云计算安全问题剖析（精选11篇）
云计算安全问题剖析 篇1
1 引言
云计算是一种基于信息网络, 将信息技术资源以服务方式动态、弹性提供,用户可按需使用的计算模式和服务模式。云计算简化了服务交付、降低了资金和运营成本、提高了效率,具有诸多的优势和好处,但是也面临着安全、互操作性和可迁移性等问题和挑战,安全已经成为阻碍云计算应用的主要因素之一。各国对云计算安全问题高度重视,美国、欧盟等纷纷提出云计算安全保障要求, 全球主要云计算服务商制定了云平台安全策略。
近年来,我国政府、产业界等对云计算应用日益关注,确保云计算安全越来越重要。本文分析了云计算安全问题、云服务提供商的安全策略和机制、美国确保政府采用云计算安全的做法,提出了确保我国云计算安全的建议。
2 云计算的安全问题
云计算安全问题主要指云计算应用安全,对此国内外有相当多的研究,包括云安全联盟(CSA)、欧盟网络与信息安全局 (EINSA)、美国国家标准技术研究院(NIST) 等。从相关研究看,云计算安全问题主要是用户数据安全、云计算服务的可用性、法律法规的遵从性风险等。
2.1 CSA 关于云计算的“七宗罪”
2009年,云安全联盟 (CSA)和惠普基于对29家企业、技术供应商和咨询公司的调查,列出了云计算的七宗罪。一是数据丢失或泄露,云计算中应用程序接口访问权限控制以及及密钥生成、存储和管理方面的不足都可能造成数据泄露。二是共享技术漏洞,云计算环境中的很多虚拟服务器共享着相同的配置,简单的错误配置都可能造成严重影响。三是恶意内部人员,云计算服务提供商对工作人员的背景调查不够,可能导致可内部人员私自窃取用户数据等行为。四是账户、服务和通信劫持,云计算的身份验证机制如果很薄弱,入侵者就可以轻松获取用户账号并登录客户的虚拟机。五是不安全的应用程序接口,接口质量和安全没有得到保障以及第三方插件的安全。六是云计算的不良应用,黑客可能迅速部署新的攻击技术。七是未知的风险,包括未知的安全漏洞、软件版本、透明度等。
2.2 ENISA 关于云计算最重要的八个风险
2009年ENISA发布了《云计算 :好处、风险及信息安全建议》, 从企业角度出发指明了云计算可能带来的好处,并提出安全仍是云计算应用面临的首要问题。云计算最重要的安全风险包括:一是企业丧失对部分安全管理的控制权; 二是企业必须锁定一个云服务提供商, 很难将数据、应用等从一个提供商迁移到另一个或企业内部IT环境中;三是多租户共享云计算资源情况下,若缺乏有效的隔离机制将可能导致不同租户的存储、路由甚至声誉混淆;四是若云服务提供商不能提供证据证明其符合监管要求或者其不允许用户进行安全审计,则法律法规和监管遵从将是一个问题;五是企业很难知道云服务提供商如何处理数据;六是云服务提供商可能不安全或不完全删除用户的数据;七是云服务提供商内部的恶意行为可带来较高的安全风险;八是用户通过互联网获取服务带来了安全风险,尤其是是与远程访问和浏览器漏洞结合。
2.3 NIST 关于公共云计算关键性的安全问题
2011年1月,NIST发布了《公共云计算安全与隐私指南(草案)》,指出安全是公共云计算面临的最大障碍, 公共云计算给安全带来了积极方面,包括安全人员专业化、云计算平台强度使安全管理更易实现、资源可用性有利于抵御攻击和实现快速恢复等,但也带来一些潜在风险,一是云计算环境复杂,这产生了比较大的受攻击面;二是多租户共享计算资源,增加了网络和计算基础设施的风险,一个用户的数据和应用可能在无意中暴露给其他用户;三是公共云计算通过互联网交付,用户的应用和数据面临来自网络和暴露接口的威胁;四是用户失去了对系统和数据在物理和逻辑上的控制,这减小了用户对维持在安全和隐私保护中的处境意识、权衡选择、轻重缓急和作用变化等。NIST指出,公共云计算面临的关键性的安全与隐私问题主要有管理、法律法规的遵从、信任、云计算体系结构、身份与访问控制、软件隔离、数据保护、可用性、事件响应等。
3 主要云服务提供商的安全机制
亚马逊、IBM、微软等云服务提供商,为提高云计算服务的安全性和可靠性,提供了一套安全策略和机制。
3.1 亚马逊 EC2 的安全机制
亚马逊是云计算的最早推行者,2006年8月发布了弹性计算云受限版本。EC2使用户可以在任何时候根据需要简便地创建、启动和供应虚拟实例,用户无需建立自己的云计算平台。EC2提供了一系列的安全机制。
一是安全组。在EC2环境中启动的所有虚拟实例都在一个安全组中运行。每个安全组定义自己的防火墙规则,为在组中运行的实例指定访问限制。可以根据IP地址或无类域间路由 (CIDR) 规则授予或限制访问权,CIDR规则允许指定端口范围和传输协议。还可以控制对指定的安全组的访问, 从而自动地允许或拒绝这些安全组中运行的所有实例访问客户的实例。
二是安全密钥对。安全密钥对是在启动实例时指定的公共 / 私有SSH密钥对。必须提供安全密钥对,才能登录启动的实例控制台。EC2把密钥对的公共部分添加到启动的实例中, 然后客户可以使用私有密钥通过SSH登录实例。
3.2 IBM 的云计算安全框架
2007年11月IBM推出了“蓝云 ”计算计划。“ 蓝云”建立在IBM的大规模计算技术的基础上,结合了IBM自身的软、硬件系统以及服务技术 ,支持开放标准与开放源代码软件。IBM认为保障云计算的安全性迫在眉睫,在云计算环境下,客户有一些新的安全需求需要满足。
一是用户与身份。客户需要确保授权用户可以访问所需数据和工具,并可在需要时阻止未授权的访问。二是数据与信息。大部分客户将数据保护作为他们最重要 的安全因素考虑,主要包括数据如何存放及访问,法规遵从及审计要求,数据丢失对企业业务影响等问题。三是应用与流程。客户通常会考虑云应用的安全需求即镜 像安全。过去传统的应用安全需求同样适用于云中的应用,但他们延伸到承载这些应用的镜像。云提供商需要遵循及支持安全的开发过程。四是网络,服务器及终端。在共享的云环境中,客户需要确定每个独立的域之间是相互隔离,且数据和交易不会从一个域漏到另一个。客户需要能够配置可信任的虚拟域或基于策略的安全域。五是物理基础架构。 云的基础架构,包括服务器、路由、存储设备、电力设备及其它支持运维的组件需要从物理层面上得到安全保管。
3.3 微软 Windows Azure 云计算平台的安全措施
2008年10月,继亚马逊、IBM和Google之后,微软推出了名为Windows Azure的云计算计划。Windows Azure的主要目标是为开发者提供一个平台, 帮助开发可运行在云服务器、数据中心、Web和PC上的应用程序。微软注重从技术层面提高安全性,相应措施包括:强化了底层安全技术性能,对云计算平台操作系统内核进行了改进,采用了全新的安全模式,使资源既有连续性又有相对独立性;推出了全新的安全机制Sydney,把用户的云资源与网络虚拟化分隔开来,提供企业内部数据中心设备和云中设备之间的安全连接, 同时Sydney安全机制能够聚合任意两个终端,以创建高效安全的虚拟网络覆盖结构。在硬件层面提升访问权限安全,采用比用户名、密码更为可靠身份认证机制,例如在针对美国联邦政府发布的云计算产品中,微软采用了后台指纹验证和其他生物特征识别技术。此外微软还建立基于风险的信息安全管理控制框架,通过全面的信息安全方案和采取成熟的方法、经常性的内外部评估,以及跨越所有服务层的强大的安全控制来确保客户的数据和业务;引入第三方安全服务提供商,通过获取第三方认证、信息披露等措施增强客户的信任。
4 美国确保云计算应用安全的实践
为了缩减其IT成本、提高IT资产的利用效率,美国制定了“云计算优先”政策,旨在通过共享资源等重组联邦政府的IT架构。在为政府部门提供一个安全、可信的云计算运行环境方面。
4.1 出台联邦政府云计算战略
2011年2月,美国发布了《联邦云计算战略》。战略明确了云计算的定义、五个特点和部署模式,清楚阐述了云计算带来的好处和利益,提出了政府在云计算迁移中应当考虑的战略性问题, 明确政府在加速云计算采用、降低云计算风险中的职责和角色等。2012年2月联邦首席信息官理事会和首席采购官员理事会发布了《在云计算环境下采购IT指南》,列出了政府在采购云计算中需关注的多个关键领域:选择适合的云服务和部署模式;将云服务提供商和终端用户的协议纳入政府采购协议和条款中;明确界定云计算服务提供商、集成商、政府机构等各方的责任;采用NIST的“云计算参考架构”;明确对云计算服务商的安全要求等。
4.2 制定标准明确云计算安全控制要求
为了分析政府部门采用云计算所面临的安全风险, 美国政府委托NIST等机构开展了技术和标准化支撑工作。NIST发布了一系列的云计算标准,包括云计算的定义、云计算概要和建议、云计算标准路线图、云计算参考架构、云计算技术路线图等。2011年11月,NIST发布了《联邦政府部门应用云计算的安全要求(草案)》,概括了联邦政府应用云计算面临的安全和隐私挑战,提出了目前联邦政府已经采取的减轻安全风险的措施,并提出了相关建议。报告列出了政府在采用云计算时重点关注的过程管理安全要求和技术性安全要求, 前者涉及NIST SP800-53对基于云的信息系统的安全控制、云审计确保和日志敏感性管理、云认证指南、云隐私指南等,后者涉及对用户的可视性、用户可控、数据保护、账户被入侵风险、身份与访问控制管理和授权、事件响应等。
