云計(jì)算及其安全技術(shù)

云計(jì)算及其安全技術(shù)

東北大學(xué)信息安全研究所

徐劍

xuj@1云計(jì)算體系結(jié)構(gòu)云計(jì)算面臨的安全挑戰(zhàn)云計(jì)算的特征與優(yōu)勢(shì)云計(jì)算的相關(guān)概念云安全及其關(guān)鍵技術(shù)提綱云計(jì)算相關(guān)概念3計(jì)算機(jī)的發(fā)展簡(jiǎn)史4什么是云？=Computingandsoftwareresourcesthataredeliveredondemand,asservice.(2013,January)AWalkintheClouds.CloudComputing,CDW-GReferenceGuide.,3-5.5內(nèi)存和外存CPU通過相關(guān)軟件進(jìn)行數(shù)據(jù)、文件管理單機(jī)時(shí)代回顧—計(jì)算機(jī)存儲(chǔ)StandardComputerTowerorCentralProcessingUnit(CPU)InsidetheComputer6數(shù)據(jù)內(nèi)容必須存儲(chǔ)在計(jì)算機(jī)上使用這些數(shù)據(jù)必須訪問計(jì)算機(jī)無法從其他設(shè)備或計(jì)算機(jī)上直接訪問另一臺(tái)計(jì)算機(jī)上的內(nèi)容單機(jī)時(shí)代回顧—內(nèi)部存儲(chǔ)7單機(jī)時(shí)代回顧—外部存儲(chǔ)ExternalHardDriveCD/DVDThumbDriveSDCardMicroSDCard數(shù)據(jù)內(nèi)容的自由移動(dòng)可以將數(shù)據(jù)存儲(chǔ)設(shè)備應(yīng)用到任何計(jì)算機(jī)上數(shù)據(jù)內(nèi)容的開放8購買軟件（程序）安裝和設(shè)置軟件每一臺(tái)計(jì)算機(jī)都安裝和存儲(chǔ)相關(guān)的軟件單機(jī)時(shí)代回顧-計(jì)算機(jī)程序9多個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)（工作站）連接起來作為整體來存儲(chǔ)數(shù)據(jù)數(shù)據(jù)存儲(chǔ)在網(wǎng)絡(luò)中，而不是本地計(jì)算機(jī)中通過聯(lián)網(wǎng)的計(jì)算機(jī)可以下載存儲(chǔ)在網(wǎng)絡(luò)上數(shù)據(jù)（P2P存儲(chǔ)）網(wǎng)絡(luò)存儲(chǔ)時(shí)代10并行計(jì)算云計(jì)算時(shí)代的到來集群計(jì)算網(wǎng)格計(jì)算云計(jì)算云計(jì)算發(fā)展路線11起源九十年代，Sun即提出“網(wǎng)絡(luò)即計(jì)算機(jī)”，作為云計(jì)算概念的前身提出云計(jì)算概念是由Google提出的，一個(gè)美麗的網(wǎng)絡(luò)應(yīng)用模式名字的含義與來源可能是借用了量子物理中的“電子云”（ElectronicCloud）強(qiáng)調(diào)說明計(jì)算的彌漫性、無所不在的分布性和社會(huì)性特征云計(jì)算的起源12云計(jì)算就在身邊13云計(jì)算概述-14-數(shù)據(jù)在云端：不怕丟失,不必備份,可以任意點(diǎn)的恢復(fù)；軟件在云端：不必下載自動(dòng)升級(jí)；無所不在的計(jì)算：在任何時(shí)間，任意地點(diǎn)，任何設(shè)備登錄后就可以進(jìn)行計(jì)算服務(wù)；無限強(qiáng)大的計(jì)算：具有無限空間的，無限速度。硬件為中心軟件為中心服務(wù)為中心PCC/S云計(jì)算

一個(gè)虛擬化的計(jì)算機(jī)資源池。托管多種不同的工作負(fù)載通過快速提供虛擬機(jī)器或物理機(jī)器，迅速部署和增加工作負(fù)載。

以公開的標(biāo)準(zhǔn)和服務(wù)為基礎(chǔ)，以互聯(lián)網(wǎng)為中心，提供安全、快速、便捷的數(shù)據(jù)存儲(chǔ)和網(wǎng)絡(luò)計(jì)算服務(wù)。

“云—端計(jì)算”即“云”和終端都會(huì)具備很強(qiáng)的計(jì)算能力；所有應(yīng)用程序都在本地終端上使用也不一定合理，因此強(qiáng)調(diào)“云”和終端的均衡將是一種合理的方式；云是“軟件+服務(wù)”的綜合。權(quán)威機(jī)構(gòu)關(guān)于云計(jì)算的定義

