【云计算科普】云计算系统面临的安全挑战和解决方案

面临挑战

云计算系统的计算资源使用方式和管理方式的变化，带来了新的安全风险和威胁。

对管理员而言主要存在以下风险和威胁：

• 虚拟管理层成为新的高危区域

  云计算系统通过虚拟化技术为大量用户提供计算资源，虚拟管理层成为新增的高危区域。

• 恶意用户难以被追踪和隔离

  资源按需自助分配使得恶意用户更易于在云计算系统中发起恶意攻击，并且难以对恶意用户进行追踪和隔离。

• 云计算的开放性使云计算系统更容易受到外部攻击

  用户通过网络接入云计算系统，开放的接口使得云计算系统更易于受到来自外部网络的攻击。

对最终用户而言主要存在以下风险和威胁：

• 数据存放在云端无法控制的风险

  • 计算资源和数据完全由云计算服务提供商控制和管理，带来的风险包括提供商管理员非法侵入用户系统的风险。

  • 释放计算资源或存储空间后，数据能否完全销毁的风险。

  • 数据处理存在法律、法规遵从风险。

• 资源多租户共享带来的数据泄漏与攻击风险

  • 多租户共享计算资源，带来的风险包括由于隔离措施不当造成的用户数据泄漏风险。

  • 遭受处在相同物理环境下的恶意用户攻击的风险。

• 网络接口开放性的安全风险

  云计算环境下，用户通过网络操作和管理计算资源，鉴于网络接口的开放性，带来的风险也随之升高。

安全架构

根据云计算面临的威胁与挑战，华为提供华为云Stack安全解决方案。华为云Stack的基础设施层是基于FusionSphere云操作系统及其配套的管理系统ManageOne的整体解决方案，FusionSphere把实际的物理资源抽象成虚拟化资源，包括计算虚拟化、存储虚拟化和网络虚拟化，形成一个虚拟化资源池。ManageOne是虚拟化平台的管理系统，可管理异构的不同虚拟化平台，提供数据中心的运营和运维，统一对外呈现资源和管理界面。

• 云基础设施安全，是指云操作系统和Hypervisor安全，包括虚拟资源隔离、数据存储安全、网络传输安全等方面。

  • 数据存储安全

    从隔离用户数据、控制数据访问、保护剩余信息、备份数据等方面保证用户数据的安全和完整性。

  • 虚拟机隔离

    实现同一物理机上不同虚拟机之间的资源隔离，避免虚拟机之间的数据窃取或恶意攻击，保证虚拟机的资源使用不受周边虚拟机的影响。终端用户使用虚拟机时，仅能访问属于自己的虚拟机的资源（如硬件、软件和数据），不能访问其他虚拟机的资源，保证虚拟机隔离安全。

  • 网络传输安全

    通过网络平面隔离、引入防火墙、传输加密等手段，保证业务运行和维护安全。

  • 运维/运营管理安全

    从帐号密码、用户权限、日志、传输安全等方面增强日常运维管理方面的安全措施。

    此外，系统还通过修复Web应用漏洞、对操作系统和数据库进行加固、安装安全补丁和防病毒软件等手段保证各管理类主机的安全。

• 云服务安全和安全即服务

  提供租户执行特定安全任务所需的所有资源、功能和性能，而租户按需对各项租户可控资源进行安全配置、查询和监控。

安全价值

• 统一全面的安全策略

  计算资源集中管理使得边界防护更易于部署。针对计算资源提供全面的安全策略、统一数据管理、安全补丁管理、以及突发事件管理等安全管理措施。对用户而言，意味着能够有专业的安全专家团队对其资源和数据进行安全保护。

• 安全措施低成本

  多个用户共享云计算系统的计算资源，在集中的资源上统一应用安全措施，降低各用户的安全措施的平均成本，即更低的投资会给用户带来同样安全的保护措施。

• 按需提供安全防护

  利用快速、弹性分配资源的优势，安全也作为服务的形式向用户提供，支持用户按需使用；同时使得云计算系统的计算资源的使用效率更高。

• 增强防护能力

  通常在数据中心中，将其网络流量分为两种类型：

  基于固定物理边界的安全防护，只解决了南北向流量的安全防护问题，这种传统的安全解决方案对于东西向流量的安全防护，基本上是无能为力的。而通过SDN或者基于主机侧的安全防护措施可以有效应对东西向流量的安全问题，从而提高整个数据中心的安全防护能力。

  • 一种是数据中心外部用户和内部服务器之间交互的流量，这样的流量称作南北向流量或者纵向流量。

  • 另外一种就是数据中心内部服务器之间交互的流量，也叫东西向流量或者横向流量。东西向流量既包括同一租户、同一子网内虚拟机之间的流量；也包括同一租户，不同子网间的流量；当然还可能是不同租户之间的通信流量。

• 责任共担，各司其职

  基于云数据中心的客户应用，其安全责任由平台侧和租户侧两方共同承担，平台侧确保云服务平台的安全性，客户负责基于云服务构建的应用系统的安全：

  • 云平台负责物理基础设施、云操作系统及云服务产品安全，并为客户提供保护云端应用及数据的技术手段。

    云平台自身的安全保障包含硬件、软件、网络安全，如系统和数据库补丁管理、漏洞修复、网络访问控制、灾备等，也包括配置第三方监管与审计机构对云平台进行合规审计评估。为客户提供技术手段包括认证授权IAM、各项基础服务（内置的安全功能）和安全服务、安全审计手段，也包括通过第三方安全厂商为客户提供行业安全解决方案。

  • 租户的主要责任是在云基础设施与服务之上构建自己的云应用系统，合理运用云服务产品的安全功能、安全服务以及第三方安全产品保护自己的业务系统。例如利用IAM对用户身份的有效管理，利用日志对操作进行审计，利用ECS和VPC对虚拟机进行管理和安全配置，保障运维运营安全；对另外一些应用，例如云数据库（RDS）、大数据服务、微服务，客户不需要关心如何维护实例，也不需要关心操作系统、数据库的补丁升级、配置加固，只需要管理这些服务的帐号及授权，并使用这些服务提供的安全功能。

欢迎回复博文或到混合云社区交流你的见解：https://bbs.huaweicloud.com/forum/forum-1011-1.html