?

云計(jì)算安全體系技術(shù)框架探索

毛沖

（江西廣播電視大學(xué)，江西南昌330046）

摘要：在現(xiàn)階段，隨著云計(jì)算廣泛運(yùn)用于現(xiàn)代社會(huì)生產(chǎn)實(shí)踐中，如何保障云計(jì)算平臺(tái)自身安全成為一個(gè)亟待解決的問題。從云計(jì)算的相關(guān)概念出發(fā)，簡(jiǎn)單闡述了云計(jì)算下網(wǎng)絡(luò)安全技術(shù)運(yùn)用的意義，并且對(duì)其現(xiàn)狀進(jìn)行了系統(tǒng)、全面的分析。希望可以為云計(jì)算平臺(tái)安全技術(shù)體系的建設(shè)，提供一個(gè)有益的參考和借鑒。

關(guān)鍵詞：云計(jì)算；安全威脅；安全體系；技術(shù)框架；實(shí)現(xiàn)方法

前言

如今越來越豐富的市場(chǎng)數(shù)據(jù)，正在打消人們對(duì)于“云”概念的懷疑。越來越多的成功部署例，表明云計(jì)算不再是漂浮在頭頂上一團(tuán)虛無縹緲的水氣。目前，對(duì)云計(jì)算的定義和特點(diǎn)、應(yīng)用等存在各種不同的看法和流派，較為公認(rèn)的關(guān)于云計(jì)算描述是美國(guó)技術(shù)和標(biāo)準(zhǔn)研究院（NIST）的五個(gè)關(guān)鍵特征，按需的自服務(wù)、寬帶接入、虛擬池化的資源、快速?gòu)椥约軜?gòu)、可測(cè)量的服務(wù)。［1］

隨著云計(jì)算的部署和實(shí)施，云計(jì)算服務(wù)的提供者需要考慮一個(gè)亟待解決的問題，即如何在保障云計(jì)算平臺(tái)自身安全的基礎(chǔ)上，更好地為客戶提供服務(wù)。本文將針對(duì)這個(gè)問題，給出一種云計(jì)算安全技術(shù)體系框架，旨在為云計(jì)算平臺(tái)安全技術(shù)體系的建設(shè)，提供一個(gè)有益的參考和借鑒。

1　云計(jì)算面臨的主要安全威脅

一般而言，要解決安全問題，應(yīng)該先正確的識(shí)別其安全威脅。云安全聯(lián)盟CSA于2010年發(fā)布云計(jì)算領(lǐng)域的7個(gè)安全威脅，獲得了廣泛的引用和認(rèn)可，相關(guān)分析闡述如下：

1.1云計(jì)算的濫用、惡用、拒絕服務(wù)攻擊

多年來，DDOS一直都是互聯(lián)網(wǎng)的一大威脅。而在云計(jì)算時(shí)代，許多企業(yè)會(huì)需要一項(xiàng)或多項(xiàng)服務(wù)保持7×24小時(shí)的可用性，在這種情況下這個(gè)威脅顯得尤為嚴(yán)重。DDoS引起的服務(wù)停用會(huì)讓服務(wù)提供商失去客戶，還會(huì)給按照使用時(shí)間和磁盤空間為云服務(wù)付費(fèi)的用戶造成慘重?fù)p失。雖然攻擊者可能無法完全摧垮服務(wù)，但是“還是可能讓計(jì)算資源消耗大量的處理時(shí)間，以至于對(duì)提供商來說運(yùn)行成本大大提高，只好被迫自行關(guān)掉服務(wù)?！?/p>

1.2不安全的接口和API

API對(duì)一般云服務(wù)的安全性和可用性來說極為重要。企業(yè)和第三方因而經(jīng)常在這些接口的基礎(chǔ)上進(jìn)行開發(fā)，并提供附加服務(wù)。CSA在報(bào)告中表示：“這為接口管理增加了復(fù)雜度。由于這種做法會(huì)要求企業(yè)將登錄資料交給第三方，以便相互聯(lián)系，因此其也加大了風(fēng)險(xiǎn)?！?/p>

