云计算安全问题（精选12篇）
云计算安全问题 篇1
1 引言
云计算是一种基于信息网络, 将信息技术资源以服务方式动态、弹性提供,用户可按需使用的计算模式和服务模式。云计算简化了服务交付、降低了资金和运营成本、提高了效率,具有诸多的优势和好处,但是也面临着安全、互操作性和可迁移性等问题和挑战,安全已经成为阻碍云计算应用的主要因素之一。各国对云计算安全问题高度重视,美国、欧盟等纷纷提出云计算安全保障要求, 全球主要云计算服务商制定了云平台安全策略。
近年来,我国政府、产业界等对云计算应用日益关注,确保云计算安全越来越重要。本文分析了云计算安全问题、云服务提供商的安全策略和机制、美国确保政府采用云计算安全的做法,提出了确保我国云计算安全的建议。
2 云计算的安全问题
云计算安全问题主要指云计算应用安全,对此国内外有相当多的研究,包括云安全联盟(CSA)、欧盟网络与信息安全局 (EINSA)、美国国家标准技术研究院(NIST) 等。从相关研究看,云计算安全问题主要是用户数据安全、云计算服务的可用性、法律法规的遵从性风险等。
2.1 CSA 关于云计算的“七宗罪”
2009年,云安全联盟 (CSA)和惠普基于对29家企业、技术供应商和咨询公司的调查,列出了云计算的七宗罪。一是数据丢失或泄露,云计算中应用程序接口访问权限控制以及及密钥生成、存储和管理方面的不足都可能造成数据泄露。二是共享技术漏洞,云计算环境中的很多虚拟服务器共享着相同的配置,简单的错误配置都可能造成严重影响。三是恶意内部人员,云计算服务提供商对工作人员的背景调查不够,可能导致可内部人员私自窃取用户数据等行为。四是账户、服务和通信劫持,云计算的身份验证机制如果很薄弱,入侵者就可以轻松获取用户账号并登录客户的虚拟机。五是不安全的应用程序接口,接口质量和安全没有得到保障以及第三方插件的安全。六是云计算的不良应用,黑客可能迅速部署新的攻击技术。七是未知的风险,包括未知的安全漏洞、软件版本、透明度等。
2.2 ENISA 关于云计算最重要的八个风险
2009年ENISA发布了《云计算 :好处、风险及信息安全建议》, 从企业角度出发指明了云计算可能带来的好处,并提出安全仍是云计算应用面临的首要问题。云计算最重要的安全风险包括:一是企业丧失对部分安全管理的控制权; 二是企业必须锁定一个云服务提供商, 很难将数据、应用等从一个提供商迁移到另一个或企业内部IT环境中;三是多租户共享云计算资源情况下,若缺乏有效的隔离机制将可能导致不同租户的存储、路由甚至声誉混淆;四是若云服务提供商不能提供证据证明其符合监管要求或者其不允许用户进行安全审计,则法律法规和监管遵从将是一个问题;五是企业很难知道云服务提供商如何处理数据;六是云服务提供商可能不安全或不完全删除用户的数据;七是云服务提供商内部的恶意行为可带来较高的安全风险;八是用户通过互联网获取服务带来了安全风险,尤其是是与远程访问和浏览器漏洞结合。
2.3 NIST 关于公共云计算关键性的安全问题
2011年1月,NIST发布了《公共云计算安全与隐私指南(草案)》,指出安全是公共云计算面临的最大障碍, 公共云计算给安全带来了积极方面,包括安全人员专业化、云计算平台强度使安全管理更易实现、资源可用性有利于抵御攻击和实现快速恢复等,但也带来一些潜在风险,一是云计算环境复杂,这产生了比较大的受攻击面;二是多租户共享计算资源,增加了网络和计算基础设施的风险,一个用户的数据和应用可能在无意中暴露给其他用户;三是公共云计算通过互联网交付,用户的应用和数据面临来自网络和暴露接口的威胁;四是用户失去了对系统和数据在物理和逻辑上的控制,这减小了用户对维持在安全和隐私保护中的处境意识、权衡选择、轻重缓急和作用变化等。NIST指出,公共云计算面临的关键性的安全与隐私问题主要有管理、法律法规的遵从、信任、云计算体系结构、身份与访问控制、软件隔离、数据保护、可用性、事件响应等。
3 主要云服务提供商的安全机制
亚马逊、IBM、微软等云服务提供商,为提高云计算服务的安全性和可靠性,提供了一套安全策略和机制。
3.1 亚马逊 EC2 的安全机制
亚马逊是云计算的最早推行者,2006年8月发布了弹性计算云受限版本。EC2使用户可以在任何时候根据需要简便地创建、启动和供应虚拟实例,用户无需建立自己的云计算平台。EC2提供了一系列的安全机制。
一是安全组。在EC2环境中启动的所有虚拟实例都在一个安全组中运行。每个安全组定义自己的防火墙规则,为在组中运行的实例指定访问限制。可以根据IP地址或无类域间路由 (CIDR) 规则授予或限制访问权,CIDR规则允许指定端口范围和传输协议。还可以控制对指定的安全组的访问, 从而自动地允许或拒绝这些安全组中运行的所有实例访问客户的实例。
二是安全密钥对。安全密钥对是在启动实例时指定的公共 / 私有SSH密钥对。必须提供安全密钥对,才能登录启动的实例控制台。EC2把密钥对的公共部分添加到启动的实例中, 然后客户可以使用私有密钥通过SSH登录实例。
3.2 IBM 的云计算安全框架
2007年11月IBM推出了“蓝云 ”计算计划。“ 蓝云”建立在IBM的大规模计算技术的基础上,结合了IBM自身的软、硬件系统以及服务技术 ,支持开放标准与开放源代码软件。IBM认为保障云计算的安全性迫在眉睫,在云计算环境下,客户有一些新的安全需求需要满足。
一是用户与身份。客户需要确保授权用户可以访问所需数据和工具,并可在需要时阻止未授权的访问。二是数据与信息。大部分客户将数据保护作为他们最重要 的安全因素考虑,主要包括数据如何存放及访问,法规遵从及审计要求,数据丢失对企业业务影响等问题。三是应用与流程。客户通常会考虑云应用的安全需求即镜 像安全。过去传统的应用安全需求同样适用于云中的应用,但他们延伸到承载这些应用的镜像。云提供商需要遵循及支持安全的开发过程。四是网络,服务器及终端。在共享的云环境中,客户需要确定每个独立的域之间是相互隔离,且数据和交易不会从一个域漏到另一个。客户需要能够配置可信任的虚拟域或基于策略的安全域。五是物理基础架构。 云的基础架构,包括服务器、路由、存储设备、电力设备及其它支持运维的组件需要从物理层面上得到安全保管。
3.3 微软 Windows Azure 云计算平台的安全措施
2008年10月,继亚马逊、IBM和Google之后,微软推出了名为Windows Azure的云计算计划。Windows Azure的主要目标是为开发者提供一个平台, 帮助开发可运行在云服务器、数据中心、Web和PC上的应用程序。微软注重从技术层面提高安全性,相应措施包括:强化了底层安全技术性能,对云计算平台操作系统内核进行了改进,采用了全新的安全模式,使资源既有连续性又有相对独立性;推出了全新的安全机制Sydney,把用户的云资源与网络虚拟化分隔开来,提供企业内部数据中心设备和云中设备之间的安全连接, 同时Sydney安全机制能够聚合任意两个终端,以创建高效安全的虚拟网络覆盖结构。在硬件层面提升访问权限安全,采用比用户名、密码更为可靠身份认证机制,例如在针对美国联邦政府发布的云计算产品中,微软采用了后台指纹验证和其他生物特征识别技术。此外微软还建立基于风险的信息安全管理控制框架,通过全面的信息安全方案和采取成熟的方法、经常性的内外部评估,以及跨越所有服务层的强大的安全控制来确保客户的数据和业务;引入第三方安全服务提供商,通过获取第三方认证、信息披露等措施增强客户的信任。
4 美国确保云计算应用安全的实践
为了缩减其IT成本、提高IT资产的利用效率,美国制定了“云计算优先”政策,旨在通过共享资源等重组联邦政府的IT架构。在为政府部门提供一个安全、可信的云计算运行环境方面。
4.1 出台联邦政府云计算战略
2011年2月,美国发布了《联邦云计算战略》。战略明确了云计算的定义、五个特点和部署模式,清楚阐述了云计算带来的好处和利益,提出了政府在云计算迁移中应当考虑的战略性问题, 明确政府在加速云计算采用、降低云计算风险中的职责和角色等。2012年2月联邦首席信息官理事会和首席采购官员理事会发布了《在云计算环境下采购IT指南》,列出了政府在采购云计算中需关注的多个关键领域:选择适合的云服务和部署模式;将云服务提供商和终端用户的协议纳入政府采购协议和条款中;明确界定云计算服务提供商、集成商、政府机构等各方的责任;采用NIST的“云计算参考架构”;明确对云计算服务商的安全要求等。
4.2 制定标准明确云计算安全控制要求
为了分析政府部门采用云计算所面临的安全风险, 美国政府委托NIST等机构开展了技术和标准化支撑工作。NIST发布了一系列的云计算标准,包括云计算的定义、云计算概要和建议、云计算标准路线图、云计算参考架构、云计算技术路线图等。2011年11月,NIST发布了《联邦政府部门应用云计算的安全要求(草案)》,概括了联邦政府应用云计算面临的安全和隐私挑战,提出了目前联邦政府已经采取的减轻安全风险的措施,并提出了相关建议。报告列出了政府在采用云计算时重点关注的过程管理安全要求和技术性安全要求, 前者涉及NIST SP800-53对基于云的信息系统的安全控制、云审计确保和日志敏感性管理、云认证指南、云隐私指南等,后者涉及对用户的可视性、用户可控、数据保护、账户被入侵风险、身份与访问控制管理和授权、事件响应等。
4.3 实施“联邦风险和授权管理项目”
2011年11月美国建立了“联邦风险和授权管理项目”来管理联邦政府部门采用云计算的安全,项目主要目的是:确保基于云计算的信息系统具有足够的安全保障措施;消除政府部门之间重复工作、降低风险管理成本;方便政府部门实现快速云计算服务采购。项目程序是云服务提供商实施“联邦风险和授权管理项目”安全控制要求, 由第三方评估机构对其进行独立的评估,通过评估联邦机构可以给予云服务提供商授权,对于授权的云服务提供商会进行定期的监视和评估,以确定其已部署的安全控制机制是否持续有效。
5 提高我国云计算应用安全的建议
5.1 出台云计算应用指导政策
我国在云计算技术创新、产业发展、基础设施建设方面已经出台了一些政策,但是与美国、欧盟等相比,在云计算应用指导方面还缺乏相应政策。为促进云计算在政府部门等领域应用, 应当出台政策对用户选择云服务提供商、与云服务提供商制定协议、对云服务提供商的安全控制措施、对云服务提供商的安全资质、法律法规遵从等予以指导,确保云服务的安全性。【下转第13页】
5.2 加快建立云计算安全标准体系
当前国际上正在积极推进云计算的标准化进程,包括云计算互相操作和集成标准、云计算的服务接口标准和应用程序开发标准、云计算不同层面之间的接口标准、 云计算架构治理标准、云计算安全和隐私标准等都在积极研发中。我国应加快云计算技术以及服务的运营管理 标准制定工作,更要注重建立云计算安全标准体系。建议参考美国做法,研究制定云计算安全标准体系框架,并着重研发政府部门云计算安全的标准规范, 制定云服务提供商向政府提供服务应该满足的基本技术和安全要求, 确保政府数据和业务在公有云计算环境下安全。
5.3 加强对云服务提供商的安全管理
参考美国联邦风险和授权管理项目的做法,研究在我国开展云计算安全评估和授权的可行性,尝试建立云计算服务商评估和授权制度,加快制定云计算服务的评估和认证等方面的管理规定,明确云服务提供商应当采取的安全控制措施的最低标准,包括建立完善的密钥管理、权限管理、云安全认证监测服务等多维安全机制,完善安全防护体系、制定云数据备份和云恢复计划等,对云计算服务提供商的安全保障能力进行评估。
云计算安全问题 篇2
1关于云计算的相关内容
云计算的一种继分布式计算、网格计算、对等计算之后的一种基于互联网的新型计算模式云计算对于计算机发展的影响是巨大的，这种新型的技术，涉及到了服务器、网络、存储、安全等从底层基础架构到上层应用的各个层面，是企业或个人用户通过与云计算的服务进行合同的签订，使用云服务的供应商提供的硬件或者软件的资源按照合同的内容以最小的投资最终来完成计算任务的过程按照服务的类型，云计算大体上可以分为基础设施即服务、平台及服务以及软件即服务这三大类
关于云计算应用安全问题的探讨 篇3
【关键词】云计算；云安全；网络安全技术
