云安全体系(6篇)

云安全体系篇1

(一)云计算能够提供强大的信息检索服务功能

在电子商务环境下，具备丰富的商品种类是提高电商竞争力的重要途径，而丰富的商品数量和种类又都需要数据库网络具备强大的搜索引擎功能和灵活的响应用户需求能力。云计算强大的数据处理能力能为用户提供比较全面、强大的信息检索功能，并且结合用户的个性需求和个体差异进行海量搜索，同时及时准确的反馈数据。另一方面还能提供对热点信息进行推荐与推送等较新的信息检索服务。

(二)云计算能够提供准确的数据分析能力

在电子商务活动中，需要对各个经营环节产生的海量数据作实时分析，这种实时数据分析能力已成为电商竞争的关键性因素。而借助云计算强大的数据存储和分析能力能帮助电商在最短的时间内获得最精确地数据，并且能利用数据挖掘技术做出相关性分析，辅助决策者做出有效决策。根据一定的调度策略，云计算能对数百万的计算机联合来为用户提供强大的计算能力，使用户完成单台计算机无法完成的作业。当用户在“云”中提出一个请求时，云计算会合理安排计算资源完成计算任务，响应用户需求。

(三)云计算能够改善企业电子商务应用的安全性

对于规模较大的企业来说，需要存储和传输的信息量会急剧上升，而信息的传输不可避免的要借助于网络。这就要求企业必须加大在信息安全上的投入。在企业中应用云计算，可以把数据存储在云端。由云计算提供专业、高效和安全的数据存储，使企业不必再担心由于各种安全问题导致数据不一致。

(四)云计算有助于降低成本

为了满足越来越多的交易需求，企业必须购买大量的计算机和网络设备构建电子商务系统。而且在系统运行过程中，还要定期更换计算机和网络设备。建立电子商务系统的成本较大，软件的管理、数据库的管理、安全性等等都是很大的门槛，并且与快速成长的网络服务和商务应用要求也难以匹配。使用云计算能快速解决这类问题。云计算能够提供IT基础架构，此时再也不用购买昂贵的硬件设备，也不用负担高额的维护费，只需租用云端的设备就可以了。其次是在大流量迸发的时候，可以快速升级，按需购买。

二、云计算下的电子商务安全问题

随着云计算在电子商务中的广泛应用，对于个人、公司和企业来说，云计算包含他们的隐私资源信息，从而在一定程度上使得他们运营的方式可能会发生相应的变化。尽管目前在网络安全的相关方面已经开始应用云计算，但是对于云计算来说所面对的首要的不容忽视的问题任然是云计算是否安全。而云计算环境对于用户而言到底是否安全，对于公众到底能不能够给予更高层次的服务，取决于如下三个方面的安全性问题是否能够很好的解决。

(一）云计算服务方面的安全

在用户上网时提供一定程度的保护，避免代码对用户利益的恶意损害，这可以说是的最大特点，因为云计算在过滤网页的过程中可以高效的利用所有计算机的大计算能力，这就避免了用户在当前的网络环境下，单独依靠一个终端去检查木马病毒。在访问网页的过程中为了检测是不是存在恶意代码及木马程序，云安全系统会将所有网页的过滤工作提前完成。所以说，如果用户通过云安全系统，当其登录某一个网站的页面时，就可以判断出所要访问的网页内容进行下载的话到底安全与否，可以马上获悉将要访问的页面是不是存在安全隐患。不过从总体来说上网带来的威胁并非所有，例如对终端用户来说，有可能会使用U盘，有可能会收发电子邮件。在此过程中，用户一般并不希望自己的隐秘信息被别人所获悉，所以我们可以看到，云安全系统虽然基于这样一种模式，但其仍然存在隐患。

(二）云计算传输信道安全问题

为了利用云计算的超级存储和计算能力，用户将所有的信息和资源都交给云来处理，因而传输信息和资源的云传输信道安全问题就成为云安全体系中必须妥善解决的首要问题。所以，网络服务提供商必须和云服务提供商紧密结合起来，构建出一套安全的、适合云服务的宽带传输体系，使云计算能够提供更加安全、有效的服务。

(三）云计算用户安全问题

云安全体系篇2

关键词：云计算；安全架构；安全机制；安全模型；模型评价

中图分类号：TP393文献标识码：A文章编号：1009-3044（2015）23-0037-03

CloudComputingSecurity：Architecture，MechanismandModeling

XUJie

（DepartmentofComputerScienceandTechnology，TongjiUniversity，Shanghai200092，China）

Abstract：Withthewideuseofcloudcomputingservices，tenantsrequirehigherandhighersecurityassurance.Thecharacteristicsofcloudcomputingaredynamics，randomness，complexityandopenness，whichmaketheoriginalsecuritysolutionsdifficulttobeappliedtothecloudenvironment，sothisisabigobstacletothedevelopmentofcloudcomputing.Weanalyzethefeaturesandsecuritychallengesofcloudcomputing，anddoasurveyonsecurityarchitecture，mechanismandmodel.Inthispaper，weshowthatthesecurityarchitectureofcloudcomputingneedsnotonlythesecurityofmanykindsoftrustedservices，butalsothesecurityevaluationofthemanagementandcanbecontrolled.

Keywords：cloudcomputing；securityarchitecture；securitymechanism；securitymodeling

1概述

继个人计算机、互联网变革之后，2010年，我们迎来了以云计算为代表的第三次IT浪潮。云计算技术的出现能够很大程度的改变传统的管理模式，对于企业来说可以不需要购置大量的计算机的基础设施和软件，可以直接将这些设施和软件的工作需要提供给云计算的供应商进行处理。通过这种管理模式，企业不再需要购置服务器来增加信息化建设的存储空间，只需要按照云计算的要求来选择适当的服务，可以有效地降低企业的运营的成本，更好地为企业服务。本文研究的目的就在于更加详细、明白地了解云计算对于中小企业的作用以及云计算实施当中的一些不足。

越来越多云及云计算用户的数量增加，用户的需求与云计算服务供给之间的矛盾日益加剧，如何最大限度减少安全威胁并提供安全的云环境仍然缺少完善的方案，同时提供商根据使用者所在组织的安全要求强制实施一定的安全机制成为必然。尽管云计算带来了灵活性、可扩展性和敏捷性等诸多好处，但安全性依然是使用者在采用云时所担心的关键因素之一。为了深入全面的探讨云计算，本文分析了云计算安全的架构、机制及相应的模型。

本文第2节介绍云计算对应服务的相关特点，当前面临的安全挑战，并给出了相应的云计算框架；第3节重点从可管、可控、可度量的角度分析云计算架构；第4节对目前的云计算安全机制进行说明；第5节对云计算安全的度量指标进行阐述；第6节总结云计算安全并给出进一步研究方向。