一種將規(guī)?？蓜?dòng)態(tài)擴(kuò)展的虛擬化資源通過Internet提供對(duì)外按需使用服務(wù)的計(jì)算模式，用戶無需了解提供這種服務(wù)的底層基礎(chǔ)設(shè)施，也無需去擁有和控制。云計(jì)算的定義（HP）云帶來的革新服務(wù)消費(fèi)者云，是一種高度可擴(kuò)展的計(jì)算方式，通過互聯(lián)網(wǎng)將資源以“按需服務(wù)”的形式提供給用戶，而用戶不需要了解、知曉或者控制支持這些服務(wù)的技術(shù)基礎(chǔ)架構(gòu)。服務(wù)提供者新的商業(yè)模式:開放租賃的軟件平臺(tái)一切都是服務(wù)新的應(yīng)用模式:新的連接方式，更好的信息利用方式新的計(jì)算模式:Internet為中心的計(jì)算海量，并行擴(kuò)展16云計(jì)算定義云計(jì)算（CloudComputing）是網(wǎng)格計(jì)算（GridComputing）、分布式計(jì)算（DistributedComputing）、并行計(jì)算（ParallelComputing）、網(wǎng)絡(luò)存儲(chǔ)（NetworkStorageTechnologies）、虛擬化（Virtualization）、負(fù)載均衡（LoadBalance）等傳統(tǒng)計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)發(fā)展融合的產(chǎn)物。它旨在通過網(wǎng)絡(luò)把多個(gè)成本相對(duì)較低的計(jì)算實(shí)體整合成一個(gè)具有強(qiáng)大計(jì)算能力的系統(tǒng)，并借助SaaS、PaaS、IaaS等商業(yè)模式把這強(qiáng)大的計(jì)算能力分布到終端用戶手中。云計(jì)算的一個(gè)核心理念就是通過不斷提高“云”的處理能力，進(jìn)而減少用戶終端的處理負(fù)擔(dān)，最終使用戶終端簡(jiǎn)化成一個(gè)單純的輸入輸出設(shè)備，并能按需享受“云”的強(qiáng)大計(jì)算處理能力。-17-40多億的移動(dòng)電話一2010年[數(shù)據(jù)來源:Nokia]個(gè)人電腦和筆記本電腦企業(yè)電腦和服務(wù)器PDA云計(jì)算的特征與優(yōu)勢(shì)18超大規(guī)模Google云計(jì)算已經(jīng)擁有100多萬臺(tái)服務(wù)器Amazon、IBM、微軟、Yahoo等的“云”均擁有幾十萬臺(tái)服務(wù)器企業(yè)私有云一般擁有數(shù)百上千臺(tái)服務(wù)器。“云”能賦予用戶前所未有的計(jì)算能力云計(jì)算的特點(diǎn)19虛擬化支持用戶在任意位置、使用各種終端獲取應(yīng)用服務(wù)所請(qǐng)求的資源來自“云”，而不是固定的有形的實(shí)體應(yīng)用在“云”中某處運(yùn)行，但實(shí)際上用戶無需了解、也不用擔(dān)心應(yīng)用運(yùn)行的具體位置。只需要一臺(tái)筆記本或者一個(gè)手機(jī)，就可以通過網(wǎng)絡(luò)服務(wù)來實(shí)現(xiàn)用戶需要的一切，甚至包括超級(jí)計(jì)算這樣的任務(wù)云計(jì)算的特點(diǎn)20高可靠性“云”使用了數(shù)據(jù)多副本容錯(cuò)、計(jì)算節(jié)點(diǎn)同構(gòu)可互換等措施來保障服務(wù)的高可靠性，使用云計(jì)算比使用本地計(jì)算機(jī)可靠通用性云計(jì)算不針對(duì)特定的應(yīng)用，在“云”的支撐下可以構(gòu)造出千變?nèi)f化的應(yīng)用，同一個(gè)“云”可以同時(shí)支撐不同的應(yīng)用運(yùn)行高可擴(kuò)展性“云”的規(guī)?？梢詣?dòng)態(tài)伸縮，滿足應(yīng)用和用戶規(guī)模增長的需要按需服務(wù)“云”是一個(gè)龐大的資源池，你按需購買；云可以像自來水，電，煤氣那樣計(jì)費(fèi)云計(jì)算的特點(diǎn)21優(yōu)化產(chǎn)業(yè)布局

優(yōu)勢(shì)降低運(yùn)營成本

推進(jìn)專業(yè)分工

提升資源利用率減少初期投資產(chǎn)生創(chuàng)新價(jià)值

云計(jì)算的優(yōu)勢(shì)云計(jì)算與傳統(tǒng)計(jì)算（分布式計(jì)算、IBM大機(jī)計(jì)算）的成本分析采用云平臺(tái)技術(shù)的效益：節(jié)省IT成本90%?。≡朴?jì)算的發(fā)展趨勢(shì)市場(chǎng)引入階段技術(shù)發(fā)展、概念推廣階段；云計(jì)算概念不夠明確；用戶對(duì)云計(jì)算認(rèn)知度很低；云計(jì)算的技術(shù)和商務(wù)模式尚不成熟；用戶不知道云計(jì)算到底是什么？能做什么？如何去做？能帶來什么好處？有哪些弊端？成功案例十分匱乏；用戶對(duì)成功案例比較期待；重點(diǎn)廠商各自為政；……成熟階段云計(jì)算廠商競(jìng)爭(zhēng)格局基本形成云計(jì)算廠商解決方案更加成熟SaaS模式的應(yīng)用成為主流……成長階段應(yīng)用案例逐漸豐富；用戶對(duì)云計(jì)算已經(jīng)比較了解和認(rèn)可；云計(jì)算商業(yè)應(yīng)用理念開始形成；越來越多的廠商開始介入；出現(xiàn)大量的功能豐富的應(yīng)用解決方案提供給用戶；用戶會(huì)比較主動(dòng)地考慮云計(jì)算與自身IT應(yīng)用的關(guān)系……2007年-2010年2011年-2015年2015年以后到底什么是云計(jì)算？眾說紛紜！公有云是云，私有云不是云?支持虛擬化叫云，不支持虛擬化不叫云，但是Google不支持虛擬化，而通常都認(rèn)為Google是云1000臺(tái)服務(wù)器是云，999臺(tái)就不是云?現(xiàn)在有個(gè)別高性能計(jì)算中心，什么都沒變，就是名字改成叫云計(jì)算中心判斷云計(jì)算的標(biāo)準(zhǔn)25用戶所需的資源不在客戶端而來自網(wǎng)絡(luò)這是云計(jì)算的根本理念所在，即通過網(wǎng)絡(luò)提供用戶所需的計(jì)算力、存儲(chǔ)空間、軟件功能和信息服務(wù)等服務(wù)能力具有分鐘級(jí)或秒級(jí)的伸縮能力如果資源節(jié)點(diǎn)服務(wù)能力不夠，但是網(wǎng)絡(luò)流量上來，這時(shí)候需要平臺(tái)在一分鐘幾分鐘之內(nèi)，自動(dòng)地動(dòng)態(tài)增加服務(wù)節(jié)點(diǎn)的數(shù)量，從100個(gè)節(jié)點(diǎn)擴(kuò)展到150個(gè)節(jié)點(diǎn)。能夠稱之為云計(jì)算，就需要足夠的資源來應(yīng)對(duì)網(wǎng)絡(luò)的尖峰流量。當(dāng)流量下降時(shí)，服務(wù)節(jié)點(diǎn)的數(shù)量在隨著流量的減少而減少?，F(xiàn)在有的傳統(tǒng)IDC自稱也能提供伸縮能力，但需要多個(gè)小時(shí)之后才能提供給用戶。問題是網(wǎng)絡(luò)流量是不可預(yù)期的，不可能等那么久。

