云计算安全体系技术框架探索

2015-12-30

江西广播电视大学学报 2015年2期

云计算安全体系技术框架探索

毛冲

（江西广播电视大学，江西南昌330046）

摘要：在现阶段，随着云计算广泛运用于现代社会生产实践中，如何保障云计算平台自身安全成为一个亟待解决的问题。从云计算的相关概念出发，简单阐述了云计算下网络安全技术运用的意义，并且对其现状进行了系统、全面的分析。希望可以为云计算平台安全技术体系的建设，提供一个有益的参考和借鉴。

关键词：云计算；安全威胁；安全体系；技术框架；实现方法

前言

如今越来越丰富的市场数据，正在打消人们对于“云”概念的怀疑。越来越多的成功部署例，表明云计算不再是漂浮在头顶上一团虚无缥缈的水气。目前，对云计算的定义和特点、应用等存在各种不同的看法和流派，较为公认的关于云计算描述是美国技术和标准研究院（NIST）的五个关键特征，按需的自服务、宽带接入、虚拟池化的资源、快速弹性架构、可测量的服务。［1］

随着云计算的部署和实施，云计算服务的提供者需要考虑一个亟待解决的问题，即如何在保障云计算平台自身安全的基础上，更好地为客户提供服务。本文将针对这个问题，给出一种云计算安全技术体系框架，旨在为云计算平台安全技术体系的建设，提供一个有益的参考和借鉴。

1　云计算面临的主要安全威胁

一般而言，要解决安全问题，应该先正确的识别其安全威胁。云安全联盟CSA于2010年发布云计算领域的7个安全威胁，获得了广泛的引用和认可，相关分析阐述如下：

1.1云计算的滥用、恶用、拒绝服务攻击

多年来，DDOS一直都是互联网的一大威胁。而在云计算时代，许多企业会需要一项或多项服务保持7×24小时的可用性，在这种情况下这个威胁显得尤为严重。DDoS引起的服务停用会让服务提供商失去客户，还会给按照使用时间和磁盘空间为云服务付费的用户造成惨重损失。虽然攻击者可能无法完全摧垮服务，但是“还是可能让计算资源消耗大量的处理时间，以至于对提供商来说运行成本大大提高，只好被迫自行关掉服务。”

1.2不安全的接口和API

API对一般云服务的安全性和可用性来说极为重要。企业和第三方因而经常在这些接口的基础上进行开发，并提供附加服务。CSA在报告中表示：“这为接口管理增加了复杂度。由于这种做法会要求企业将登录资料交给第三方，以便相互联系，因此其也加大了风险。”

1.3恶意的内部员工

不怀好意的内部人员，这些人可能是在职或离任的员工、合同工或者业务合作伙伴。他们会不怀好意地访问网络、系统或数据。在云服务设计不当的场景下，不怀好意的内部人员可能会造成较大的破坏。对于云计算服务而言，有权限、有能力接触并处理用户数据的人员范围进一步扩大，这种访问权限范围的扩大，增加了恶意的“内部员工”滥用数据和服务、甚至实施犯罪的可能性。在云服务提供商完全对数据安全负责的场合下，权限控制在保证数据安全方面有着很大作用。CSA方面认为：“就算云计算服务商实施了加密技术，如果密钥没有交由客户保管，那么系统仍容易遭到不怀好意的内部人员攻击。”

1.4共享技术产生的问题

资源的虚拟池化和共享是云计算的根本，但是这种共享并不是没有代价的。云服务提供商经常共享基础设施、平台和应用程序，并以一种灵活扩展的方式来交付服务。CSA在报告中表示：“共享技术的安全漏洞很有可能存在于所有云计算的交付模式中，无论构成数据中心基础设施的底层部件(如处理器、内存和GPU等)是不是为多租户架构(IaaS)、可重新部署的平台(PaaS)或多用户应用程序(SaaS)提供了隔离特性。”

1.5数据泄漏

要是多租户云服务数据库设计不当，哪怕某一个用户的应用程序只存在一个漏洞，都可以让攻击者获取这个用户的数据，而且还能获取其他用户的数据。要应对数据丢失和数据泄露方面的威胁，难就难在其有可能造成“拆东墙补西墙”般的效果。CSA报告认为：“你落实到位的措施可能可以缓解一种威胁，但是会加大遭遇另一种威胁的风险。”用户可以对数据进行加密，以减小泄露的风险，不过一旦用户丢失了加密密钥，就再也无法查看数据了。反过来说，如果用户决定对数据进行异地备份以减小数据丢失风险，却就又加大了数据泄露的几率。

1.6账号和服务劫持

CSA认为，云计算在这方面增添了一个新的威胁。如果黑客获取了企业的登录资料，其就有可能窃听相关活动和交易，并操纵数据、返回虚假信息，将企业客户引到非法网站。

1.7未知的风险场景

由于技术发展的不平衡，以及云计算服务商和用户之间的信息不对称性，使得云计算的用户处在大量的未知安全风险中。当然，云计算面临的安全威胁还有很多，比如大量迅猛涌现的Web安全漏洞、潜在的合同纠纷和法律诉讼等等，此处不再赘述。

2　云计算平台安全技术体系框架

依据云安全联盟（CSA）的观点［2］：IaaS是所有云服务的基础，PaaS建立在IaaS之上，而SaaS又建立在PaaS之上；在不同云服务模型中，提供商和用户的安全职责有着很大的不同。具体来说，IaaS提供商负责解决物理安全、环境安全和虚拟化安全这些安全控制，而用户则负责与IT系统（事件）相关的安全控制，包括操作系统、应用和数据；PaaS提供商负责物理安全、环境安全、虚拟化安全和操作系统等的安全，而用户则负责应用和数据的安全；SaaS提供商不仅负责物理和环境安全，还必须解决基础设施、应用和数据相关的安全控制。

