雲計算資料中心安全體系架構淺析

建立資料中心的目的是為了更好地利用資料、挖掘資料，向資料要效益。 在資料中心中應用雲計算技術則是一個必然的趨勢。 而從資料中心獲得效益就必須有一個相對安全穩定的環境作為支撐，因此研究雲計算資料中心的資訊安全體系架構具有重要意義。

一、雲計算綜述

(一)雲計算簡介

在世界著名市場研究諮詢機構Gartner評選的對多陣列織最具戰略意義的十大技術和趨勢中，雲計算技術位列第一。

雲計算指IT基礎設施的交付和使用模式，指通過網路以按需、易擴展的方式獲得所需資源。 從更深層次的角度來看，也可以不局限于IT基礎設施，可以將其擴展到服務的層面。 這種服務可以是IT和軟體、互聯網相關，也可以是其他服務。 它的核心思想是，統一管理和調度大量用網路連接的計算資源，構成一個計算資源池向使用者提供按需服務。 提供資源的網路被稱為「雲」。 「雲」中的資源在消費者看來是可以無限擴展的，並且可以隨時獲取、按需使用、隨時擴展。 簡單來說，雲計算系統可以看成是有網路瀏覽器和「雲」兩部分構成，而雲就是由內部互連的眾多虛擬機器組成的並行分散式運算系統，能夠根據服務提供者和客戶之間協商好的服務等級協定動態提供計算資源。

雲計算的基本原理是，計算在大量的分散式運算機上完成，而不是在本地電腦或遠端伺服器中完成，資料中心的運行將更與互聯網相似。 資源可以被便捷地切換到需要的應用上，使用者可以根據需求訪問電腦和存儲系統。 在以雲計算模型作為基礎的資料中心裡，使用者對於軟硬體設施的依賴大大降低，他們使用的僅僅是由資料中心提供的服務，「一切即服務」(xasaService，XaaS)。

作為雲計算的重要特徵，「一切即服務」分為3方面，基礎設施即服務(InfrastructureasaService，IaaS)、平臺即服務(PlatformasaService，PaaS)和軟體即服務( SoftwareasaService，SaaS)。 從雲計算的技術架構角度來看，IaaS包含了機房設備等所有的基礎設施資源。 PaaS位於IaaS的上一層，為使用者提供一個集應用開發、中介軟體使用以及資料庫、消息和佇列等功能于一身的平臺。 PaaS允許開發者在該平臺之上開發應用，所使用的程式設計語言和工具由PaaS支援提供。 SaaS位於IaaS和PaaS之上，能夠提供獨立的運行環境，用來為使用者提供完整的使用體驗，包括內容展現和應用管理等。

(二)雲計算的優勢與劣勢

作為一種新興的系統模型，雲計算有其獨到的優勢。 第一，容易部署和配置方便，在公有雲中，使用者可以通過Internet輕鬆訪問，而在私有雲中，使用者則可以通過自建局域網獲取服務。 第二，可擴充性保證了雲計算模型可以從小型的驗證性模型平滑擴展到大型資料中心的建設上，可以同時為大量的節點提供資料服務。

第三，雲計算具有高可用性的特點，在整個模型中，即使一部分計算節點失效，也不會影響向使用者提供服務。 第四，建設成本降低。 雲計算是一種規模經濟，規模越大，相對建設成本就越低。 第五，資源分享變得更加容易。 第六，有助於實現集中化管理，降低管理和維護成本。

同時，雲計算在實際應用中也有一些缺陷。 第一，安全性有待提高，從2008年~2010年，全球發生了若干起資料中心資訊安全事件，其中有80%的事件出現在基於雲計算模型建設的資料中心。 第二，服務品質的保障。 第三，在由傳統資料中心平臺遷移到雲計算資料中心時，可能會出現分散式業務的平滑過渡問題。

