羅遠(yuǎn)哲 王玲潔 李冠蕊 李雪茹

（1．北京市高速公路智能交通工程技術(shù)研究中心，北京 100000；2．北京中超偉業(yè)信息安全技術(shù)股份有限公司，北京 100085；3．基于云平臺(tái)的WEB頁面安全防護(hù)系統(tǒng)北京市工程實(shí)驗(yàn)室，北京 100081）

云計(jì)算，顧名思義是平臺(tái)作為服務(wù)PaaS、軟件作為服務(wù)SaaS、基礎(chǔ)設(shè)施作為服務(wù)IaaS等概念結(jié)合并且提升使用，它是并行計(jì)算、分布式計(jì)算以及網(wǎng)絡(luò)計(jì)算發(fā)展的結(jié)果。由于其耗費(fèi)的人力、物力較少，所需場(chǎng)地面積也較少，所以有著較高的價(jià)格優(yōu)勢(shì)。在服務(wù)上也較傳統(tǒng)計(jì)算更為便捷和快速，用戶體驗(yàn)滿意度很高。但是，云計(jì)算也具有自身不可避免的缺點(diǎn)。由于云計(jì)算技術(shù)的發(fā)展不成熟等原因，常常遭受不法分子的惡意侵害。其中最具代表性的是云計(jì)算安全中的數(shù)據(jù)泄露、虛擬機(jī)逃逸以及APT寄生蟲問題。

1 數(shù)據(jù)泄露

正如一間裝滿商品的商店容易遭受罪犯的襲擊一樣，云安全中最易受到威脅的便是儲(chǔ)存有大量數(shù)據(jù)信息的云服務(wù)器。其中，云提供商成為眾多黑客眼中的裝滿商品的商店。既然云服務(wù)器的數(shù)據(jù)這么容易受到黑客的青睞，那么對(duì)它們進(jìn)行再多的保護(hù)也是不為過的。但是相比于傳統(tǒng)數(shù)據(jù)中心的安全防護(hù)，云服務(wù)器的信息安全防護(hù)問題更為復(fù)雜。由于云服務(wù)器具有共享的特性，眾多的租戶都可以利用云服務(wù)器來進(jìn)行業(yè)務(wù)往來和信息獲取。但是由于每個(gè)租戶之間具有諸多的差異性，在進(jìn)行區(qū)別過程中會(huì)耗費(fèi)大量的時(shí)間，這就給云服務(wù)器的安全防護(hù)帶來了大量的工作，耗費(fèi)大量的時(shí)間，降低用戶的體驗(yàn)感受。同時(shí)云環(huán)境中沒有物理環(huán)境中那么清晰明確的邊界劃分，所以，對(duì)于內(nèi)部的攻擊是缺乏防御能力的。正是由于這種種原因，云安全問題與傳統(tǒng)數(shù)據(jù)安全問題有著本質(zhì)的區(qū)別。傳統(tǒng)的防火墻、IDS手段等不再適用于云安全問題。面對(duì)云安全問題，可以采取以下一些手段進(jìn)行云計(jì)算數(shù)據(jù)的安全和保護(hù)工作。例如，可以引進(jìn)一種先進(jìn)的入侵防御系統(tǒng)來進(jìn)行數(shù)據(jù)的保護(hù)以及止損，即IPS技術(shù)。相比于IDS技術(shù)，IPS是設(shè)計(jì)防火墻與私人網(wǎng)絡(luò)之間的。在接收到惡意流量的攻擊時(shí)，IPS可以在攻擊擴(kuò)散到其他網(wǎng)絡(luò)之前進(jìn)行攔截，阻止惡意攻擊進(jìn)入網(wǎng)絡(luò)的其他區(qū)域。當(dāng)然，還有用戶認(rèn)證與授權(quán)、數(shù)據(jù)的隔離、機(jī)密和保護(hù)等手段，都可以達(dá)到保護(hù)云計(jì)算數(shù)據(jù)信息的安全，防止云安全問題的發(fā)生。

2 虛擬機(jī)逃逸

虛擬機(jī)是指將主機(jī)的信息保存并且隔離起來的一種媒介手段，它可以幫助主機(jī)儲(chǔ)存和保護(hù)重要信息。雖然這是一

種有效的信息保護(hù)手段，但是也由于其儲(chǔ)存的信息極具價(jià)值而時(shí)時(shí)受到威脅和攻擊。其中，虛擬機(jī)逃逸問題就包含諸多的形式，例如，Hypervisor訪問權(quán)限問題、AVM2中暴露的ABC驗(yàn)證缺陷問題等。由于近年互聯(lián)網(wǎng)的不斷普及，人們利用互聯(lián)網(wǎng)進(jìn)行溝通和交流的形式不斷增多，信息安全問題也變得嚴(yán)峻。特別是近年來Flash Player 在各個(gè)領(lǐng)域的不斷應(yīng)用，為人們生活帶來樂趣的同時(shí)也帶來了更多的風(fēng)險(xiǎn)。本文就AVM2模型中關(guān)于ABC驗(yàn)證缺陷對(duì)于虛擬機(jī)逃逸造成的問題加以論述和分析。AVM2模型中虛擬機(jī)逃逸問題流程如圖1所示。

