云計(jì)算解決方案之云安全

云計(jì)算解決方案之云安全提綱云計(jì)算平臺(tái)面臨的威脅云計(jì)算安全平臺(tái)框架云計(jì)算安全四方面足夠安全的云計(jì)算對(duì)用戶至關(guān)重要75％CIO關(guān)心云計(jì)算安全63％的CIO關(guān)心云計(jì)算的性能和投資成本云計(jì)算安全問(wèn)題關(guān)注服務(wù)可用性數(shù)據(jù)機(jī)密性和完整性隱私權(quán)的保護(hù)IDCautumn2008云計(jì)算平臺(tái)安全問(wèn)題分析安全認(rèn)證攻擊中間人攻擊重放攻擊僵尸網(wǎng)絡(luò)拒絕式服務(wù)攻擊客戶身份偽造冒充云計(jì)算應(yīng)用認(rèn)證根密鑰竊取虛擬化安全漏洞攻擊VMWare漏洞HyperVM：zero-day僵尸網(wǎng)絡(luò)拒絕式服務(wù)攻擊黑客盜用拒絕服務(wù)攻擊DoS&DDoS不是云計(jì)算特有關(guān)鍵核心數(shù)據(jù)和服務(wù)遷移到云計(jì)算中心拒絕服務(wù)帶來(lái)的后果影響更嚴(yán)重消耗主機(jī)可用資源Land、Teardrop、SYNFlood、UDPFlood、ICMPFlood、Smurf消耗服務(wù)器鏈路帶寬云制圖攻擊DoS&DDoS定位在第三方云計(jì)算服務(wù)托管的Web服務(wù)器物理位置的計(jì)劃。云制圖旨在繪制服務(wù)提供商的基礎(chǔ)設(shè)施，以確定特定虛擬機(jī)（VM）可能的位置。存在的攻擊行為攻擊亞馬遜數(shù)據(jù)共享的API設(shè)置旁道攻擊其它：訪問(wèn)控制授權(quán)、數(shù)據(jù)機(jī)密性及完整性、隱私權(quán)保護(hù)、入侵檢測(cè)、容災(zāi)及數(shù)據(jù)冗余、惡意代碼防役提綱云計(jì)算平臺(tái)面臨的威脅云計(jì)算安全平臺(tái)框架云計(jì)算安全四方面云計(jì)算安全平臺(tái)框架提綱云計(jì)算平臺(tái)面臨的威脅云計(jì)算安全平臺(tái)框架云計(jì)算安全四方面四方面安全考慮定制加固Linux基于Xen、KVM的開源系統(tǒng)虛擬化業(yè)務(wù)計(jì)算資源調(diào)度分布式數(shù)據(jù)庫(kù)分布式文件系統(tǒng)通用PC或刀片大規(guī)模計(jì)算平臺(tái)安全域動(dòng)態(tài)數(shù)據(jù)安全靜態(tài)數(shù)據(jù)安全可信的接入安全可信虛擬化安全可信網(wǎng)絡(luò)安全可信的接入認(rèn)證可信的終端設(shè)備可信的通信鏈路可信的策略管理可信的用戶管理可信的審計(jì)機(jī)制合規(guī)性可信安全管理虛擬機(jī)防護(hù)虛擬機(jī)加密存儲(chǔ)安全補(bǔ)丁管理加固，定制OSZXCCPDHSSZXDFSIVAS可信云計(jì)算接入安全應(yīng)用層認(rèn)證SSO*共享秘密——GBA/口令公鑰證書——數(shù)字證書終端軟件完整性終端硬件完整性通過(guò)驗(yàn)證終端設(shè)備的軟硬件完整性來(lái)保證設(shè)備安全C——數(shù)據(jù)機(jī)密性I——數(shù)據(jù)完整性A——可用性保證數(shù)據(jù)在通信鏈路中傳輸過(guò)程的安全可信接入安全不同SSO機(jī)制下的身份聯(lián)盟身份認(rèn)證和服務(wù)提供分離終端軟硬件信息及簽名OMC獲取終端的軟硬件信息，與來(lái)自TrE的軟硬件信息進(jìn)行比對(duì)請(qǐng)求設(shè)備完整性認(rèn)證設(shè)備完整性驗(yàn)證結(jié)果利用HTTPS對(duì)基于HTTP傳輸?shù)臄?shù)據(jù)進(jìn)行安全保護(hù)利用TLS對(duì)基于TCP傳輸?shù)臄?shù)據(jù)進(jìn)行安全保護(hù)利用DTLS對(duì)基于UDP傳輸?shù)臄?shù)據(jù)進(jìn)行安全保護(hù)利用IPSec對(duì)基于IP承載的數(shù)據(jù)進(jìn)行安全保護(hù)虛擬化安全傳統(tǒng)虛擬化面臨的挑戰(zhàn)IP地址依賴性虛擬機(jī)散亂無(wú)法監(jiān)控主機(jī)間通訊孤立的安全政策方法提供足夠信息逐條回放虛擬機(jī)上執(zhí)行的任務(wù)，通過(guò)建立具有各種依賴關(guān)系的攻擊事件鏈，從而重構(gòu)出攻擊細(xì)節(jié)Syn-Cookie(主機(jī))/Syn-Gate(網(wǎng)關(guān))RandomDrop算法帶寬限制和QoS保證專業(yè)防御DoS攻擊產(chǎn)品負(fù)載均衡網(wǎng)絡(luò)中都有大量成熟的現(xiàn)成工具可以利用，比較常見和有效的有Trinoo、TFN、Stacheldraht、TFN2K虛擬機(jī)隔離虛擬機(jī)安全組虛擬機(jī)安全規(guī)則防地址欺騙阻斷對(duì)虛擬機(jī)端口掃描，嗅探虛擬機(jī)鏡像加密存儲(chǔ)系統(tǒng)安全定制，檢查工具補(bǔ)丁測(cè)試，安裝精簡(jiǎn)定制加固OS網(wǎng)絡(luò)安全針對(duì)云計(jì)算環(huán)境，建議：

內(nèi)/外網(wǎng)Web服務(wù)器、4A、應(yīng)用服務(wù)器、IDS/IPS等放置于DMZ域，作為堡壘機(jī)；動(dòng)態(tài)數(shù)據(jù)安全域間安全域內(nèi)安全靜態(tài)數(shù)據(jù)安全訪問(wèn)控制數(shù)據(jù)加密完善的冗余校驗(yàn)、備份恢復(fù)、異地容災(zāi)手段是云存儲(chǔ)安全的保障堡壘主機(jī)基于角色的細(xì)粒度訪問(wèn)授權(quán)用戶訪問(wèn)行為審計(jì)、監(jiān)控、回放安全域登錄策略密碼設(shè)置策略登錄IP管理策略認(rèn)證/授權(quán)策略數(shù)據(jù)安全策略日志策略可視、可配置...查詢?nèi)罩緜浞萑罩緞h除日志…增加用戶刪除用戶修改用戶信息查詢用戶信息分角色、分權(quán)分域SAS70,ISO