(三)遷移到雲環境後的收益

雲計算技術的推出將為資料中心帶來增強資料安全性、加快資訊共用速度、提高服務品質、降低運營成本等益處。

第一，增強資料處理能力。 通過把雲計算技術與資料採礦技術相結合，可以從海量資料中快速提取出有價值的資訊，為機構的決策提供服務。 分佈在雲中成千上萬的電腦群提供強大的計算能力，並通過網路將龐大的計算處理常式拆分成無數個較小的副程式。 雲計算技術能在短時間內對大量的業務資料進行存儲、分析、處理、挖掘、關聯，從而極大地增強了資料處理能力。

第二，增強資料的存儲能力和可靠性。 一方面，雲中的眾多伺服器正好可以提供強大的存儲能力，網路中不同類型的大量存放裝置通過應用軟體集合起來協同工作，滿足業務不斷增長帶來的龐大資料存儲需要。 另―方面，雲計算也提高資料的可靠性。 即使某台伺服器出現故障，其他伺服器也可以在極短時間內快速將其資料備份到其他伺服器上，並啟動新的伺服器以提供服務。

第三，降低資料中心運營成本，提高運營效率。 隨著業務的不斷發展，逐漸從一個地區擴展到其他地區，分支機搆不斷增多。 為此不得不花費大量的資金購買數量眾多的電腦設備，從而造成資料中心運營成本急劇上升。 如果採用雲計算技術，就能像規模經濟靠攏，長遠看來是可以極大的降低運行成本，提高運營效率。

二、雲計算的安全性

(一)全球雲計算資料中心的安全事件

近些年，雲計算資料中心的建設在飛速發展，亞馬遜、谷歌、微軟等大型公司都投入了大量的人力和財力建設自己的雲計算資料中心，為使用者提供多種服務。 但是這些IT巨頭在應對雲計算中的安全問題時也顯得有些力不從心，使用者在使用時也遭受一定的損失。 以下是從2009年到2011年全球雲計算資料中心發生的安全事件。

1.2009年2月24日，谷歌的Gmail電子郵箱爆發全球性故障，服務停機時間長達4小時。 谷歌解釋事故的原因：在位於歐洲的資料中心進行例行性維護之時，有些新的程式碼(會試圖把地理相近的資料集中于所有人身上)產生副作用，導致歐洲另一個資料中心超載，於是連鎖效應就擴及到其他資料中心介面，最終釀成全球性的斷線， 導致其他資料中心也無法正常工作。

2.2009年3月17日，微軟的雲計算平臺Azure停止運行約22個小時。

3.2009年6月，Rackspace遭受了嚴重的雲服務中斷故障。 供電設備跳閘，備份發電機失效，不少機架上的伺服器停機。

4.2010年明，微軟爆發BPOS服中斷事件。 這是微軟首次爆出重大的雲計算資料突破事件。

5.2011年3月，谷歌郵箱再次爆發大規模的使用者資料洩漏事件，大約有15萬Gmail使用者在周日早上發現自己的所有郵件和聊天記錄被刪除，部分使用者發現自己的帳戶被重置。 谷歌表示受到該問題影響的使用者約為使用者總數的0.08%。

6.2011年4月22日，亞馬遜雲資料中心伺服器大面積宕機，這一事件被認為是亞馬遜史上最為嚴重的雲計算安全事件。

除了上述六起比較重大的雲資料中心安全事件之外，還有若干起小規模的安全事件發生。

(二)安全事件帶來的影響

上述安全事件的發生使得雲計算的安全問題再次被關注。 而在此之前，幾乎所有的使用者對雲計算的最大質疑也是安全問題，特別是公有雲的安全問題，這也提升了公眾對私有雲的關注，更多的企業和政府機構更加相信私有雲的安全性。 因此，基於雲計算來設計資料中心實際上成為高效、高品質服務與安全可靠之間的博弈。

(三)雲計算的關鍵安全技術

雲計算資料中心面臨的安全風險分為3個層面，共4類。 34個層面分別為數據、應用和虛擬化，4類分別為傳輸安全、存儲安全、恢復安全和審計安全，其中傳輸安全為資料層面所獨有。