【中图分类号】TP393【文献标识码】A【文章编号】1672-5158（2013）02-0032-01
1.云计算应用存在的安全风险
云计算应用为广大用户提供了极大方便，但是由于其将大量的用户、信息资源集中化，一旦出现安全事件，其后果和风险不堪设想。09年，谷歌、微软、亚马逊等公司的云安全系统都出现了不同程度的故障，对客户的信息服务产生了重大影响，也使得业界人士更加重视云计算应用的安全问题。
1.1 云主机服务安全问题
（1）云计算用户实名认证机制尚未建立。在用户注册时，系统要求用户必须填写真实姓名、有效证件号码和联系方式等，但这些信息的真实性值得商榷。如果个别不法分子用伪造的身份证，成功获得云主机资源的使用权后，肆意发布不良信息，或者从事黑客活动，很难追根溯源，落实当事人身份成为一大难题。
（2）云计算资源分配缺乏有效控制。用户只要向账户中充值，或者满足一定条件成为VIP用户，即可申请使用云主机功能，用户藉此可运作任何互联网业务。虽然安全备案选项中规定用户想要开办网站必须提供备案号，但实际中，系统一般不会对用户的主机实行端口限制，也即允许用户可使用云主机开展任何网络业务。
（3）云计算主机存在安全漏洞，面临黑客攻击风险。一般的云主机都提供了木马扫描和杀毒服务。但是，是否安装只取决于用户，而且此类防护级别较低，只针对Windows终端，云主机面临攻击的风险较大。
1.2 PaaS服务安全问题
开发者通过PaaS平台提供的受限托管环境，能够进行应用开发，并使用诸如内存缓存、下载存储、任务队列一类的服务。其潜在的安全问题包括以下几方面：
（1）信息发布服务的审核环节较为宽松，缺乏备案。PaaS服务具有信息发布和托管功能，并且有良好接口，可以方便的与微博、微信等第三方应用平台配合使用，借助API方式供他人使用。不过现阶段的大部分PaaS应用都没有独立备案。
（2）平台漏洞可能导致越权访问。PaaS平台的应用开发环境有限制，但其编程环境的技术漏洞被利用后，用户便可以访问底层资源，盗用其他用户信息。公共服务层的漏洞会导致非法访问剧增，并造成网络资源浪费。
1.3 云存储安全问题
微盘默认给用户1GB的存储空间，部分微盘为方便用户同步文件，还提供桌面或网页客户端，微盘发布信息的自由度较大，这是最主要的安全问题。当前，微盘用户身份无需验证。分享发布信息愈发方便快捷，这使得微盘信息的覆盖面广、传播速度快，这为恶意程序、不良信息的散布提供了温床。
1.4 SaaS服务安全问题
SaaS服务是面向企业单位，主要有以下两个问题：
（1）数据丢包和服务宕机。企业启用SaaS服务后，会将关键数据和日常事务信息同平台关联，服务可靠性、数据保密性是关键点。
（2）商业机密遭窃风险。SaaS的应用环境较为宽松，公共服务平台、应用软件本身、底层设施对SaaS用户均是完全透明，SaaS平台企业的品牌度、信赖度需要接受第三方部门的监管。
2.应对策略和建议
根据服务对象和服务范围的不同，云计算分为私有云、公共云和混合云三种。私有云安全实现较容易，传统IT保护措施可直接应用到私有云上。后二者安全性要求较为复杂，需要云计算运营商和客户配合实施。
2.1 云计算服务提供商
数据安全性、计算环境隔离、服务质量保证都是运营商要重点考虑的内容。结合现阶段云计算应用面临的各种安全问题，建议采取以下应对策略：
（1）提高云计算系统的稳定性、连续性，建立完善的系统安全防御机制。
A.严格限制恶意程序、病毒木马在云计算平台中的传播，一经发现，及时查杀；
B.建立实时监控系统，对云计算系统的数据包进行筛选，同时关注系统运行状态，及时修复网络故障，并有相应的应急预案；
C.部署防火墙或与大型软件公司合作，防范黑客攻击造成的服务器瘫痪；
D.完善云计算平台的容错能力，重要系统、数据要进行异地备份；
（2）加强对用户信息的保护。
A.对用户信息进行隔离保护，确保用户信息能够安全存储，并建立明确的用户边界逻辑关系；
B.在用户传输数据时，藉由数据加密、VPN等技术保证传输的单向性和安全性；
C.完善数据加密和密钥管理机制，定期进行用户信息的管理维护；
D.在发生突发状况时，要能够在最短时间内为用户恢复数据。
（3）身份认证控制
要有严格的身份管理制度、安全认证机制和分明的访问权限设置，并保存用户访问记录，方便日后查询。
（4）云计算数据中心的安全审查机制亟待完善，要成立专门的班组成员进行日志审查管理，及时了解云计算服务器的操作、维护、检修情况，一旦出现违规现象，要及时纠察。
2.2 云计算用户
广大用户首先要对云计算有一个清晰的认识，明确云计算服务与自身业务的结合点，节本增效、事半功倍；同时也要采取必要的手段，尽量降低云计算服务迁移可能带来的安全风险。
（1）私有云业务
私有云应用范围较小，一般在企业内部，安全风险较低，常见的问题有软件许可等级、应用稳定性、SLA等。用户需要采取成熟的技术实现手段，做好运行管理工作，具体的方法可以参照上文。另外，系统容错、数据还原机制也要逐步完善，提高企业应对各类突发事件的能力。
（2）公共云业务
A.选择信誉好的云服务运行商，降低连带业务风险；
B.有选择性的进行业务迁移。对于核心知识产权、关键技术一类的敏感信息，在做好万全的测试验证前，最好不要盲目迁移；
C.对协议内容有一个清晰的把握，诸如SLA协议、隐私协议等敏感之处，要倍加小心，企业应要求服务商及时更新数据系统，实现与自身业务的良好匹配；
D.了解服务商的数据存储地点，在必要时，要抓住数据存放点的主动权，避免因不同地区、国家的法律差异而引起的业务纠纷。
再者，云计算服务的涉及范围多是一些敏感重要的信息，政府和监管部门要制定相关的法律法规，保证云计算应用服务的安全性和法律适用性。
结束语
安全是云计算实现长久发展的基石。只有为用户提供可靠稳定、方便快捷、性价比高的云计算服务，企业才能获得可持续发展。相信随着云计算市场的完善，以及政府部门针对这一块的法律条文的健全，云计算服务将会焕发出勃勃生机！
参考文献
[1] 《虚拟化与云计算》小组.虚拟化与云计算[M].北京：电子工业出版社，2009.
云计算安全问题研究 篇4
1 云计算概述
云计算是信息技术产业发展到一定阶段的产物, 其概念是由Google在2006年提出的一种网络应用模式, 云计算服务可以是IT互联网相关的的服务, 也可是其他的服务, 云计算服务具有超大规模、虚拟化、可靠安全等独特功效。在2009年, Google、IBM、Amazon和Microsoft等世界IT巨头都建立了自己云计算服务平台, 向全世界提供云计算服务, 我国清华大学在2008年3月也参与了Google和IBM联合推广的“云计算”计划。
云计算是一种商业实现, 其基础是资源的“整合”。云计算具有并行处理、分布式处理、网格计算、网络存储等特性, 云计算将所有的信息资源都整合到云存储中心, 终端用户只需要连接互联网便可以享受到云存储中心的资源。通俗的说, 云计算是服务的商业实现, 用户向提供云计算服务的运营商支付费用即可享受该云计算服务, 运营商提供存储数据的服务器集群, 负责数据存储的安全。
1.1 云计算特点
云计算为终端用户提供高效、安全、可靠、快速的数据存储服务, 使得用户从以桌面为中心的应用转移到以Web为中心的应用, 其主要特点如下:
1.可靠性:云计算提供可靠的数据存储服务, 其保存的数据可以实现同步传递, 并且所有终端设备都可以通过Internet使用云服务, 这样就保证了数据的存储可靠性, 避免应其他问题导致的本地数据丢失的问题。
2.强大的运算能力:用户使用终端设备通过Internet在云端可以进行复杂的计算, 完成普通终端设备无法计算的各种业务需求。
3.方便快捷的服务:终端用户只需要一台能连接Internet的设备, 使用浏览器便可方便快捷的使用云计算服务。
4.扩展性强:针对用户来说, 云端是一个可以无限存储的超大空间, 用户的各种资源都可以随时存储到服务中来, 而且云计算的各个节点也可以进行互换, 因此保障了其高扩展性能。
1.2 云服务类型
对于数字资源信息平台的云使用和云服务的云分为三种:私有云、公共云、混合云。这三种云为数字资源信息平台提供统一的接口和服务。
1.私有云模式:私有云是指单个用户使用的云, 根据用户的需要提供相应的设施和服务, 包括服务器、存储器等。用户可以操作使用那些设备和服务, 控制云端程序的运行。其特性是安全性、可用性、扩展性都能灵活控制, 缺点是成本高、投入大。
2.公共云模式:由第三种运营商提供的云服务, 各种不同类别的终端用户在该云服务中存储数据, 这些用户互不相干, 不知道运行在其作业的服务器上还有哪些其他用户也在运行。该模式目前最大的问题是数据不存储在自己的数据中心, 其安全性存在一定的风险。
3.混合云模式:该模式是私有云模式和公共云模式的一个延生, 终端用户拥有部分私人资源, 也拥有部分公共共享资源。
2 云计算服务安全
2.1 云计算平台架构
云计算服务平台一般分为五层:基础设施层、平台服务层、云端服务层、应用服务层、用户接口层。该架构如图1所示。
基础设施层:平台的底层, 提供IaaS, 为上层提供设施、计算、通讯等资源。该层分为又分为两个子层, 虚拟化子层和物理硬件层。顾名思义, 物理硬件层是由服务器、存储器等真实存在的设备构成的层, 虚拟化子层使用虚拟化资源对物理硬件层设备进行管理的层, 由各类虚拟机组成, 例如VMware。
平台服务层:提供PaaS, 即为云计算平台提供的一个供开发人员的开发环境和公共API等。公共API可以以多种样式提供给开发人员, 本系设计为以Web Service的方式提供给开发人员, 从而可以免去开发人员的基础开发工作。
云端服务层:根据业务逻辑形成的实际的程序处理流程, 而且业务逻辑的变化可以根据业务的变化的改变而改变, 以统一的Open API接口方式提供给用户, 确保了该层的稳定性、易维护性。
应用服务层:提供SaaS, 给终端用户提供应用服务的层。其中, 云计算是通过SOA原则建立的一个以数据中心为基础设施的架构, 与用户进行交互。
用户接口层:提供客户端访问云端的接口, 该接口有传统的图形接口和基于Web的接口。
2.2 信息安全管理体系架构
信息安全有一套完善的安全管理体系, 该体系分为三层:安全管理、安全运行、安全实现。主要包括身份管理、访问控制、内容安全、监控神级、备份恢复等。
2.3 云计算带来的安全问题
云计算给用户带来方便的同时, 也给信息安全带来了众多问题, 主要包括以下几点:
1.数据恢复难度大, 在提供云计算的服务中, 用户不知道自己的数据存放的位置, 当云计算提供商发生服务器灾难时, 用户数据将无法进行恢复, 除非数据经过备份。而且, 当用户在使用云服务进行数据运算时, 遇到断电等不可抗拒因素时, 用户的数据将完全丢失。
2.数据安全程度低, 用户将自己的私有数据保存在云端, 如何保证用户的私有数据部外泄成为一大难题。而且, 在云计算体系下, 所有用户的私有数据全部处于共享环境中, 虽然目前云计算服务提供商对数据进行了加密, 但是单凭加密是远远达不到数据安全的要求, 而且倘若加密体系出现问题, 那么所有的数据将不可恢复。
3.数据传输安全低, 在使用公共云服务时, 如果对传输的数据部进行加密处理, 数据将有可能丢失, 这是最大的威胁。在传输的过程中, 传输协议也至关重要, 非法的或者不合格的传输协议也有可能导致数据的不完整性。
4.数据隔离, 对于Paas和Saas应用来说, 存放的数据是不能够被加密的。这样没有被经过加密的数据很有可能被云计算服务提供商和“邻租”用户进行盗用, 例如当考试题目和答案同时存放在同一云端时, 如果题目和答案隔离的不够清晰, 将会导致考试混乱。
5.数据残留, 用户删除自己保存在云端的数据时, 其残留的数据可能会泄露用户的敏感数据, 如何保证在前一用户使用的空间完全释放的情况下再分配给其他云用户, 是保证残留数据不会影响用户隐私的一大关键。
2.4 安全策略
在基于云计算的应用中, 信息安全问题是一个重要的问题。一旦云计算服务提供商将数据丢失或者数据泄露, 都将造成前所未有的损失和灾难, 因此提高云平台的信息安全问题是不可忽视的问题。如何建立安全策略呢?本文将给出以下解决方案:
