云計算及其安全問(wèn)題研究
加入技術(shù)交流群
2 云計算現狀
目前，Google、Amazon、微軟、IBM等ICT巨頭都在積極推動(dòng)云計算的研究和部署，比較成熟的云計算業(yè)務(wù)和應用包括Google的App Engi ne，Amazon的彈性計算云EC2和簡(jiǎn)單存儲服務(wù)S3，微軟的Azure云平臺，IBM的“藍云”等。
雖然云服務(wù)提供商可以提供用戶(hù)所需服務(wù)，但安全風(fēng)險在云計算環(huán)境中顯得十分重要。2008和2009兩年IDC發(fā)布的調查報告顯示，云計算服務(wù)面臨的三個(gè)重大挑戰分別是服務(wù)的安全性、穩定性和性能表現。2009年11月，Forrester Research的調查結果顯示，51％的中小型企業(yè)尚未使用云服務(wù)的最主要原因是安全性和隱私問(wèn)題。
由此可見(jiàn)，客戶(hù)選擇云計算時(shí)的首要考慮因素是安全性。云計算由于用戶(hù)、信息資源的高度集中，其所帶來(lái)的安全事件后果與風(fēng)險也較傳統應用高出很多。2009年，Google、Microsoft、Amazon等公司的云計算服務(wù)均出現了重大故障，導致成千上萬(wàn)客戶(hù)的信息服務(wù)受到影響，進(jìn)一步加劇了業(yè)界對云計算服務(wù)安全的擔憂(yōu)。
3 云計算的安全風(fēng)險與對策
通過(guò)對云計算的分析，本節基于云計算的實(shí)際，針對云計算中存在的安全威脅提出相應解決對策。
3．1 虛擬化級別攻擊
云計算是基于虛擬化技術(shù)的。云可通過(guò)如VMWarevSphere、Microsoft Virtual PC、Xen等管理程序來(lái)實(shí)施。這種威脅的產(chǎn)生是因為開(kāi)發(fā)者往往忽略了管理程序中的編碼漏洞。
通過(guò)IDS(入侵檢測系統)／IPS(入侵防御系統)，并通過(guò)實(shí)施防火墻監測，都可以減輕由虛擬化級別的漏洞而造成的安全威脅。
3．2 云計算的濫用和惡意使用
云計算的濫用和惡意使用等威脅的引起是由于云計算環(huán)境中存在相對較弱的登記制度。云計算的注冊過(guò)程是，擁有有效信用卡的任何人都可以注冊，并使用該服務(wù)。這種情況會(huì )增大不愿透露姓名的垃圾郵件制造者、惡意代碼作者和罪犯來(lái)攻擊系統的機會(huì )。減輕這種類(lèi)型威脅的方法如下：
(1)實(shí)施嚴格的首次注冊和驗證過(guò)程；
(2)信用卡欺詐的監測和協(xié)調；
(3)對用戶(hù)的網(wǎng)絡(luò )流量進(jìn)行詳細反??；
(4)通過(guò)網(wǎng)絡(luò )監督公共黑名單。
3．3 內部人員惡意操作
當缺乏對云服務(wù)供應商程序和流程的了解時(shí)，惡意內部人員的風(fēng)險將加大。企業(yè)應該關(guān)注供應商的信息安全和管理政策，強制使用嚴格的供應鏈管理以及加強與供應商的緊密合作。同時(shí)，還應在法律合同中對工作要求有明確的指示，以規范云計算運營(yíng)商處理用戶(hù)數據等這些隱蔽的過(guò)程。
3．4 管理接口妥協(xié)
云服務(wù)提供商的客戶(hù)管理界面是通過(guò)互聯(lián)網(wǎng)進(jìn)行訪(fǎng)問(wèn)的。在云計算服務(wù)中，較大的資源訪(fǎng)問(wèn)大多采用傳統的托管，云計算通過(guò)這些管理接口提供遠程用戶(hù)訪(fǎng)問(wèn)。如果網(wǎng)頁(yè)瀏覽器存在漏洞，就有可能構成嚴重的安全威脅。
