浅谈云计算的安全隐患及防护策略

成不良分子注册成功并对云服务进行攻击。造成云的滥用、恶 用以及对云服务的破坏。
而且，在云计算的使用过程中，客户并不清楚自己数据被 放置在哪台服务器上，甚至不了解这台服务器放置在哪个国 家，这方面云也存在一定的安全风险。
2）云中数据的安全风险
云服务提供商与用户在云计算模式下建立一种相互依赖 和信任的关系。数据具有一定机密性，所以用户数据的存储应 当具有高保密性、可控制性和完整性。然而，当客户把数据交给 云计算服务商后，具有数据优先访问权的并不是相应客户，而 是云计算服务商。
2)威胁发现管理技术
该技术满足企业检测、降低并管理网络内部威胁的需求。 首先检测网络内部安全威胁，并利用云安全技术架构进行关联 性分析，广谱识别恶意行为，发现威胁根源，追踪并提供威胁分 析，充分利用云安全技术对最新出现的安全威胁进行识别和反 馈，通过云端的安全中心，获得详细而及时的防御支持。
3)终端安全管理技术
Briefly on Security Risks and Protection Strategies of Cloud Computing
Bo Ming-xia Chen Jun Wang Wei-qing Chen Wei (China Telecom Beijng Research Institute Beijing 100035)
布式计算安全、基础设施安全，保证云计算的可用性、云计算系 １５－１８．
统稳定性及服务连续性、用户信息安全。构建面向云计算应用
［２］带你认识云计算和全新一代云安全 ２．０ 技术．ｈｔｔｐ：／／ｗ ｗ ｗ ．
的纵深安全防御体系。
ｃｈｉｎａｚ．ｃｏｍ ／Ｎ ｅｗ ｓ／ＩＴ／０ＺＯ ０５６３２００９．ｈｔｍ ｌ．
善安全审计及溯源机制。规范内部员工，健全内部机制，提高管
薄明霞，女，北京邮电大学毕业，博士学位，任职于中国电信北京研
理力度。
究院，高级工程师；主要研究领域网络安全防护及评估评测。
5)借助自身优势，建立特色的云安全服务，通过平台运营
陈军，女，清华大学，工学博士，中国电信股份有限公司北京研究
与控制，保持平台的生命力，通过循序渐进的开放原则，稳步推 院，高级工程师，超过 10 年电信网络与系统研究经验，对电信运营商的
但值得关注的是，一些信息安全服务商已经在构建完成的 安全生态系统方面做出了尝试。然而由于厂商各自经营范围的 不同以及各自理解的不同，使安全保护工作陷入无序的状态。
总之，在相关技术和标准尚未成熟的今天，我们正面临着 一场全新的挑战。若想解决云计算的安全性问题，仅仅依靠一 个厂商的力量是不够的，需要业界联合起来，组成一个完整的 生态系统，共同实现云计算的安全。可以说，云安全的道路任重 道远。
根据自己的安全服务等级，协助用户对自己的数据和应用进行 摆脱管道提供商的利器。
风险平估，根据重要性划分，向用户提供相应的安全服务等级。
2)进一步集成数据加密、VPN、身份认证、安全存储等综合 参考文献
安全技术手段，解决云计算底层技术架构安全、虚拟化安全、分
［１］张健．全球云计算安全研究 综 述［Ｊ］．电 信技 术 ，２０１０，９：
1）云客户端的信誉技术
现在网络威胁数量日益庞大。用户单靠传统的更新病毒代 码等传统方法已不能彻底防御网络威胁。云安全 2.0 技术中的 信誉技术，主要是集合了邮件信誉技术、web 信誉技术和文件 信誉技术。对网络中的信息进行信誉评估，并实时更新。该技术 充分运用了以云安全为基础的威胁防护存储信息和高效的客 户端智能过滤，使得用户可在威胁侵害以前进行防御。
1.云 安 全 现 状
云计算技术是 IT 产业界的一场技术革命，已经成为 IT 行业未来发展的方向。各国政府纷纷将云计算服务视为国家软 件产业发展的新机遇。但由于云计算带来的安全挑战和安全风 险，使云计算的发展面临一些困难。可以说，云安全是云计算产 业发展的重要瓶颈。这是各大运营商面临的挑战，但更是一种 机遇。研究云安全，对云计算的发展，进而对整个信息产业的发 展，都有重要的现实意义。
信息安全与技术·2011.09 ·63·
