微信公眾號：計算機與網絡安全

ID：Computer-network

01 云計算服務平臺類型

美國國家標準與技術研究院（NIST）定義：云計算是一種按使用量付費的模式，提供可用的、便捷的、按需的網絡訪問，進入可配置的計算資源共享池（資源包括網絡、服務器、存儲、應用軟件、服務等），只需投入很少的管理工作或與服務供應商進行很少的交互，即可享用計算資源。

Gartner認為云計算是一種計算的方式，它允許通過互聯網以“服務”的形式向外部用戶交互靈活、可擴展的IT功能。本質上，云計算是一種商業計算模型，它將計算任務分布在大量計算機構成的資源池上，使用戶能夠按需獲取計算力、存儲空間和信息服務。云計算平臺服務負責為用戶的應用提供開發、運行和運營環境，同時滿足該應用的業務功能動態需求，為其按需地提供底層資源的伸縮。

云計算按照所提供的服務層次可劃分為3類：基礎設施服務（IaaS）、平臺即服務（PaaS）、軟件即服務（SaaS）。

IaaS：由服務商提供硬件平臺，用戶只需要租用硬件，可節省維護成本和辦公場地。典型的IaaS公司包括Amazon、Microsoft、VMWare、Rackspace和Red Hat等。

PaaS：PaaS服務商所提供的服務與其他服務最根本的區別是PaaS提供的是一個基礎平臺，而不是某種應用。PaaS為開發人員提供了構建好的應用程序環境，使開發者無需考慮底層硬件。典型的PaaS供應商包括Google App Engine、Microsoft Azure、Force.com、Heroku、Engine Yard等。

SaaS：服務提供商將應用軟件統一部署在服務器上，客戶可根據實際需求，通過互聯網向廠商定購所需的應用軟件服務，按定購的服務多少和時間長短向廠商支付費用。SaaS用戶無需再購買軟件，而改用向提供商租用軟件，且無需對軟件進行維護，而讓服務提供商全權管理和維護軟件。軟件廠商還提供軟件的離線操作和本地數據存儲，讓用戶隨時隨地都可使用其定購的軟件和服務。

根據云計算提供者與使用者的所屬關系（部署方式），可分為公有云、社區云、私有云、混合云4類云服務。

公有云：由若干企業和用戶共享使用的云環境。在公有云中，用戶所需的服務由一個獨立的、第三方云提供商提供。該提供商同時也為其他用戶服務，這些用戶共享這個云提供商所提供的資源。

社區云：指在一定的地域范圍內，由云計算服務提供商統一提供計算資源、網絡資源、軟件和服務能力所形成的云計算形式。基于社區內的網絡互連優勢和技術易于整合等特點，通過對區域內各種計算能力進行統一服務形式的整合，實現面向區域用戶需求的云計算服務模式。社區云是一些由類似需求并共享基礎設施的組織共同創立的云，由于共同承擔費用的用戶數比公有云少，建設社區云往往比公有云費用高，但隱私度、安全性和政策遵從等都比公有云高。

私有云：由單個企業獨立構建和使用的云環境。在私有云中，用戶是這個企業或組織的內部成員，公司或組織以外的用戶無法訪問這個云計算環境提供的服務，即云計算只為公司內部成員提供服務。

混合云：由兩個或以上的云服務組成，如公有云加私有云部署方式等。

一般來說，對安全性、可靠性及可監控性要求高的公司或組織，如金融機構、政府機關、大型企業等，會選擇使用私有云，因為他們往往已擁有規模龐大的基礎設施，只需進行少量的投資和系統升級，就可擁有云計算帶來的靈活與高效，同時可有效避免使用公有云可能帶來的負面影響。他們同時也可選擇使用混合云，將一些對安全性和可靠性需求相對較低的應用，如人力資源管理等，部署在公有云上，減輕對基礎設施的負擔。此外，一般中小型企業和創業公司則都會選擇公有云。

02 云計算服務安全問題

云計算作為一種計算即服務的應用模式，其自身的信息安全問題迎來極大挑戰。

1）云平臺所提供的服務沒有固定的基礎設施，實現用戶數據安全與隱私保護更加困難。

2）云服務所涉及的計算資源由多方共同維護，統一規劃與部署安全防護措施更加困難。

3）云平臺將服務聚合集中因而其計算量極大，安全機制與計算性能間的平衡更加困難。

同時，云計算的應用環境，除了面臨傳統的安全威脅外，也因其商業模式而產生了新的威脅。

1）虛擬化安全：虛擬化的計算，使應用進程間的相互影響更加難以捉摸；虛擬化的存儲，使數據的隔離與清除變得難以衡量；虛擬化的網絡結構，使傳統的分域防護變得難以實現；虛擬化的服務提供模式，使用戶身份、權限和行為的鑒別、控制與審計變得難以部署。

