企業私有雲平臺安全技術

雲計算是一種以互聯網為基礎的新興電腦應用技術，它融合了分散式運算、效用計算、平行計算、網格計算、網路存儲、虛擬化等傳統電腦和網路技術，形成了一整套新的標準和模式，「雲計算」概念也迅速運用到生產環境中，各種「雲計算」 的應服務範圍正日漸擴大，影響力也無可估量。 通俗的講，雲計算就是讓你把所有資料處理任務都交給網路來進行，由企業級資料中心負責處理客戶電腦上的資料任務，這樣就可以通過一個資料中心向使用多種不同設備的使用者提供資料服務，從而為個人使用者節省硬體資源。 本文介紹的雲平臺安全措施主要是面向VMware系列雲計算平臺的。

1、雲安全簡介

當前，典型的企業私有雲計算平臺拓撲結構如圖1所示。

雲計算方興未艾，針對雲計算平臺的安全性研究也在不斷進行，儘管雲計算存在安全問題，但它仍然給資訊安全帶來了機遇。 在雲計算方式下，資料是集中存儲的，這樣至少給資料安全帶來了兩個好處：

(1)降低了資料被盜、被破壞和外泄的可能。 這也是雲計算服務商討論最多的一個優點。 只要使用者能夠接入Internet，就能根據需要隨時進行訪問，根本就用不著自己隨身攜帶，也用不著自己去維護或維修。

(2)能夠更容易地對資料進行安全監測。 資料集中存儲在一個或若干個資料中心，資料中心的管理者可以對資料進行統一管理，負責資源的分配、負載的均衡、軟體的部署、安全的控制，並能更可靠地進行資料安全的即時監測以及資料的及時備份和恢復。

雖然雲計算本身為安全做出了貢獻，但是由於雲計算的複雜性、使用者的動態性等特點，安全問題仍是雲計算發展所面臨的巨大挑戰，如何確保雲計算環境不同主體之間相互鑒別、信任和各個主體問通信機密性和完整性，計算的可用性和機密性[3]， 使雲計算環境可以適用不同性質的安全要求，都是急需解決的問題。

2、基於企業雲平臺的雲安全研究

隨著公司資訊化的發展，生產和辦公場所對於移動辦公有著迫切的需求，例如移動檔流覽和批閱等一些現實需求。 同時企業業務發展需要依託先進的資訊化平臺來進行有力支撐，高性能計算集群、三維視覺化圖形工作站、海量的資料存放裝置以及功能各異的專業應用軟體可以為更加精准、更加高效的綜合決策提供堅實的技術保證， 上述的企業需求需要一個全新的服務平臺進行支援，雲計算就是這樣一個全新的平臺，它使得服務的交付模式向雲端轉移，所有使用者都可以獲得低成本、高性能、快速配置和海量雲計算服務支援。 然而，安全問題始終是雲平臺正常投入使用所面臨的最大問題和隱患，服務安全、資料安全、個人隱私等安全問題都要求必須根據企業實際業務，建立一套完整的雲平臺安全保障體系， 並基於經濟因素的考慮要儘量將企業原有安全基礎設施與雲平臺進行很好的融合，同時對雲平臺性能與安全這對矛盾體進行分析研究，找到最佳平衡點，使得雲平臺更加安全可靠。 圖2顯示了一個完整的雲安全體系架構，覆蓋了實體層、鏈路層、網路層、傳輸層及應用層，採取了盡可能多的安全措施來保障企業私有雲平臺的安全運行，但是如何發揮各個安全手段的作用，避免相互之間的矛盾;如何在保障安全的條件下， 盡可能減少系統用於安全監控的開銷是需要著重解決的問題。 本文介紹的企業主要採用的安全措施有ukey認證、存取控制、資料加密和入侵偵測等手段。

2.1 ukey統一身份認證安全措施

面對日益複雜的網路環境，普通的網路接入認證已經不能滿足安全需要，難以確定使用者身份，保證資料的隱私性，而ukey 是用來進行一些特殊業務的准入認證。 利用ukey 認證作為雲平臺的安全接入認證不僅能夠提高雲平臺的安全性，也能夠使ukey 發揮最大效能，充分利用ukey 高可靠性的特點實現對雲計算資源的保護，防止無授權使用者的非法操作。 SSL VPN是基於SSL 協定採用虛擬私人網路的方式為遠端使用者提供的一種安全通訊服務，採用ukey 認證與SSL VPN 技術相結合，能夠大幅度提高雲平臺的安全。

