雲安全問題分析與解決方法

作者：廣州康天信息科技有限公司　來(lái)源：本站　日期：2019-07-12 10:46:19　人(rén)氣：2045

作爲(wéi / wèi)一(yī / yì ／yí)項有望大(dà)幅降低成本的(de)新興技術，雲計算日益受到(dào)衆多企業的(de)追捧。然而(ér)，雲計算所帶來(lái)的(de)安全問題也(yě)應該引起業界足夠的(de)重視。

    從現有的(de)技術資料和(hé / huò)已經曝光的(de)安全事件來(lái)看，互聯網時(shí)代中傳統的(de)安全威脅在(zài)雲計算服務中同樣存在(zài)，而(ér)且伴随着雲計算特有的(de)巨大(dà)規模和(hé / huò)前所未有的(de)開放性與複雜性，還出(chū)現了(le／liǎo)一(yī / yì ／yí)些新的(de)雲安全挑戰。2012年6月，亞馬遜北維吉尼亞的(de)數據中心遭遇停電，由此導緻亞馬遜雲服務AWS中斷約6個(gè)小時(shí)，影響波及亞馬遜彈性計算EC2、亞馬遜關系數據庫服務以(yǐ)及亞馬遜彈性魔豆AWS Elastic Beanstalk，宕機事故帶來(lái)的(de)不(bù)僅僅是(shì)用戶數據的(de)丢失，更重要(yào / yāo)的(de)是(shì)造成了(le／liǎo)用戶信心的(de)流失。2012年8月，蘋果公司的(de)iCloud服務被黑客攻擊，因雲平台未備份用戶數據，黑客暴力破解了(le／liǎo)用戶密碼，導緻部分用戶資料被删除，由于(yú)用戶數據的(de)丢失，緻使用戶Gmail和(hé / huò)Twitter賬号也(yě)因此被盜。以(yǐ)及最近Dropbox服務器宕機長達一(yī / yì ／yí)個(gè)小時(shí)的(de)這(zhè)些安全事件進一(yī / yì ／yí)步加劇了(le／liǎo)用戶、尤其是(shì)重要(yào / yāo)企業客戶對雲安全風險的(de)擔憂。

雲計算中主要(yào / yāo)安全問題分析

一(yī / yì ／yí).數據安全問題

    數據安全問題包括存儲數據安全、剩餘數據安全、傳輸數據安全等三方面。

    存儲數據安全問題：用戶的(de)數據存在(zài)服務商的(de)設備上(shàng)，同時(shí)不(bù)同用戶的(de)數據共享存儲資源。分析表明，存儲數據面臨的(de)風險包括：服務商優先訪問，即來(lái)自雲服務商内部人(rén)員對用戶數據的(de)非授權訪問和(hé / huò)洩漏；其他(tā)惡意租戶或黑客的(de)非授權訪問導緻數據丢失和(hé / huò)洩漏；由于(yú)數據的(de)跨境流動，個(gè)人(rén)和(hé / huò)企業的(de)隐私等敏感信息易被洩漏；軟硬件故障、電力中斷、自然災害等造成的(de)數據丢失等。雖然分布式存儲使得數據丢失的(de)可能性大(dà)大(dà)降低，但黑客仍可通過分析數據分片規律達到(dào)重新複原被分割的(de)數據的(de)目的(de)。

    剩餘數據安全問題：用戶在(zài)使用完雲存儲服務後退租時(shí)，如果隻是(shì)對退租用戶磁盤中文件做簡單的(de)删除，而(ér)下一(yī / yì ／yí)次将磁盤空間（邏輯卷）重新分配給其他(tā)租戶時(shí)，就(jiù)可能會被惡意租戶使用數據恢複軟件讀出(chū)磁盤數據，而(ér)導緻先前租戶的(de)數據洩漏。

    傳輸數據安全問題：數據在(zài)傳輸過程中被竊取或篡改。服務商需要(yào / yāo)通過手段，防止傳輸數據被竊取或篡改，需要(yào / yāo)保證數據即使丢失也(yě)不(bù)易洩密。針對用戶未采用加密手段的(de)情況，服務商應有相應強度的(de)加密措施，保證用戶數據在(zài)網絡傳輸中的(de)機密性、完整性和(hé / huò)可用性。

二.信息内容安全問題

    公共雲服務背景下，信息的(de)發布和(hé / huò)傳播具有不(bù)同于(yú)以(yǐ)往的(de)特點，公共雲平台容易成爲(wéi / wèi)有害和(hé / huò)垃圾信息的(de)傳播渠道(dào)，給内容合規性監管帶來(lái)了(le／liǎo)三大(dà)難題：

    a.對超大(dà)規模數據流量的(de)審查很困難:雲計算時(shí)代最大(dà)的(de)特點就(jiù)是(shì)數據流量超大(dà)，現有設備處理能力無法達到(dào)要(yào / yāo)求，導緻在(zài)線内容審查很困難，目前的(de)技術和(hé / huò)管理手段有待改善

    b.傳統内容過濾手段失效:由于(yú)境外雲計算服務節點通常提供共享訪問的(de)SSL加密通道(dào)，除證書發行商名字、IP、端口外無法檢測任何内容，這(zhè)使得傳統的(de)内容過濾無從下手。對境外雲服務缺乏有效手段進行内容審查，形成了(le／liǎo)監管盲區，會對國(guó)家安全構成威脅。

    c.更難以(yǐ)對不(bù)良信息進行溯源:公共雲服務中，由于(yú)信息與其發布載體動态綁定（可以(yǐ)支持公網IP地(dì / de)址、域名與雲節點的(de)動态綁定），難以(yǐ)确定服務器的(de)物理位置，使得對有害内容的(de)定位和(hé / huò)溯源異常困難。

