浅谈云计算安全问题
２００９．１０
20网 络 安 全
浅谈云计算安全问题
陈尚义中软通用产品研发中心 北京 １０２２００摘要：伴随着云计算的深入应用，云安全问题自然而然地成为人们极为关注的话题，需要我们亟待回答一系列问题，如究竟什么是云安全问题，云计算对传统安全领域造成什么样的影响，面对云安全问题我们能采取什么样的办法等等。本文尝试对这些问题做出回答。关键词：云计算；安全；云安全０ 引言云计算作为一个崭新名词，人们甚至还没有弄清楚它的确切定义，云安全问题就随之而来，关于云安全的讨论也屡见媒体和学术报章。但是，根据我的观察，很多人对云计算的安全问题的理解多有模糊之处，对云计算安全问题的本质缺乏足够的理解。本文就云安全问题发表一下自己的看法。文章分为五个部分，第一部分是关于云安全问题的范围；第二部分涉及广义的云安全问题，即可靠性和可用性；第三部分介绍云计算对传统信息安全领域的影响；第四部分讨论解决云安全问题的措施；第五部分是结语。１ 云安全问题究竟是什么问题人们常把云计算服务比喻成电网的供电服务。《哈佛商业评论》前执行主编Ｎｉｃｋ Ｃａｒｒ在新书“Ｔｈｅ Ｂｉｇ Ｓｗｉｔｃｈ”中比较了云计算和电力网络的发展，他认为“云计算对技术产生的作用就像电力网络对电力应用产生的作用”一样，电力网络改进了公司的运行，每个家庭从此可以享受便宜的能源，而不必自己家里发电。他认为云计算也会在下一个十年促成和电力网络发展类似的循环。也有人把云计算服务比喻成自来水公司的供水服务。原来每个家庭和单位自己挖水井、修水塔，自己负责水的安全问题，例如避免受到污染，防止别人偷水等等。从这些比喻当中，我们窥见了云计算的本质：云计算只不过是服务方式的改变！自己开发程序服务于本单位和个人，是一种服务方式 ；委托专业的软件公司开发软件满足其自身的需求也是一种方式；随时随地享受云中提供的服务，而不关心云的位置和实现途径，是一种到目前为止最高级的服务方式。从这些比喻当中，我们还看出云计算的安全问题：就像我们天天使用的自来水一样，我们究竟要关心什么安全问题呢？第一，我们关心自来水公司提供的水是否安全，自来水公司必然会承诺水的质量，并采取相应的措施来保证水的安全。第二，用户本身也要提高水的使用安全，自来水有多种，有仅供洗浴的热水，有供打扫卫生的中水，有供饮用的水等等，例如，不能饮用中水，要将水烧开再用，不能直接饮用，这些安全问题都是靠用户自己来解决。还有吗？如果要算的话，还有第三个安全问题，那就是用户担心别人会把水费记到自己的账单上来，担心自来水公司多收钱。和自来水供应一样，云计算的安全问题也大致分为三个方面。第一方面，云计算的服务提供商他们的网络是安全的吗，有没有别人闯进去盗用我们的账号？他们提供的存储是安全的吗？会不会造成数据泄密？这些都需要云计算服务提供商们要解决、要向客户承诺的问题。就像自来水公司要按照国家有关部门法规生产水一样，约束云计算的服务提供商的行为和技术，也一定需要国家出台相应的法规。第二方面，客户在使用云计算提供的服务时也要注意：在云计算服务提供商的安全性和自己数据的安全性上做个平衡，太重要的数据不要放到云里，而是藏在自己的保险柜中；或将其加密后再放到云中，只有自己才能解密数据，将安全性的主动权牢牢掌握在自己手中，而不依赖于服务提供商的承诺和他们的措施。第三方面，客户要保管好自己的账户，防止他人盗取你的账号使用云中的服务，而让你埋单。不难看出，云计算所采用的技术和服务同样可以被黑客利用来发送垃圾邮件，或者发起针对下载、数据上传统计、恶意代码监测等更为高级的恶意程序攻击。所以，云计算的安全技术和传统的安全技术一样：云计算服务提供商需要采用防火墙保证不被非法访问；使用杀病毒软件保证其内部的机器不被感染；用入侵检测和防御设备防止黑客的入侵；用户采用数据加密、文件内容过滤等防止敏感数据存放在相对不安全的云里。不一样的地方是随着服务防水的改变，在云计算时代，１９６５－），男，研究方向：软件工程、信息安全和行业信息化。２００９．１０
21网 络 安 全安全设备和安全措施的部署位置有所不同；安全责任的主体发生了变化。在自家掘井自己饮用的年代，水的安全性由自己负责，在自来水时代，水的安全性由自来水公司作出承诺，客户只须在使用水的过程中注意安全问题即可。原来，用户自己要保证服务的安全性，现在由云计算服务提供商来保证服务提供的安全性。２ 广义的云安全问题关于云计算的安全性的讨论，见诸于很多场合。人们往往将服务的可靠性（Ｒｅｌｉａｂｉｌｉｔｙ）、可用性（Ａｖａｉｌａｂｉｌｉｔｙ）和安全性（Ｓｅｃｕｒｉｔｙ）一起谈论。但严格讲来，可用性和可靠消息是有很多差别的。可靠性指的是，对于一个产品或一个过程，如果它像您期望的那样正确工作，你就可以说它是可靠的。更具体地，在工程领域，可靠性是系统在规定时间内、在规定的环境里，按照预定的目的和方式正确运行的可能性大小（概率）。可用性指的是，在遇到问题（例如一个零件失效）的时候，系统保持提供服务的能力。如，一个磁盘驱动器失效之后，系统在不中断任何应用的前提下，仍能提供数据访问能力。