吳小鋒，宋 洋，梁 旭

（內(nèi)蒙古新正能網(wǎng)產(chǎn)業(yè)服務(wù)有限公司，內(nèi)蒙古 呼和浩特 010010）

0 引 言

云計(jì)算作為一種新型網(wǎng)絡(luò)計(jì)算模式，具有資源池化、高擴(kuò)展性、高可用性等特點(diǎn)，能為各類組織和行業(yè)提供低成本、高效率的信息技術(shù)（Information Technology，IT）基礎(chǔ)支撐[1]。近年來(lái)，越來(lái)越多的核心業(yè)務(wù)系統(tǒng)和服務(wù)遷移到云計(jì)算平臺(tái)，以獲得更好的性價(jià)比和使用體驗(yàn)，但是云計(jì)算環(huán)境的開放性給網(wǎng)絡(luò)安全帶來(lái)了巨大的挑戰(zhàn)。用戶可以共享云計(jì)算資源，如果安全防護(hù)不到位，會(huì)引發(fā)數(shù)據(jù)泄露、訪問(wèn)超權(quán)、黑客攻擊等安全問(wèn)題。因此，研究適應(yīng)云計(jì)算環(huán)境的網(wǎng)絡(luò)安全技術(shù)與防護(hù)方案是一個(gè)重要課題。

文章在分析云計(jì)算安全風(fēng)險(xiǎn)的基礎(chǔ)上，探討適用于云計(jì)算環(huán)境的網(wǎng)絡(luò)安全技術(shù)體系，并給出基于云計(jì)算平臺(tái)構(gòu)建安全防護(hù)系統(tǒng)的方法與應(yīng)用，可為企業(yè)和組織在云計(jì)算環(huán)境中建立安全可靠的網(wǎng)絡(luò)基礎(chǔ)設(shè)施提供理論借鑒和技術(shù)參考。首先，分析云計(jì)算的安全特點(diǎn)及其面臨的各類安全風(fēng)險(xiǎn)；其次，詳細(xì)探討數(shù)據(jù)加密、訪問(wèn)控制、虛擬化隔離等關(guān)鍵安全技術(shù)；最后，給出基于云計(jì)算構(gòu)建安全防護(hù)系統(tǒng)的技術(shù)方案。

1 云計(jì)算安全風(fēng)險(xiǎn)分析

1.1 云計(jì)算安全特點(diǎn)

與傳統(tǒng)的本地IT 基礎(chǔ)設(shè)施不同，云計(jì)算作為一種基于互聯(lián)網(wǎng)的服務(wù)模式，其數(shù)據(jù)和應(yīng)用部署均在服務(wù)提供商的管理云平臺(tái)上，使得用戶通過(guò)互聯(lián)網(wǎng)即可對(duì)其進(jìn)行訪問(wèn)和管理。因此，云計(jì)算安全具有特殊性，主要表現(xiàn)在以下幾個(gè)方面[2]。第一，多租戶共享。云計(jì)算通過(guò)虛擬化技術(shù)實(shí)現(xiàn)硬件資源的池化和動(dòng)態(tài)調(diào)配，使多個(gè)用戶共享基礎(chǔ)設(shè)施。如果缺乏隔離措施，可能導(dǎo)致數(shù)據(jù)泄露和訪問(wèn)越權(quán)。第二，數(shù)據(jù)外遷。用戶的數(shù)據(jù)保存于服務(wù)商機(jī)房而非本地，增加了數(shù)據(jù)丟失的風(fēng)險(xiǎn)。第三，開放接口。云計(jì)算開放的接口與應(yīng)用程序編程接口（Application Programming Interface，API）的連接，使不同系統(tǒng)間的交互更加靈活，但擴(kuò)大了網(wǎng)絡(luò)攻擊的范圍。第四，資源動(dòng)態(tài)分配。云平臺(tái)上的資源是動(dòng)態(tài)變化和分配的，對(duì)用戶不透明，增加了一些潛在風(fēng)險(xiǎn)。第五，廣域分布式部署。云計(jì)算節(jié)點(diǎn)分布在不同區(qū)域，信息傳播較為復(fù)雜，增加了網(wǎng)絡(luò)攻擊溯源的難度?；谝陨咸匦?，云計(jì)算環(huán)境下的網(wǎng)絡(luò)安全機(jī)制必須從根本上進(jìn)行重構(gòu)，實(shí)現(xiàn)資源、數(shù)據(jù)、網(wǎng)絡(luò)的全面監(jiān)控與防護(hù)。

