朱嫻睿

［摘要］ 云計算是一種全新的商業(yè)模式，用戶能夠以更少的開銷享用更多的IT資源，這給云客戶帶來了巨大的利益。但是，從普通信息科技環(huán)境向云計算環(huán)境過渡的過程中，出現(xiàn)了許多新的安全問題，傳統(tǒng)的風(fēng)險識別與風(fēng)險分析方法在云環(huán)境下并不適用。

［關(guān)鍵詞］ 云計算；風(fēng)險評估；云安全

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 13. 031

［中圖分類號］ TP309.2［文獻(xiàn)標(biāo)識碼］A［文章編號］1673 - 0194（2014）13- 0046- 01

１云計算的定義

美國國家標(biāo)準(zhǔn)技術(shù)研究所（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ， ＮＩＳＴ）的 Ｐｅｔｅｒ Ｍｅｌｌ 和Ｔｉｍ Ｇｒａｎｃｅ 提出了關(guān)于云計算的一套定義，他們把云計算描述為一種模型，用戶可以按照需求從可配置的計算資源池中隨需應(yīng)變獲取資源，資源可以被快速供應(yīng)和釋放，在這種模式下，管理資源的工作量會減小到最低限度，提升了資源的可用性。

云計算包含5個基本特點，3種服務(wù)模式，以及4種部署模式。5個基本特點如下：

（１）按需自助服務(wù)。消費者可以按照自己的業(yè)務(wù)需求，從資源池中自動獲取資源，免去了與供應(yīng)商交互的復(fù)雜過程。

（２）無處不在的網(wǎng)絡(luò)訪問?？梢酝ㄟ^統(tǒng)一的標(biāo)準(zhǔn)機制從多樣化的胖客戶端或者瘦客戶端接入互聯(lián)網(wǎng)訪問云服務(wù)。

（３）資源池。云提供商將各種計算資源匯集起來，形成資源池。采用多租戶的方式將資源與用戶共享，根據(jù)用戶不同的需求對各種物理和虛擬資源進行 動態(tài)分配，用戶通常不知道資源確切的位置。

（４）快速彈性?？梢造`活快速地提供各項功能，在用戶使用完資源后還可以迅速釋放資源來實現(xiàn)回收。消費者可以在任何時間根據(jù)需要任意購買資源。

（５）計量付費服務(wù)?？梢员O(jiān)控用戶對資源的使用情況，根據(jù)不同的服務(wù)類型，按照不同的度量標(biāo)準(zhǔn)自動進行收費計量（如存儲服務(wù)、計算服務(wù)等）。

3種云服務(wù)模式定義如下：

（１）云軟件即服務(wù)（ＳａａＳ）。ＳａａＳ 最常見的形式就是交付應(yīng)用程序給最終用戶。用戶僅具有使用應(yīng)用程序的權(quán)限，應(yīng)用程序背后的細(xì)節(jié)都被隱藏起來。常見的 ＳａａＳ有Ｇｏｏｇｌｅ 公司的 ＧＭＡＩＬ 或者 Ｓａｌｅｓｆｏｒｃｅ．ｃｏｍ 公司提供的客戶關(guān)系管理服務(wù)。

（２）云平臺即服務(wù)（ＰａａＳ）。云服務(wù)商為最終用戶提供可以編程的容器，用戶可以在該容器上托管他們開發(fā)的應(yīng)用程序或服務(wù)。ＰａａＳ 提供的是完整的應(yīng)用程序環(huán)境。常見的 ＰａａＳ有Ｇｏｏｇｌｅ Ａｐｐ Ｅｎｇｉｎｅ。

（３）云基礎(chǔ)設(shè)施即服務(wù)（ＩａａＳ）。ＩａａＳ 一般交付給用戶的是各種虛擬化資源。如存儲資源、客戶虛擬機等。用戶可以在上面部署和運行任意軟件。常見的 ＩａａＳ 服務(wù)有 Ａｍａｚｏｎ 公司的 Ｗｅｂ 服務(wù)或者 ＲａｃｋＳｐａｃｅ 公司的云服務(wù)等。

