云计算面临的安全问题
云计算来源于谷歌，商业计算模型就叫做云计算，它把计算的任务分布在了资源池上，让各种系统都可以获取信息服务。云是网络的说法。云计算由虚拟化资源来构成的，这些资源可以被共享，用户也不需要掌握云计算机技术，可以根据个人的需要来应用云计算资源。
云计算分为公用云、私用云和混合云。公用云是云计算服务商来提供的，提供的这些资源可以和其他的用户共享，并没有私人的云计算资源；私用云是服务提供商来提供资源，与其他云计算用户不共享；混合云是前两者的结合，通过特定的企业来实现。
云计算服务基于宽带网络特别是互联网提供，面临各类传统安全威胁，且安全问题随系统规模化而被放大。云计算系统中存放着海量的重要用户数据，对攻击者来说具有更大的诱惑力，如果攻击者通过某种方式成功攻击云系统，将会给云计算服务提供商和用户带来重大损失，因此，云计算的安全性面临着比以往更为严峻的考验。与传统IT安全比较，云计算特有的安全问题主要有以下几个方面：
(1)云计算平台导致的安全问题。虚拟机器把实体机器之间的距离拉近，通过连接，两者间的攻击性会加大。 云计算平台聚集了大量用户和数据资源，更容易吸引黑客攻击，而故障一旦发生，其影响范围多，后果更加严重。此外，其开放性对接口的安全也提出了更高的要求。另外，云计算平台上集成了多个租户，多租户之间的信息资源如何安全隔离也成为云计算安全的突出问题。
(2)虚拟化环境下的技术及管理问题。传统的基于物理安全边的防护机制难以有效保护基于共享虚拟化环境下的用户应用及信息安全。另外，云计算的系统如此之大，而且主要是通过虚拟机进算，一旦出现故障，如何快速定位问题所在也是一个重大挑战。
(3)资源共享状态下，虚拟机间的交通管道增多，最终使资源共享存在安全问题。 云计算这种全新的服务模式将资源的所有权、管理权及使权进行了分离，因此用户失去了对物理资源的直接控制，会面临与服务商协作的一些安全问题，如用户是否会面临服务退出障碍，不完整和不安全的数据删除会对用户造成损害，因此如何界定用户与服务提供商的不同责任也是一个重要问题。
(4)云内外部安全隐患。云内部安全隐患主要包括特权用户访问、数据的位置、合规性、数据隔离、数据恢复、调查支持、长期生存这几个方面。 云外部安全隐患主要对数据保护、安全漏洞管理、应用程序安全等进行防护措施。使用杀毒软件来对内部的机器进行查差防止被感染；用防御设备和监测设备进行对黑客的监测。
怎样开展云计算安全防护
1、基础设施安全
基础设施安全包括服务器系统安全、网络管理系统安全、域名系统安全、网络路由系统安全、局域网和VLAN配置等。主要的安全措施包括安全冗余设计、漏洞扫描与加固，IPS/IDS、DNSSec等。考虑到云计算环境的业务持续性，设备的部署还须要考虑到高可靠性的支持，诸如双机热备、配置同步，链路捆绑聚合及硬件Bypass等特性，实现大流量汇聚情况下的基础安全防护。
2、数据安全
云数据安全包含的内容远远不只是简单的数据加密。数据安全的需求随着三种服务模式，四种部署模式(公共云、私有云、社区云、混合云)以及对风险的承受能力而变化。满足云数据安全的要求，需要应用现有的安全技术，并遵循健全的安全实践，必须对各种防范措施进行全盘考虑，使其构成一道弹性的屏障。主要安全措施包括对不同用户数据进行虚拟化的逻辑隔离、使用身份认证及访问管理技术措施等，从而保障静态数据和动态数据的保密性、完整性、可用性、真实性、授权、认证和不可抵赖性。
3、虚拟化安全
虚拟化的安全包括两方面的问题：一是虚拟技术本身的安全，二是虚拟化引入的新的安全问题。虚拟技术有许多种，最常用的是虚拟机(VM)技术，需考虑VM内的进程保护，此外还有Hypervisor和其他管理模块这些新的攻击层面。可以采用的安全措施有：虚拟镜像文件的加密存储和完整性检查、VM的隔离和加固、VM访问控制、虚拟化脆弱性检查、VM进程监控、VM的安全迁移等。
4、身份认证与访问管理(IAM，IdentityandAccessManagement)
IAM是用来管理数字身份并控制数字身份如何访问资源的方法、技术和策略，用于确保资源被安全访问的业务流程和管理手段，从而实现对企业信息资产进行统一的身份认证、授权和身份数据集中化的管理与审计。IAM是保证云计算安全运行的关键所在。传统的IAM管理范畴，例如自动化管理用户账号、用户自助式服务、认证、访问控制、单点登录、职权分离、数据保护、特权用户管理、数据防丢失保护措施与合规报告等，都与云计算的各种应用模式息息相关。
IAM并不是一个可以轻易部署并立即产生效果的整体解决方案，而是一个由各种技术组件、过程和标准实践组成的体系架构。标准的企业级IAM体系架构包含技术、服务和过程等几个层面，其部署体系架构的核心是目录服务，目录服务是机构用户群的身份、证书和用户属性的信息库。
5、应用安全
由于云环境的灵活性、开放性以及公众可用性等特性，给应用安全带来了很多挑战。云计算的应用主要通过Web浏览器实现。因此，在云计算中，对于应用安全，尤其需要注意的是Web应用的安全。要保证SaaS的应用安全，就要在应用的设计开发之初，制定并遵循适合SaaS模式的安全开发生命周期规范和流程，从整体生命周期上去考虑应用安全。可以采用的防护措施有访问控制、配置加固、部署应用层防火墙等。
结束语
现如今想解决云计算的安全问题，依靠云服务并不能够完美的实现，需要各方面的共同努力，以及政府部门的监管，来使云安全道路越走越远。对云计算安全问题的每个威胁都进行解决，它的难点在于让政府和普通用户能认识到云计算安全的严重性。努力的建造规范的云生态环境，可以让人们正确的思考云服务所带来的利益。
来源：freebuf.com 2020-11-28 08:42:55 by: 早睡早起007
请登录后发表评论
注册