1.2 數(shù)據(jù)安全風(fēng)險(xiǎn)

云計(jì)算環(huán)境下，用戶的數(shù)據(jù)位于服務(wù)商管理的云服務(wù)器，使數(shù)據(jù)面臨安全風(fēng)險(xiǎn)。第一，數(shù)據(jù)丟失風(fēng)險(xiǎn)。云計(jì)算采用虛擬化技術(shù)，如果虛擬機(jī)出現(xiàn)故障，可能導(dǎo)致數(shù)據(jù)、備份或容災(zāi)機(jī)制缺失，加劇數(shù)據(jù)丟失風(fēng)險(xiǎn)。第二，數(shù)據(jù)泄露風(fēng)險(xiǎn)。云計(jì)算資源滿足多租戶共享，如果訪問(wèn)隔離不嚴(yán)，可能會(huì)因其他租戶的訪問(wèn)造成用戶數(shù)據(jù)的泄露。第三，數(shù)據(jù)篡改風(fēng)險(xiǎn)。在云計(jì)算環(huán)境中，用戶對(duì)數(shù)據(jù)的物理訪問(wèn)控制有限，攻擊者可能會(huì)通過(guò)數(shù)據(jù)庫(kù)漏洞進(jìn)行入侵篡改。第四，數(shù)據(jù)賬目失誤風(fēng)險(xiǎn)。云服務(wù)的賬務(wù)處理涉及多個(gè)主體，如果系統(tǒng)存在漏洞或管理不當(dāng)，可能導(dǎo)致用戶的賬務(wù)記錄錯(cuò)誤。第五，合規(guī)與審查風(fēng)險(xiǎn)。云計(jì)算環(huán)境對(duì)用戶的數(shù)據(jù)全生命周期控制有限，且數(shù)據(jù)存儲(chǔ)位置存在不確定性，加大了數(shù)據(jù)合規(guī)與審查難度。因此，在云計(jì)算環(huán)境下，用戶對(duì)數(shù)據(jù)的控制權(quán)有所下降，導(dǎo)致數(shù)據(jù)安全風(fēng)險(xiǎn)成為云計(jì)算面臨的主要挑戰(zhàn)之一。

1.3 訪問(wèn)控制風(fēng)險(xiǎn)

云計(jì)算采用虛擬化技術(shù)實(shí)現(xiàn)資源池化和動(dòng)態(tài)分配，使得不同用戶共享基礎(chǔ)設(shè)施，給訪問(wèn)控制帶來(lái)了挑戰(zhàn)。第一，身份鑒別風(fēng)險(xiǎn)。云計(jì)算系統(tǒng)面向大量的用戶，如果身份鑒別體系不嚴(yán)密，會(huì)提高非法用戶接入的概率。第二，訪問(wèn)越權(quán)風(fēng)險(xiǎn)。虛擬化環(huán)境缺乏邊界控制，會(huì)造成不同租戶的資源混合部署，導(dǎo)致用戶超出權(quán)限范圍訪問(wèn)其他租戶的數(shù)據(jù)。第三，接口訪問(wèn)風(fēng)險(xiǎn)。云平臺(tái)開放的接口和應(yīng)用程序接口（Application Program Interface，API）可能存在漏洞或配置不當(dāng)?shù)葐?wèn)題，增加了數(shù)據(jù)泄露或資源盜用的風(fēng)險(xiǎn)[3]。第四，管理權(quán)限風(fēng)險(xiǎn)。云平臺(tái)的管理權(quán)限過(guò)于開放，若操作審計(jì)不足，可能導(dǎo)致管理員激活隱藏后門或非法操作。第五，內(nèi)部威脅風(fēng)險(xiǎn)。服務(wù)提供商的內(nèi)部工作人員可能濫用訪問(wèn)權(quán)限，竊取用戶數(shù)據(jù)或攻擊系統(tǒng)。因此，云計(jì)算環(huán)境必須建立嚴(yán)密的身份識(shí)別與鑒權(quán)體系，實(shí)現(xiàn)細(xì)粒度的訪問(wèn)策略控制和審計(jì)，避免發(fā)生各類超權(quán)訪問(wèn)風(fēng)險(xiǎn)。

