摘要：云計算的安全問題是制約云計算發(fā)展的一個重要問題，從云計算的定義出發(fā)，文章詳細分析了云計算帶來的若干新興的安全問題，進而從云計算服務(wù)供應(yīng)商的角度，給出了一個加強云計算安全的保障體系，為云計算的應(yīng)用平臺構(gòu)建和服務(wù)提供做好鋪墊。

關(guān)鍵詞：云計算；安全問題；保障體系

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2013）10-2308-02

云計算是傳統(tǒng)計算機技術(shù)和網(wǎng)絡(luò)技術(shù)發(fā)展融合的產(chǎn)物，也是引領(lǐng)未來信息產(chǎn)業(yè)創(chuàng)新的關(guān)鍵戰(zhàn)略性技術(shù)和手段，作為21世紀IT行業(yè)乃至社會關(guān)注的焦點和熱點，未來云計算應(yīng)用可以作為一種IT基礎(chǔ)設(shè)施服務(wù)模式、一種信息交換的交付模式、一種創(chuàng)新性資源服務(wù)模式、一種基于互聯(lián)網(wǎng)的新型商業(yè)模式，將為人類社會提供更加方便、快捷的信息服務(wù)。

根據(jù)美國國家技術(shù)和標準研究院（NIST， Nstioanl Institute of Standards and Technology）對外公布的一個云計算定義：云計算是一個提供便捷的可通過網(wǎng)絡(luò)訪問一個可定制的計算機資源共享池能力的模式（計算資源包括網(wǎng)絡(luò)、服務(wù)器、存儲、應(yīng)用和服務(wù)）；這些資源能夠快速部署、并只需很少的管理工作或服務(wù)供應(yīng)商很少的交互。

這個定義相對來說是比較具體的，也更為技術(shù)，它強調(diào)了一個共享的計算資源池，然后用戶可以方便地通過網(wǎng)絡(luò)來進行訪問，總的來說云計算就是信息技術(shù)作為服務(wù)（IT as a Service）的一種計算供應(yīng)和消費方式，因此云計算也可以被稱為云服務(wù)。

隨著云計算技術(shù)的深入研究，云安全越來越稱為云計算以及安全業(yè)界關(guān)注的焦點問題，一方面由于云計算應(yīng)用的無邊界性特點而引發(fā)的很多新安全問題，另一方面，云計算也對傳統(tǒng)的安全技術(shù)產(chǎn)生了深遠的影響。在網(wǎng)絡(luò)安全形勢如此嚴峻的形勢下，有必要對云計算的安全問題有一個整體和清晰的認識，才能在實際應(yīng)用中把握安全界限。

1 云計算的常見安全問題

這里綜述以下幾類云計算帶來的新興安全問題。

1）云計算資源的濫用

由于云計算服務(wù)可以實現(xiàn)通過較低的成本輕易獲得大量的計算資源，因此部分黑客利用運資源濫發(fā)垃圾郵件、破解用戶關(guān)鍵密碼以及開發(fā)僵尸網(wǎng)絡(luò)程序來控制用戶主機，等等。這些行為有可能造成云計算服務(wù)供應(yīng)商的網(wǎng)絡(luò)地址作為黑名單，而導致其他用戶無法正常使用。此外，由于云計算資源的濫用，在一定情況下為保全證據(jù)，有可能會導致其他服務(wù)應(yīng)用的中斷。

2）云計算環(huán)境的安全保護

當云計算服務(wù)供應(yīng)商某一服務(wù)或客戶遭到入侵，導致資料被竊取時，極有可能會影響到該供應(yīng)商服務(wù)的其他客戶，使得這些客戶不得不放棄該服務(wù)供應(yīng)商的服務(wù)。除此之外，另外一個云計算的安全問題發(fā)生在多用戶的環(huán)境中，用戶的活動特征有可能被抓取或者泄密，例如2013年3月15日由中國中央電視臺曝光的網(wǎng)易等網(wǎng)絡(luò)公司通過Cookie抓取用戶特征，并對用戶信息進行出賣，這些行為也同樣會出現(xiàn)在云計算的應(yīng)用場景中。

3）云服務(wù)供應(yīng)商的信任問題

如同在傳統(tǒng)數(shù)據(jù)中心環(huán)境中，員工泄密等情況時有發(fā)生一樣，在云計算環(huán)境下可能會發(fā)生因為供應(yīng)商內(nèi)部員工竊取客戶資料的情況。另外，某些云服務(wù)供應(yīng)商對用戶知識產(chǎn)權(quán)的保護是有限度的，因此在選擇云服務(wù)供應(yīng)商的時候，必須審慎閱讀云服務(wù)供應(yīng)商提供的直接對數(shù)據(jù)中心資料進行調(diào)查的款項，例如在歐盟和日本的法律中，就規(guī)定涉及到個人隱私的數(shù)據(jù)不可以傳送到存儲該數(shù)據(jù)以外的數(shù)據(jù)中心。

