李婷

摘要：隨著云計(jì)算技術(shù)的廣泛應(yīng)用，云安全問題變得越來越重要。目前企業(yè)為保證云安全使用了各種各樣的方案與技術(shù)，但云安全問題仍不容忽視。本文在分析云安全定義的基礎(chǔ)上，根據(jù)企業(yè)云安全現(xiàn)狀發(fā)現(xiàn)其存在的問題并通過對云安全各方面的深入思考與研究找到問題存在的原因，文章最后還給出了云安全問題解決方案以期對企業(yè)提高云安全有所幫助。

關(guān)鍵詞：企業(yè)云 云安全 計(jì)算機(jī) 網(wǎng)絡(luò)

中圖分類號：TP393.08 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號：1007-9416（2016）07-0199-01

隨著Web2.0時(shí)代的到來，“云”正在被人們越來越廣泛地使用。但與此同時(shí)，這些“云”也開始成為不法分子為某種利益而攻擊的目標(biāo)，所以企業(yè)云仍存在安全問題，云安全仍需深入研究。

1 云安全含義

云安全主要包含兩方面的含義：一是云自身的安全保護(hù)，也稱為云計(jì)算安全，包括云計(jì)算的應(yīng)用系統(tǒng)、應(yīng)用服務(wù)及用戶信息的安全，云計(jì)算安全是云計(jì)算技術(shù)健康可持續(xù)發(fā)展的基礎(chǔ)；二是云計(jì)算技術(shù)在安全領(lǐng)域的具體應(yīng)用，也稱為安全云計(jì)算，即通過采用云計(jì)算技術(shù)提升安全系統(tǒng)服務(wù)效能的安全解決方案。①

2 企業(yè)云安全存在的問題及原因

2.1 云安全存在的問題

目前企業(yè)云安全存在的主要問題為數(shù)據(jù)安全問題。這一問題主要表現(xiàn)在四方面：（1）數(shù)據(jù)傳輸安全問題，即數(shù)據(jù)加密、云計(jì)算服務(wù)商泄露數(shù)據(jù)等問題。（2）數(shù)據(jù)存儲(chǔ)安全問題，數(shù)據(jù)存儲(chǔ)包括數(shù)據(jù)的存儲(chǔ)位置、數(shù)據(jù)的相互隔離、數(shù)據(jù)的災(zāi)難恢復(fù)等問題。（3）數(shù)據(jù)審計(jì)安全問題，企業(yè)協(xié)助第三方對數(shù)據(jù)進(jìn)行安全性和準(zhǔn)確性的審計(jì)或認(rèn)證時(shí)出現(xiàn)的問題。②（4）數(shù)據(jù)恢復(fù)安全問題，資源池和彈性擴(kuò)展的云特性可能會(huì)將前面用戶寫入的數(shù)據(jù)恢復(fù)出來。

2.2 云安全存在問題的原因

通過對企業(yè)云安全存在的問題進(jìn)行分析，可以歸納出企業(yè)云安全存在問題的主要原因：（1）企業(yè)缺乏對云服務(wù)的有效監(jiān)控。大部分企業(yè)在企業(yè)業(yè)務(wù)遷移到云模式后，忘記對服務(wù)和數(shù)據(jù)安全措施進(jìn)行定期和持續(xù)的監(jiān)控，這導(dǎo)致企業(yè)在數(shù)據(jù)安全方面面臨威脅。（2）不安全的API接口。云服務(wù)提供商只管讓企業(yè)把數(shù)據(jù)遷移到云中而不思考他們的API接口中的不安全因素，從身份認(rèn)證到訪問控制，再到加密和監(jiān)控都在這些API中體現(xiàn)出來，這是造成企業(yè)云環(huán)境面臨危險(xiǎn)的重要因素。（3）企業(yè)的認(rèn)識(shí)存在盲區(qū)。有些企業(yè)認(rèn)為基礎(chǔ)設(shè)施服務(wù)提供商所提供的虛擬私有云很安全，但其實(shí)不然。虛擬私有云的運(yùn)算方式會(huì)使該企業(yè)與其他企業(yè)共用硬件資源與交換網(wǎng)絡(luò)，彼此間僅由VLAN隔離，由于組態(tài)設(shè)定錯(cuò)誤的情況時(shí)有發(fā)生，因而企業(yè)信息安全問題不可避免。

3 企業(yè)云安全問題解決方案

在云計(jì)算環(huán)境下，針對當(dāng)前企業(yè)云安全存在的問題，本文從技術(shù)和非技術(shù)兩方面提出解決方案，以期對企業(yè)提高云安全有所幫助。

