浅析云环境下可能的网络安全风险.doc

摘要：互联网的迅猛发展，各种应用不断涌现，云计算的出现产生了巨大的商业潜力，成为新的战略产业。与此同时也产生了网络安全的新问题，本文基于云计算的内涵及特点，简要分析了云计算环境下可能的网络安全问题。中国论文网 关键词：云计算；网络安全；安全风险中图分类号：tp309 文献标识码：a 文章编号：1007-9599 (2012) 10-0000-02随着互联网迅猛发展，以云计算、物联网、移动互联为代表的新信息技术成为新的战略产业。云计算是继大型计算机到客户端-服务器的大转变之后的又一巨变，云计算环境引发了网络安全的新问题，这是任何it系统都难以回避的问题，也是信息化社会的焦点问题。各种私有云或是公有云的数据中心建设，安全、高效的业务交付是云计算环境下网络安全必备的基础和要求。一、云计算的内涵和特点（一）云计算的内涵云计算（cloud computing）是基于互联网相关服务的增加、使用和交付模式，涉及通过互联网提供动态易扩展、经常是虚拟化的资源；是并行计算、分布式计算和网格计算的发展实现。云计算通过集群应用、网格技术或分布式文件系统等功能，将网络中大量不同类型的存储设备通过应用软件集合起来协同工作，共同对外提供数据存储和业务访问功能的系统。有狭义和广义之分。狭义的云计算指的是it基础设施的交付和使用模式，即通过网络按需、易扩展的方式获取所需资源；广义的云计算指的是服务的交付和使用模式，即通过网络按需、易扩展的方式获取所需资源。二、云计算的特点云计算的特点包括有以下几点：超大规模、虚拟化、高可靠性、通用性、高可扩展性、按需服务、极为廉价。云计算的规模超大，拥有相当庞大的规模，引用一句话就是“能赋予用户前所未有的计算能力”。云计算对用户端的设备要求相对更低，支持用户在任意位置、使用各种终端获取应用服务。所请求的资源来自“云”，而不是固定的有形实体，恰恰体现了“云”的虚拟化特点。“云”使用了数据多副本容错、计算节点同构可互换等措施来保障服务的高可靠性，使用云计算比使用本地pc更为可靠、安全。云计算不针对特定的应用，同一个“云”可以同时支撑不同的应用运行。“云”的规模可以动态伸缩，满足应用和用户规模增长的需要，比如通过管理工具和中间件实现弹性扩展的mysql集群。可以这样讲，云计算为我们使用网络提供了几乎无限多的可能。云计算是一种优先考虑可伸缩性的系统设计理念。同时“云”是一个庞大的资源池，用户可以按需购买，云可以像自来水、电、煤气一样来计费。由于“云”可以采用极其廉价的节点来构成云，云的自动化集中式管理，使用户可以充分享受云的低成本。二、云计算安全的含义云计算安全的含义，主要包含两个方面的含义。一是“云”资深的安全，也成为云计算安全，包括云计算应用系统安全，云计算应用服务安全，云计算用户信息安全；二是，云计算提供和交付安全，指的是云计算技术在安全领域的具体应用，也成为安全云计算，即基于云计算的技术来提升安全系统服务效能的安全解决方案。三、云环境下可能的网络安全风险从云计算诞生开始，安全性始终是实施云计算首要考虑的问题之一。云计算作为一种新兴的商业模式，至今已有为数不少的成功案例。具有根据用户需求听个快速弹性部署、廉价服务能来，使用户节约投入、免去维护与运行成本。不仅成为it行业，也成为各国政府、各国行业所广泛关注的热点。由于云计算集中了大量数据，各国政府以及研究机构都高度关注云计算的安全问题。如何建设安全的云计算环境，如何给客户提供高安全性的sla保证，如何保证自身业务系统保存、使用核心数据安全，以免发生数据泄漏或者丢失，损害企业核心竞争力等问题的解决迫在眉睫，而任何一种应用都是流程和逻辑的体现，大部分应用包括“云”在内是不能够准确无误地再现流程和逻辑，必然会存在缺陷和漏洞，本文仅对云计算环境下可能的安全风险进行简要的分析。