4.3 实施“联邦风险和授权管理项目”
2011年11月美国建立了“联邦风险和授权管理项目”来管理联邦政府部门采用云计算的安全,项目主要目的是:确保基于云计算的信息系统具有足够的安全保障措施;消除政府部门之间重复工作、降低风险管理成本;方便政府部门实现快速云计算服务采购。项目程序是云服务提供商实施“联邦风险和授权管理项目”安全控制要求, 由第三方评估机构对其进行独立的评估,通过评估联邦机构可以给予云服务提供商授权,对于授权的云服务提供商会进行定期的监视和评估,以确定其已部署的安全控制机制是否持续有效。
5 提高我国云计算应用安全的建议
5.1 出台云计算应用指导政策
我国在云计算技术创新、产业发展、基础设施建设方面已经出台了一些政策,但是与美国、欧盟等相比,在云计算应用指导方面还缺乏相应政策。为促进云计算在政府部门等领域应用, 应当出台政策对用户选择云服务提供商、与云服务提供商制定协议、对云服务提供商的安全控制措施、对云服务提供商的安全资质、法律法规遵从等予以指导,确保云服务的安全性。【下转第13页】
5.2 加快建立云计算安全标准体系
当前国际上正在积极推进云计算的标准化进程,包括云计算互相操作和集成标准、云计算的服务接口标准和应用程序开发标准、云计算不同层面之间的接口标准、 云计算架构治理标准、云计算安全和隐私标准等都在积极研发中。我国应加快云计算技术以及服务的运营管理 标准制定工作,更要注重建立云计算安全标准体系。建议参考美国做法,研究制定云计算安全标准体系框架,并着重研发政府部门云计算安全的标准规范, 制定云服务提供商向政府提供服务应该满足的基本技术和安全要求, 确保政府数据和业务在公有云计算环境下安全。
5.3 加强对云服务提供商的安全管理
参考美国联邦风险和授权管理项目的做法,研究在我国开展云计算安全评估和授权的可行性,尝试建立云计算服务商评估和授权制度,加快制定云计算服务的评估和认证等方面的管理规定,明确云服务提供商应当采取的安全控制措施的最低标准,包括建立完善的密钥管理、权限管理、云安全认证监测服务等多维安全机制,完善安全防护体系、制定云数据备份和云恢复计划等,对云计算服务提供商的安全保障能力进行评估。
云计算安全问题剖析 篇2
1关于云计算的相关内容
云计算的一种继分布式计算、网格计算、对等计算之后的一种基于互联网的新型计算模式云计算对于计算机发展的影响是巨大的，这种新型的技术，涉及到了服务器、网络、存储、安全等从底层基础架构到上层应用的各个层面，是企业或个人用户通过与云计算的服务进行合同的签订，使用云服务的供应商提供的硬件或者软件的资源按照合同的内容以最小的投资最终来完成计算任务的过程按照服务的类型，云计算大体上可以分为基础设施即服务、平台及服务以及软件即服务这三大类
关于云计算应用安全问题的探讨 篇3
【关键词】云计算；云安全；网络安全技术
【中图分类号】TP393【文献标识码】A【文章编号】1672-5158（2013）02-0032-01
1.云计算应用存在的安全风险
云计算应用为广大用户提供了极大方便，但是由于其将大量的用户、信息资源集中化，一旦出现安全事件，其后果和风险不堪设想。09年，谷歌、微软、亚马逊等公司的云安全系统都出现了不同程度的故障，对客户的信息服务产生了重大影响，也使得业界人士更加重视云计算应用的安全问题。
1.1 云主机服务安全问题
（1）云计算用户实名认证机制尚未建立。在用户注册时，系统要求用户必须填写真实姓名、有效证件号码和联系方式等，但这些信息的真实性值得商榷。如果个别不法分子用伪造的身份证，成功获得云主机资源的使用权后，肆意发布不良信息，或者从事黑客活动，很难追根溯源，落实当事人身份成为一大难题。
（2）云计算资源分配缺乏有效控制。用户只要向账户中充值，或者满足一定条件成为VIP用户，即可申请使用云主机功能，用户藉此可运作任何互联网业务。虽然安全备案选项中规定用户想要开办网站必须提供备案号，但实际中，系统一般不会对用户的主机实行端口限制，也即允许用户可使用云主机开展任何网络业务。
（3）云计算主机存在安全漏洞，面临黑客攻击风险。一般的云主机都提供了木马扫描和杀毒服务。但是，是否安装只取决于用户，而且此类防护级别较低，只针对Windows终端，云主机面临攻击的风险较大。
1.2 PaaS服务安全问题
开发者通过PaaS平台提供的受限托管环境，能够进行应用开发，并使用诸如内存缓存、下载存储、任务队列一类的服务。其潜在的安全问题包括以下几方面：
（1）信息发布服务的审核环节较为宽松，缺乏备案。PaaS服务具有信息发布和托管功能，并且有良好接口，可以方便的与微博、微信等第三方应用平台配合使用，借助API方式供他人使用。不过现阶段的大部分PaaS应用都没有独立备案。
（2）平台漏洞可能导致越权访问。PaaS平台的应用开发环境有限制，但其编程环境的技术漏洞被利用后，用户便可以访问底层资源，盗用其他用户信息。公共服务层的漏洞会导致非法访问剧增，并造成网络资源浪费。
1.3 云存储安全问题
微盘默认给用户1GB的存储空间，部分微盘为方便用户同步文件，还提供桌面或网页客户端，微盘发布信息的自由度较大，这是最主要的安全问题。当前，微盘用户身份无需验证。分享发布信息愈发方便快捷，这使得微盘信息的覆盖面广、传播速度快，这为恶意程序、不良信息的散布提供了温床。
1.4 SaaS服务安全问题
SaaS服务是面向企业单位，主要有以下两个问题：
（1）数据丢包和服务宕机。企业启用SaaS服务后，会将关键数据和日常事务信息同平台关联，服务可靠性、数据保密性是关键点。
（2）商业机密遭窃风险。SaaS的应用环境较为宽松，公共服务平台、应用软件本身、底层设施对SaaS用户均是完全透明，SaaS平台企业的品牌度、信赖度需要接受第三方部门的监管。
2.应对策略和建议
根据服务对象和服务范围的不同，云计算分为私有云、公共云和混合云三种。私有云安全实现较容易，传统IT保护措施可直接应用到私有云上。后二者安全性要求较为复杂，需要云计算运营商和客户配合实施。
2.1 云计算服务提供商
数据安全性、计算环境隔离、服务质量保证都是运营商要重点考虑的内容。结合现阶段云计算应用面临的各种安全问题，建议采取以下应对策略：
（1）提高云计算系统的稳定性、连续性，建立完善的系统安全防御机制。
A.严格限制恶意程序、病毒木马在云计算平台中的传播，一经发现，及时查杀；
B.建立实时监控系统，对云计算系统的数据包进行筛选，同时关注系统运行状态，及时修复网络故障，并有相应的应急预案；
C.部署防火墙或与大型软件公司合作，防范黑客攻击造成的服务器瘫痪；
D.完善云计算平台的容错能力，重要系统、数据要进行异地备份；
（2）加强对用户信息的保护。
A.对用户信息进行隔离保护，确保用户信息能够安全存储，并建立明确的用户边界逻辑关系；
B.在用户传输数据时，藉由数据加密、VPN等技术保证传输的单向性和安全性；
C.完善数据加密和密钥管理机制，定期进行用户信息的管理维护；
D.在发生突发状况时，要能够在最短时间内为用户恢复数据。
（3）身份认证控制
要有严格的身份管理制度、安全认证机制和分明的访问权限设置，并保存用户访问记录，方便日后查询。
（4）云计算数据中心的安全审查机制亟待完善，要成立专门的班组成员进行日志审查管理，及时了解云计算服务器的操作、维护、检修情况，一旦出现违规现象，要及时纠察。
2.2 云计算用户
广大用户首先要对云计算有一个清晰的认识，明确云计算服务与自身业务的结合点，节本增效、事半功倍；同时也要采取必要的手段，尽量降低云计算服务迁移可能带来的安全风险。
（1）私有云业务
私有云应用范围较小，一般在企业内部，安全风险较低，常见的问题有软件许可等级、应用稳定性、SLA等。用户需要采取成熟的技术实现手段，做好运行管理工作，具体的方法可以参照上文。另外，系统容错、数据还原机制也要逐步完善，提高企业应对各类突发事件的能力。
（2）公共云业务
A.选择信誉好的云服务运行商，降低连带业务风险；
B.有选择性的进行业务迁移。对于核心知识产权、关键技术一类的敏感信息，在做好万全的测试验证前，最好不要盲目迁移；
C.对协议内容有一个清晰的把握，诸如SLA协议、隐私协议等敏感之处，要倍加小心，企业应要求服务商及时更新数据系统，实现与自身业务的良好匹配；
D.了解服务商的数据存储地点，在必要时，要抓住数据存放点的主动权，避免因不同地区、国家的法律差异而引起的业务纠纷。
再者，云计算服务的涉及范围多是一些敏感重要的信息，政府和监管部门要制定相关的法律法规，保证云计算应用服务的安全性和法律适用性。
结束语
安全是云计算实现长久发展的基石。只有为用户提供可靠稳定、方便快捷、性价比高的云计算服务，企业才能获得可持续发展。相信随着云计算市场的完善，以及政府部门针对这一块的法律条文的健全，云计算服务将会焕发出勃勃生机！
参考文献
[1] 《虚拟化与云计算》小组.虚拟化与云计算[M].北京：电子工业出版社，2009.