具有較之傳統(tǒng)模式5倍以上的性能價(jià)格比優(yōu)勢(shì)云計(jì)算之所以是一種劃時(shí)代的技術(shù)，就是因?yàn)樗鼘?shù)量龐大的廉價(jià)計(jì)算機(jī)放進(jìn)資源池中，用軟件容錯(cuò)來降低硬件成本，通過將云計(jì)算設(shè)施部署在寒冷和電力資源豐富的地區(qū)來節(jié)省電力成本，通過規(guī)模化的共享使用來提高資源利用率。國外代表性云計(jì)算平臺(tái)提供商達(dá)到了驚人的10-40倍的性能價(jià)格比提升。國內(nèi)由于技術(shù)、規(guī)模和統(tǒng)一電價(jià)等問題，暫時(shí)難以達(dá)到同等的性能價(jià)格比，因此暫時(shí)將這個(gè)指標(biāo)定為5倍。擁有256個(gè)節(jié)點(diǎn)的中國移動(dòng)研究院的云計(jì)算平臺(tái)已經(jīng)達(dá)到了5到7倍的性能價(jià)格比提升，其性能價(jià)格比隨著規(guī)模和利用率的提升還有提升空間。判斷云計(jì)算的標(biāo)準(zhǔn)26判斷例子PC系統(tǒng)iPhone應(yīng)用軟件Web網(wǎng)站上網(wǎng)本廣告聯(lián)盟超級(jí)計(jì)算中心在線Office在線CRMIaaSPaas云安全服務(wù)判斷云計(jì)算的標(biāo)準(zhǔn)27網(wǎng)格計(jì)算與云計(jì)算的比較網(wǎng)格計(jì)算異構(gòu)資源不同機(jī)構(gòu)虛擬組織科學(xué)計(jì)算為主高性能計(jì)算機(jī)緊耦合問題免費(fèi)標(biāo)準(zhǔn)化科學(xué)界云計(jì)算同構(gòu)資源單一機(jī)構(gòu)虛擬機(jī)數(shù)據(jù)處理為主服務(wù)器/PC松耦合問題按量計(jì)費(fèi)尚無標(biāo)準(zhǔn)商業(yè)社會(huì)云計(jì)算體系結(jié)構(gòu)29當(dāng)前IT架構(gòu)30Email零售生產(chǎn)ERPCRM服務(wù)器存儲(chǔ)數(shù)據(jù)庫交易過程互聯(lián)網(wǎng)門戶文件系統(tǒng)底層系統(tǒng)管理./