对互联网环境，可用性至关重要，例如当用户访问一个网站的时候，即使服务器繁忙，也要给用户一个合理的反馈，如“系统繁忙，请稍等”，不能没有任何反应。安全指的是没有危险和风险，免受打探和攻击；安全性也是一种信心的体现，没有怀疑和担心。在计算机领域，安全性是保证存储在计算机上的数据不被没有权限的人盗取和访问，绝大多数安全措施涉及到数据加密和口令。不难看出，用户在关键时刻无法访问云计算服务器的问题属于可用性或可靠性问题。例如，微软云计算平台ＷｉｎｄｏｗｓＡｚｕｒｅ运作的中断，亚马逊的“简单存储服务”（Ｓｉｍｐｌｅ ＳｔｏｒａｇｅＳｅｒｖｉｃｅ，Ｓ３）两次中断，导致依赖于网络单一存储服务的网站被迫瘫痪，Ｓ３问题阻止了新虚拟机在计算云上的注册，以至于有些虚拟机无法启动，凡此种种，都属于可用性和可靠性问题。当然这类问题的背后，有可能是微软、亚马逊的安全措施没有到位，遭受了黑客的攻击所致；也可能是系统自身的可靠性没有得到充分保证所致。但其表现出来的问题不是我们传统意义上的安全问题，而是可靠性和可用性问题。这里我们姑且将之纳入到广义的云安全里。Ｌｉｎｋｕｐ与博客平台ＪｏｕｒｎａｌＳｐａｃｅ发生的云端失联或云端消失的事故，还可能为你保管资料的公司突然关门大吉，导致你不能继续使用云端服务，都属于广义的云计算安全问题。可靠性、可用性和安全性一样重要，可靠性、可用性和安全性成为当前云计算的主要威胁，其重要性足以引起我们的高度关注。３ 云计算对传统安全带来深远影响云计算是一种崭新的服务模式，它影响着传统的信息安全领域。特别对于传统的反病毒和入侵检测和防御厂商而言，他们利用云计算平台，大大提升了他们的服务能力和水平。趋势科技关注云计算，探索如何将客户端日渐庞大的资料库摆在云端，借助威胁信息汇总的全球网络，在Ｗｅｂ威胁到达网络或计算机之前对其予以拦截；瑞星打出了“安全云”计算口号，利用云计算提升其对病毒样本的收集能力，减少威胁的响应时间；赛门铁克等厂商设立专门的“蜜罐系统”，来广泛收集网络中存在的攻击行为；网络安全厂商Ｗｅｂｓｅｎｓｅ在恶意代码收集及应急响应方面也充分利用了云计算的特征，其在全球范围部署的蜜罐和网格计算的紧密结合，可以及时应对网络中不断出现的新型攻击行为，为其规则库的及时更新提供了有力的支持。以上都是关于传统安全厂商利用云计算的优势以增强其传统服务项目和产品的安全性。４ 云安全问题的解决办法４．１ 云计算用户的安全办法听取专家建议，选用相对可靠的云计算服务提供商。用户在享受云计算服务之前，要清楚地了解使用云服务的风险所在？一般地，专家推荐使用那些规模大、商业信誉良好的云计算服务提供商。Ｇａｒｔｎｅｒ咨询公司副总裁兼分析家ＤａｖｉｄＣｅａｒｌｅｙ表示，“使用云计算的局限是企业必须认真对待的敏感问题，企业必须对云计算发挥作用的时间和地点所产生的风险加以衡量”。企业通过减少对某些数据的控制，来节约经济成本，意味着可能要把企业信息、客户信息等敏感的商业数据存放到云计算服务提供商的手中，对于信息管理者而言，他们必须对这种交易是否值得做出选择。基于内容感知的技术可以帮助用户判断什么数据可以上载，什么数据不可以上载，如果发现试图将敏感数据传到云端，系统将及时阻断并报警。增强安全防范意识。幸运的是，一点点常识和一些简单的正确电脑操作练习可以将这类安全性失误的影响降至最低，避免将你的机密资料放在云端上，如果你真的放了，例如利用网上银行时，避免在网络咖啡厅、学校或图书馆内的公用电脑上进行，也别太随便给出自己真正的联络资料，避免每个账号都使用同一个密码，就算只更改一个字母也好。云计算下增强安全意识，清楚地认识到风险，并采取必要的防范２００９．１０
22网 络 安 全措施来确保安全。经常备份。存储在云里的数据，要经常备份，以免在云计算服务遭受攻击、数据丢失的情况下，数据得不到恢复。建立企业的“私有云”。当数据重要到不放心放在别人管理的云里，就建立自己的私有云。私有云也叫企业云，它是居于企业防火墙以里的一种更加安全稳定的云计算环境，面向内部用户或者外部客户提供云计算服务，企业拥有云计算环境的自主权。与之相对应的是“公共云”，通过云计算提供商自己的基础架构直接向用户提供服务，用户通过互联网访问服务，但用户不拥有云计算资源。数据加密后放到云端保存。透明加密技术可以帮助企业强制执行安全策略，保证存储在云里的数据只能是以密文的形式存在，企业自主控制数据安全性，不再被动依赖服务提供商的安全保障措施。４．２ 云计算服务提供商的安全办法国家对云计算服务提供商进行规范和监督。美国利福尼亚州公用事业委员会的ＣＩＯ Ｃａｒｏｌｙｎ Ｌａｗｓｏｎ认为：“从政府的角度来讲，我们不会将所有的数据信息都迁移到‘云’中，因为我们的数据包括个人社会保障号码、驾驶执照、还有子女信息等等，公众把他们的个人信息交给我们希望我们能够很好的保护这些信息。如果我们将这些信息交给一家云计算公司，而这家公司非法将这些信息出售的话，我们该怎么解决？我们要承担这个责任”。