1.3惡意的內(nèi)部員工

不懷好意的內(nèi)部人員，這些人可能是在職或離任的員工、合同工或者業(yè)務(wù)合作伙伴。他們會(huì)不懷好意地訪問網(wǎng)絡(luò)、系統(tǒng)或數(shù)據(jù)。在云服務(wù)設(shè)計(jì)不當(dāng)?shù)膱?chǎng)景下，不懷好意的內(nèi)部人員可能會(huì)造成較大的破壞。對(duì)于云計(jì)算服務(wù)而言，有權(quán)限、有能力接觸并處理用戶數(shù)據(jù)的人員范圍進(jìn)一步擴(kuò)大，這種訪問權(quán)限范圍的擴(kuò)大，增加了惡意的“內(nèi)部員工”濫用數(shù)據(jù)和服務(wù)、甚至實(shí)施犯罪的可能性。在云服務(wù)提供商完全對(duì)數(shù)據(jù)安全負(fù)責(zé)的場(chǎng)合下，權(quán)限控制在保證數(shù)據(jù)安全方面有著很大作用。CSA方面認(rèn)為：“就算云計(jì)算服務(wù)商實(shí)施了加密技術(shù)，如果密鑰沒有交由客戶保管，那么系統(tǒng)仍容易遭到不懷好意的內(nèi)部人員攻擊。”

1.4共享技術(shù)產(chǎn)生的問題

資源的虛擬池化和共享是云計(jì)算的根本，但是這種共享并不是沒有代價(jià)的。云服務(wù)提供商經(jīng)常共享基礎(chǔ)設(shè)施、平臺(tái)和應(yīng)用程序，并以一種靈活擴(kuò)展的方式來交付服務(wù)。CSA在報(bào)告中表示：“共享技術(shù)的安全漏洞很有可能存在于所有云計(jì)算的交付模式中，無論構(gòu)成數(shù)據(jù)中心基礎(chǔ)設(shè)施的底層部件(如處理器、內(nèi)存和GPU等)是不是為多租戶架構(gòu)(IaaS)、可重新部署的平臺(tái)(PaaS)或多用戶應(yīng)用程序(SaaS)提供了隔離特性。”

1.5數(shù)據(jù)泄漏

要是多租戶云服務(wù)數(shù)據(jù)庫(kù)設(shè)計(jì)不當(dāng)，哪怕某一個(gè)用戶的應(yīng)用程序只存在一個(gè)漏洞，都可以讓攻擊者獲取這個(gè)用戶的數(shù)據(jù)，而且還能獲取其他用戶的數(shù)據(jù)。要應(yīng)對(duì)數(shù)據(jù)丟失和數(shù)據(jù)泄露方面的威脅，難就難在其有可能造成“拆東墻補(bǔ)西墻”般的效果。CSA報(bào)告認(rèn)為：“你落實(shí)到位的措施可能可以緩解一種威脅，但是會(huì)加大遭遇另一種威脅的風(fēng)險(xiǎn)。”用戶可以對(duì)數(shù)據(jù)進(jìn)行加密，以減小泄露的風(fēng)險(xiǎn)，不過一旦用戶丟失了加密密鑰，就再也無法查看數(shù)據(jù)了。反過來說，如果用戶決定對(duì)數(shù)據(jù)進(jìn)行異地備份以減小數(shù)據(jù)丟失風(fēng)險(xiǎn)，卻就又加大了數(shù)據(jù)泄露的幾率。

1.6賬號(hào)和服務(wù)劫持

CSA認(rèn)為，云計(jì)算在這方面增添了一個(gè)新的威脅。如果黑客獲取了企業(yè)的登錄資料，其就有可能竊聽相關(guān)活動(dòng)和交易，并操縱數(shù)據(jù)、返回虛假信息，將企業(yè)客戶引到非法網(wǎng)站。

