葛科奇

摘要：從亞馬遜云、谷歌云到阿里云、騰訊云，云正以勢(shì)不可擋的態(tài)勢(shì)影響到社會(huì)工作生活等各個(gè)方面。虛擬化技術(shù)作為云計(jì)算中的一個(gè)關(guān)鍵技術(shù)，其安全問(wèn)題直接影響到云計(jì)算的安全性，由于云計(jì)算中用戶高度集中，以往一個(gè)非常小的安全問(wèn)題在云計(jì)算中可能會(huì)變成影響成千上萬(wàn)個(gè)用戶的大問(wèn)題。文章闡述了云計(jì)算虛擬化技術(shù)面臨的安全問(wèn)題，并提出了若干對(duì)策。

關(guān)鍵詞：云計(jì)算；虛擬化技術(shù)；安全問(wèn)題；對(duì)策研究

近年來(lái)，隨著社會(huì)經(jīng)濟(jì)的快速發(fā)展，科學(xué)技術(shù)水平較之前有了很大的進(jìn)步和提高，云計(jì)算技術(shù)被廣泛地應(yīng)用在社會(huì)生產(chǎn)和生活的方方面面，并在其中發(fā)揮了極大的作用，不僅方便了人們的生活，并且在很大程度上推動(dòng)了社會(huì)的發(fā)展和時(shí)代的進(jìn)步。同時(shí)，人們對(duì)于計(jì)算機(jī)應(yīng)用安全性的要求日漸提高，以往企業(yè)IT部門(mén)為了安全性一般將關(guān)鍵系統(tǒng)部署在內(nèi)網(wǎng)，只對(duì)外開(kāi)放若干服務(wù)，而虛擬化技術(shù)則將大多主機(jī)暴露在復(fù)雜的因特網(wǎng)環(huán)境中，由于用戶復(fù)雜，不可控性因素較多。

1.云計(jì)算與虛擬化技術(shù)的概述

1.1云計(jì)算的概述

所謂云計(jì)算，是指由于互聯(lián)網(wǎng)的發(fā)展所帶來(lái)的一種基于互聯(lián)網(wǎng)的信息化服務(wù)，云計(jì)算能夠通過(guò)互聯(lián)網(wǎng)技術(shù)為用戶提供一系列的數(shù)據(jù)信息服務(wù)，包括有數(shù)據(jù)的存儲(chǔ)、數(shù)據(jù)的處理以及復(fù)雜的計(jì)算等。云計(jì)算的服務(wù)類(lèi)型眾多，如租賃服務(wù)、免費(fèi)服務(wù)等，其面向的服務(wù)群體非常廣泛，在向企業(yè)提供專(zhuān)業(yè)化的服務(wù)同時(shí)，也可以向單一的客戶提供專(zhuān)門(mén)的服務(wù)。簡(jiǎn)單來(lái)講，云計(jì)算就是由技術(shù)開(kāi)發(fā)商建立起一種網(wǎng)絡(luò)服務(wù)平臺(tái)，然后向各種客戶提供以信息服務(wù)為主的服務(wù)，主要是軟件服務(wù)，同時(shí)也提供特定的硬件服務(wù)?！霸朴?jì)算”最主要的部分是“云”，所謂“云”，就是指存儲(chǔ)于互聯(lián)網(wǎng)服務(wù)器終端的各種資源，用戶在使用過(guò)程中只需要通過(guò)互聯(lián)網(wǎng)發(fā)送簡(jiǎn)單的指令，就能從“云端”獲取大量的資源。通過(guò)借助網(wǎng)絡(luò)交流平臺(tái)——互聯(lián)網(wǎng)，云計(jì)算可以利用虛擬化技術(shù)與自動(dòng)化技術(shù)來(lái)極大的滿足不同用戶的各種需求，具有高可靠、低成本、可伸縮性等特性，具有非常廣闊的發(fā)展前景。

1.2虛擬化技術(shù)的概述

虛擬化作為一種有效管理資源的重要技術(shù)，是將計(jì)算機(jī)的各種實(shí)體資源，如服務(wù)器、內(nèi)存、存儲(chǔ)、網(wǎng)絡(luò)等進(jìn)行抽象和轉(zhuǎn)化，由此可以將實(shí)體結(jié)構(gòu)之間的障礙有效地打破，方便廣大用戶以一種更好、更靈活的方式實(shí)現(xiàn)對(duì)各種資源的有效應(yīng)用，除了能夠?qū)⒏鞣N虛擬和物理資源進(jìn)行統(tǒng)一管理以外，還可以將這些資源共同利用起來(lái)，進(jìn)而大大增加了系統(tǒng)架構(gòu)的靈活性與彈性。另外，這些類(lèi)似于資料存儲(chǔ)和計(jì)算機(jī)能力等形式的資源，其中虛擬的部分在一定程度上是不會(huì)受到現(xiàn)有資源限制影響的，如資源組態(tài)的架設(shè)方式、物理組態(tài)以及地域組態(tài)等。