这充分显示了云计算安全问题的症结，即云计算公司的安全可信度成了当今云计算应用的主要障碍。解决这个问题的根本办法不是依赖云计算提供商的自觉性，而是依赖政府部门或相当的权威部门强制要求云计算公司采用必要的措施，保证服务的安全性。也许不久的将来，国家政府部门将制定相应的法规，对云计算企业强制进行合规性检查，检查包括厂商对客户承诺的不合理性、厂商信守承诺的程度、厂商在对待客户的数据的审计和监管力度。像检查自来水公司水的安全性那样，国家要对云计算厂商的安全性进行规范和监督。云计算厂商采用必要的安全措施。云计算厂商内部的网络和我们大多数企业的网络没什么不一样的地方，其要实施的安全措施也是传统的安全措施。包括访问控制、入侵防御、反病毒部署、防止内部数据泄密和网络内容与行为监控审计等。云计算厂商采用分权分级管理。为了防止云计算平台供应商“偷窥”客户的数据和程序，可以采取分级控制和流程化管理的方法。银行是一个很好的例子，银行虽然储存着所有客户银行卡的密码，但即使是银行内部员工，也无法获取客户的密码信息；同时，银行系统内也有一系列流程防止出现“内鬼”。例如，将云计算的运维体系分为两级，一级是普通的运维人员，他们负责日常的运维工作，但是无法登录物理主机，也无法进入受控的机房，接触不到用户数据；二级是具备核心权限的人员，他们虽然可以进入机房也可以登录物理主机，但受到运维流程的严格控制。５ 结语云计算改变了服务方式，但并没有颠覆传统的安全模式。所不同的是，在云计算时代，安全设备和安全措施的部署位置有所不同；安全责任的主体发生了变化。原来，用户自己要保证服务的安全性，现在由云计算服务提供商来保证服务提供的安全性。和云计算安全问题同样重要，云计算的可靠性和可用性值得高度关注。云计算提供给传统安全厂商以极大的优势来提高服务质量和水平。解决云计算安全问题的办法和传统的解决安全问题的办法一样，也是策略、技术和人的三个要素的组合。
云计算安全性探讨
安全技术 云计算安全性探讨 陈云蛟丁晓鲁琪 （９５８６５部队北京１０２２１８） 摘要：云计算的安全性问题是云计算发展和应用过程中不能忽视的环节，文章分析了云计算面｝】名的安全威胁，从用户、厂商和国家层面分别提出 了应对措施，最后对云计算的发展趋势做出了分析总结，对云计算安全的认识和发展有一定的借鉴意义。 关键词：云计算安全性应对措施发展趋势 中图分类号：ＴＰ３０９ 文献标识码：Ａ 文章编号：１００７—９４１６（２０１４）０１—０１９１－Ｏ１ １引言 云计算是一种新兴的共享基础架构，作为一种商业计算模型在 近年来受到越来越广泛的关注，已经从萌芽阶段进入实质运行阶 段。通过云计算这样一种方式，我们可以按需使用云端的软硬件资 源，能够更迅速地进行应用的部署，降低管理维护的复杂度和成本。 但在我们享受云计算便捷性的同时，不能忽视其存在的安全问题， 对云计算安全性进行研究，对其面临的威胁和风险进行分析，有助 于认清云计算的利弊，合理正确的使用云计算。 ２云计算面临的安全威胁 ２．１数据安全 数据安全对于云计算的使用者来说是一个非常严重的问题，云计 算将资料存放在云端，导致数据面临多种安全风险，有可能遭受黑客 的恶意攻击而泄露、丢失，也可能被服务提供者误删除或是因为一些 不可抗力造成物理上的损坏。如果存放在云端的用户数据因为某些原 因丢失，或者敏感资料外泄给对手，那将对用户造成巨大的影响。 ２．２应用安全 云服务的便捷性和模板化使得用户部署自身服务变得越来越 容易，随之而来的是应用安全问题越来越大，攻击者可能会利用钓 鱼、诈骗或是软件的漏洞得到使用者的存取的凭证，操纵用户资料、 窃听交易活动及资讯，甚至将用户的云服务变成攻击者的新基地。 ２．３平台安全 云计算可为用户提供的强大运算能力，既可以为用户提供优质 的服务，也可能被攻击者用来进行密码破解或发动拒绝服务攻击， 若云服务提供商没有对安全部分进行足够的保护，那么将使大量的 用户面临被黑客攻击的风险。 ２．４法制安全 现实中每个国家对网络管理都有自己的法律以及管理要求，但 是云计算中的信息流动是全球性的，云计算提供商难以做到与提供 服务的所有国家的法律规章相符，这样必然导致行政法律管辖边界 受到挑战，衍生出新的安全风险。 ３云计算安全应对措施 ３．１用户层安全防范 １ 行有计划的风险控制。云计算在为用户提供众多好处的同时 也使用户面临了更加复杂的生态环境，因此将应用部署到云计算时，必 须进行风险控制，制定一系列的风险缓解计划，包括可能面临风险的文 件、对风险的响应、教育和培训等，确保应用的安全。２ｊｊ是高意识加强技 术防范。在使用云计算平台时，需要有良好的安全意识，定期查看系统 信息和审计记录等安全记录。同时要加强技术防范，借助各类信息安全 技术在技术防护、管理制度等方面进行综合部署，帮助应用实现安全管 理和定期的安全ｆ生审查，在应用的生命周期进行全程防护。 ３．２厂商层安全措施 １）提供必要的安全服务。