云環(huán)境下的全局安全思考

黃鴿

摘 要：本文以云計算為出發(fā)點，從全局安全方面著手，通過比較傳統(tǒng)網(wǎng)絡(luò)和云計算環(huán)境下的不同，在終端用戶、數(shù)據(jù)存儲、用戶權(quán)限、安全審計、網(wǎng)絡(luò)取證等方面討論了一些安全問題的防護和管理辦法。只有策略、技術(shù)和人的三個要素的組合，才能真正的實現(xiàn)云計算的安全。

關(guān)鍵詞：終端用戶；數(shù)據(jù)存儲；用戶權(quán)限；安全審計；網(wǎng)絡(luò)取證

一、云環(huán)境下的終端用戶安全

對于使用云服務(wù)的用戶，應(yīng)該保證自己計算機的安全。在用戶的終端上部署安全軟件，包括反惡意軟件、防病毒、個人防火墻、以及IPS類型的軟件。目前，瀏覽器已經(jīng)普遍成為云服務(wù)應(yīng)用的客戶端，但不幸的是所有的因特網(wǎng)瀏覽器毫無例外地存在軟件漏洞，這些軟件漏洞加大了終端用戶被攻擊的風(fēng)險，從而影響云計算應(yīng)用的安全，因此云用戶應(yīng)該采取必要措施保護瀏覽器免受攻擊，在云環(huán)境中實現(xiàn)端到端的安全。云用戶應(yīng)使用自動更新功能，定期完成瀏覽器補丁和更新工作。

隨著虛擬化技術(shù)的廣泛應(yīng)用，許多用戶現(xiàn)在喜歡在桌面或者筆記本電腦上使用虛擬機來區(qū)分工作（公事與私事）。有人使用 Vmware Player來運行多重系統(tǒng)（比如使用Linux作為基本系統(tǒng)），通常這些虛擬機都沒有達到補丁級別，這些系統(tǒng)被暴露在網(wǎng)絡(luò)上更容易被黑客利用成為流氓虛擬機。對于企業(yè)客戶，應(yīng)該從制度上規(guī)定連接云計算應(yīng)用的PC機禁止安全虛擬機，并且對PC機進行定期檢查。

二、云環(huán)境下的數(shù)據(jù)存儲安全

數(shù)據(jù)存儲在哪里？誰可以訪問？數(shù)據(jù)安全嗎？這些都是重大問題，因為沒有幾家云服務(wù)提供商在處理敏感數(shù)據(jù)方面證明一向很可靠。如果數(shù)據(jù)保存在共享存儲系統(tǒng)上，要料到可能面臨風(fēng)險。其實，即使我們放在自己公司內(nèi)部的數(shù)據(jù)也面臨風(fēng)險。云存儲的實質(zhì)是共享存儲和虛擬存儲。在共享存儲中面臨最大的風(fēng)險是數(shù)據(jù)丟失和泄漏，在虛擬存儲環(huán)境中面臨最大的風(fēng)險是存取權(quán)限、數(shù)據(jù)備份和銷毀。云存儲還面臨著服務(wù)供應(yīng)商的“沒有責任”。我們可以從數(shù)據(jù)隔離、數(shù)據(jù)加密、第三方實名認證、靈活轉(zhuǎn)移、安全清除、完整備份、時限恢復(fù)、行為審計、外圍防護等方面綜合考慮解決云存儲安全問題。

三、云環(huán)境下的用戶權(quán)限及訪問安全

在云計算環(huán)境下同一種應(yīng)用不同用戶的訪問權(quán)限控制也是很關(guān)鍵的問題，用戶權(quán)限即合法用戶可以進行的具體操作。用戶登錄到云環(huán)境下的應(yīng)用之后，可進行瀏覽、檢索、下載、創(chuàng)建、更新等操作。但不是每個用戶都可以進行所有的操作，不同的用戶將具有不同的權(quán)限。在云環(huán)境下，應(yīng)用數(shù)據(jù)的創(chuàng)建、更新及整合等事宜，仍將由指定部門負責，比如每年進行的大量用戶數(shù)據(jù)的更新，用戶數(shù)據(jù)的維護的信息等。這樣就要求云計算環(huán)境能夠?qū)ζ胀ㄓ脩?、管理用戶和云計算服?wù)商進行合理的權(quán)限劃分與管理以保障數(shù)據(jù)安全。

訪問控制的目的是保證各用戶信息資源不被非法訪問和使用。云計算環(huán)境對于黑客極具吸引力，因為云本身不但集中存儲了各種資源，對于惡意軟件的隱藏也提供了便利的條件。再加上云環(huán)境的高度復(fù)雜性，不可避免地會給黑客留下一些機會——他們可以通過尋找云環(huán)境內(nèi)的安全漏洞，來竊取用戶資料或破壞所存儲的信息包括企業(yè)的各種數(shù)據(jù)，因此必須采取有效訪問控制策略予以防范。

