云资源池数据安全生命周期研究与实践

亓清华，王海飞，洪涛涌，费孔鹤

（中邮建技术有限公司，江苏 南京 210012）

近些年来，云计算技术发展迅速，云端运算中所采用的云资源池也被大规模采用，在这个背景下，云资源池数据使用的安全性问题也得到了更多的关注，而与此同时云资源池数据的安全性风险随着被使用率的增大也与日俱增。如何在云计算技术中有效规范对云资源池的数据管理，有效维护云资源池中的虚拟资产，从而避免数据外泄已成为当前云计算技术发展中必须研究的重点课题，课题研究的主要意义就是实现对云资源池中敏感数据的系统监管、归类、分析、审核、授权、脱敏等目标。

1 云资源池数据安全系统架构及防护体系

随着信息时代的发展，信息具备越来越重要的价值，信息价值的提升提高了信息泄露的成本；对于一些具备较高价值的数据，如果不采取一定手段加以防护，让不法分子趁虚而入获得这些数据，给数据持有者或者运营者带来巨大的经济损失、信用损失以及社会影响。由此可见，对于云资源池数据安全的全生命周期管控是非常必要的，当下云资源池的数据安全防护系统架构和防护体系如下。

1.1 系统架构

云资源池的安全建设，需要针对云资源池中的虚拟主机实施加密数据保护，而防护加密数据的前提就是识别和归类加密信息，对敏感数据实施目标指向的防护，而实现这种防护的方式主要是利用对云资源池的引流技术，对云资源池中的加密内容和信息流进行即时监测，同时利用计算机的辨识技术对敏感数据进行传输、储存过程中出现的威胁检测，上传到云计算管理平台对这些数据进行统一保护。根据实现数据安全防护的功能构建云资源池拓扑图，如图1所示。

图1 云资源池拓扑图

对云资源池数据的整个生命周期管理、管控措施等，必须从加密信息的产生和加密信息的资源管理出发，使SDN虚拟化引流成为重要手段，突破物理机与流量不可分割的技术难题。即实现云资源池敏感数据生命周期控制策略和集中于虚拟化安全域的重要手段，是云计算安全与管控功能扩展的关键。

1.2 防护体系

云计算的安全保护框架是依据云等保三级规定，并根据工信部关于云计算基础系统建立的规定对云端的保护做出完整的设计。按照云等保三级要求的界定标准，使云计算信息安全保护系统分为内容安全、使用信息安全、服务器设备安全、网络安全、运维信息安全等五大类，在国家人社部云计算规范体系要求下，在云计算资源池系统中的所有用户，均必须经过虚拟机的虚拟层与外界联系，而虚拟联系的实质目的就是保证所有用户之间真实信息的隐秘性，要对信息互换的虚层进行严格控制与管理，以防止云资源池系统在虚拟环境下出现安全问题。基于此对安全防护控制机制基本模型进行优化，如图2所示。

图2 安全防护控制机制基本模型

云计算资源池的管理服务器由虚拟化系统为基础构建，通过虚拟主机、虚拟系统实现对用户的管理，并通过对虚拟系统的入侵检测等手段，建立完善的安全控制系统和防护功能。在安全防御系统中包括应用安全防御系统软件。目前云计算安全防护体系应用的入侵监测工具主要有IDS、WAF、IPS等，在防护策略上分为以下几点。

1.2.1 高效的网络行为检测

对重点虚拟化文件访问进行实时监控，监控范围覆盖虚拟访问的全生命周期。可识别广泛网络应用层协议，辨别文件真实类型。通过协议分析、内容萃取、事件触发、跟踪监控等报告事件，再经深度分析快速鉴别出DDoS攻击、SSH/FTP暴力破解、SQL注入、DNS/ARP污染、漏洞扫描等网络恶意行为。

1.2.2 威胁变种基因检测

可以利用恶意代码在变种过程中的遗传学特征，即基因在遗传过程中的复制特性及部分基因突变特性，对恶意代码进行检测。通过基因比对，可以很轻易的识别出恶意代码变种。

1.2.3 敏捷的机器学习

具备学习功能，利用基因检测情报自动升级病毒特征库，利用未知威胁检测情报自动升级基因图谱库。各检测引擎相互学习、相互补充，机器将不断自我强壮，进一步巩固防御能力。

2 云资源池功能性分析

2.1 自动聚类算法的实现

数据分类标准会在人工智能的自动聚类算法中得到定义，促使广义敏感数据词条能够不断地被纳入到人工智能的数据库中，经过长时间的筛选，最终形成云资源数据防火墙。

自动聚类算法是一种典型的无机器指导学习方法，该方法能够使用特定的算法对不同的文档、词条数据分类，并映射特征向量到空间中不同的点，根据这些点的聚焦程度对某些特定的敏感词汇进行标记。在一个特定的空间中，同一类型的文本、词条对应点的集合也相同，而这些点通常都会聚集在同一个空间区域内，自动聚类算法正是应用了这种空间区域的捕捉让文本、词条对应的点得以归类，分析数据之间的相似性，将属于同一类别的词汇划分出来并整合到一起。

2.2 资源池敏感数据的管理

对现有的资源池虚拟机进行更迭，在虚拟机中嵌入扫描账号，让虚拟机能够自动发现新增、新建的词条。这种管理方式在云计算资源池的敏感数据管控中起到良好效果，虚拟机的账号扫描功能以及自动聚类算法能够实现资源池的敏感数据管理。将数据中心整体结构划分为4个区域，构建资源池敏感数据管理模型，如图3所示。

