云计算安全关键技术分析

　　（4）IaaS应用安全

　　IaaS云提供商（例如亚马逊EC2、GoGrid等）将客户在虚拟机上部署的应用看作是一个黑盒子，IaaS提供商完全不知道客户应用的管理和运维。客户的应用程序和运行引擎，无论运行在何种平台上，都由客户部署和管理，因此客户负有云主机之上应用安全的全部责任，客户不应期望IaaS提供商的应用安全帮助。

　　3.3   虚拟化安全

　　基于虚拟化技术的云计算引入的风险主要有两个方面：一个是虚拟化软件的安全；另一个使用虚拟化技术的虚拟服务器的安全。

　　（1）虚拟化软件安全

　　该软件层直接部署于裸机之上，提供能够创建、运行和销毁虚拟服务器的能力。实现虚拟化的方法不止一种，实际上，有几种方法都可以通过不同层次的抽象来实现相同的结果，如操作系统级虚拟化、全虚拟化或半虚拟化。在IaaS云平台中，云主机的客户不必访问此软件层，它完全应该由云服务提供商来管理。

　　由于虚拟化软件层是保证客户的虚拟机在多租户环境下相互隔离的重要层次，可以使客户在一台计算机上安全地同时运行多个操作系统，所以必须严格限制任何未经授权的用户访问虚拟化软件层。云服务提供商应建立必要的安全控制措施，限制对于Hypervisor和其他形式的虚拟化层次的物理和逻辑访问控制。

 　　虚拟化层的完整性和可用性对于保证基于虚拟化技术构建的公有云的完整性和可用性是最重要，也是最关键的。一个有漏洞的虚拟化软件会暴露所有的业务域给恶意的入侵者。

　　（2）虚拟服务器安全

　　虚拟服务器位于虚拟化软件之上，对于物理服务器的安全原理与实践也可以被运用到虚拟服务器上，当然也需要兼顾虚拟服务器的特点。下面将从物理机选择、虚拟服务器安全和日常管理三方面对虚拟服务器安全进行阐述。

　　应选择具有TPM安全模块的物理服务器，TPM安全模块可以在虚拟服务器启动时检测用户密码，如果发现密码及用户名的Hash序列不对，就不允许启动此虚拟服务器。因此，对于新建的用户来说，选择这些功能的物理服务器来作为虚拟机应用是很有必要的。如果有可能，应使用新的带有多核的处理器，并支持虚拟技术的CPU，这就能保证CPU之间的物理隔离，会减少许多安全问题。

　　安装虚拟服务器时，应为每台虚拟服务器分配一个独立的硬盘分区，以便将各虚拟服务器之间从逻辑上隔离开来。虚拟服务器系统还应安装基于主机的防火墙、杀毒软件、IPS（IDS）以及日志记录和恢复软件，以便将它们相互隔离，并与其他安全防范措施一起构成多层次防范体系。

　　对于每台虚拟服务器应通过VLAN和不同的IP网段的方式进行逻辑隔离。对需要相互通信的虚拟服务器之间的网络连接应当通过VPN的方式来进行，以保护它们之间网络传输的安全。实施相应的备份策略，包括它们的配置文件、虚拟机文件及其中的重要数据都要进行备份，备份也必须按一个具体的备份计划来进行，应当包括完整、增量或差量备份方式。

　　在防火墙中，尽量对每台虚拟服务器做相应的安全设置，进一步对它们进行保护和隔离。将服务器的安全策略加入到系统的安全策略当中，并按物理服务器安全策略的方式来对等。

　　从运维的角度来看，对于虚拟服务器系统，应当像对一台物理服务器一样地对它进行系统安全加固，包括系统补丁、应用程序补丁、所允许运行的服务、开放的端口等。同时严格控制物理主机上运行虚拟服务的数量，禁止在物理主机上运行其他网络服务。如果虚拟服务器需要与主机进行连接或共享文件，应当使用 VPN方式进行，以防止由于某台虚拟服务器被攻破后影响物理主机。文件共享也应当使用加密的网络文件系统方式进行。需要特别注意主机的安全防范工作，消除影响主机稳定和安全性的因素，防止间谍软件、木马、病毒和黑客的攻击，因为一旦物理主机受到侵害，所有在其中运行的虚拟服务器都将面临安全威胁，或者直接停止运行。

　　对虚拟服务器的运行状态进行严密的监控，实时监控各虚拟机当中的系统日志和防火墙日志，以此来发现存在的安全隐患。对不需要运行的虚拟机应当立即关闭。

　　4   云计算安全现状

　　云计算应用安全研究目前还处于起步阶段，业界尚未形成相关标准，目前主要的研究组织主要包括CSA（cloud security alliance，云安全联盟）、CAM（common assurance metric – beyond the cloud）等相关论坛。

　　为推动云计算应用安全的研究交流与协作发展，业界多家公司在2008年12月联合成立了CSA，该组织是一个非赢利组织，旨在推广云计算应用安全的最佳实践，并为用户提供云计算方面的安全指引。CSA在2009年12月17日发布的《云计算安全指南》，着重总结了云计算的技术架构模型、安全控制模型以及相关合规模型之间的映射关系，从云计算用户角度阐述了可能存在的商业隐患、安全威胁以及推荐采取的安全措施。目前已经有越来越多的IT企业、安全厂商和电信运营商加入到该组织。

　　另外，欧洲网络信息安全局（ENISA）和CSA联合发起了CAM项目。CAM项目的研发目标是开发一个客观、可量化的测量标准，供客户评估和比较云计算服务提供商安全运行的水平，CAM计划于2010年底提出内容架构，并推向全球。

　　许多云服务提供商，如Amazon、IBM、Microsoft 等纷纷提出并部署了相应的云计算安全解决方案，主要通过采用身份认证、安全审查、数据加密、系统冗余等技术及管理手段来提高云计算业务平台的健壮性、服务连续性和用户数据的安全性。另外，在电信运营商中Verizon也已经推出了云安全特色服务。

　　在IT杀毒产业中，云安全的概念提出后，其发展迅速，瑞星、趋势、卡巴斯基、MCAFEE、SYMANTEC、江民科技、PANDA、金山、 360安全卫士、卡卡上网安全助手等都推出了云安全解决方案。瑞星基于云安全策略开发的2009新品，每天拦截数百万次木马攻击，其中1月8日更是达到了 765万余次。趋势科技云安全已经在全球建立了5大数据中心，几万部在线服务器。据悉，云安全可以支持平均每天55亿条点击查询，每天收集分析2.5亿个样本，资料库第一次命中率就可以达到99%。借助云安全，趋势科技现在每天阻断的病毒感染最高达1 000万次。

　　从上可知，目前的云安全产品主要来自于传统的IT杀毒软件厂商，其产品也主要集中在应用的安全领域，要实现云安全指南中定义的关键领域的安全保障，还需要云平台提供商，系统集成商，云服务提供商，杀毒软件厂商等的共同努力。