云計(jì)算安全技術(shù)系統(tǒng)建構(gòu)

第第頁(yè)云計(jì)算安全技術(shù)系統(tǒng)建構(gòu)本文作者：劉建偉、邱修峰、劉建華單位：北京航空航天大學(xué)

2010年3月云安全聯(lián)盟的研究報(bào)告《云計(jì)算主要安全威脅》[3]指出云計(jì)算服務(wù)的主要威脅主要包括：云計(jì)算服務(wù)的濫用和惡意使用、不安全的接口和應(yīng)用程序編程接口(APIs)、惡意的內(nèi)部攻擊者、共享技術(shù)的弱點(diǎn)、數(shù)據(jù)丟失與泄露和賬號(hào)與服務(wù)劫持等。微軟公司的《WindowsAzure安全筆記》[4]從審計(jì)與日志、認(rèn)證、授權(quán)、部署管理、通信、加密、異常管理、輸入與數(shù)據(jù)驗(yàn)證和敏感數(shù)據(jù)這9個(gè)方面分別論述了云計(jì)算服務(wù)的主要安全威脅。加州大學(xué)伯克利分校的研究人員在文獻(xiàn)[5]中認(rèn)為云計(jì)算中安全方面的威脅主要有：可用性以及業(yè)務(wù)連續(xù)性、數(shù)據(jù)鎖定、數(shù)據(jù)的機(jī)密性和相關(guān)審計(jì)、大規(guī)模分布式系統(tǒng)的漏洞和相關(guān)性能的不可預(yù)知性等等。在文獻(xiàn)[6-8]中指出云計(jì)算中最重要的安全風(fēng)險(xiǎn)主要有：違反服務(wù)等級(jí)協(xié)議，云服務(wù)商提供足夠風(fēng)險(xiǎn)評(píng)估的能力，隱私數(shù)據(jù)的保護(hù)，虛擬化有關(guān)的風(fēng)險(xiǎn)，合約風(fēng)險(xiǎn)等。目前，云計(jì)算安全問題已得到越來越多的關(guān)注。著名的信息安全國(guó)際會(huì)議RSA2010將云計(jì)算安全列為焦點(diǎn)問題，通信學(xué)會(huì)理事會(huì)(CCS)從2009年起專門設(shè)置了一個(gè)關(guān)于云計(jì)算安全的研討會(huì)。許多企業(yè)組織、研究團(tuán)體及標(biāo)準(zhǔn)化組織都已啟動(dòng)了相關(guān)研究，安全廠商也已在研究和開發(fā)各類安全云計(jì)算產(chǎn)品[9]。

云計(jì)算服務(wù)模式下的移動(dòng)互聯(lián)網(wǎng)是一種復(fù)雜的、面臨各種安全威脅的系統(tǒng)，因此必須研究和設(shè)計(jì)移動(dòng)互聯(lián)網(wǎng)環(huán)境下的云計(jì)算安全技術(shù)來抵抗和防御這些安全威脅，云計(jì)算安全體系結(jié)構(gòu)是其研究基礎(chǔ)和依據(jù)。許多研究人員和來自移動(dòng)互聯(lián)網(wǎng)相關(guān)領(lǐng)域的企業(yè)對(duì)如何設(shè)計(jì)和開發(fā)云計(jì)算安全技術(shù)體系架構(gòu)均展開了相關(guān)研究。微軟云計(jì)算平臺(tái)WindowsAzure是微軟于2008年在微軟開發(fā)者大會(huì)上發(fā)布的全新的云計(jì)算平臺(tái)，它基于平臺(tái)即服務(wù)(PaaS)的思想，向開發(fā)人員提供了一個(gè)在線的基于Windows系列產(chǎn)品的開發(fā)、儲(chǔ)存和服務(wù)代管等服務(wù)的環(huán)境。微軟公司的《WindowsAzure安全筆記》[4]從改進(jìn)Web應(yīng)用安全的角度出發(fā)提出了一個(gè)基于應(yīng)用安全、網(wǎng)絡(luò)安全和主機(jī)安全概念化安全區(qū)域的云計(jì)算安全架構(gòu)。其中應(yīng)用安全關(guān)注應(yīng)用審計(jì)與日志、認(rèn)證、授權(quán)、應(yīng)用部署管理、加密、異常管理、參數(shù)配置、敏感數(shù)據(jù)、會(huì)話管理和驗(yàn)證等問題；網(wǎng)絡(luò)安全保障路由器、防火墻和交換機(jī)等的安全；主機(jī)安全所需要關(guān)注的相關(guān)問題則包括補(bǔ)丁和更新、服務(wù)、協(xié)議、記賬、文件與目錄、共享、端口、注冊(cè)登記和審計(jì)與日志等。

