基于勘探云平台安全技术的研究及应用

龙 燕,王 莉

（新疆油田公司勘探开发研究院 计算信息中心,新疆 克拉玛依 834000）

1 引言

云计算技术目前仍在迅猛发展，新技术层出不穷，同时研究院及油田公司等各研究单位需求各有不同。为了在未来能融合更先进的技术，并满足不同的需求，勘探云平台被设计为具有开放式的平台架构，能够方便地融合各种云计算技术，实现多样的功能，以满足未来升级和推广的要求。在云计算环境中，用户不再拥有基础设施的硬件资源，软件都运行在云中，业务数据也存储在云中，本文将对云计算所面临的诸多安全问题进行深入探讨。

2 云计算体系架构

勘探开发研究院勘探云平台目标是建立统一的登录门户，实现异地资源共享和异地协同工作。根据勘探科研生产现有的软硬件环境，规划以 DCV（Linux平台）、Citrix（Windows平台）为基础组件，研发统一集成管理平台，实现勘探协同“云计算”平台。云端用户通过管理系统和部署工具接入服务集群中，即云中。通过云完成海量计算和存储业务，如图1所示。

图1 勘探云平台总体框架图

3 云计算安全技术研究

由于云计算独特的模式，最初是在企业内部网络运行的，并不对外开放，在设计之初没有太多考虑安全性问题，从而导致了现在云计算安全的一系列问题。从上到下可以归结为身份和访问安全，数据安全，网络、存储、服务器安全，物理安全几个方面的安全问题。若用户在包括互联网的任意地点通过统一门户获取所需资源，从上到下可依次采用用户认证与授权，数据隔离、加密及保护，网络隔离，灾备管理几个措施。如图2所示。

图2 云计算安全层次归结及安全措施

3.1 用户认证与授权

用户认证与授权旨在授权合法用户进入系统和访问数据，同时保护这些资产免受非授权用户的访问。

云计算的用户认证与授权措施需要具备如下的能力：

(1)身份管理。在用户身份生命周期中，有效管理用户身份和访问资源的权限。

(2)访问授权。访问授权应该在用户生命周期内提供及时的访问，从而加强安全和保护IT资源。

(3)基于LDAP的统一身份认证完成将分散的用户和权限资源进行统一、集中的管理，实现用户单点登录就可以访问多个系统。

(4)管理分布式环境下的用户，包括能够为用户配置一个或多个角色。

在原有勘探协同环境中，不同的专业软件需要不同的账号，而同一个项目组的科研人员在使用一款专业软件时要使用同一个账号，这不仅很不方便，而且在权限管理和数据安全上有较大的隐患。在勘探协同研究云平台中，实现了用户和软件的跨平台统一管理，每位科研人员均有自己的唯一账号，并可通过该账号访问其有权限使用的软件和数据资源。

针对两种操作系统采用了不同的专业软件授权技术：

（1）云应用管理台建立与NIS系统一一对应的账号，并与NIS系统的账号实现映射，被授权的云应用管理台用户以Linux系统内的NIS账号身份访问专业软件。

（2）云应用管理台建立与AD系统一一对应的AD组，并与AD系统的AD组实现映射，被授权的云应用管理台用户以AD组成员的身份访问专业软件。

3.2 数据安全

在勘探协同研究云平台中，应用服务器和存储集中存放在服务器机房，双网段的设置保证了数据交换仅在机房内部进行，客户端与服务器之间的通信数据只有经过压缩的屏幕显示，有效防止了数据外泄。同时改变了原有的用户管理模式，每个科研人员都有自己唯一的账号，增强了用户账号的安全性。

3.2.1 数据隔离

云计算系统对于客户数据的存放可采用两种方式实现，即提供统一共享的存储设备或者单独的存储设备。目前各个部门都有单独的存储，但后续规划是建成统一的数据存储系统。这就需要存储自身的安全措施，比如存储映射等功能可以确保数据的隔离性，它基于共享存储的方式，能够节约存储空间并且统一管理。