2）數據安全：數據訪問權限、存儲、管理等方面的不足都可能導致數據或用戶隱私泄露；認證、授權、審計、控制等不足，也可使數據中心的可靠性和災難性恢復出問題而導致數據丟失。

3）濫用服務：包括黑客使用云服務的計算資源來破解加密、發動DDoS攻擊等非法應用。

4）內部安全：如云平臺員工或合同工利用自身有利條件訪問存儲在云端的私密信息。

5）網絡劫持：由于服務基于互聯網通信，因此，當用戶網絡遭受劫持，就有可能暴露賬號密碼等關鍵數據。

6）接口安全：云服務的資源調配、管理、業務流程和監測等接口的安全考慮不足，如可重復使用的令牌或密碼、明文身份驗證或傳輸內容、不靈活的訪問控制或不適當的授權及有限的監視和記錄等，都將形成各種安全威脅，如匿名訪問、安全繞過等。

7）信任管理：傳統的應用部署在機構的可控范圍內，信任邊界受IT部門的監控，而云計算使信任邊界成為動態可變，甚至不受IT部門控制，因此，云服務的信任管理面臨巨大的挑戰。

03 虛擬化安全

虛擬化技術是在軟、硬件之間引入虛擬層，為應用提供獨立的運行環境，屏蔽硬件平臺的動態性、分布性、差異性等，支持硬件資源的共享與復用，并為每個用戶提供相互獨立、隔離的計算機環境，同時便于整個系統的軟硬件資源的高效、動態管理與維護。

虛擬化技術是開展 SaaS 云服務的基礎，是云計算最重要的技術支持之一，也是云計算的標志之一。同時，虛擬化導致云計算安全問題變得異常棘手，許多傳統的安全防護手段失效。因此，服務器虛擬化、存儲虛擬化、網絡虛擬化的安全問題對云計算系統安全來說至關重要。

云計算的虛擬化安全問題主要表現在如下3個方面。

1. 管理漏洞類攻擊

（1）RemoteManagement攻擊

一般都通過遠程管理平臺實現對虛擬機的遠程管理，如 VMWare 的 VCenter、微軟的SCVMM等。遠程管理的控制臺可能引發安全風險，如Web管理平臺引發跨站腳本攻擊、SQL注入等。攻擊者一旦獲得管理平臺的權限，即可直接在管理平臺中關閉任意一臺虛擬機。

（2）Migration攻擊

虛擬機可從一臺主機移動到另一臺，也可通過網絡或USB復制虛擬機。虛擬機的內容通常存儲在Hypervisor的文件中，當虛擬機移動到另一個位置時，虛擬磁盤將被重新創建，攻擊者在此時可以改變源配置文件和虛擬機特性，這樣就可形成遷移攻擊。

2. 權限控制類攻擊

（1）VM Escape攻擊

VM Escape攻擊通過獲得Hypervisor的訪問權限，實現對其他虛擬機的攻擊。若攻擊者接入的主機運行多個虛擬機，那么它可以關閉Hypervisor，最終導致所有虛擬機被關閉。

（2）Rootkit攻擊

Rootkit是一種系統級工具，能夠獲得管理員級別的計算機或計算機網絡訪問權限。如果監管程序Hypervisor被Rootkit控制，則Rootkit就有可能控制整個物理機。

3. 間接執行類攻擊

（1）VM Hopping攻擊

VM Hopping 是指一臺虛擬機因需要監控另一臺虛擬機從而接入到宿主機。若兩臺虛擬機在同一臺宿主機上，那么在一臺虛擬機上的攻擊者通過獲取另一臺虛擬機的IP地址或通過獲得宿主機的訪問權限可以接入到另一臺虛擬機，這樣攻擊者可監控另一臺虛擬機的流量，并通過操縱流量攻擊可中斷虛擬機的通信等。

（2）DoS攻擊

在虛擬化環境下，資源（如CPU、內存、硬盤和網絡）由虛擬機和宿主機一起共享。因此，可能通過對虛擬機的不斷請求從而耗盡宿主機的資源，形成對宿主機系統的DoS攻擊。

總地來說，服務器虛擬化安全包括虛擬機安全隔離、訪問控制、惡意虛擬機防護、虛擬機資源限制等防護體系。同時，存儲虛擬化的安全需要實現設備冗余功能和數據存儲的冗余保護等技術。另外，虛擬化網絡是實現云計算的重要途徑，合理按需劃分虛擬組、控制數據的雙向流量、設置安全訪問控制策略等手段構建虛擬化網絡安全防護體系也十分重要。