圖1 AVM2模型中虛擬機(jī)逃逸問題流程

圖1 是結(jié)合AVM2宿主環(huán)境漏洞產(chǎn)生的情況來分析虛擬機(jī)逃逸問題流程的，圖中顯示當(dāng)畸形輸入數(shù)據(jù)是在AVM2啟動(dòng)之前輸入的，造成的漏洞以及之后的惡意字碼序列都是無法通過的，只有在手動(dòng)調(diào)整后才能放置到SWF中去。由于這樣的宿主環(huán)境漏洞特性，可以結(jié)合AVM2的ABC驗(yàn)證缺陷來進(jìn)行改良和加以使用。例如為AVM2開發(fā)系統(tǒng)支持的硬件設(shè)施，優(yōu)化AVM2的環(huán)境因素；及時(shí)更新瀏覽器，提高自身電腦的安全性。其中IE8是不錯(cuò)的選擇，就目前AVM2出現(xiàn)的逃逸漏洞問題，它都可以較為完善地解決。

3 APT（高級(jí)持續(xù)性威脅）寄生蟲

APT寄生蟲對(duì)于云安全最大的威脅是在于其較強(qiáng)的潛伏性和持續(xù)性。其中，APT寄生蟲的潛伏性是指其可以在寄生的用戶環(huán)境中潛藏一年甚至更長的時(shí)間。在此期間，APT寄生蟲會(huì)利用自身的特性來進(jìn)行用戶信息的收集工作。這些被非法收集到的信息最終會(huì)被黑客用于攻擊用戶自身。而其持續(xù)性是指APT寄生蟲在用戶環(huán)境中潛伏的過程中可能是不被任何人知曉的。由于無人察覺，APT寄生蟲可以肆意地對(duì)用戶網(wǎng)絡(luò)進(jìn)行惡意攻擊直到達(dá)成自己的目的。由APT寄生蟲這兩個(gè)危險(xiǎn)的特性，如果想要對(duì)其進(jìn)行一定的控制，必須從檢查和防御兩個(gè)環(huán)節(jié)入手。而從這兩個(gè)環(huán)節(jié)，可以衍生出5種不同的防御形式，如圖2所示。

圖2 5種防御形式

如圖2所示，由檢查和防御環(huán)節(jié)衍生出五種不同的防御類型，分別是網(wǎng)絡(luò)流量分析、網(wǎng)絡(luò)入侵取證、工作負(fù)荷分析、終端行為分析以及終端入侵取證。它們分別對(duì)應(yīng)著不同時(shí)間以及來源的APT寄生蟲的威脅。其中，網(wǎng)絡(luò)流量分析是針對(duì)利用僵尸網(wǎng)絡(luò)進(jìn)行攻擊的防范模式，適用于正常流量模式。網(wǎng)絡(luò)入侵取證則是在發(fā)生信息泄露等問題時(shí)使用的一種防范模式。通過分析和調(diào)查數(shù)據(jù)包帶有的信息含義來推測(cè)APT攻擊的可能過程，提前做出防范和預(yù)判。工作負(fù)荷分析則是使用沙箱工具對(duì)主機(jī)中文件對(duì)象進(jìn)行分析和標(biāo)記的方法。基于終端的兩種方法則是在獲取了APT位置信息后進(jìn)行的配合性防御模式。兩者可以通過實(shí)踐和角度的不同來進(jìn)行互相配合和補(bǔ)充。

4 結(jié)語

通過分析大數(shù)據(jù)時(shí)代中云計(jì)算存在的安全隱患，愈發(fā)意識(shí)到信息安全對(duì)于云計(jì)算的重要性。為了更好地利用云計(jì)算來進(jìn)行商業(yè)活動(dòng)或者個(gè)人實(shí)踐活動(dòng)，首先需要解決的便是云安全問題。通過研究云安全面臨的種種網(wǎng)絡(luò)威脅和本身的技術(shù)漏洞，可以更好地改進(jìn)和提升已有的防御措施。在提升云安全指數(shù)的同時(shí)讓更多的學(xué)者意識(shí)到云安全對(duì)于每個(gè)人的重要性，更好地去研究和完善它。