為化解上述安全風險，目前可以採用的技術有以下幾種。

1.資源存取控制。 在雲環境中，資源被分為若干訪問區域，使用者有跨區域共用資料的權利，但需要在每個地區設定身份認證和身份管理原則，同時設置存取控制策略。 資源存取控制技術主要解決優先訪問權、管理許可權等風險。

2.資料存在與可使用性。 雲計算資料中心與傳統資料中心相比，資料規模更大，而大規模的資料會使資料中心在提供服務時面臨巨大的通信壓力。 資料在傳輸和使用中會出現正確性和可靠性無法保證的情況，而在服務高效率的要求下，等到資料完全傳輸到本地再檢查其準確性和可靠性是不現實的，因此需要通過資料存在與可使用性技術來判斷遠端資料是否正確可用。

3.資料隱私保護。 該技術主要是應對雲計算資料中心的資料洩漏風險。

4.虛擬化安全。 資料中心在向雲計算平臺遷移的過程中必然要使用到虛擬化技術，該技術一般應用在PaaS層面中，因此保證虛擬化平臺的安全對於雲資料中心的整體安全是非常重要的。

5.可信的雲計算平臺。 雲計算平臺分為公有雲和私有雲兩類，私有雲計算平臺一般為使用者自行搭建，不使用公共網路中雲服務提供者的服務。 而公有雲計算平臺則涉及使用協力廠商雲服務提供者的產品，可信的雲計算平臺技術可以保證雲平臺，特別是公有雲平臺的可靠性和持久性。

三、傳統資料中心的資訊安全體系架構

傳統資料中心所面臨的安全威脅主要來自3個方面，一是面向應用層的攻擊，二是面向網路層的攻擊，三是面向基礎設施的攻擊(這裡的基礎設施是指網路、主機等資訊系統硬體設施)。 因此傳統資料中心的資訊安全防護體系一般按照「多層防護、分區規劃、分層部署」的原則來進行。

(一)多層防護

多層防護大體上分為3層，第一層是高性能硬體防火牆，第二層是具有高性能檢測引擎的IDS甚至是IPS，第三層是具有豐富安全功能的路由器和交換器。 這種分層方式比較宏觀，從更微觀的角度來看，根據0SI7層模型，資料中心還建立了從鏈路層到應用層的非常具體的資訊安全防護體系，例如防病毒閘道、資料防洩漏等防護手段和防護設備。

(二)分區規劃、分層部署

資料中心存在不同價值和易受攻擊程度不同的設備，按照這些設備的情況制定不同的安全性原則和信任模型，將資料中心劃分為不同區域，這就是分區規劃。 通常，資料中心根據不同的信任層級可以劃分為遠端接入區、Internet伺服器區、局域網外部伺服器區、局域網內部伺服器區、管理區、核心區等。

傳統資料中心的分層架構除了體現在傳統的網路3層部署(接入層、彙聚層、核心層)上，還體現在應用系統的設計部署上。 多層架構把應用伺服器分解成可管理的、安全的層次，這樣可以避免將所有功能都駐留在單一伺服器時帶來的安全隱患，增強了擴充性和高可用性。

(三)安全防護技術

根據傳統資料中心的資訊安全架構，有多種安全防護技術對其進行支撐。 安全防護技術同樣分為3個層次。 第一層是資料中心網路基礎設施防護技術，包括基於VLAN的埠隔離、STPRoot/BPDUGuard、埠安全。 第二層是資料中心邊界防護技術，包括防火牆的使用和管理等。 第三層是資料中心應用安全防護技術，包括病毒防護、資料洩漏防護、資料存儲防護等。

四、雲環境下資料中心的資訊安全體系架構

在建設雲計算資料中心時，由於資源整合程度和共用程度很高，不論是資料安全、應用安全還是虛擬化安全，都以服務的方式交付給資料中心使用者。 在這種建設思路的指引下，雲計算資料中心的資訊安全體系和傳統資料中心的安全防護體系差別很大，歸結起來主要有以下幾個方面。