图3 资源池敏感数据管理模型

虚拟机的服务端会通过多种方式识别资源池中的敏感信息和机密信息，然后通过自动聚类算法将这些信息纳入到数据库中进行统一管理。扫描功能涉及到字、词、字段的识别技术，同时一些表达式、文件指纹指令、文件MD5等都是扫描关注的目标。

2.3 资源池敏感数据牵引及审计

资源池敏感性信息的牵引是利用虚拟导流器进行的，透过对虚拟机导流器引流所产生的流动做出标识，并追溯标记目标中的敏感性信息，从而在安全区域的内部对各个子区域、安全域和其他类型的信息交换、数据传输、数据流等建立可视化的关联图，而这种可视化关联图也就是加密数据的实时流动图像，这样就完成了资源池敏感数据的牵引工作。

对资源池数据审计的主要过程是通过审查数据流发布的内容，对公共、未开放的内容进行识别，并由此而产生了各种编码格式的协议，而审计工作的终极目的则是对各种编码格式的内容进行整合，并由此来管控资源系统中不同模块间的数据，对信息共享、日志转发、计划执行、流量查询等操作均建立相应的接口，进而对资源池内加密数据的用户系统和存放敏感数据的虚拟系统等实施流量控制，并及时发现敏感数据的异常情况，并对此进行限流。

2.4 资源池数据脱敏

资源池的信息脱敏技术能够对不同的信息或敏感数据实现自动化鉴别，从而进行对这些加密数据的预设屏蔽，屏蔽后的数据完全保持了原始数据的风格、特征，而仅仅筛选掉了信息中的隐私和敏感部分，使得应用程序可以在对资源池数据脱敏后，依然能够使用这些信息进行研究和试验。资源池数据脱敏功能支持B/S应用模式。应用B/S应用模式的产品提供了统一的管理界面，同时脱敏算法以及可拓展的数据库类型变得更为多元化，目前应用B/S脱敏的数据库系统有Oracle、DB2等，这些系统都在B/S的支持下满足其他任意类型的数据库添加和敏感信息脱敏等。

3 云资源池数据备份的安全策略

3.1 确定数据备份对象

为了防止云资源池数据在极限场景下发生重大数据泄露事故，需要在云资源池数据区域确立后对数据进行备份，对于敏感数据需要及时进行数据恢复，整个备份和恢复的过程依托自动化识别存储技术，并考虑不同设备数据备份的价值，让最有价值的一级数据优先得到备份和存储。

对云资源池数据进行备份的先决条件是确定数据备份对象。对于大区节点的VNF数据，其中话单需要保存近90天的数据；ENUM/DNS用户数据需要对近一周之内每天的数据进行备份保存，近1个月之内的每周数据进行备份保存，近3个月之内的每月数据进行备份保存；其他类型的数据则需要对近1个月之内的每周文件进行数据保存。对于cloud OS数据中的配置数据需要对近1周之内每天的数据进行备份保存。这就是云资源池数据备份的主要对象和备份时限。

3.2 网元数据的备份要求

目前云资源池中的网元主要分为EPC、NFVI、VoLTE、IMS和5GC等，首先需要确定各个网元下的产品数据安全重要性等级高低，然后根据重要性和数据类型对其进行备份。其中EPC网元的数据产品包含USN、UGW、CG、DNS几种，USN的数据安全等级较高，一旦USN数据丢失可能会造成系统损坏，并且无法在短时间内恢复到最新的产品配置，因此USN产品的数据备份周期也需要尽量缩短，保证数据丢失后能够检索到最近一天的产品配置，建议USN备份周期为对一周之内每天的数据进行备份保存，备份文件大小在5~1000M（根据产品的性质而定），备份的介质为硬盘。对于UGW、CG、DNS等产品的备份要求同样如此，如果数据本身的重要性并不高，那么可以适当延长备份周期，对于非常重要的数据资料则需要进行实时备份，备份文件的大小依据产品的性质而定，一般情况下采用的备份介质为硬盘，一些极为重要的数据文件备份可能会用到磁阵。

3.3 网元数据的恢复方法

在网元数据备份周期确定后，很大程度上已经保证云资源池数据生命周期的安全性。数据丢失后，可以使用备份数据对数据进行恢复，就NFVI网元的数据恢复而言，具体的数据恢复操作主要分为以下几个步骤：

（1）校验NFVI网元侧配置数据和原网元侧数据配置是否一致。

（2）上载、下载NFVI网元的配置数据。

（3）脚本文件导入、导出，将备份NFVI网元侧数据配置导出为脚本进行保存。

（4）恢复NFVI网元产品数据库，在恢复的过程中如果遇到系统异常情况可以中断恢复，清空已恢复数据后重新操作。

4 结语

综上所述，云资源池的数据安全相关研究是一项具有前瞻性的研究，并且保护云资源池数据安全生命周期相关技术属于前沿技术。就技术角度而言，云计算行业内的相关学术研究还较少，传统的数据安全大多依靠的是终端和网络侧的数据防泄露检测，也就是通常意义上来讲的防火墙、WAF等，但是在云计算环境中，云资源池的数据安全防护无法使用这些较为传统的数据防护技术，传统技术并不能够识别云资源池中虚拟机之间的数据泄露风险。因此需要针对云资源池的数据安全进行技术革新，并为数据拓展奠定坚实的基础。