云计算的网络安全存在的影响因素与对策分析

陈如旭

（中通服咨询设计研究院有限公司，江苏 南京 210019）

0 引 言

云计算的发展无疑是当今时代的一项热点，无论是在各行业领域还是在社会生活当中，云计算都正在扮演起愈发重要的角色，特别是目前云计算应用日益广泛，人们在网络中对于云计算的便利优势感受深切，显然云计算的发展将会成为一种必然趋势，然而同时应该看到的是，云计算现阶段仍然处在发展之中，相关技术还需要持续不断加以完善，尤其有关云计算网络安全方面的问题值得给予更多重视，而如何有效应对云计算网络安全威胁，满足人们对于网络安全的更高要求，已然成为云计算时代下需要重点加以研究的内容。

1 云计算的安全概述

1.1 云计算的定义与特点

在当前云计算不断发展的同时，有关于其定义则还尚未形成统一的结论，目前相应定义主要是基于两个层面：一是站在服务层面，将云计算视作为一种依使用量付费的模式，该模式可提供网络访问，进入可配置计算资源共享池，而相应资源可及时提供，且仅付出少量管理或同供应商较少交互；二是站在技术层面，将云计算视作为分布式计算的一种，即借助网络“云”把庞大数据计算处理程序分解为无数小程序，再依托于由多部服务器构成的系统处理分析其结果，然后返回于用户。随着云计算发展日益受到更多认可，其自身所展现出的一些鲜明特点也逐渐得到了广泛共识，包括按需与自助服务、资源共享、多终端访问、可计量服务、部署快速与伸缩弹性等[1]。

1.2 云计算网络安全特点

如图1所示，传统网络以数据中心网络安全架构为例，主要为树形拓扑结构，根据其数据中心运行情况不难发现，外网入口具有单一性特点，换言之，这种网络架构是利于进行有效掌控的，一般在外网入口简单部署防火墙、审计设备等便可防御外部入侵。

图1 以往数据中心网络拓扑

如图2所示，对比云计算网络架构特点可以看到，其内部网络边界具有非常典型的模糊性特点，而广大云用户在共享内部资源时，也面临来自恶意用户方面的风险，特别是提供商往往难以审查访问用户虚拟机，此时这些恶意用户往往便潜入系统并由内部威胁系统安全，而显然传统网络安全方法对此难以发挥出针对性作用，换言之，云计算网络安全问题要更为复杂多变，更不利于进行保护[2]。

图2 云计算网络结构

1.3 云计算网络安全提升价值

针对当前云计算发展，进一步提升其网络安全无疑有着十分重要的意义。首先，依托于云计算来达成局域网互联需求，能够满足实时备份数据，这样一方面能够妥善保障相应用户数据安全，另一方面则能够防止因其他因素导致不必要损失，从而强化网络数据安全；其次，依托于云计算技术及其辅助软件，可以针对网络用户加以跟踪及分析，让相关网络用户能够及时检查出自身安全漏洞，优化运行模式，通过进一步强化用户监控，以更好地保障其网络安全；最后，结合云计算发展不难发现，其与授权、监视有着极为紧密的联系，特别是在网络技术不断取得突破的同时，用户在处理数据、传播信息等方面都有显著提升，而持续完善信息共享，有利于带动数据信息保密功能，使数据得到安全高效利用[3]。

2 云计算安全面临的主要威胁

2.1 拒绝服务攻击

根据云计算服务模式及发展可知，其主要是建立在宽带网络与Web方式的基础上，而在其实际使用过程当中，则往往要面临拒绝服务攻击方面的威胁，这要求作为云计算服务的提供商能够对此给予充分重视和投入，有针对性地落实好保护对策。此外，云计算具有快速弹性、按需自助服务等特征，它需要云计算服务提供商能够妥善保障好网络与服务器资源，同时能够灵活开通业务与变更服务等，而这也使云计算服务面临着恶意使用、滥用等威胁，如借助云计算服务搭建僵尸网络、破解密码等。

2.2 不安全的接口与API

对于云计算而言，无论是从其业务发展需要，还是从其技术需求的层面上看，确保足量网络接口和应用程序编程接口（Application Programming Interface，API）都是作为云计算服务商的必然选择与要求，然而现阶段关于网络接口与API的安全测试尚不是十分完善，当其开发应用后，可能会面临安全入侵威胁，并让这些不安全的接口与API成为安全问题的突破口[4]。

2.3 恶意的内部员工

有关于云计算方面的相关安全事件，如涉及到数据泄露、服务滥用以及由此而产生的种种犯罪行为等，实际上有非常多都是因为内部人员造成的，特别是随着当前云计算业务快速发展，作为用户自身方面、云计算服务供应商方面等，因各方内部员工而给云计算安全造成的威胁风险正呈现加剧趋势，对此需给予必要重视。