Bell實(shí)驗(yàn)室的研究人員在文獻(xiàn)[10]中提出一種支持資源無縫集成至企業(yè)內(nèi)部網(wǎng)的云計(jì)算安全體系架構(gòu)VSITE，在保持資源的隔離性和安全性的同時(shí)允許云服務(wù)提供商拓展資源為多個(gè)企業(yè)提供服務(wù)。云計(jì)算服務(wù)商提供的資源對(duì)企業(yè)來說就像是內(nèi)部資源，VSITE通過使用VPN、為不同的企業(yè)分配不同的VLAN以及運(yùn)用MAC地址對(duì)企業(yè)進(jìn)行身份編碼等技術(shù)手段來達(dá)到這個(gè)目標(biāo)。VSITE體系架構(gòu)由云服務(wù)中心、目錄服務(wù)器、云數(shù)據(jù)中心以及監(jiān)控中心等相關(guān)的實(shí)體組成，其監(jiān)控中心設(shè)計(jì)了安全機(jī)制以防止企業(yè)與企業(yè)之間的相互攻擊。VSITE具有可擴(kuò)充性安全性以及高效性。亞馬遜彈性計(jì)算云(AmazonEC2)是一個(gè)Web服務(wù)，它提供可調(diào)整的云計(jì)算能力。文獻(xiàn)[11]中指出AmazonEC2使用了一個(gè)多級(jí)的安全體系架構(gòu)包括主機(jī)的操作系統(tǒng)、操作系統(tǒng)的虛擬實(shí)例/客戶操作系統(tǒng)、防火墻和簽名的API調(diào)用等層次，目標(biāo)是保護(hù)云端的數(shù)據(jù)不被未授權(quán)的系統(tǒng)和用戶攔截，使得AmazonEC2實(shí)例盡可能安全而又不會(huì)犧牲客戶按需配置的彈性。從服務(wù)模型的角度，云安全聯(lián)盟(CSA)提出了基于3種基本云服務(wù)的層次性及其依賴關(guān)系的安全參考模型[6]，并實(shí)現(xiàn)了從云服務(wù)模型到安全控制模型的映射。該模型的重要特點(diǎn)是供應(yīng)商所在的等級(jí)越低，云服務(wù)用戶所要承擔(dān)的安全能力和管理職責(zé)就越多。

從安全協(xié)同的角度，JerichoForum從數(shù)據(jù)的物理位置、云相關(guān)技術(shù)和服務(wù)的所有關(guān)系狀態(tài)、應(yīng)用資源和服務(wù)時(shí)的邊界狀態(tài)、云服務(wù)的運(yùn)行和管理者4個(gè)影響安全協(xié)同的維度上分類16種可能的云計(jì)算形態(tài)[12]。不同的云計(jì)算形態(tài)具有不同的協(xié)同性、靈活性及其安全風(fēng)險(xiǎn)特征。云服務(wù)用戶則需要根據(jù)自身的不同業(yè)務(wù)和安全協(xié)同需求選擇最為合適的相關(guān)云計(jì)算形態(tài)。上述云安全體系結(jié)構(gòu)雖然考慮了云計(jì)算平臺(tái)中主機(jī)系統(tǒng)層、網(wǎng)絡(luò)層以及Web應(yīng)用層等各層次所存在的安全威脅，形成一種通用框架，但這種云安全體系架構(gòu)沒有結(jié)合移動(dòng)互聯(lián)網(wǎng)環(huán)境來研究云計(jì)算安全體系構(gòu)建及相關(guān)技術(shù)。

移動(dòng)互聯(lián)網(wǎng)環(huán)境下的通用云計(jì)算安全技術(shù)體系架構(gòu)的設(shè)計(jì)目標(biāo)有以下6個(gè)方面：確保移動(dòng)互聯(lián)網(wǎng)下的不同用戶的數(shù)據(jù)安全和隱私保護(hù)確保云計(jì)算平臺(tái)虛擬化運(yùn)行環(huán)境的安全依據(jù)不同的安全需求，提供定制化的安全服務(wù)對(duì)運(yùn)行態(tài)的云計(jì)算平臺(tái)進(jìn)行風(fēng)險(xiǎn)評(píng)估和安全監(jiān)管確保云計(jì)算基礎(chǔ)設(shè)施安全、構(gòu)建可信的云服務(wù)保障用戶私有數(shù)據(jù)的完整性和機(jī)密性的基礎(chǔ)