云计算安全问题研究 篇4
1 云计算概述
云计算是信息技术产业发展到一定阶段的产物, 其概念是由Google在2006年提出的一种网络应用模式, 云计算服务可以是IT互联网相关的的服务, 也可是其他的服务, 云计算服务具有超大规模、虚拟化、可靠安全等独特功效。在2009年, Google、IBM、Amazon和Microsoft等世界IT巨头都建立了自己云计算服务平台, 向全世界提供云计算服务, 我国清华大学在2008年3月也参与了Google和IBM联合推广的“云计算”计划。
云计算是一种商业实现, 其基础是资源的“整合”。云计算具有并行处理、分布式处理、网格计算、网络存储等特性, 云计算将所有的信息资源都整合到云存储中心, 终端用户只需要连接互联网便可以享受到云存储中心的资源。通俗的说, 云计算是服务的商业实现, 用户向提供云计算服务的运营商支付费用即可享受该云计算服务, 运营商提供存储数据的服务器集群, 负责数据存储的安全。
1.1 云计算特点
云计算为终端用户提供高效、安全、可靠、快速的数据存储服务, 使得用户从以桌面为中心的应用转移到以Web为中心的应用, 其主要特点如下:
1.可靠性:云计算提供可靠的数据存储服务, 其保存的数据可以实现同步传递, 并且所有终端设备都可以通过Internet使用云服务, 这样就保证了数据的存储可靠性, 避免应其他问题导致的本地数据丢失的问题。
2.强大的运算能力:用户使用终端设备通过Internet在云端可以进行复杂的计算, 完成普通终端设备无法计算的各种业务需求。
3.方便快捷的服务:终端用户只需要一台能连接Internet的设备, 使用浏览器便可方便快捷的使用云计算服务。
4.扩展性强:针对用户来说, 云端是一个可以无限存储的超大空间, 用户的各种资源都可以随时存储到服务中来, 而且云计算的各个节点也可以进行互换, 因此保障了其高扩展性能。
1.2 云服务类型
对于数字资源信息平台的云使用和云服务的云分为三种:私有云、公共云、混合云。这三种云为数字资源信息平台提供统一的接口和服务。
1.私有云模式:私有云是指单个用户使用的云, 根据用户的需要提供相应的设施和服务, 包括服务器、存储器等。用户可以操作使用那些设备和服务, 控制云端程序的运行。其特性是安全性、可用性、扩展性都能灵活控制, 缺点是成本高、投入大。
2.公共云模式:由第三种运营商提供的云服务, 各种不同类别的终端用户在该云服务中存储数据, 这些用户互不相干, 不知道运行在其作业的服务器上还有哪些其他用户也在运行。该模式目前最大的问题是数据不存储在自己的数据中心, 其安全性存在一定的风险。
3.混合云模式:该模式是私有云模式和公共云模式的一个延生, 终端用户拥有部分私人资源, 也拥有部分公共共享资源。
2 云计算服务安全
2.1 云计算平台架构
云计算服务平台一般分为五层:基础设施层、平台服务层、云端服务层、应用服务层、用户接口层。该架构如图1所示。
基础设施层:平台的底层, 提供IaaS, 为上层提供设施、计算、通讯等资源。该层分为又分为两个子层, 虚拟化子层和物理硬件层。顾名思义, 物理硬件层是由服务器、存储器等真实存在的设备构成的层, 虚拟化子层使用虚拟化资源对物理硬件层设备进行管理的层, 由各类虚拟机组成, 例如VMware。
平台服务层:提供PaaS, 即为云计算平台提供的一个供开发人员的开发环境和公共API等。公共API可以以多种样式提供给开发人员, 本系设计为以Web Service的方式提供给开发人员, 从而可以免去开发人员的基础开发工作。
云端服务层:根据业务逻辑形成的实际的程序处理流程, 而且业务逻辑的变化可以根据业务的变化的改变而改变, 以统一的Open API接口方式提供给用户, 确保了该层的稳定性、易维护性。
应用服务层:提供SaaS, 给终端用户提供应用服务的层。其中, 云计算是通过SOA原则建立的一个以数据中心为基础设施的架构, 与用户进行交互。
用户接口层:提供客户端访问云端的接口, 该接口有传统的图形接口和基于Web的接口。
2.2 信息安全管理体系架构
信息安全有一套完善的安全管理体系, 该体系分为三层:安全管理、安全运行、安全实现。主要包括身份管理、访问控制、内容安全、监控神级、备份恢复等。
2.3 云计算带来的安全问题
云计算给用户带来方便的同时, 也给信息安全带来了众多问题, 主要包括以下几点:
1.数据恢复难度大, 在提供云计算的服务中, 用户不知道自己的数据存放的位置, 当云计算提供商发生服务器灾难时, 用户数据将无法进行恢复, 除非数据经过备份。而且, 当用户在使用云服务进行数据运算时, 遇到断电等不可抗拒因素时, 用户的数据将完全丢失。
2.数据安全程度低, 用户将自己的私有数据保存在云端, 如何保证用户的私有数据部外泄成为一大难题。而且, 在云计算体系下, 所有用户的私有数据全部处于共享环境中, 虽然目前云计算服务提供商对数据进行了加密, 但是单凭加密是远远达不到数据安全的要求, 而且倘若加密体系出现问题, 那么所有的数据将不可恢复。
3.数据传输安全低, 在使用公共云服务时, 如果对传输的数据部进行加密处理, 数据将有可能丢失, 这是最大的威胁。在传输的过程中, 传输协议也至关重要, 非法的或者不合格的传输协议也有可能导致数据的不完整性。
4.数据隔离, 对于Paas和Saas应用来说, 存放的数据是不能够被加密的。这样没有被经过加密的数据很有可能被云计算服务提供商和“邻租”用户进行盗用, 例如当考试题目和答案同时存放在同一云端时, 如果题目和答案隔离的不够清晰, 将会导致考试混乱。
5.数据残留, 用户删除自己保存在云端的数据时, 其残留的数据可能会泄露用户的敏感数据, 如何保证在前一用户使用的空间完全释放的情况下再分配给其他云用户, 是保证残留数据不会影响用户隐私的一大关键。
2.4 安全策略
在基于云计算的应用中, 信息安全问题是一个重要的问题。一旦云计算服务提供商将数据丢失或者数据泄露, 都将造成前所未有的损失和灾难, 因此提高云平台的信息安全问题是不可忽视的问题。如何建立安全策略呢?本文将给出以下解决方案:
1.对数据进行加密。普通用户使用云计算服务时, 采用加密技术对私有数据进行加密处理或者在数据传输前对数据进行加密, 然后将加密后的文件传输到云端。加密文件可以保证数据的安全性, 及时数据被其他用户盗用, 也不用担心数据泄露的问题。目前TrueCrypt程序能提供强大的加密处理。
2.选择信誉好的云服务提供商。目前云服务提供商众多, 让用户感觉眼花缭乱, 而且对于在网上处理的文件活动很难进行保护。本文认为使用云计算服务时, 首选选择信誉好、名气大的云服务提供商, 例如Google、IBM等国际知名企业, 这些大品牌不会使用本身的名誉来冒险。
3.首选付费的云服务。在用户无法选择哪些云服务具有较高的安全性时, 可以首选付费云服务, 付费云服务较免费云服务有着更好的安全。
4.使用过滤器。过滤器的目的是监视用户的哪些数据离开了用户的网络, 对于敏感的数据可以进行阻止离开, 可以有效防止数据外泄。目前Vontu.Websense等公司都提供了一套完善的过滤器系统。
5.使用安全性高的传输协议。对数据传输协议, 首选SSL、PPTP和VPN等不同的方式进行数据传输。
3 结束语
云计算是一个新兴的领域, 其安全问题也成为当前社会关注的焦点问题, 本文通过上述安全问题的分析和相应安全策略的研究, 可以有效降低使用云计算服务时的安全威胁问题。不过随着云计算技术的不断发展, 更多的安全问题将会出现, 这就需要云计算服务提供商不断改进措施和策略, 保证云中数据的安全, 为用户提供更高价值的服务。
参考文献
[1]王鹏, 黄华峰, 曹珂.云计算:中国未来的IT战略[M].北京:人民邮电出版社, 2010:1-2.
[2]Edwards John.Cutting through the Fog of Cloud Security[J].Computer world, 2009:43 (8) :36-39.
[3]朱源, 闻剑峰.云计算安全浅析[J].电信科学, 2010, 6:52-54.
云计算安全问题剖析 篇5
关键词：云计算 网络环境 信息安全
中图分类号：TP393文献标识码：A文章编号：1674-098X（2014）11（c）-0032-01
信息社会出现了许多信息系统上的漏洞，这些漏洞如果没有得到及时修复，就会威胁到国家的安全，而国家信息系统安全性缺失，就会导致社会发展遭到毁灭性打击，甚至引起政治动荡、国防危机等问题。在信息化社会中，信息安全不仅是一种技术问题，而是每个国家都需要解决的安全问题，对国家平稳发展有着非常重要的影响。
1 云计算概述
1.1 云计算原理
云计算（Cloud Computing）是近几年研发出的新型计算方式，是基于分布式处理、并行处理、网格计算技术上发展出的新型计算模型，是一种共享基础的新型架构方式，通过超大规模分布式环境，实现数据存储与网络服务功能。云计算的根本就是“计算即服务”，在互联网上获得服务资源。云计算中包括数量极大的计算机，但是对于使用者来说，只需要应用统一服务界面就可以完成操作，用户通过互联网可以直接使用功能强大的云计算机。云计算的原理就是将数据处理任务通过网络进行处理，根据企业级数据处理中心处理用户的数据，之后通过统一的数据中心向多个用户提供数据服务，为个人用户节约资源。云计算通过计算分布模式，在大型分布计算机上存储或发送数据，而不是仅仅局限在远程服务器与本地计算机上，企业级的数据处理中心，可以更加流畅的调动数据资源，用户根据个人需求调动计算机存储系统。
1.2 云计算优缺点
（1）云计算优点。云计算的部署与配置十分方便，可以直接通过Internet为用户访问提供服务；可扩展性极强，云计算可以无缝扩展到大规模集群上，甚至可以共同处理几千个节点；可用性极高，云计算可以忽略部分错误节点，甚至大多数节点失效也不会造成程序崩溃；可以实现资源共享，告别了传统的互联网技术只能实现软资源共享，通过云计算，完全可以实现软资源与计算机硬资源的共享；减小投入费用，全部的管理与维护皆由云计算供应商提供。
（2）云计算缺点。云计算的安全性问题时有发生，服务质量存在问题，其中包括性能、可用性等。与传统业务无法快速平稳过渡，容易发生垄断问题。
2 云计算信息安全防护措施
2.1 正视云计算的发展潜力
近几年云计算技术不断成熟，而云计算网络环境下的信息安全防护问题，已经成为信息防护技术的主要发展方向之一，所以互联网监督部门必须了解云计算的发展潜力，正确认识云计算信息防护的重要性，积极促进云计算环境下的信息防护能力发展。面对信息化发展的大环境，为了提高云计算网络环境下的信息防护水平，有关部门必须了解云计算技术中存在的问题与需要优化的部分，针对问题制定解决措施，这样才能有效的加强信息安全保护水平，实现云计算网络环境下的信息安全防护。
2.2 建立运营商信息保障平台
我国互联网行业竞争十分激烈，运营商之间的竞争使市场环境更加复杂，运营商几乎都有独特的云计算平台，这种情况使信息保障无法形成统一的平台，也无法加强运营商之间的沟通与交流。分散的信息保障平台，根本无法完全发挥出互联网信息平台的全部效用，这也使得云端信息价值下降，最终造成云计算网络环境资源严重浪费。计算机技术使信息传输与储存更加快捷，而在互联网环境下的信息存储总量要超过历史各个时代信息的总和，这种情况说明了运营商如果继续采取各自为战的方式，那么将无法完成互联网大环境下的信息保障工作，而且也会影响运营商的日常运营状态。为了有效提高云计算网络环境的信息安全水平，各大运营商应当破开隔阂，共同建立统一的云计算信息管理平台，实现不同运营商的信息高度整合，最大程度的发挥云计算信息保障优势。通过高度整合的信息管理平台，可以有效的提高云计算技术发展，使云计算在网络环境下拥有更多信息保障技术的支持。
2.3 信息内容加密处理
为了提高信息安全等级，应当对云计算网络环境下的内容加密处理，在信息完成加密后，如果用户想要获取正确的信息，必须输入对应的密码才能获得信息资料。使用加密技术处理云计算网络环境下的数据内容，可以有效提升信息安全等级，即使文件被非合法用户发送到网络上，其内容也无法直接调出，可以使信息安全维持在可控范围内。一旦文件被破解或者脱离掌控，控制者可以采取PGP对信息进行保护，以这种方式，可以使信息在传输过程加密，使信息安全性得到有效加强。在云计算网络环境下，信息在传输阶段，控制者就可以对数据进行加密处理，通过加密后，可以使信息内容在传输过程中更加安全。为了解决云计算网络环境中存在的非法入侵者，需要处理API密匙，控制者在文件传输过程设置多个API密匙，可以有效降低黑客入侵几率，保证信息内容不会被盗取。
2.4 备份云计算信息内容
在云计算网络环境下，通过数据备份提高信息安全性，是非常重要的信息保护方法，可以为控制者提供多级别的信息防护。不同级别的数据防护在多个服务及上皆有数据备份，数据中心可以根据不同级别的安全要求调整服务级别，用户根据使用需求决定信息备份等级。
3 结语
信息化时代已经到来，为了在新的竞争中取得优势，我国必须加强云计算的研究与建设，通过云计算产业链的控制，提高云计算安全监控水平，积极参与国际合作，确保我国不会在云计算竞争中落后。
参考文献
[1]蹇旭，李雯雯.云计算中的网络安全问题及对策研究[J].电脑知识与技术，2013（14）：323-326.
