云計(jì)算是基于互聯(lián)網(wǎng)的相關(guān)服務(wù)的增加、使用和交付模式，通常涉及通過(guò)互聯(lián)網(wǎng)來(lái)提供動(dòng)態(tài)易擴(kuò)展且經(jīng)常是虛擬化的資源�，F(xiàn)在很多企業(yè)都開(kāi)始實(shí)用云計(jì)算這種技術(shù)，每個(gè)企業(yè)對(duì)云計(jì)算的安全性也開(kāi)始考慮。本文是一篇核心期刊論文發(fā)表網(wǎng)投稿的論文范文，主要論述了企業(yè)共有云安全策略研究。

 　　摘 要：云計(jì)算是新的技術(shù)和商業(yè)模式。鑒于企業(yè)用戶對(duì)安全性與可靠性等方面的考慮，企業(yè)云計(jì)算的發(fā)展路徑通常會(huì)是先虛擬化、私有云，進(jìn)而向共有云、混合云演進(jìn)。為關(guān)系相對(duì)閉合、應(yīng)用特征有相似性的多企業(yè)租戶提供集約化運(yùn)營(yíng)的共有云服務(wù)，對(duì)云平臺(tái)提出了更高的安全要求，需要進(jìn)行系統(tǒng)的研究，針對(duì)由云計(jì)算和特定多企業(yè)租戶而引入的新安全問(wèn)題，給出相應(yīng)對(duì)策，并在整體上提出適宜的安全框架與演進(jìn)策略。

　　關(guān)鍵詞：核心期刊論文發(fā)表網(wǎng),云計(jì)算,共有云,云安全,演進(jìn)策略

　　1 引言(Introduction)

　　云是互聯(lián)網(wǎng)的一個(gè)隱喻，云計(jì)算指使用互聯(lián)網(wǎng)來(lái)接入遠(yuǎn)端存儲(chǔ)或者運(yùn)行在遠(yuǎn)程服務(wù)器端的應(yīng)用、數(shù)據(jù)或服務(wù)。Garnter公司在對(duì)云計(jì)算的調(diào)研中，70%的人認(rèn)為云計(jì)算最大的問(wèn)題是安全[1]。

　　值得強(qiáng)調(diào)的是，相關(guān)聯(lián)的企業(yè)群集采用專(zhuān)有云模式有其在安全方面的突出優(yōu)勢(shì)。由于共有云平臺(tái)運(yùn)營(yíng)商的集約化經(jīng)營(yíng)，使得安全更專(zhuān)業(yè)、安全成本更低[2]。這包括專(zhuān)業(yè)技術(shù)人員和安全專(zhuān)家、集中的補(bǔ)丁關(guān)注和輔助分發(fā)、更完備的動(dòng)態(tài)可調(diào)度的安全資源(虛擬防火墻、DDOS清洗設(shè)備、IDP等設(shè)施)等。

　　這種IDC運(yùn)營(yíng)商提供的專(zhuān)有云，因其物理資源多租戶共享而不同于企業(yè)私有云，同時(shí)因其客戶群既有信任與協(xié)作關(guān)系，以及共享某些特定SaaS的要求，也有別于任意多租戶公有云的安全特征。這種針對(duì)特定用戶群體、集約化運(yùn)營(yíng)的云平臺(tái)，稱(chēng)為“共有云”。

　　IDC運(yùn)營(yíng)商需要針對(duì)此種需求，建設(shè)企業(yè)共有云數(shù)據(jù)中心，契合此類(lèi)企業(yè)集群的云服務(wù)需求，特別是打消企業(yè)的安全顧慮，使企業(yè)群體在共有云數(shù)據(jù)中心“安居樂(lè)業(yè)”。

　　2 安全問(wèn)題分析(Security problem analysis)

　　2.1 數(shù)據(jù)中心的傳統(tǒng)安全問(wèn)題

　　數(shù)據(jù)中心的傳統(tǒng)安全首先是場(chǎng)地基礎(chǔ)設(shè)施和IT基礎(chǔ)設(shè)施的安全問(wèn)題，包括物理安全和設(shè)備安全。物理安全涉及進(jìn)出入門(mén)禁、視頻監(jiān)控、安保防衛(wèi)和抗震防汛等機(jī)房因素。設(shè)備安全問(wèn)題來(lái)自設(shè)備的可用性，關(guān)注數(shù)據(jù)中心是否雙電、雙網(wǎng)、UPS配置等[3]。