云计算厂商在平台的设计和使用时， 必须提供相应的安全服务，保障用户和应用的基础安全性，提供诸 如访问控制、入侵防御 反病毒部署、防止内部数据泄密和网络内容 与行为监控审计等功能的安全服务，为用户持续地提供高质量可靠 的服务。２）采用分权分级管理。云计算企业内部的安全建设是不容忽 视的问题，可以采取分级控制和流程化管理的方法加强企业自身的 安全措施，防止内部员工和未授权用户“偷窥”客户的数据和程序。 应用中，可将云计算的运维体系分为两级，一级是负责日常运维工 作的普通运维人员，接触不到用户数据；二级是具备核心权限的运 维人员，但必须受到运维流程的严格控制。 ３．３国家层面安全战略 １）制定云计算安全战略。云计算作为一个影响力越来越大的技术 趋势，世界各国都在研究针对性的战略架构，在应用和安全方面进行 部署。因此，在战略层面需要政府指导产业的规划和发展，在国际通行 规则的条件下制定符合中国特色的云计算信息安全规划，不断建立和 完善信 息安全风险预警、防范和应急的综合保障体系。２雕进法律规范 建设。研究制定国家、商业机构和个人的核心数据云端管理规范，解决 云计算模式下的知识产权、用户隐私保护、商业保密信息等一系列法 律归位。尽快建立云服务资格许可证制度，建立云计算服务平台的建 设规范、服务软件验收规范，规范云平台的设计与运行等环节。 ４云计算安全发展趋势 ４．１与信息安全将深度融合 随着云计算的发展，云计算与信息安全的融合将越来越深入。 主要表现在两个方面：一是信息安全产品引入云平台，利用信息安 全产品保护云计算安全，提供完善的安全服务将成为云平台的服务 基础。二是云计算技术应用于信息安全产品中，将带动可信访问控 制技术、加密解密技术、数据隐私防护技术、虚拟安全等技术的发 展，开拓信息安全产品的开发思路和模式。 ４．２解决方案将更加丰富 随着云计算的全面推进，信息安全新问题层出不穷，将促使国 内外厂商研发出更多更好的安全解决方案，在虚拟化安全、数据保 密、数据安全、身份认证、终端安全等领域加快产品化进程，提供更 加丰富的解决方案。 ４．３安全标准将陆续出台 云计算产业的迅猛发展，使得企业迁移到云中的速度变得越来 越快，针对云应用的安全问题日益突出，关于云安全的标准亟待出 台。随着云计算标准的发展，云计算应用安全标准将陆续试点推广。 ４．４云计算搭载云安全 云计算和云安全这两个云概念将在未来进行无缝配合，通过云 安全平台实时更新安全等级信息，在各种威胁入侵前彻底防御住恶 意风险，实现零时差病毒码更新、零时差病毒码部署、零增长资源占 用的安全防护效果。 ５结语 云计算想要获得长久持续的发展，就必须解决好平台和服务的 安全性问题，若没有安全的保障，云应用的价值将大打折扣，更有可 能为用户带来损失和灾难。因此，对云计算及其安全性要有清醒的 认识，通过合适的解决措施提高云计算的安全性，在用户、企业和国 家多个层面保证平台和应用的安全，使国家和社会受益于云计算。 参考文献 ［１］杨勃，云计算商业价值及应用．云计算应用，２０１Ｏ．０９． ［２］冯登国，张敏等．云计算安全研究．软件学报，２０１ １第２２期． ［３］李虹。李昊．可信云安全的关键技术与实现．人民邮电出版社。２０１０ ［４］姚平，李洪．浅谈云计算的网络安全威胁与应对策略．电信科学 ２０１３年０８期． 作者简介：陈云蛟（１９８５一），男，９５８６５部队，工程师，研究方向：计算机应用。
云计算安全的风险与挑战
云计算安全的风险与挑战
云计算技术已经在过去十年中飞速发展，并在商业世界中得到广泛应用。云计算提供了一个方便、快速和高效的数据存储和处理方法。然而，随着越来越多的组织将其业务数据和应用程序迁移到云端，云安全问题的日益加剧也是不可避免的。本文将深入探讨云计算安全的各种风险和挑战。
一、数据隐私和保密性问题
对于企业和组织来说，最紧迫的任务之一就是保护其业务数据的隐私和保密性。云计算为用户提供了共享计算资源的功能，这意味着客户的数据存储在提供商的服务器上，这是一个潜在的安全风险。攻击者可能试图入侵这些服务器并窃取敏感数据。虽然云提供商采取了各种措施来保护这些数据，但是用户也需要采取适当的措施来确保数据的安全性。
用户可以选择加密其敏感数据，并使用安全证书来保护其私有数据。可以使用数据隔离技术来保护组织数据的隐私和保密性，这样只有经过授权的人员才能访问数据。
二、数据完整性问题
数据完整性是指数据不被意外地更改或破坏的能力。云计算环境中的数据完整性风险很高，因为许多用户与多个云提供商合作，这使得数据更容易受到操作错误、人为破坏、自然灾害、黑客攻击和恶意软件等影响。如果数据完整性受到威胁，将导致企业损失严重。
为了保障数据的完整性，企业需要查询云供应商的数据备份与冗余技术情况。无缝的数据备份策略可以最大限度地减少数据的丢失。可以将数据备份多次，并将备份存储在不同的地点，并且使用监控工具定期测试数据。企业还应始终对其基础计算资源进行安全性的自我检查，并对其安全性进行定期评估。
三、数据可用性问题