[2]冯登国，张敏，张妍，等.云计算安全研究[J].软件学报，2011（22）：45-48.
[3]倪志宏.基于云计算的网络安全及管理应用研究[J].电脑知识与技术，2013 （13）：301-302.
计算机网络安全问题剖析 篇6
1. 计算机网络安全的定义
计算机网络安全是指利用网络管理控制和技术措施，保证在一个网络环境里，数据的保密性、完整性与可使用性受到保护。计算机网络安全包括两个方面，即物理安全和逻辑安全。物理安全指系统设备及相关设施受到物理保护，免于破坏、丢失等。逻辑安全包括信息的完整性、保密性和可用性。
2. 计算机网络不安全因素
对计算机信息构成不安全的因素很多，其中包括人为的因素、自然的因素和偶发的因素。其中人为因素是对计算机信息网络安全威胁最大的因素。计算机网络不安全因素主要表现在以下几个方面。
2.1 计算机网络的脆弱性
2.1.1 网络的开放性，使得网络所面临的攻击来自多方面，
或是来自物理传输线路的攻击，或是来自对网络通信协议的攻击，以及对计算机软件、硬件的漏洞实施攻击。
2.1.2 网络的国际性，意味着对网络的攻击不仅仅是来自
于本地网络的用户，还可能是互联网上其他国家的黑客，所以，网络的安全面临着国际化的挑战。
2.1.3 网络的自由性。
大多数的网络对用户的使用没有技术上的约束，用户可以自由地上网发布和获取各类信息。
2.2 操作系统存在的安全问题
操作系统是作为一个支撑软件，使得程序或别的运用系统在上面正常运行的一个环境。操作系统提供了很多的管理功能，主要是管理系统的软件资源和硬件资源。操作系统软件自身的不安全性，系统开发设计的不周而留下的破绽，都给网络安全留下了隐患。尽管操作系统的漏洞可以通过版本的不断升级来克服，但是系统的某一个安全漏洞会使得系统的所有安全控制毫无价值。从发现问题到升级这段时间，一个小小的漏洞就足以使整个网络瘫痪掉。
2.3 数据库存储的内容存在的安全问题
大量的信息存储在各种各样的数据库里面，包括我们上网看到的所有信息，数据库主要考虑得是信息方便存储、利用和管理，但在安全方面考虑得比较少。例如：授权用户超出了访问权限进行数据的更改活动;非法用户绕过安全内核，窃取信息。对于数据库的安全而言，就是要保证数据的安全可靠和正确有效，即确保数据的安全性、完整性。数据的安全性是防止数据库被破坏和非法的存取;数据库的完整性是防止数据库中存在不符合语义的数据。
3. 计算机网络安全的对策
3.1 技术层面对策
3.1.1 建立安全管理制度。
3.1.2 网络访问控制。
3.1.3 数据库的备份与恢复。
3.1.4 应用密码技术。
3.1.5 切断传播途径。
3.1.6 提高网络反病毒技术能力。
3.2 管理层面对策
计算机网络的安全管理，包括对计算机用户的安全教育、建立相应的安全管理机构、不断完善和加强计算机的管理功能、加强计算机与网络的立法和执法力度等方面。加强计算机安全管理、加强用户的法律、法规和道德观念，提高计算机用户的安全意识，对防止计算机犯罪、抵制黑客攻击和防止计算机病毒干扰，是十分重要的措施。这就要对计算机用户不断进行法制教育，包括计算机安全法、计算机犯罪法、保密法、数据保护法等，明确计算机用户和系统管理人员应履行的权利和义务，自觉遵守合法信息系统原则、合法用户原则、信息公开原则、信息利用原则和资源限制原则，自觉地和一切违法犯罪的行为作斗争，维护计算机及网络系统的安全，维护信息系统的安全。除此之外，还应教育计算机用户和全体工作人员应自觉遵守为维护系统安全而建立的一切规章制度，包括人员管理制度、运行维护和管理制度、计算机处理的控制和管理制度、各种资料管理制度、机房保卫管理制度、专机专用和严格分工等管理制度。
3.3 物理安全层面对策
3.3.1 计算机系统的环境条件。
计算机系统的安全环境条件，包括温度、湿度、空气洁净度、腐蚀度、虫害、振动和冲击、电气干扰等方面，都要有具体的要求和严格的标准。
3.3.2 机房场地环境的选择。
计算机系统选择一个合适的安装场所十分重要。它直接影响到系统的安全性和可靠性。选择计算机房场地，要注意其外部环境安全性、地质可靠性、场地抗电磁干扰性，避开强振动源和强噪声源，并避免设在建筑物高层和用水设备的下层或隔壁。另外，还要注意出入口的管理。
3.3.3 机房的安全防护。
机房的安全防护是针对环境的物理灾害和防止未授权的个人或团体破坏、篡改或盗窃网络设施、重要数据而采取的安全措施和对策。为做到区域安全，首先，应考虑物理访问控制来识别访问用户的身份，并对其合法性进行验证;其次，对来访者必须限定其活动范围;再次，要在计算机系统中心设备外设多层安全防护圈，以防止非法暴力入侵;最后，设备所在的建筑物应具有抵御各种自然灾害的设施。
计算机网络安全是一项复杂的系统工程，涉及技术、设备、管理和制度等多方面的因素，安全解决方案的制订需要从整体上进行把握。网络安全解决方案是综合各种计算机网络信息系统安全技术，将安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术等综合起来，形成一套完整的、协调一致的网络安全防护体系。我们必须做到管理和技术并重，安全技术必须结合安全措施，并加强计算机立法和执法的力度，建立备份和恢复机制，制定相应的安全标准。此外，由于计算机病毒、计算机犯罪等技术是不分国界的，因此我们必须进行充分的国际合作，来共同对付日益猖獗的计算机犯罪和计算机病毒等问题。
参考文献
[1]胡道元.计算机局域网[M].北京:清华大学出版社, 2001.
[2]尚晓航.计算机网络技术基础[M].北京:高等教育出版社, 2004.