結(jié)合上述設(shè)計(jì)目標(biāo)，考慮移動(dòng)互聯(lián)網(wǎng)接入方式、企業(yè)運(yùn)營(yíng)方式和用戶安全需求的多樣性，文章設(shè)計(jì)了一個(gè)移動(dòng)互聯(lián)網(wǎng)環(huán)境下的通用云計(jì)算安全技術(shù)體系架構(gòu)（如圖1所示），它具有多層次、多級(jí)別、彈性、跨平臺(tái)和統(tǒng)一用戶接口等特點(diǎn)。與云計(jì)算架構(gòu)中的軟件即服務(wù)(SaaS)、PaaS和基礎(chǔ)設(shè)施即服務(wù)(IaaS)3個(gè)層次相應(yīng)，文章首先設(shè)計(jì)了云安全應(yīng)用服務(wù)資源群，包括隱私數(shù)據(jù)保護(hù)、密文數(shù)據(jù)查詢、數(shù)據(jù)完整性驗(yàn)證、安全事件預(yù)警和內(nèi)容安全服務(wù)等云安全應(yīng)用服務(wù)。針對(duì)云計(jì)算虛擬化的特點(diǎn)文章還設(shè)計(jì)了云安全基礎(chǔ)服務(wù)資源群包括虛擬機(jī)安全隔離、虛擬機(jī)安全監(jiān)控、虛擬機(jī)安全遷移和虛擬機(jī)安全鏡像等云安全基礎(chǔ)服務(wù)，運(yùn)用虛擬技術(shù)跨越了不同系統(tǒng)平臺(tái)（如不同的操作系統(tǒng)）。同時(shí)移動(dòng)互聯(lián)網(wǎng)環(huán)境下的云計(jì)算安全技術(shù)體系架構(gòu)中也包含云安全基礎(chǔ)設(shè)施。由于用戶安全需求方面存在著差異，云平臺(tái)應(yīng)具備提供不同安全等級(jí)的云基礎(chǔ)設(shè)施服務(wù)的能力。

移動(dòng)互聯(lián)網(wǎng)環(huán)境下的云計(jì)算安全技術(shù)體系架構(gòu)中的云安全基礎(chǔ)設(shè)施的建設(shè)則可以參考移動(dòng)通信網(wǎng)絡(luò)和互聯(lián)網(wǎng)絡(luò)中云安全基礎(chǔ)設(shè)施已有的相關(guān)建設(shè)經(jīng)驗(yàn)。移動(dòng)互聯(lián)網(wǎng)環(huán)境下的云計(jì)算安全技術(shù)體系架構(gòu)還包含一個(gè)統(tǒng)一的云安全管理平臺(tái)，該平臺(tái)包含用戶管理、密鑰管理、授權(quán)認(rèn)證、防火墻、反病毒、安全日志、預(yù)警機(jī)制和審計(jì)管理等子系統(tǒng)。云安全管理平臺(tái)縱貫云安全應(yīng)用服務(wù)、云安全平臺(tái)服務(wù)和云安全基礎(chǔ)設(shè)施服務(wù)所有層次，對(duì)包含不同安全域和具有多個(gè)安全級(jí)別的整個(gè)系統(tǒng)的運(yùn)維安全情況進(jìn)行了跨安全域、跨安全級(jí)別的一系列綜合管理。體系架構(gòu)考慮了移動(dòng)互聯(lián)網(wǎng)環(huán)境下云用戶的各種接入方式如2G/3G/4G、Wi-Fi和WiMax等，具有統(tǒng)一的云安全應(yīng)用服務(wù)接口，并提供手機(jī)多媒體服務(wù)、手機(jī)電子郵件、手機(jī)支付、網(wǎng)頁(yè)瀏覽和移動(dòng)搜索等服務(wù)，同時(shí)還可以提供隱私數(shù)據(jù)保護(hù)、密文數(shù)據(jù)查詢、數(shù)據(jù)完整性驗(yàn)證、安全事件預(yù)警和內(nèi)容安全等用戶可以直接定制的安全服務(wù)。

同時(shí)，體系架構(gòu)還考慮了整個(gè)系統(tǒng)參照云安全標(biāo)準(zhǔn)及測(cè)評(píng)體系的合規(guī)性檢查。云服務(wù)商提供的應(yīng)用軟件在部署前必須由第三方可信測(cè)評(píng)機(jī)構(gòu)系統(tǒng)地測(cè)試和評(píng)估，以確定其在移動(dòng)互聯(lián)網(wǎng)云環(huán)境下的安全風(fēng)險(xiǎn)并設(shè)立其信任等級(jí)，云應(yīng)用服務(wù)提供商不可自行設(shè)定服務(wù)的信任等級(jí)，云用戶就可能預(yù)先避免因定制未經(jīng)第三方可信測(cè)評(píng)機(jī)構(gòu)評(píng)估的安全云應(yīng)用服務(wù)而帶來的損失。云應(yīng)用服務(wù)安全等級(jí)的測(cè)試和評(píng)估也給云服務(wù)提供商帶來準(zhǔn)入規(guī)范，迫使云服務(wù)提供商提高云服務(wù)的服務(wù)質(zhì)量以及安全意識(shí)。