1.对数据进行加密。普通用户使用云计算服务时, 采用加密技术对私有数据进行加密处理或者在数据传输前对数据进行加密, 然后将加密后的文件传输到云端。加密文件可以保证数据的安全性, 及时数据被其他用户盗用, 也不用担心数据泄露的问题。目前TrueCrypt程序能提供强大的加密处理。
2.选择信誉好的云服务提供商。目前云服务提供商众多, 让用户感觉眼花缭乱, 而且对于在网上处理的文件活动很难进行保护。本文认为使用云计算服务时, 首选选择信誉好、名气大的云服务提供商, 例如Google、IBM等国际知名企业, 这些大品牌不会使用本身的名誉来冒险。
3.首选付费的云服务。在用户无法选择哪些云服务具有较高的安全性时, 可以首选付费云服务, 付费云服务较免费云服务有着更好的安全。
4.使用过滤器。过滤器的目的是监视用户的哪些数据离开了用户的网络, 对于敏感的数据可以进行阻止离开, 可以有效防止数据外泄。目前Vontu.Websense等公司都提供了一套完善的过滤器系统。
5.使用安全性高的传输协议。对数据传输协议, 首选SSL、PPTP和VPN等不同的方式进行数据传输。
3 结束语
云计算是一个新兴的领域, 其安全问题也成为当前社会关注的焦点问题, 本文通过上述安全问题的分析和相应安全策略的研究, 可以有效降低使用云计算服务时的安全威胁问题。不过随着云计算技术的不断发展, 更多的安全问题将会出现, 这就需要云计算服务提供商不断改进措施和策略, 保证云中数据的安全, 为用户提供更高价值的服务。
参考文献
[1]王鹏, 黄华峰, 曹珂.云计算:中国未来的IT战略[M].北京:人民邮电出版社, 2010:1-2.
[2]Edwards John.Cutting through the Fog of Cloud Security[J].Computer world, 2009:43 (8) :36-39.
[3]朱源, 闻剑峰.云计算安全浅析[J].电信科学, 2010, 6:52-54.
云计算安全问题 篇5
摘要：本文对云计算进行简介，详细探讨了云计算存在的信息服务安全问题，全面论述了提高云计算下信息安全的策略。
关键词：云计算；信息安全；策略
引言
目前，互联网技术及计算机技术的迅猛发展，云计算技术是计算机技术发展到一定时期的融合性产物，属于新的服务模式。基于云计算，用户只需要对业务逻辑进行关注，使得用户从易错、复杂的计算
机专业管理中得到解放。云计算对传统信息安全有直接的影响，尤其是通过云计算平台，使得传统反病毒、入侵检测等服务质量不断提高。
云计算概述
随着互联网研究的深入，对于网络大规模协作问题，学术界出现了网格计算（GridComputing）、按需计算（On-DemandComputing）以及效能计算（UtilityComputing）等概念及计算模式。而事实上截止到目前，对于云计算的定义，学术界并没有广泛接受。在上个世纪的 图灵奖得主 McCarthy 最早提出了云计算的设想：“在不远的将来，计算有可能成为一种公共基础设施。”云计算实际上实现了将并行计算、分布式网络、网络的存储以及互联网相融合。基于此，对于狭义上的云计算指的是对于 IT 基础设施交付以及使用的方式，指的是基于网络按照需求，可扩展性的形式得到的资源；而对于广义云计算的而言，指的是服务交付以及使用的模式，利用网络通过按需，易扩展得到的服务。云计算表示实际上计算能力可以成为一种商品实现在互联网的流通。通过以上分析，基于云计算定义其基本的四个特点，即资源分享、随时取用、资源的自行配置以及可扩展性。云计算存在的信息服务安全问题
（1）数字信息被非法盗取。分布式网络是云计算的基础，在网络中任何一个用户都是一个节点，通过云计算服务时必须进行网络的连接，另外，基于某些网络协议也实现了用户之间的访问。用户在享受云计算的服务时，其数据被存放于云端，这样对于联网的情况下，非常容易受到黑客以及其他恶意组织的攻击。
（2）数字信息被非法利用。对于云计算服务下，用户的数据非常容易被复制、转移、传播。另外，用户存放在云端的数据具有不可控性，因为信息的不对称，造成了在用户不知情的情况下，用户在云端的数据被由于商业利益、私人利益而非法占用，用户却不容易发现。一般情况下被非法占用的数据都具有很高的经济价值，比如科研成果、文学作品、艺术作品等，这无疑带来了很大的知识产权问题。由于当前对于云计算服务商存储在云端的数据，黑客的关注越来越高，而信息被盗用不易察觉，因此，即使云计算服务商发现问题，也大多不会承认。（3）数字信息被破坏或者篡改。云实际上对于利用云计算服务的用户而言就是一个黑匣子，用户不明确服务器对数据的处理，此时数据是否会丢失，数据是否完整
是不确定的，当出现问题时就有可能造成数据不能被修复。
提高云计算下信息安全的策略
（1）多安全域防护。云计算不可能和传统的计算模式一样，进行安全区域的划分，因此，必须对基于云计算的环境的应用和数据进行多层次的多级别的安全域的设置。就不同的安全域而言，存在全局及局部策略，并且应该对于不同的安全域的互操作进行识别及隔离。
（2）可靠的接入认证。因为具有大量的应用云计算服务的用户，因此必须对用户身份进行验证，对访问列表进行维护。用户及密码的密码认证，指纹机视网膜扫描的生物认证，U 盾及密保卡的证物认证等是流行的认证方式。基于密码认证的方式，方便快捷，然而和其他两种认证相比安全性不高。虽然生物认证的硬件成本比较高，但是在未来的发展中具有优势。（3）高效的服务。云计算服务可以提供实时的服务，从而使得因为自身问题造成的服务延迟等问题得到编码，用户不受时间或者空间的限制，可以及时获得需要的服务或者数据服务。（4）可信的审计监管。事实上通过用户以及云计算提供商进行云计算安全秩序的维护是不够的，通过政府以及学术团体出台的完善的法律法规进行
监管的第三方监管方案，使得云计算服务的发展更好。（5）数据维护的安全性。在云计算服务商提供的服务器中，用户存储数据，云计算服务商能够确保数据的保密性、完整性及一致性。可以对数据进行校验，并且通过监管以及审计部门等权威部门进行监控。
结束语
作为新兴的信息服务模式的云计算，具有成本低、工作效率高、使用便捷等特点，现阶段使用这种服务模式的个人和组织数量较大，分布行业也十分广泛，也呈现出十分明显的增长趋势。然而，云计算服务中信息安全直接影响着人们的使用，专家学者对云计算信息安全给予极大的关注。构建云计算技术信息安全体系，确保云计算下信息安全，从而使得云计算服务得到可持续发展。
参考文献
[1]刘晓星．云计算对传统信息安全领域的影响及应对策略[J]．中国校外教育，2016,(2)
[2]张宝胜，邹本娜．浅谈云计算与信息安全[J]．计算机安全，2014,(4)
[3]廖建飞，黄进财．云计算中的数据安全分析[J]．价值工程，2016,(8)
[4]张宝胜，邹本娜．浅谈云计算与信息安全[J]．计算机安全，2014(4):68-70
云计算安全问题 篇6
关键词：云计算 网络环境 信息安全
中图分类号：TP393文献标识码：A文章编号：1674-098X（2014）11（c）-0032-01
信息社会出现了许多信息系统上的漏洞，这些漏洞如果没有得到及时修复，就会威胁到国家的安全，而国家信息系统安全性缺失，就会导致社会发展遭到毁灭性打击，甚至引起政治动荡、国防危机等问题。在信息化社会中，信息安全不仅是一种技术问题，而是每个国家都需要解决的安全问题，对国家平稳发展有着非常重要的影响。
1 云计算概述
1.1 云计算原理
云计算（Cloud Computing）是近几年研发出的新型计算方式，是基于分布式处理、并行处理、网格计算技术上发展出的新型计算模型，是一种共享基础的新型架构方式，通过超大规模分布式环境，实现数据存储与网络服务功能。云计算的根本就是“计算即服务”，在互联网上获得服务资源。云计算中包括数量极大的计算机，但是对于使用者来说，只需要应用统一服务界面就可以完成操作，用户通过互联网可以直接使用功能强大的云计算机。云计算的原理就是将数据处理任务通过网络进行处理，根据企业级数据处理中心处理用户的数据，之后通过统一的数据中心向多个用户提供数据服务，为个人用户节约资源。云计算通过计算分布模式，在大型分布计算机上存储或发送数据，而不是仅仅局限在远程服务器与本地计算机上，企业级的数据处理中心，可以更加流畅的调动数据资源，用户根据个人需求调动计算机存储系统。
1.2 云计算优缺点
（1）云计算优点。云计算的部署与配置十分方便，可以直接通过Internet为用户访问提供服务；可扩展性极强，云计算可以无缝扩展到大规模集群上，甚至可以共同处理几千个节点；可用性极高，云计算可以忽略部分错误节点，甚至大多数节点失效也不会造成程序崩溃；可以实现资源共享，告别了传统的互联网技术只能实现软资源共享，通过云计算，完全可以实现软资源与计算机硬资源的共享；减小投入费用，全部的管理与维护皆由云计算供应商提供。
（2）云计算缺点。云计算的安全性问题时有发生，服务质量存在问题，其中包括性能、可用性等。与传统业务无法快速平稳过渡，容易发生垄断问题。
2 云计算信息安全防护措施
2.1 正视云计算的发展潜力
近几年云计算技术不断成熟，而云计算网络环境下的信息安全防护问题，已经成为信息防护技术的主要发展方向之一，所以互联网监督部门必须了解云计算的发展潜力，正确认识云计算信息防护的重要性，积极促进云计算环境下的信息防护能力发展。面对信息化发展的大环境，为了提高云计算网络环境下的信息防护水平，有关部门必须了解云计算技术中存在的问题与需要优化的部分，针对问题制定解决措施，这样才能有效的加强信息安全保护水平，实现云计算网络环境下的信息安全防护。
2.2 建立运营商信息保障平台
我国互联网行业竞争十分激烈，运营商之间的竞争使市场环境更加复杂，运营商几乎都有独特的云计算平台，这种情况使信息保障无法形成统一的平台，也无法加强运营商之间的沟通与交流。分散的信息保障平台，根本无法完全发挥出互联网信息平台的全部效用，这也使得云端信息价值下降，最终造成云计算网络环境资源严重浪费。计算机技术使信息传输与储存更加快捷，而在互联网环境下的信息存储总量要超过历史各个时代信息的总和，这种情况说明了运营商如果继续采取各自为战的方式，那么将无法完成互联网大环境下的信息保障工作，而且也会影响运营商的日常运营状态。为了有效提高云计算网络环境的信息安全水平，各大运营商应当破开隔阂，共同建立统一的云计算信息管理平台，实现不同运营商的信息高度整合，最大程度的发挥云计算信息保障优势。通过高度整合的信息管理平台，可以有效的提高云计算技术发展，使云计算在网络环境下拥有更多信息保障技术的支持。
2.3 信息内容加密处理
为了提高信息安全等级，应当对云计算网络环境下的内容加密处理，在信息完成加密后，如果用户想要获取正确的信息，必须输入对应的密码才能获得信息资料。使用加密技术处理云计算网络环境下的数据内容，可以有效提升信息安全等级，即使文件被非合法用户发送到网络上，其内容也无法直接调出，可以使信息安全维持在可控范围内。一旦文件被破解或者脱离掌控，控制者可以采取PGP对信息进行保护，以这种方式，可以使信息在传输过程加密，使信息安全性得到有效加强。在云计算网络环境下，信息在传输阶段，控制者就可以对数据进行加密处理，通过加密后，可以使信息内容在传输过程中更加安全。为了解决云计算网络环境中存在的非法入侵者，需要处理API密匙，控制者在文件传输过程设置多个API密匙，可以有效降低黑客入侵几率，保证信息内容不会被盗取。
2.4 备份云计算信息内容
在云计算网络环境下，通过数据备份提高信息安全性，是非常重要的信息保护方法，可以为控制者提供多级别的信息防护。不同级别的数据防护在多个服务及上皆有数据备份，数据中心可以根据不同级别的安全要求调整服务级别，用户根据使用需求决定信息备份等级。
3 结语
信息化时代已经到来，为了在新的竞争中取得优势，我国必须加强云计算的研究与建设，通过云计算产业链的控制，提高云计算安全监控水平，积极参与国际合作，确保我国不会在云计算竞争中落后。
参考文献
[1]蹇旭，李雯雯.云计算中的网络安全问题及对策研究[J].电脑知识与技术，2013（14）：323-326.