计算机网络安全问题剖析 篇7
关键词：计算机,网络,安全,对策
1 何为网络安全
具体的讲是使用网络科技以及管控等方法, 确保其在网络氛围中, 数据信息精准有效, 不会受到不利影响。该项活动涵盖两点内容, 具体的说是物理方面的以及逻辑方面的。第一种是说体系装置和有关的装置接受物理活动, 以此来确保信息不会受影响。而后一种是指信息精准有效, 而且能够有效地使用。
2 网络中的不合理要素
2.1 网络非常的脆弱
我们都知道网络是不分区域的, 所有的机构和个体都能够在网上有效地产生信息, 网络有很多的优势, 像是开放或者是共享等, 此时就会对安全产生负面意义。此类危险通常由如下的一些内容:
2.1.1 开放特征, 技术是完全公开的, 导致其必然会面对来自多个层次的危险。
不论是何种形式和性质的问题, 其产生的负面效益都是很危险的。
2.1.2 没有国界。
这就表示其攻击不单纯的来自当地的使用者, 同时还有可能是别的区域的不法人员, 因此, 其安全性等要面对的不利现象非常多。
2.1.3 自由特征。绝大部分的网络对使用者来讲, 都不存在技术层次上的管控, 使用者能够不受限制的使用。
2.2 存在于操作体系中的不利现象
操作系统是作为一个支撑软件, 它确保其程序等处于一个相对合理的运作区域中。其有着非常显著的管控功效, 通常是用来管控软件以及硬件等内容。而软件原本就很危险, 在开发设计的时候如果不能确保其合理, 必然会给后续活动带来非常不利的影响。
2.2.1 来自体系的不利现象。
它涵盖很多内容, 所有的管控等都会关乎到单一的模块, 假如在此类程序中有不利现象的话, 像是内存管控中面对不利现象, 当外在的管控连接过来的时候, 如果恰巧其存在问题, 这时候就有潜在的危险发生。
2.2.2 操作系统支持在网络上传送文件、加载或安装程序, 包括可执行文件, 此类现象必然会导致很多的危险问题出现。
网络很重要的一个功能就是文件传输功能, 比如FTP, 此类安装活动常会出现许多可执行的信息, 通常是通过人来设置的, 假如其中的地方发生了不利现象, 此时体系必然会受到影响。比如信息传递等, 假如生产单位或者是单一人群在其中安装间谍内容的话, 此时使用者的综合传输步骤, 以及运作步骤等都会被人得知, 全部的信息和程序等都会使得体系面对不利现象。因此, 要进可能少的用那些不良的软件体系。
2.2.3 之所以说操作体系不合理, 其中的一项要素是因为它能
够产生并且对进程支持, 支持被创建的进程继承创建的权利, 这些机制提供了在远端服务器上安装“间谍”软件的条件。若将间谍软件以打补丁的方式“打”在一个合法用户上, 特别是“打”在一个特权用户上, 黑客或间谍软件就可以使系统进程与作业的监视程序监测不到它的存在。
2.3 来自数据库层次的不利现象
数据库管控模式中的许多的不利内容都存放在样式不一的数据库中, 像是我们浏览网页的时候, 所遇到的各类信息, 其通常要确保信息便于存放和管控, 不过在安全层次上没有认真地分析。针对其安全来讲, 就是为了确保信息精准完整, 也就是要保证信息安稳。所谓的安全特点是为了确保信息不会被不合理的利用。而所谓的完整是为了确保不会出现不合规定的信息。
2.4 防火墙的脆弱性
防火墙只能提供网络的安全性, 不能保证网络的绝对安全, 它也难以防范网络内部的攻击和病毒的侵犯。不能期待防火墙凭借其本身就可以确保电脑安稳。它可以确保你不会受到威胁, 不过却无法确保其自身的问题, 假如是自身的人和外在的人综合到一起, 就算是其非常的强大, 也是无法有效应对的。由于工艺高度前进, 其中的破解措施也导致其出现不利现象, 此点也是其面对的不利现象。
3 针对不利现象开展的应对措施
3.1 技术层面对策
对于技术方面, 计算机网络安全技术主要有实时扫描技术、实时监测技术、防火墙、完整性检验保护技术、病毒情况分析报告技术和系统安全管理技术。综合起来, 技术层面可以采取以下对策:
3.1.1 建立安全管理制度。
提高包括系统管理员和用户在内的人员的技术素质和职业道德修养。对重要部门和信息, 严格做好开机查毒, 及时备份数据, 这是一种简单有效的方法。
3.1.2 网络访问控制。
访问控制是网络安全防范和保护的主要策略。它的主要任务是保证网络资源不被非法使用和访问。它是保证网络安全最重要的核心策略之一。访问控制涉及的技术比较广, 包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。
3.1.3 数据库的备份与恢复。
数据库的备份与恢复是数据库管理员维护数据安全性和完整性的重要操作。备份是恢复数据库最容易和最能防止意外的保证方法。恢复是在意外发生后利用备份来恢复数据的操作。
3.1.4 应用密码技术。
应用密码技术是信息安全核心技术, 密码手段为信息安全提供了可靠保证。基于密码的数字签名和身份认证是当前保证信息完整性的最主要方法之一, 密码技术主要包括古典密码体制、单钥密码体制、公钥密码体制、数字签名以及密钥管理。
3.1.5 切断传播途径。对被感染的硬盘和计算机进行彻底杀毒处理, 不使用来历不明的U盘和程序, 不随意下载网络可疑信息。
3.2 管理层面对策
计算机网络的安全管理, 不仅要看所采用的安全技术和防范措施, 而且要看它所采取的管理措施和执行计算机安全保护法律、法规的力度。只有将两者紧密结合, 才能使计算机网络安全确实有效。计算机网络的安全管理, 包括对计算机用户的安全教育、建立相应的安全管理机构、不断完善和加强计算机的管理功能、加强计算机及网络的立法和执法力度等方面。加强计算机安全管理、加强用户的法律、法规和道德观念, 提高计算机用户的安全意识, 对防止计算机犯罪、抵制黑客攻击和防止计算机病毒干扰, 是十分重要的措施。
3.3 物理安全层面对策
要想确保网络体系安稳有效, 就要确保其有相对安稳的物理环境。此类环境具体的讲是说机房以及装置, 它通常涵盖如下的一些要素。第一, 电脑体系的环境内容, 第二, 机房氛围。最后, 其安全活动。
4 结束语
网络安全并非是一朝一夕就可以完成的, 其非常繁琐, 关系到很多层次的内容, 应该站在大层次上处理。在具体活动中, 要确保高度的综合管控和工艺特点, 要确保安全工艺和相关的方法联系到一起, 认真做好立法等工作, 形成合理的备份体系, 确保安全规定合理。除此, 因为电脑病毒等都是没有区域划分的, 所以要开展全范围的合作, 以此来合理的应对目前的各种不利现象。
参考文献
[1]张千里.网络安全新技术[M].北京:人民邮电出版社, 2003.[1]张千里.网络安全新技术[M].北京:人民邮电出版社, 2003.
[2]龙冬阳.网络安全技术及应用[M].广州:华南理工大学出版社, 2006.[2]龙冬阳.网络安全技术及应用[M].广州:华南理工大学出版社, 2006.
“安全”云计算的首要问题 篇8
云计算的发展势头近年来日益迅猛,众多企业在开始享受云计算便利的计算资源服务、大数据沉淀与挖掘带来的产业创新的同时,业界也一直存在着关于云服务安全方面的挑战与质疑。2013年,亚马逊AWS战胜IBM获得美国中央情报局6亿美元云计算系统订单,给质疑云计算安全的声音泼了一次冷水,对全世界范围内的云计算云服务进程是一次不小的推动。
在中国,云计算服务经过3年多的发展实践,已经有了不小的规模,同时也产生了国外尚未涉足、对安全要求更高的金融行业等新的云计算服务领域。比如目前国内最大的单只基金——余额宝,国内第一家互联网保险公司——众安在线均是构建在阿里云的云计算平台上。
当然,对这一新鲜事物质疑与担忧也不少,据统计国内50%的企业不敢使用云计算服务的主要原因是对安全问题的担忧。
云计算更安全,是一个思维变革
云计算的特点是把信息化的资源颗粒化,比如存储、计算、软件、数据、管理资源,这些资源虚拟化而且被颗粒化以后形成各种资源池然后统一整合进行管理和利用,实时地按需分配。就好比是以前家家户户自己打井汲水,现在由自来水公司集中管理全市用水,并且通过管道将自来水输送到各家各户。从井水到自来水的变迁让千家万户喝上了放心水,省去了挖井打水的工夫,不会有人担心自来水公司被投毒而拒绝接入自来水。
“事实上,云比原来的方法更安全,就好像把钱放在银行事实上会比放在枕头底下更安全一样,需要克服的是心理障碍”。现任阿里巴巴集团首席技术官,也是阿里云计算有限公司、云OS操作系统的筹建者,并主导了阿里巴巴集团的去“IOE”革新的王坚博士认为这是一个思维变革的过程。
国内云计算安全获国际顶级认可
如同储户把金钱从枕头下存进银行是基于信任一样,用户是否选择使用云服务关键在于如何建立对云服务商的信任,而无论从阿里云还是用户角度来看,客观、公正的第三方权威认证是双方建立信任的基础,因此阿里云通过覆盖国际和国内、传统IT安全和云计算安全的一系列第三方认证构建起用户同云服务商间的信任纽带。
在国际方面,暨2012阿里云领先国内云服务商将ISO27001(信息安全管理体系)国际认证覆盖弹性计算、RDS(关系型数据库服务)、ODPS(开放数据处理服务)、OSS(开放存储服务)、OTS(开放结构化数据服务)、云盾(云安全服务)以及云监控服务后,于2013年阿里云 获得全球 首张云安 全国际认 证金牌(CSA-STAR),这是英国标准化协会(bsi)向全球云服务商颁发的首张金牌。这也是中国企业在信息化、云计算领域安全合规方面第一次取得世界领先成绩。
该认证是一项全新而有针对性的国际专业认证项目,旨在应对与云安全相关的特定问题。其以ISO/IEC 27001认证为基础,结合云端安全控制矩阵CCM的要求,bsi提供的成熟度模型和评估方法,对提供和使用云计算的任何组织,综合评估组织云端安全管理和技术能力,最终给出“不合格-铜牌-银牌-金牌”四个级别的独立第三方外审结论。
在国内方面,阿里云已通过公安部信息安全等级保护三级测评,测评对象覆盖弹性计算、RDS(关系型数据库服务)、ODPS(开放数据处理服务)、OSS(开放存储服务)、OTS(开放结构化数据服务)、OSS(开放存储服务)等云服务支撑系统。
云安全考验企业文化和诚信
众多企业对云计算服务心存顾虑的原因不仅是对安全防护的担忧,还有对敏感和隐私数据的保护缺乏信心。目前国内几大云计算服务商都是互联网巨头,这些巨头的业务覆盖范围十分广泛,几乎无所不包,拷贝复制的能力非常强大,中小型互联网创业公司可能将自己的业务和数据放到强大竞争对手的云平台上吗?