2云计算的安全概述

2.1云计算的服务模式

随着对云计算相关技术和应用的深入理解，用户也逐步理性。首先对云计算的概念和价值已经充分理解，并能够与自身的应用、短期和中长期规划、IT环境相结合，分步骤、分阶段的部署和使用云计算进行应用系统的整合、优化、其次在选择方案、产品和服务的时候，需求和目标更清晰，更多的是从自身实际出发。通过调用云基础设置的开放接口，用户获得计算、网络、存储能力，并能自由灵活按需选择。中小企业为了减少运营成本，提高运行效率，采用这样的模式是最好的途径，企业无需购买、构建和维护基础设施和应用程序。平台云可以被视为用户的一个托管平台，用户将他们自己的应用托管到云平台上交给云提供商管理维护。如图1所示，云服务模型知道了提供商向使用者提供的服务及功能，NIST在SP800-145中将云服务产品划分为基础架构即服务（IAAS）、平台即服务（PAAS）、软件即服务（SAAS）。基础架构即服务为使用者提供部署其操作系统、应用程序和数据所需的技术架构资源；平台即服务为使用者提供应用程序需要的开发平台及其所需的计算资源，支持达赖操作系统、应用程序的开发工具和部署工具；软件即服务提使用者需要的软件，并确保提供的软件经过全面测试，并且能根据使用者需求开发新特性和功能。目前更多的中小企业更愿意尝试IAAS，以此降低IT投入成本。当然，随着IAAS和SAAS之间的界限越来越模糊，更多的用户需求将会催生各种混合式的云服务。

2.2云计算服务框架

针对以上所阐述的云计算安全问题，本节中讨论云计算安全的服务框架，讨论的方法是基于模型的分析。

通常情况下，可以将云计算其当做是一个用来服务的应用系统，主要包括用户和服务的供应商这两个使用主体。服务供应商在开发出云计算系统之后，通过网络其可提供的具体服务项目和内容；用户则是结合自身需求，选择服务供应商网站提供的具体服务和项目，鱼刺同事服务供应商给予用户相关访问权限。

如下图2所示。从图中可以看出系统的监控和模型分析是云计算服务框架的重要组成部分，安全架构及其机制会很大程度上影响系统相关机制的选取，进而对系统运行效率进行影响，云计算供应商应该尽可能从安全角度设计理想的云计算安全架构模型，从而使得用户可以合理地选择。

在对云计算安全服务进行模型分析和监控的过程中，可以针对云计算的系统可用性、系统的基础性能等从多个维度的分析模型，其中多个维度包括瞬时维度、稳态维度和区间值以及其它一些维度，而且通过分析比对对云计算用户的监控数据和服务供应商相关的用户属性对应的指标，根据这个提供的性能指标数据值，可以进行相关机制和模式选择。

云计算的供应商可以或更新云用户所选择的安全机制，按照需要动态地增删机制的机制集合。通过比对供应商提供的云计算机制和实时监测到的系统性能指标数据，云用户可以按照业务的实际需求选择安全的机制。云用户和供应商两者通过达成一定的协议来约定彼此的安全责任，类似的协议有SLA（Service-Level-Agreement）协议等。

3云计算安全架构

安全框架一般设计到人员、流程和技术这三个方面以及他们之间的关系。安全框架可以是管理性机制或技术性机制。管理性机制包括安全和人事政策火鹤用来指导各种操作的安全执行的标准规程。技术性机制通常通过IT技术架构上部署的工具或设备加以执行。

SOA架构是目前流行的云计算安全架构，这种架构主要是能够充分地考虑到云计算环境中的用户的个性化与多样化的需求，在这个基础上提出一种以云计算为导向的一种安全架构。但是比较缺少云计算环境中用户及其相关的供应商获取安全需求的相关方法。因此，在这个基础上，吸取相应的架构优点信息，提出一种基于云计算安全模型评价的可控可管可度量的安全架构。但是如何能让云计算用户明确云计算安全的重要性，在后期中如何更好地选择最好的安全管理机制，这个是目前很多学者研究的重要方向。

4云计算安全机制

云计算从生命周期来看，可以划分为上线前、实际应用阶段、运行维护这三个阶段，以下从安全的测试与验证机制、认证访问和权限控制机制以及隔离机制等角度进一步介绍和阐述云计算安全。

4.1安全测试与验证机制

在云计算产品的开发阶段，针对安全进行专门的测试和验证是必不可少的，这对发现安全漏洞和隐患至关重要。现阶段，即便是针对传统软件产品的安全性测试已经非常困难，而云计算自身的独特环境又增加了安全性测试的挑战性，因此当前学术界和产业界非常关注云计算环境中的安全性测试问题。就目前来看，云计算的安全行测试与验证机制主要有、增量测试机制、自动化测试机制以及基于web的一些专门测试工具。

4.2认证访问和权限控制机制

云计算环境中的授权认证访问和权限控制机制是防止云计算服务滥用、避免服务被劫持的重要安全手段之一。这里主要从服务和云用户两个视角说明对云计算认证访问和权限控制机制的应用方式。

以服务为中心的认证访问和权限控制机制是对请求验证和授权的用户设置相应权限和控制列表来验证和授权。在进行认证与权限访问控制的方面，对于云计算用户中中采用联合认证的方式来对系统中的用户权限控制保证其安全性，需要将用户的相关信息交给第三方进行相应的维护与管理，这种方式能够很大程度上解决用户的安全隐患问题。

4.3安全隔离机制

在进行安全隔离管理机制处理的过程中，主要有两个方面的考虑，第一个方面是需要对云计算中用户的基础信息的安全性进行管理与保护，方便云计算服务提供商对云计算中用户的基础信息管理，另外一个方面是需要降低其他的恶意的对用户的行为进行攻击及一些误操作带来的安全隐患行为。

5云计算安全模型评价

在云计算的环境中，云计算的环境相对来说比较的复杂，因此在对云计算环境下进行安全保证的过程中，不能够仅仅从原来的一些安全保障措施进行处理，还需要作为一个非常特别的服务系统进行处理，需要从系统的角度来重点考虑，对系统中的考虑指标包括可用性、可靠性、可生存性、可维护性、可扩展性；安全性包括机密性、完整性和可用性。各个属性之间的关系示意图如图3所示。

6总结

本文在分析目前的云服务的基础上，进一步阐述了云计算面临的安全挑战和问题；并从云计算安全架构、机制以及模型三个方面对云计算安全技术进行了说明，并对现有的一些研究成果进行了总结。当然，云计算的安全研究问题还有很多需要进一步的深入研究和解决。比如，云计算安全机制的动态变化和适用范围问题。目前，伴随云计算的各种技术和应用在快速动态变化，这种变化对云计算安全机制的适用性问题提出了很高的要求，因为动态变化的云计算环境意味着要有着灵活和易于扩展的解决方案。还比如，云计算安全机制的具体实施问题。本文提出的架构及评价模型即便在一定程度上能够保证云计算应用系统的安全性，但是怎样在实际应用环境中对模型的实际部署实施是一个重要的问题。

参考文献：

[1]林闯，苏文博，孟坤，等.云计算安全：架构，机制与模型评价[J].计算机学报，2013，36（9）：1765-1784.

[2]张洁，何利文，黄斐一，等.一种应用于云计算环境下的服务发现架构[J].南京航空航天大学学报，2013，45（4）：556-562.