(一)新增虛擬化安全要求

雲計算資料中心的虛擬化分為軟體虛擬化和硬體虛擬化。 所謂軟體虛擬化是指將軟體直接部署在實體機上，提供創建、運行和撤銷虛擬伺服器的能力。 在這種情況下，使用者具有了同時操作多台虛擬伺服器的條件，所以必須嚴格限制任何未經授權的使用者訪問虛擬化軟體層，例如建立嚴格的控制措施，限制對於Hypervisor和其他虛擬化層次的物理和邏輯存取控制。 硬體虛擬化的安全可以借鑒物理伺服器的安全措施，主要從實體機選擇、虛擬伺服器安全和日常管理3個方面來制定安全防護方案。 另外，在資源高度整合的條件下，對資源的按需分配、資料之間的安全隔離提出了更高的要求，安全設備應適應雲計算資料中心虛擬化要求。

(二)安全邊界混雜

傳統資料中心的安全防護體系建設的一個重要思路就是基於邊界的安全隔離和存取控制，並且強調分區規劃，分層防護。 但是在雲計算資料中心裡，資源高度整合，基礎設施架構統一化，安全設備的部署邊界已經變得十分模糊，甚至有消失的趨勢。

(三)安全威脅發現和處理作用範圍變大

在傳統資料中心裡，安全威脅的資訊來源主要是用戶端上部署的安全軟體和網路中部署的硬體安全產品。 管理人員在得到資訊後，可以在很短的時間內對安全威脅進行處理，但這種處理是分區域的，也就是說無法做到整個資料中心的集中防範和集中處理，無法形成整體的安全防護。 而在雲計算資料中心裡，安全威脅的感知和處理都將趨於統一，資訊共用率極高，安全防護體系比傳統資料中心的體系更加宏觀，防護範圍更大。 根據雲計算資料中心資訊安全體系建設的新情況，雲計算資料中心的資訊安全防護可以從以下幾個方面綜合考慮。

1.注重對虛擬化的支援

虛擬化是雲計算資料中心的關鍵技術，現代化資料中心的基礎網路架構、存儲資源、計算資源以及應用資源都已經在向虛擬化靠攏。 無論是為了滿足不同使用者的需求，提供個人化資源服務，還是為了利用邏輯隔離手段來保證資料安全，虛擬化都是一個非常好的選擇。 因此，在建設雲計算資料中心的安全防護體系時，對虛擬化的支援是十分重要的。

2.建設統一安全威脅防護系統

由於雲計算資料中心的安全邊界已經變得模糊不清，資源高度整合，管理員即使有能力對整個資料中心進行分區，也只能是基於邏輯的劃分，物理上的安全邊界已經不復存在。 在這種情況下，針對使用者單獨部署獨立的安全系統已不現實。 安全設備的部署應該從原來的基於各子系統的安全防護，轉移到基於整個雲計算資料中心的安全防護，建設統一安全威脅防護系統。 打個形象的比喻，雲計算資料中心的安全威脅防護系統應該像一個罩子，覆蓋住整個資料中心。

3.形成安全風險陝速反應機制

在雲計算資料中心的安全建設中，充分利用雲計算強大的資源分享能力和運算能力，對安全風險進行快速反應和處置，快速定位解析安全威脅，並將安全威脅的處置方式推送至整個資料中心，從而使所有的安全設備都具備對這種安全威脅的檢測能力。

五、總結

建立資料中心的目的是為了更好地利用資料、挖掘資料，向資料要效益。 在資料中心中應用雲計算技術則是一個必然的趨勢。 而從資料中心獲得效益就必須有一個相對安全穩定的環境作為支撐，因此研究雲計算資料中心的資訊安全體系架構具有重要意義。

我國在「十二五」發展規劃中已經將雲計算列為需要重點扶植發展的內容，因此雲計算資料中心所面臨的當務之急不是來自技術層面，而是來自管理層面。 我國資訊技術管理指導部門應該儘快制定雲計算資料中心的相關標準，特別是資訊安全標準，以便及早進行規范和管理。