安全底層系統(tǒng)管理./安全底層系統(tǒng)管理./

安全財(cái)務(wù)云服務(wù)提供面向云服務(wù)消費(fèi)者，提供統(tǒng)一登錄界面和訪問根據(jù)云服務(wù)資源狀況和消費(fèi)者需求，包裝云服務(wù)資源對(duì)云服務(wù)的消費(fèi)設(shè)立服務(wù)等級(jí)，按需計(jì)費(fèi)管理云消費(fèi)者狀態(tài)和請(qǐng)求云服務(wù)管理運(yùn)行維護(hù)云計(jì)算架構(gòu)系統(tǒng)，保障云架構(gòu)的穩(wěn)定和可靠云服務(wù)資源是云計(jì)算架構(gòu)向消費(fèi)者提供服務(wù)的根本根據(jù)平臺(tái)的特征，分為軟件即服務(wù)—SaaS平臺(tái)即服務(wù)—PaaS基礎(chǔ)架構(gòu)即服務(wù)—IaaS云計(jì)算整體架構(gòu)云服務(wù)提供云服務(wù)消費(fèi)者云服務(wù)資源云服務(wù)管理31服務(wù)目錄與服務(wù)門戶云服務(wù)消費(fèi)者接口提供服務(wù)清單、服務(wù)說明等用戶管理對(duì)云服務(wù)消費(fèi)者的權(quán)限管理、帳務(wù)管理、信息管理等4A管理對(duì)云架構(gòu)內(nèi)的訪問、權(quán)限、審計(jì)和XX的安全管理客戶服務(wù)管理云服務(wù)消費(fèi)者的服務(wù)請(qǐng)求、服務(wù)受理、投訴建議等的管理SLA管理云服務(wù)的等級(jí)協(xié)定管理，定義和管理云服務(wù)的響應(yīng)時(shí)間、響應(yīng)級(jí)別等計(jì)費(fèi)管理管理云服務(wù)的費(fèi)率、批價(jià)、計(jì)費(fèi)/收費(fèi)、賬務(wù)、優(yōu)惠等業(yè)務(wù)連續(xù)性保障管理通過建立容災(zāi)備份系統(tǒng)等保障云服務(wù)的持續(xù)運(yùn)行云服務(wù)提供架構(gòu)32云服務(wù)提供4A管理SLA管理用戶管理計(jì)費(fèi)管理業(yè)務(wù)連續(xù)性保障管理客戶服務(wù)管理服務(wù)目錄服務(wù)門戶運(yùn)維管理IT運(yùn)維管理流程基于ITIL的IT服務(wù)管理，保障運(yùn)維工作的規(guī)范化和標(biāo)準(zhǔn)化運(yùn)維自動(dòng)化管理通過自動(dòng)化手段，對(duì)大規(guī)模的云架構(gòu)內(nèi)系統(tǒng)進(jìn)行維護(hù)，提高運(yùn)維管理效率和管理質(zhì)量，提高對(duì)服務(wù)需求的響應(yīng)速度統(tǒng)一監(jiān)控管理對(duì)云架構(gòu)內(nèi)軟硬件及應(yīng)用系統(tǒng)進(jìn)行全方位的監(jiān)控管理安全管理服務(wù)器安全管理服務(wù)器的安全加固防病毒管理等數(shù)據(jù)安全管理數(shù)據(jù)存儲(chǔ)加密數(shù)據(jù)傳輸加密數(shù)據(jù)備份網(wǎng)絡(luò)安全管理防入侵管理安全域管理云服務(wù)管理架構(gòu)33云服務(wù)管理運(yùn)維自動(dòng)化管理網(wǎng)絡(luò)安全管理IT運(yùn)維管理流程服務(wù)器安全管理數(shù)據(jù)安全管理統(tǒng)一監(jiān)控管理運(yùn)維管理安全管理云服務(wù)資源架構(gòu)34云資源環(huán)境(IaaS)：云計(jì)算以服務(wù)的方式提供存儲(chǔ)，網(wǎng)絡(luò)，服務(wù)器等計(jì)算資源基礎(chǔ)設(shè)施資源云平臺(tái)環(huán)境(PaaS)：向下使用云計(jì)算資源，向上對(duì)云服務(wù)的構(gòu)建和部署提供支撐平臺(tái)資源云服務(wù)(SaaS)：被云環(huán)境外部的組織機(jī)構(gòu)使用的，具有特定能力的服務(wù)應(yīng)用資源IaaSPaaSSaaS云服務(wù)資源架構(gòu)（續(xù)）35計(jì)算資源池基礎(chǔ)設(shè)施資源存儲(chǔ)資源池網(wǎng)絡(luò)資源池平臺(tái)資源應(yīng)用資源數(shù)據(jù)庫中間件ERP辦公服務(wù)自動(dòng)化運(yùn)維管理系統(tǒng)監(jiān)控管理商業(yè)智能操作系統(tǒng)資源開發(fā)環(huán)境測(cè)試環(huán)境IaaSPaaSSaaS并行計(jì)算框架物理資源層物理資源實(shí)體的提供層，包括：服務(wù)器資源存儲(chǔ)資源網(wǎng)絡(luò)資源虛擬化平臺(tái)層將物理資源實(shí)體進(jìn)行虛擬化，以實(shí)現(xiàn)對(duì)物理資源的整合、池化和共享資源服務(wù)提供層將虛擬化的物理資源進(jìn)行分割和包裝，形成可對(duì)外提供服務(wù)的虛擬資源根據(jù)服務(wù)對(duì)象需求，靈活、動(dòng)態(tài)調(diào)配虛擬資源IaaS資源架構(gòu)36服務(wù)器物理資源層存儲(chǔ)網(wǎng)絡(luò)虛擬化平臺(tái)層資源服務(wù)提供層虛擬機(jī)VM資源動(dòng)態(tài)分配虛擬服務(wù)器資源池虛擬存儲(chǔ)資源池虛擬網(wǎng)絡(luò)資源池虛擬磁盤虛擬網(wǎng)絡(luò)虛擬機(jī)動(dòng)態(tài)部署根據(jù)資源和虛擬機(jī)負(fù)載情況，靈活、動(dòng)態(tài)的部署虛擬機(jī)實(shí)時(shí)容量規(guī)劃基于資源的實(shí)時(shí)數(shù)據(jù)，進(jìn)行優(yōu)化評(píng)估，實(shí)現(xiàn)資源的智能調(diào)整統(tǒng)一控制統(tǒng)一管理相關(guān)資源IaaS資源架構(gòu)--資源動(dòng)態(tài)分配37資源服務(wù)提供層虛擬機(jī)動(dòng)態(tài)部署資源動(dòng)態(tài)分配實(shí)時(shí)容量規(guī)劃統(tǒng)一控制小型機(jī)服務(wù)器虛擬化硬分區(qū)/物理分區(qū)HPnPar,SunDynamicSystemDomains邏輯分區(qū)/虛擬化分區(qū)HPvpar,SunLDom,IBMLPar操作系統(tǒng)虛擬化HPIVM,KVMPC服務(wù)器虛擬化完全虛擬化技術(shù)半虛擬化技術(shù)硬件輔助虛擬化技術(shù)IntelVT-x,AMD-VIaaS資源架構(gòu)--服務(wù)器虛擬化平臺(tái)38虛擬化平臺(tái)層完全虛擬化半虛擬化硬件輔助虛擬化硬分區(qū)/物理分區(qū)PC服務(wù)器虛擬化小型機(jī)服務(wù)器虛擬化邏輯分區(qū)/虛擬分區(qū)操作系統(tǒng)虛擬化服務(wù)器層面通過部署于主機(jī)上的邏輯卷管理軟件實(shí)現(xiàn)對(duì)多存儲(chǔ)設(shè)備進(jìn)行統(tǒng)一管理和映射存儲(chǔ)設(shè)備層面利用存儲(chǔ)設(shè)備的存儲(chǔ)控制器統(tǒng)一管理多種存儲(chǔ)設(shè)備存儲(chǔ)網(wǎng)絡(luò)層面通過在存儲(chǔ)網(wǎng)絡(luò)中添加相應(yīng)的虛擬化設(shè)備而實(shí)現(xiàn)的對(duì)存儲(chǔ)網(wǎng)絡(luò)中存儲(chǔ)設(shè)備的虛擬化池化軟件層面通過云平臺(tái)管理軟件等池化軟件進(jìn)行集中化管理IaaS資源架構(gòu)--存儲(chǔ)虛擬化平臺(tái)39虛擬化平臺(tái)層服務(wù)器層面存儲(chǔ)設(shè)備層面存儲(chǔ)網(wǎng)絡(luò)層面存儲(chǔ)虛擬化池化軟件浮動(dòng)/動(dòng)態(tài)IP地址通過浮動(dòng)的、動(dòng)態(tài)的IP地址分配，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的動(dòng)態(tài)規(guī)劃IP地址與MAC地址不綁定路由虛擬化單一路由器可以虛擬成多個(gè)路由器，用于管理不同的網(wǎng)絡(luò)區(qū)域虛擬連接虛擬內(nèi)部網(wǎng)絡(luò)VPN/VLAN通過VPN/VLAN技術(shù)對(duì)網(wǎng)絡(luò)連接的概念進(jìn)行了抽象，使用戶訪問限定于特定的區(qū)域內(nèi)