04 數據安全

數據安全是云計算安全的核心之一，主要包括靜態數據存儲保護和動態數據隔離保護。數據存儲是云計算的一個重要功能，確保用戶數據的保密性、完整性、可恢復性是云計算安全的關鍵。

1. 數據安全隔離

為實現不同用戶間數據信息的隔離，可根據應用具體需求，采用物理隔離、虛擬化和Multi-tenancy等方案實現不同租戶之間數據和配置信息的安全隔離，以保護每個租戶數據的安全與隱私。

2. 數據訪問控制

在數據的訪問控制方面，可通過采用基于身份認證的權限控制方式，進行實時的身份監控、權限認證和證書檢查，防止用戶間的非法越權訪問。在虛擬應用環境下，可設置虛擬環境下的邏輯邊界安全訪問控制策略，如通過加載虛擬防火墻等方式實現虛擬機間、虛擬機組內部精細化的數據訪問控制策略。

3. 數據加密存儲

對數據進行加密是實現數據保護的一個重要方法，即使該數據被人非法竊取，對他們來說也只是一堆亂碼，而無法知道具體的信息內容。在加密算法選擇方面，應選擇加密性能較高的對稱加密算法。在加密密鑰管理方面，應采用集中化的用戶密鑰管理與分發機制，實現對用戶信息存儲的高效安全管理與維護。對云存儲類服務，云計算系統應支持提供加密服務，對數據進行加密存儲，防止數據被他人非法窺探。對于虛擬機等服務，則建議用戶對重要的用戶數據在上傳、存儲前自行進行加密。

4. 數據加密傳輸

在云計算應用環境下，數據的網絡傳輸不可避免，因此，保障數據傳輸的安全性也很重要。數據傳輸加密可以選擇在鏈路層、網絡層、傳輸層等層面實現，采用網絡傳輸加密技術保證網絡傳輸數據信息的機密性、完整性、可用性。對于管理信息加密傳輸，可采用 SSH、SSL 等方式為云計算系統內部的維護管理提供數據加密通道，保障維護管理信息安全。對于用戶數據加密傳輸，可采用 IPSecVPN、SSL 等 VPN 技術提高用戶數據的網絡傳輸安全性。

5. 數據備份與恢復

不論數據存放在何處，用戶都應該慎重考慮數據丟失風險，為應對突發的云計算平臺的系統性故障或災難事件，對數據進行備份及進行快速恢復十分重要。如在虛擬化環境下，應能支持基于磁盤的備份與恢復，實現快速的虛擬機恢復，應支持文件級完整與增量備份，保存增量更改以提高備份效率。

05 應用安全

由于云環境擁有靈活性、開放性及公眾可用性等特性，給應用安全帶來了很大挑戰。云服務提供商在部署應用程序時應當充分考慮可能引發的安全風險。對于使用云服務的用戶而言，應提高安全意識，采取必要措施，保證云終端的安全。例如，用戶可以在處理敏感數據的應用程序與服務器之間通信時采用加密技術，以確保其機密性。云用戶應建立定期更新機制，及時為使用云服務的應用打補丁或更新版本。

終端安全：用戶終端的安全始終是網絡環境下信息安全的關鍵點，用戶終端合理部署安全軟件是保障云計算環境下信息安全的第一道屏障。

SaaS 應用安全：SaaS 模式使用戶使用服務商提供的在云基礎設施之上的應用，底層的云基礎設施有網絡、操作系統、存儲等。因此，在此模式下，服務商將提供整套服務，包括基礎設施的維護。服務商最大限度地為用戶提供應用程序和組件安全，而用戶只需關注操作層的安全。由此可知，SaaS服務提供商的選擇在云計算信息安全問題中非常重要。

PaaS 應用安全：PaaS 云使用戶能夠在云基礎設施之上創建用戶和購買行為，用戶同樣并不管理和控制底層的基礎設施，但可以控制基于基礎設施之上的應用。PaaS提供商通常會保障平臺軟件包安全，因此，用戶需要對服務提供商有一個清楚的認識，如對服務提供商做風險評估。同時，PaaS還面臨配置不當的問題，默認配置下的安全系數幾乎為0，因此，用戶需要改變默認安裝配置，對安全配置流程有一定的熟悉度。

IaaS應用安全：用戶對于IaaS云提供商來講是完全不透明的，云提供商并不關注用戶在云內的任何操作，因此，用戶需要對自己在云內的所有安全負全責，IaaS并不為用戶提供任何安全幫助。

文章內容來源于網絡，如有問題請和我聯系刪除！