雲安全的含義及研究方向

雲計算的出現使得公眾客戶獲得低成本、高性能、快速配置和海量化的計算服務成為可能。 但正如一件新鮮事物在帶給我們好處的同時，也會帶來問題一樣，雲計算在帶給我們規模經濟、高應用可用性益處的同時，其核心技術特點（虛擬化、資源分享、分散式等）也決定了它在安全性上存在著天然隱患。 例如，當資料、資訊存儲在物理位置不確定的「雲端」，服務安全、資料安全與隱私安全如何保障？ 這些問題是否會威脅到個人、企業以至國家的資訊安全？ 虛擬化模式下業務的可用性如何保證？ 為此，現階段雲安全研究成為雲計算應用發展中最為重要的研究課題之一，得到越來越多的關注。

1 雲安全的含義及研究方向

所謂雲安全，主要包含兩個方面的含義。 第一是雲自身的安全保護，也稱為雲計算安全，包括雲計算應用系統安全、雲計算應用服務安全、雲計算使用者資訊安全等，雲計算安全是雲計算技術健康可持續發展的基礎；第二是使用雲的形式提供和交付安全，也即雲計算技術在安全領域的具體應用 ，也稱為安全雲計算，就是基於雲計算的、通過採用雲計算技術來提升安全系統的服務效能的安全解決方案，如基於雲計算的防病毒技術、掛馬檢測技術等。

針對雲安全，目前研究方向主要有三個。 第一是雲計算安全，主要研究如何保障雲自身及其上的各種應用的安全，包括雲計算平臺系統安全、使用者資料安全存貯與隔離、使用者接入認證、資訊傳輸安全、網路攻擊防護、合規審計等；第二是安全基礎設置的雲化， 主要研究如何採用雲計算技術新建、整合安全基礎設施資源、優化安全防護機制，包括通過雲計算技術構建超大規模安全事件、資訊採集與處理平臺，實現對海量資訊的採集、關聯分析、提升全網安全態勢把控及風險控制能力等；第三是雲安全服務， 主要研究各種基於雲計算平臺為客戶提供的安全服務，如防病毒服務等。 本文重點對雲計算安全的研究進行及進行探討。

2 雲安全研究進展

目前，對雲安全研究最為活躍的組織是雲安全聯盟（CSA：Cloud Security Alliance）。 CSA 作為業界比較認可的雲安全研究論壇，在2009年12 月17 日發佈了一份雲計算服務的安全實踐手冊———《雲計算安全指南》，該指南總結了雲計算的技術架構模型、安全控制模型以及相關合規模型之間的映射關係，如圖1。

圖1 CSA 提出的雲模型、安全控制和合規模型的映射

根據CSA 提出的雲安全控制模型，「雲」上的安全首先取決於雲服務的分類，其次是「雲」上部署的安全架構以及業務、監管和其它合規要求。 對這兩部分內容進行差距分析，就可以輸出整個「雲」的安全狀態，以及如何與資產的保障要求相關聯。

2010年3月雲安全聯盟又發表了其在雲安全領域的最新研究成果———雲計算的七大安全威脅，獲得了廣泛的引用和認可，其主要內容如下：

·雲計算的濫用、惡用、拒絕服務攻擊

·不安全的介面和API

·惡意的內部員工

·共用技術產生的問題

·資料洩漏

·帳號和服務劫持

·未知的安全場景

依據CSA 提出的技術觀點，國際上一些組織和機構如CAM （Common Assurance Metric Beyond theCloud）、微軟以及國內的綠盟科技等也在雲安全領域進行了系列探索，如雲計算安全技術體系框架研究、 雲安全技術解決方案研究等。 關於雲計算安全技術體系框架，目前比較獲得認可的模型如圖2 所示。

從圖2 可以看出，對於不同的雲服務模式

圖2 雲計算安全技術體系框架

（IaaS、PaaS、SaaS），安全關注點是不一樣的。 當然也有一些是這三種模式共有的，如資料安全、加密和金鑰管理、身份識別和存取控制、安全事件管理、業務連續性等。

（1）IaaS 層安全

IaaS 涵蓋從機房設備到硬體平臺的所有基礎設施資源層面，它包括將資源抽象化的能力，並交付裡阿傑到這些資源的物理或邏輯網路連接，終極狀態是IaaS 供應商提供一組API，允許使用者管理基礎設施資源以及進行其它形式的交互。 IaaS 層安全主要包括物理安全、主機安全、網路安全、虛擬化安全、介面安全，以及資料安全、加密和金鑰管理、身份識別和存取控制、安全事件管理、業務連續性等。

（2）PaaS 層安全

PaaS 位於IaaS 之上，它由IaaS 增加了一個層面得來，用以與應用開發框架、中介軟體能力以及資料庫、消息和佇列等功能集成。 PaaS 允許開發者在平臺之上開發應用，開發的程式設計語言和工具由PaaS 提供。 PaaS 層的安全主要包括介面安全、運行安全以及資料安全、加密和金鑰管理、身份識別和存取控制、安全事件管理、業務連續性等。

（3）SaaS 層安全

SaaS 位於IaaS 和PaaS 之上，它能夠提供獨立的運行環境，用以交付完整的使用者體驗，包括內容、展現、應用和管理能力。 SaaS 層的安全主要是應用安全，當然也包括資料安全、加密和金鑰管理、身份識別和存取控制、安全事件管理、業務連續性等。