1 引言
从2006年云计算概念的提出发展至今，云计算经历了定义逐渐清晰、应用逐渐增多、产业逐渐形成的各个阶段。云计算提供了开放的标准、可伸缩的系统和面向服务架构，使组织能够以灵活且经济实惠的方式提供可靠的、随需应变的服务。目前多国政府都大力推广云计算，比如美国、英国、欧盟、日本等先后出台了相关政策鼓励采用云计算。国内外企业已推出多个云计算产品，我国也纷纷建立了云计算中心、云计算基地，搭建了政务云、城市云、商务云等云计算平台。
云计算在提供方便易用与低成本特性的同时也带来了新的挑战，安全问题首当其冲，它成为了制约云计算发展的关键因素之一，能否确保云计算平台的机密性、完整性、可用性，将很大程度影响用户是否愿意将其数据和应用向云计算平台进行迁移。
2 云计算安全问题分析和云安全体系架构
在不同云服务模型中，提供商和用户的安全职责有很大的不同:IaaS提供商负责解决物理安全、环境安全和虚拟化安全这些安全控制，而用户则负责与IT系统(事件)相关的安全控制，包括操作系统、应用和数据;PaaS提供商负责解决物理安全、环境安全、虚拟化安全和操作系统等安全，而用户则负责应用和数据的安全;SaaS提供商不仅负责物理和环境安全，还必须解决基础设施、应用和数据相关的安全控制。
不同的云服务模式(IaaS,PaaS，SaaS)的安全关注侧重点不同，IaaS关注基础设施和虚拟化安全;PaaS关注平台运行安全;SaaS关注应用安全等。同时三种云服务模式也有共有的安全问题，如:数据安全、加密和密钥管理、身份识别和访问管理、安全事件管理、业务连续性等。
(1) IaaS层安全
IaaS涵盖了从机房设备到其中的硬件平台等所有的基础设施资源层面。IaaS提供商提供一组API,允许用户管理基础设施资源以及进行其他形式的交互。IaaS层的安全主要包括物理与环境安全、主机安全、网络安全、虚拟化安全、接口安全以及共有安全问题等。
物理与环境安全主要包括两个方面:一是指保护云计算平台免遭地震、水灾、火灾等事故以及人为行为导致的破坏;二是为云服务供应商的数据中心设施的安全设计和运维进行管理，建立严格的管理规程。
云计算平台的主机包括服务器、终端/工作站以及安全设备/系统在内的所有计算机设备，主要指它们在操作系统和数据库系统层面的安全。主机安全问题主要包括操作系统本身的缺陷带来的不安全因素(包括身份认证、访问控制、系统漏洞等)、操作系统的安全配置问题、病毒对操作系统的威胁等。
在网络安全方面，主要应该做到以下几方面的安全防护:网络结构安全、网络访问控制、网络安全审计、边界完整性检查、网络入侵防范、恶意代码防范、网络设备防护，可以采取的主要安全措施和技术包括:在网络的边际提供防火墙、防毒墙、入侵检测与防护系统、负载均衡器等安全措施。此处，应特别注意拒绝服务攻击。
虚拟化技术本身引入了hypervisor和其他管理模块这些新的攻击层面，但更重要的是虚拟机之间的通信流量对标准的网络控制来说是不可见的，无法对它们进行监测和控制，类似这些安全控制功能在虚拟化环境中都需要采用新的形式。还有一个问题是不同敏感度和安全要求的VM如何共存。
接口安全需要采取相应的措施，来确保接口的强用户认证、加密和访问控制的有效性，避免利用接口对内和对外的攻击，避免利用接口进行云服务的滥用等。
(2) PaaS层安全
PaaS层的安全，主要包括接口安全·运行安全和共有安全。
对于PaaS平台提供的一组API ,需要采取相应的措施，来确保接口的强用户认证、加密和访问控制的有效性，避免利用接口对内和对外的攻击，避免利用接口进行云服务的滥用等。