1.4 網(wǎng)絡(luò)攻擊威脅

云計(jì)算系統(tǒng)構(gòu)建基于開放的網(wǎng)絡(luò)，面臨著網(wǎng)絡(luò)攻擊帶來(lái)的嚴(yán)重威脅。第一，分布式拒絕服務(wù)（Distributed Denial of Service，DDoS）攻擊風(fēng)險(xiǎn)。黑客可能會(huì)利用云平臺(tái)資源優(yōu)勢(shì)，發(fā)動(dòng)大流量DDoS 攻擊，造成服務(wù)中斷。第二，木馬病毒風(fēng)險(xiǎn)。攻擊者可能利用云服務(wù)器漏洞植入木馬程序，控制用戶虛擬機(jī)資源進(jìn)行更廣泛的攻擊活動(dòng)。第三，數(shù)據(jù)捕獲風(fēng)險(xiǎn)。在公網(wǎng)傳輸過(guò)程中，因缺乏加密保護(hù)，導(dǎo)致敏感數(shù)據(jù)被非法分子捕獲利用。第四，中間人攻擊風(fēng)險(xiǎn)。攻擊者利用云平臺(tái)的身份認(rèn)證漏洞，在用戶與服務(wù)器間插入并獲取信息。第五，鏈路攻擊風(fēng)險(xiǎn)。入侵某一網(wǎng)絡(luò)接入節(jié)點(diǎn)，從而滲透到重要的業(yè)務(wù)系統(tǒng)竊取相應(yīng)的信息。針對(duì)云計(jì)算環(huán)境復(fù)雜的網(wǎng)絡(luò)攻擊手段，必須采用多層的網(wǎng)絡(luò)防護(hù)技術(shù)進(jìn)行全方位監(jiān)控，包括入侵防護(hù)、數(shù)據(jù)加密、漏洞修補(bǔ)等手段，構(gòu)建高強(qiáng)度的網(wǎng)絡(luò)安全防線[4]。

2 云計(jì)算環(huán)境下的網(wǎng)絡(luò)安全技術(shù)

2.1 數(shù)據(jù)加密技術(shù)

數(shù)據(jù)加密是保護(hù)云計(jì)算數(shù)據(jù)安全的關(guān)鍵手段之一。第一，采用混合加密機(jī)制。使用非對(duì)稱加密算法對(duì)數(shù)據(jù)加密密鑰進(jìn)行加密，同時(shí)利用該密鑰的對(duì)稱加密算法對(duì)實(shí)際數(shù)據(jù)進(jìn)行加密，以提高加密和解密效率。第二，區(qū)分加密數(shù)據(jù)的保存。對(duì)靜態(tài)數(shù)據(jù)可使用更長(zhǎng)密鑰的加密算法，對(duì)頻繁操作的數(shù)據(jù)則使用高效的對(duì)稱加密，以降低性能的影響。第三，數(shù)據(jù)分散存放。將數(shù)據(jù)片段存放在多個(gè)云服務(wù)平臺(tái)，即單一平臺(tái)數(shù)據(jù)無(wú)法還原全部數(shù)據(jù)信息，從而有效提高數(shù)據(jù)保存的安全性。第四，加密操作與密鑰下發(fā)下沉到用戶本地虛擬機(jī)。云服務(wù)商無(wú)法獲取用戶真實(shí)數(shù)據(jù)，避免大量的數(shù)據(jù)傳輸，有效降低數(shù)據(jù)被竊取的風(fēng)險(xiǎn)。第五，密鑰管理與審計(jì)機(jī)制。提供專門的密鑰管理服務(wù)器，控制密鑰的生成、分發(fā)、回收以及審計(jì)等，防止密鑰的泄露或?yàn)E用[5]。通過(guò)對(duì)數(shù)據(jù)靜態(tài)、傳輸、處理等階段的全面加密，可以有效保障云計(jì)算環(huán)境中數(shù)據(jù)的保密性和完整性，但需要注意加密操作對(duì)數(shù)據(jù)傳輸效率的影響。

2.2 訪問(wèn)控制技術(shù)