IaaS資源架構(gòu)--網(wǎng)絡(luò)虛擬化平臺(tái)40虛擬化平臺(tái)層浮動(dòng)/動(dòng)態(tài)IP地址路由虛擬化VPN/VLAN網(wǎng)絡(luò)虛擬化虛擬連接虛擬內(nèi)部網(wǎng)絡(luò)PaaS和SaaS平臺(tái)資源數(shù)據(jù)庫中間件操作系統(tǒng)資源開發(fā)環(huán)境并行計(jì)算框架PaaS并行計(jì)算框架如Hadoop：在文本搜索、數(shù)據(jù)挖掘等方面得到廣泛的應(yīng)用數(shù)據(jù)庫中間件開發(fā)測(cè)試環(huán)境操作系統(tǒng)

SaaSERP辦公服務(wù)測(cè)試環(huán)境自動(dòng)化運(yùn)維服務(wù)系統(tǒng)監(jiān)控管理商業(yè)智能

應(yīng)用資源ERP辦公服務(wù)自動(dòng)化運(yùn)維管理系統(tǒng)監(jiān)控管理商業(yè)智能測(cè)試環(huán)境云計(jì)算體系邏輯結(jié)構(gòu)用戶互動(dòng)

界面系統(tǒng)管理資源工具服務(wù)器服務(wù)目錄監(jiān)控和測(cè)定42云計(jì)算體系物理結(jié)構(gòu)43IBMMonitoringv.6DB2資源管理?xiàng)?/p>

ProvisioningManagerv.5.1WebSphereApplicationServer監(jiān)控ProvisioningBaremetal&XenVMLinuxwithXenTivoli監(jiān)控工具虛擬機(jī)虛擬機(jī)虛擬機(jī)虛擬機(jī)數(shù)據(jù)中心–SystemxApache云計(jì)算基礎(chǔ)設(shè)施，可提供托管或現(xiàn)場(chǎng)解決方案。云計(jì)算應(yīng)用的動(dòng)態(tài)IT架構(gòu)-44-協(xié)作消息服務(wù)/資源管理

&安全集成&開發(fā)用戶界面&接口虛擬應(yīng)用虛擬信息虛擬存儲(chǔ)虛擬進(jìn)程底層結(jié)構(gòu)虛擬強(qiáng)化:減少費(fèi)用&提高質(zhì)量虛擬化:簡(jiǎn)單接入,

提高終端用戶管理

&使用最大化自動(dòng)化:提高速度和預(yù)言性

&

減少勞動(dòng)力

云計(jì)算應(yīng)用的動(dòng)態(tài)IT架構(gòu)-45-協(xié)作消息服務(wù)/資源管理&安全集成&開發(fā)虛擬信息虛擬存儲(chǔ)虛擬進(jìn)程底層結(jié)構(gòu)虛擬虛擬應(yīng)用CloudApplications(“Software-as-a-Service”)用戶界面&接口云計(jì)算的動(dòng)態(tài)IT架構(gòu)-46-Integration,Event

&Deployment協(xié)作消息服務(wù)/資源管理

&安全集成&開發(fā)CloudPlatforms(“Platform-as-a-Service”)用戶界面&接口虛擬應(yīng)用虛擬信息底層結(jié)構(gòu)虛擬虛擬存儲(chǔ)虛擬進(jìn)程云計(jì)算的動(dòng)態(tài)IT架構(gòu)協(xié)作/消息服務(wù)/資源管理

&安全用戶界面&接口虛擬應(yīng)用虛擬信息虛擬存儲(chǔ)虛擬進(jìn)程底層結(jié)構(gòu)虛擬集成&開發(fā)CloudCollaboration云計(jì)算的動(dòng)態(tài)IT架構(gòu)-48-協(xié)作/消息服務(wù)/資源管理

&安全集成&開發(fā)用戶界面&接口虛擬應(yīng)用虛擬信息虛擬存儲(chǔ)CloudStorageCloudServers/Processing虛擬進(jìn)程底層結(jié)構(gòu)虛擬云計(jì)算的動(dòng)態(tài)IT架構(gòu)-49-Service/ResourceMgmt&Security服務(wù)/資源管理

&安全協(xié)作/消息用戶界面&接口虛擬應(yīng)用VirtualizedInformatio底層結(jié)構(gòu)虛擬虛擬進(jìn)程虛擬存儲(chǔ)集成&開發(fā)虛擬信息CloudSystemsInfrastructure

Software(“Software-as-a-Service”)Serv云計(jì)算面臨的安全威脅5051云計(jì)算面臨的安全挑戰(zhàn)云計(jì)算特有的數(shù)據(jù)和服務(wù)外包、虛擬化、多租戶和跨域共享等特點(diǎn),帶來了前所未有的安全挑戰(zhàn)。云計(jì)算受到產(chǎn)業(yè)界的極大推崇并推出了一系列基于云計(jì)算平臺(tái)的服務(wù)。但在已經(jīng)實(shí)現(xiàn)的云計(jì)算服務(wù)中，安全問題一直令人擔(dān)憂。安全和隱私問題已經(jīng)成為阻礙云計(jì)算普及和推廣主要因素之一。2011年1月21日，來自研究公司ITGI的消息稱，考慮到自身數(shù)據(jù)的安全性，很多公司正在控制云計(jì)算方面的投資。在參與調(diào)查的21家公司的834名首席執(zhí)行官中，有半數(shù)的官員稱，出于安全方面的考慮，他們正在延緩云的部署，并且有三分之一的用戶正在等待。由于云計(jì)算環(huán)境下的數(shù)據(jù)對(duì)網(wǎng)絡(luò)和服務(wù)器的依賴，隱私問題尤其是服務(wù)器端隱私的問題比網(wǎng)絡(luò)環(huán)境下更加突出。客戶對(duì)云計(jì)算的安全性和隱私保密性存在質(zhì)疑，企業(yè)數(shù)據(jù)無法安全方便的轉(zhuǎn)移到云計(jì)算環(huán)境等一系列問題，導(dǎo)致云計(jì)算的普及難以實(shí)現(xiàn)。云安全事件2009年2月24日&&

