2.云計算安全總體框架

　　作為一項新生事物，云計算的推廣遇到諸多困難，其中遇到的最大挑戰(zhàn)是用戶對安全問題的擔(dān)憂。Gartner、IDC 等專業(yè)機(jī)構(gòu)的調(diào)研也表明，安全問題已成為阻礙云計算推廣的最大障礙。鑒于云計算的復(fù)雜性，它的安全問題也應(yīng)該是一個涵蓋技術(shù)、管理，甚至法律、法規(guī)的綜合體。

　　根據(jù)云計算平臺的特點(diǎn)，構(gòu)建了如圖2 所示的云計算安全總體框架：

　　圖2 云計算安全總體框架

　　下面概要介紹該框架中每部分的含義。

　　2.1 云計算安全政策、法規(guī)、標(biāo)準(zhǔn)

　　傳統(tǒng)的安全技術(shù)已經(jīng)出現(xiàn)多年，相應(yīng)的標(biāo)準(zhǔn)、法律、法規(guī)也都相對成熟，但現(xiàn)在的云計算安全缺少標(biāo)準(zhǔn)，政策、法規(guī)也不健全。再加上云計算自身的特點(diǎn)，數(shù)據(jù)可以存儲在世界上任何一個國家，當(dāng)出現(xiàn)問題時，國家政策的不同也是云計算安全的一個重大挑戰(zhàn)。

　　標(biāo)準(zhǔn)化是云計算安全發(fā)展的重要措施之一，但目前云計算安全研究還處于起步階段。國際上研究主力包括云安全聯(lián)盟（CSA）、國際電聯(lián)（ITU）、IEEE 等組織，國內(nèi)有中國通信標(biāo)準(zhǔn)化協(xié)會（CCSA）、中國云計算技術(shù)與產(chǎn)業(yè)聯(lián)盟（CCCTIA）等組織，但這些組織的研究也都處于進(jìn)行中，尚未形成獲得一致認(rèn)可的安全技術(shù)和標(biāo)準(zhǔn)。

　　2.2 IaaS層的安全風(fēng)險與措施

　　IaaS 層處于云計算平臺的最底層，為上層云應(yīng)用提供安全數(shù)據(jù)存儲、計算等 IT 資源服務(wù)，是整個云計算體系安全的基石。IaaS 平臺既有傳統(tǒng)數(shù)據(jù)中心的安全特性，更面臨自身特有的安全風(fēng)險。

　　一方面，IaaS 平臺沿襲傳統(tǒng)計算中心面臨的安全問題，要采取全面、嚴(yán)密的安全措施。例如，在物理層考慮廠房安全；在存儲層考慮數(shù)據(jù)加密、備份、歸檔、災(zāi)難恢復(fù)等；在網(wǎng)絡(luò)層考慮DDoS 攻擊、數(shù)據(jù)傳輸機(jī)密性等；在數(shù)據(jù)層考慮數(shù)據(jù)庫安全、數(shù)據(jù)的隱私性與訪問控制等；在應(yīng)用層考慮程序完整性檢驗、訪問控制與漏洞管理等。

　　另一方面，IaaS 平臺大量采用虛擬化技術(shù)，包括虛擬服務(wù)器、虛擬存儲、虛擬網(wǎng)絡(luò)，甚至虛擬交換機(jī)等，虛擬化安全成為其面臨的最大安全風(fēng)險。虛擬化安全綜合起來可以歸結(jié)為以下兩個方面：

　　1）虛擬化軟件安全

　　該軟件層直接部署于裸機(jī)之上，提供能夠創(chuàng)建、運(yùn)行和銷毀虛擬服務(wù)器的服務(wù)。云服務(wù)提供商應(yīng)建立必要的安全控制措施，限制對于Hypervisor 和其他形式的虛擬化層次的物理和邏輯訪問。在laaS 服務(wù)中，用戶不能接入虛擬化軟件層，該層由云服務(wù)提供商來操作、管理。

　　2） 虛擬服務(wù)器安全

　　虛擬服務(wù)器或客戶端面臨著許多主機(jī)安全威脅，包括接入和管理主機(jī)的密鑰被盜、在脆弱的服務(wù)標(biāo)準(zhǔn)端口偵聽、劫持未采取合適安全措施的賬戶等。這就需要采取以下措施：

　�。�1）選擇具有TPM （ 可信計算平臺模塊）的虛擬服務(wù)器。

　�。�2）安裝時為每臺虛擬服務(wù)器分配一個獨(dú)立的硬盤分區(qū)，以便進(jìn)行邏輯隔離。

　　（3）每臺虛擬服務(wù)器應(yīng)采用VLAN 和不同IP 網(wǎng)段的方式進(jìn)行邏輯隔離，需要通信的虛擬服務(wù)器間的網(wǎng)絡(luò)連接采用VPN 進(jìn)行。

　�。�4）進(jìn)行有計劃的備份，包括完整、增量或差量備份方式。

　　2.3 PaaS層的安全風(fēng)險與措施

　　PaaS 層處于云計算平臺的中間，它既依靠IaaS 平臺提供的基礎(chǔ)資源，又為上層SaaS 提供應(yīng)用平臺，起到了承上啟下的作用。

　　PaaS 的核心技術(shù)是分布式處理，主要解決云計算數(shù)據(jù)中心大規(guī)模服務(wù)器群的協(xié)同工作。要提供PaaS 云計算服務(wù)，首先要在云計算數(shù)據(jù)中心架設(shè)分布式處理平臺，包括分布式文件系統(tǒng)、分布式計算、分布式數(shù)據(jù)庫等；其次，要對分布式處理平臺進(jìn)行封裝，包括提供開發(fā)環(huán)境（SDK）、API 接口和代碼庫等。因此，對PaaS 層來說，面臨的安全威脅主要包括：