云计算平台安全问题探讨

云平 台 的架 构分 多 个层 次 。 各层 次 之 间都 是松 耦
合关系（ 图１ ） 。
业务敏件安 垒
支撑能力平台
的安全 起 到保 障作 用 。 但 虚拟机 环境 下 的安全 域划 分
Ｓ Ｎ ￥ ｔ 在姨办 公．手机地田 ，移动 增值业务… … … ……
互联 羁业备 艇 力． 电信 业务 娩力， ｊ ｌ Ｉ ＾ ｓ 业务能办． 安全
为 服务 Ｐ ａ ａ Ｓ （ Ｐ ｌ ａ ｔ ｆ ｏ ｒ ｍ ａ ｓ ａ Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ） 和将 软 件 作 为服 务
中 的彩铃 ／ 彩像 、 Ｉ ＶＲ等 能力 。
Ｓ ａ ａ Ｓ层 主 要 是 对 用 户 提 供 具 体 的 服 务 。 比如 Ｓ ＮＳ社 区 、 在线 办公 、 地 图服务 等 。 对 于云 架 构 的 不 同 服务 层 次 有 不 同的安 全 关 注
虚襁机 计赞 管遵
瓷螺
虐报化安全
Ｈ ｙ ｐ ｅ ｒ ｖ ｉ ｓ ｏ ｒ （ Ｖ ＭＭ）
致 因病 毒特 征文 件过 期而 产生 安全 薄弱 环节 等 。
以下 对 因 引人 虚 拟 化 技 术 而产 生 的两 种新 安 全 威胁 进行 分 析 。
礤伟访问 控制
饬理服务 馨． 磁盘 阵列，嘲缮 宽带
唐 绍 勇 董 士 宝
（ 中 国 电 信 山 东 分公 司 ， 济南 ２ ５ ０ １ ０ １ ）
摘
要： 本 文介 绍 了具体 场景 的 云 平 台 架构 层 次 ， 分析 了云 平 台 环境 下 产 生 的 新 安 全 风 险 。从 建 设 维护 的 角度 ， 提 出利 用技 术 手段 、 管 理 手段 进 行 防 护 ； 从 技 术 角度 ， 重 点 分析 了同 一 安 全 域 内、 运行 在 同一 物 理 服 务 器 上 的 虚 拟 机 之
得 到大 幅提 升 。然 而 ， 云计 算技 术 的 发展 给信 息安 全 拟机 。 由用户 完全控 制 。 提 出 了新 的挑 战 ， 传 统 信息 安全 时 代 下 的安 全标 准 和 规 范 已不 能 应对 新形 势 ， 需 要对 云 计算 平 台 的安 全 问
题 进 行多 方 面分 析 ， 从 技术 、 管 理两 个角 度加 强 防护 。 应用 支撑 层 、 能力 层组 成 Ｐ ａ ａ Ｓ层 。 应 用支撑 层针 对上 层应 用 提供 运行 环 境 。 能力 层 主要提 供基 本业 务
Ｓ ａ ａ Ｓ （ Ｓ ｏ ｔ ｔ ｗ ａ ｒ ｅ ａ ｓ ａ ｓ ｅ ｒ ｖ ｉ ｃ ｅ ） 。 Ｉ ａ ａ Ｓ将 硬 件设 备 等基 础资 源 封装成服务供用户使用 ， Ｐ ａ ａ Ｓ提 供 应 用 程 序 的 运 行 支撑 环境 ， Ｓ ａ ａ Ｓ将 某 些 特 定 应 用 软 件 功 能 封 装 成
ａ ａ Ｓ服务 。 一个 Ｉ ａ ａ Ｓ服 务对 应一 些计算 、 存 云计 算 将计 算 任务 按需 分 布 在计 算机 集 群， 一般 是若 干 台虚 理利 用 了计 算能 力 、 存储 空 间 、 网 络资 源 ， 使 硬 件 效率 储 、
间的安全防范 ； 在 管理 方 面 ， 强调 了从 建设 到 运 维 的安 全 管理 流 程 制 定 。 关键词 ： 云 计 算 虚 拟 化 威 胁 安 全 域
１ 引 言
如 图 １所 示 ． 硬 件 、 虚 拟 机 监 视 器 （ Ｖ ｉ ｒ ｔ ｕ ａ ｌ
Ｍａ ｃ ｈ ｉ ｎ ｅ Ｍｏ ｎ ｉ ｔ ｏ ｒ ） 、 虚拟机（ Ｖｉ ｒ ｔ ｕ ａ ｌ Ｍａ ｃ ｈ ｉ ｎ ｅ ） 三个 层 次
运蕾
警理
就 需要 重 新定 义 和隔 离 ， 一 个 物理 计算 机 上可 能会 出 现 属 于不 同安 全域 的虚拟 机 ， 虚拟 机 的恶 意代 码 防护
可 能会 导 致 ＡＶ 风暴 ， 停 用虚 拟 机再 次 上线 可 能会 导
分布式 薮据库，分 布式文 件暮袭，分 弗式 壤存．运行支 撑系 能力 捧． 督理
第 ３ ３卷 第 １ 期 ２ ０ １ ３ 年 ３ 月
山 东 通 信 技 术
Ｓ ｈ ａ ｎ ｄ ｏ ｎ ｇ Ｃｏ ｍｍ ｕ ｎ ｉ ｃ ａ ｔ ｉ ｏ ｎ Ｔｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｙ
ＶＯ １ － ３ ３ Ｎ Ｏ． １ Ｍａ ｒ ． ２０１ ３
云计 算平 台安全 问题探讨
服务。
点， 相 对 于传 统 的业 务架 构 ， 虚拟 化 层 安 全是 云环 境
下特 有 的安全 关注 点 。
３ 云计 算 平 台面 临 的 安全 问题
传 统 平 台上 ， 利 用物 理 防火墙 和交 换 机 的隔离 策
略。 可 以在 很 大程 度上 对 属于 不 同业务 域 物理 服务 器
调 配
图 ｌ云 平 台 架 构 案 例
１ １
唐绍勇等 ： 云计 算 平 台安 全 问题 探 讨
第 １ 期
Ｖ Ｍ 的访 问流 量要 经 过 上 层 的物 理 交 换设 备 ， 可
制 ，而 是 保持 磁 盘 文 件 和系 统 内存 在该 时 间点 的状
以在 物理 交换 设 备 上 对特 定 Ｖ Ｍ 的流 量 进行 跟 踪 分 态 。系统 崩溃 或 系统异 常 ， 可 以通 过使 用恢 复 到快 照 析 。 如果 需要 对 域 内某 Ｖ Ｍ 的访 问实 现 特殊 要 求 的 话， 可 以采 用 物理交 换机 的访 问控 制策 略进 行 限制 。
能力 ，比如传 统 电信 服务 中的短 信 、彩信 、 ＷＡＰ ｐ ｕ ｓ ｈ
等， 以及互 联 网服务 中 的地 图 、 搜 索 引擎 等 ， 提供 Ｉ ＭＳ
２ 云计 算概 述
云计 算 按照 服务 类 型大 致分 为三类 ： 将 基 础设 施 作 为服务 Ｉ ａ ａ Ｓ （ Ｉ ｎ ｆ ｒ ａ ｓ ｔ ｒ ｕ ｃ ｔ ｕ ｒ ｅ ａ ｓ ａ Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ）、 将 平 台 作