,GoogleGmail郵箱爆發(fā)全球性故障

2009年3月17日,微軟云計(jì)算平臺(tái)Azure停止運(yùn)行2010年1月,S宕機(jī)云安全事件2011年3月,谷歌郵箱再次爆發(fā)大規(guī)模的用戶數(shù)據(jù)泄漏事件2011年4月22日，亞馬遜云數(shù)據(jù)中心服務(wù)器大面積宕機(jī)云安全及其關(guān)鍵技術(shù)54云安全與安全云云計(jì)算安全安全云SaaS軟件即服務(wù)PaaS平臺(tái)即服務(wù)IaaS基礎(chǔ)設(shè)施即服務(wù)數(shù)據(jù)安全應(yīng)用安全身份認(rèn)證數(shù)據(jù)與計(jì)算的可用性數(shù)據(jù)安全災(zāi)難恢復(fù)數(shù)據(jù)中心建設(shè)物理安全網(wǎng)絡(luò)安全傳輸安全系統(tǒng)安全云計(jì)算三層架構(gòu)安全問題當(dāng)今重要的云安全問題惡意使用數(shù)據(jù)丟失/數(shù)據(jù)泄漏惡意業(yè)內(nèi)人士賬戶服務(wù)或流量劫持共享技術(shù)潛在風(fēng)險(xiǎn)不安全的API未知風(fēng)險(xiǎn)預(yù)測(cè)123567458云計(jì)算面臨的安全挑戰(zhàn)云計(jì)算的特點(diǎn)安全威脅數(shù)據(jù)和服務(wù)外包（1）隱私泄露（2）代碼被盜多租戶和跨域共享（1）信任關(guān)系的建立、管理和維護(hù)更加困難;（2）服務(wù)授權(quán)和訪問控制變得更加復(fù)雜；（3）反動(dòng)、黃色、釣魚欺詐等不良信息的云緩沖（4）惡意SaaS應(yīng)用虛擬化（1）用戶通過租用大量的虛擬服務(wù)使得協(xié)同攻擊變得更加容易，隱蔽性更強(qiáng)；（2）資源虛擬化支持不同租戶的虛擬資源部署在相同的物理資源上，方便了惡意用戶借助共享資源實(shí)施側(cè)通道攻擊。59云計(jì)算面臨的安全挑戰(zhàn)實(shí)際上，對(duì)于云計(jì)算的安全保護(hù)，通過單一的手段是遠(yuǎn)遠(yuǎn)不夠的，需要有一個(gè)完備的體系，涉及多個(gè)層面，需要從法律、技術(shù)、監(jiān)管三個(gè)層面進(jìn)行。傳統(tǒng)安全技術(shù)，如加密機(jī)制、安全認(rèn)證機(jī)制、訪問控制策略通過集成創(chuàng)新，可以為隱私安全提供一定支撐，但不能完全解決云計(jì)算的隱私安全問題。需要進(jìn)一步研究多層次的隱私安全體系（模型）、全同態(tài)加密算法、動(dòng)態(tài)服務(wù)授權(quán)協(xié)議、虛擬機(jī)隔離與病毒防護(hù)策略等，為云計(jì)算隱私保護(hù)提供全方位的技術(shù)支持。云計(jì)算面臨的安全挑戰(zhàn)由此可見，云計(jì)算環(huán)境的隱私安全、內(nèi)容安全是云計(jì)算研究的關(guān)鍵問題之一，它為個(gè)人和企業(yè)放心地使用云計(jì)算服務(wù)提供了保證，從而可促進(jìn)云計(jì)算持續(xù)、深入的發(fā)展。Trust&Security

云安全服務(wù)體系安全云基礎(chǔ)設(shè)施服務(wù)云安全基礎(chǔ)服務(wù)云安全應(yīng)用服務(wù)

安全云基礎(chǔ)設(shè)施服務(wù)云基礎(chǔ)設(shè)施服務(wù)為上層云應(yīng)用提供安全的數(shù)據(jù)存儲(chǔ)、計(jì)算等IT資源服務(wù),是整個(gè)云計(jì)算體系安全的基石。安全性的2層含義：抵擋來自外部黑客的安全攻擊的能力物理層：廠房安全存儲(chǔ)層:完整性和文件/日志管理、數(shù)據(jù)加密、備份、災(zāi)難恢復(fù)網(wǎng)絡(luò)層:拒絕服務(wù)攻擊、DNS安全、網(wǎng)絡(luò)可達(dá)性、數(shù)據(jù)傳輸機(jī)密性系統(tǒng)層：虛擬機(jī)安全、補(bǔ)丁管理、系統(tǒng)用戶身份管理等數(shù)據(jù)層:數(shù)據(jù)庫安全、數(shù)據(jù)的隱私性與訪問控制、數(shù)據(jù)備份與清潔應(yīng)用層:

考慮程序完整性檢驗(yàn)與漏洞管理等證明自己無法破壞用戶數(shù)據(jù)與應(yīng)用的能力存儲(chǔ)服務(wù)中證明用戶數(shù)據(jù)以密態(tài)形式保存計(jì)算服務(wù)中證明用戶代碼運(yùn)行在受保護(hù)的內(nèi)存中

云安全基礎(chǔ)服務(wù)云安全基礎(chǔ)服務(wù)屬于云基礎(chǔ)軟件服務(wù)層,為各類云應(yīng)用提供共性信息安全服務(wù),是支撐云應(yīng)用滿足用戶安全目標(biāo)的重要手段。云用戶身份管理服務(wù)云訪問控制服務(wù)云審計(jì)服務(wù)云密碼服務(wù)