[3]刘婷婷，赵勇.提供可信IaaS服务的云计算平台构建[J].计算机工程与设计，2013，34（11）：3731-3735.

[4]DinhHT，LeeC，NiyatoD，etal.Asurveyofmobilecloudcomputing：architecture，applications，andapproaches[J].Wirelesscommunicationsandmobilecomputing，2013，13（18）：1587-1611.

[5]Moreno-VozmedianoR，MonteroRS，LlorenteIM.Keychallengesincloudcomputing：Enablingthefutureinternetofservices[J].InternetComputing，IEEE，2013，17（4）：18-25.

[6]YounisMMYA，KifayatK.Securecloudcomputingforcriticalinfrastructure：Asurvey[J].LiverpoolJohnMooresUniversity，UnitedKingdom，Tech.Rep，2013.

[7]HwangK，DongarraJ，FoxGC.Distributedandcloudcomputing：fromparallelprocessingtotheinternetofthings[M].MorganKaufmann，2013.

[8]NafiKW，KarTS，HoqueSA，etal.Aneweruserauthentication，fileencryptionanddistributedserverbasedcloudcomputingsecurityarchitecture[J].arXivpreprintarXiv：1303.0598，2013.

[9]AminMA，BakarKBA，Al-HashimiH.Areviewofmobilecloudcomputingarchitectureandchallengestoenterpriseusers[C]//GCCConferenceandExhibition（GCC），20137thIEEE.IEEE，2013：240-244.

[10]RongC，NguyenST，JaatunMG.Beyondlightning：Asurveyonsecuritychallengesincloudcomputing[J].Computers&ElectricalEngineering，2013，39（1）：47-54.

[11]李连，朱爱红.云计算安全技术研究综述[J].信息安全与技术，2013，4（5）：42-45.

云安全体系篇3

关键词：云环境；等级保护；安全部署

中图分类号：TP309

1背景

云计算是当前信息技术领域的热门话题之一，是产业界、学术界、政府等各界均十分关注的焦点。它体现了“网络就是计算机”的思想，将大量计算资源、存储资源与软件资源链接在一起，形成巨大规模的共享虚拟IT资源池，为远程计算机用户提供“召之即来，挥之即去”且似乎“能力无限”的IT服务。同时，云计算发展面临许多关键性问题，安全问题的重要性呈现逐步上升趋势，已成为制约其发展的重要因素。

2003年，中办、国办转发国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003327号），提出实行信息安全等级保护，建立国家信息安全保障体系的明确要求。在信息系统等级保护的建设工作中，主要包括一下几方面的内容：（1）进行自我定级和上级审批。（2）安全等级的评审。（3）备案。（4）信息系统的安全建设。（5）等级评测。（6）监督检查。

2云计算环境下的等级保护要求

在国家等级保护技术要求中，对物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复提出要求。在传统安全方案针对各项安全要求已经有较成熟解决方案。在云环境下安全等级保防护方案，还属于比较前延新兴技术，其核心至少应覆盖以下几方面内容：

2.1云服务安全目标的定义、度量及其测评方法规范。帮助云用户清晰地表达其安全需求，并量化其所属资产各安全属性指标。清晰而无二义的安全目标是解决服务安全质量争议的基础。

2.2云安全服务功能及其符合性测试方法规范。该规范定义基础性的云安全服务，如云身份管理、云访问控制、云审计以及云密码服务等的主要功能与性能指标，便于使用者在选择时对比分析。

2.3云服务安全等级划分及测评规范。该规范通过云服务的安全等级划分与评定，帮助用户全面了解服务的可信程度，更加准确地选择自己所需的服务。尤其是底层的云基础设施服务以及云基础软件服务，其安全等级评定的意义尤为突出。

3云计算安全关键技术研究

解决云计算安全问题的当务之急是，针对威胁，建立综合性的云计算安全框架，并积极开展其中各个云安全的关键技术研究，涉及内容如下：（1）可问控制；（2）密文检索与处理；（3）数据存在与可使用性证明；（4）数据隐私保护；（5）虚拟安全技术；（6）云资源访问控制；（7）可信云计算

4云计算面临的主要安全问题

4.1虚拟化安全问题。由于虚拟化软件层是保证客户的虚拟机在多租户环境下相互隔离的重要层次，可以使客户在一台计算机上安全地同时运行多个操作系统，所以严格限制任何未经授权的用户访问面临着安全的问题。

4.2数据集中后的安全问题。用户的数据存储、处理、网络传输等都与云计算系统有关。如果发生关键或隐私信息丢失、窃取，对用户来说无疑是致命的。如何保证云服务提供商内部的安全管理和访问控制机制符合客户的安全需求；如何实施有效的安全审计，对数据操作进行安全监控；如何避免云计算环境中多用户共存带来的潜在风险都成为云计算环境所面临的安全挑战。

4.3云平台可用性问题。用户的数据和业务应用处于云计算系统中，其业务流程将依赖于云计算服务提供商所提供的服务，这对服务商的云平台服务连续性、SLA和IT流程、安全策略、事件处理和分析等提出了挑战。另外，当发生系统故障时，如何保证用户数据的快速恢复也成为一个重要问题。

4.4云平台遭受攻击的问题。云计算平台由于其用户、信息资源的高度集中，容易成为黑客攻击的目标，由于拒绝服务攻击造成的后果和破坏性将会明显超过传统的企业网应用环境。

4.5法律风险。云计算应用地域性弱、信息流动性大，信息服务或用户数据可能分布在不同地区甚至不同国家，在政府信息安全监管等方面可能存在法律差异与纠纷；同时由于虚拟化等技术引起的用户间物理界限模糊而可能导致的司法取证问题也不容忽视。

5虚拟服务器的安全防护

5.1云系统防火墙。在云系统数据中心环境中需要部署很多应用系统，各个云及应用系统之间的安全防护和访问控制带来了很多新的安全威胁与挑战：传统硬件安全设备只能部署于物理边界，无法对同一物理计算机上的虚拟机之间的通信进行细粒度访问控制。

因此，云系统防火墙应增强虚拟环境内部虚拟机流量的可视性和可控性，可以随时随地为用户提供虚拟环境内部的全方位网络安全防护。云系统防火墙应采用统一安全云控制引擎、基于应用的内容识别控制及主动云防御技术，实现了多种安全功能独立安全策略的统一配置，可以方便用户构建可管理的等级化安全体系，从而实现面向业务的安全保障。可用于针对主机及应用的安全访问控制。跟传统物理防火墙相比具有不受环境空间的限制，各云端节点采用同构可互换等架构措施，源服务器隐藏在云防火墙后面，云防火墙应支持用户服务器在任意位置。同时云防火墙具有带宽聚合优化能力。云防火墙网络拓扑示意图如下：