1.7未知的風(fēng)險(xiǎn)場(chǎng)景

由于技術(shù)發(fā)展的不平衡，以及云計(jì)算服務(wù)商和用戶之間的信息不對(duì)稱性，使得云計(jì)算的用戶處在大量的未知安全風(fēng)險(xiǎn)中。當(dāng)然，云計(jì)算面臨的安全威脅還有很多，比如大量迅猛涌現(xiàn)的Web安全漏洞、潛在的合同糾紛和法律訴訟等等，此處不再贅述。

2　云計(jì)算平臺(tái)安全技術(shù)體系框架

依據(jù)云安全聯(lián)盟（CSA）的觀點(diǎn)［2］：IaaS是所有云服務(wù)的基礎(chǔ)，PaaS建立在IaaS之上，而SaaS又建立在PaaS之上；在不同云服務(wù)模型中，提供商和用戶的安全職責(zé)有著很大的不同。具體來說，IaaS提供商負(fù)責(zé)解決物理安全、環(huán)境安全和虛擬化安全這些安全控制，而用戶則負(fù)責(zé)與IT系統(tǒng)（事件）相關(guān)的安全控制，包括操作系統(tǒng)、應(yīng)用和數(shù)據(jù)；PaaS提供商負(fù)責(zé)物理安全、環(huán)境安全、虛擬化安全和操作系統(tǒng)等的安全，而用戶則負(fù)責(zé)應(yīng)用和數(shù)據(jù)的安全；SaaS提供商不僅負(fù)責(zé)物理和環(huán)境安全，還必須解決基礎(chǔ)設(shè)施、應(yīng)用和數(shù)據(jù)相關(guān)的安全控制。

此處，我們給出一種云計(jì)算平臺(tái)安全技術(shù)體系框架，如圖1所示。

圖1　云計(jì)算平臺(tái)安全技術(shù)體系框架

3　云計(jì)算安全體系在ICT云平臺(tái)中的實(shí)踐

3.1建設(shè)背景

ICT云平臺(tái)將為客戶業(yè)務(wù)應(yīng)用系統(tǒng)提供統(tǒng)一的硬件平臺(tái)、網(wǎng)絡(luò)資源、安全保障和運(yùn)維服務(wù)，所有平臺(tái)和網(wǎng)絡(luò)由云平臺(tái)統(tǒng)一提供、統(tǒng)一托管、統(tǒng)一維護(hù)，從而加強(qiáng)資源共享，減少重復(fù)建設(shè)，營(yíng)造共建共享、互聯(lián)互通、綜合應(yīng)用的網(wǎng)絡(luò)平臺(tái)的建設(shè)及運(yùn)行環(huán)境。

3.2ICT云平臺(tái)現(xiàn)狀

目前ICT系統(tǒng)組網(wǎng)結(jié)構(gòu)如下圖所示：

圖2　ICT系統(tǒng)組網(wǎng)結(jié)構(gòu)

3.3ICT云平臺(tái)安全建設(shè)思路

根據(jù)前文所述云計(jì)算所面臨的安全風(fēng)險(xiǎn)，同時(shí)結(jié)合現(xiàn)有網(wǎng)絡(luò)拓?fù)?，在?gòu)建云計(jì)算平臺(tái)安全架構(gòu)時(shí)，應(yīng)該充分結(jié)合業(yè)務(wù)特點(diǎn)來系統(tǒng)地進(jìn)行規(guī)劃，考慮資源池外圍物理實(shí)體以及資源池虛擬化平臺(tái)環(huán)境的各類安全需求和特性，從而達(dá)到各類安全產(chǎn)品、安全管理、整體安全策略的統(tǒng)一，發(fā)揮最大的效率。解決思路如下：

1)安全防護(hù)系統(tǒng)：入侵檢測(cè)、流量清洗和阻止DDoS攻擊；

2)防護(hù)設(shè)備提供虛擬補(bǔ)丁,保障平臺(tái)和業(yè)務(wù)系統(tǒng)持續(xù)運(yùn)行;