2.云計(jì)算中虛擬化技術(shù)帶來(lái)的安全問(wèn)題

2.1軟硬件及管理集中帶來(lái)的安全問(wèn)題

虛擬化導(dǎo)致軟件、硬件高度集中，也帶來(lái)了管理的高度集中。集中帶來(lái)了效率的提高，另一方面也增加了安全危險(xiǎn)程度。在云計(jì)算環(huán)境中部署硬件或者軟件，都要異常小心，因?yàn)橐粋€(gè)微小錯(cuò)誤就將影響成千上萬(wàn)虛擬機(jī)。比如阿里云升級(jí)云盾安騎士觸發(fā)bug，造成眾多用戶出現(xiàn)使用故障。也有云計(jì)算平臺(tái)因?yàn)閿?shù)據(jù)中心光纖被挖斷，造成整個(gè)機(jī)房無(wú)法使用。

2.2資源共享帶來(lái)的安全問(wèn)題

虛擬化技術(shù)眾多，有vmware，kvm，xen，hyper-v，openvz等等，不同的技術(shù)對(duì)虛擬機(jī)資源的管理各有不同。但不管何種虛擬化技術(shù)，本身都是一種資源共享的技術(shù)。CPU、內(nèi)存、存儲(chǔ)、網(wǎng)絡(luò)等這些資源在共享處理機(jī)制上造成了諸多安全隱患。如虛擬交換機(jī)這一網(wǎng)絡(luò)資源共享技術(shù)，可能被利用進(jìn)行虛擬機(jī)之間相互攻擊，或者當(dāng)虛擬交換機(jī)出現(xiàn)漏洞會(huì)威脅用戶資料安全。又如某些虛擬主機(jī)遭受網(wǎng)絡(luò)攻擊造成其他共享網(wǎng)絡(luò)資源的虛擬機(jī)也受到?jīng)_擊。

2.3資源沖突造成的安全問(wèn)題

短時(shí)間大規(guī)模數(shù)據(jù)突發(fā)操作往往引起系統(tǒng)過(guò)載。比如12306鐵路購(gòu)票系統(tǒng)過(guò)去幾年都受人詬病，原因就是不能解決春節(jié)期間大規(guī)模購(gòu)票行為造成系統(tǒng)突發(fā)過(guò)載，與之矛盾的是平日系統(tǒng)資源大量浪費(fèi)。在常規(guī)系統(tǒng)中，有時(shí)候會(huì)碰到這樣的情況，大量主機(jī)同時(shí)開(kāi)啟，單位的DNS服務(wù)有可能會(huì)宕機(jī)。同理，當(dāng)虛擬系統(tǒng)中同一服務(wù)瞬時(shí)大量占用資源時(shí)，也會(huì)造成整個(gè)虛擬系統(tǒng)的不穩(wěn)定，造成資源沖突。所以盡量避免同一服務(wù)的同時(shí)運(yùn)行，如升級(jí)服務(wù)可采取分時(shí)批量升級(jí)等方法。

2.4安全等級(jí)混雜造成的安全問(wèn)題

虛擬環(huán)境中用戶復(fù)雜，用戶開(kāi)啟的應(yīng)用和服務(wù)也難以辨別好壞。這種情況下，往往會(huì)由于一臺(tái)虛擬機(jī)的問(wèn)題影響到一批虛擬機(jī)甚至是物理主機(jī)。以上都是由于安全等級(jí)混雜造成的，對(duì)客戶建立一定的信譽(yù)等級(jí)或者檢測(cè)虛擬機(jī)服務(wù)的安全程度，都可以在一定程度上劃分好安全等級(jí)，并根據(jù)安全等級(jí)對(duì)虛擬機(jī)進(jìn)行遷移。

2.5云計(jì)算管理權(quán)限中存在的安全問(wèn)題

用戶在傳統(tǒng)的計(jì)算模式中，一般都會(huì)擁有大部分的服務(wù)器權(quán)限，這時(shí)管理員只需要負(fù)責(zé)維護(hù)機(jī)器的物理狀態(tài)和管理機(jī)房網(wǎng)絡(luò)環(huán)境等工作。然而，用戶所擁有的這些管理權(quán)限會(huì)在云計(jì)算環(huán)境中逐漸失去，相應(yīng)的也就不能實(shí)現(xiàn)對(duì)物理機(jī)的有效控制。另外，管理員也會(huì)擁有一小部分權(quán)限，但是如果管理員操作不當(dāng)，則極有可能終止用戶的服務(wù)，進(jìn)而出現(xiàn)丟失數(shù)據(jù)的情況。

3.防護(hù)云計(jì)算中虛擬化技術(shù)安全問(wèn)題的重要措施

3.1訪問(wèn)控制與安全審計(jì)

訪問(wèn)控制和安全審計(jì)永遠(yuǎn)是安全的主要防線。為保證用戶只能訪問(wèn)自己權(quán)限范圍內(nèi)的文件，其他文件沒(méi)有訪問(wèn)權(quán)，便離不開(kāi)嚴(yán)密的數(shù)據(jù)訪問(wèn)控制機(jī)制，以此有助于保護(hù)一些相對(duì)比較敏感的問(wèn)題。同時(shí)，需要將各種安全日志、訪問(wèn)日志等進(jìn)行記錄保存，方便定期或者不定期地進(jìn)行審計(jì)。

