從整體上來說,國際上關(guān)于云計算安全問題的研究也是剛剛起步,雖然很多的組織和機構(gòu)都在積極地對云計算的安全問題進行分析和研究,但主要是CSA 以及微軟、谷歌、亞馬遜等幾個為數(shù)不多的組織和機構(gòu)能夠比較清晰地提出各自對云計算安全問題的基本認(rèn)識以及關(guān)于云計算安全問題的初步解決方案。為此,現(xiàn)對主流企業(yè)云安全研究進展及技術(shù)解決方案進行闡述。
(1)微軟
微軟的云計算平臺叫做Windows Azure。在Azure 上,微軟通過采用強化底層安全技術(shù)性能、使用所提出的Sydney 安全機制,以及在硬件層面上提升訪問權(quán)限安全等系列技術(shù)措施為用戶提供一個可信任的云,從私密性、數(shù)據(jù)刪除、完整性、可用性和可靠性五個方面保證云安全。
·私密性:Windows Azure 通過身份和訪問管理、SMAPI 身份驗證、最少特權(quán)用戶軟件、內(nèi)部控制通信量的SSL 雙向認(rèn)證、證書和私有密鑰管理、WindowsAzure Storage 的訪問控制機制保證用戶數(shù)據(jù)的私密性。
·隔離:把不同的數(shù)據(jù)適當(dāng)?shù)剡M行隔離,作為一種保護方式。微軟提供了管理程序,Root OS 和Guest VMs 的隔離、Fabric Controllers 的隔離、包過濾、VLAN 隔離、用戶訪問的隔離五種隔離方式給用戶數(shù)據(jù)提供保護。
·加密:在存儲和傳輸中對數(shù)據(jù)進行加密,確保數(shù)據(jù)的保密性和完整性。此外,針對關(guān)鍵的內(nèi)部通信,使用SSL 加密進行保護。作為用戶的選擇之一,Windows Azure SDK 擴展了核心。NET 類庫以允許開發(fā)人員在Windows Azure 中整合。NET 加密服務(wù)提供商(CSPs);
·數(shù)據(jù)刪除:Windows Azure 的所有的存儲操作,包括刪除操作被設(shè)計成即時一致的。一個成功執(zhí)行的刪除操作將刪除所有相關(guān)數(shù)據(jù)項的引用使得它無法再通過存儲API 訪問。所有被刪除的數(shù)據(jù)項在之后被垃圾回收。正如一般的計算機物理設(shè)備一樣,物理二進制數(shù)據(jù)在相應(yīng)的存儲數(shù)據(jù)塊為了存儲其他數(shù)據(jù)而被重用的時候會被覆蓋掉。
·完整性:微軟的云操作系統(tǒng)以多種方式來提供這一保證。對客戶數(shù)據(jù)的完整性保護的首要機制是通過Fabric VM設(shè)計本身提供的。每個VM被連接到三個本地虛擬硬盤驅(qū)動(VHDs):D 驅(qū)動器包含了多個版本的Guest OS 中的一個,保證了最新的相關(guān)補丁,并能由用戶自己選擇;E 驅(qū)動器包含了一個被FC 創(chuàng)建的映像,該映像是基于用戶提供的程序包的;C 驅(qū)動器包含了配置信息,paging 文件和其他存儲。另外存儲在讀/ 寫C:驅(qū)動中的配置文件是另一個主要的完整性控制器。至于Windows Azure 存儲,完整性是通過使用簡單的訪問控制模型來實現(xiàn)的。每個存儲賬戶有兩個存儲賬戶密鑰來控制所有對在存儲賬戶中數(shù)據(jù)的訪問,因此對存儲密鑰的訪問提供了完全的對相應(yīng)數(shù)據(jù)的控制。Fabric 自身的完整性在從引導(dǎo)程序到操作中都被精心管理。
·可用性:Windows Azure 提供了大量的冗余級別來提升最大化的用戶數(shù)據(jù)可用性。數(shù)據(jù)在WindowsAzure 中被復(fù)制備份到Fabric 中的三個不同的節(jié)點來最小化硬件故障帶來的影響。用戶可以通過創(chuàng)建第二個存儲賬戶來利用Windows Azure 基礎(chǔ)設(shè)施的地理分布特性達到熱失效備援功能。