5.2云系统威胁与智能分析系统。传统入侵检测系统（IDS）是利用交换机端口镜像技术，在需要被监测服务器所在交换部署引擎入侵检测引擎，对攻击服务器数据包进行分析和提供告警事件。云系统威胁检测与智能分析系统（简称TDS），除具备原有IDS全部软件功能和技术特点外，TDS由在云环境下，应增加检测能力，特征检测、精确检测算法以及基于基线的异常检测为一体，使其可以检测到云系统环境更为复杂的攻击；TDS还应具备以前产品所不具备的智能分析能力，通过对事件的智能分析，帮助使用者找到真正具有威胁能力的事件，大大降低用户的运维工作量，使威胁处理成为可能。同时，提供了对网络和重要信息系统的威胁态势分析，帮助决策者实现针对当前威胁态势的安全建设决策。

5.3云系统漏洞扫描。传统漏洞扫描系统发现是操作系统、网络设备、安全设备、中间件、数据库存在安全漏洞，对云系统平台和云设备常规漏洞的自动发现还处于空白。云系统漏洞扫描需要支持云安全配置或虚拟机漏洞检测，同时云系统漏洞扫描产品继承现有传统环境下的漏洞库，可实现虚机上承载操作系统、应用漏洞扫描。云系统漏洞扫描的体系架构如下图所示：

5.4云系统审计。云系统审计系统主要由数据中心和审计引擎两部分组成。数据中心对外提供管理接口，主要负责对审计系统进行管理，配置审计策略，存储审计日志供用户查询和分析。云审计引擎的工作基础为审计策略，设备内置捕包、解析、响应模块，捕包模块负责对网络数据包进行捕获和重组，并根据预置的审计范围进行初步过滤，为后续解析做好准备；解析模块利用状态审计、协议解析等技术，对网络数据包进行分类过滤和解析，然后依据审计规则对重要事件和会话进行审计，同时也会审计数据包是否携带关键攻击特征。审计事件、会话和攻击均会提交至响应模块，响应模块负责根据审计策略对此进行响应，包括将审计日志上传至数据中心进行存储、发送事件到实时告警界面进行告警、对关键威胁操作进行阻断，也能通过邮件、Syslog、SNMP信息的方式将审计日志发送给其他外部系统。

5.5云系统防病毒系统。云系统防病毒系统应支持在云系统环境下对各种主流操作系统内的病毒以及木马等进行查杀，从而保障云系统环境下的各虚拟应用主机的安全性和稳定性。云系统防病毒系统支持以虚拟机的形式部署，可工作于云系统平台内部，实现云系统平台下的防病毒功能，通过云管控系统实现自动部署。使用全网智能管理功能，网络管理员可以快速制定每台云系统主机的主动防御规则，部署针对性的防挂马网站、防木马策略，从而在最大程度上阻止木马病毒、挂马网站的侵袭。

6结束语

尽管基于云计算环境的安全建设模型和思路还需要继续实践和探索，但是将安全内嵌到云计算中心的虚拟基础网络架构中，并通过安全服务的方式进行交互，不仅可以增强云计算中心的安全防护能力和安全服务的可视交付，还可以根据风险预警进行实时的策略控制。这将使得云计算的服务交付更加安全可靠，从而实现对传统IT应用模式的转变。

云计算环境等保安全整体解决方案，是依托自身对于传统安全防护的优势，结合云环境的安全特点，有针对性执行相应的防护，其整体解决方案的重点是以安全管控为核心，以虚拟环境状态监控以及云计算环境下维护管理的合规控制为主要的管理目标，实现集中监控和管理；对于具体安全防护手段，提供云系统漏洞扫描，提高云环境的整体安全健壮性，实现自身安全性的提升；同时支持在虚机环境上部署审计产品，加强虚拟流量的协议分析，明晰虚拟环境流量传输状况和具体的操作协议内容，对虚拟环境内部的流量进行可视化呈现。通过上述解决方案提高云计算环境安全性，确保业务的正常运行。

参考文献：

[1]《信息系统安全等级保护基本要求GB/T22239―2008》.

[2]《公共基础设施PKI系统安全等级保护技术要求GB/T21053―2007》.

[3]《云计算安全关键技术分析》.张云勇等主编.

[1]朱源.云计算安全浅析[J].电信科学，2011，26.

云安全体系篇4

摘要：

随着云计算蓬勃发展，云安全问题日益突出，云平台安全服务产品应运而生。文章对业界领先云服务提供商的云安全产品体系和发展策略进行了研究，并结合电信运营商特点，提出了电信运营商发展云平台安全服务产品的思路与建议。

关键词：

运营商；云平台；安全产品

1引言

近年来，随着云计算技术和应用的高速发展，国内外互联网巨头和电信运营商纷纷发力，投资建设高标准、大规模的云计算数据中心，作为承载自身业务和系统的重要IT基础设施，并基于多种服务模式，为客户提供可灵活定制、弹性扩容的云计算整体解决方案。根据SynergyResearchGroup年初的数据显示，全球云服务市场年均增长率达到28%[1]。然而在云计算蓬勃发展的背后，云服务宕机、云平台自身安全漏洞频现、针对云服务的网络攻击愈发增多等云安全问题日益突出。当前，用户对于云安全的需求主要集中在云应用安全、虚拟机保护、DDoS攻击防护等方面，需要云服务提供商制定集中化、显性化和标准化的安全策略，并通过针对性的安全服务或产品，构建多维度、多层次的云平台安全防御体系，切实保障客户云端业务的安全顺畅运行。

2业界领先云平台安全产品提供商对标研究

AWS（AmazonWebServices）云安全，将云服务与云安全高度结合，通过多种途径持续提升和整合安全能力，使AWS云安全产品成为AWS云服务的重要组成模块。AWS从应用安全、网络安全防护和事件管理等维度为用户提供Web应用防火墙、应用程序自动化安全评估、云监控、配置托管、云追踪等安全服务，并通过在全球合作伙伴计划中加强与安全解决方案提供商的合作，构建安全的云平台。Amazon还采用产品融合、共享客户资源形式吸纳合作方，同时引入数据库、网络、应用层面的安全厂商，形成对云安全功能的全面覆盖。在产品发展策略上，AWS保持云服务领域价格优势的同时加大安全管理投入，建立安全与服务的良性循环，持续整合产业链各环节的资源和能力，不断壮大云安全生态圈，完善云安全产品体系。阿里云安全，经历了云服务安全、云安全产品、云安全解决方案三个发展阶段，凭借强大的研发优势自主开发云盾系列安全产品，为客户提供层次化的立体安全服务。阿里云安全产品体系包括服务器安全、Web应用防火墙、DDoS高防IP、移动安全、数据风控、阿里绿网、加密服务、安全管家等产品，涵盖主机和网络安全、移动安全、数据安全、业务安全、内容安全以及安全技术和咨询服务等多个领域。阿里云基于大数据安全分析技术推出的态势感知产品，具备安全监控、入侵检测、弱点分析、威胁分析等功能，能够辅助客户建设自己的安全监控和防御体系。阿里云在推动自身产品创新和发展的同时，还广泛与国内外专业安全厂商合作，开放资源，共建云安全生态。作为北美电信巨头，Verizon较早将战略聚焦在云安全能力提升上，通过一系列收购、合作形成云安全产品的全球服务能力。Verizon企业级安全产品品类丰富，包括DDoS攻击防护、网络威胁监测/网络威胁高级分析、可管理安全服务（MSS）、统一安全服务、威胁与漏洞管理等，能够为企业用户提供综合的网络和信息安全服务。Verizon认为安全的云平台具备三个特征：强大的逻辑和物理安全控制手段，稳健的治理、风险和合规性策略以及丰富的增值安全服务。Verizon的可管理安全服务能够主动识别漏洞并优先处理云端威胁，改善IT安全策略和流程进而提升云计算安全，实现风险管理。在Gartner的2015年全球MSS市场魔力象限分析报告中，Verizon再次评选列入领导者象限。IBM云安全，通过其设计灵活的DynamicCloudSecurity产品组合为用户云计算中的工作负载提供分层防护[2]。IBM从访问管理、数据保护、可视化和优化安全运营等维度为用户提供云身份管理、云访问权限管理、云应用安全、云网络安全、终端管理、云安全情报、云安全管理服务等云安全产品。IBM具备的专业服务与整合能力以及可扩展的开发者关系优势，在混合云模型中尤为突显，在产品发展策略上，IBM充分利用其混合云优势，同时整合其他云平台推出关键，逐步形成自身完善的云安全产品体系。综上所述，国内外领先云服务提供商纷纷推出云平台安全产品以强化自身在云计算市场上的竞争优势。他们或采用合作共赢的策略建设云安全生态圈；或整合多层级的云平台安全防护产品，形成一体化的安全服务体系，其发展思路和产品策略可以为电信运营商所借鉴。