[2]冯登国，张敏，张妍，等.云计算安全研究[J].软件学报，2011（22）：45-48.
[3]倪志宏.基于云计算的网络安全及管理应用研究[J].电脑知识与技术，2013 （13）：301-302.
“安全”云计算的首要问题 篇7
云计算的发展势头近年来日益迅猛,众多企业在开始享受云计算便利的计算资源服务、大数据沉淀与挖掘带来的产业创新的同时,业界也一直存在着关于云服务安全方面的挑战与质疑。2013年,亚马逊AWS战胜IBM获得美国中央情报局6亿美元云计算系统订单,给质疑云计算安全的声音泼了一次冷水,对全世界范围内的云计算云服务进程是一次不小的推动。
在中国,云计算服务经过3年多的发展实践,已经有了不小的规模,同时也产生了国外尚未涉足、对安全要求更高的金融行业等新的云计算服务领域。比如目前国内最大的单只基金——余额宝,国内第一家互联网保险公司——众安在线均是构建在阿里云的云计算平台上。
当然,对这一新鲜事物质疑与担忧也不少,据统计国内50%的企业不敢使用云计算服务的主要原因是对安全问题的担忧。
云计算更安全,是一个思维变革
云计算的特点是把信息化的资源颗粒化,比如存储、计算、软件、数据、管理资源,这些资源虚拟化而且被颗粒化以后形成各种资源池然后统一整合进行管理和利用,实时地按需分配。就好比是以前家家户户自己打井汲水,现在由自来水公司集中管理全市用水,并且通过管道将自来水输送到各家各户。从井水到自来水的变迁让千家万户喝上了放心水,省去了挖井打水的工夫,不会有人担心自来水公司被投毒而拒绝接入自来水。
“事实上,云比原来的方法更安全,就好像把钱放在银行事实上会比放在枕头底下更安全一样,需要克服的是心理障碍”。现任阿里巴巴集团首席技术官,也是阿里云计算有限公司、云OS操作系统的筹建者,并主导了阿里巴巴集团的去“IOE”革新的王坚博士认为这是一个思维变革的过程。
国内云计算安全获国际顶级认可
如同储户把金钱从枕头下存进银行是基于信任一样,用户是否选择使用云服务关键在于如何建立对云服务商的信任,而无论从阿里云还是用户角度来看,客观、公正的第三方权威认证是双方建立信任的基础,因此阿里云通过覆盖国际和国内、传统IT安全和云计算安全的一系列第三方认证构建起用户同云服务商间的信任纽带。
在国际方面,暨2012阿里云领先国内云服务商将ISO27001(信息安全管理体系)国际认证覆盖弹性计算、RDS(关系型数据库服务)、ODPS(开放数据处理服务)、OSS(开放存储服务)、OTS(开放结构化数据服务)、云盾(云安全服务)以及云监控服务后,于2013年阿里云 获得全球 首张云安 全国际认 证金牌(CSA-STAR),这是英国标准化协会(bsi)向全球云服务商颁发的首张金牌。这也是中国企业在信息化、云计算领域安全合规方面第一次取得世界领先成绩。
该认证是一项全新而有针对性的国际专业认证项目,旨在应对与云安全相关的特定问题。其以ISO/IEC 27001认证为基础,结合云端安全控制矩阵CCM的要求,bsi提供的成熟度模型和评估方法,对提供和使用云计算的任何组织,综合评估组织云端安全管理和技术能力,最终给出“不合格-铜牌-银牌-金牌”四个级别的独立第三方外审结论。
在国内方面,阿里云已通过公安部信息安全等级保护三级测评,测评对象覆盖弹性计算、RDS(关系型数据库服务)、ODPS(开放数据处理服务)、OSS(开放存储服务)、OTS(开放结构化数据服务)、OSS(开放存储服务)等云服务支撑系统。
云安全考验企业文化和诚信
众多企业对云计算服务心存顾虑的原因不仅是对安全防护的担忧,还有对敏感和隐私数据的保护缺乏信心。目前国内几大云计算服务商都是互联网巨头,这些巨头的业务覆盖范围十分广泛,几乎无所不包,拷贝复制的能力非常强大,中小型互联网创业公司可能将自己的业务和数据放到强大竞争对手的云平台上吗?
“这是一个有关企业诚信和文化的问题,短时间内无法证明。”王坚博士诚恳地回答,“淘宝2013年‘双11’的交易量达到350亿,却没有一分钱是淘宝自己卖出的。淘宝提供交易平台,阿里云计算提供IT服务,阿里金融提供融资贷款服务,这是阿里巴巴集团为中小型公司打造的一个创业服务生态链。”
“阿里云计算公司成立的初衷不是仅仅为支持本集团内部的业务系统,我们提供的通用的云计算服务可以帮助中小型企业摆脱IT的束缚,减少IT投入的成本和风险,让小公司做大公司才能做的事。云计算的发展需要一个生态圈,中国互联网的健康发展也需要一个生态圈,而不仅仅是几个互联网巨头,阿里巴巴集团的成功并没有堵住中小型创业公司的发展道路,而是在为中小企业的发展创造条件。”博士接着谈到。
云计算为国家信息安全等级保护工作提供便利
今天传统的网络安全产品提供商仍然在致力于逐门逐户地推广安全加固的“井盖和井水净化剂”,安全产品防御容量也从“企业级”走向了“电信级”。当很多单位和企业其业务互联网后面对用户不可预知的攻击动机所引发的“现象级”安全保障挑战时,其在信息安全建设方面曾经经历的“堆产品、上服务、组团队”等安全历程后、仍未能帮助解决“攻击难预测、服务响应慢、安全人才一将难求”等方面的安全问题。究其原因是对于“现象级”安全保障挑战,未能具备安全攻击自动响应、弹性防御的能力,从而无法保证安全防御能力不被海量用户的差异化访问而稀释。
云计算服务的集中化特点使得云服务商无论是从保障云服务安全性,还是提升用户使用云服务黏性的角度都需要提供“现象级”的云安全服务。这种特性不但使得用户的安全投入得以大大降低,更重要的是对于国家信息安全主管部门而言,为其信息安全监督和检查工作提供了极大的便利条件。改变过去系统和数据分散不易管控的局面,通过集中化的安全管理提高国家信息安全管理的水平,真正实现用户安全防御能力的可测量化。
从监管对象而言,国家信息安全等级保护标准体系目前基于信息系统而非平台的测评体系也同样面临云计算服务模式带来的挑战。这方面阿里云正积极会同公安部各测评、研究机构在公共安全领域试点等保要求在云计算平台落地的可行性,提升等保标准在新信息化服务模式下的生命力。
大数据挖掘的计算能力是国家竞争力
当各种数据在云计算平台上迅速沉淀,大数据的分析方法就有了用武之地。正如微软的Windows操作系统平台使美国成为全世界个人电脑的数据中心,GOOGLE的Android移动操作系统使其成为大部分移动终端的数据中心,各国云计算通用平台的竞争将是一个更大规模数据中心的竞争,具有重要战略意义。
“6年前全世界只有5%的手机使用美国公司的操作系统,如今80%以上的手机使用美国苹果公司的ios操作系统以及谷歌的Android操作系统。操作系统之上的软件只能控制很少一部分数据,无法保障数据安全。这也正是阿里云计算公司花大力气研发自己的阿里云移动操作系统的原因之一。”
基于互联网产生的大数据是国家的重要资源,今天我们看淘宝很重大的意义在于将国民消费行为产生的经济数据留在了国内,而不是国外互联网平台上。那么挖掘这些数据资源的计算能力,则是国家竞争力的体现。
云计算安全问题的研究 篇8
虽然云计算产业具有巨大的市场增长前景，但它在提高使用效率的同时，为实现用户信息资产安全与隐私保护带来极大的冲击与挑战。安全问题已成为云计算领域亟待突破的问题，其重要性与紧迫性不容忽视。
一、理解云计算
云计算是传统计算机技术和网络技术如网格计算、分布式计算、并行计算、网络存储、虚拟化、负载均衡等技术发展融合的产物，是一种新兴的网络商业模式。在云计算模式下，软件、硬件、数据等资源均可以根据客户端的动态需求按需提供。
云计算不仅是一种技术，更是一种服务模式。普遍认为云计算的服务模式可以分为三类:软件即服务，平台及服务以及基础设施及服务。这三类服务模式被认为是云计算体系架构的三个层次，但他们在技术实现上并没有必然的联系，Saa S可以在IaaS的基础上实现，也可以在Paa S的基础上实现，也可以独立实现;类似的，Paa S可以在IaaS的基础上实现，也可以独立实现。从Saa S到Paa S到IaaS的服务模式变迁中，客户或租户可以对更多的资源有着更多的安全控制。
云计算作为一种全新的商业模式，它改变了计算分布或分配的模式。根据计算分配模式的不同，云部署模式分为四种：公共云，私有云，社区云和混合云。这四种模式解决了诸如池化云资源这类广泛存在的问题。从公共云迁移到社区云以及从社区云迁移到私有云，客户或租户可以对更多地资源有着更多的安全控制。云模型如图1所示[2]：
二、云计算面临的安全问题
云计算服务基于宽带网络特别是互联网提供，面临各类传统安全威胁，且安全问题随系统规模化而被放大。另一方面，云计算与传统的计算模式相比具有开放性、分布式计算与存储、无边界、虚拟性、多租户、数据的所有权和管理权分离等特点，同时，云中包含大量软件和服务，以各种标准为基础，数据量庞大，系统非常复杂，因而在技术、管理和法律等方面面临新的安全挑战。此外，云计算系统中存放着海量的重要用户数据，对攻击者来说具有更大的诱惑力，如果攻击者通过某种方式成功攻击云系统，将会给云计算服务提供商和用户带来重大损失，因此，云计算的安全性面临着比以往更为严峻的考验。与传统IT安全比较，云计算特有的安全问题主要有以下三个方面：(1)云计算平台导致的安全问题。云计算平台聚集了大量用户和数据资源，更容易吸引黑客攻击，而故障一旦发生，其影响范围多，后果更加严重。此外，其开放性对接口的安全也提出了更高的要求。另外，云计算平台上集成了多个租户，多租户之间的信息资源如何安全隔离也成为云计算安全的突出问题。(2)虚拟化环境下的技术及管理问题。传统的基于物理安全边的防护机制难以有效保护基于共享虚拟化环境下的用户应用及信息安全。另外，云计算的系统如此之大，而且主要是通过虚拟机进算，一旦出现故障，如何快速定位问题所在也是一个重大挑战。(3)云计算这种全新的服务模式将资源的所有权、管理权及使权进行了分离，因此用户失去了对物理资源的直接控制，会面临与服务商协作的一些安全问题，如用户是否会面临服务退出障碍，不完整和不安全的数据删除会对用户造成损害，因此如何界定用户与服务提供商的不同责任也是一个重要问题。
三、云计算安全防护
3.1基础设施安全
基础设施安全包括服务器系统安全、网络管理系统安全、域名系统安全、网络路由系统安全、局域网和VLAN配置等。主要的安全措施包括安全冗余设计、漏洞扫描与加固，IPS/IDS、DNSSec等。考虑到云计算环境的业务持续性，设备的部署还须要考虑到高可靠性的支持，诸如双机热备、配置同步，链路捆绑聚合及硬件Bypass等特性，实现大流量汇聚情况下的基础安全防护。
3.2数据安全
云数据安全包含的内容远远不只是简单的数据加密。数据安全的需求随着三种服务模式，四种部署模式(公共云、私有云、社区云、混合云)以及对风险的承受能力而变化。满足云数据安全的要求，需要应用现有的安全技术，并遵循健全的安全实践，必须对各种防范措施进行全盘考虑，使其构成一道弹性的屏障。主要安全措施包括对不同用户数据进行虚拟化的逻辑隔离、使用身份认证及访问管理技术措施等，从而保障静态数据和动态数据的保密性、完整性、可用性、真实性、授权、认证和不可抵赖性。
3.3虚拟化安全