“这是一个有关企业诚信和文化的问题,短时间内无法证明。”王坚博士诚恳地回答,“淘宝2013年‘双11’的交易量达到350亿,却没有一分钱是淘宝自己卖出的。淘宝提供交易平台,阿里云计算提供IT服务,阿里金融提供融资贷款服务,这是阿里巴巴集团为中小型公司打造的一个创业服务生态链。”
“阿里云计算公司成立的初衷不是仅仅为支持本集团内部的业务系统,我们提供的通用的云计算服务可以帮助中小型企业摆脱IT的束缚,减少IT投入的成本和风险,让小公司做大公司才能做的事。云计算的发展需要一个生态圈,中国互联网的健康发展也需要一个生态圈,而不仅仅是几个互联网巨头,阿里巴巴集团的成功并没有堵住中小型创业公司的发展道路,而是在为中小企业的发展创造条件。”博士接着谈到。
云计算为国家信息安全等级保护工作提供便利
今天传统的网络安全产品提供商仍然在致力于逐门逐户地推广安全加固的“井盖和井水净化剂”,安全产品防御容量也从“企业级”走向了“电信级”。当很多单位和企业其业务互联网后面对用户不可预知的攻击动机所引发的“现象级”安全保障挑战时,其在信息安全建设方面曾经经历的“堆产品、上服务、组团队”等安全历程后、仍未能帮助解决“攻击难预测、服务响应慢、安全人才一将难求”等方面的安全问题。究其原因是对于“现象级”安全保障挑战,未能具备安全攻击自动响应、弹性防御的能力,从而无法保证安全防御能力不被海量用户的差异化访问而稀释。
云计算服务的集中化特点使得云服务商无论是从保障云服务安全性,还是提升用户使用云服务黏性的角度都需要提供“现象级”的云安全服务。这种特性不但使得用户的安全投入得以大大降低,更重要的是对于国家信息安全主管部门而言,为其信息安全监督和检查工作提供了极大的便利条件。改变过去系统和数据分散不易管控的局面,通过集中化的安全管理提高国家信息安全管理的水平,真正实现用户安全防御能力的可测量化。
从监管对象而言,国家信息安全等级保护标准体系目前基于信息系统而非平台的测评体系也同样面临云计算服务模式带来的挑战。这方面阿里云正积极会同公安部各测评、研究机构在公共安全领域试点等保要求在云计算平台落地的可行性,提升等保标准在新信息化服务模式下的生命力。
大数据挖掘的计算能力是国家竞争力
当各种数据在云计算平台上迅速沉淀,大数据的分析方法就有了用武之地。正如微软的Windows操作系统平台使美国成为全世界个人电脑的数据中心,GOOGLE的Android移动操作系统使其成为大部分移动终端的数据中心,各国云计算通用平台的竞争将是一个更大规模数据中心的竞争,具有重要战略意义。
“6年前全世界只有5%的手机使用美国公司的操作系统,如今80%以上的手机使用美国苹果公司的ios操作系统以及谷歌的Android操作系统。操作系统之上的软件只能控制很少一部分数据,无法保障数据安全。这也正是阿里云计算公司花大力气研发自己的阿里云移动操作系统的原因之一。”
基于互联网产生的大数据是国家的重要资源,今天我们看淘宝很重大的意义在于将国民消费行为产生的经济数据留在了国内,而不是国外互联网平台上。那么挖掘这些数据资源的计算能力,则是国家竞争力的体现。
云计算安全问题的研究 篇9
虽然云计算产业具有巨大的市场增长前景，但它在提高使用效率的同时，为实现用户信息资产安全与隐私保护带来极大的冲击与挑战。安全问题已成为云计算领域亟待突破的问题，其重要性与紧迫性不容忽视。
一、理解云计算
云计算是传统计算机技术和网络技术如网格计算、分布式计算、并行计算、网络存储、虚拟化、负载均衡等技术发展融合的产物，是一种新兴的网络商业模式。在云计算模式下，软件、硬件、数据等资源均可以根据客户端的动态需求按需提供。
云计算不仅是一种技术，更是一种服务模式。普遍认为云计算的服务模式可以分为三类:软件即服务，平台及服务以及基础设施及服务。这三类服务模式被认为是云计算体系架构的三个层次，但他们在技术实现上并没有必然的联系，Saa S可以在IaaS的基础上实现，也可以在Paa S的基础上实现，也可以独立实现;类似的，Paa S可以在IaaS的基础上实现，也可以独立实现。从Saa S到Paa S到IaaS的服务模式变迁中，客户或租户可以对更多的资源有着更多的安全控制。
云计算作为一种全新的商业模式，它改变了计算分布或分配的模式。根据计算分配模式的不同，云部署模式分为四种：公共云，私有云，社区云和混合云。这四种模式解决了诸如池化云资源这类广泛存在的问题。从公共云迁移到社区云以及从社区云迁移到私有云，客户或租户可以对更多地资源有着更多的安全控制。云模型如图1所示[2]：
二、云计算面临的安全问题
云计算服务基于宽带网络特别是互联网提供，面临各类传统安全威胁，且安全问题随系统规模化而被放大。另一方面，云计算与传统的计算模式相比具有开放性、分布式计算与存储、无边界、虚拟性、多租户、数据的所有权和管理权分离等特点，同时，云中包含大量软件和服务，以各种标准为基础，数据量庞大，系统非常复杂，因而在技术、管理和法律等方面面临新的安全挑战。此外，云计算系统中存放着海量的重要用户数据，对攻击者来说具有更大的诱惑力，如果攻击者通过某种方式成功攻击云系统，将会给云计算服务提供商和用户带来重大损失，因此，云计算的安全性面临着比以往更为严峻的考验。与传统IT安全比较，云计算特有的安全问题主要有以下三个方面：(1)云计算平台导致的安全问题。云计算平台聚集了大量用户和数据资源，更容易吸引黑客攻击，而故障一旦发生，其影响范围多，后果更加严重。此外，其开放性对接口的安全也提出了更高的要求。另外，云计算平台上集成了多个租户，多租户之间的信息资源如何安全隔离也成为云计算安全的突出问题。(2)虚拟化环境下的技术及管理问题。传统的基于物理安全边的防护机制难以有效保护基于共享虚拟化环境下的用户应用及信息安全。另外，云计算的系统如此之大，而且主要是通过虚拟机进算，一旦出现故障，如何快速定位问题所在也是一个重大挑战。(3)云计算这种全新的服务模式将资源的所有权、管理权及使权进行了分离，因此用户失去了对物理资源的直接控制，会面临与服务商协作的一些安全问题，如用户是否会面临服务退出障碍，不完整和不安全的数据删除会对用户造成损害，因此如何界定用户与服务提供商的不同责任也是一个重要问题。
三、云计算安全防护
3.1基础设施安全
基础设施安全包括服务器系统安全、网络管理系统安全、域名系统安全、网络路由系统安全、局域网和VLAN配置等。主要的安全措施包括安全冗余设计、漏洞扫描与加固，IPS/IDS、DNSSec等。考虑到云计算环境的业务持续性，设备的部署还须要考虑到高可靠性的支持，诸如双机热备、配置同步，链路捆绑聚合及硬件Bypass等特性，实现大流量汇聚情况下的基础安全防护。
3.2数据安全
云数据安全包含的内容远远不只是简单的数据加密。数据安全的需求随着三种服务模式，四种部署模式(公共云、私有云、社区云、混合云)以及对风险的承受能力而变化。满足云数据安全的要求，需要应用现有的安全技术，并遵循健全的安全实践，必须对各种防范措施进行全盘考虑，使其构成一道弹性的屏障。主要安全措施包括对不同用户数据进行虚拟化的逻辑隔离、使用身份认证及访问管理技术措施等，从而保障静态数据和动态数据的保密性、完整性、可用性、真实性、授权、认证和不可抵赖性。
3.3虚拟化安全
虚拟化的安全包括两方面的问题：一是虚拟技术本身的安全，二是虚拟化引入的新的安全问题。虚拟技术有许多种，最常用的是虚拟机(VM)技术，需考虑VM内的进程保护，此外还有Hypervisor和其他管理模块这些新的攻击层面。可以采用的安全措施有：虚拟镜像文件的加密存储和完整性检查、VM的隔离和加固、VM访问控制、虚拟化脆弱性检查、VM进程监控、VM的安全迁移等。
3.4身份认证与访问管理（IAM, Identity and Ac-cess Management)
IAM是用来管理数字身份并控制数字身份如何访问资源的方法、技术和策略，用于确保资源被安全访问的业务流程和管理手段，从而实现对企业信息资产进行统一的身份认证、授权和身份数据集中化的管理与审计。IAM是保证云计算安全运行的关键所在。传统的IAM管理范畴，例如自动化管理用户账号、用户自助式服务、认证、访问控制、单点登录、职权分离、数据保护、特权用户管理、数据防丢失保护措施与合规报告等，都与云计算的各种应用模式息息相关。
IAM并不是一个可以轻易部署并立即产生效果的整体解决方案，而是一个由各种技术组件、过程和标准实践组成的体系架构[3]。标准的企业级IAM体系架构包含技术、服务和过程等几个层面，其部署体系架构的核心是目录服务，目录服务是机构用户群的身份、证书和用户属性的信息库。
3.5应用安全
由于云环境的灵活性、开放性以及公众可用性等特性，给应用安全带来了很多挑战。云计算的应用主要通过Web浏览器实现。因此，在云计算中，对于应用安全，尤其需要注意的是Web应用的安全。要保证Saa S的应用安全，就要在应用的设计开发之初，制定并遵循适合Saa S模式的安全开发生命周期规范和流程，从整体生命周期上去考虑应用安全。可以采用的防护措施有访问控制、配置加固、部署应用层防火墙等。
四、结束语
本文针对云计算安全风险进行了深入的分析和探索，提出了一些较为合理的安全防范措施。但是，云计算安全并不仅仅是技术问题, 它还涉及标准化、监管模式、法律法规等诸多方面, 遵循已有的最佳安全实践可以加强云计算的安全。
参考文献
[1]中国电信网络安全实验室.云计算安全技术与应用.电子工业出版社.2012
[2] (美) Vic (J.R) Winkler著, 刘戈周, 杨泽明, 徐峻锋译.云计算安全架构、战略、标准与运营.机械工业出版社.2013
浅析云计算及云计算安全 篇10
【关键词】云计算；云安全；可信云计算
【中图分类号】TP393
【文献标识码】A
【文章编号】1672-5158（2012）10-0014-02
云计算是当前信息技术领域的热门话题之一，是产业界、学术界、政府等各界均十分关注的焦点。它体现了“网络就是计算机”的思想，将大量计算资源、存储资源与软件资源链接在一起，形成巨大规模的共享虚拟IT资源池。正因为它吸引了越来越多的企业的目光，它的安全性问题也逐步成为人们关注并研究的课题。本文通过阐述云计算的相关概念，分析云计算所面临的安全问题，总结了云安全问题解决的几点思路，最后指出了云安全领域的主要研究方向，云计算与可信计算技术的融合研究将成为云安全领域的重要方向。
1 云计算的概念
1.1 云计算的定义