3.1 云計(jì)算安全的技術(shù)方案

云計(jì)算安全的技術(shù)方案主要包括：（1）動(dòng)態(tài)數(shù)據(jù)保護(hù)。加密發(fā)送到云的敏感數(shù)據(jù)，可以為云服務(wù)提供受保護(hù)的訪問，如果使用或存儲(chǔ)的數(shù)據(jù)未被加密，企業(yè)就要面臨信息泄露的危險(xiǎn)。（2）訪問控制。企業(yè)應(yīng)要求加密服務(wù)提供商提供用戶訪問和管理控件以及強(qiáng)效驗(yàn)證替代方式，如多要素驗(yàn)證。（3）保護(hù)云中的API密鑰。API密鑰的有效管理可以改善企業(yè)云環(huán)境，避免敏感信息的泄露。（4）經(jīng)常備份。企業(yè)應(yīng)該增強(qiáng)安全意識(shí)，對存儲(chǔ)在云中的數(shù)據(jù)經(jīng)常備份，做到有備無患，以免在云計(jì)算服務(wù)遭受攻擊、數(shù)據(jù)丟失的情況下，數(shù)據(jù)得不到恢復(fù)。

3.2 云計(jì)算安全的非技術(shù)方案

目前的技術(shù)手段可以避免來自其他用戶的安全威脅，但是對于服務(wù)提供商，要想從技術(shù)上完全杜絕安全威脅還是比較困難的，在這方面企業(yè)需要非技術(shù)手段作為補(bǔ)充。云計(jì)算安全的非技術(shù)方案包括兩部分：（1）企業(yè)的安全辦法。企業(yè)可采用的安全辦法有三種：1）第三方認(rèn)證，即采用一個(gè)中立機(jī)構(gòu)對信任雙方進(jìn)行約束。這個(gè)機(jī)構(gòu)不僅需要具備良好的公信力和定力，而且在安全領(lǐng)域具有豐富的經(jīng)驗(yàn)和技術(shù)能力。2）角色轉(zhuǎn)換。企業(yè)作為價(jià)值鏈的組成部分，需要向客戶和合作伙伴提供服務(wù)。因此為實(shí)現(xiàn)云服務(wù)的最大化利益，企業(yè)需轉(zhuǎn)換思想，適應(yīng)自己的云服務(wù)提供商的角色。3）法律和協(xié)議。法案和制度的建立不僅能讓云服務(wù)提供商開發(fā)更優(yōu)秀的構(gòu)架，提供更好的服務(wù)，而且還為企業(yè)提供了法律保障。（2）云安全廠商的安全辦法。云安全廠商可采用分級控制的管理方法提高云計(jì)算公司的安全可信度。分級控制是指將云計(jì)算的管理體系分成兩級，一級是無特殊權(quán)限的普通人員，他們負(fù)責(zé)日常的運(yùn)維工作，但是不能進(jìn)入受控的機(jī)房和登錄物理主機(jī)，所以接觸不到用戶的數(shù)據(jù)；二級是具備核心權(quán)限的特殊人員，雖然他們有權(quán)限進(jìn)入機(jī)房并登錄主機(jī)，能夠接觸到用戶的數(shù)據(jù)，但其操作行為受到流程的嚴(yán)格控制。云計(jì)算廠商通過使用分級控制的管理方法，在一定程度上可避免云計(jì)算平臺(tái)提供商竊取用戶的數(shù)據(jù)。

4 結(jié)語

云技術(shù)固然能給企業(yè)帶來利益，但其安全問題也不容小覷。企業(yè)要想保證云安全，還需要對其進(jìn)行持續(xù)深入的研究與探索。相信未來在各方面力量的共同努力下，企業(yè)云安全能有更好的保障。

注釋

①陳軍，薄明霞.云安全研究進(jìn)展及技術(shù)解決方案發(fā)展趨勢[J].現(xiàn)代電信科技，2011（06）：50-54.

②吳旭東.云計(jì)算數(shù)據(jù)安全研究[C].第26次全國計(jì)算機(jī)安全學(xué)術(shù)交流會(huì)論文集.中國計(jì)算機(jī)學(xué)會(huì)計(jì)算機(jī)安全專業(yè)委員會(huì)，2011：3.

③陳尚義.淺談云計(jì)算安全問題[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2009（10）：20-22.

參考文獻(xiàn)

[1]Winkler，J.R.Securing the Cloud：Cloud Computer Security Techniques and Tactics[M].Beijing：China Machine Press，2013.1-215.

[2]Michael hugus，Derek Hulitzky.Business in the Cloud：What Every Business Needs to Know About Cloud Computing[M].Beijing：Posts&Telecom Press，2012：47-75.