虚拟化的安全包括两方面的问题：一是虚拟技术本身的安全，二是虚拟化引入的新的安全问题。虚拟技术有许多种，最常用的是虚拟机(VM)技术，需考虑VM内的进程保护，此外还有Hypervisor和其他管理模块这些新的攻击层面。可以采用的安全措施有：虚拟镜像文件的加密存储和完整性检查、VM的隔离和加固、VM访问控制、虚拟化脆弱性检查、VM进程监控、VM的安全迁移等。
3.4身份认证与访问管理（IAM, Identity and Ac-cess Management)
IAM是用来管理数字身份并控制数字身份如何访问资源的方法、技术和策略，用于确保资源被安全访问的业务流程和管理手段，从而实现对企业信息资产进行统一的身份认证、授权和身份数据集中化的管理与审计。IAM是保证云计算安全运行的关键所在。传统的IAM管理范畴，例如自动化管理用户账号、用户自助式服务、认证、访问控制、单点登录、职权分离、数据保护、特权用户管理、数据防丢失保护措施与合规报告等，都与云计算的各种应用模式息息相关。
IAM并不是一个可以轻易部署并立即产生效果的整体解决方案，而是一个由各种技术组件、过程和标准实践组成的体系架构[3]。标准的企业级IAM体系架构包含技术、服务和过程等几个层面，其部署体系架构的核心是目录服务，目录服务是机构用户群的身份、证书和用户属性的信息库。
3.5应用安全
由于云环境的灵活性、开放性以及公众可用性等特性，给应用安全带来了很多挑战。云计算的应用主要通过Web浏览器实现。因此，在云计算中，对于应用安全，尤其需要注意的是Web应用的安全。要保证Saa S的应用安全，就要在应用的设计开发之初，制定并遵循适合Saa S模式的安全开发生命周期规范和流程，从整体生命周期上去考虑应用安全。可以采用的防护措施有访问控制、配置加固、部署应用层防火墙等。
四、结束语
本文针对云计算安全风险进行了深入的分析和探索，提出了一些较为合理的安全防范措施。但是，云计算安全并不仅仅是技术问题, 它还涉及标准化、监管模式、法律法规等诸多方面, 遵循已有的最佳安全实践可以加强云计算的安全。
参考文献
[1]中国电信网络安全实验室.云计算安全技术与应用.电子工业出版社.2012
[2] (美) Vic (J.R) Winkler著, 刘戈周, 杨泽明, 徐峻锋译.云计算安全架构、战略、标准与运营.机械工业出版社.2013
云计算时代安全问题浅析 篇9
1 云计算的概念
将大量用网络连接的计算机资源统一管理和调度,构成一个计算机资源网,这个网络即被称为云。在当前,云实际上更多的是指互联网,也指分布在互联网中的各种计算中心,其中包含成千上万、甚至几十万、上百万台的计算机和服务器。
什么是云计算?简而言之,云计算就是一种基于互联网的计算。云计算是网格计算(Grid Computing)、分布式计算(Distributed Computing)、并行计算(Parallel Co m putin g)、效用计算(Utility Co m putin g)、网络存储(Network Storage Technologies)、虚拟化(Virtualization)、负载均衡(Load Balance)等传统计算机技术和网络技术发展融合的产物,是一种新型的计算模型,其基本原理为:将计算任务分布在互联网中大量计算机构成的资源池中运行,而非在本地计算机或单一的远程服务器中运行,用户按需获取计算能力、存储空间和其它各种信息服务。
云计算服务可以分为以下三个层次的服务:(1)、基础设施服务(Infrastructure as a Service;Iaa S),如亚马逊公司的弹性计算云、IBM公司的蓝云以及Sun公司的云基础设施平台等;(2)、软件即服务(Software as a Service;Saa S),这是一种通过因特网提供软件的模式,用户无需购买软件,而是向云计算提供商租用基于Web的软件,用户只需一个浏览器,即可完成各种各样的应用,如Google公司的Gmail和Docs;(3)、平台即服务(Platform as a Service;Paa S),将软件研发的平台作为一种服务,以Saa S的模式提交给用户,Paa S是Saa S模式的一种应用,如Google App Engine和微软的Azure平台。
2 云计算时代的安全问题
关于云计算时代的安全问题,一直存在两种说法:一种认为采用云计算其安全性得到了增强,因为云计算服务提供商可以组织安全专家和专业化的服务团队来实现整个系统的安全管理,这比起不专业的个人维护来说要安全许多;另一种说法认为集中管理的云计算中心将成为黑客攻击的重点,由于云计算的开放性以及复杂性将存在更多各种各样可以利用的漏洞,其安全性更加令人担忧。事实上,基于云计算的各种应用的确存在安全问题,典型的一个例子是发生在2009年的Google文档外泄事件。2009年3月7日,全球众多的Google Docs用户打开自己的账户后发现多了不少陌生的文件,事实上,这些陌生文件的主人可能不知道自己的文件已经共享给了别人,当天Google发现了问题并迅速进行了处理,当用户再次打开账户时一切恢复正常,只是多了一封Google公司的道歉信。文档是恢复了原样,但是人们对云计算的信心并不能恢复到最初,2009年3月17日美国电子隐私信息中心向监管机构申诉,要求美国联邦贸易委员会禁止Google提供云计算的服务,直到后者的安全措施落实到位。
云计算由于其自身的特点,存在以下的安全问题:
2.1 数据的安全性问题
数据的安全性是云计算面临的最大安全问题,这可以细分到以下几个方面:
(1)、关于数据的访问权限。当用户将所属数据外包给云计算服务商或运行云计算服务商所提供的应用程序时,云计算服务商便获取了这些数据和应用的访问权限。由于种种原因,如很多云计算服务商的私有性质、云计算服务商内部人员失职等等,是否存在滥用这种访问权限造成用户利益的损失难以界定。云计算服务商也没有充分的证据让用户确信其数据被正确的使用,而没有被盗卖给其竞争对手。
(2)、关于数据存放的位置。若使用云计算,用户无法知道自己数据存放的具体位置,这也可能带来数据的安全问题。若数据被存放在不同国家,当由于某些原因,国家之间发生冲突,此时数据的安全可想而知。
(3)、关于数据的隔离问题。云计算中的数据不是存储在自家的硬盘里,而是上传至互联网中云计算服务商所提供的服务器等存储设备中。这些数据可能与其他用户的数据共用一台服务器,甚至是共用一块硬盘。那么这些存储在一起的数据是否进行了有效的隔离,若没有,就存在着极大的隐患。
(4)、关于数据的恢复问题。大家都知道,数据在使用时要进行有效的备份,以便在发生灾难时能够进行有效的数据恢复。问题是当数据被放置在云端的时候,能否保证为您提供云存储服务的服务商能够做好各项数据的备份工作,在灾难发生时能够进行有效的恢复,而不是发给您一封道歉信。
(5)、关于数据的转移的问题。当用户需要更换云计算服务提供商时,数据能否顺利地转移到新的云计算提供商。同样,当云计算服务提供商被收购或破产倒闭时,您的数据能否顺利地进行转移。
2.2 物理安全边界无法定义的问题
在传统的计算机系统中,存在着物理的安全域,可以清晰地定义安全边界,从而起到保护的作用。如公司内部专有网络的使用,专有网络在物理上与外网是隔离的,从外部无法访问公司的专有网络,从而杜绝诸如黑客攻击这类事件的发生。但是在云计算中,无法在物理上构建这样的安全边界。
2.3 安全漏洞能否及时有效修补的问题
安全漏洞总是存在的,谁也不能保证自己的系统中不存在安全漏洞。问题是,云计算的出现放大了安全漏洞造成的损害。当安全漏洞被发现并且被用于针对云计算服务的时候,损失的不是一个用户,而是成千上万的用户。那么云计算服务商能否在第一时间有效地修补系统中的安全漏洞将至关重要,否则将造成用户的巨大损失。
2.4 其他一些安全上的问题
其一,如何对云计算内容进行有效的监管。云的动态性增加了网络监管的难度,正如我们前面所说,我们无法知道数据被存放在那里,又如何去监管。由于各国法律体系不同且无法沟通,在监管问题上可能存在着较大的冲突。其二、如何保证云计算不被用于非法的用途。云计算的出现将以前不可能发生的事情变为了现实。一个典型的例子是密码的破解问题,以前要花费几个月、几年的暴力破解,现在运用云计算强大的计算能力可能只要几个小时,而且像亚马逊提供的这种计算服务每小时只收费2.3美元。还有,如何才能保证不发生基于云计算的安全攻击,这类问题将伴随云计算的普及困扰着我们。
3 云计算时代的应对安全策略
云计算时代我们享受着云计算给我们带来的种种便利,也承受着以上种种安全问题给我们带来的困扰。下面针对这些安全问题,提出一些应对策略,通过云计算服务提供商和云计算用户的配合,共同提高云计算服务的安全水平。
(一)、用户要选取规模大、相对可靠、可信任的云计算服务提供商。规模大、信誉好的云计算服务提供商其本身的安全性较好,系统的健壮程度高,保障服务的能力强。而且一般也有着完善的内部管理规定,比较注重访问权限的控制,应对各种安全事件的处理能力较强、处理速度较快。
(二)、按机密等级分级存放数据。对于一些不重要、无私密性的数据可以直接存放在云端;对于一些比较重要的数据,可以经过加密后存放在云端,这样存放在云端的数据以密文的形式存在,可以提高其安全性;对于非常重要的机密数据,不建议将其存放在公共云端。条件许可的情况下,可以建立企业自有的私有云,私有云设立在企业防火墙的内部,企业拥有私有云计算环境的自主权,相对公共云来说要安全许多。
(三)、即使是存储在云端的数据,也需要制定可行的定期备份制度,尽量减少在云计算服务遭受攻击造成数据丢失情况下的损失。
(四)、针对云计算中物理安全边界无法定义的问题,可以采用以下技术:(1)、采用VPN和数据加密技术,构建传输过程中逻辑上的安全边界,实现从用户到云计算服务中心传输通道上的安全;(2)、云计算服务中心内部,应采用虚拟局域网、虚拟机等各种虚拟技术,构建用户系统的虚拟安全边界,实现用户系统的相对独立。
(五)、云服务提供商必须建立快速的安全威胁反应机制,必须建立成熟的数据备份和保障制度,必须建立包括访问控制、反病毒部署、入侵检测、行为监控等在内的一系列的安全措施。
(六)、政府部门需要制定一系列的法律法规来规范云计算服务行为,强制要求云服务提供商采取必要的安全措施,并进行必要的定期检查。当发生侵害用户利益的情况,要做到有据可查、有法可依。国内有厂商提出“全云审计”的概念,针对云计算本身,实现在Iaa S、Saa S、Paa S各个层面的审计。我们需要不断完善这种“全云审计”,并将其提高到国家法律法规的层面,解决云计算用户可信的问题。
云计算技术的运用是未来信息技术发展的趋势,有着十分美好的应用前景,但同时我们面对着前所未有的安全挑战,对于云计算背后所存在的安全性问题我们必须保持足够的重视。我相信,随着相应法律法规的健全,相应标准的制定,相应防护技术手段的运用,云计算技术必将在今后的生活中得到越来越多的运用。
摘要：云计算技术是当前IT发展的方向之一。本文介绍了云计算的相关概念,分析云计算时代所面临的安全问题,并提出了相应的解决对策。
关键词：云计算,云安全
参考文献
[1]李战宝,张文贵.云计算及其安全性研究[J].信息网络安全,2011,(1).