企业和个人都需要云计算平台的稳定性和可靠性。在云环境中，数据可用性主要受到网络和基础设施问题的影响。网络问题可能导致无法访问云计算资源，而基础设施问题可能导致设备故障或破坏性自然灾害。这些问题可能会导致用户无法访问数据或云应用程序，从而导致计算资源的丧失，这将使企业的业务停滞不前。
为了保障数据的可用性，企业可以使用专业的安全服务提供商提供的高级网络监控和缓解技术。企业还需要严格控制其云供应商的服务等级协议，以确保将来发生硬件故障、自然灾害等情况时数据可恢复。
云计算及其安全问题的分析与研究
ＴＴ ＳＩＬＩＣＯＮ ＶＡＬＬＥＹ一瓣 【科技刨新论坛】
云计算及其安全问题的分析与研究
李立召梁宏伟郭洪成
（长春工业大学吉林长春ｌ３００１２）
摘要： 首先从三个方面对云计算进行定义，介绍它和分布式、并行处理以及网格计算的关系，并给出它们之间的关系图。接着给出云服务模型和云部署模
型，提出并分析云计算中的安全问题，最后给出云计算中的安全防护策略。
关键词：云计算；安全
中图分类号：ＴＰ３文献标识码：Ａ文章编号：１６７１－－７５９７（２０１０）１０１０１９６—０１
０引言
在Ｗｅｂ２．０问世不久，云计算也变成了一种术语。然而业界对云计算的
理解仍有许多不同之处，对云计算的定义方面仍没有达成共识。另一方
面，云计算对于已经诞生的网格计算模式是相对较新的技术，但它并不是
一个全新的概念，与其它已经存在的技术例如分布式、并行处理以及网格
计算有着复杂的联系［１］。
随着研究的深入和网格技术应用范围的扩大，云计算所要面临的直接
问题就是云计算系统的安全问题。
１云计算概述
１．１云计算定义
云计算正处于发展之中，现在还没有统一的定义。下面列举了几个常
规定义：
１）“云”计算是“计算即服务”，即计算资源作为“服务”可以通
过互联网来获取。在“云”里可能有成千上万台计算机，但对于“云”外
面的使用者来说，他看到只是一个统一的“服务”（或接口）界面，就像
在使用一台巨大的虚拟“计算机”，用户可以通过互联网像使用本地计算
机一样使用“云”计算机。
２）云计算就是让你把所有数据处理任务都交给网络来进行，由企业
级数据中心（性能可以说是超级强大）负责处理客户电脑上的数据任务。
这样就可以通过一个数据中心向使用多种不同设备的用户提供数据服务，
从而为个人用户节省硬件资源。
１．２云计算与分布式、并行处理以及网格计算的关系
云计算的定义中使用了许多已存在的技术，像网格计算，效用计算，
服务计算和分布式计算。我们所说的云计算不仅仅是网格计算，它把网格
云计算安全研究
云计算安全研究
蒯留军
（山西省潞安集团安监二局 山西省０４６２０４）
摘要：云计算是信息产业高速发展的必然趋势。理论上对云计算的定义有很多，总体而言云计算作为一种计算机网络资源托管
和动态部署、分配的虚拟方式，具有灵活、资源优化、降低成本等众多优点。但是，云计算在发挥其优势的同时，也存在着诸多安全风
险。本文针对云计算的现状，提出关于云计算安全方面的研究意见，并探讨解决其安全问题的措施和对策。
关键词：云计算；安全；风险；措施
中图分类号：ＴＰ３０９ 文献标识码：Ｂ 文章编号：１００４—７３４４（２０１３）１５—０３３９—０２
目前，云计算越来越吸引ＩＴ行业的注意力，缓解了ＩＴ行业繁杂的设
备管理和维护压力，使其走上了集约化和专业化的道路。但面对繁荣发 展趋势的同时，云计算也存在不少安全问题。关于用户的隐私、信息被泄
露等问题，成为云计算安全问题中的重点。通过分析云计算中的现状和
安全问题，能够为我国：来来Ｉ，Ｉ＇行业云计算领域的发展奠定了一定的基
础，全面促进行业和企业的发展进步。
１云计算简介
云计算是在计算机网络的基础上，通过硬软件资源和数据信息的传 输和共享，来完成数据信息交换的目的。谷歌、ＩＢＭ等多个公司都对其进
行了定义。例如谷歌公司主营搜索引擎，云计算在谷歌公司的应用中主
要是优化搜索引擎，在基本搜索功能的基础上提供图文处理、地图等服
务。而ＩＢＭ公司主营软件产品，因此在ＳａｌｅｓＦｏｒｃｅ统一接口的基础上，扩 大其软件的推广环境。
云计算提供了快速、高效、集中的专业化服务，并能实现分布式实时
监控，给资源的重组分配带来了很大的便利。云计算通过数据的分布，摆
脱了本地计算机和远程服务器的限制，使数据运行中心变成了灵活的资 源访问和处理平台。云计算主要包括以下三个服务层次：①ＩａａＳ（基础设
施即服务），主要为用户提供数据信息处理、存储等基本计算资源，使互 联网用户能够充分部署和运行其计算机软件和应用程序，具备基本的网
云计算安全类一级
云计算安全类一级
摘要：
一、引言
二、云计算安全的概念与重要性
三、云计算安全的主要挑战
1.数据安全
2.访问控制与身份认证
3.合规性与风险管理
4.网络安全
四、我国云计算安全的政策法规与标准
五、应对云计算安全的策略与建议
1.技术层面
2.管理层面
3.法律与政策层面
六、总结
正文：
一、引言
随着信息技术的飞速发展，云计算作为一种新兴的计算模式，已经成为我国信息化建设的重要基础设施。然而，云计算在为人们带来便捷和高效的同时，也面临着诸多安全挑战。因此，全面认识云计算安全问题，提高云计算安全水平，已成为当前亟待解决的问题。 二、云计算安全的概念与重要性