　　其次是網(wǎng)絡(luò)與應(yīng)用所帶來(lái)的安全問(wèn)題，網(wǎng)絡(luò)為用戶訪問(wèn)提供傳輸與控制通道，而應(yīng)用系統(tǒng)本身在云或非云環(huán)境中行為邏輯沒(méi)有發(fā)生本質(zhì)的變化，用戶接入、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)病毒感染等已是必須納入應(yīng)對(duì)的標(biāo)配安全問(wèn)題，相應(yīng)對(duì)數(shù)據(jù)中心提出的安全需求包括：防火墻、IDS/IPS、Anti-DDOS、傳輸安全(SSL VPN)等。

　　進(jìn)而，部分?jǐn)?shù)據(jù)中心托管用戶對(duì)于其系統(tǒng)或生產(chǎn)數(shù)據(jù)，還有備份的安全需求;如果租用數(shù)據(jù)中心的存儲(chǔ)資源，對(duì)存儲(chǔ)資源的專(zhuān)用性、對(duì)存儲(chǔ)數(shù)據(jù)的安全性都會(huì)有相應(yīng)的要求。

　　2.2 IaaS云安全問(wèn)題

　　虛擬化技術(shù)、多租戶業(yè)務(wù)模式和特權(quán)用戶(云平臺(tái)運(yùn)營(yíng)商系統(tǒng)管理員)問(wèn)題使得IaaS服務(wù)面臨著更大的風(fēng)險(xiǎn)。

　　具體可分為四類(lèi)問(wèn)題：一是系統(tǒng)與虛擬化安全問(wèn)題;二是網(wǎng)絡(luò)與邊界安全問(wèn)題;三是應(yīng)用與數(shù)據(jù)安全問(wèn)題;四是身份與安全管理問(wèn)題。

　　2.2.1 系統(tǒng)與虛擬化安全問(wèn)題

　　在多租戶環(huán)境下內(nèi)存的動(dòng)態(tài)分配對(duì)安全是一個(gè)威脅。許多高等級(jí)的攻擊極有可能利用剩余信息通過(guò)復(fù)雜的技術(shù)來(lái)獲得其他用戶的敏感信息。如果云操作系統(tǒng)在將內(nèi)存重新分配給用戶時(shí)，不能對(duì)分配的內(nèi)存作寫(xiě)“零”處理，就不能防止新啟動(dòng)虛機(jī)中或有惡意內(nèi)存檢測(cè)軟件檢測(cè)到其他用戶有用信息的可能[4]。

　　概況之，從云平臺(tái)的角度看，虛擬機(jī)是云計(jì)算操作系統(tǒng)的一個(gè)應(yīng)用;而從虛擬機(jī)的角度看，Hypervisor就是原來(lái)的硬件層。因此，云安全的核心控制點(diǎn)在云操作系統(tǒng)，云操作系統(tǒng)需要安全可控。

　　2.2.2 應(yīng)用與數(shù)據(jù)安全問(wèn)題

　　IaaS使用共享存儲(chǔ)。存儲(chǔ)系統(tǒng)創(chuàng)建邏輯卷，并維護(hù)邏輯卷與磁盤(pán)條帶化之間的對(duì)應(yīng)關(guān)系。Hypervisor(或稱(chēng)云操作系統(tǒng))則建立和維護(hù)不同的虛機(jī)與后端存儲(chǔ)系統(tǒng)邏輯卷之間的映射關(guān)系，并根據(jù)這個(gè)映射關(guān)系提供存儲(chǔ)路由控制。如果云操作系統(tǒng)不是安全可信的，就不能保證不同虛機(jī)間的存儲(chǔ)隔離，不能防止不同虛機(jī)之間邏輯卷的非法訪問(wèn)。

　　同時(shí)，應(yīng)用與數(shù)據(jù)安全要求企業(yè)客戶的諸使用者分權(quán)分域，“各行其道”，不能有權(quán)限使用不該使用的資源;如客戶顧慮到云端數(shù)據(jù)有被運(yùn)營(yíng)通過(guò)非法掛卷等手段而竊取的可能，還會(huì)有磁盤(pán)加密的要求。

　　2.3 共有云的安全問(wèn)題

　　多租戶的企業(yè)間、租戶與云平臺(tái)運(yùn)營(yíng)商之間，因?yàn)榫哂兴�有制背��、業(yè)務(wù)合作或隸屬等關(guān)系紐帶，具有相當(dāng)程度的熟悉與信任。這為許多企業(yè)出于安全考慮而暫避公有云但能接受共有云奠定了基礎(chǔ)。同時(shí)，共有云的租戶也同樣具有對(duì)自身應(yīng)用相互隔離、對(duì)于共享應(yīng)用確保集群內(nèi)高安全高可用的安全需求。