在PaaS上，需要保障用户的IT系统的安全部署和安全运行，使其不对现有的PaaS平台造成影响和威胁，如不会在云内部发起对内和对外的攻击。运行安全主要包括对用户应用的安全审核、不同应用的监控、不同用户系统的隔离、安全审计等。
(3) SaaS层安全
SaaS层的安全，主要包括应用安全和共有安全。与传统的操作系统、数据库、ClS系统的安全漏洞相比，多客户、虚拟化、动态、业务逻辑服务复杂、用户参与等这些We62.0和云服务的特点对网络安全意味着巨大的挑战，因此在云计算中对于应用安全，尤其需要注意的是web应用的安全。要保证SaaS的应用安全，就要在应用的设计开发之初充分考虑到安全性，应该制定并遵循适合SaaS模式的SDL(安全开发生命周期)规范和流程，从整个生命周期来考虑应用安全。
(4)共有安全
a.数据安全
云服务具有没有位置特异性的特点，这有利于云服务的广泛可用性。然而无论用户或云供应商或者两者都不可能直接确认在特定云中计算资源的详细位置。这就产生了不安全的数据复用问题、数据跨境流动的隐患、用户数据安全和隐私保护等问题，这就对数据存放位置、数据删除或持久性、数据备份与恢复和不同客户数据的混合等方面提出了新的安全要求。
b.加密和密钥管理
加密的机密性和完整性，包括加密网络传输中的数据、加密静止数据、加密备份介质中的数据。云计算中传输加密主要难点在于跨云的数据如何进行传输保护;加密静土数据主要是指加密磁盘上的数据或数据库中的数据，可以防止恶意的云服务提供商、恶意的邻居“租户，及某些类型应用的滥用。对云计算的特殊性而言，应该要求进一步分析加密动态数据的方式，‘包括内存中的数据。密钥管理包括密钥存储的保护、密钥存储的访问控制、密钥的备份和恢复等。
c.身份识别和访间管理
身份识别和访问管理是保证云计算正确运行的关键所在。传统的身份识别和访间管理的范畴，例如自动化管理用户账号、用户自助式服务、认证、访问控制、单点登录、职权分离、数据保护、特权用户管理、数据防丢失保护措施与合规报告等，都与云计算息息相关。
在云计算中实施成功有效的身份管理应至少包括:云服务提供商安全和及时地管理创建和更新账户以及删除用户账户;实现跨云的身份认证和管理;身份提供商(IdP)与服务提供商((SP)以安全的方式交换身份属性，实现对身份生命周期的安全管理;建立可信任用户配置文件和规则信息，不但用它来控制在云端服务的访问，而且运行方式符合审计的要求。
d.安全事件管理
对安全事件进行集中管理，实现数据采集、关联分析、事件优先重要性分析、安全事件处理等，从而可以更好地监测发现、评估安全事件，及时有效的对安全事件作出响应，启动适当的措施来预防和降低事件的影响，并从事件中恢复正常的云服务。
e.业务连续性
服务供应商应保证数据中心的运行连续性，保障服务连续性，尤其是在出现一些严重问题时，如火灾、长时间停电以及网络故障等。对于云计算服务提供商而言，就是要进行业务连续性管理，制定相应的业务连续性规划，并且能够得以落实和实施，使得当出现灾难时，可以快速的恢复业务，继续为用户提供服务。
通过对目前IaaS、PaaS、SaaS三种云计算服务模式中的安全问题的分析，研究提出了云计算平台的安全体系结构如图1所示。
图1 云计算平台的安全体系架构
3 云计算安全标准化现状
3.1国际和国外标准化组织
(1) ISO/IEGJTCIlSC27
ISO/IEC JTCI/SC27(信息安全分技术委员会)于2010年10月启动了研究项目《云计算安全和隐私》，由WG1/WG4/WGS联合开展。目前，SC27已基本确定了云计算安全和隐私的概念体系架构，包括八方面内容:a.概念、定义;b.安全管理要求;c.安全管理控制措瓶 d.安全技术;e身份管理和隐私技术;￡审计;S治理;h参考文件。基于该架构，明确了SC27关于云计算安全和隐私标准研制的三个领域:
·ISOlIEC 270XX(信息安全管理):由WG1负责研制。标准项目主要涉及要求、控制措施、审计和治理。项目编号目前确定为:ISO/IEC 270170其中的第2部分(即ISOlIEC 27017-2)是目前SC27唯一一个云计算安全标准项目《基于ISOIIEC 27002的云计算服务使用的信息安全管理指南》(标准类型属技术规范)。该项目是基于日本提案而产生的，目前已形成工作草案文本。按照工作进度，将于2013年底正式发布。
·ISO/IEC 270yy(安全技术):由WG4负责研制。主要基于现有的信息安全服务和控制方面的标准成果，以及必要时专门制定相关云计算安全服务和控制标准。
·ISO/IEC 270zz(身份管理和隐私技术):由WG5负责研制。主要基于现有的身份管理和隐私方面的标准成果，以及必要时专门制定相关云计算隐私标准。
(2) ITU-T
国际电信联盟通信局于2010年6月成立了ITU-T云计算焦点组，主要致力于电信方面的研究，如电信方面的安全和管理，目前在安全方面的输出物为《云安全》;焦点组的运行时间是截至2011年12月，后续的工作已经分散到别的SG(研究组)。近日，在SG 13(下一代网络)成立了云计算工作组，工作组将负责输出ITU-T推荐的关于云服务互操作性、云数据可移植性的多项标准。安全方面主要由SG17(安全)承担，工作范围集中在框架和需求等方面。
(3) CSA
云安全联盟(CSA)是在2009年的RSA大会上宣布成立的，目的是为了在云计算环境下提供最佳的安全方案。目前的成果有:《云计算关键领域安全指南》、《云计算的主要风险》、《云安全联盟的云控制矩阵》、《身份管理和访问控制指南》。CSA已经与ITU-T, ISO等建立起定期的技术交流机制，相互通报并吸收各自在云安全方面的成果和进展。CSA目前所进行的工作主要是研究，所有的成果以研究报告的形式发布，井没有制定标准。
(4) ENISA
欧洲网络与信息安全局(ENISA)目前发布了三本白皮书《云计算中信息安全的优势、风险和建议》、《政府云的安全和弹性》、《云计算信息保证框架》。在《政府云的安全和弹性》中，对于政府部门提出了四点建议:a.分步分阶段进行，因为云计算环境比较复杂，可能会带来一些没有预料到的问题;b.制定云计算策略，包括安全和弹性方面。该策略应该能够指导l0年内的工作;。.应该研究在保护国家关键基础设施方面，云能够发挥的作用，扮演的角色;d.建议在法律法规、安全策略方面做进一步的研究和调查。
(5) NIST
2010年11月，美国国家标准技术研究院(NIST)云计算计划正式启动，该计划旨在支持联邦政府采用云计算来替代或加强传统信息系统和应用模式。由美国联邦政府支持，NIST进行了大量的标准化工作，它提出的云计算定义被许多人当成云计算的标准定义。NiST专注于为美国联邦政府提供云架构以及相关的安全和部署策略，包括制定云标准、云接口、云集成和云应用开发接口等。目前已经发布了多份出版物，如下:
SP 800-144《公共云中的安全和隐私指南》、SP800-146《云计算梗概和建议》、SP 500-291《云计算标准路线图》、SPSDO-145《云计算定义》、SP 500-292《云计算参考体系架构》、SP 500-293《美国政府云计算技术路线图》。此外，NIST还发布了其他输出物:《云计算安全障碍和缓解措施列表》、《美国联邦政府使用云计算的安全需求》、《联邦政府云指南》、《美国政府云计算安全评估与授权的建议》等。
(6)其他