為了減輕遠程訪(fǎng)問(wèn)產(chǎn)生的威脅，安全協(xié)議應該用來(lái)提供訪(fǎng)問(wèn)。此外，提供遠程訪(fǎng)問(wèn)之前，還應對網(wǎng)頁(yè)瀏覽器漏洞實(shí)施補丁管理。
3．5 數據丟失或泄漏
數據丟失或泄漏會(huì )對企業(yè)造成不利影響。品牌或聲譽(yù)失去，客戶(hù)的信任受到削弱。數據丟失或泄漏可能是由于認證、授權和審計控制不足，加密和軟件密鑰的使用不一致，數據中心的可靠性和災難性恢復。
通過(guò)加密保護傳輸數據的完整性，可在設計和運行時(shí)分析數據保護，實(shí)施強有力的密鑰生成、存儲和管理，以減輕由數據丟失或泄漏所產(chǎn)生的安全威脅。用戶(hù)可利用合同要求數據被釋放到資源池并提供備份和保留策略。
3．6 賬戶(hù)或服務(wù)劫持
釣魚(yú)、挾持和欺詐是聞名于世的IT問(wèn)題。云計算又增加了一個(gè)新的威脅層面，“如果攻擊者獲得訪(fǎng)問(wèn)您的權限，便可以竊聽(tīng)您的活動(dòng)和交易，操縱數據，返回虛假信息并將您的賬戶(hù)定向到非法網(wǎng)站，而您的賬戶(hù)可能成為一個(gè)新攻擊者。”
為減輕上述威脅，應盡可能使用用戶(hù)和服務(wù)器之間的賬戶(hù)證書(shū)共享，未經(jīng)授權的活動(dòng)不應被允許，應采用多因素認證技術(shù)、嚴格的監控檢測和安全政策，并應清楚地了解SLA的云供應商。
3．7 不安全的接口和APIS
用戶(hù)一般會(huì )使用一套軟件的接口或APIS與云服務(wù)進(jìn)行交互。云服務(wù)的資源調配、管理、業(yè)務(wù)流程和監測一般都使用這些接口。如果接口和APIS相對薄弱，如可重復使用的令牌或密碼、明文身份驗證或傳輸內容、不靈活的訪(fǎng)問(wèn)控制或不適當的授權及有限的監視和記錄功能，都可能會(huì )受到各種安全威脅，如匿名訪(fǎng)問(wèn)。
為了減輕上述威脅，云服務(wù)要求提供商對接口的安全模型進(jìn)行分析。故應實(shí)施強有力的身份驗證和訪(fǎng)問(wèn)控制來(lái)對傳輸的內容進(jìn)行加密，同時(shí)應清楚地了解與API相關(guān)的依賴(lài)關(guān)系鏈。
3．8 未知的風(fēng)險
對用戶(hù)所使用的安全配置應當有所了解，無(wú)論是軟件的版本、代碼更新、安全做法、漏洞簡(jiǎn)介、入侵企圖，還是安全設計。要查清楚誰(shuí)在共享用戶(hù)的基礎設施，盡快獲取網(wǎng)絡(luò )入侵日志和重定向企圖中的相關(guān)信息。
4 結語(yǔ)
隨著(zhù)云計算技術(shù)的快速發(fā)展和更廣泛的應用，云計算將會(huì )面臨更多的安全風(fēng)險。為了保證企業(yè)應用程序、數據的完整性和安全性，必須建立一道堅固防線(xiàn)。這道防線(xiàn)包括防火墻、入侵檢測、完整性監控、日志檢查和惡意軟件防護等。企業(yè)和服務(wù)提供商應積極地保護云基礎設施來(lái)保證安全，以便企業(yè)利用云計算的優(yōu)勢領(lǐng)先其競爭對手。雖然有幾個(gè)標準組織在研究云計算的安全問(wèn)題，但是，目前業(yè)界對云計算安全的解決并沒(méi)有統一的標準和解決方法。為了應對不斷出現的安全威脅，需要不斷探索新的云安全解決方案，并逐漸建立行之有效的云安全防護體系，在最大程度上降低云計算系統的安全威脅，提高云服務(wù)的連續性，保障云計算應用的健康、可持續發(fā)展。本文引用地址：http://dyxdggzs.com/article/202014.htm
評論