（一）虚拟化产生的安全风险服务器虚拟化是目前云计算最为广泛的技术，它可以将单台物理服务器虚拟出多台虚拟机且独立安装各自的操作系统和应用程序，有效提升服务器利用率，同时也存在两种安全风险。一是虚拟机应用程序的安全漏洞，另一个是虚拟软件各种底层应用程序的安全漏洞。虚拟化技术引入了hypervisor和其他管理模块，虚拟化对网络安全带来的严重威胁是虚拟机间通过硬件的背板，而不是网络进行通信，也就是说通信流量对标准网络安全控制是不可见的，检测、在线封堵都是无效的。虚拟机的应用程序是云服务交付的核心构成，因为编程技术的缺陷会存在多个安全漏洞，为适应和使用虚拟化的api接口，也会产生安全漏洞。另外，虚拟化软件各种底层应用程序的安全漏洞、虚拟机应用程序的安全漏洞也会引发安全风险。（二）数据泄漏风险用户数据在“云”中传输和存储，但用户本事对于自身数据在“云”中的安全风险并没有实际的控制能力，数据安全完全依赖于云计算服务商，如果云计算服务商本事对数据安全控制存在疏漏，很可能导致数据泄漏或丢失。如下几种情况都有可能导致数据泄漏：服务器的安全漏洞、虚拟化软件的安全漏洞导致黑客入侵；数据在传输中没有加密，加密数据密钥管理存在纰漏；不同用户数据传输之间没有进行有效隔离，在没有任何补偿控制情况下与其他客户数据混合；云计算用户数据没有进行数据备份；另外，数据在云端时，新增的数据汇总和推理，可能会导致违反敏感和机密资料的保密性。（三）身份和访问管理安全风险传统的安全模型中，已经有成熟的解决方案针对网络终端用户安全接入和访问控制。云计算环境下，在iaas服务模型出现后，服务商需要针对各个企业、各个类型用户提供差异化身份认证管理授权策略，确保合法用户访问所要求的服务器。单因素用户验证码能够产生极大的安全隐患，同时云自助服务门户的潜在安全漏洞给黑客提供了各种未经授权的非法访问的机会。就是所谓的账号和服务劫持。另外，在企业之外处理敏感数据会带来内在的风险，外包服务一般都会绕过企业it部门对内部所施加的“物理的、逻辑的和人员控制”，即所谓的特权用户的访问权限。还有就是恶意的内部员工也是造成数据泄漏的不可忽略因素。（四）web安全风险许多云服务是通过rest web服务界面访问的，即api。api密钥空间是触及“云”重要内容的工具，但是这些密钥经常是通过邮件发送，或保存在文件服务器中供多人使用。云计算环境中，web是用户最直观的体验窗口，近几年涌现的各种web攻击，大都是通过不安全的接口和api直接对云计算环境下的网络安全造成破坏性的影响。（五）服务可用性威胁用户数据和业务应用处于云计算当中，其业务流程将依赖于云计算服务提供商所提供的服务，这对服务商的云平台服务连续性、sla和it流程、安全策略、事件处理及分析提出挑战。当发生系统故障时，数据恢复也是一个非常重要的安全问题。总之，云计算环境下，系统流量模型相对集中，对安全设备的性能和扩展性等方面有新的要求，系统需要支持更高性能的安全防护，安全资源池在高性能可扩展方面需要提供相应的安全保障。从技术角度来看，云计算目前仍缺乏相应的技术标准，需要不断完善技术架构。在云计算环境下，用户数据安全很大程度依赖于云计算服务商的技术与管理策略。用户都期待岁技术完善能够“可信云”，最大程度规避安全风险。参考文献：1 greenberg a，hamilton j r，et al.vl2:a scalable and flexible data center networkc/acm sigcomm computer communication review,2009,39(4):51-622 biggest-cloud-challe