四、云環(huán)境下的安全審計

許多企業(yè)的信息安全團隊平時經(jīng)常監(jiān)測安全漏洞郵件列表、給系統(tǒng)打補丁、改寫代碼以解決缺陷。在云中，盡管云服務(wù)用戶并不控制實際的打補丁和漏洞監(jiān)測工作，但我們?nèi)杂胸熑喂芾碜约旱娘L(fēng)險。所以我們要評估哪些資產(chǎn)需要保護、如何防護這些資產(chǎn)包括在云基礎(chǔ)架構(gòu)上添加安全措施。云服務(wù)客戶必須要求保證自己可監(jiān)測誰在訪問自己的數(shù)據(jù)。比如要求提供詳細的審計跟蹤記錄，應(yīng)當采取數(shù)據(jù)加密；或者只把所處理數(shù)據(jù)不是特別敏感的應(yīng)用程序交給云服務(wù)提供商。

在這方面谷歌就表示過，Google Apps的安全流程已通過了SAS 70 Type Ⅱ?qū)徲嫎藴省ｎA(yù)計會聽到更多的提供商宣稱自己的安全審計標準，相信這些標準不斷的發(fā)布將解決因為安全問題很多用戶不敢把應(yīng)用程序轉(zhuǎn)移到云中的問題。

五、云環(huán)境下的網(wǎng)絡(luò)取證

目前法律界已經(jīng)開始意識到信息安全管理服務(wù)是電子信息是否能被接受作為證據(jù)的關(guān)鍵因素。當然這是傳統(tǒng)IT架構(gòu)的問題，對其特別關(guān)注的原因是法律界對于云沒有相關(guān)的經(jīng)驗。

針對云計算環(huán)境的網(wǎng)絡(luò)取證呢？在電子證據(jù)發(fā)現(xiàn)方面，用戶和云提供商必須對對方的角色和責任有共同的認識，包括訴訟保留、發(fā)現(xiàn)搜索、專家證詞提供方等。建議云提供商提供真實可靠的數(shù)據(jù)，以保證他們的信息安全系統(tǒng)可以響應(yīng)客戶的要求，比如類似元數(shù)據(jù)和日志文件的主要和次要信息。云服務(wù)提供商保存的數(shù)據(jù)需要接受在與數(shù)據(jù)所有者處保存時同樣級別的監(jiān)管。提前計劃好相關(guān)意料內(nèi)和意料外關(guān)系終止后的合同協(xié)商事宜，并有序地恢復(fù)或處置資產(chǎn)的安全。云服務(wù)用戶的責任包括合同前盡職調(diào)查、合同期限的談判、合同執(zhí)行后的監(jiān)測、合同終止、以及數(shù)據(jù)保管變更等。那么作為個人數(shù)據(jù)或企業(yè)知識產(chǎn)權(quán)資產(chǎn)的保管者，采用云計算服務(wù)的企業(yè)應(yīng)該保證該數(shù)據(jù)以原始的、可認證的格式保存所有者信息。云服務(wù)協(xié)議必須允許云服務(wù)客戶或者指派的第三方來監(jiān)控服務(wù)提供商的效率，并測試系統(tǒng)的脆弱性。完善這些內(nèi)容相信對云計算環(huán)境下的安全會有很大的幫助。

六、結(jié)論

云計算改變了服務(wù)方式，但并沒有顛覆傳統(tǒng)的安全模式。所不同的是，在云計算時代，安全設(shè)備和安全措施的部署位置有所不同；安全責任的主題發(fā)生了變化。原來，用戶自己要保證服務(wù)的安全性，現(xiàn)在由云計算服務(wù)提供商來保證服務(wù)提供的安全性。云計算安全是一個新興的領(lǐng)域，通過上述這些重要領(lǐng)域安全的討論分析，可能會降低云計算安全威脅程度。但是，隨著云計算技術(shù)的快速發(fā)展和更廣泛的應(yīng)用，將會有更多的安全風(fēng)險。因此云計算安全之路還有很長，但不管怎么說遵循已有的最佳安全實踐還是可以加強云計算安全。解決云計算安全問題的辦法和傳統(tǒng)的解決安全問題的辦法一樣，也是策略、技術(shù)和人的三個要素的組合。

參考文獻：

[1]白堃：云計算環(huán)境下的信息安全問題及策略.《網(wǎng)絡(luò)安全技術(shù)與應(yīng)用》，2014年11期.

[2]張顯龍，聶彤彤：云計算環(huán)境下的信息安全問題研究.《信息安全與通信保密》，2013年09期.

[3]柏強，許譯文，王應(yīng)求：云計算環(huán)境下的數(shù)據(jù)安全應(yīng)對策略研究.《信息系統(tǒng)工程》，2012年07期.

[4]王汝林：發(fā)展云計算必須高度重視“云安全”.《信息系統(tǒng)工程》，2011年03期.