2.4 共享技术产生的问题

对于云计算而言，其实质就在于资源虚拟池化与共享，然而在其资源共享的过程中，与之相伴的安全威胁同样需要引起关注，特别是虚拟层软件漏洞等相关安全威胁始终存在。由共享技术所带来的云计算安全问题也是一大主要威胁。

2.5 数据泄露

从当前云计算特别是公共“云”的实际发展情况来看，有关数据泄露方面的问题无疑是威胁其安全的重要因素，因此针对提供商必须要通过全面分析来确保其具备足够的能力可以有效保护数据。应该看到的是，云中数据往往会面临各种攻击风险，而有诸多威胁场景容易造成数据泄露与丢失。另外，密钥管理环节同样存在数据威胁，一旦出现密钥丢失等情况则容易造成毁坏数据等问题。

2.6 账号与服务劫持

面对云计算发展，账号等信息一旦遭受攻击，则网络活动将可能遭受到窃听，数据可能会遭受到操纵，另外还可能出现信息仿冒、服务“劫持”等，这些方面被攻击者利用则会形成新的攻击。

2.7 未知的风险场景

结合当前云计算模式发展情况来看，作为云计算用户与云计算服务商，二者在信息方面实际上并不够对等，而基于二者的各自需求，在双方信息并不对称的环境下，作为用户一方自然会面临更多未知风险场景，这种未知风险会显著威胁到云计算安全。

3 云计算网络安全问题的对策建议

面对上文所提到的云计算网络安全问题，需要有针对性地采取相应对策措施，从而有效消减影响云计算安全的各种威胁因素。具体来说包括以下几方面。

（1）针对拒绝服务攻击方面的安全威胁。首先，从云计算服务设计环节，就必须要有意识地关注安全问题，特别是对于各种潜在安全威胁，应当主动加强构建场景用例，同时于业务逻辑设计时落实好相应防护；其次，针对初次注册与验证过程要加以妥善设计，监控好信用卡欺诈行为与公共黑名单，以及及时响应网络投诉及监管机构问询等。

（2）针对不安全的接口与API方面的安全威胁。首先，应当围绕其功能设计、开发、测试、上线等全生命周期，进一步强化相应安全实践；其次，还要落实好相关安全手段，如加密、认证、审计、访问控制等，同时配套以更为全面安全测试用例。

（3）针对恶意的内部员工方面的安全威胁。首先，可以从技术层面采取一些安全措施，如加密、认证、入侵检测、访问控制等，利用技术手段降低此类威胁风险；其次，可以从管理层面给予相应投入，一方面各主体单位要强化内部的安全宣教，另一方面则要明确各流程安全责任，对于内部员工恶意行为必须依法依规追求其责任；最后，还应当从合同层面不断完善对于供应商的约束与治理[5]。

（4）针对共享技术方面的安全威胁。首先，从云计算中心之初，便应当考虑基于各用户实际业务需要，设计出能够支撑各个安全等级与硬件分享的硬件分区以及防御措施；其次，还要于其具体运行环节，从技术上确保能够对未授权修改以及违规活动加以有效监控。

（5）针对数据泄露方面的安全威胁。首先，应当围绕数据方面的各环节工作进一步强化加密与核查能力；其次，则是要对密钥管理各环节工作完善相应策略；最后，还要以提供商合同管理来提升数据安全控制水平。

（6）针对账号与服务劫持方面的安全威胁。首先，应当明确提供商安全策略以及SLA，同时对于账号信息进行进一步细化管理，降低其安全威胁；其次，要落实好双因子认证技术运用，活动授权等要做好检查工作。

（7）针对未知风险场景方面的安全威胁。首先，站在云计算用户的角度来看，其应当要明确自身安全情况，同时和提供商之间要保持密切交流，尽可能保障信息透明，并且掌握系统配置，落实好托管软件补丁等；其次，用户应将应对这一安全威胁视作一项长期性工作来加以处理。

4 结 论

云计算是现阶段网络业务发展的一项热点内容，并且也是其未来发展的一个重要趋势，面对云计算时代的到来，作为其相关各方显然应该对此给予充分的重视和投入，特别是对于云计算安全方面的相关内容必须要给予更多关注，并采取更多有效的安全对策。事实上，在云计算不断快速发展的过程，有关其网络安全方面的问题始终都在被各界所提及，而这也一直是制约云计算发展以及应用的最大威胁因素，作为云计算服务商、用户、安全生产厂家等相关各方，应该全面认识到云计算安全所面临的主要威胁，从各层面入手采取有效对策来进一步应对云计算网络安全问题，通过持续改善与提升云计算网络安全水平，使之在应用发展中能够贡献更多的价值作用。