬安全設備，對整個私有云的邊界起到防護作用。私有云虛擬分布式防火墻，可學習端口流量、交互關系，為用戶推薦防護策略，并可視化呈現虛擬機端口使用情況和訪問關系，可支持組級別安全策略配置和編輯，根據業務和訪問情況，進行精確管控。對于私有云內對外網提供訪問的虛擬機，全部加入到VWaf后方，并結合IPS的安全策略，啟動主動防御功能，讓整個集群的邊界處于安全狀態[3]。

2.3 存儲分散方案

在私有云存儲方案中有兩種硬件可作為存儲，一是外置存儲，二是利用服務器本身硬盤進行存儲池化。若企業本身沒有存儲利舊，可直接利用服務器硬盤就行存儲池化；若有外置存儲，可將此外置存儲和硬盤池化組成兩套存儲，供私有云使用。切勿只使用外置存儲，當虛擬機很多時存儲的壓力會上漲，性能瓶頸會先到，造成整個集群反應速度急速下降，情況嚴重點會造成整個私有云平臺無法運維。混搭或只利用服務器本身硬盤池化，在后期擴展都非常有利，在數據備份也很靈活，可進一步加強私有云信息安全。

2.4 輔助分析

私有云的核心是利用軟件對物理服務器的資源做整體調度，以便用戶能最大的使用物理資源，并能方便的優化業務網絡結構，對產生的危險信息通過某些手段能夠抓取、分析。既然是軟件做整體調度，那私有云的底層架構必然會出現某些狀況，包括服務器的資源、性能監控。那么豐富、全面的日志分析系統就凸顯重要性。相關日志有：服務器日志、安全設備日志、網絡設備日志、中間件日志。當通過私有云的監控系統發現某臺物理服務器性能消耗過大，而它上面的虛擬機數量不多，并發也不大時，通過分析服務器日志分析造成原因，及時解決，防止私有云內部服務器崩潰，造成數據損失。而其他的設備日志分析，與之用法一致。它們都是對私有云信息安全的輔助排查手段[4]。

3 結束語

私有云已經在企業和日常企業中得到廣泛應用，它可大大提高物理服務器的利用率，可以統一的管理物理資源，做到了降本增效。隨著應用的廣泛，對它的信息化安全，提出了更高的要求。在企業使用的越是廣泛，對私有云的安全要求也就越高。最基礎的網絡安全、私有云內部的安全管控、機房動環的安全，這些安全都是為了私有云信息安全。