分布式管理任务组(DMTF)已经发布了OVF(开放虚拟化格式)1.0，目前正在制定OVF2.0,以解决虚拟云计算环境中出现的管理和互操作性问题;结构化信息标准促进组织(OASIS)发布了《云计算使用案例中的身份管理》，制定了加密客户端和密钥管理服务器之间的通信协议的KMIP，并得到了IEEE SISWG和CSA的认可;全球网络存储工业协会(SNIA)制定了一套云存储系统管理接口《云数据管理接口规范CDMI 1.0;，已经通过了NISTSAJACC使用案例的初次测试。
3.2国内标准化组织
目前全国信息安全标准化委员会(TC260 )在开展云计算安全方面的研究，承担了多项云计算安全相关的项目，在信安标委内部立了专门对云计算及安全进行研究的课题，并于2011年9月完成《云计算安全及标准研究报告V1.0》。目前正在研究的标准项目为《政府部门云计算安全》和《基于云计算的因特网数据中心安全指南》等。
云安全联盟(CSA)成立了中国区分会，分会继承CSA的宗旨和目标，致力于提升中国地区(含港澳台)的云安全实践、为世界范围内以汉语为主要沟通语言的专家和专业人士进行社区分享、协作和共同开发、增进与国际同行的交流等做出贡献。2009年12月17日，云安全联盟发布了新版的《云安全指南》，另外开展的云安全威胁、云安全控制矩阵、云安全度量等研究项目在业界得到积极的参与和支持。2011年，CSA推出了若干个重要项目，包括云安全指南新版本3.0、云安全事件响应C1oudSIRT,CSA知识认证CCSK, CSA Governance Stack. CSASTAR计划等。
此外，中国电子学会云计算专家委员会等也在开展云计算方面的研究。
4 结语
2011年以来，云计算作为下一代计算模式全面进入实践应用阶段。标准和互操作问题成为云计算发展的瓶颈，众多标准组织都把云的互操作、业务迁移和安全列为云计算三个最重要的标准化方向。云安全被认为是决定云计算能否生存下去的关键问题，开展云计算安全标准的研究，制定云安全相关标准，已成为亚需解决的问题。目前大多数国家都是以政府为主导在逐步推动云计算，比如美国发布的云优先战略、英国的政府云、日本的霞关计划等。美国尤其指定了NIST为云计算研究和制定相关标准。我国政府也先后出台了多项政策推动云计算，因此，云计算安全标准应首先对云计算安全问题进行深入分析，尤其是数据保护方面，抓紧对数据隔离与管理、身份管理等关键技术的研究，梳理和比对已有安全标准，逐步制定云计算安全技术保障标准和关键技术标准。
同时，从政府部门云计算安全监管的角度进行研究，规范政府部门云计算应用的安全管理及技术要求，以保证政务云的安全稳定运行。建立对云服务提供商的安全测评指标体系，对云安全服务提供商的资质、安全服务能力和服务质量以及如何如何对云安全服务进行检测进行规范。
此外，标准是引导和规范云计算产业健康持续发展的因素之一，而国家相关法律法规的制定，如数据保护法、个人信息保护等则是相关标准实施的基础，本文也呼吁国家尽快制定相关法律法规，切实保护公民个人利益，并推动云计算等新技术新应用的发展和繁荣。
核心关注：拓步ERP系统平台是覆盖了众多的业务领域、行业应用，蕴涵了丰富的ERP管理思想，集成了ERP软件业务管理理念，功能涉及供应链、成本、制造、CRM、HR等众多业务领域的管理，全面涵盖了企业关注ERP管理系统的核心领域，是众多中小企业信息化建设首选的ERP管理软件信赖品牌。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：云计算安全和标准研究
本文网址：http://www.toberp.com/html/consultation/1083976363.html
相关文章