此处，我们给出一种云计算平台安全技术体系框架，如图1所示。

图1　云计算平台安全技术体系框架

3　云计算安全体系在ICT云平台中的实践

3.1建设背景

ICT云平台将为客户业务应用系统提供统一的硬件平台、网络资源、安全保障和运维服务，所有平台和网络由云平台统一提供、统一托管、统一维护，从而加强资源共享，减少重复建设，营造共建共享、互联互通、综合应用的网络平台的建设及运行环境。

3.2ICT云平台现状

目前ICT系统组网结构如下图所示：

图2　ICT系统组网结构

3.3ICT云平台安全建设思路

根据前文所述云计算所面临的安全风险，同时结合现有网络拓扑，在构建云计算平台安全架构时，应该充分结合业务特点来系统地进行规划，考虑资源池外围物理实体以及资源池虚拟化平台环境的各类安全需求和特性，从而达到各类安全产品、安全管理、整体安全策略的统一，发挥最大的效率。解决思路如下：

1)安全防护系统：入侵检测、流量清洗和阻止DDoS攻击；

2)防护设备提供虚拟补丁,保障平台和业务系统持续运行;

3)服务器主机健康性检查；

4)数据库日志监控，防止对数据库的非法操作；

5)系统漏洞扫描和安全性评估；

6)网页挂马检测；

7)对文件的细粒度的访问控制体系；

8)可审计和可追溯系统；

9)应用进程保护与数据私密性保护系统；

10)在系统建设完成之后，对网络与信息安全产品与方案进行评测。

3.4ICT云平台安全设计

针对不同的网络边界设计如下分层防护设计

图3　分层防护设计图

3.5ICT云平台安全防护部署思考

访问控制系统的安全目标是将云平台与不可信任域进行有效地隔离与访问授权，访问控制系统应根据各业务的安全级别要求和全网安全策略控制出入网络的信息流，并且系统本身具有较强的抗攻击能力。

访问控制系统由防火墙系统组成，防火墙在网络入口点根据设定的安全规则，检查经过的通信流量，在保护内部网络安全的前提下，对两个或多个网络之间传输的数据包和联接方式按照一定的安全策略进行检查，来决定网络之间的通信是否被允许。

安全域的边界防护和访问控制通过部署高性能的下一代防火墙来实现，下一代防火墙比传统状态检测防火墙的优势在于，可以基于应用层的攻击行为分析和防护，通过对江西移动各业务平台的业务数据流进行筛选分析，制定严格的区域边界防护策略，实现对安全域的边界防护和访问控制，是云平台的第一道安全防线。

1)核心交换域部署流量清洗中心

ICT云平台因其业务的特殊性，在互联网出口部署DDOS攻击防护平台，可以在业务系统遭受DDOS攻击初期进行快速预警，在不影响正常业务的前提下，清洗掉异常流量，并在检测平台确认攻击事件后，迅速实施防护干预。

2)核心生产域部署Web应用防火墙

ICT云平台一般都是采用Web的方式来对外提供各类服务，特别是在Web 2.0的技术趋势下，75％以上的攻击都瞄准了网站（Web）。这些攻击可能导致资源池平台服务提供商遭受声誉和经济损失，可能造成恶劣的社会影响。Web应用防护技术通过深入分析和解析HTTP的有效性、提供安全模型只允许已知流量通过、应用层规则、基于会话的保护，可检测应用程序异常情况和敏感数据（如信用卡、网银帐号等）是否正在被窃取，并阻断攻击或隐蔽敏感数据，保护资源池平台的Web服务器，确保资源池平台Web应用和服务免受侵害。

与传统防火墙/IPS系统相比较，Web应用防护技术将提供一种安全运维控制手段，基于对HTTP/HTTPS流量的双向分析，为Web应用提供实时的防护。

通过已有Web漏洞扫描系统（WVSS）与Web应用防护系统可以实现安全联动，第一时间识别安全风险，并及时更新Web应用防护策略，实现虚拟补丁功能。

Web应用防护技术将以一个可闭环又可循环的方式去降低潜在的威胁，对于事中疏漏的攻击，可用事前的预发现和事后的弥补，形成环环相扣的动态安全防护。

3)身份认证

通过部署在接入维护域的堡垒机，对来自移动内部、第三方的运维人员统一进行身份认证、帐号分配、权限授权，主动实现对人员、帐号、资产、权限和操作的关联性管理，对运维过程实现可控可管，是云平台的第三道安全防线，并同时满足集团规范中对系统接入安全的要求。

4)全网安全审计

通过在核心交换区部署安全审计，对核心应用服务器和数据库服务器进行行为审计，可以有效掌握网络安全状态，预防敏感涉密信息外泄，实现对内部网络信息的整体智能关联分析、评估、调查及安全事件的准确跟踪定位，为整体安全策略的制定提供权威可靠的支持。

5)页面防篡改

通过在web服务器系统上部署web防火墙主机版(HWAF),可有效的防止页面文件被恶意篡改,通过核心内嵌技术,直接在服务器框架接口上进行过滤,防止新型的SQL注入和跨站攻击,从而实现了ICT云平台从内到外完整的防护措施.