云安全基礎(chǔ)服務(wù)-云用戶身份管理服務(wù)

身份的創(chuàng)建、注銷以及身份認(rèn)證過程在云環(huán)境下,實(shí)現(xiàn)身份聯(lián)合和單點(diǎn)登錄可以支持云中合作企業(yè)之間更加方便地共享用戶身份信息和認(rèn)證服務(wù),并減少重復(fù)認(rèn)證帶來的運(yùn)行開銷云身份聯(lián)合管理過程應(yīng)在保證用戶數(shù)字身份隱私性的前提下進(jìn)行數(shù)字身份信息可能在多個(gè)組織間共享,其生命周期各個(gè)階段的安全性管理更具有挑戰(zhàn)性,而基于聯(lián)合身份的認(rèn)證過程在云計(jì)算環(huán)境下也具有更高的安全需求

云安全基礎(chǔ)服務(wù)-云訪問控制服務(wù)云訪問控制服務(wù)的實(shí)現(xiàn)依賴于如何妥善地將傳統(tǒng)的訪問控制模型(如基于角色的訪問控制、基于屬性的訪問控制模型以及強(qiáng)制/自主訪問控制模型等)和各種授權(quán)策略語言標(biāo)準(zhǔn)(如XACML,SAML等)擴(kuò)展后移植入云環(huán)境.此外,鑒于云中各企業(yè)組織提供的資源服務(wù)兼容性和可組合性的日益提高,組合授權(quán)問題也是云訪問控制服務(wù)安全框架需要考慮的重要問題;

云安全基礎(chǔ)服務(wù)-云審計(jì)服務(wù)由于用戶缺乏安全管理與舉證能力,要明確安全事故責(zé)任就要求服務(wù)商提供必要的支持.因此,由第三方實(shí)施的審計(jì)就顯得尤為重要.云審計(jì)服務(wù)必須提供滿足審計(jì)事件列表的所有證據(jù)以及證據(jù)的可信度說明.當(dāng)然,若要該證據(jù)不會(huì)披露其他用戶的信息,則需要特殊設(shè)計(jì)的數(shù)據(jù)取證方法.此外,云審計(jì)服務(wù)也是保證云服務(wù)商滿足各種合規(guī)性要求的重要方式;

云安全基礎(chǔ)服務(wù)-云密碼服務(wù)

由于云用戶中普遍存在數(shù)據(jù)加、解密運(yùn)算需求,云密碼服務(wù)的出現(xiàn)也是十分自然的.除最典型的加、解密算法服務(wù)外,密碼運(yùn)算中密鑰管理與分發(fā)、證書管理及分發(fā)等都可以基礎(chǔ)類云安全服務(wù)的形式存在.云密碼服務(wù)不僅為用戶簡(jiǎn)化了密碼模塊的設(shè)計(jì)與實(shí)施,也使得密碼技術(shù)的使用更集中、規(guī)范,也更易于管理

云安全應(yīng)用服務(wù)DDOS攻擊防護(hù)云服務(wù)Botnet檢測(cè)與監(jiān)控云服務(wù)云網(wǎng)頁過濾與殺毒應(yīng)用內(nèi)容安全云服務(wù)安全事件監(jiān)控與預(yù)警云服務(wù)云垃圾郵件過濾及防治

ApplicationandOSAttacks69威脅樣本

(Email,Web,File)多重關(guān)聯(lián)分析云安全服務(wù)技術(shù)架構(gòu)（趨勢(shì)科技實(shí)例）EndpointGatewayOffNetworkNetworkManagementWeb信譽(yù)URLFile信譽(yù)Files郵件信譽(yù)IP安全威脅威脅分析TrendLabs&

MalwareDatabaseVerificationAnalysisCorrelationPackaging數(shù)據(jù)收集客戶合作伙伴TrendLabs研發(fā)中心樣本提交密罐Web挖掘自動(dòng)提交行為分析PartnersISPsRoutersEtc.

ApplicationandOSAttacks70Feb2009AcompromisedwebsiteOneclickinalink.Fakenewsbyemail.TROJ_CHOST.E郵件信譽(yù)評(píng)估中心Web信譽(yù)評(píng)估中心文件信譽(yù)評(píng)估中心云安全中心的運(yùn)作流程（實(shí)例）SecurityCenter云安全

ApplicationandOSAttacks711.用戶收到黑客的垃圾郵件2.點(diǎn)擊鏈接4.發(fā)送信息/下載病毒W(wǎng)ebWebWebWebWeb對(duì)客戶所訪問的網(wǎng)頁進(jìn)行安全評(píng)估–阻止對(duì)高風(fēng)險(xiǎn)網(wǎng)頁的訪問3.下載惡意軟件Web信譽(yù)技術(shù)原理

ApplicationandOSAttacks72OfficeScanMailServer互聯(lián)網(wǎng)防火墻DesktopPCs云安全中心Web信譽(yù)URLWeb信譽(yù)技術(shù)應(yīng)用IWSA1500IWSA2500IWSA3000IWSA6000IWSA10000

ApplicationandOSAttacks73趨勢(shì)科技云安全2.0SmartProtection

Network趨勢(shì)科技云安全2.0SmartProtection

Network威脅威脅數(shù)據(jù)庫威脅分析郵件信譽(yù)技術(shù)Web信譽(yù)技術(shù)文件信譽(yù)技術(shù)云安全文件信譽(yù)技術(shù)

ApplicationandOSAttacks74公司網(wǎng)絡(luò)互聯(lián)網(wǎng)本地掃描服務(wù)器批量更新查詢文件簽名即時(shí)響應(yīng)文件

信譽(yù)在云端進(jìn)行不斷的實(shí)時(shí)更新查詢文件簽名即時(shí)響應(yīng)文件信譽(yù)技術(shù)應(yīng)用---FileScan