目前云计算并没有统一的标准定义，不同的企业和专家有自己的定义，比如中国电子学会云计算专家委员会对云计算的定义为：云计算是一种基于互联网的、大众参与的计算模式，其计算资源（计算能力、存储能力、交互能力）是动态的、可伸缩的且被虚拟化的，以服务的方式提供。从总体上看，云计算的定义可以分为狭义和广义两种。狭义云计算是指IT基础设施的交付和使用模式，指通过网络以按需、易扩展的方式获得所需的资源（硬件、平台、软件）；广义云计算是指服务的交付和使用模式，指通过网络以按需、易扩展的方式获得所需的服务，这种服务可以是IT和软件、互联网相关的，也可以是任意其他的服务。
1.2 云计算规范核心
1.2.1 云计算五个本质特征
按需的自我服务、广泛的网络访问、资源池、快速的弹性能力、可度量的服务。
1.2.2 云计算服务模型
（1） 软件即服务（SaaS）：客户所使用的服务商提供的这些应用程序运行在云基础设施上。这些应用程序可以通过各种各样的客户端设备所访问，通过瘦客户端界面像WEB浏览器（例如，基于WEB的电子邮件）。客户不管理或者控制底层的云基础架构，包括网络、服务器、操作系统、存储设备，甚至独立的应用程序机能，在可能异常的情况下，限制用户可配置的应用程序设置。
（2） 平台即服务（PaaS）：客户使用云供应商支持的开发语言和工具，开发出应用程序，发布到云基础架构上。客户不管理或者控制底层的云基础架构，包括网络、服务器、操作系统或者存储设备，但是能控制发布应用程序和可能的应用程序运行环境配置。
（3） 基础设施即服务（IaaS）：向客户提供处理、存储、网络以及其他基础计算资源，客户可以在上运行任意软件，包括操作系统和应用程序。用户不管理或者控制底层的云基础架构，但是可以控制操作系统、存储、发布应用程序，以及可能限度地控制选择的网络组件。
1.2.3 云计算发布模型
（1） 私有云：云基础架构被一个组织独立地操作，可能被这个组织或者第三方机构所管理，可能存在于某种条件下或者无条件存在。
（2） 社区云：云基础架构被几个组织所共享，并且支持一个互相分享概念的特别的社区。可能被这些组织或者第三方机构所管理，可能存在于某种条件下或者无条件存在。
（3） 公有云：云基础架构被做成一般公共或者一个大的工业群体所使用，被某个组织所拥有，并出售云服务。
（4） 混合云：云基础架构是由两个或者两个以上的云组成，这些云保持着唯一的实体但是通过标准或者特有的技术结合在一起。这些技术使得数据或者应用程序具有可移植性。
2 云计算的发展现状及发展趋势
2.1 云计算发展现状
目前，云计算主要是由Google、Amazon、微软、IBM等ICT巨头在积极推动研究和部署，比较成熟的云计算业务和应用包括Google的App Engine，Anlazon的弹性计算云EC2和简单存储服务s3，微软的Azure云平台，IBM的“蓝云”等。
2.2 云计算发展趋势
云计算将推动IT领域的产业细分：云服务商通过购买服务的方式减少对非核心业务的投入，从而强化自己核心领域的竞争优势。最终，各种类型的云服务商之间形成强强联合、协作共生关系，推动信息技术领域加速实现全球化，并最终形成真正意义上的全球性的“云”。
未来云计算将形成一个以云基础设施为核心、涵盖云基础软件与平台服务与云应用服务等多个层次的巨型全球化IT服务化网络，如果以人体作为比喻，那么处于核心层的云基础设施平台将是未来信息世界的神经中枢，其数量虽然有限但规模庞大，具有互联网级的强大分析处理能力；云基础软件与平台服务层提供基础性、通用性服务，例如，云操作系统、云数据管理、云搜索、云开发平台等，是这个巨人的骨骼与内脏；而外层云应用服务则包括与人们日常工作与生活相关的大量各类应用，例如，电子邮件服务、云地图服务、云电子商务服务、云文档服务等等，这些丰富的应用构成这个巨型网络的血肉发肤。各个层次的服务之间既彼此独立又相互依存，形成一个动态稳定结构。越靠近体系核心的服务，其在整个体系中的权重也就越大。因此，未来谁掌握了云计算的核心技术主动权以及核心云服务的控制权，谁就将在信息技术领域全球化竞争格局中处于优势地。
3 云计算面临的安全问题
云计算在极大地方便用户和企业廉价使用存储资源、软件资源、计算资源的同时，面临的最大挑战或者说存在的问题来自安全方面。云计算的十大问题与机会，如表1所示。
概括来讲，云计算主要存在以下安全问题。
3.1 安全边界难以定义
在传统网络中通过物理上和逻辑上的安全域定义，可以清楚地定义边界和保护设备用户，但云计算由于其用户数量庞大，数据存放分散，很难充分为用户提供安全保障。
3.2 数据安全
使用云计算服务，用户并不是清楚自己的数据具体的托管服务器的位置以及具体是哪个服务器管理。基于此云用户和云服务商为避免数据丢失和窃取都非常重要，以下从数据隐私和数据隔离两个方面对云计算的安全进行阐述。
（1）数据隐私。数据在云服务中的存储是共享的，即没有为用户开辟独立存储区。由此数据具有潜在危险。和传统软件相比，云计算在数据方面的最大不同是所有的数据由第三方来负责维护，并且由于云计算架构的特点，这些数据可能存储在分散的地方，并且都以明文的形式存储。防火墙虽然能够对恶意的外来攻击提供一定程度的保护，但这种架构使得一些关键陛的数据可能被泄露。
（2）数据隔离。目前在网络中用户基本采用数据加密方式共享数据，但在云计算环境下，如果能够将自己的数据与其他用户的数据隔离开可以更加有效地保证数据安全。因为所有客户数据将被共同保存在唯一一个软件系统实例内，所以需要开发额外的数据隔离机制来保证各个客户之间的数据的保密性并提供相应的灾备方案。
3.3 应用安全
（1）终端安全：用户终端的安全始终是网络环境下信息安全的关键点，用户终端合理部署安全软件是保障云计算环境下信息安全的第一道屏障。
（2）SaaS应用安全：SaaS模式使用户使用服务商提供的在云基础设施之上的应用，对于底层的云基础设施如：网络、操作系统、存储等。因此在此模式下，服务商将提供整套服务包括基础设施的维护。服务商最大限度地为用户提供应用程序和组件安全，而用户只需关注操作层的安全。由此可SaaS服务提供商的选择在云计算信息安全问题中非常重要。
（3）PaaS应用安全：PaaS云使用户能够在云基础设施之上创建用户和购买行为，用户同样并不管理和控制底层的基础设施，但可以控制基于基础设施之上的应用。PaaS提供商通常会保障平台软件包安全，因此用户需要对服务提供商有一个清楚的认识，比如对服务提供商做风险评估。同时，PaaS还面临配置不当的问题，默认配置下的安全系数几乎为零，因此，用户需要改变默认安装配置，对安全配置流程有一定的熟悉度。
（4）IaaS应用安全：用户对于IaaS云提供商来讲是完全不透明的，云提供商并不关注用户在云内的任何操作，因此，用户需要对自己在云内的所有安全负全责，IaaS并不为用户提供任何安全帮助。
4 云安全的解决思路
4.1 云计算安全的研究现状
云计算在美国和欧洲等国得到政府的大力支持和推广，云计算安全和风险问题也得到各国政府的广泛重视。2010年11月，美国政府CIO委员会发布关于政府机构采用云计算的政府文件，阐述了云计算带来的挑战以及针对云计算的安全防护，要求政府及各机构评估云计算相关的安全风险并与自己的安全需求进行比对分析。同时指出，由政府授权机构对云计算服务商进行统一的风险评估和授权认定，可加速云计算的评估和采用，并能降低风险评估的费用。
2010年3月，参加欧洲议会讨论的欧洲各国网络法律专家和领导人呼吁制定一个关于数据保护的全球协议，以解决云计算的数据安全弱点。欧洲网络和信息安全局（ENISA）表示，将推动管理部门要求云计算提供商通知客户有关安全攻击状况。
日本政府也启动了官民合作项目，组织信息技术企业与有关部门对于云计算的实际应用开展计算安全性测试，以提高日本使用云计算的安全水平，向中小企业普及云计算，并确保企业和个人数据的安全性。
在我国，2010年5月，工信部副部长娄勤俭在第2届中国云计算大会上表示，我国应加强云计算信息安全研究，解决共性技术问题，保证云计算产业健康、可持续地发展。
4.2 数据的保密性问题
就云计算的3种参考模型来说，IaaS一般以Web服务的接口形式提供，SaaS务常通过Web浏览器访问，PaaS服务则用上述两种技术的结合来实现。采用安全文件存储服务的文件系统框架，利用目前安全的客户端跨域（Client Cross-domain）通信机制的研究成果，给Web服务提供一个独立的文件系统服务，将用户数据的控制权返还给用户，提高了数据的可控性，降低了应用服务器管理用户数据的访问控制策略的压力。
上述的这些方法在云计算环境中有效提高数据块保密性和完整性，减少了数据块完整性认证时证书所需的存储空间，是未来云计算数据完整性验证研究的重要方向。除了使用传统方法以外，一种趋势就是利用用户的数字身份完成数据加密和身份认证功能。基于身份的加密和签名系统能够弥补用户身份及对应的密钥难以管理的问题。在该系统中，使用用户身份相关信息作为公钥，而用户的私钥由一个公开可信的PKG（Private Key Generator）结合用户身份来生成并安全传输给用户。并通过联邦身份管理机制来控制密钥集中于PKG的管理问题。
4.3 数据的隐私性问题
用户数据存放在云端，一方面要求云服务商能够根据他们的查询提供正确的查询结果，另一方面又不希望云服务商知晓用户数据的实际内容，也即希望在加密的数据上实现数据查询等计算功能。隐私保护的关键字查询方法，利用带有关键字查询的公钥加密方法，允许服务提供商部分参与内容解密并进行相关内容的查询，但不能由此得到全部明文，这可以再隐私保持的条件下减少用户端信息处理的压力。
云的特殊存储结构使得隐私保持成为一个关键的安全问题。目前应用最多的方法就是对上传到云端的数据进行混淆和加密。同时，还应当有有效的查询和用户验证机制，在云服务器不能获知具体数据内容的条件下，获得云服务的数据处理结果。并且，这种隐私保持机制应当是用户可控的。
4.4 数据的验证性问题
云计算中用户数据不再被用户本地拥有，因此需要有方法让用户确信他们的数据被正确的存储和处理，即进行完整性验证；另外，从涉及到数据安全和使用的法律和网络监管角度，也需要一种机制能够远程、公开地对数据进行审计。并且，这种审计必须以不泄漏用户隐私信息为前提。
可利用第三方审计完成隐私保持的数据完整性验证。这种方法不需要云用户的实时参与，其避免用户隐私的泄露。还可以建立一个可扩展的运行时完整性验证框架，以保证在云基础设施上数据流处理结果的完整性，并当检测出不一致结果时，能明确定位恶意服务提供商。
5 可信云计算