3.2主機(jī)的安全防護(hù)

目前，主機(jī)系統(tǒng)的防護(hù)采取的措施都是諸如防火墻、殺毒軟件以及專(zhuān)門(mén)的防御系統(tǒng)等等，防護(hù)措施相對(duì)比較傳統(tǒng)，并且物理主機(jī)只能運(yùn)行虛擬服務(wù)軟件，并且對(duì)運(yùn)行軟件的數(shù)量化進(jìn)行了嚴(yán)格的控制，通過(guò)虛擬專(zhuān)用網(wǎng)在很大程度上有助于連接物理主機(jī)和虛擬服務(wù)器，資源也能夠?qū)崿F(xiàn)最大限度的共享。同時(shí)，在共享資源時(shí)通過(guò)借助加密的網(wǎng)絡(luò)可以有效地防止某臺(tái)虛擬服務(wù)器被攻擊后而對(duì)主機(jī)隋況造成影響。

3.3完備的防火墻及入侵檢測(cè)系統(tǒng)

由于云服務(wù)商提供的服務(wù)是根據(jù)價(jià)格和需求分成不同類(lèi)型的，這里“完備的防火墻和入侵檢測(cè)系統(tǒng)”一定程度上是一個(gè)額外的服務(wù)，需要支付額外的費(fèi)用。比如某些虛擬服務(wù)器容易遭受攻擊特別是DD0s攻擊，那么服務(wù)商一般會(huì)推薦“高防”服務(wù)，這些“高防”又有相應(yīng)等級(jí)，一般也可以防御的瞬時(shí)攻擊流量為標(biāo)準(zhǔn)。入侵檢測(cè)系統(tǒng)一般情況下都是防止外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)的攻擊檢測(cè)，但在虛擬化情況下，內(nèi)部主機(jī)間并不可信任，也需要防范內(nèi)部入侵。

3.4在計(jì)算機(jī)軟件中應(yīng)用一定的數(shù)據(jù)加密技術(shù)

一方面，軟件及數(shù)據(jù)的加密能在一定程度上防止數(shù)據(jù)外泄，間接保證虛擬機(jī)安全；另一方面，通過(guò)借助預(yù)警系統(tǒng)可以及時(shí)地反饋即將出現(xiàn)的網(wǎng)絡(luò)安全問(wèn)題，幫助用戶事先做好防范處理的各種工作。另外，用戶自身還可以定期對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行安全檢查，保證各種軟件安全，及時(shí)地處理潛在的病毒，從而有助于實(shí)現(xiàn)對(duì)信息的維護(hù)，保障信息安全。在傳輸數(shù)據(jù)的過(guò)程中，可以通過(guò)加密協(xié)議來(lái)保證數(shù)據(jù)的完整性與機(jī)密性，如協(xié)議的安全復(fù)制、安全超文本傳輸協(xié)議等。

3.5鏡像文件庫(kù)的建立

為有效地避免由于操作系統(tǒng)奔潰或者系統(tǒng)受到攻擊所造成的系統(tǒng)癱瘓，通過(guò)鏡像文件庫(kù)的建立，系統(tǒng)可以有效地將虛擬機(jī)中至關(guān)重要的鏡像文件和系統(tǒng)的重要備份文件保存下來(lái)。同時(shí)，通過(guò)對(duì)鏡像文件庫(kù)設(shè)置一定的訪問(wèn)權(quán)限，便能夠有效地防止一些用戶非法盜取文件。另外，對(duì)鏡像文件庫(kù)進(jìn)行定期或者不定期的病毒查殺與漏洞修復(fù)等對(duì)于保護(hù)鏡像文件的安全十分有必要。

3.6有效的安全評(píng)估，完善的應(yīng)急處理

由于保密等原因，云服務(wù)商一般不會(huì)請(qǐng)第三方機(jī)構(gòu)對(duì)本公司的虛擬化技術(shù)進(jìn)行安全評(píng)估。但公司內(nèi)部需要建立獨(dú)立的安全評(píng)估、審計(jì)部門(mén)、突發(fā)安全問(wèn)題處理部門(mén)等進(jìn)行安全的預(yù)防及處理。

4.結(jié)語(yǔ)

云計(jì)算及虛擬技術(shù)的發(fā)展，推動(dòng)了社會(huì)各方面的進(jìn)步。但面對(duì)當(dāng)今日益復(fù)雜的網(wǎng)絡(luò)環(huán)境，云計(jì)算中的虛擬化技術(shù)在使用過(guò)程中暴露的安全問(wèn)題越來(lái)越多。本文從訪問(wèn)控制和安全審計(jì)、主機(jī)的安全防護(hù)、防火墻和入侵檢測(cè)系統(tǒng)、在計(jì)算機(jī)軟件中應(yīng)用一定的數(shù)據(jù)加密技術(shù)、鏡像文件庫(kù)的建立等方面提出了幾點(diǎn)防護(hù)云計(jì)算中虛擬化技術(shù)安全問(wèn)題的重要措施，保證了云計(jì)算中虛擬技術(shù)的安全。