4種云部署模式定義如下：

（１）公有云。云基礎(chǔ)設(shè)施由銷售云服務(wù)的機構(gòu)所有，對公眾和大型的行業(yè)組織公開使用權(quán)，通常位于最終用戶的外部，普遍形式是通過 Ｉｎｔｅｒｎｅｔ 進行訪問。

（２）私有云。云基礎(chǔ)設(shè)施是為機構(gòu)單獨構(gòu)建的，位于機構(gòu)的內(nèi)部?？梢杂蓹C構(gòu)進行管理，也可以交由第三方管理，存在本地運行和遠(yuǎn)程運行兩種模式。

（３）社區(qū)云。云基礎(chǔ)設(shè)施由具有相同利益的機構(gòu)共同構(gòu)建，存在本地運行和遠(yuǎn)程運行兩種模式。

（４）混合云。云基礎(chǔ)設(shè)施是由以上兩種或兩種以上的云共同組成，不同云之間相互獨立，采用標(biāo)準(zhǔn)接口聯(lián)系在一起，從而實現(xiàn)數(shù)據(jù)的互通和應(yīng)用程序的移植。

２基于云計算的風(fēng)險評估模型

云計算的發(fā)展歷史雖然短暫，但云所包含的4種部署模式和3種服務(wù)模式使得云計算的產(chǎn)品范圍相當(dāng)廣泛，不同云模式下，企業(yè)面臨的風(fēng)險有所不同。

在云服務(wù)模式方面，ＳａａＳ 模式下，云運營商擁有更多的資源控制權(quán)，這是因為 ＳａａＳ 對用戶來講，是高度抽象的，用戶僅僅享用基于軟件的服務(wù)，而控制基本由運營商進行。與 ＳａａＳ 模式相比，ＰａａＳ 模式為云用戶或租戶提供了較高級別的資源控制權(quán)。ＩａａＳ模式相對于ＰａａＳ或ＳａａＳ模式，可以提供給客戶更多的控制。資源控制權(quán)的轉(zhuǎn)移使得風(fēng)險評估變得更加復(fù)雜，資產(chǎn)安全性與資產(chǎn)所在的云的安全性息息相關(guān)。

在云部署模式方面，私有云位于企業(yè)內(nèi)部，并且通常是企業(yè)專用的，不會與外部數(shù)據(jù)混雜，傳統(tǒng)的風(fēng)險評估方法可以在私有云模式下得到較好的應(yīng)用。與私有云不同的是，公共云、社區(qū)云、混合云的一部分位于企業(yè)外部，如果云服務(wù)提供商的產(chǎn)品環(huán)境遭受災(zāi)難，對可用性有較高需求的業(yè)務(wù)會因為云服務(wù)的中斷而使企業(yè)遭受巨大損失。此外，云服務(wù)提供商在存儲或傳輸客戶數(shù)據(jù)的過程中，可能將數(shù)據(jù)置于不受法律管轄的區(qū)域，造成數(shù)據(jù)信息的泄露，使企業(yè)遭受巨大損失，從評估的角度來看，風(fēng)險評估不再僅僅局限于企業(yè)內(nèi)部。

在云服務(wù)商的選擇方面，云服務(wù)商的業(yè)務(wù)能力以及云服務(wù)的透明性對風(fēng)險評估有很大的影響，即便是在同一種云模式下，企業(yè)面臨的風(fēng)險也會因為云服務(wù)商的不同而有很大差異。因此，在云計算風(fēng)險評估的過程中，還需要對云服務(wù)提供商進行充分的調(diào)查分析，綜合考慮云計算中企業(yè)可能面臨的安全風(fēng)險。

綜上所述，云安全風(fēng)險評估會因云模式的不同而有巨大差別，需要針對不同的云模式具體識別資產(chǎn)存在的弱點和面臨的威脅，以便能夠準(zhǔn)確評估企業(yè)使用云服務(wù)后面臨的風(fēng)險大小。