云计算安全是指在云计算环境下，保护云计算服务提供商（CSP）和用户数据、应用及基础设施安全的能力。云计算安全对于维护国家安全、保护企业和个人信息、促进云计算产业健康发展具有重要意义。
三、云计算安全的主要挑战
1.数据安全
数据安全是云计算安全的核心问题，涉及数据保密性、完整性和可用性。如何在云计算环境中确保数据安全，防止数据泄露、篡改和丢失，成为云计算安全的关键挑战。
2.访问控制与身份认证
云计算环境中的资源分散、动态变化，使得访问控制与身份认证变得更加复杂。如何确保用户身份真实可靠，合理控制用户对资源的访问权限，是云计算安全的重要课题。
3.合规性与风险管理
云计算涉及众多法律法规和政策要求，如何在保证合规性的同时，有效管理云计算环境中的风险，成为云计算安全的关键挑战。
4.网络安全
云计算的普及使得网络攻击面不断扩大，如何确保云计算环境下的网络安全，防止恶意攻击和拒绝服务，是云计算安全的重要内容。
四、我国云计算安全的政策法规与标准
我国政府高度重视云计算安全问题，制定了一系列政策法规和标准，如《云计算服务安全指南》、《云计算安全风险评估规范》等，为我国云计算安全提供了有力保障。
云计算的数据安全
云计算的数据安全 ■文／李季 ＵＩＵＵＵ ＵＵ哪ｐｕｌｉｎｇ ｌ 计舁
本文从数据隐私和数据隔离两个技术角度，对云计算中的数据安全进行了阐释和剖析。 卜传统的软件架构相比，云计算在运营和支 — 持方面的成本更低廉，同时又能够获得更 快速的部署能力和近乎无限的伸缩性等收益。尽 管如此，仍然有诸多企业在云计算和传统软件架 构中选择了后者，原因很大程度上在于云计算 中，有关企业数据的安全问题没有得到妥善解 决。一些分析机构的调查结果显示，数据安全问 题是企业应用迁移到云计算的最大障碍之一。 数据安全意指通过一些技术或者非技术 的方式来保证数据的访问是受到合理控制，并 保证数据不被人为或者意外的损坏而泄露或更 改。从非技术角度上来看，可以通过法律或者 一些规章制度来保证数据的安全性；从技术的 角度上来看，可以通过防火墙、入侵检测、安 全配置、数据加密、访问认证、权限控制、数 据备份等手段来保证数据的安全性 由于传统 软件和云计算在技术架构上有着非常明显的差 异，这就需要我们用不同的思路来思考两种架 构下有关数据安全的解决方案。下面我从技术 角度探讨一下云计算的数据安全。 数扔：隐私 对于任何一个ＩＴ系统来说，在运行生命周 期过程中使用的和生产的数据都是整个系统的 核心部分，而我们一般把这些系统数据分为公 有数据和私有数据两种类型。 公有数据代表着可以从公共资源获得的数 据信息，例如股票信息、公开的财务信息等， 这类数据可以被任何一个ＩＴ系统获得并使用。 而私有数据则代表这些数据是被ＩＴ系统所独占 并无法和其他ＩＴ系统所共享的信息。对于公有 数据，使用它们的ＩＴ系统并不需要处理安全相 关的事务，然而对于私有数据特别是一些较为 敏感的私有数据，在构建ＩＴ系统时需要专门考 虑如何保证数据不被盗用甚至修改。 传统的ＩＴ系统通常搭建在客户自身的数据 中心内，数据中心的内部防火墙保证了系统数 据的安全性。和传统软件相比，云计算在数据 方面的最大不同便是所有的数据将由第三方而 非第一方来负责维护，并且由于云计算架构的 特点，这些数据可能被存储在非常分散的地 方，并且都按照明文的方式进行存储。尽管防 火墙能够对恶意的外来攻击提供一定程度的保 护，但这种架构使得一些关键性的数据可能被 泄露，无论是偶然还是恶意。 （例如，由于开 发和维护的需要，软件提供商的员工一般都能 够访问存储在云平台上的数据，一旦这些员工 信息被非法获得，黑客便可以在万维网上访问 部署在云平台上的程序或者得到关键性的数 据。）这对于对安全性有较高要求的企业应用 来说是完全不能接受的。 尽管目前在公有云平台还没有很好的数据 隐私解决方案，但是企业仍然可以选择构建私 有云或者混合云来实现弹性计算和数据隐私的 均衡，同时也为未来在公有云平台上的实施积 累经验。 从弹性计算的角度来看，私有云和公有云并 无太大差别，都是通过自动化地管理虚拟化的ＩＴ 资源来实现弹性计算。然而，由于现有的企业应 用基本上都基于传统的ＩＴ基础架构搭建，几乎所 有的ＩＴ资源都要求ＩＴ工程师花费大量的时间和精 力来手动管理，并没有其他办法实现敏捷高效的 自动化管理，因此无法满足云计算的要求。实施 私有云计算的第一步也是最重要的一步便是重新 搭建ＩＴ基础架构——将现有的处理器、存储、网 络等ＩＴ资源高度虚拟化并重新组织整合，构建高 度扩展性的ＩＴ集群架构，辅以强大的管理软件来 实现高效自动化的ＩＴ资源管理。整个ＩＴ架构可以 ２Ｏ１１ ０１
云计算研究综述及安全问题分析