　　2.4 內(nèi)部SaaS應(yīng)用可訪問(wèn)的問(wèn)題

　　企業(yè)租戶在共有云平臺(tái)上架構(gòu)自用VPC，也通過(guò)共建VPC來(lái)實(shí)現(xiàn)高安全共享的特定業(yè)務(wù)，要求通過(guò)統(tǒng)一的網(wǎng)絡(luò)入口接入云平臺(tái)，同時(shí)各連接在網(wǎng)絡(luò)層的邏輯上相區(qū)隔。這要求通過(guò)虛擬化技術(shù)、地址空間對(duì)外不可達(dá)等實(shí)現(xiàn)多通道防護(hù)的傳輸安全、接入認(rèn)證和接入可靠性。

　　3 安全框架(Security framework)

　　基于系統(tǒng)考慮，安全框架包括安全技術(shù)、安全管理功能、接口安全和法規(guī)遵從四個(gè)方面。

　　這四個(gè)部分既相對(duì)獨(dú)立，又有機(jī)結(jié)合構(gòu)成共有云整體安全框架。其中安全技術(shù)覆蓋了IaaS云服務(wù)數(shù)據(jù)中心的物理場(chǎng)地、設(shè)備高可用、網(wǎng)絡(luò)層、虛擬化層、數(shù)據(jù)與應(yīng)用層五個(gè)部分。

　　3.1 安全技術(shù)

　　針對(duì)不同層面的安全需求，結(jié)合共有云多租戶所特有的既信任又相對(duì)獨(dú)立、既資源共享卻彼此隔離、私有應(yīng)用為主公有應(yīng)用為輔等特征，提出如表3所示的共有云安全技術(shù)應(yīng)用的層次框架。

　　傳統(tǒng)的應(yīng)用于高標(biāo)準(zhǔn)數(shù)據(jù)中心的安全技術(shù)繼續(xù)適用。同時(shí)，在構(gòu)建虛擬化安全、應(yīng)對(duì)共有云網(wǎng)絡(luò)安全的高性能要求，以及對(duì)共有云多租戶接入安全(傳輸、內(nèi)網(wǎng)地址規(guī)劃)方面有新的技術(shù)對(duì)策。 　　3.1.1 虛擬化安全

　　虛擬化安全包括虛擬機(jī)安全(包括虛擬化防病毒、多因素的認(rèn)證、應(yīng)用程序保護(hù)等措施)和VM管理系統(tǒng)(VMM)安全。后者可細(xì)分為虛擬機(jī)可信、虛擬化條件下的輕量級(jí)代理甚至無(wú)代理的防病毒解決方案、虛擬化防火墻、Hypervisor加固、虛擬機(jī)隔離等。

　　數(shù)據(jù)中心云可信操作系統(tǒng)利用服務(wù)器上TPM芯片，提供云操作系統(tǒng)完整性保護(hù)方案，實(shí)現(xiàn)云操作系統(tǒng)的可信啟動(dòng)和可信運(yùn)行。磁盤(pán)加密則實(shí)現(xiàn)虛擬機(jī)上用戶卷的全盤(pán)透明加密解密。

　　為防止虛擬機(jī)之間的攻擊，主要是防止VM的地址欺騙。Hypervisor中的虛擬交換機(jī)可將VM的IP地址和MAC地址綁定，限制虛擬機(jī)只能發(fā)送本機(jī)地址的報(bào)文，防止VM IP地址欺騙和ARP地址欺騙。

　　3.1.2 安全設(shè)備

　　針對(duì)安全設(shè)備性能與高可用需求，可采用具有網(wǎng)絡(luò)虛擬化功能的安全設(shè)備，將多臺(tái)物理安全設(shè)備虛擬成一臺(tái)邏輯設(shè)備，結(jié)合Vlan等隔離技術(shù)，提供既集約又可靠的安全服務(wù)。

