浅谈云计算的网安全威胁与应对策略.docVIP

浅谈云计算的网络安全威胁与应对策略 1.引言 2007年10月，Google和IBM在美国大学校园开始尝试推广云计算计划，学生可以透过网络开发各项以大规模计算为基础的研究计划；随后，更多的IT巨头也开始往这方面发展。从此，云计算技术开始取代其他计算机技术成为IT业界的流行术语。所谓云计算，指的是一种模式，一个利用互联网和远程服务器来维护数据和应用程序的新概念。通过互联网，云计算能提供动态的虚拟化资源、带宽资源和定制软件给用户，并承诺在应用中为用户产生可观的经济效益。云计算可以帮助用户减少对硬件资源、软件许可及系统维护的投入成本：通过互联网，用户可以方便地使用云平台上的各类应用服务。此外，通过云计算用户可以节约投资成本并可灵活地实现按需定制服务，云平台的按需定制服务可以快速地响应用户需求，并方便地将用户资源接人宽带网络。 本文针对云计算的类型和网络安全威胁问题进行了细致探讨。在网络风险方面，云计算主要面临着以下的威胁攻击：拒绝服务攻击、中间人攻击、网络嗅探、端口扫描、SQL注入和跨站脚本攻击；在安全风险方面，云计算面I临的威胁主要是：XML签名包装、浏览器安全性、云恶意软件注入、洪流攻击、数据保护、数据删除不彻底和技术锁定。 许多公司，机构经常需要对海量数据进行存储和检索，而云计算可以有效地以最小的成本、最短的时间和最大的灵活性来实施完成该项任务。利用云计算获取便利的同时，用户也要面临云计算中各种不同的安全风险问题，如必须要将云平台上不同用户的数据相隔离，要保证不同云用户数据的私密性、可靠性和完整性。此外，云服务提供商对云上的基础服务设施必须制定一套完善的风险管理控制方案，像服务提供商操纵或窃取程序代码的安全风险是时有出现的。 经常使用的互联网，通常也可以被看作一朵巨大的云。通过互联网，云计算被看作一个应用和服务呈现给用户。它的出现迅速将旧的计算机技术整合。然后转变为一项新技术。目前互联网提供了不同的服务给不同的用户群体，提供这些服务并不需要什么特殊的设备或软件。因此，云计算最起码包含几个特性：“云是一个大型资源池，可以轻松地获取虚拟化资源（如硬件、开发平台或服务）。这些资源可以动态地重新配置和灵活整合，达到一个最佳的资源利用率。云服务提供商通过定制服务水平协议，提供基础设施服务并按付费的模式来管理维护这种资源池。”云计算不是一个单一产品。它提供了不同的服务模式，主要包括以下3种：软件即服务、平台即服务（PaaS）和基础设施即服务（IaaS）。 SaaS是一种通过互联网来提供软件的服务模式，用户无需购买软件。而是向云服务提供商租用基于Web的软件来管理企业经营活动。 Paas是把计算环境、开发环境等平台作为一种服务提供的商业模式。云计算服务提供商可以将操作系统、应用开发环境等平台级产品通Web以服务的方式提供给用户。通过PaaS，软件开发人员可以在不购买服务器的情况下开发新的应用程序。 IaaS是把数据中心、基础设施硬件资源（如存储、硬件、服务器、网络）通过Web分配给用户使用的商业模式。这些资源由云服务提供商进行操作、维护和管理。根据美国国家标准技术研究院（NIST）的定义，云计算有4种部署模式，分别是：公共云、私有云、混合云和社区云，如图l所示。 公共云：它面向大众提供资源、Web应用和其他服务等，任何用户都可以通过互联网从云服务商处获取这些服务。公共云上的基础设施由公用的企业机构进行建设及管理。 私有云：这种云基础设施专门为一个企业服务，该企业内的任何用户都可以从云设施处获取数据、服务和Web应用，但企业外部的用户则不能访问云。私有云上的基础设施完全由企业自身管理，并维护公共数据。混合云：混合云是两种或两种以上的云计算模式的混合体，如公有云和私有云混合。它们相互独立，但在云的内部又相互结合，可以发挥出所混合的多种云计算模型各自的优势。 社区云：这种模式是建立在一个特定的小组里多个目标相似的公司之间的，其共享一套基础设施，所产生的成本共同承担。因此，其所能实现的成本节约效果也并不很明显。社区云的成员都可以登人云中获取信息和使用应用程序。 云计算环境中存着在多种网络安全威胁问题，现将其中一些主要的网络问题进行探讨分析。 图1云计算的类型 3.1 拒绝服务攻击 拒绝服务攻击指攻击者想办法让目标服务器停止提供服务甚至主机死机。如攻击者频繁地向服务器发起访问请求，造成网络带宽的消耗或者应用服务器的缓冲区满溢：该攻击使得服务器无法接收新的服务请求，其中包括了合法客户端的访问请求。例如。一个黑客劫持了Web服务器，使其应用服务停止运行，导致服务器不能提供Web服务。在云计算中，黑客对服务器开展拒绝服务