訪問(wèn)控制技術(shù)是防止云計(jì)算平臺(tái)的數(shù)據(jù)和資源遭受非法訪問(wèn)的關(guān)鍵。第一，強(qiáng)化登錄鑒權(quán)。采用多因素認(rèn)證、生物特征驗(yàn)證等技術(shù)，防止非法用戶登錄云服務(wù)。第二，細(xì)粒度授權(quán)策略?；诮巧?、組織的訪問(wèn)控制，實(shí)現(xiàn)對(duì)資源的精細(xì)權(quán)限分配。第三，用戶活動(dòng)審計(jì)。全過(guò)程記錄用戶對(duì)云服務(wù)的操作日志，進(jìn)行風(fēng)險(xiǎn)分析和攻擊溯源。第四，來(lái)源鑒別與風(fēng)險(xiǎn)管理。檢測(cè)訪問(wèn)請(qǐng)求源是否可疑，根據(jù)風(fēng)險(xiǎn)狀態(tài)實(shí)施不同級(jí)別的訪問(wèn)控制。第五，資源隔離與邊界控制。通過(guò)虛擬局域網(wǎng)等技術(shù)劃定邊界，實(shí)現(xiàn)不同用戶資源的隔離。通過(guò)運(yùn)用訪問(wèn)控制技術(shù)，實(shí)現(xiàn)云環(huán)境下身份的精確識(shí)別與鑒權(quán)，嚴(yán)格控制訪問(wèn)范圍，有效阻止非法訪問(wèn)云計(jì)算環(huán)境中的資源。

2.3 虛擬化安全隔離

虛擬化技術(shù)是云計(jì)算的基石，也需要防護(hù)手段保證安全。第一，加固虛擬機(jī)系統(tǒng)。通過(guò)應(yīng)用白名單、關(guān)閉非必要服務(wù)等方式，增強(qiáng)虛擬機(jī)的安全性。第二，分離虛擬網(wǎng)絡(luò)。為不同用戶的數(shù)據(jù)流配置獨(dú)立的虛擬局域網(wǎng)，實(shí)現(xiàn)訪問(wèn)隔離。第三，內(nèi)核優(yōu)化與漏洞修補(bǔ)。通過(guò)定制安全加固的Hypervisor，減少虛擬系統(tǒng)的安全風(fēng)險(xiǎn)。第四，資源分配審計(jì)。記錄虛擬機(jī)的啟動(dòng)、關(guān)閉、遷移等生命周期活動(dòng)，防止用戶對(duì)資源的非法訪問(wèn)。第五，虛擬機(jī)完整性檢測(cè)。使用心跳檢測(cè)、日志分析等手段檢測(cè)虛擬機(jī)的運(yùn)行狀態(tài)。

2.4 流量監(jiān)控技術(shù)

云計(jì)算系統(tǒng)需要對(duì)龐大的流量進(jìn)行監(jiān)控。流量監(jiān)控技術(shù)的核心主要包括以下內(nèi)容。第一，部署入侵防御系統(tǒng)（Intrusion Prevention System，IPS），通過(guò)特征庫(kù)檢測(cè)攻擊流量。第二，使用深度包檢測(cè)（Deep Packet Inspection，DPI）技術(shù)，提取并分析流量特征，及時(shí)發(fā)現(xiàn)用戶的異常行為。第三，建立NetFlow 網(wǎng)絡(luò)流量采樣系統(tǒng)，對(duì)流量進(jìn)行統(tǒng)計(jì)與分析。第四，利用虛擬路由和負(fù)載均衡技術(shù)，過(guò)濾、分發(fā)訪問(wèn)流量。第五，針對(duì)訪問(wèn)量大的資源，設(shè)置專門的高性能安全模塊進(jìn)行流量審查。云計(jì)算需要對(duì)流量進(jìn)行全面監(jiān)控，及時(shí)發(fā)現(xiàn)異常行為和攻擊特征，主動(dòng)隔離并解決威脅，保障系統(tǒng)運(yùn)行的安全性。

3 基于云計(jì)算的安全防護(hù)系統(tǒng)

3.1 系統(tǒng)設(shè)計(jì)

需要構(gòu)建云計(jì)算安全防護(hù)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。第一，部署邊界安全網(wǎng)關(guān)，對(duì)進(jìn)入云端的數(shù)據(jù)流量進(jìn)行過(guò)濾、監(jiān)控、威脅情報(bào)分析。第二，在虛擬化管理節(jié)點(diǎn)和虛擬機(jī)上部署hosts 防護(hù)軟件，實(shí)現(xiàn)對(duì)虛擬資源的安全監(jiān)管。第三，利用虛擬防火墻技術(shù)，在不同用戶資源間設(shè)置安全域，對(duì)流量進(jìn)行細(xì)粒度隔離與控制。第四，核心區(qū)域使用高性能的入侵防御設(shè)備，檢測(cè)應(yīng)用數(shù)據(jù)流的威脅特征。第五，對(duì)控制臺(tái)和管理網(wǎng)絡(luò)實(shí)施嚴(yán)格的訪問(wèn)控制。第六，建立集中式安全運(yùn)營(yíng)中心，對(duì)各節(jié)點(diǎn)和流量進(jìn)行全局監(jiān)控和管理[6]?；谠朴?jì)算的安全防護(hù)系統(tǒng)滿足云計(jì)算的多層安全防護(hù)需求，可以實(shí)現(xiàn)對(duì)數(shù)據(jù)、主機(jī)、網(wǎng)絡(luò)以及管理等方面的全面監(jiān)管。