對(duì)用戶而言，多用戶私有資源的遠(yuǎn)程集中式管理與計(jì)算環(huán)境的開放性之間構(gòu)成了尖銳的矛盾，主要表現(xiàn)為：用戶資源的私有性和機(jī)密性要求其應(yīng)用環(huán)境相對(duì)固定和穩(wěn)定，而計(jì)算環(huán)境的開放性則會(huì)使私有數(shù)據(jù)面對(duì)來自多方的安全威脅?？梢哉f，云服務(wù)提供商與用戶之間的信任問題是云計(jì)算能否推廣的關(guān)鍵，而數(shù)據(jù)的安全和隱私保護(hù)是云計(jì)算安全中極其重要的問題。解決該問題的關(guān)鍵技術(shù)涉及支持密文存儲(chǔ)的密文查詢、數(shù)據(jù)完整性驗(yàn)證、多租戶環(huán)境下的隱私保護(hù)方法等。

云計(jì)算平臺(tái)要統(tǒng)一調(diào)度、部署計(jì)算資源，實(shí)施硬件資源和虛擬資源的安全管理和訪問控制，因此，確保虛擬化運(yùn)行環(huán)境的安全是云計(jì)算安全的關(guān)鍵。在此安全體系之下，結(jié)合虛擬化技術(shù)，平臺(tái)必須提供虛擬機(jī)安全監(jiān)控、虛擬機(jī)安全遷移、虛擬機(jī)安全隔離以及虛擬機(jī)安全鏡像等核心基礎(chǔ)服務(wù)。各種服務(wù)模式的虛擬機(jī)都存在隔離問題引起的安全風(fēng)險(xiǎn)，這包括：內(nèi)存的越界訪問，不同安全域的虛擬機(jī)控制和管理，虛擬機(jī)之間的協(xié)同工作的權(quán)限控制等。如果云計(jì)算平臺(tái)無法實(shí)現(xiàn)不同（也可能相同）云用戶租用的不同虛擬機(jī)之間的有效隔離，那么云服務(wù)商則會(huì)無法說服云用戶相信自己提供的服務(wù)是非常安全的。用戶定制的各種云服務(wù)由虛擬機(jī)中運(yùn)行相關(guān)軟件來實(shí)現(xiàn)，因此存在虛擬機(jī)中運(yùn)行的相關(guān)軟件是否按用戶需求運(yùn)行的風(fēng)險(xiǎn)問題，例如運(yùn)行的環(huán)境的安全級(jí)別是否符合需求和運(yùn)行的流程是否異常等；虛擬機(jī)運(yùn)行的預(yù)警機(jī)制與安全審計(jì)問題包括安全策略管理、系統(tǒng)日志管理和審計(jì)策略管理等。

云計(jì)算模式下的移動(dòng)互聯(lián)網(wǎng)是一種多源、異構(gòu)服務(wù)共存的環(huán)境。與此同時(shí)，依據(jù)多租戶的不同安全需求，滿足不同等級(jí)的差異化云安全服務(wù)應(yīng)以訪問控制為手段，進(jìn)行安全服務(wù)定制以及安全自適應(yīng)。為了支撐移動(dòng)互聯(lián)網(wǎng)環(huán)境下云計(jì)算的安全準(zhǔn)入，云計(jì)算安全體系同樣需要針對(duì)運(yùn)行態(tài)云計(jì)算平臺(tái)的風(fēng)險(xiǎn)評(píng)估方法、安全測(cè)評(píng)方法以及支持第三方的安全審計(jì)等。移動(dòng)互聯(lián)網(wǎng)上的云計(jì)算安全監(jiān)管體系一方面負(fù)責(zé)對(duì)移動(dòng)互聯(lián)網(wǎng)的內(nèi)容安全監(jiān)管和針對(duì)基于云計(jì)算的安全攻擊的預(yù)警與防護(hù)；另一方面還負(fù)責(zé)對(duì)云服務(wù)提供商對(duì)云服務(wù)安全性的相關(guān)保障措施和執(zhí)行情況進(jìn)行審計(jì)。

在滿足移動(dòng)互