淺談企業私有云安全

鄧烜

摘要：隨著云計算、大數據等新一代信息技術的成熟，企業建設私有云成為信息化建設的一個趨勢，，傳統的信息安全防護方式和防護理念已不能適應云環境下靈活多變的安全防護需求。本文主要針對私有云所面臨的安全挑戰進行分析，并對企業的云安全防護從網絡、主機、數據、安全審計等層面提出了安全防護的建議。

關鍵詞：云計算;虛擬化;云安全;安全防護

1.緒論

近年來，云計算在各個領域都由了大規模的應用，技術逐漸發展應用成熟，其能夠對企業中現有的IT資源進行量化的管理與整合，具有良好的資源彈性和敏捷性，相較于傳統的IT資源的應用部署方式，優勢明顯?！吧显啤俺闪似髽I一個熱門的話題，企業紛紛啟動私有云平臺的建設來替換企業現有的信息化基礎設施。

在談及云架構建設時，企業往往把關注的重點放在云架構的性能，業務交付的靈捷性與高可用上，其實，在云架構中，安全性問題更是需要企業去考慮的重要環節，但在實際的建設過程中，卻往往被忽視。

2.面臨風險與挑戰

2.1管理復雜度提高

虛擬化讓資源邊界變得模糊，動態擴展了計算、存儲、網絡資源，打破了傳統的物理隔離，使得原有的管理環境復雜起來。無論是基礎設施還是系統架構，都有可能隨著業務需求的變化而加大不確定性，給運維管理提出了新的挑戰。

2.2傳統的企業安全防護模式面臨挑戰

在云環境下，網絡數據流在虛擬機之間傳輸，企業用戶對敏感信息和高級惡意軟件的監視和控制能力會被削弱，傳統的基于網絡邊界和物理設備的防護模式大打折扣;同時端口流量對數據中心的網絡性能和可靠性提出了更高的要求，在流量承載和業務匹配也變得更為靈活和高時效性，這就導致原有的安全策略不再適用于新的環境，需要動態的匹配機制。

2.3數據安全問題不然忽視

企業私有云的數據存儲方式雖不像公有云那么多變，在云環境下，存儲資源也進行了虛擬化，數據的存儲位置是隨機分配的，不同保密層級的資源會放在同一個存儲介質內，存在調用資源時安全級別低的負載可以“跨級”訪問到高敏感度的信息的問題，同樣需要考慮資源隔離、加密保護、入侵檢測、數據銷毀等問題。

3.私有云平臺建設安全防護建議

3.1網絡安全

應至少將云網絡劃分為運維管理區和云服務器區等網絡區域;

應保證關鍵網絡設備及虛擬化網絡設備的業務處理能力具備冗余空間，滿足業務高峰期需要;

應保證核心網絡的帶寬滿足業務高峰期需要;

應在不同網絡區域之間設置訪問控制策略;

應只允許被授權的服務和協議傳輸，未經授權的數據包將被自動丟棄;

應控制網絡流量和邊界，使用訪問控制列表技術對網絡進行隔離;

應對網絡設備運行狀況、網絡流量等進行審計;

應通過自定義的前端服務器或設備定向所有外部流量的路由，可幫助檢測和禁止惡意的請求;

應具備抵御分布式拒絕服務攻擊和應用攻擊的防御能力，防御架構應具備高彈性、可擴展能力，保證云計算平臺防御能力不隨用戶增加而降低性能;

應具備異常流量檢測、流量調度、流量清洗能力，為云服務和用戶提供實時惡意流量清洗，清洗范圍包括網絡層、傳輸層、應用層的拒絕服務攻擊、垃圾郵件等;

應嚴格限制由內部發起的對外連接，對內部采取必要的安全措施，進行內部行為監控。

完整的網絡環境下應包含防火墻、路由器、交換機、主機等，在云平臺環境下，可利用其自身虛擬化的特點，采用靈活的配置策略的虛擬子網內可根據管理的顆粒度針對主機設置不同的虛擬防護墻，虛擬交換機等。

3.2云主機安全

云主機安全管理的基本原則是實現同一物理機上不同云主機之間的資源隔離，避免云主機之間的數據竊取或惡意攻擊，保證云主機的資源使用不受周邊云主機的影響。終端用戶使用云主機時，僅能訪問屬于自己的云主機的資源（如硬件、軟件和數據），不能訪問其他云主機的資源，保證云主機隔離安全。云主機安全主要包括主機安全和操作系統安全兩個部分。

3.2.1主機安全

應在虛擬化實例的鏡像生產環節通過加入協議級、服務級、必要的補丁升級及防入侵安全客戶端等措施實現安全加固;

應保證虛擬化實例的鏡像和快照文件的完整性，防止被惡意篡改，鏡像和快照文件應具備容災措施;