[2]党卫红.云计算的安全防护策略分析与研究[J].读与写杂志,2010,(5).
云计算安全关键问题研究 篇10
关键词：云计算,安全,虚拟化
0 引言
自2006年Google首席执行官埃里克·施密特在搜索引擎大会首次提出云计算(Cloud computing)的概念以来,云计算得到了迅速发展并成为产业界、学术界、政府等关注的热门信息技术之一[1,2]。
作为一种新型的网络计算模式,云计算的目的在于以公开的标准和服务为基础,以互联网为中心,向用户提供安全、快速、便捷的数据存储和网络计算服务。简单来说,云计算的基本方法就是把大量的高度虚拟化的各类网络上的资源管理起来,组成一个巨大的资源池,用来统一提供服务,客户能够像用水或电等公共资源一样方便的获取服务,真正实现资源的按需分配[2]。
在IT产业界,云计算被普遍认为是继个人计算机、互联网之后的第三技术变革,将成为引领未来20年产业变革的关键技术,从而成为信息时代中的类似于水厂、电网一样的“基础设施”。这使得云计算成为具有极大市场价值IT产业增长点,据美国市场研究公司Gartner于2010年8月估计:2010年全球云计算服务收入有望达到683亿美元,较2009年的586亿美元增加16.6%。保持强劲增长,到2014年全球收入预计将达到1 488亿美元。
在学术界,云计算被认为是前些年热门的网格计算的延伸,其利用虚拟化技术使网格中复杂的异构资源的管理变得简单,利用效用计算的思想解决了资源使用的计费问题,降低了用户的门槛,使资源的共享使用从网格时代的“会员制”变成了云计算时代的“客户制”,从而使云计算得到了飞速发展。
云计算由于资源共享与绿色节能理念,以及即将成为未来信息时代的基础设施,受到了各国政府的大力推广。美国政府在联邦CIO委员会里面成立了一个专门的云计算工作组,并于2010年12月由白宫宣布,计划采用“云计算优先”政策来重组政府IT架构,在2015年之前将目前政府的2100个数据中心至少削减掉800个。欧盟与IBM合作开展云计算项目RESER-VOIR,着眼于实现域名、IT平台和地理学的信息化服务管理等的无障碍资源和服务虚拟化。在国内,广东、江苏、北京、上海等地的政府机构纷纷启动了自己的云计算规划。
虽然云计算近年来取得了飞速发展,但是其推广应用并未像人们想象中的得到用户广泛接受,主要的原因就是无法有效解决其大规模共享资源所面临的安全问题[3,4]。据美国市场研究公司Gartner在2009年的调查,有超过70%的公司不愿意近期接受云计算的主要因为对其存在的数据安全性与隐私性的担忧。而近年来各类主流的云计算解决方案所发生的安全事件更加让人担心云计算所面临的安全问题[5,6]。如云计算倡导者Google先后在2009年和2010年分别发生文档错误共享和社交网络Buzz泄漏用户好友隐私。微软的云计算平台Windows Azure在2009年3月出现服务中断。Amazon的简单存储服务(简称S3)在2008年和2009年多次出现服务中断,并且在2009年先后被黑客攻击、旁道攻击和僵死网络攻击。可见,要让用户放心使用云计算,所面临的安全问题已经成为必须解决的问题之一[7]。
当前,云计算的安全问题已经越来越受到大家的重视,IBM、VMWare等多家公司共同发起成立了云安全联盟标准组织(CSA),来探讨云计算的安全解决方案[3]。信息安全国际会议RSA将云计算安全列为焦点问题,CCS从2009年起专门设置了一个关于云计算安全的研讨会。许多对云计算感兴趣的研究团体也开始着手研究云计算的安全问题。文章首先分析了现有的云计算特征及其面临的安全问题,然后提出了一个较为全面的云计算安全模型,并就未来的云计算安全研究方向进行了探讨,希望对解决云计算所面临的安全问题起到抛砖引玉的作用。
1 云计算特征及安全问题
相比于以前的分布式计算,云计算最主要的特征就是资源虚拟化和服务化。虚拟化是云计算的关键核心技术,实现网络上异构资源的标准化、池化、通用化和多平台化。在云计算中,通过将资源虚拟化形成统一的资源池,简化资源的配置与管理,提高硬件的利用率,实现资源管理的自动化,从而实现云计算的灵活性与弹性。
服务化指云计算以服务的方式满足用户的需求。根据服务的类型,当前云计算大体上可以分为3类:(1)基础设施即服务(Iaa S,Infrastructure as a Service),将计算、存储、网络和其他基础资源作为服务提供给用户,用户可以在上面部署和运行任意的软件,包括操作系统和应用程序,亚马逊的弹性云(EC2,Elastic compute cloud),IBM的蓝云(Blue cloud)等都是此类云计算的代表;(2)平台即服务(Paa S,Platform as a service),将一个开发和运行平台作为服务提供给用户,此类比较出名的云计算如Google的App Engine,微软的Azure和Salesforce.com的Force.com等;(3)软件即服务(Saa S,Software as a Service),将软件分布安装在供应商后以服务的形式提供给用户,用户只需通过互联网使用软件,典型的代表有Salesforce.com、Google的Gmail和SPSCommerce.net等。
由于云计算大规模和开放性,导致云计算面临着比以前系统更为严峻的安全威胁,主要体现在以下几个方面:
(1)大规模服务器使用导致服务器安全。这除了包含传统服务器安全中的主机安全、网络安全等外,还包含云计算中所特殊的虚拟机安全。
(2)数据安全。云计算中,特别是云存储中,数据大量共享以及不同用户数据异地存储导致安全问题,主要包含数据加密解密、访问控制、传输安全等。
(3)应用服务安全。云计算中资源以服务的方式提供,广泛的服务使用导致各类安全,如安全单点登录、身份认证、信任模型等。
(4)安全管理与监控。云计算的安全管理涉及到云供应商以及使用方,如果对安全进行协同管理并能相互监管,将是云计算不同于以前分布式系统之处。
2 云计算安全模型
解决云计算面临的安全问题需要从技术、标准、监管、法律等多个角度进行探索,涉及范围较为宽广。本节仅从技术提出了一个参考性的云计算安全模型(图1),拟为云计算安全提供一些主要的技术支撑,起到抛砖引玉的作用。
图1所示的云计算安全模型能够同时适应于IaaS,PaaS和SaaS三类平台,主要包含下面几个方面的安全技术。
2.1 基础设施安全
云计算的基础设施包含云计算的存储、计算、网络等基础IT资源。基础设施安全主要为云计算上层服务提供基础的安全保障,包含三个方面:
(1)基础设备安全
云计算中一些与基础设备相关的安全,包含由硬件设备实现的安全以及由相关的软件系统实现的安全。
容侵容灾:其中容侵对各种入侵攻击具有防御作用,攻击后能够有效隔离被攻击区域或者设备,并启动应急设备。容灾对各种灾害防护,包括火灾、水灾等各种自然灾害或者人为灾害。
备份冗余:实现容灾系统和数据库中数据同步,提高软件层做到自动容错能力,结合动态异步的方法,减少潜在数据不一致的情况,同时要与容错相结合,合理管理数据副本,提供数据的一致性维护,完善应用系统实时切换的异地备份系统等。
隔离:进行适当的逻辑和物理隔离,增强设备管理功能。
(2)系统安全
认证授权:主要进行身份管理来保障系统中用户身份的真实性,确保用户身份的安全性和可靠性。
可信计算:在云计算平台部署可信计算芯片,进行密钥管理、信任管理等。
(3)网络安全
DOS防御:云计算以服务方式提供资源,特别是公共云,容易遭受DOS或DDOS攻击,在网络安全中采取DOS防御,有效过滤过多的请求。
入侵检测:通过对入侵进行分析,防范恶意攻击、旁道攻击、僵尸网络,适当调整网络入侵检测系统或用监控器来监视非法的及恶意的流量。
2.2 虚拟化安全
云计算通过虚拟化对底层的计算、存储和网络等资源进行抽象,为上层服务提供灵活富有弹性的资源池。虚拟化涉及的安全主要有:
(1)虚拟防火墙
通过虚拟防火墙对虚拟机中各应用系统之间进行安全防护和访问控制,监控和限制各应用系统之间的流量,同时对用户防火墙进行统一集中管理。
(2)虚拟机安全管理
由于适应云计算的灵活性和弹性的需求,虚拟机往往易创建且可迁移,这容易导致虚拟机蔓延现象,且迁移过程中容易受到攻击,需要对虚拟机本身安全进行管理。
(3)虚拟机隔离
云计算中,同一物理机上运行着多台虚拟机。防止虚拟机之间的信息泄漏,必须进行隔离,除虚拟机之间的隔离外,还包含内存、共享存储空间、共享数据之间的隔离。
(4)虚拟机漏洞
云计算中大量的虚拟机本身可能存在漏洞,难以绝对安全,需要对虚拟机的漏洞进行自动管理,弥补其安全问题。
(5)虚拟机监视
云计算中往往多台虚拟机能够运行在同一物理机上,并且可以在不同物理机的虚拟环境中迁移,入侵后的虚拟机对整个云计算环境具有极大的威胁,需要对虚拟机进行监视。
2.3 数据安全
数据安全主要为云计算中存储的数据提供安全保证,由于IaaS平台以基础设施的形式提供服务,主要由用户管理数据,涉及公共存储的数据较少,数据安全主要集中在PaaS平台和SaaS平台,主要涉及几个方面:
(1)加密解密
云计算要获取的用户的信任,必须让用户可对重要数据进行加密解密服务。同时,由于可能存在大量数据加密解密的问题,相应的速度也是需要考虑的。
(2)密钥管理
伴随着加密解密产生的密钥管理也是云计算安全所必不可缺少的部分。同时,在云计算的分布式环境下,如何保证密钥本身的安全也是需要考虑的。
(3)传输安全
云计算中数据传输时的安全需要保证,要防止数据失真,并进行一致性维护,预防用户隐私数据被二次使用、用户元数据被非授权检索。可采用诸如SSL等确保数据在互联网上流动时的安全性。
(4)访问控制
云计算中,用户信息主要以数据形式存在,需要对这些数据的访问进行控制,可采用基于用户的RBAC控制机制,同时进行一定身份管理和密码保护。
2.4 服务安全
云计算以服务的方式向用户提供资源,服务安全成为最主要的安全问题,同数据安全一样,服务安全在Paa S平台和Saa S平台更为明显。主要涉及有:
(1)安全单点登录(SSO)
云计算中,特别是SaaS中,存在同时提供多个共享服务的问题。单点登录能有效解决不重新认证情况下访问多个服务的问题,但其安全也是服务安全所必需考虑的。
(2)数字签名
利用数字签名,特别是XML数字签名来保证服务消息的完整性。
(3)信任模型
根据云计算用户的操作历史,借鉴人类社会关系中的信任关系,建立服务能够安全地进行互操作的信任模型。
(4)身份认证
对云计算的用户采用静态密码、动态密码、证书等身份认证技术。
2.5 其他安全
云计算应用与用户需求紧密结合,涉及到种类繁多,与应用相关的其他安全因应用不同而可能不同,但大体上包含以下几个方面:
(1)应用程序安全
部署在云计算中的各类提供服务的应用程序或系统可能存在一定的安全隐患,此类安全问题在SaaS平台中可能广泛存在。
(2)安全API接口
包含API自身漏洞、超级API导致非法访问资源、以及警惕API上的第三方插件等。在PaaS和SaaS平台中都可能广泛存在此类安全隐患。
(3)安全开发环境
在PaaS和SaaS平台,特别是PaaS平台,可能存在开发环境自身的安全漏洞,由开发环境暴露的虚拟机安全等导致。
3 结束语
作为一种新型的分布式计算模式,云计算已经证明了其具有广阔的发展前景,同时其面临的安全挑战也是前所未有的。文章在分析云计算特征和面临安全威胁的同时,提出了一种云计算安全模型,从技术角度为解决云计算的安全提供支持。
为了实现云计算的安全目标,还需要在具体云计算平台实现的基础上,深入研究各个安全关键技术,并且结合从管理、标准等其他非技术角度的考虑,这也将是人们未来的主要研究方向。
参考文献
[1] 陈康,郑纬民.云计算现状及案例[J].软件学报,2010,27（2）:429-433.