ApplicationandOSAttacks75Could-Client

FileReputationFileScan云安全應(yīng)用文件信譽(yù)數(shù)據(jù)庫QuertResultsClient移動(dòng)用戶客戶端移動(dòng)用戶實(shí)時(shí)查詢自動(dòng)更新、實(shí)時(shí)或手動(dòng)更新實(shí)時(shí)查詢“LocalCloud”

惡意程序特征LocalCloudScanServer客戶本地只需要更小的特征庫無需更新與分發(fā)永遠(yuǎn)是最新的和最全面的防護(hù)客戶價(jià)值

ApplicationandOSAttacks76內(nèi)存使用

(MB)傳統(tǒng)防病毒技術(shù)云安全客戶端架構(gòu)帶寬消耗(kb/天)

傳統(tǒng)防病毒技術(shù)云安全客戶端架構(gòu)降低帶寬消耗較低的內(nèi)存使用文件信譽(yù)技術(shù)的優(yōu)勢(shì)

ApplicationandOSAttacks77公司網(wǎng)絡(luò)互聯(lián)網(wǎng)本地掃描服務(wù)器

查詢文件簽名即時(shí)響應(yīng)文件

信譽(yù)在云端進(jìn)行不斷的實(shí)時(shí)更新查詢文件簽名即時(shí)響應(yīng)文件信譽(yù)技術(shù)的優(yōu)勢(shì)零時(shí)間的防護(hù)部署

ApplicationandOSAttacks78IMSAInternetEnd-userEnd-userSpammerMailServer郵件信譽(yù)技術(shù)的應(yīng)用DNSQueryMailAbusePreventionSystemRBL+

Updatedperinvestigation250millionentriesRBL,OPS,RSS,DULAndDynamicReputationReputationDNSServerSPAMisrejectedResponsewithRatingRemainingemailsarescannedwithTMASE優(yōu)勢(shì)：在垃圾郵件達(dá)到網(wǎng)關(guān)前隔離節(jié)省網(wǎng)絡(luò)資源

云計(jì)算安全關(guān)鍵技術(shù)（理論研究）

可信訪問控制密文檢索與處理數(shù)據(jù)存在與可使用性證明數(shù)據(jù)隱私保護(hù)虛擬安全技術(shù)云資源訪問控制可信云計(jì)算

云計(jì)算安全關(guān)鍵技術(shù)-可信訪問控制由于無法信賴服務(wù)商忠實(shí)實(shí)施用戶定義的訪問控制策略,所以在云計(jì)算模式下,研究者關(guān)心的是如何通過非傳統(tǒng)訪問控制類手段實(shí)施數(shù)據(jù)對(duì)象的訪問控制.其中得到關(guān)注最多的是基于密碼學(xué)方法實(shí)現(xiàn)訪問控制,包括:基于層次密鑰生成與分配策略實(shí)施訪問控制的方法利用基于屬性的加密算法(如密鑰規(guī)則的基于屬性加密方案(KP-ABE)或密文規(guī)則的基于屬性加密方案(CP-ABE)基于代理重加密的方法在用戶密鑰或密文中嵌入訪問控制樹的方法

云計(jì)算安全關(guān)鍵技術(shù)-密文檢索與處理數(shù)據(jù)變成密文時(shí)喪失了許多其他特性,導(dǎo)致大多數(shù)數(shù)據(jù)分析方法失密文檢索有兩種典型的方法:基于安全索引的方法:通過為密文關(guān)鍵詞建立安全索引,檢索索引查詢關(guān)鍵詞是否存在;基于密文掃描的方法:對(duì)密文中每個(gè)單詞進(jìn)行比對(duì),確認(rèn)關(guān)鍵詞是否存在,以及統(tǒng)計(jì)其出現(xiàn)的次數(shù).由于某些場(chǎng)景(如發(fā)送加密郵件)需要支持非屬主用戶的檢索,Boneh等人提出支持其他用戶公開檢索的方案密文處理研究主要集中在秘密同態(tài)加密算法設(shè)計(jì)上.早在20世紀(jì)80年代,就有人提出多種加法同態(tài)或乘法同態(tài)算法.但是由于被證明安全性存在缺陷,后續(xù)工作基本處于停頓狀態(tài).而近期,IBM研究員Gentry利用“理想格(ideallattice)”的數(shù)學(xué)對(duì)象構(gòu)造隱私同態(tài)(privacyhomomorphism)算法,或稱全同態(tài)加密,使人們可以充分地操作加密狀態(tài)的數(shù)據(jù),在理論上取得了一定突破,使相關(guān)研究重新得到研究者的關(guān)注,但目前與實(shí)用化仍有很長的距離。

云計(jì)算安全關(guān)鍵技術(shù)-數(shù)據(jù)存在與可使用性證明由于大規(guī)模數(shù)據(jù)所導(dǎo)致的巨大通信代價(jià),用戶不可能將數(shù)據(jù)下載后再驗(yàn)證其正確性.因此,云用戶需在取回很少數(shù)據(jù)的情況下,通過某種知識(shí)證明協(xié)議或概率分析手段,以高置信概率判斷遠(yuǎn)端數(shù)據(jù)是否完整.典型的工作包括:面向用戶單獨(dú)驗(yàn)證的數(shù)據(jù)可檢索性證明(POR)方法公開可驗(yàn)證的數(shù)據(jù)持有證明(PDP)方法.NEC實(shí)驗(yàn)室提出的PDI(provabledataintegrity)方法改進(jìn)并提高了POR方法的處理速度以及驗(yàn)證對(duì)象規(guī)模,且能夠支持公開驗(yàn)證.Yun等人提出的基于新的樹形結(jié)構(gòu)MACTree的方案;Schwarz等人提出的基于代數(shù)簽名的方法Wang等人提出的基于BLS同態(tài)簽名和RS糾錯(cuò)碼的方法等.

云計(jì)算安全關(guān)鍵技術(shù)-數(shù)據(jù)隱私保護(hù)云中數(shù)據(jù)隱私保護(hù)涉及數(shù)據(jù)生命