3电信运营商发展云平台安全产品的思路和策略

经过近年来的技术积累和大规模投资建设，电信运营商不同服务类型的云平台在规模商用阶段取得长足发展，并进一步凭借资源优势、网络优势、云网协同解决方案等持续拓展云计算市场。另一方面，电信运营商在网络和信息安全防护方面有着丰富的经验，面向企业和公众客户逐步推出涵盖应用、网络、终端等领域的云安全产品和服务，如云Web应用防护、DDoS攻击防护、移动终端防护、安全专家服务等。不过当前电信运营商的云平台安全产品体系普遍存在产品品类不足，核心功能有待完善，尚未实现内外部资源整合，难以满足广大云平台用户对安全服务的迫切需求等问题，同时欠缺整体的云安全产品规划和研发过程管控，互联网化运营资源和经验不足，客户需求响应速度有待提升。在上述背景下，电信运营商若要在激烈的市场竞争中占据主动地位，需要依托自身强大的网络资源、运营经验和渠道优势，联合业界领先的安全产品和服务提供商，深入挖掘云平台客户痛点，分步骤有序地发展重点产品，逐步构建并完善云安全产品体系，对外提供多维度、层次化的云安全服务能力，以持续性创新应用满足多样化的市场需求。云平台安全产品的目标体系可分层搭建，其中电信营商一体化的业务支撑体系、基于客户的云安全产品商业模式和云平台基础设施资源构成了整个目标产品体系的基石，也是对内部资源和商务体系中所有参与者整合所建立起的价值活动平台，将电信运营商与客户和产业链其他角色连接起来，实现高效的价值创造、交换和分配。目标体系的底层由可快速部署、灵活易用的安全服务单产品组成，此类产品技术成熟度较高，具备功能单一、可单独计费销售的特点。综合考虑目前产品成熟度和市场规模，结合业界标杆企业对比分析，以及客户的接受程度、业务吸引力等，在现有的云WAF、DDoS攻击防护等基础产品上，积极引入具备高级威胁防御、威胁预警能力的云安全Web网关，以及Hypervisor安全保护、vFW、云IDS/IPS等虚拟化级云安全产品，主要客户包括Web服务的受众、云托管网站、各类企业用户等。目标体系的中间层以安全信息和事件管理（SIEM）为核心，运营商可以采取与业界领先的服务提供商合作，构建面向云服务的SIEM平台，提供云中监测、云中审计、违规分析等功能，并为客户提供灵活多样的报表服务，进一步可根据不同应用场景及客户需求，与其他基础安全产品整合或根据行业特殊性形成安全服务包，面向具有较高信息安全要求的行业客户如金融、政府机构等。目标体系的顶层主要提供高端增值业务，如渗透测试、风险评估、安全调度以及完整、系统的客户解决方案。电信运营商可以采取自研自建与外购安全产品结合的方式完善云平台安全产品体系。基于运营商大网能力自行开发与云服务深度融合的核心安全产品，同时通过采购专业安全企业的成熟产品来扩展云安全产品业务线，增强相关竞争实力，建立并依赖合作伙伴生态圈，整合多样化的合作供应商和安全产品供用户选择，满足客户端到端的云平台安全需求。

4结语

云安全体系篇5

【关键词】云数据中心安全防护防护挑战解决方案

一、云数据中心概述

云计算简单而言就是一种以互联网技术为依托的计算方式，借助云计算网络上共享的各种信息以及软硬件等其它资源，都可以根据用户的实际需求被准确的提供给包括计算机在内的其它互联网终端设备。云计算的出现对于数据中心的发展起到了很好的促进作用，在功能实现方面，迫使其从以往传统的只是提供存储设备租用以及机房空间，向着真正的按需分配的资源虚拟云数据中心转型。就云数据中心的特点来讲，其主要是通过对虚拟技术的采用来将网络当中的各种资源实施虚拟化操作，以为资源用户之间的资源交互行为提供一种灵活多变的形式。

二、云数据中心安全防护目标

云数据中心安全防护工作的目标为在确保数据安全基础之上，为数据使用者提供更好的服务。在实现这一目标的过程中，云数据中心中数据的机密性、数据的完整性是十分关键的任务。

2.1数据的机密性

在云数据中心安全防护工作中，数据的机密性指的是数据的使用主体为授权用户，而不能泄露，更不能被非授权用户所使用。为了让云数据中心的数据体现出机密性的特征，云数据中心安全防护需要从以下三个方面做出努力：首先，需要提升云数据中心安全防护管理工作队伍专业素养，这一提升过程可以通过培训工作与人才引入工作来实现；其次，云数据中心安全防护工作要重视数据加密技术的广泛应用，如数据安全传输专用链路、云数据中心数据加密以及云数据中心用户授权管理技术等。其中，数据安全传输专用链路主要是采用VPN、SSL、NAT等链路技术确保云数据中心数据传输链路的安全性能。

云数据中心数据加密则可以利用DES系统、ECC系统以及RSA系统等避免云数据中心中的数据被窃取，当然，在加密技术的使用中，服务器内部的攻击是确保数据机密工作中面临的重要挑战，为此，数据加密过程和数据存储服务之间需要具备一定的分离性，在此过程中，加密工作可以在云数据中心客户端完成，而云存储用户所使用的不对称密钥则可以由第三方机构进行管理。

当前云数据中心的用户授权体现出了粗粒度的特征，授权级别主要包括两级，即云数据中心管理员以及从管理员受众得到授权的以及用户，由于这种访问控制机制具有着一定的安全问题，因此高安全性的访问管理技术和身体认证技术是十分必要的。