ＶＡ 皴 【高新技术产业发展】 云计算研究综述及安全问题分析 王丽丽 （宝鸡职业技术学院电子信息工程系陕西宝鸡７２１０１３） 摘要： 分析现有的云计算的现状及特征，分别从云计算系统的外部架构和内部层次结构进行分析和总结。针对未来云计算面临的安全问题进行分析，从技 术和非技术两个层面提出解决办法。 关键词： 云计算；外部架构；内部层次结构；安全问题 中图分类号：ＴＰ３文献标识码：Ａ文章编号：１６７１—７５９７（２０１０）０９１００２０－－０２ ０引言 ２００６年底，谷歌ＣＥＯ埃里克・施密特推出了“Ｇｏｏｇｌｅ１０１计划”，正 式提出“云”的概念和理论，２００８年２月，美国商业周刊发表了一篇题 为“Ｇｏｏｇｌｅ及其云智慧”［１］的文章，开篇就宣称：“这项全新的远大 战略旨在把强大得超乎想像的计算能力分布到众人手中。 从此云计算 （Ｃｌｏｕｄ Ｃｏｍｐｕｔｉｎｇ）便风靡互联网，并形成了全球性的研究和开发的 热潮。云计算将成为未来计算机网络的发展趋势。 １云计算的定义及现状 云计算是对分布式处理（Ｄｉｓｔｒｉｂｕｔｅｄ Ｃｏｍｐｕｔｉｎｇ）、并行处理 （Ｐａｒａｌ１ｅｌ Ｃｏｍｐｕｔｉｎｇ）和网格计算（Ｇｒｉｄ Ｃｏｍｐｕｔｉｎｇ）及分布式数 据库的改进处理［２］。云计算是虚拟化、效用计算（Ｕｔｉ１ｉｔｙ Ｃｏｍｐｕｔｉｎｇ）、基础设施即服务、平台即服务、软件即服务等概念混合 演进并跃升的结果。目前云计算的产业分三层：云软件、云平台、云 设备。上层分级：云软件提供各式各样的软件服务。参与者是世界各 地的软件开发者；中层分级：云平台程序开发平台与操作系统平台。 参与者是Ｇｏｏｇｌｅ、微软、苹果；下层分级：云设备集成基础设备。参 与者是ＩＢＭ、戴尔、惠普、亚马逊。 ２云计算的主要特征 １）超大规模。“云”具有相当的规模，Ｇｏｏｇｌｅ云计算已经拥有１００多 万台服务器，Ａｍａｚｏｎ、ＩＢＭ、微软、Ｙａｈｏｏ等的“云”均拥有几十万台服务 器。企业私有云一般拥有数百上千台服务器。“云”能赋予用户前所未有 的计算能力。 ２）虚拟化。云计算支持用户在任意位置、使用各种终端获取应用服 务。所请求的资源来自“云”，而不是固定的有形实体。应用在“云”中 某处运行，但实际上用户无需了解、也不用担心应用运行的具体位置。 ３）高可靠性。“云”使用了数据多副本容错、计算节点同构可互换 等措施来保障服务的高可靠性，使用云计算比使用本地计算机可靠。 ４）通用性。云计算不针对特定的应用，在“云”的支撑下可以构造 出千变万化的应用，同一个“云”可以同时支撑不同的应用运行。 ５）高可扩展性。“云”的规模可以动态伸缩，满足应用和用户规模 增长的需要。 ６）按需服务。“云”是一个庞大的资源池，用户可以按需购买并计 费。 ７）极其廉价。由于“云”的特殊容错措施可以采用极其廉价的节点 来构成云，“云”的自动化集中式管理使大量企业无需负担日益高昂的数 据中心管理成本，“云”的通用性使资源的利用率较之传统系统大幅提 升，用户可以充分享受“云”的低成本优势。 ３云计算系统的体系结构 云计算的体系结构可以从外部和内部两方面进行分析。 ３．１云计算的外部架构 从外部看，云计算只是将计算和存储资源从企业迁出，并迁入到云中 ［３］。它提供了一种在虚拟环境中应用程序的开发方法，通过虚拟化将物理 机的资源进行切割，实现资源的随需分配和自动增长，但其资源的自动分 配和增减不能超越物理节点本身的物理上限。用户可以在虚拟云计算环境 中开发、部署和管理应用程序，并且能够根据不断变化的业务需求调整应 用程序。用户还可以定义资源需求（例如计算和广域网、带宽需求等），云 提供者在它的基础设施中虚拟地装配这些组件，如下图１所示。
云计算安全策略与措施
云计算安全策略与措施
在现代化的信息技术社会中，云计算技术已成为普遍的计算模式，许多企业和个人都将自己的数据上传至云端，以及使用云计算服务。然而，安全问题是云计算面临的最大挑战。本文将探讨云计算安全策略与措施，并分析云计算安全所面临的挑战。
一、云计算安全的挑战
云计算安全的挑战主要包括：
1. 数据隐私和安全
在云计算中，数据被存储在云端服务器中，而用户往往并不清楚它们被存储在何处，并且对于这些数据的隐私和安全性也不知情。
2. 跨平台兼容性
不同的云计算平台之间，存在着不兼容的问题，这会导致用户的数据在从一个平台转移到另一个平台时出现安全漏洞。
3. 保护电子数据
保护电子数据已成为云计算安全策略的关键问题，特别是在处理敏感信息时。
二、云计算安全策略
为了保障云计算的安全，必须采取有效的安全策略。以下是几种重要的云计算安全策略：
1. 确定数据的地理位置
确定云存储数据的物理位置是云安全策略的关键。地理位置对数据保护和风险分析至关重要，确定数据的地理位置不仅有利于数据的维护和管理，同时能够避免云存储提供商在不被授权的情况下使用数据。
2. 数据加密
数据加密可以保护数据在云端的安全，防止未经授权的访问和数据泄露。数据加密通常涉及不同层次的安全保障措施，包括全磁盘加密、文件级加密、协议级加密等。
3. 机密性管理
机密性管理是评估和管理机密信息的合法性和适当性，以存储、保护和使用敏感数据。在集成云计算时，必须添加机密性管理策略，这可以防止敏感信息泄露和数据丢失。