Ｔｅｃｈｎｏｌｏｇｙ ａｎｄ Ｓｔｕｄｙ · 技术探讨
这层面上讲，更多的是一种机遇。在云安全方面，运营商正在 握机遇，推动国家、行业以及企业云安全标准的建立，重视云安
做，并需要继续加强的应该在以下几点。
全对其业务推广以及客户满意度，从云平台的建设初期就开始
1)通过风险评估，建立共有云和私有云。云服务提供商应 考虑安全体系的跟进。只有这样，才能推动云服务成为运营商
主要指服务商提供的“云”的安全问题。云中可能存在不安 全的接口和 API，且用户数据集中在此，更容易受到黑客的攻 击和病毒感染。当遇到重大事故时，云系统将可能面临崩溃的 危险。
另一些云服务供应商对登记注册管理不严格，极有可能造
·62· 2011.09·www.infos ting .org
技术探讨 · Ｔｅｃｈｎｏｌｏｇｙ ａｎｄ Ｓｔｕｄｙ
3）未知的风险 a．管 理 权 限 风 险
客户把数据交给云计算服务商托管，但数据安全及整合等 事宜，仍将由客户自身负责。传统服务提供商一般会由外部机 构来进行审计或进行安全认证。但如果云计算服务商拒绝这样 做，则意味着客户无法对被托管数据加以有效利用。
b．调 查 支 持 风 险 云计算平台涉及到多家用户的数据，在一些数据查询过程 中，可能会牵涉到云计算服务商的数据中心。如果客户本身也 是服务企业，当向其他用户提供数据收集服务时，则无法求助 于云计算服务商。 c．长 期 生 存 风 险 用户在选择服务提供商时，应把长期发展风险因素考虑在 内。因为可能会出现破产或被大型公司收购现象。如果云计算 服务商破产或被他人收购，企业客户既有服务将被中断或变得 不稳定。
3)建立可信云，加强安全认证。通过可信算法建立云架构
［３］党卫红．云计算的安全防护策略分析与研究［Ｊ］．读与写
从底层到顶层的可信任关系，最终形成可信任云。并采用多种 （教育教学刊），２０１０，（０５）．
认证方式相结合的方式，防止用户信息的外漏。
4)加强运营管理，采取分级控制和流程化管理的方法。完
作者简介：
进云安全的发展；并基于不同的地域特点与信息技术产业结 网络运行、运维体系、维护管理以及系统开发、项目管理具有深入的了
构，加强在云安全方面的合作，发展良好的合作伙伴群体，制订 解；主要研究及关注领域：网络与信息安全防护技术与测评、网络安全
合理的安全服务等级协议。
防护标准体系、网络应急恢复技术研究等、
5.总结
另云计算采用的首要技术是虚拟化，实现数据的池化和共 享。此时，池中的数据具有无边界性、流动性，存在物理安全边 界模糊、安全漏洞等。需要对数据进行加密、隔离与防泄漏。但 加密又会降低数据的利用率，还会引发密钥的管理等问题。同 时，可能由于服务商缺乏严格的供应链管理及相关合同的规 范，部分内部员工可能会造成账号信息的泄露、盗用、篡改和多 次攻击。
【 Abstract 】This article presents the current safety situation of cloud computing and depicts the chief significance of researching cloud security. After that, it probes into the potential security problems of cloud computing. Next, it summarizes the existing cloud security protection technologies according the problems mentioned above, and elaborates in detail the operators’ coping strategies for the cloud security problems on the basis of existing security technologies. 【 Keywords 】cloud computing; cloud security; protection strategy
处于不断研发、完善和前进的过程中。作为最具潜力的云服务