[2] 张建勋,古志民,郑超.云计算研究进展综述[J].计算机应用研究,2010,27（2）:429-433.
[3] 云安全联盟标准组织（CSA, Cloud Security Alliance）[EB/OL]. http://www.cloudsecurityalliance.org/.
[4] Luis MV,Luis RM,Juan C,et al. A Break in the Clouds:Towards a Cloud Definition[J].ACM SIGCOMM Computer Communication Review,2009,39（1）:50-55.
[5] Cong Wang,Qian Wang,Kui Ren.Ensuring Data Storage Security in Cloud Computing[C]//. Proceedings of the 17th International Workshop on Quality of Service.2009:1-9.
[6] Ian Foster,Yong Zhao,Ioan Raicu,et al.Cloud Computing and Grid Computing 360-Degree Compared[C]//. Proceedings of the Grid Computing Environemnts Workshop. 2008:1-10.
浅析云计算及云计算安全 篇11
【关键词】云计算；云安全；可信云计算
【中图分类号】TP393
【文献标识码】A
【文章编号】1672-5158（2012）10-0014-02
云计算是当前信息技术领域的热门话题之一，是产业界、学术界、政府等各界均十分关注的焦点。它体现了“网络就是计算机”的思想，将大量计算资源、存储资源与软件资源链接在一起，形成巨大规模的共享虚拟IT资源池。正因为它吸引了越来越多的企业的目光，它的安全性问题也逐步成为人们关注并研究的课题。本文通过阐述云计算的相关概念，分析云计算所面临的安全问题，总结了云安全问题解决的几点思路，最后指出了云安全领域的主要研究方向，云计算与可信计算技术的融合研究将成为云安全领域的重要方向。
1 云计算的概念
1.1 云计算的定义
目前云计算并没有统一的标准定义，不同的企业和专家有自己的定义，比如中国电子学会云计算专家委员会对云计算的定义为：云计算是一种基于互联网的、大众参与的计算模式，其计算资源（计算能力、存储能力、交互能力）是动态的、可伸缩的且被虚拟化的，以服务的方式提供。从总体上看，云计算的定义可以分为狭义和广义两种。狭义云计算是指IT基础设施的交付和使用模式，指通过网络以按需、易扩展的方式获得所需的资源（硬件、平台、软件）；广义云计算是指服务的交付和使用模式，指通过网络以按需、易扩展的方式获得所需的服务，这种服务可以是IT和软件、互联网相关的，也可以是任意其他的服务。
1.2 云计算规范核心
1.2.1 云计算五个本质特征
按需的自我服务、广泛的网络访问、资源池、快速的弹性能力、可度量的服务。
1.2.2 云计算服务模型
（1） 软件即服务（SaaS）：客户所使用的服务商提供的这些应用程序运行在云基础设施上。这些应用程序可以通过各种各样的客户端设备所访问，通过瘦客户端界面像WEB浏览器（例如，基于WEB的电子邮件）。客户不管理或者控制底层的云基础架构，包括网络、服务器、操作系统、存储设备，甚至独立的应用程序机能，在可能异常的情况下，限制用户可配置的应用程序设置。
（2） 平台即服务（PaaS）：客户使用云供应商支持的开发语言和工具，开发出应用程序，发布到云基础架构上。客户不管理或者控制底层的云基础架构，包括网络、服务器、操作系统或者存储设备，但是能控制发布应用程序和可能的应用程序运行环境配置。
（3） 基础设施即服务（IaaS）：向客户提供处理、存储、网络以及其他基础计算资源，客户可以在上运行任意软件，包括操作系统和应用程序。用户不管理或者控制底层的云基础架构，但是可以控制操作系统、存储、发布应用程序，以及可能限度地控制选择的网络组件。
1.2.3 云计算发布模型
（1） 私有云：云基础架构被一个组织独立地操作，可能被这个组织或者第三方机构所管理，可能存在于某种条件下或者无条件存在。
（2） 社区云：云基础架构被几个组织所共享，并且支持一个互相分享概念的特别的社区。可能被这些组织或者第三方机构所管理，可能存在于某种条件下或者无条件存在。
（3） 公有云：云基础架构被做成一般公共或者一个大的工业群体所使用，被某个组织所拥有，并出售云服务。
（4） 混合云：云基础架构是由两个或者两个以上的云组成，这些云保持着唯一的实体但是通过标准或者特有的技术结合在一起。这些技术使得数据或者应用程序具有可移植性。
2 云计算的发展现状及发展趋势
2.1 云计算发展现状
目前，云计算主要是由Google、Amazon、微软、IBM等ICT巨头在积极推动研究和部署，比较成熟的云计算业务和应用包括Google的App Engine，Anlazon的弹性计算云EC2和简单存储服务s3，微软的Azure云平台，IBM的“蓝云”等。
2.2 云计算发展趋势
云计算将推动IT领域的产业细分：云服务商通过购买服务的方式减少对非核心业务的投入，从而强化自己核心领域的竞争优势。最终，各种类型的云服务商之间形成强强联合、协作共生关系，推动信息技术领域加速实现全球化，并最终形成真正意义上的全球性的“云”。
未来云计算将形成一个以云基础设施为核心、涵盖云基础软件与平台服务与云应用服务等多个层次的巨型全球化IT服务化网络，如果以人体作为比喻，那么处于核心层的云基础设施平台将是未来信息世界的神经中枢，其数量虽然有限但规模庞大，具有互联网级的强大分析处理能力；云基础软件与平台服务层提供基础性、通用性服务，例如，云操作系统、云数据管理、云搜索、云开发平台等，是这个巨人的骨骼与内脏；而外层云应用服务则包括与人们日常工作与生活相关的大量各类应用，例如，电子邮件服务、云地图服务、云电子商务服务、云文档服务等等，这些丰富的应用构成这个巨型网络的血肉发肤。各个层次的服务之间既彼此独立又相互依存，形成一个动态稳定结构。越靠近体系核心的服务，其在整个体系中的权重也就越大。因此，未来谁掌握了云计算的核心技术主动权以及核心云服务的控制权，谁就将在信息技术领域全球化竞争格局中处于优势地。
3 云计算面临的安全问题
云计算在极大地方便用户和企业廉价使用存储资源、软件资源、计算资源的同时，面临的最大挑战或者说存在的问题来自安全方面。云计算的十大问题与机会，如表1所示。
概括来讲，云计算主要存在以下安全问题。
3.1 安全边界难以定义
在传统网络中通过物理上和逻辑上的安全域定义，可以清楚地定义边界和保护设备用户，但云计算由于其用户数量庞大，数据存放分散，很难充分为用户提供安全保障。
3.2 数据安全
使用云计算服务，用户并不是清楚自己的数据具体的托管服务器的位置以及具体是哪个服务器管理。基于此云用户和云服务商为避免数据丢失和窃取都非常重要，以下从数据隐私和数据隔离两个方面对云计算的安全进行阐述。
（1）数据隐私。数据在云服务中的存储是共享的，即没有为用户开辟独立存储区。由此数据具有潜在危险。和传统软件相比，云计算在数据方面的最大不同是所有的数据由第三方来负责维护，并且由于云计算架构的特点，这些数据可能存储在分散的地方，并且都以明文的形式存储。防火墙虽然能够对恶意的外来攻击提供一定程度的保护，但这种架构使得一些关键陛的数据可能被泄露。
（2）数据隔离。目前在网络中用户基本采用数据加密方式共享数据，但在云计算环境下，如果能够将自己的数据与其他用户的数据隔离开可以更加有效地保证数据安全。因为所有客户数据将被共同保存在唯一一个软件系统实例内，所以需要开发额外的数据隔离机制来保证各个客户之间的数据的保密性并提供相应的灾备方案。
3.3 应用安全
（1）终端安全：用户终端的安全始终是网络环境下信息安全的关键点，用户终端合理部署安全软件是保障云计算环境下信息安全的第一道屏障。
（2）SaaS应用安全：SaaS模式使用户使用服务商提供的在云基础设施之上的应用，对于底层的云基础设施如：网络、操作系统、存储等。因此在此模式下，服务商将提供整套服务包括基础设施的维护。服务商最大限度地为用户提供应用程序和组件安全，而用户只需关注操作层的安全。由此可SaaS服务提供商的选择在云计算信息安全问题中非常重要。
（3）PaaS应用安全：PaaS云使用户能够在云基础设施之上创建用户和购买行为，用户同样并不管理和控制底层的基础设施，但可以控制基于基础设施之上的应用。PaaS提供商通常会保障平台软件包安全，因此用户需要对服务提供商有一个清楚的认识，比如对服务提供商做风险评估。同时，PaaS还面临配置不当的问题，默认配置下的安全系数几乎为零，因此，用户需要改变默认安装配置，对安全配置流程有一定的熟悉度。
（4）IaaS应用安全：用户对于IaaS云提供商来讲是完全不透明的，云提供商并不关注用户在云内的任何操作，因此，用户需要对自己在云内的所有安全负全责，IaaS并不为用户提供任何安全帮助。
4 云安全的解决思路
4.1 云计算安全的研究现状
云计算在美国和欧洲等国得到政府的大力支持和推广，云计算安全和风险问题也得到各国政府的广泛重视。2010年11月，美国政府CIO委员会发布关于政府机构采用云计算的政府文件，阐述了云计算带来的挑战以及针对云计算的安全防护，要求政府及各机构评估云计算相关的安全风险并与自己的安全需求进行比对分析。同时指出，由政府授权机构对云计算服务商进行统一的风险评估和授权认定，可加速云计算的评估和采用，并能降低风险评估的费用。
2010年3月，参加欧洲议会讨论的欧洲各国网络法律专家和领导人呼吁制定一个关于数据保护的全球协议，以解决云计算的数据安全弱点。欧洲网络和信息安全局（ENISA）表示，将推动管理部门要求云计算提供商通知客户有关安全攻击状况。
日本政府也启动了官民合作项目，组织信息技术企业与有关部门对于云计算的实际应用开展计算安全性测试，以提高日本使用云计算的安全水平，向中小企业普及云计算，并确保企业和个人数据的安全性。
在我国，2010年5月，工信部副部长娄勤俭在第2届中国云计算大会上表示，我国应加强云计算信息安全研究，解决共性技术问题，保证云计算产业健康、可持续地发展。
