云计算安全关键技术分析.pdfVIP

云计算安全关键技术分析 云计算安全关键技术分析 1 云计算安全问题 根据 IDC 在2009年年底发布的一项调查报告显示，云计算服 务面临的前三大市场挑战分别为服务安全性、稳定性和性能表现。该 三大挑战排名同 IDC 于2008年进行的云计算服务调查结论完全一 致。2009年 11月，Forrester Research 公司的调查结果显示，有 51%的中小型企业认为安全性和隐私问题是他们尚未使用云服务的 最主要原因。由此可见，安全性是客户选择云计算时的首要考虑因素。 云计算由于其用户、信息资源的高度集中，带来的安全事件后果 与风险也较传统应用高出很多。在2009年，Google、Microsoft、 Amazon等公司的云计算服务均出现了重大故障，导致成千上万客 户的信息服务受到影响，进一步加剧了业界对云计算应用安全的担忧。 总体来说，云计算技术主要面临以下安全问题。 （1）虚拟化安全问题 利用虚拟化带来的可扩展有利于加强在基础设施、平台、软件层 面提供多租户云服务的能力，然而虚拟化技术也会带来以下安全问题： middot; 如果主机受到破坏，那么主要的主机所管理的客户端 服务器有可能被攻克； middot; 如果虚拟网络受到破坏，那么客户端也会受到损害； middot; 需要保障客户端共享和主机共享的安全，因为这些共 享有可能被不法之徒利用其漏洞； middot; 如果主机有问题，那么所有的虚拟机都会产生问题。 （2）数据集中后的安全问题 用户的数据存储、处理、网络传输等都与云计算系统有关。如果 发生关键或隐私信息丢失、窃取，对用户来说无疑是致命的。如何保 证云服务提供商内部的安全管理和访问控制机制符合客户的安全需 求；如何实施有效的安全审计，对数据操作进行安全监控；如何避免 云计算环境中多用户共存带来的潜在风险都成为云计算环境所面临 的安全挑战。 （3）云平台可用性问题 用户的数据和业务应用处于云计算系统中，其业务流程将依赖于 云计算服务提供商所提供的服务，这对服务商的云平台服务连续性、 SLA 和IT 流程、安全策略、事件处理和分析等提出了挑战。另外， 当发生系统故障时，如何保证用户数据的快速恢复也成为一个重要问 题。 （4）云平台遭受攻击的问题 云计算平台由于其用户、信息资源的高度集中，容易成为黑客攻 击的目标，由于拒绝服务攻击造成的后果和破坏性将会明显超过传统 的企业网应用环境。 （5）法律风险 云计算应用地域性弱、信息流动性大，信息服务或用户数据可能 分布在不同地区甚至不同国家，在政府信息安全监管等方面可能存在 法律差异与纠纷；同时由于虚拟化等技术引起的用户间物理界限模糊 而可能导致的司法取证问题也不容忽视。 2 云计算安全参考模型 从IT 网络和安全专业人士的视角出发，可以用统一分类的一组 公用的、简洁的词汇来描述云计算对安全架构的影响，在这个统一分 类的方法中，云服务和架构可以被解构，也可以被映射到某个包括安 全、可操作控制、风险评估和管理框架等诸多要素的补偿模型中去， 进而符合合规性标准。 云计算模型之间的关系和依赖性对于理解云计算的安全非常关 键，IaaS （基础设施即服务）是所有云服务的基础，PaaS （平台即服 务）一般建立在IaaS 之上，而SaaS （软件即服务）一般又建立在 PaaS之上，它们之间的关系。 IaaS涵盖了从机房设备到硬件平台等所有的基础设施资源层面。 PaaS 位于IaaS之上，增加了一个层面用以与应用开发、中间件能力 以及数据库、消息和队列等功能集成。PaaS 允许开发者在平台之上 开发应用，开发的编程语言和工具由PaaS 支持提供。SaaS 位于底层 的IaaS和PaaS 之上，能够提供独立的运行环境，用以交付完整的用 户体验，包括内容、展现、应用和管理能力。 云安全架构的一个关键特点是云服务提供商所在的等级越低，云 服务用户自己所要承担的安全能力和管理职责就越多。下面对云计算 安全领域中的数据安全、应用安全和虚拟化安全等问题 （见表 1）的 应对策略和技术进行重点阐述。 3 云计算安全关键技术 3.1 数据安全 云用户和云服务提供商应避免数据丢失和被窃，无论使用哪种云 计算的服务模式 （SaaS/PaaS/IaaS），数据安全都变得越来越重要。 以下针