3)服務(wù)器主機(jī)健康性檢查；

4)數(shù)據(jù)庫(kù)日志監(jiān)控，防止對(duì)數(shù)據(jù)庫(kù)的非法操作；

5)系統(tǒng)漏洞掃描和安全性評(píng)估；

6)網(wǎng)頁(yè)掛馬檢測(cè)；

7)對(duì)文件的細(xì)粒度的訪問控制體系；

8)可審計(jì)和可追溯系統(tǒng)；

9)應(yīng)用進(jìn)程保護(hù)與數(shù)據(jù)私密性保護(hù)系統(tǒng)；

10)在系統(tǒng)建設(shè)完成之后，對(duì)網(wǎng)絡(luò)與信息安全產(chǎn)品與方案進(jìn)行評(píng)測(cè)。

3.4ICT云平臺(tái)安全設(shè)計(jì)

針對(duì)不同的網(wǎng)絡(luò)邊界設(shè)計(jì)如下分層防護(hù)設(shè)計(jì)

圖3　分層防護(hù)設(shè)計(jì)圖

3.5ICT云平臺(tái)安全防護(hù)部署思考

訪問控制系統(tǒng)的安全目標(biāo)是將云平臺(tái)與不可信任域進(jìn)行有效地隔離與訪問授權(quán)，訪問控制系統(tǒng)應(yīng)根據(jù)各業(yè)務(wù)的安全級(jí)別要求和全網(wǎng)安全策略控制出入網(wǎng)絡(luò)的信息流，并且系統(tǒng)本身具有較強(qiáng)的抗攻擊能力。

訪問控制系統(tǒng)由防火墻系統(tǒng)組成，防火墻在網(wǎng)絡(luò)入口點(diǎn)根據(jù)設(shè)定的安全規(guī)則，檢查經(jīng)過的通信流量，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，對(duì)兩個(gè)或多個(gè)網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包和聯(lián)接方式按照一定的安全策略進(jìn)行檢查，來決定網(wǎng)絡(luò)之間的通信是否被允許。

安全域的邊界防護(hù)和訪問控制通過部署高性能的下一代防火墻來實(shí)現(xiàn)，下一代防火墻比傳統(tǒng)狀態(tài)檢測(cè)防火墻的優(yōu)勢(shì)在于，可以基于應(yīng)用層的攻擊行為分析和防護(hù)，通過對(duì)江西移動(dòng)各業(yè)務(wù)平臺(tái)的業(yè)務(wù)數(shù)據(jù)流進(jìn)行篩選分析，制定嚴(yán)格的區(qū)域邊界防護(hù)策略，實(shí)現(xiàn)對(duì)安全域的邊界防護(hù)和訪問控制，是云平臺(tái)的第一道安全防線。

1)核心交換域部署流量清洗中心

ICT云平臺(tái)因其業(yè)務(wù)的特殊性，在互聯(lián)網(wǎng)出口部署DDOS攻擊防護(hù)平臺(tái)，可以在業(yè)務(wù)系統(tǒng)遭受DDOS攻擊初期進(jìn)行快速預(yù)警，在不影響正常業(yè)務(wù)的前提下，清洗掉異常流量，并在檢測(cè)平臺(tái)確認(rèn)攻擊事件后，迅速實(shí)施防護(hù)干預(yù)。

2)核心生產(chǎn)域部署Web應(yīng)用防火墻

ICT云平臺(tái)一般都是采用Web的方式來對(duì)外提供各類服務(wù)，特別是在Web 2.0的技術(shù)趨勢(shì)下，75％以上的攻擊都瞄準(zhǔn)了網(wǎng)站（Web）。這些攻擊可能導(dǎo)致資源池平臺(tái)服務(wù)提供商遭受聲譽(yù)和經(jīng)濟(jì)損失，可能造成惡劣的社會(huì)影響。Web應(yīng)用防護(hù)技術(shù)通過深入分析和解析HTTP的有效性、提供安全模型只允許已知流量通過、應(yīng)用層規(guī)則、基于會(huì)話的保護(hù)，可檢測(cè)應(yīng)用程序異常情況和敏感數(shù)據(jù)（如信用卡、網(wǎng)銀帳號(hào)等）是否正在被竊取，并阻斷攻擊或隱蔽敏感數(shù)據(jù)，保護(hù)資源池平臺(tái)的Web服務(wù)器，確保資源池平臺(tái)Web應(yīng)用和服務(wù)免受侵害。