3.2 技術(shù)手段

云安全防護(hù)系統(tǒng)的主要技術(shù)手段包括數(shù)據(jù)加密和訪問(wèn)控制技術(shù)、虛擬機(jī)和虛擬網(wǎng)絡(luò)隔離技術(shù)、云平臺(tái)安全日志與數(shù)據(jù)的分析技術(shù)以及統(tǒng)一的安全管理機(jī)制。數(shù)據(jù)加密和訪問(wèn)控制技術(shù)保護(hù)數(shù)據(jù)存儲(chǔ)和傳輸?shù)陌踩?，虛擬機(jī)和虛擬網(wǎng)絡(luò)隔離技術(shù)控制用戶對(duì)資源的訪問(wèn)，入侵檢測(cè)與防護(hù)技術(shù)主動(dòng)發(fā)現(xiàn)并阻斷攻擊行為，云平臺(tái)安全日志與數(shù)據(jù)的分析技術(shù)支撐安全運(yùn)維決策，統(tǒng)一的安全管理機(jī)制制定安全策略和事件響應(yīng)。安全團(tuán)隊(duì)需要對(duì)云安全防護(hù)系統(tǒng)的相關(guān)技術(shù)進(jìn)行優(yōu)化集成，以建立自動(dòng)化的云環(huán)境安全運(yùn)營(yíng)管理體系。

3.3 應(yīng)用實(shí)例

某在線學(xué)習(xí)平臺(tái)將核心業(yè)務(wù)系統(tǒng)部署在公有云計(jì)算環(huán)境，并使用設(shè)計(jì)的安全防護(hù)系統(tǒng)。首先，對(duì)用戶訪問(wèn)流量進(jìn)行應(yīng)用層檢測(cè)，防止SQL 注入、跨站攻擊等威脅。其次，通過(guò)虛擬防火墻和虛擬局域網(wǎng)（Virtual Local Area Network，VLAN）技術(shù)分割內(nèi)部網(wǎng)絡(luò)，實(shí)現(xiàn)資源的訪問(wèn)隔離。再次，對(duì)存儲(chǔ)和傳輸數(shù)據(jù)進(jìn)行動(dòng)態(tài)加密，保證數(shù)據(jù)的機(jī)密性。最后，通過(guò)分析管理網(wǎng)絡(luò)行為，及時(shí)發(fā)現(xiàn)盜用賬號(hào)的風(fēng)險(xiǎn)行為。實(shí)例表明，設(shè)計(jì)的安全防護(hù)系統(tǒng)可以在云環(huán)境下為數(shù)據(jù)提供全方位的安全防護(hù)。

4 結(jié) 論

文章首先分析云計(jì)算環(huán)境帶來(lái)的數(shù)據(jù)安全風(fēng)險(xiǎn)、訪問(wèn)控制風(fēng)險(xiǎn)、網(wǎng)絡(luò)攻擊威脅，闡述云計(jì)算的開放性和虛擬化特征使其面臨復(fù)雜的網(wǎng)絡(luò)安全形勢(shì)。其次，詳細(xì)探討數(shù)據(jù)加密、虛擬化隔離、流量監(jiān)控等多種網(wǎng)絡(luò)安全技術(shù)，以有效防范云環(huán)境的各類安全風(fēng)險(xiǎn)。最后，給出基于云計(jì)算的網(wǎng)絡(luò)安全防護(hù)系統(tǒng)的構(gòu)建框架，并用實(shí)例驗(yàn)證了系統(tǒng)的具體應(yīng)用效果。研究表明，通過(guò)選用合適的安全技術(shù)，可以有效保障云計(jì)算環(huán)境的安全，為云計(jì)算的進(jìn)一步發(fā)展提供堅(jiān)實(shí)的安全支撐。后續(xù)需要豐富安全防護(hù)技術(shù)，加強(qiáng)對(duì)實(shí)際效果的驗(yàn)證，以滿足云計(jì)算在重要領(lǐng)域的應(yīng)用需求。