4）多向及多方審計

在云計算環(huán)境中，由于牽涉到服務(wù)供應(yīng)商和客戶的雙向設(shè)計問題，因此遠比傳統(tǒng)數(shù)據(jù)中心的審計來的更加困難。在某些安全事故中，審計對象可能涉及到多個用戶，復雜度很高，為了維護審計結(jié)果的公信力，審計行為可能會由獨立的第三方來完成，云服務(wù)供應(yīng)商負責記錄和維護審計過程中所有的稽核軌跡。隨著云計算的普及和深入，應(yīng)逐步制定相關(guān)規(guī)范來完善審計制度。

5）系統(tǒng)數(shù)據(jù)備份

一方面，由于云計算服務(wù)供應(yīng)商隨時會因為各種原因而中斷服務(wù)，因此即使云服務(wù)供應(yīng)商宣布已經(jīng)做好了完善的災(zāi)備措施，用戶也應(yīng)當即使保護好哦自己的數(shù)據(jù)備份。另一方面，當用戶不再使用某一個云服務(wù)供應(yīng)商的服務(wù)時，如何確保相關(guān)的關(guān)鍵數(shù)據(jù)已經(jīng)被其刪除，因為這是對用戶隱私的極大挑戰(zhàn)。

這些問題都是因為云計算的應(yīng)用環(huán)境而引發(fā)的新的安全問題，為了克制這些安全問題，或者為了消除安全隱患，有一系列的工作值得我們?nèi)ヌ剿鳌?/p>

2 云計算的安全保障體系

對于云計算而言，如何在最大程度上降低云計算系統(tǒng)的安全威脅，提高服務(wù)質(zhì)量，保障用戶信息安全是云計算能否取得成功應(yīng)用的關(guān)鍵，而在這些安全措施的防范基礎(chǔ)上，該文主要就服務(wù)供應(yīng)商的安全職責進行探討，說明云計算服務(wù)供應(yīng)商應(yīng)具有的安全保障體系。

利用現(xiàn)行的集成數(shù)據(jù)機密技術(shù)、VPN技術(shù)、身份認證技術(shù)、安全存儲技術(shù)，云計算服務(wù)可以構(gòu)建面應(yīng)云服務(wù)的一套安全保障體系：

1）提高云計算系統(tǒng)的安全防御體制，提高云服務(wù)系統(tǒng)的健壯性、安全性，保障系統(tǒng)服務(wù)的連續(xù)性和穩(wěn)定性。

為了實現(xiàn)這個目的，可以采取的措施包括：控制木馬等病毒程序在計算平臺內(nèi)外的傳播，對云計算系統(tǒng)的數(shù)據(jù)流量以及系統(tǒng)運行狀態(tài)進行實時監(jiān)控，部署網(wǎng)絡(luò)攻擊防御系統(tǒng)，完善云計算平臺的容災(zāi)備份機制等等。

2）保護用戶信息的可用性、私密性和完整性。

用戶信息的保護是云計算安全的首要問題，可以對用戶系統(tǒng)的數(shù)據(jù)進行數(shù)據(jù)加密、VPN使用機制以及安全的故障恢復機制。

3）身份認證與安全接入控制。

建立嚴格的云計算安全機制，實施嚴格的身份管理、安全認證以及訪問限制控制，對于用戶的訪問記錄進行安全保護，做到可溯源。

4）加強云計算服務(wù)供應(yīng)商本身的安全管理，健全網(wǎng)絡(luò)安全審計機制。

加強云計算數(shù)據(jù)中心的安全管理，加強對操作、維護等各類日志的審計管理，提高對違規(guī)溯源的事后審查能力。

云計算安全是云計算服務(wù)供應(yīng)商和云計算用戶之間的共同責任，但是兩者之間的安全界限隨著云服務(wù)類型的不同而千差萬別，因此在云計算應(yīng)用中，為了避免服務(wù)糾紛，有必要對云服務(wù)供應(yīng)商和用戶之間的責任進行明確的界定和劃分。

3 小結(jié)

本文對云計算的安全問題進行探討，具體分析了云計算由于計算模式的不同而引發(fā)的一系列新的安全問題，并從云計算服務(wù)供應(yīng)商的角度給出了若干加強云計算安全的措施，為云計算平臺的具體設(shè)計和使用提供了安全保障。

參考文獻：

[1] 李鵬. Arbor全網(wǎng)方案確保云計算安全運營[J]. 通信世界，2009（48）.

[2] ITValue.十問云計算[J].電子商務(wù)，2012（4） .

[3] 斯蒂芬·霍普金斯. 云計算的安全性[J]. 通訊世界，2009（11） .

[4] 千堆棧.時文選譯[J].計算機安全， 2010（6） .

[5] Steve Hanna，許翠蘋.云計算：風險以及規(guī)避措施[J].通訊世界， 2009（12）.

[6] 梁靜，石冰心. 服務(wù)水平協(xié)議的現(xiàn)狀及未來[J]. 電信快報， 2001（9） .

[7] Eric Chabrow， 善嫻.云安全：利弊同根生[J].通訊世界， 2009（12） .

[8] 劉冉. 淺析企業(yè)讓云端數(shù)據(jù)更安全的解決方案[J]. 網(wǎng)絡(luò)與信息， 2012（4） .

[9] 石菲. SaaS扛起云計算大旗[J]. 中國計算機用戶， 2009（15）.