與傳統(tǒng)防火墻/IPS系統(tǒng)相比較，Web應(yīng)用防護(hù)技術(shù)將提供一種安全運(yùn)維控制手段，基于對(duì)HTTP/HTTPS流量的雙向分析，為Web應(yīng)用提供實(shí)時(shí)的防護(hù)。

通過已有Web漏洞掃描系統(tǒng)（WVSS）與Web應(yīng)用防護(hù)系統(tǒng)可以實(shí)現(xiàn)安全聯(lián)動(dòng)，第一時(shí)間識(shí)別安全風(fēng)險(xiǎn)，并及時(shí)更新Web應(yīng)用防護(hù)策略，實(shí)現(xiàn)虛擬補(bǔ)丁功能。

Web應(yīng)用防護(hù)技術(shù)將以一個(gè)可閉環(huán)又可循環(huán)的方式去降低潛在的威脅，對(duì)于事中疏漏的攻擊，可用事前的預(yù)發(fā)現(xiàn)和事后的彌補(bǔ)，形成環(huán)環(huán)相扣的動(dòng)態(tài)安全防護(hù)。

3)身份認(rèn)證

通過部署在接入維護(hù)域的堡壘機(jī)，對(duì)來自移動(dòng)內(nèi)部、第三方的運(yùn)維人員統(tǒng)一進(jìn)行身份認(rèn)證、帳號(hào)分配、權(quán)限授權(quán)，主動(dòng)實(shí)現(xiàn)對(duì)人員、帳號(hào)、資產(chǎn)、權(quán)限和操作的關(guān)聯(lián)性管理，對(duì)運(yùn)維過程實(shí)現(xiàn)可控可管，是云平臺(tái)的第三道安全防線，并同時(shí)滿足集團(tuán)規(guī)范中對(duì)系統(tǒng)接入安全的要求。

4)全網(wǎng)安全審計(jì)

通過在核心交換區(qū)部署安全審計(jì)，對(duì)核心應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器進(jìn)行行為審計(jì)，可以有效掌握網(wǎng)絡(luò)安全狀態(tài)，預(yù)防敏感涉密信息外泄，實(shí)現(xiàn)對(duì)內(nèi)部網(wǎng)絡(luò)信息的整體智能關(guān)聯(lián)分析、評(píng)估、調(diào)查及安全事件的準(zhǔn)確跟蹤定位，為整體安全策略的制定提供權(quán)威可靠的支持。

5)頁(yè)面防篡改

通過在web服務(wù)器系統(tǒng)上部署web防火墻主機(jī)版(HWAF),可有效的防止頁(yè)面文件被惡意篡改,通過核心內(nèi)嵌技術(shù),直接在服務(wù)器框架接口上進(jìn)行過濾,防止新型的SQL注入和跨站攻擊,從而實(shí)現(xiàn)了ICT云平臺(tái)從內(nèi)到外完整的防護(hù)措施.

4　總結(jié)

本文在分析了云計(jì)算架構(gòu)和其面臨的主要安全威脅，并給出了一種云計(jì)算安全技術(shù)體系框架，希望可以為云計(jì)算平臺(tái)安全技術(shù)體系的建設(shè)，提供一個(gè)有益的參考和借鑒。

參考資料：

［1］The NIST Definition of Cloud Computing［EB/OL］http: //csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf

［2］CSA. Security Guidance for Critical Areas of Focus in Cloud Computing V2.1［EB/OL］http://www.cloudsecurityalliance.org/csaguide.pdf

［3］CSA. Top Threats to Cloud Computing V1.0［EB/OL］http://www.cloudsecurityalliance.org/topthreats/csathreats. v1.0.pdf

責(zé)任編輯：羅義

[作者簡(jiǎn)介]毛沖（1983-），男，江西南昌人，講師，碩士，研究方向：網(wǎng)絡(luò)技術(shù)。

[收稿日期]2015-1-07

中圖分類號(hào)：TP3

文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1008-3537（2015）02-0086-04