陈伟，女，北京交通大学，通信网络专业，研究生。
的提供商，电信运营商应该及时准确的消化云计算的概念，把
【上接第 61 页】
［１６］黑客 社会 工程 学 攻击 的八 种 常用 伎 俩 ［Ｅ Ｂ ／Ｏ Ｌ］．ｈｔｔｐ： ／／ｗ ｗ ｗ ．ｅｎｅｔ．ｃｏｍ ．ｃｎ／ａｒｔｉｃｌｅ／２００９／０２２３／Ａ ２００９０２２３４３２２１２．ｓｈｔｍ ｌ． ２００９．
目前，云计算的主要发展障碍是云安全。数据保护、终端防 护、虚拟环境中的风险管理等信息安全问题伴随着云计算的来 临变得更加复杂和棘手，企业用户的信息安全将面临更加严峻 的挑战。但相对于云计算，云安全研究目前还处于起步阶段，业 界尚未形成相关标准。目前，主要的研究组织包括 CSA（cloud security alliance，云安全联盟）、CAM（common assurance metric） 等。
2.云 计 算 存 在 的 安 全 隐 患
目前云安全威胁主要来自两个层面，第一是对服务提供商 的信任度，第二是对服务商提供的网络安全性的信任度。实际 上，云计算作为未来 IT 的一个新的发展方向，在安全方面面临 着多种需求的压力。
具体而言，云计算面临的安全风险主要有以下几个方面的 问题。
1）云的安全风险
企业终端安全市场整体上处于飞速发展过程中，终端产品 体现出大量的复杂度特征。对企业终端安全而言，挑战不容忽 视。新一代云安全 2.0 体系使云端与终端的保护与维护进一步 提升了效率。云安全 2.0 体系无需与扫描引擎和特征码共处， 引入了一种新的协议，把在签名数据库中检查文件信息的负担 转到中央服务器，中央服务器可以放在本地扫描服务器企业网 络中或由 IDC 进行托管。这种技术很大程度上使针对服务器 的攻击都将会在云端被解决，甚至大量的特征码都无需传输到 客户网络中的每一个终端中去，从而节省了大量时间和精力。
但云安全 2.0 体系仍需要从客户端、云安全查询过滤器和 本地扫描服务器三个方面完善对终端安全的保护与管理，进一 步提高云安全性能。
4.运 营 商 的 应 对 策 略
在云计算依托社会对信息化的需求而崛起的未来，云安全 是一个不可回避的问题。运营商面临着挑战，因为传统运营商 在互联网服务的转型过程中，面临着转型慢和如何转型的问 题。但实际上，电信运营商是最有发展潜质的云服务提供商。他 们在业务转型中具备资源优势、用户优势、运营优势、平台建 设、系统集成和规划能力，以及品牌、资金、规模和政策优势。从
云计算的优势不可忽视，发展势不可挡，但安全性和可靠
王渭清，男，香港大学，计算机科学硕士学位，目前供职于中国电信 北京研究院；主要从事中国电信网络安全工作，承担中国电信网络安全
性是横亘在云计算发展道路上的一个鸿沟。云安全技术推出的 多项技术规范的编制、网络安全验收测试、网络安全评估评测等多项网
Fra Baidu bibliotek
时间不长，而且网络威胁是动态变化的，所以安全技术永远都 络安全工作。
3.云 安 全 的 主 要 防 护 技 术
云安全本身联合了两个领域：云计算和基于网络的威胁防 御。云计算改变了服务方式，但并没有颠覆传统的安全模式。因 此云计算的安全技术和传统的安全技术在一定程度上具有相 似性。
但在当前 ，随着安全形势的发展，云安全的内涵在不断演 变，新技术、新方案不断被整合入云安全的大概念之中。全新一 代云安全 2.0 的技术体系也逐渐浮出水面。它是从传统的云安 全方案中升级而来，并添加云客户端文件信誉技术、威胁发现 管理技术、终端安全管理技术，使得对企业用户的终端安全保 护与响应更加到位。
Ｔｅｃｈｎｏｌｏｇｙ ａｎｄ Ｓｔｕｄｙ · 技术探讨
浅谈云计算的安全隐患及防护策略
薄明霞 陈军 王渭清 陈伟 (中国电信北京研究院 北京 100035)
【 摘要 】本文介绍了云计算的安全现状并描述了研究云安全的重要意义。然后对云计算的安全隐患进行了探讨。结合上述问题总 结了现有的云安全的防护技术，并详细阐述了运营商在现有技术的基础上对诸多云安全问题做出的应对策略。 【 关键词 】云计算；云安全；防护策略