将可信计算技术融入云计算环境，以可信赖方式提供云服务已成为云安全研究领域的一大热点。相关研究人员提出了一种可信云计算平台TCCP，基于此平台，IaaS服务商可以向其用户提供一个密闭的箱式执行环境，保证客户虚拟机运行的机密性。另外，它允许用户在启动虚拟机前检验Iaas服务商的服务是否安全。并且可信计算技术提供了可信的软件和硬件以及证明自身行为可信的机制，可以被用来解决外包数据的机密性和完整性问题。同时设计了一种可信软件令牌，将其与一个安全功能验证模块相互绑定，以求在不泄露任何信息的前提条件下，对外包的敏感数据执行各种功能操作。
6 小结
云计算使得软件、硬件、平台等资源通过互联网自由流通成为可能，具有宽带接入、按需服务、资源整合、弹性架构、可计量等特点。云计算虽然出现的时间很短，但却给整个IT界带来了翻天覆地的变化。
但是，云计算给人们带来创新和变革的同时，对安全问题也提出了更高的要求。无论是云计算服务的提供商还是使用者，对云计算技术背后的安全性问题都必须有足够的认识，只有深刻认识到云计算的优点和风险，才能更好地在现实生活中科学合理的利用云计算，充分发挥其带来的巨大效益和优势。
参考文献
[1]吴涛，浅谈云计算及云安全，信息安全与通信保密，2012（2）：63-65
[2]张慧，邢培振，云计算环境下信息安全分析，计算机技术与发展，2011（12）：164-166
[3]冯登国，张敏，张妍等，云计算安全研究，软件学报，2011（1）：72-80
[4]杨健，汪海航，王剑等，云计算安全问题研究综述，小型微型计算机系统，2012（3）：473-476
[5]吴吉义，沈千里，章剑林等，云计算：从云安全到可信云，计算机研究与发展，2011（48增刊）：230-231
云计算时代安全问题浅析 篇11
1 云计算的概念
将大量用网络连接的计算机资源统一管理和调度,构成一个计算机资源网,这个网络即被称为云。在当前,云实际上更多的是指互联网,也指分布在互联网中的各种计算中心,其中包含成千上万、甚至几十万、上百万台的计算机和服务器。
什么是云计算?简而言之,云计算就是一种基于互联网的计算。云计算是网格计算(Grid Computing)、分布式计算(Distributed Computing)、并行计算(Parallel Co m putin g)、效用计算(Utility Co m putin g)、网络存储(Network Storage Technologies)、虚拟化(Virtualization)、负载均衡(Load Balance)等传统计算机技术和网络技术发展融合的产物,是一种新型的计算模型,其基本原理为:将计算任务分布在互联网中大量计算机构成的资源池中运行,而非在本地计算机或单一的远程服务器中运行,用户按需获取计算能力、存储空间和其它各种信息服务。
云计算服务可以分为以下三个层次的服务:(1)、基础设施服务(Infrastructure as a Service;Iaa S),如亚马逊公司的弹性计算云、IBM公司的蓝云以及Sun公司的云基础设施平台等;(2)、软件即服务(Software as a Service;Saa S),这是一种通过因特网提供软件的模式,用户无需购买软件,而是向云计算提供商租用基于Web的软件,用户只需一个浏览器,即可完成各种各样的应用,如Google公司的Gmail和Docs;(3)、平台即服务(Platform as a Service;Paa S),将软件研发的平台作为一种服务,以Saa S的模式提交给用户,Paa S是Saa S模式的一种应用,如Google App Engine和微软的Azure平台。
2 云计算时代的安全问题
关于云计算时代的安全问题,一直存在两种说法:一种认为采用云计算其安全性得到了增强,因为云计算服务提供商可以组织安全专家和专业化的服务团队来实现整个系统的安全管理,这比起不专业的个人维护来说要安全许多;另一种说法认为集中管理的云计算中心将成为黑客攻击的重点,由于云计算的开放性以及复杂性将存在更多各种各样可以利用的漏洞,其安全性更加令人担忧。事实上,基于云计算的各种应用的确存在安全问题,典型的一个例子是发生在2009年的Google文档外泄事件。2009年3月7日,全球众多的Google Docs用户打开自己的账户后发现多了不少陌生的文件,事实上,这些陌生文件的主人可能不知道自己的文件已经共享给了别人,当天Google发现了问题并迅速进行了处理,当用户再次打开账户时一切恢复正常,只是多了一封Google公司的道歉信。文档是恢复了原样,但是人们对云计算的信心并不能恢复到最初,2009年3月17日美国电子隐私信息中心向监管机构申诉,要求美国联邦贸易委员会禁止Google提供云计算的服务,直到后者的安全措施落实到位。
云计算由于其自身的特点,存在以下的安全问题:
2.1 数据的安全性问题
数据的安全性是云计算面临的最大安全问题,这可以细分到以下几个方面:
(1)、关于数据的访问权限。当用户将所属数据外包给云计算服务商或运行云计算服务商所提供的应用程序时,云计算服务商便获取了这些数据和应用的访问权限。由于种种原因,如很多云计算服务商的私有性质、云计算服务商内部人员失职等等,是否存在滥用这种访问权限造成用户利益的损失难以界定。云计算服务商也没有充分的证据让用户确信其数据被正确的使用,而没有被盗卖给其竞争对手。
(2)、关于数据存放的位置。若使用云计算,用户无法知道自己数据存放的具体位置,这也可能带来数据的安全问题。若数据被存放在不同国家,当由于某些原因,国家之间发生冲突,此时数据的安全可想而知。
(3)、关于数据的隔离问题。云计算中的数据不是存储在自家的硬盘里,而是上传至互联网中云计算服务商所提供的服务器等存储设备中。这些数据可能与其他用户的数据共用一台服务器,甚至是共用一块硬盘。那么这些存储在一起的数据是否进行了有效的隔离,若没有,就存在着极大的隐患。
(4)、关于数据的恢复问题。大家都知道,数据在使用时要进行有效的备份,以便在发生灾难时能够进行有效的数据恢复。问题是当数据被放置在云端的时候,能否保证为您提供云存储服务的服务商能够做好各项数据的备份工作,在灾难发生时能够进行有效的恢复,而不是发给您一封道歉信。
(5)、关于数据的转移的问题。当用户需要更换云计算服务提供商时,数据能否顺利地转移到新的云计算提供商。同样,当云计算服务提供商被收购或破产倒闭时,您的数据能否顺利地进行转移。
2.2 物理安全边界无法定义的问题
在传统的计算机系统中,存在着物理的安全域,可以清晰地定义安全边界,从而起到保护的作用。如公司内部专有网络的使用,专有网络在物理上与外网是隔离的,从外部无法访问公司的专有网络,从而杜绝诸如黑客攻击这类事件的发生。但是在云计算中,无法在物理上构建这样的安全边界。
2.3 安全漏洞能否及时有效修补的问题
安全漏洞总是存在的,谁也不能保证自己的系统中不存在安全漏洞。问题是,云计算的出现放大了安全漏洞造成的损害。当安全漏洞被发现并且被用于针对云计算服务的时候,损失的不是一个用户,而是成千上万的用户。那么云计算服务商能否在第一时间有效地修补系统中的安全漏洞将至关重要,否则将造成用户的巨大损失。
2.4 其他一些安全上的问题
其一,如何对云计算内容进行有效的监管。云的动态性增加了网络监管的难度,正如我们前面所说,我们无法知道数据被存放在那里,又如何去监管。由于各国法律体系不同且无法沟通,在监管问题上可能存在着较大的冲突。其二、如何保证云计算不被用于非法的用途。云计算的出现将以前不可能发生的事情变为了现实。一个典型的例子是密码的破解问题,以前要花费几个月、几年的暴力破解,现在运用云计算强大的计算能力可能只要几个小时,而且像亚马逊提供的这种计算服务每小时只收费2.3美元。还有,如何才能保证不发生基于云计算的安全攻击,这类问题将伴随云计算的普及困扰着我们。
3 云计算时代的应对安全策略
云计算时代我们享受着云计算给我们带来的种种便利,也承受着以上种种安全问题给我们带来的困扰。下面针对这些安全问题,提出一些应对策略,通过云计算服务提供商和云计算用户的配合,共同提高云计算服务的安全水平。
(一)、用户要选取规模大、相对可靠、可信任的云计算服务提供商。规模大、信誉好的云计算服务提供商其本身的安全性较好,系统的健壮程度高,保障服务的能力强。而且一般也有着完善的内部管理规定,比较注重访问权限的控制,应对各种安全事件的处理能力较强、处理速度较快。
(二)、按机密等级分级存放数据。对于一些不重要、无私密性的数据可以直接存放在云端;对于一些比较重要的数据,可以经过加密后存放在云端,这样存放在云端的数据以密文的形式存在,可以提高其安全性;对于非常重要的机密数据,不建议将其存放在公共云端。条件许可的情况下,可以建立企业自有的私有云,私有云设立在企业防火墙的内部,企业拥有私有云计算环境的自主权,相对公共云来说要安全许多。
(三)、即使是存储在云端的数据,也需要制定可行的定期备份制度,尽量减少在云计算服务遭受攻击造成数据丢失情况下的损失。
(四)、针对云计算中物理安全边界无法定义的问题,可以采用以下技术:(1)、采用VPN和数据加密技术,构建传输过程中逻辑上的安全边界,实现从用户到云计算服务中心传输通道上的安全;(2)、云计算服务中心内部,应采用虚拟局域网、虚拟机等各种虚拟技术,构建用户系统的虚拟安全边界,实现用户系统的相对独立。
(五)、云服务提供商必须建立快速的安全威胁反应机制,必须建立成熟的数据备份和保障制度,必须建立包括访问控制、反病毒部署、入侵检测、行为监控等在内的一系列的安全措施。
(六)、政府部门需要制定一系列的法律法规来规范云计算服务行为,强制要求云服务提供商采取必要的安全措施,并进行必要的定期检查。当发生侵害用户利益的情况,要做到有据可查、有法可依。国内有厂商提出“全云审计”的概念,针对云计算本身,实现在Iaa S、Saa S、Paa S各个层面的审计。我们需要不断完善这种“全云审计”,并将其提高到国家法律法规的层面,解决云计算用户可信的问题。
云计算技术的运用是未来信息技术发展的趋势,有着十分美好的应用前景,但同时我们面对着前所未有的安全挑战,对于云计算背后所存在的安全性问题我们必须保持足够的重视。我相信,随着相应法律法规的健全,相应标准的制定,相应防护技术手段的运用,云计算技术必将在今后的生活中得到越来越多的运用。
摘要：云计算技术是当前IT发展的方向之一。本文介绍了云计算的相关概念,分析云计算时代所面临的安全问题,并提出了相应的解决对策。
关键词：云计算,云安全
参考文献
[1]李战宝,张文贵.云计算及其安全性研究[J].信息网络安全,2011,(1).
[2]党卫红.云计算的安全防护策略分析与研究[J].读与写杂志,2010,(5).