·可靠性:Windows Azure 通過記錄和報告來讓用戶了解這一點。監(jiān)視代理(MA)從包括FC 和RootOS 在內(nèi)的許多地方獲取監(jiān)視和診斷日志信息并寫到日志文件中,最終將這些信息的子集推送到一個預(yù)先配置好的Windows Azure 存儲賬戶中。此外,監(jiān)視數(shù)據(jù)分析服務(wù)(MDS)是一個獨立的服務(wù),能夠讀取多種監(jiān)視和診斷日志數(shù)據(jù)并總結(jié)信息,將其寫到集成化日志中。
(2)谷歌
在2010 年,為使其安全措施、政策及涉及到谷歌應(yīng)用程序套件的技術(shù)更透明,谷歌發(fā)布了一份白皮書,向當(dāng)前和潛在的云計算客戶保證強大而廣泛的安全基礎(chǔ)。此外,谷歌在云計算平臺上還創(chuàng)建了一個特殊門戶,供使用應(yīng)用程序的用戶了解其隱私政策和安全問題。
谷歌的云計算平臺上主要從三個部分著手保障云安全。
·人員保證。谷歌雇傭一個全天候的頂級信息安全團隊,負(fù)責(zé)公司周圍的的防御系統(tǒng)并編寫文件,實現(xiàn)谷歌的安全策略和標(biāo)準(zhǔn)。
·流程保證。應(yīng)用要經(jīng)過多次的安全檢查。作為安全代碼開發(fā)過程,應(yīng)用開發(fā)環(huán)境是嚴(yán)格控制并認(rèn)真調(diào)整到最大的安全性能。外部的安全審計也有規(guī)則的實施來提供額外的保障。
·技術(shù)保證。為降低開發(fā)風(fēng)險,每個Google 服務(wù)器只根據(jù)定制安裝必需的軟件組件,而且在需要的時候,均勻的服務(wù)器架構(gòu)能夠?qū)崿F(xiàn)全網(wǎng)的快速升級和配置改變。數(shù)據(jù)被復(fù)制到多個數(shù)據(jù)中心,以獲得冗余的和一致的可用性。在安全上,實現(xiàn)可信云安全產(chǎn)品管理、可信云安全合作伙伴管理、云計算合作伙伴自管理、可信云安全的接入服務(wù)管理、可信云安全企業(yè)自管理。在可信云安全系統(tǒng)技術(shù)動態(tài)IDC 解決方案中,采取面向服務(wù)的接口設(shè)計、虛擬化服務(wù)、系統(tǒng)監(jiān)控服務(wù)、配置管理服務(wù)、數(shù)據(jù)保護服務(wù)等方法,實現(xiàn)按需服務(wù)、資源池、高可擴展性、彈性服務(wù)、自服務(wù)、自動化和虛擬化、便捷網(wǎng)絡(luò)訪問、服務(wù)可度量等特點。
(3)亞馬遜
亞馬遜是互聯(lián)網(wǎng)上最大的在線零售商,但是同時也為獨立開發(fā)人員以及開發(fā)商提供云計算服務(wù)平臺。亞馬遜是最早提供遠程云計算平臺服務(wù)的公司,他們的云計算平臺稱為彈性計算云(Elastic ComputeCloud,EC2)。亞馬遜從主機系統(tǒng)的操作系統(tǒng)、虛擬實例操作系統(tǒng)火客戶操作系統(tǒng)、防火墻以及API 呼叫多個層次為EC2 提供安全,目的就是防止亞馬遜EC2 中的數(shù)據(jù)被未經(jīng)認(rèn)可的系統(tǒng)或用戶攔截,并在不犧牲用戶要求的配置靈活性的基礎(chǔ)上提供最大限度的安全保障。EC2 系統(tǒng)主要包括以下組成部分。
·主機操作系統(tǒng)。具有進入管理面業(yè)務(wù)需要的管理員被要求使用多因子的認(rèn)證以獲得目標(biāo)主機的接入。這些管理主機都被專門設(shè)計、建立、配置和加固,以保證云的管理面,所有的接入都被記錄并審計。當(dāng)一個員工不再具有這種進入管理面的業(yè)務(wù)需要時,對這些主機和相關(guān)系統(tǒng)的接入和優(yōu)先權(quán)被取消。
·客戶操作系統(tǒng):虛擬實例由用戶完全控制,對賬戶、服務(wù)和應(yīng)用具有完全的根訪問和管理控制。AWS 對用戶實例沒有任何的接入權(quán),并不能登錄用戶的操作系統(tǒng)。AWS 建議一個最佳實踐的安全基本集,包括不再允許只用密碼訪問他們的主機,而是利用一些多因子認(rèn)證獲得訪問他們的例子。另外,用戶需要采用一個能登錄每個用戶平臺的特權(quán)升級機制。例如,如果用戶的操作系統(tǒng)是Linux,在加固他們的實例后,他們應(yīng)當(dāng)采用基于認(rèn)證的SSHv2 來接入虛擬實例,不允許遠程登陸,使用命令行日志,并使用“sudo”進行特權(quán)升級。用戶應(yīng)生成他們的關(guān)鍵對,以保證他們獨特性,不與其他用戶或AWS 共享。