2.2数据的完整性

在云数据中心安全防护工作中，确保数据不被蓄意或者偶然的重置、修改是重要的工作目标之一，只有实现这一目标，云数据中心的数据才能够具备完整性。从影响云数据中心数据完整性的因素来看，这些因素包括自然灾害、设备故障、计算机病毒、误码等。从云数据中心数据完整性的防护手段来看，则主要包括预防数据丢失与恢复数据两个方面。在云数据中心中，为了能够保证数据在处理、传输以及存储中具备完整性，管理人员进场会运用到分记处理、奇偶校验、镜像以及分级存储等技术。事实上，在云计算环境中，如果运用IaaS进行存储，则数据迁移需要承担的成本较高，另外，数据集具有着明显的动态化特征，因此，传统的数据完整性检验机制很难得到良好的效果，为此，为了确保云数据中心数据的完整性，云数据中心安全防护工作者需要充分了解云计算环境所具有的特征，并使用复制服务器以及两阶段提交协议等技术，对云数据中心中数据的完整性做出检验。

三、面临的挑战

在IT技术迅猛发展的背景下，云数据中心体现出了逐步替代传统数据中心的趋势，在此过程中，云数据中心需要面临虚拟安全域隔离以及虚拟机安全防护等诸多问题，这些问题的存在，在一定程度上制约着云数据中心得到更加广泛的运用并体现出更大的应用价值。云数据中心网络虚拟化，会让网络边界呈现出动态性的特征，因此，网络安全系统对安全策略的制定与部署是至关重要的。具体而言，当前云数据中心安全防护工作主要面临着三个问题：首先，虚拟安全域的隔离问题以及虚拟机的防护问题。虚拟交换层是云数据中心网络虚拟化中新的网络层次，这种网络层次的出现导致了网络管理边界具有了模糊化的特点，与此同时，虚拟服务器难以被原有的网络系统感知，因此，数据中心在安全隔离租户虚拟域的工作中面临着较大的挑战；其次，云数据中心资源难以实现集中管理。在云数据中心中，一个数据流需要经过多重检测，在使用传统方法开展这项工作的过程中，一般需要对不同类型的功能与设备进行简化与堆叠，这一过程需要浪费消耗较多的软硬件资源。另外，由于安全设备所具有的模型和接口存在着一定的差异，所以云数据中心资源的集中管理也较难实现；最后，安全策略如何实现全局协同，也是需要考虑的重要问题。在云数据中心中，安全控制策略和传统的网络安全控制策略具有着一定差异，安全防护工作需要针对应用所具有的特性，对不同安全域进行有效区分，为制定出有效的安全策略，而为了避免产生策略冲突，这些安全策略也需要实现全局协同，这一问题是云数据中心安全防护工作中不得不面临的挑战之一。

四、技术

在当前的云数据中心安全防护工作中，软件定义网络技术能够发挥出不容忽视的作用，在这一技术的支撑下，经过云化处理之后的边界能够形成良好的网络结构，并且也能够确保用户对存储资源以及网络资源做出良好的分割使用。于此同时，在软件定义网络基础上衍生出的软件定义安全技术以及网络功能虚拟化技术等，也能够有效确保云数据中心安全性，并提升云数据中心数据资源的利用效率。

4.1软件定义网络技术

2006年，斯坦福大学首次提出了软件定义网络，2012年，软件定义网络所具有的三层架构也得到了行业内的普遍认可。软件定义网络所具有的三层架构包括应用层、控制层以及数据层，其中，控制层对网络设备中所有的控制功能进行了继承，并且具备可编程的特征，这让控制层与数据层实现了分离，并让数据层实现了简化，在充分发挥这一优势特征的基础上，数据的使用以及开发工作都会变得更加便捷，并且网络与系统也能够根据受众的业务需求做出更加快速的响应。在云数据中心安全防护中，软件定义网络技术具有着明显的优势，首先在运用软件定义网络技术的基础上，可以制定多租户安全服务策略。软件定义网络控制器能够对网络所具有的状态信息进行感知，并可以对云数据中心安全策略和转发策略进行联合编译，与此同时，软件定义网络技术还能蚋据租户虚拟网络拓扑以及租户所提出的需求，将安全策略分布在不同的网络节点之中，这一优势让云数据中心安全策略得到了简化。另外，基于软件定义网络架构，云数据中心安全策略的实施工作与制定工作能够实现较好的隔离，在此基础上，云数据中心安全策略的实施能够体现出更好的灵活性；其次，在运用软件定义网络的基础上，云数据中心能够构建起可复用的安全服务。软件功能模块化以及软件功能的重构，能够让云数据中心对公共处理模块进行合并，从而对软硬件性能进行优化。当然，实现不同控制模型以及接口的统一化，是发挥这一优势的必要前提；最后，在运用软件定义网络的基础上，云数据中心资源可以得到集中的管理与控制。软件定义网络技术能够为云数据中心提供全局网络视图，并能够推动数据调配实现精细化，与此同时，软件定义网络技术通过对虚拟化安全设备和虚拟网络进行协调，也能够为云数据中心安全防护工作提供便利。

4.2网络功能虚拟化技术

nfv网络功能虚拟化技术指的是将电信设备运用于通用服务器，并将各类网元部署在存储器、服务器、交换机等共同构成的平台之上，在此基础上，应用能够对虚拟资源进行快速的减少和增加，并实现快速缩容与扩容，促使系统具备更好的网络弹性。

在云数据中心安全防护工作中，网络功能虚拟化技术体现出两个明显优势，首先，云数据中心租户能够利用一个平台对不同租户以及不同版本的网络设备进行登录，从而实现更好的资源共享；其次，云数据中心可以以租户具体需求为依据，对自身服务能力进行降低或者特征，从而促使自身服务体现出更好的针对性。

五、解决方案

随着信息化时代的到来，社会的数据化发展在给人们带来极大的便利化的同时，信息、数据安全问题的发生也严重影响着人们的个人利益。为此，我们提倡大力发展云数据中心，构建完善的云数据中心安全方案的主要目标之一也是为了对用户的个人信息、相关数据进行保护。但在迈入云计算数据中心时代之后，在云模式构架的影响下，传统数据安全方法遇到了巨大的挑战，无论是抽象控制还是在物理逻辑方面都需要全新的数据安全策略。与此同时各种病毒威胁的发生以及计算机网络在技术、方向方面的发展等也会引发各种网络信息问题，从而对云数据安全造成极大的挑战。因此，我们急需针对当今各种网络信息问题的产生特点，来开发和制定出一套先进的云数据中心安全防御方案，以此来为新时期云数据信息用户以及云端信息的输出，提供一个安全的信息流通环境。切实保护双方安全利益，预防由信息危机而引发的各项社会安全问题的产生。由于云数据中心安全防护涉及范围较广，且面临问题具有一定的复杂、多样性。因此，我们对云数据中心安全方案的制定也必须从大的模式构建和细小的体系建立两个方面来做起，具体来讲主要包括以下内容：