　　3.1.3 共有云接入

　　當(dāng)前階段，企業(yè)核心應(yīng)用平臺(tái)(云或非云)與企業(yè)總部、企業(yè)分支節(jié)點(diǎn)的接入方式有廣域網(wǎng)專(zhuān)線和通過(guò)Internet接入兩種。使用VPN進(jìn)行加密傳輸是通用的選擇。不同的企業(yè)采納不同的VPN技術(shù)(如IPsec VPN+GRE;或SSL VPN/L2TP+IPSec)。隨著企業(yè)信息化的深入發(fā)展，從企業(yè)集群角度看，將有多種VPN類(lèi)型客戶的認(rèn)證方式和繁復(fù)的訪問(wèn)權(quán)限劃分。結(jié)合共有云的建設(shè)，引導(dǎo)企業(yè)使用統(tǒng)一的VPN接入平臺(tái)，規(guī)范并統(tǒng)一VPN用戶的權(quán)限控制，統(tǒng)一接入認(rèn)證的方式，將給企業(yè)IT日常維護(hù)管理帶來(lái)極大方便，提升整個(gè)企業(yè)群體的安全水平。

　　3.2 法律與法規(guī)的遵從

　　云服務(wù)供方和企業(yè)需方應(yīng)滿足日益復(fù)雜的法規(guī)要求，不論是行業(yè)標(biāo)準(zhǔn)，管理制度，或客戶特定的要求。信息安全相關(guān)標(biāo)準(zhǔn)可參考表3。

　　4 結(jié)論(Conclusion)

　　未來(lái)經(jīng)濟(jì)對(duì)云計(jì)算能力的依賴，將像傳統(tǒng)工業(yè)對(duì)電的依賴一樣。企業(yè)云平臺(tái)建設(shè)與應(yīng)用部署時(shí)，客觀上存在著諸多可復(fù)用或可集約的環(huán)節(jié)，企業(yè)在政策上也趨于更多地采購(gòu)IT服務(wù)而非資產(chǎn)投資。更有意義的是，企業(yè)集群具有共同的上級(jí)監(jiān)管部門(mén)或控股公司，或有相同的孵化器或產(chǎn)業(yè)協(xié)作鏈，從發(fā)展來(lái)看，其在業(yè)務(wù)上或職能上要求有標(biāo)準(zhǔn)統(tǒng)一、數(shù)據(jù)集中的大數(shù)據(jù)系統(tǒng)或聯(lián)動(dòng)的O2O服務(wù)模式。構(gòu)建共有云服務(wù)平臺(tái)，在企業(yè)群體相互安全可信、云平臺(tái)安全架構(gòu)完備的基礎(chǔ)上，工業(yè)化的IT運(yùn)營(yíng)加互聯(lián)網(wǎng)思維的業(yè)務(wù)耦合，云數(shù)據(jù)中心運(yùn)營(yíng)商必然大有可為。

　　循著服務(wù)于多租戶的運(yùn)營(yíng)創(chuàng)新，在云計(jì)算IaaS層安全之外，平臺(tái)型信息服務(wù)企業(yè)在大數(shù)據(jù)、O2O等方面的研究和探索將有更為廣闊的天地。

　　參考文獻(xiàn)(References)

　　[1] 鄭葉來(lái)，陳世峻.分布式云數(shù)據(jù)中心的建設(shè)與管理[M].北京：清

　　華大學(xué)出版社，2013：78-84.

　　[2] 杭州華三通信技術(shù)有限公司.新一代網(wǎng)絡(luò)建設(shè)理論與實(shí)踐(第

　　2版)[M].北京：電子工業(yè)出版社，2013：510-512.

　　[3] vForum2013大會(huì)資料[J].2013：20-27.

　　[4] 周寶曜，劉偉，范承工.大數(shù)據(jù)戰(zhàn)略・技術(shù)・實(shí)踐[M].北京：電

　　子工業(yè)出版社，2013：127-130.

　　核心期刊論文發(fā)表網(wǎng)推薦計(jì)算機(jī)期刊無(wú)線電通信技術(shù)雜志，本刊辦刊宗旨為認(rèn)真貫徹執(zhí)行國(guó)家對(duì)科技期刊制定的有關(guān)政策和法規(guī)，堅(jiān)持本刊的技術(shù)性、學(xué)術(shù)性強(qiáng)的電子類(lèi)科技期刊屬性，充分發(fā)揮本刊科技信息載體的作用，突出學(xué)術(shù)性，以數(shù)字信息網(wǎng)絡(luò)為平臺(tái)，以及時(shí)報(bào)道通信領(lǐng)域的最新科技成果與前沿技術(shù)為主線，技術(shù)與市場(chǎng)緊密結(jié)合，不斷提高其社會(huì)效益和經(jīng)濟(jì)效益，成為國(guó)內(nèi)有重大影響、可作為國(guó)際交流的精品科技期刊。