2.2 雲平臺的安全管理、控制、審計等安全管理問題的研究和解決

雲安全管理平臺搭建在雲計算環境基礎框架上，主要通過VMware軟體所具有的的功能配合其他一些安全管理原則統一進行管理控制。

2.2.1 存取控制策略

雲安全管理平臺根據資源的不同分別定義不同的訪問策略，對資源進行服務控制，企業中使用者資料的級別和敏感程度也有所不同，重要和敏感性資料需要更深層的保護，因此需要針對這些資料和檔專門制定存取控制策略，通過ukey來進行身份識別 ，根據不同的身份及所屬類別來限制使用者的存取權限和所能使用的電腦資源和網路資源，保證合法使用者正常訪問，並防止非法訪問。

2.2.2 資料存儲安全性原則

企業資料始終受到著各種各樣的威脅，存儲服務本身也是不可信任的，因此資料加密成瞭解決問題的首選。 目前基於如DES等的對稱加密演算法因其加解密速度較快被廣泛應用，非對稱加密體系如RSA 演算法則具備更高的強度，因此採用動態生成DES金鑰並結合RSA公開金鑰加密的方法可以充分發揮兩者的優點，找到性能和強度的平衡點。

處理開始前，雲端加密程式從公開金鑰庫獲取接收資料的使用者對應的RSA 公開金鑰。 加密開始時，由一個DES 金鑰產生器隨機生成一個DES金鑰，並依照演算法選取數值N，從來源資料讀取N 位元組並由該隨機DES金鑰加密為長度為M位元組的密文。 與此同時，將該DES金鑰由接收端的RSA公開金鑰加密為一段密文，同N 位元組源資料加密後的密文，並附上該兩者的長度，一同作為一個資料包保存于雲端，如圖3所示。 用戶端繼續工作，重新生成隨機DES 金鑰和亂數N，重複上述過程，發送第二個直至最後一個資料包，完成整個加密工作。

解密過程剛開始是資料接收端讀入前兩個32b，通過RSA解密，分別取得加密的DES金鑰長度(設為L1)和加密的資料長度(L2)，順次讀取資料包中其後的L1和L2位元組資料，用接收端的RSA私密金鑰將前者翻譯成明文， 得到一個DES金鑰，而後者則由該DES金鑰解密，解密後的明文追加到待保存的目標資料中。 這樣就完成了一個資料包的解密，如圖4所示。 重複上述過程，直至完成所有資料包的解密，得到加密前的原始資料。

2.3 雲計算平臺入侵偵測

雲平臺資料更加集中，更易受到攻擊和入侵的威脅，而使用傳統的特徵庫判別法的殺毒軟體已無法有效地確保雲平臺的安全，因此入侵偵測和防禦就顯得更加重要，十分有必要對雲計算平臺中的網路、框架和資料等各種威脅進行全方位即時主動監控、 檢測和防禦。

傳統入侵偵測防護技術大多是一種被動防禦的系統，很難滿足當前網路攻防的新形勢。 這裡採用主動防禦與傳統被動防禦相結合的方式，摸索這種入侵偵測系統與雲計算平臺的結合，採用改進的apriori演算法，利用一個層次循序搜尋的迴圈方法來完成頻繁項集的挖掘工作，提高挖掘速度，迅速發現網路或系統中是否被入侵的跡象。 當查詢的行為是合法的，系統返回一個完整和正確的解釋，當查詢的行為是誤操作或惡意行為的特徵，解釋將和具體事件和發生事件的節點關聯起來，通過節點行為(也就是指狀態變化或某些節點上的資訊傳遞)來判定行為是否合法或是發生錯誤， 並採取必要的處理措施。

3、結語

雲計算作為一種新的模式給公司資訊化發展帶來了巨大的變革，是IT 行業的一個發展趨勢。 其提高了網路工作效率，節約了企業成本和資源，應用前景非常廣，但是安全問題仍然是阻礙企業全面部署雲平臺的最大障礙。 雖然本文提出了一些雲安全防禦策略，但還不成熟，因此今後還要在此基礎上在如何有效控制存取權限和整體安全管理機制，如何對資料進一步劃分等級，即時安全操作和監控，如何更有效地管控外部攻擊威脅帶來的風險等方面深入開展研究， 更有效地提高雲計算平臺安全，為雲計算在企業中的廣泛應用提供更安全的保障。