5.1云计算应用模式构建

云计算英语模式作为云数据中心安全防护的主要构成模式，其构建完善与否在很大程度上将决定着云数据中心安全质量的高低。为此，就云服务终端来讲，其安全解决方案的建立首先要在其终端构建起一个独有的安全评估和防御体系，只有如此才能够在云端与终端开展信息流动的过程中，将云端信息安全被侵扰的几率降到最低。为此，我们需要为每一台终端机选择并安装，先进的防病毒、防火墙、恶意软件查找以及IPS等安全软件系统。极大的预防各类网络安全攻击事件的发生，防止个人计算机信息数据的泄露。与此同时，浏览器作为用户与云端开展信息交流的重要媒介，其浏览器的安全与否也在很大程度上决定着云计算安全水平的提升。为此，我们必须必须积极面对，在定期对计算机病毒进行查找的同时，做好浏览器的补丁修护工作，极大的保证浏览器的安全运行。此外，由于终端当中虚拟软件通信不在网络通信监控范围内，其一旦发生匿名网络攻击云端在难以察觉的情况下，很容易受到其攻击，为此我们还应当加强对虚拟软件管理工作。通过完善的信息安全预防工作的实施，来从各个方面预防信息数据安全事故的发生，将安全隐患消灭于微。

5.2云数据防御体系建立

云数据防御体系的建立使得各种网络病毒以及威胁能够在很大程度上被云防御发现并杜绝，提升了云数据防御体系的安全预防能力。具体而言云数据防御体系的建立主要包括以下几个方面：首先，构建web信誉服务体系，这是云数据安全防护的关键也是重要组成部分之一，其预防措施要赶在web威胁发生之前，防护对象主要包括IP、网页、网站等；其次，建立电子邮件信任模型，它主要是针对上面web信誉服务来进行优化作业，以将web当中那些包含不良信息的垃圾邮件直接在这一阶段过滤掉，以防止这些已经收到污染的不安全数据、信息对云端信息或计算机造成传染害，真正的将电子邮件的收发控制在合法范围内。此外还包括，行为关联分析技术体系、自动反馈机制信任体系、以及威胁信息汇总体系的构建。从功能和内容上来讲，无论何种体系的构建起目的都是为了对云安全防御体系进行完善，不断强化其安全防御能力，帮助计算机肃清其工作、运行环境，使其各方面功能得以良好的发挥。

参考文献

[1]申晋.云计算数据中心安全面临挑战及防护策略探讨[J].W络安全技术与应用，2016，（03）：65+67.

[2]张小梅，马铮，朱安南，姜楠.云数据中心安全防护解决方案[J].邮电设计技术，2016，（01）：50-54.

云安全体系篇6

关键词：云计算；传媒；信息安全

随着知识经济以不可逆转的力量推动着时代的车轮飞速前进，人类社会也正经历这前所未有的快速变革，自从联合国教科文组织提出知识经济的概念20年以来，人类创造的知识成果超过近5000年文明创造的总和；在新世纪刚过去的10年，经合组织GDP50%以上是依赖于知识经济；科技进步对经济增长的贡献率甚至超过了80%。

正是在这样的知识经济蓬勃发展大环境下，广西日报传媒集团（以下简称“广西日报”）顺应时代，抓住机遇，整合出版资源，做大做强经营性文化产业。努力开创和发展包括平面媒体、网络媒体、移动媒体等全方位覆盖的全媒体传播和多元化产业发展的新格局。信息技术作为知识经济的核心驱动技术，成为引领传媒业迈向新时代的关键因素。

1信息化建设的需求分析

自从2009年底转制为集团企业后，随着业务的快速增长和技术日新月异，广西日报在信息化工作深入应用时也遇到了一些挑战，主要体现在以下几个方面：

第一、业务层面。随着广西日报业务的不断丰富和扩展，业务模式正在开始逐步的转型，主要是“传播者本位”向“受众本位”的转型、从“组织媒介”向“大众媒介”的转型、从“宏观内容”向“微观内容”的转型。业务模式转变对信息系统支撑并适应业务转型的要求提出了新的要求。

第二、管理层面。企业化管理体制对业绩和效率要求更为明确，同时对投入和成本的控制也较事业单位时期更为严格，信息科技工作量化管理本身就是个业界难题，如何有效地治理信息系统，规范管理，降低成本，也是信息化工作面临的重要挑战。

第三、技术层面。WEB2.0时代，新一代互联网发生了翻天覆地的变化，如P2P、RSS、博客、微博、WiKi、播客等资讯传播技术如雨后春笋般涌现出来，并将迅速成为推动传媒领域技术革命的关键因素，信息科技工作不仅要将如此众多的新兴技术学习、消化、吸收，更要将技术和实际业务工作结合，无疑为信息科技工作增加了工作压力和难度。

综上所述，如果仍然延续传统的信息科技工作模式，将不能适应集团业务转型和发展的要求。为了从根本上解决信息科技工作存在的问题，确保信息系统可持续发展，广西日报决定整合IT核心系统，规范相关业务流程，打造先进、灵活、安全的IT系统，具体需求如下：

第一，采用创新的云计算模式取代传统C/S或B/S计算模式，整合现有业务系统至统一运行平台，并采用松耦合思路进行协同整合，突破各IT系统的区域和边界限制，为业务系统转型提供技术支撑。

第二，引入成熟先进的IT管理体系和规范标准，结合业务实际情况制定包括系统生命周期、技术服务管理、信息安全管理等自身IT管控体系，为信息科技工作配套管理体系打下良好基础。

第三，建设严密、协同、灵活的信息安全体系，切实有效保障业务连续性，为业务健康可持续发展保驾护航；同时，提升资源利用率，优化系统性能价格比，降低系统总拥有成本，真正实现少花钱，多办事。

2信息安全建设总体思路及安全实践

2.1信息安全建设总体思路

根据总体规划、分步实施的总体思路，广西日报的信息安全建设分为两个阶段，第一期项目以建设私有云为主要内容，第二期则是在一期的基础上，建设私有云和社区云的混合云为主要内容。总体建设思路如图1所示。

2.2总体技术架构

在传媒集团信息安全建设中，云计算的最关键技术，就是如何整合计算处理、数据存储和网络传输三大子系统。在传统的C/S或B/S计算模式中，往往这三者是松耦合的，而在云计算环境中，这三者是紧耦合的——通过高速的宽带网络虚拟化技术，将处理资源及存储资源紧密有机地整合在一个完整的系统中。要实现真正意义上的云计算，必须使处理、存储、网络三大子系统实现以下关键功能：

第一、处理资源虚拟化和网络化。处理资源主要包括CPU、内存及系统总线，通过虚拟化技术将CPU、内存抽象出来，作为虚拟资源池，再通过虚拟化网络将各资源池联通，并通过管理系统进行统一资源调度，做到即可多个物理资源整合一个逻辑资源，又可将一个物理资源分割成多个逻辑资源，如现在流行的InfiniBand技术就是将传统封闭的PCI/PCI-X/PCI-E总线网络化的实例。