4. 网络安全与识别维护
网络安全是确定云计算的安全策略的关键。网络安全管理要求企业采用完善的安全设施以确保保险和防备，这包括应用程序安全、认证、记帐和访问控制。
5. 事故反应和恢复
在实际云计算中，如果发生安全违规，如数据泄露，即使公开表示不负责，企业也必须为此负责。因此，必须设定必要的事故反应和恢复计划，以便在紧急情况下对数据安全进行恢复。
云计算平台安全问题探讨
第３３卷第１期 ２０１３年３月 山东通信技术 Ｓｈａｎｄｏｎｇ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ ＶＯ１－３３ ＮＯ．１ Ｍａｒ．２０１３
云计算平台安全问题探讨
唐绍勇董士宝
（中国电信山东分公司，济南２５０１０１）
摘要：本文介绍了具体场景的云平台架构层次，分析了云平台环境下产生的新安全风险。从建设维护的角度，提出利 用技术手段、管理手段进行防护；从技术角度，重点分析了同一安全域内、运行在同一物理服务器上的虚拟机之 间的安全防范；在管理方面，强调了从建设到运维的安全管理流程制定。 关键词：云计算虚拟化威胁安全域
１引言
云计算将计算任务按需分布在计算机集群中，合 理利用了计算能力、存储空间、网络资源，使硬件效率 得到大幅提升。然而，云计算技术的发展给信息安全 提出了新的挑战，传统信息安全时代下的安全标准和 规范已不能应对新形势，需要对云计算平台的安全问 题进行多方面分析，从技术、管理两个角度加强防护。
２云计算概述
云计算按照服务类型大致分为三类：将基础设施 作为服务ＩａａＳ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）、将平台作 为服务ＰａａＳ（Ｐｌａｔｆｏｒｍ ａｓ ａ Ｓｅｒｖｉｃｅ）和将软件作为服务 ＳａａＳ（Ｓｏｔｔｗａｒｅ ａｓ ａ ｓｅｒｖｉｃｅ）。ＩａａＳ将硬件设备等基础资 源封装成服务供用户使用，ＰａａＳ提供应用程序的运 行支撑环境，ＳａａＳ将某些特定应用软件功能封装成 服务。 云平台的架构分多个层次。各层次之间都是松耦 合关系（图１）。
业务敏件安垒 ＳＮ￥ｔ在姨办公．手机地田，移动增值业务…………… 运蕾 互联羁业备艇力．电信业务娩力，ｊｌＩ＾ｓ业务能办． 警理 支撑能力平台 安全 分布式薮据库，分布式文件暮袭，分弗式壤存．运行支撑系 能力 捧． 督理 虚襁机 计赞 虐报化安全 管遵 Ｈｙｐｅｒｖｉｓｏｒ（ＶＭＭ） 瓷螺 礤伟访问控制 饬理服务馨．磁盘阵列，嘲缮宽带 调配 图ｌ云平台架构案例 如图１所示．硬件、虚拟机监视器（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｍｏｎｉｔｏｒ）、虚拟机（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）三个层次 对外提供ＩａａＳ服务。一个ＩａａＳ服务对应一些计算、存
关于云计算及其安全问题的综述
＼＼＼
．
文章编号：１００７—１４２３（２０１３）０６—００１２—０４ ＤＯＩ：１０．３９６９￣．ｉｓｓｎ．１００７－１４２３．２０１３．０６．００３
关于云计算及其安全问题的综述
王洪镇 ． 谢立华
（华南农业大学信息学院，广州５１０６４２）
摘要：随着云计算的蓬勃发展，云计算的安全问题越来越受到关注。分析阐述现阶段云计算及其 安全问题研究领域和成果 重点对世界各地区高校在云计算领域上的研究及发展动向进行
论述。从安全对云计算的重要性说起，重点论述云计算安全问题对云计算发展的影响、总结 目前国际上关于云计算安全问题的研究现状。主要包括ＣＳＡ．ＥＮＩＳＡ以及微软在云计算安
全方面所作的研究工作
关键词：云计算；云安全：互联网
０ 引言
近十几年来．互联网技术迅猛发展。云计算能提供
提供安全、快速、便捷的数据存储和网络服务，使互联
网成为每一个用户的数据中心和计算中心．使用户使
用各种应用的平台从桌面转向Ｗｅｂ 基于互联网开放
平等的特性以及校园年轻人对新知识的强烈渴望．
Ｇｏｏｇｌｅ公司和ＩＢＭ公司发起了云计算的学术提倡．真 正把“云”带进了校园．并确定了北美的６所一流大学
作为引导组织，一时间．世界各大高校风起“云”涌。但 是在云计算环境中．用户不再拥有基础设施的硬件资
源，软件都运行在云中，业务数据也存储在云中，因此
云计算安全关系到云计算这种革命性的计算模式是否
能够被业界接受
１ 高校对云计算的研究
各大ＩＴ企业都和世界上的各大高校签订合作协
议．充分利用高校里的科研力量来进一步开发当今以
大规模计算为基础的研究计划。同时，这些合作计划也
为大学提供了相关硬件设备以及技术支援 笔者从世
界的各大高校中选取了较有代表性的几所大学．来看 看他们与ＩＴ企业的合作情况和在“云计算”方面做的
最新研究
１．１清华大学（ＴｓｉｎｇＨｕａ Ｕｎｉｖｅｎｉｖ／）
２ｏ０８年６月１０日．全球信息基础架构解决方案领