企业私有云平台安全技术研究

企业私有云平台安全技术研究

作者：刘胜娃陈思锦李卫高翔

来源：《现代电子技术》2014年第02期

摘要：云计算作为一种新兴的计算机网络应用技术，近几年飞速发展，主要IT企业如Google，Microsoft，IBM，Amazon等纷纷推出其云计算解决方案，学术界也不断对云计算平台进行深入研究，取得了大量研究成果和实用技术，但是安全问题始终困扰着云计算的发展。这里主要讨论的是云安全的问题，借助企业私有云平台，开展云安全研究，重点在于研究如何结合企业现有的网络安全措施补充提高云平台安全性和可靠性，包括身份认证、访问控制、数据存储和入侵检测等方面的。提出了切合实际的云安全方案，形成满足企业安全需求的安全体系，实现安全和经济效益的双赢。

关键词：云安全；身份认证；访问控制；数据存储安全；入侵检测

中图分类号： TN911⁃34 文献标识码： A 文章编号： 1004⁃373X（2014）02⁃0088⁃03

0 引言

云计算是一种以互联网为基础的新兴计算机应用技术，它融合了分布式计算、效用计算、并行计算、网格计算、网络存储、虚拟化等传统计算机和网络技术，形成了一整套新的标准和模式，“云计算”概念也迅速运用到生产环境中，各种“云计算”的应服务范围正日渐扩大，影响力也无可估量。通俗的讲，云计算就是让你把所有数据处理任务都交给网络来进行，由企业级数据中心负责处理客户电脑上的数据任务，这样就可以通过一个数据中心向使用多种不同设备的用户提供数据服务，从而为个人用户节省硬件资源[1]。本文介绍的云平台安全措施主要是面向VMware系列云计算平台的。

1 云安全简介

当前，典型的企业私有云计算平台拓扑结构如图1所示。

云计算方兴未艾，针对云计算平台的安全性研究也在不断进行，尽管云计算存在安全问题，但它仍然给信息安全带来了机遇。在云计算方式下，数据是集中存储的，这样至少给数据安全带来了两个好处：

（1）降低了数据被盗、被破坏和外泄的可能。这也是云计算服务商讨论最多的一个优点。只要用户能够接入Internet，就能根据需要随时进行访问，根本就用不着自己随身携带，也用不着自己去维护或维修。

（2）能够更容易地对数据进行安全监测。数据集中存储在一个或若干个数据中心，数据中心的管理者可以对数据进行统一管理，负责资源的分配、负载的均衡、软件的部署、安全的控制，并能更可靠地进行数据安全的实时监测以及数据的及时备份和恢复。

虽然云计算本身为安全做出了贡献，但是由于云计算的复杂性、用户的动态性[2]等特点，安全问题仍是云计算发展所面临的巨大挑战，如何确保云计算环境不同主体之间相互鉴别、信任和各个主体问通信机密性和完整性，计算的可用性和机密性[3]，使云计算环境可以适用不

同性质的安全要求，都是急需解决的问题。

2 基于企业云平台的云安全研究

随着企业信息化的发展，生产和办公场所对于移动办公有着迫切的需求，例如移动文件浏览和批阅等一些现实需求。同时企业业务发展需要依托先进的信息化平台来进行有力支撑，高性能计算集群、三维可视化图形工作站、海量的数据存储设备以及功能各异的专业应用软件可以为更加精准、更加高效的综合决策提供坚实的技术保障，上述的企业需求需要一个全新的服务平台进行支持，云计算就是这样一个全新的平台，它使得服务的交付模式向云端转移，所有用户都可以获得低成本、高性能、快速配置和海量云计算服务支持。然而，安全问题始终是云平台正常投入使用所面临的最大问题和隐患，服务安全、数据安全、个人隐私等安全问题都要求必须根据企业实际业务，建立一套完整的云平台安全保障体系，并基于经济因素的考虑要尽量将企业原有安全基础设施与云平台进行很好的融合，同时对云平台性能与安全这对矛盾体进行分析研究，找到最佳平衡点，使得云平台更加安全可靠[4]。图2显示了一个完整的云安全体系架构，覆盖了物理层、链路层、网络层、传输层及应用层，采取了尽可能多的安全措施来保障企业私有云平台的安全运行，但是如何发挥各个安全手段的作用，避免相互之间的矛盾；如何在保障安全的条件下，尽可能减少系统用于安全监控的开销是需要着重解决的问题。本文介绍的企业主要采用的安全措施有ukey认证、访问控制、数据加密和入侵检测等手段。