第二、存储资源虚拟化和网络化。存储资源主要包括各种在线、近线甚至离线存储资源，主流存储产品均支持各种网络化解决方案，包括SAN、ISCSI、NAS等，可以非常便捷地用网络管理的思路来管理存储系统。先进的存储产品可以支持虚拟化或云计算环境中的数据无缝迁移、灾备、数据消重等重要功能，如现在流行的FCOE技术就是将封闭式存储数据传输迁移到高速以太网的实例。

第三、网络传输宽带化和标准化。和传统计算环境相比，云计算环境中，网络传递的不仅是传统的IP业务数据，更多的将是各种处理资源和存储资源的数据，这些数据具有极强的实效性（纳秒级）、高可用性（99.999999%），并且要求网络具备极高的吞吐能力（万兆级）。同样重要的是，在传统网络中，IP数据是无连接的，而云计算环境中，网络传输应保障端到端业务的可靠性，所以要求网络面向连接特性更为严格。这使云计算环境中核心网络和传统的局域网、广域网、园区网有本质的区别。如现在流行的零丢包非阻塞式网络就是云计算核心网络的实例。图2为广西日报私有云建设总体技术架构图。

2.3安全的云计算环境

在论述云计算环境的安全性时候，有必要明确的是“安全云”还是“云安全”的概念。“云安全”是信息安全领域最近炒得比较热话题，但是，“云安全“是各安全厂家借鉴了云计算的共享协作基本理念和思路，用在各自的信息安全产品的更新和协作上。使其产品能够更快速灵活的应对各种潜在和突发的安全威胁。因此，“云安全”只是一种理念，在业界有相当一部分资深人士认为“云安全”原理上甚至只是分布拒绝式服务攻击或僵尸网络攻击的反其道而行之。而“安全云”的概念和范围则要比“云安全”要广得多，技术深度也不可同日而语。“安全云”是完整的云计算环境中的信息安全体系，不仅是理念，还包括了各种管理标准、技术架构。因此，在建设安全的云计算环境光考虑云安全是远远不够的，要结合管理、技术、业务，建设并完善整个云计算安全体系。图3是广西日报的安全云体系架构。

建设广西日报安全云计算环境考虑了三方面，一是云计算技术架构，二是传统信息安全体系架构，三是引入了国内外相关的信息安全法律、法规和先进的安全标准的最佳实践。这使得广西日报私有云安全体系建设较有成效，切实保障了业务系统的安全稳定运行。

2.3.1云计算环境下面临的安全威胁和风险

在广西日报云计算环境中，主要存在以下的安全威胁和风险，如表1所示。

2.3.2统一集中安全认证/授权/审记

云计算环境中用户最大顾虑可能是云计算打破了传统信息安全的边界概念，无边无际，看不见摸不到，如采用传统的基于边界和各系统独立的安全思路，可以设想下这样的场景：云计算无边界限制，入口众多，各系统权限分立，安全标准不统一，缺乏事后追溯和跟踪审记，必将给云计算环境带来巨大的安全隐患。因此，在私有云计算环境中，统一入口、统一认证、统一授权、统一审记（即AAA安全体系）是极为关键的。

统一入口可以通过建立统一云门户实现，用户在统一业务门户登陆后，通过统一认证产品，集成LDAP和数字证书等多因强认证技术，对用户提供安全的单点登录服务；用户成功登录后，由统一认证系统根据用户角色和业务系统安全规则进行集中授权；用户进行业务操作时或者登出后，由统一认证系统在后台记录下用户的操作行为，在必要的时候可支持操作回溯，通过对认证、授权、审记的统一集中，根本上改进了云计算环境下存在的安全隐患。图4为云计算环境下集成统一门户、统一认证系统的系统示意图。

2.3.3可信计算体系

安全云可信计算体系包括可信身份确认、可信资源安全列表、异常操作行为检测等内容。可信身份确认可以采用PKI数字证书信任体系，确保参与云计算的各方的双法身份；可信资源安全列表可采用云安全技术，建立私有云可信安全列表，同时，可通过安全云快速部署异常行为检测功能至各主机和应用防火墙，通过云计算的灵活性和管理弹性，实现自适应、自防御的安全云。

2.3.4数据私密性完整性

可借助基于开放性较好的SSL或SSH等安全技术，对云数据传输进行加密，采用HASH-1对数据进行校验，如安全级别要求更高，可采用数字证书签名对数据进行完整性校验。在实际云计算生产环境中部署要特别注意两点，一是如果用户数比较多或业务流量大，SSL性能应通过硬件加速来提升，二是CA中心自身信息安全要特别注意，建议CA采用物理隔离的方式，通过RA来和吊销证书。

2.3.5业务连续性保障

对于生产业务，云计算环境需要确保其业务连续性，业务连续性主要包括系统高可用性、灾备和相关的业务切换管理体系。需要对涉及到所有环节，包括虚拟化的主机、存储和网络等各种资源和业务操作系统、中间件、数据库、业务应用做完整的评估分析，制定有针对性的业务连续性计划，实现系统无单一故障点，同时需要制定出当严重故障发生时业务切换计划，并采取定期演练验证和改进措施，云计算环境中业务的业务连续性架构如图5所示。

2.4云计算环境对异构客户端的支持

广西日报由于新闻传媒业务的特殊性，必定有较多的移动用户和各种异构终端需要随时随地访问各种前端业务应用，云计算的特色优势之一就是能够完美地支持不同类型的用户和各种异构终端，包括传统桌面PC、笔记本电脑，也包括各种操作系统的智能移动终端。当然，完美支持iPad、iPhone等时尚数码终端也必不可少的。通过私有云的桌面虚拟化技术将前端界面展示和后端数据I/O的职能分别剥离，让统一的界面扩展到几乎所有类型的终端，显著的降低了应用开发和部署的投入，规范了标准的用户界面，简化了终端管理，对于二期扩展到混合业务云提供也了坚实的支持支撑。如图6所示。

3云计算实施后的效益评估

第一，利用云计算虚拟化技术，充分整合前台和后台计算、处理、存储资源，极大地提升了硬件资源的利用率，降低了硬件采购成本、管理维护成本和使用成本，进而显著降低了总拥有成本（TCO）。

第二，通过集成统一门户和统一身份认证系统，从根本上改观了云计算存在的安全性的隐患，确保不同安全级别的业务应用能够在安全的区域内稳定可靠运行，结合数据保护和业务连续性保障，形成了云计算环境下信息安全体系，为业务提供了坚定稳固的信息安全保障。

第三，统一了用户界面，支持各种异构客户端访问，改善了用户体验，提升了用户满意度；通过先进云计算的技术创新为广西日报业务转型提供有力地支撑，为广西日报树立了本地区乃至国内的行业领先形象打下了良好的基础。

参考文献

[1]周洪波.云计算：技术、应用、标准和商业模式[M].北京:电子工业出版社，2011.

[2]宋迪.“传媒云”的畅想[J].中国传媒科技，2011(2).

[3]本刊编辑部.漫步云端——共话云计算在传媒领域的应用与建设[J].中国传媒科技，2011(2).

[4]云安全联盟.云计算关键领域安全指南V2.1.[DB/OL].cloudsecurityalliance.org/.2009.