應在虛擬機實例上安裝主機入侵防御系統或模塊，可提供帳號暴力破解攻擊防護、webshell查殺等功能。

3.2.2分布式操作系統安全

應確保分布式操作系統的安全，包括虛擬化實例對計算存儲設備的訪問控制，虛擬化實例之間的安全隔離，虛擬化實例的可靠性，確保虛擬化實例釋放時其數據完全被清除。

應限制虛擬化實例對計算存儲設備的直接訪問，保證其對計算存儲設備的調度和管理均在資源抽象與控制層內完成;

應實現不同虛擬化實例對同一物理主機CPU和內存的計算資源相互隔離和質量控制，確保同一物理主機上的不同虛擬化實例不會出現計算資源爭搶;

應保證虛擬化實例的可用性，確保部分數據損壞不會影響其它實例，損壞的數據應自動修復;

應采用數據鏈路層、網絡層訪問控制技術實現對不同虛擬化實例的隔離;

應對ARP攻擊實施隔離;

應對資源抽象與控制層的運維操作實時監控和審計;

對于多租戶模式，在統一物理計算、內存和存儲資源被回收后，應支持按策略徹底釋放和完全清除虛擬化實例數據。

3.3數據安全

數據安全應同時考慮實時副本與備份兩種方式，實時副本主要用于災難恢復，保證硬件設備出現問題時數據不丟失;而備份則是用于保存業務數據的里程碑狀態，以便在從業務到硬件的任何一個層面出問題時恢復數據。

3.3.1多重實時副本

云平臺應使用多重副本來保障數據安全，副本必須做到實時副本，而且可以做到至少包含一份異地副本，這樣即使源數據所在的主機出現問題，通過異地副本也能快速恢復?？刹捎梅植际綁K存儲技術或寫時拷貝技術實現多重副本。

分布式塊存儲技術：將數據的多份拷貝分布存儲在不同的物理服務器上提供數據的可靠性，這樣的技術帶來的是讀寫I/O性能顯著提升，可以滿足并發用戶激增時對讀寫I/O性能的嚴格要求，并大大地節省了客戶投資。

寫時拷貝技術：寫時拷貝是一種可以推遲甚至免除拷貝數據的技術，只有在需要寫入的時候，數據才會被復制，從而使各個進程擁有各自的拷貝。也就是說，資源的復制只有在需要寫入的時候才進行，在此之前，只是以只讀方式共享。該技術大幅提升創建、改變和銷毀資源的速度。

3.3.2備份與災難恢復

備份是用于捕捉硬盤在某一個時刻的狀態，未來可以隨時恢復到這個狀態。在某些時候，例如誤操作或者應用邏輯的BUG，可能會導致業務數據的丟失，這種情況下實時副本無法恢復數據，因為硬件設備并沒有問題。這時候，就需要通過備份，從歷史備份點恢復數據。

除了被動副本之外，應該同時對數據備份功能以避免誤操作等類似問題帶來的數據丟失。備份（Snapshot）用于在塊設備級別（blockdevicelevel）上進行硬盤備份與恢復，可以同時對多張硬盤做備份（包括系統盤和數據盤），也可以對正在運行的主機做在線備份。

3.4安全審計

建設私有云平臺后，企業的數據資產均集中與云上，更加需要對云平臺的運營情況進行監控和審計。在云平臺的基礎上應配置安全審計的功能或獨立的產品，能夠提供全方位的日志安全審計功能，采集和分析云計算和大數據各種系統日志，隨時掌握何人、何時、通過何種方式，對云平臺和大數據平臺做過何種操作，實現安全事件報警和風險預測，為管理員提供客觀、完整、準確的安全審計視角。

在安全審計方面，應具備日志數據采集、用戶日志審計、統計報表等功能，能夠對云平臺的賬戶行為、事件處置、變更記錄進行審計。

3.4.1賬戶行為

包含云平臺主賬號、子賬號的所有活動記錄，賬號的權限，賬號活動與其所有權限是否一直，權限是否在有效期內等。

3.4.2事件處置

云平臺每天觸發的安全事件都對安全事件的處置過程和處置結果進行，同時應能定期提供審計報表，以督促安全團隊開展安全工作。

3.4.3變更記錄

所有對云上資源進行操作的行為，包括：云主機開通和釋放，安全區創建、配置和刪除，SLB應用配置和節點摘除，高防IP服務配置、WAF參數調整、OSS資源配置、財務信息變更等，做好變更審計能有效協助故障響應和操作審計。

4.結語

在企業私有云環境下，各種的虛擬資源、數據都存儲在數據中心，企業用戶需要通過各種途徑進行訪問和獲取，既要保證客戶訪問和獲取數據的便捷性，又要防范潛在的安全風險，這是云服務所要達到的目標。

總的而言，如果要做好云安全防護的工作，不僅要求云產品本身具備靈活強大的安全防護功能，同時能夠因地制宜與傳統的安全防護手段相結合，建立用戶終端-網絡-數據中心全面的防護體系。面對越來越龐大的資源池和主機規模，私有云環境的安全性要做到管理的平臺化和自動化。