4.2 数据的保密性问题
就云计算的3种参考模型来说，IaaS一般以Web服务的接口形式提供，SaaS务常通过Web浏览器访问，PaaS服务则用上述两种技术的结合来实现。采用安全文件存储服务的文件系统框架，利用目前安全的客户端跨域（Client Cross-domain）通信机制的研究成果，给Web服务提供一个独立的文件系统服务，将用户数据的控制权返还给用户，提高了数据的可控性，降低了应用服务器管理用户数据的访问控制策略的压力。
上述的这些方法在云计算环境中有效提高数据块保密性和完整性，减少了数据块完整性认证时证书所需的存储空间，是未来云计算数据完整性验证研究的重要方向。除了使用传统方法以外，一种趋势就是利用用户的数字身份完成数据加密和身份认证功能。基于身份的加密和签名系统能够弥补用户身份及对应的密钥难以管理的问题。在该系统中，使用用户身份相关信息作为公钥，而用户的私钥由一个公开可信的PKG（Private Key Generator）结合用户身份来生成并安全传输给用户。并通过联邦身份管理机制来控制密钥集中于PKG的管理问题。
4.3 数据的隐私性问题
用户数据存放在云端，一方面要求云服务商能够根据他们的查询提供正确的查询结果，另一方面又不希望云服务商知晓用户数据的实际内容，也即希望在加密的数据上实现数据查询等计算功能。隐私保护的关键字查询方法，利用带有关键字查询的公钥加密方法，允许服务提供商部分参与内容解密并进行相关内容的查询，但不能由此得到全部明文，这可以再隐私保持的条件下减少用户端信息处理的压力。
云的特殊存储结构使得隐私保持成为一个关键的安全问题。目前应用最多的方法就是对上传到云端的数据进行混淆和加密。同时，还应当有有效的查询和用户验证机制，在云服务器不能获知具体数据内容的条件下，获得云服务的数据处理结果。并且，这种隐私保持机制应当是用户可控的。
4.4 数据的验证性问题
云计算中用户数据不再被用户本地拥有，因此需要有方法让用户确信他们的数据被正确的存储和处理，即进行完整性验证；另外，从涉及到数据安全和使用的法律和网络监管角度，也需要一种机制能够远程、公开地对数据进行审计。并且，这种审计必须以不泄漏用户隐私信息为前提。
可利用第三方审计完成隐私保持的数据完整性验证。这种方法不需要云用户的实时参与，其避免用户隐私的泄露。还可以建立一个可扩展的运行时完整性验证框架，以保证在云基础设施上数据流处理结果的完整性，并当检测出不一致结果时，能明确定位恶意服务提供商。
5 可信云计算
将可信计算技术融入云计算环境，以可信赖方式提供云服务已成为云安全研究领域的一大热点。相关研究人员提出了一种可信云计算平台TCCP，基于此平台，IaaS服务商可以向其用户提供一个密闭的箱式执行环境，保证客户虚拟机运行的机密性。另外，它允许用户在启动虚拟机前检验Iaas服务商的服务是否安全。并且可信计算技术提供了可信的软件和硬件以及证明自身行为可信的机制，可以被用来解决外包数据的机密性和完整性问题。同时设计了一种可信软件令牌，将其与一个安全功能验证模块相互绑定，以求在不泄露任何信息的前提条件下，对外包的敏感数据执行各种功能操作。
6 小结
云计算使得软件、硬件、平台等资源通过互联网自由流通成为可能，具有宽带接入、按需服务、资源整合、弹性架构、可计量等特点。云计算虽然出现的时间很短，但却给整个IT界带来了翻天覆地的变化。
但是，云计算给人们带来创新和变革的同时，对安全问题也提出了更高的要求。无论是云计算服务的提供商还是使用者，对云计算技术背后的安全性问题都必须有足够的认识，只有深刻认识到云计算的优点和风险，才能更好地在现实生活中科学合理的利用云计算，充分发挥其带来的巨大效益和优势。
参考文献
[1]吴涛，浅谈云计算及云安全，信息安全与通信保密，2012（2）：63-65
[2]张慧，邢培振，云计算环境下信息安全分析，计算机技术与发展，2011（12）：164-166
[3]冯登国，张敏，张妍等，云计算安全研究，软件学报，2011（1）：72-80
[4]杨健，汪海航，王剑等，云计算安全问题研究综述，小型微型计算机系统，2012（3）：473-476
[5]吴吉义，沈千里，章剑林等，云计算：从云安全到可信云，计算机研究与发展，2011（48增刊）：230-231
云计算安全问题探讨和研究 篇12
云计算在当今信息技术领域早就成为热门话题。云计算作为一项新兴的技术项目, 旨在为用户营造一个安全、高速、快捷的数据存储环境和网络运行环境。云计算技术已在许多方面已经或正在改变人们的生活方式, 现代信息社会中人们所熟悉的网购、网银、社交网络和文件共享等互联网服务等, 都建立在云计算基础之上。可以说, 云计算不仅是互联网技术发展、优化和组合的必然结果, 它也为整个社会信息化带来了全新的服务模式。安全问题业已成为云计算领域亟待解决的主要问题之一, 云安全服务的重要性与紧迫性已不容忽视。
1 云计算概述
云计算是建立在互联网基础上, 提供相关服务的一种计算模式。通常说来, 它通过互联网提供动态和日益更新的虚拟化资源。它把各种数据和资源通过服务器进行汇总然后进行整合, 最后通过网络通过最安全、最简单的方式将其传递到用户手中, 这种服务就被称为云服务, 在云计算模式下, 软件、硬件、数据等资源均可以根据客户端的动态需求按需提供。云计算作为一种全新的商业模式, 也改变了计算分布或分配的模式。云部署模式按照计算分配模式可分为四类:公共云, 私有云, 社区云和混合云。客户可以选择适合自己的计算分配模式。
2 云计算面临的安全问题
云安全问题一直是一个研究的重点和难点。就云计算的服务商所开发云服务而言, 其可靠性和稳定性还有待提高。当前, 数据安全性、平台稳定性、监管有效性等问题已成为阻碍云计算的进一步发展的重要制约因素。与传统IT安全相比较, 云计算的安全问题主要集中于云平台安全、虚拟化技术的使用和管理、资源的管理等三个方面。
2.1 云计算平台的安全问题
云计算的主要优势提体现为可利用较低成本获取丰富的数据资源, 网络黑客时常利用云计算这一特点对用户进行有目的的攻击, 这会使得用户无法正常使用云平台资源。另外, 如果要针对云计算数据资源被盗用的情况获取网络证据, 也会影响对云计算平台上其他服务的使用。
2.2 虚拟化技术的使用和管理
云计算以虚拟化技术为主要服务形式, 不仅是单纯的虚拟化技术, 还综合了分布计算、并行计算、网格计算等, 形成了云计算整个复杂的体系架构。因此, 虚拟化技术的使用给安全防护工作带来了挑战。
2.3 资源的管理问题
在对云资源的使用和管理过程中, 用户失去了对物理资源的直接控制, 云计算的安全防护策略由运营商进行决策, 计算、存储、软件、带宽等服务也是由运营商提供给用户, 一个庞大的管理体系, 难以进行面面俱到的管理和运行, 另外, 如何界定用户和运营商的不同责任, 也是云资源使用管理领域的一个重要问题。
3 云计算安全防护手段措施
3.1 基础设施安全防护
基础设施安全包含多种设施的安全, 比如服务器系统、域名系统、网络管理系统、局域网和VLAN配置安全等多方面内容。站在用户的角度来看, 云计算相关服务都是虚拟的, 但是虚拟的东西最终还是会落实到物理机器与设备上。主要的安全措施包括安全冗余设计、漏洞扫描与加固, IPS/IDS等。设备的部署和高可靠性的支持也是密不可分的, 诸如双机热备, 链路捆绑聚合, 配置同步等, 以实现大流量汇聚情况下的基础设施安全防护。
3.2 数据安全
因为云计算数据集中存储在云端, 并且云计算将数据存储、运算等底层操作进行屏蔽, 所以用户对于数据经常会有无法控制的感觉。数据的安全性是云计算的用户最为关心的事情, 如何保护用户信息和隐私信息也就成了管理运营者最为关心的问题。在多数情况下, 易运用加密技术进行加密, 但是在进行加密的同时也给数据搜索和密匙管理带来了挑战。为了应对黑客、无授权的用户登录系统进行数据访问, 必须对用户访问权限进行全面审核。
3.3 身份认证及访问限制
在云计算中, 要确立一个合理完善的身份认证机制, 这样才能保证用户身份信息的安全性和保密性, 因此访问限制和身份认证是是保证云计算安全运行的关键所在。访问授权, 则包括对用户身份的认证、审查和监测等, 以便提高对用户身份识别和访问的安全度管理等。通过对用户身份的认证, 可以对其访问、权限控制、单点登录和审计段等进行全面多方位管理。
3.4 虚拟机的安全
虚拟化安全是云计算安全的核心部分, 云计算的安全与虚拟化安全是密切相关的。虚拟化安全包含多种形式的安全, 比如虚拟网络安全, 虚拟机安全, 虚拟机监控器安全等。数据的隔离性是虚拟化安全的首要必要条件, 所以说虚拟机之间的高度隔离是云计算平台的虚拟化安全的必要条件, 只有这样, 用户才能放心地使用云计算。
3.5 安装网络防火墙
传统的防火墙是一种利用自身的安全策略将内部与外部网络隔离的重要安全手段, 它能够记录、检测和过滤可能对内部网络造成危害的外部访问, 利用软件的升级来不断更新数据库、修补漏洞。云计算时代用户失去了对物理资源的直接控制, 代之以开放访问的大型数据中心, 对防火墙的功能提出了更高的要求。基于云计算的防火墙安全方案, 通过提供可视性的、有效控制的数据安全策略实现了对高价值数据的监视、控制与保护。
4 结语
新的技术也会带来新的挑战, 云安全问题不可能仅仅依靠“云”服务提供商来解决, 安全责任不清往往会造成严重的后果, 法律和行业规范对安全问题监管执行不力也会影响解决问题的进度。因此最终用户必须了解云供应商采用的用来保护客户敏感信息的流程和方法、了解相关的法律和行业规范, 时刻关注和追踪最新的云安全研究进展和解决方案。唯有如此才能放心享受云技术带来的便利, 利用先进的云技术降低成本、扩展业务, 使生活更加精彩。
摘要：作为一种基于互联网的计算模式, 云计算代表着计算机发展进入一个新阶段, 随之而来的安全问题, 日渐成为阻碍其发展的主要因素。本文围绕云计算面临的安全问题进行了深入探讨, 并提出了加强云计算安全防护的措施, 以期为云计算的发展提供理论参考。
关键词：云计算,云计算安全,安全措施
参考文献
[1]冯登国, 张敏, 张妍, 徐震.云计算安全研究[J].软件学报, 2011, 22 (1) .