三.虛拟機安全問題

    虛拟機逃逸被認爲(wéi / wèi)是(shì)對虛拟機安全最嚴重的(de)威脅。虛拟機逃逸是(shì)指攻擊者突破虛拟機管理器Hypervisor，獲得宿主機操作系統管理權限，并控制宿主機上(shàng)運行的(de)其他(tā)虛拟機。産生此問題原因一(yī / yì ／yí)是(shì)Hypervisor本身存在(zài)漏洞，二是(shì)服務商很難辨别虛拟機申請者的(de)真實身份。由此，攻擊者既可以(yǐ)攻擊同一(yī / yì ／yí)宿主機上(shàng)的(de)其他(tā)虛拟機，也(yě)可控制所有虛拟機對外發起攻擊。

    同時(shí)，虛拟機之(zhī)間的(de)嗅探對傳統安全設備提出(chū)了(le／liǎo)新挑戰。由于(yú)同一(yī / yì ／yí)物理服務器上(shàng)的(de)虛拟機之(zhī)間可以(yǐ)不(bù)需要(yào / yāo)經過防火牆與交換機設備相互訪問，使得攻擊者可以(yǐ)利用簡單的(de)數據包探測器，很輕松地(dì / de)讀取虛拟機網絡上(shàng)所有的(de)明文傳輸信息。目前，傳統安全設備尚未提供基于(yú)虛拟機的(de)安全防護手段。

解決雲安全問題的(de)方法

一(yī / yì ／yí).針對數據安全問題

    a.數據的(de)保密性、可用性和(hé / huò)完整性保護：對存儲數據和(hé / huò)傳輸數據進行加密，對存儲數據一(yī / yì ／yí)般采用效能較高的(de)對稱加密算法，如高級加密标準（AES）、3DES等國(guó)際通用算法，或我國(guó)國(guó)有加密算法SCB2等；對傳輸數據加密的(de)主要(yào / yāo)技術措施包括IPSec、SSL等VPN技術。

    b.剩餘數據安全問題：在(zài)進行存儲資源回收時(shí)，需要(yào / yāo)使用軟件技術對邏輯卷的(de)每一(yī / yì ／yí)個(gè)物理比特位進行清“零”覆寫，保證磁盤空間重新分配給其他(tā)租戶時(shí)不(bù)能通過軟件方式恢複其原有數據。

    c.增加針對數據安全級别的(de)保護策略：通過在(zài)風險評估方法中增加雲安全特有的(de)弱點和(hé / huò)威脅，加強對雲計算平台和(hé / huò)産品的(de)雲安全評估。在(zài)具體安全策略制定方面以(yǐ)信息标識和(hé / huò)處置的(de)控制要(yào / yāo)求爲(wéi / wèi)起點，從數據安全性方面制定保護策略和(hé / huò)實現手段。

    d.數據管轄與銷毀：所有人(rén)員必須通過諸如堡壘機等設備進入生産集群，口令包含動态令牌和(hé / huò)複雜口令。堡壘機對所有賬号的(de)權限進行實時(shí)操作審計和(hé / huò)實時(shí)報警。

二.針對信息内容安全問題

    a.拿起法律武器：從法律法規層面，來(lái)界定雲計算服務商的(de)責任與義務、明确保護用戶數據與隐私的(de)重要(yào / yāo)性、劃清各有關部門的(de)監管職責等。針對數據跨境流動問題，規定重要(yào / yāo)數據不(bù)得在(zài)境外存儲和(hé / huò)處理。

    b.強化技術手段：加強加解密技術研究，可利用雲資源本身實現合法破解密文。加強跟蹤研究溯源技術最新進展，争取掌握相關技術。

    c.加強國(guó)際合作與交流：與各個(gè)國(guó)家加強合作，共同打擊不(bù)良信息傳播等非法活動。同時(shí)，積極學習借鑒國(guó)外先進技術與管理手段。

三.針對虛拟機安全問題

    a.虛拟機及其鏡像的(de)安全加固：建立安全加固流程，提供主機入侵檢測和(hé / huò)補丁自動更新服務等手段來(lái)保證虛拟機的(de)安全。虛拟機鏡像生産流程上(shàng)加入安全審核環節，可對虛拟機鏡像提供加密。

    b.虛拟機隔離：采用雲安全組實現不(bù)同用戶間的(de)虛拟機隔離，采用IP信息包過濾系統（iptables）實現虛拟機和(hé / huò)物理機間的(de)隔離。

    c.虛拟機管理和(hé / huò)銷毀：采用虛拟化在(zài)線管理系統對虛拟機進行管理，對物理服務器及Hypervisor的(de)運維操作，遵循運維相關流程并采用實時(shí)審計技術予以(yǐ)監控。針對虛拟機的(de)銷毀及遷移後，及時(shí)消除原有物理服務器上(shàng)磁盤和(hé / huò)内存數據，使得虛拟機無法恢複。