3.2.2 数据保护

对于存储在云计算平台中的数据，可采取快照、备份和容灾等重要保护手段确保客户重要数据的安全。对于数据备份，可通过现有的企业级备份软件或者存储备份功能实现，可按照用户设定的备份策略对其文件和数据库进行自动备份及恢复，包括在线和离线备份，如图3所示。一般数据库备份推荐一周一次全备,根据实际情况配置差分增量备份,差分增量适合数据量变化多的数据库，恢复时需要的恢复次数较多。

图3 企业级备份软件

3.3 网络安全

在进行勘探云平台建设的过程中，网络虚拟化技术是其中的一个必要环节和组成部分。利用网络虚拟化技术可以比较好地提供网络链路安全和网络隔离的解决方案，不仅可以提供高带宽和低延时，还能提供负载均衡和高强度的冗余性，为云平台业务应用提供可靠的网络环境保障。3.3.1 网络链路安全

网络链路是一个端到端的通路，一边是服务器端，一边是交换机端。在服务器端应用端口虚拟化连接技术，可以将实际的物理网络端口，按照需求通过虚拟化连接管理配置到各个不同的VLAN端口中，在与交换机的链接上，可通过端口汇聚技术及协议实现高带宽、负载均衡以及多链路冗余，在端对端配置的过程中，必须遵照相互可通行的网络协议。应用网络虚拟化技术后不但可以满足勘探云平台的网络速度的要求，同时也提供了可靠的网络链路保障。如图4所示。

图4 网络虚拟化技术应用前后对比

3.3.2 网络隔离

针对网络、存储和服务器安全问题，采用网络隔离技术，网络隔离提供数据传输的安全性。从网络的角度，业务隔离必须要从接入层能够将各业务的服务器分开。

（1）VLAN。VLAN主要用在研究院内部，用于隔离不同的应用和客户程序，确保一个客户无法获取其他用户的网络数据，但是网络的管理员可以看到所有的网络数据。因此，这种方法只有隔离性，没有保证私密性。

为了既能满足研究院外网络访问勘探云平台的要求，又要最大限度地保障勘探数据的安全性，勘探云平台设计运行在内网（192.168.X.X网段用于高速内部数据交换）和外网（10.72.x.x网段用于外部平台访问）两个不同网段。数据库服务器、集中存储系统，关键性管理服务器仅配置内部网段。

（2）VPN。VPN又称虚拟专用网络，是将多台分布的计算机用一个私有的经过加密的网络连接起来，形成一个私有的网络。当用户通过数据网络访问云服务时，对链路加密是保证用户数据不被非法窃取的必要手段。VPN是通用的链路加密方式，在云计算环境中，SSL是被广泛使用的VPN技术，是一种常见的传输安全技术，主要用在浏览器和服务器之间的通信上，比较适合点对点的安全保障。

3.4 灾备管理

遇到UPS无法供电、机房失火、地震等极端情况造成的数据丢失和业务停止，云计算平台应该可以切换到其他备用站点以继续提供服务。对于一个云计算服务的用户，可以选择不同地点的中心机房提供服务，这样即使服务停止用户也可以保留自己的数据，并继续运行自己的业务。

4 总结

云计算的优势不可忽视，云计算的发展趋势不可阻挡，通过对上述安全技术研究与应用有效提高了勘探云平台的安全性。今后研究院将整合全院的科研硬件资源，形成具有高性能和高可靠性的研究院统一科研云平台，实现全部计算资源共享和随需调度，建立较为完整的数据资源管理体系，并可集中管理所有的软件许可资产，这必将使云计算面临更多的安全风险。目前业界对云计算安全的解决并没有统一的标准和解决方法，我们只有不断地深入研究云计算安全技术，来确保勘探云平台安全高效地运行。

[1]徐立冰，腾云.云计算和大数据时代网络技术揭秘[M].北京：人民邮电出版社，2013.

[2]聂元铭，安靖，文晖.云计算信息安全风险探究[J].信息网络安全，2011（10）.

[3]张天雷，徐飞汀.云计算技术在石油勘探领域中的研究与实践[J].高性能计算机技术，2010（6）.