·防火墻:亞馬遜EC2 提供了一個完整的防火墻解決方案。這個歸本地的強制防火墻配置在一個默認(rèn)的deny- all 模式,亞馬遜EC2 顧客必須明確地打開允許對內(nèi)通信的端口。通信可能受協(xié)議、服務(wù)端口以及附近的的源設(shè)定接口的網(wǎng)絡(luò)邏輯地址的限制。防火墻可以配置在組中,允許不同等級的實例有不同的規(guī)則。
·實例隔離:運行在相同物理機器上的不同實例通過Xen 程序相互隔離。另外,AWS 防火墻位于管理層,在物理網(wǎng)絡(luò)接口和實例虛擬接口之間。所有的包必須經(jīng)過這個層,從而一個實例的附近的實例與網(wǎng)上的其他主機相比,沒有任何多余的接入方式,并可認(rèn)為他們在單獨的物理主機上。物理RAM也使用相同的機制進行隔離??蛻魧嵗荒艿玫皆即疟P設(shè)備,而是提供虛擬磁盤。AWS 所有的的圓盤虛擬化層自動復(fù)位用戶使用的每個存儲塊,以便用戶的數(shù)據(jù)不會無意的暴露給另一用戶。AWS 還建議用戶在虛擬圓盤之上使用一個加密的文件系統(tǒng),以進一步保護用戶數(shù)據(jù)。
(4)中國電信
作為擁有全球最大固話網(wǎng)絡(luò)和中文信息網(wǎng)絡(luò)的基礎(chǔ)電信運營商,中國電信一直高度關(guān)注云計算的發(fā)展。對于云安全,中國電信認(rèn)為,云計算應(yīng)用作為一項信息服務(wù)模式,其安全與ASP(應(yīng)用托管服務(wù))等傳統(tǒng)IT 信息服務(wù)并無本質(zhì)上的區(qū)別,只是由于云計算的應(yīng)用模式及底層架構(gòu)的特性,使得在具體安全技術(shù)及防護策略實現(xiàn)上會有所不同。為有效保障云計算應(yīng)用的安全,需在采取基本的IT 系統(tǒng)安全防護技術(shù)的基礎(chǔ)上,結(jié)合云計算應(yīng)用特點,進一步集成數(shù)據(jù)加密、VPN、身份認(rèn)證、安全存儲等綜合安全技術(shù)手段,構(gòu)建面向云計算應(yīng)用的縱深安全防御體系,并重點解決如下問題。
·云計算底層技術(shù)架構(gòu)安全:如虛擬化安全、分布式計算安全等。
·云計算基礎(chǔ)設(shè)施安全:保障云計算系統(tǒng)穩(wěn)定性及服務(wù)連續(xù)性。
·用戶信息安全:保護用戶信息的可用性、保密性和完整性。
·運營管理安全:加強運營管理,完善安全審計及溯源機制。
隨著云計算部署和實施規(guī)模的日益擴大,對“云”安全的研究及技術(shù)解決方案的探索將持續(xù)深入。微軟、谷歌、亞馬遜等IT 巨頭們以前所未有的速度和規(guī)模推動云計算的普及和發(fā)展,而云安全技術(shù)推出的時間不長,且網(wǎng)絡(luò)威脅是動態(tài)變化的,所以云安全技術(shù)永遠都處于不斷研發(fā)、完善和前進的過程中。各大公司積極地應(yīng)對云安全,為此,我們對云計算主流企業(yè)的云安全研究進展和解決方案進行分析和跟蹤,對我國云計算安全事業(yè)的發(fā)展有一定的現(xiàn)實意義。
來源:CIO時代網(wǎng)
版權(quán)及免責(zé)聲明:凡本網(wǎng)所屬版權(quán)作品,轉(zhuǎn)載時須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟信息網(wǎng)”,違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章,不代表本網(wǎng)觀點和立場。版權(quán)事宜請聯(lián)系:010-65363056。
延伸閱讀
版權(quán)所有:中國產(chǎn)業(yè)經(jīng)濟信息網(wǎng)京ICP備11041399號-2京公網(wǎng)安備11010502003583