2.1 ukey统一身份认证安全措施

面对日益复杂的网络环境，普通的网络接入认证已经不能满足安全需要，难以确定用户身份，保证数据的隐私性，而ukey是用来进行一些特殊业务的准入认证[5]。利用ukey认证作为云平台的安全接入认证不仅能够提高云平台的安全性，也能够使ukey发挥最大效能，充分利用ukey高可靠性的特点实现对云计算资源的保护，防止无授权用户的非法操作[6]。SSL

VPN[7]是基于SSL协议采用虚拟专用网的方式为远程用户提供的一种安全通信服务，采用ukey认证与SSL VPN技术相结合，能够大幅度提高云平台的安全。

2.2 云平台的安全管理、控制、审计等安全管理问题的研究和解决

云安全管理平台搭建在云计算环境基础框架上，主要通过Vmware软件所具有的的功能配合其他一些安全管理策略统一进行管理控制。

2.2.1 访问控制策略

云安全管理平台根据资源的不同分别定义不同的访问策略，对资源进行服务控制，企业中用户数据的级别和敏感程度也有所不同，重要和敏感数据需要更深层的保护，因此需要针对这些数据和文件专门制定访问控制策略，通过ukey来进行身份识别，根据不同的身份及所属类别来限制用户的访问权限和所能使用的计算机资源和网络资源，保证合法用户正常访问，并防止非法访问。

2.2.2 数据存储安全策略

企业数据始终受到着各种各样的威胁，存储服务本身也是不可信任的，因此数据加密成了解决问题的首选。目前基于如DES等的对称加密算法因其加解密速度较快被广泛应用，非对称加密体系如RSA算法则具备更高的强度，因此采用动态生成DES密钥并结合RSA公钥加密的方法可以充分发挥两者的优点，找到性能和强度的平衡点[8]。

处理开始前，云端加密程序从公钥库获取接收数据的用户对应的RSA公钥。加密开始时，由一个DES密钥生成器随机生成一个DES密钥，并依照算法选取数值N，从源数据读取N字节并由该随机DES密钥加密为长度为M字节的密文。与此同时，将该DES密钥由接收端的RSA公钥加密为一段密文，同N字节源数据加密后的密文，并附上该两者的长度，一同作为一个数据包保存于云端，如图3所示。客户端继续工作，重新生成随机DES密钥和随机数N，重复上述过程，发送第二个直至最后一个数据包，完成整个加密工作。

解密过程刚开始是数据接收端读入前两个32 b，通过RSA解密，分别取得加密的DES密钥长度（设为L1）和加密的数据长度（L2），顺次读取数据包中其后的L1和L2字节数据，用接收端的RSA私钥将前者翻译成明文，得到一个DES密钥，而后者则由该DES密钥解密，解密后的明文追加到待保存的目标数据中。这样就完成了一个数据包的解密，如图4所示。重复上述过程，直至完成所有数据包的解密，得到加密前的原始数据[9]。

2.3 云计算平台入侵检测

云平台数据更加集中，更易受到攻击和入侵的威胁，而使用传统的特征库判别法的杀毒软件已无法有效地确保云平台的安全，因此入侵检测和防御就显得更加重要，十分有必要对云计算平台中的网络、框架和数据等各种威胁进行全方位实时主动监控、检测和防御[10]。

传统入侵检测防护技术大多是一种被动防御的系统，很难满足当前网络攻防的新形势。这里采用主动防御与传统被动防御相结合的方式，摸索这种入侵检测系统与云计算平台的结合，采用改进的apriori算法[11]，利用一个层次顺序搜索的循环方法来完成频繁项集的挖掘工作，提高挖掘速度，迅速发现网络或系统中是否被入侵的迹象。当查询的行为是合法的，系统返回