|
引用本文 田春平，張晉源，武靖瑩.云計算網(wǎng)絡信息安全防護思路探究[J].通信技術，2019, 52 (04)：939-945.
關鍵詞：云計算；網(wǎng)絡安全；信息安全；互聯(lián)網(wǎng) 內容目錄： 0 引言 1 云計算網(wǎng)絡與信息安全概述 2 云計算面臨的信息安全問題 2.1 傳統(tǒng)安全威脅 2.2 云計算特有風險 3 云計算網(wǎng)絡信息安全防護思路 3.1 建立完整的信息安全保障體系 3.2 建立完整的防火墻防護體系和DDOS攻擊防 護體系 3.2.1 建立完整的防火墻防護體系 3.2.2 建立完整的DDoS防護體系 3.3 利用漏洞掃描主動防御 3.4 利用多重身份認證技術 3.5 建立完整入侵檢測體系 3.6 建立防病毒防護體系 4 結 語  隨著云計算時代的發(fā)展，云應用會滲透到我們 生活的方方面面，我們在盡情享受云計算帶來的便 利同時，也面臨著網(wǎng)絡與信息安全的威脅。而且情 況變得越來越嚴重，人們應該對這一問題得到認識 并懂得相關的知識以提高防范意識，本文就現(xiàn)在云 計算網(wǎng)絡環(huán)境下做相關的信息安全及網(wǎng)絡防護問題 的研究與探討。 1 云計算網(wǎng)絡與信息安全概述 云計算是一種基于互聯(lián)網(wǎng)相關服務按使用量付 費的模式，是一種虛擬化的資源，這種模式提供可用的、便捷的、按需的，高效的網(wǎng)絡訪問，使計算 機各種資源實現(xiàn)共享(其中資源包括有數(shù)據(jù)網(wǎng)絡， 服務器，信息存儲，應用軟件，服務，維護等等)， 這些資源按需快速定制，時間快、成本低。雖然云 計算有以上諸多優(yōu)點，但是由于云計算的開放及共 享虛擬特性，存貯其上的信息必然面臨信息安全三 個基本屬性中的保密性挑戰(zhàn)。 信息安全簡而言之就是信息的在使用中的安 全程度，主要由 CIA (Confidentiality、Integrity、 Availability )衡量，即：保密性、完整性、可用性。網(wǎng)絡與信息安全治理包含的范圍有網(wǎng)絡安全、運營 安全、訪問控制、軟件開發(fā)安全等。 網(wǎng)絡環(huán)境是保 障信息安全的前提，只有擁有一個可靠網(wǎng)絡環(huán)境下 的信息安全保障體系，才是保證信息系統(tǒng)穩(wěn)定運行 的關鍵所在?？梢詫⒕W(wǎng)絡信息安全看成是多個安全 單元的集合，其中每個單元都是一個整體，包含了 多個特性，_般從安全特性、安全層次和系統(tǒng)單元 去理解網(wǎng)絡信息安全。 云計算的誕生標志了網(wǎng)絡計算架構的進一步 發(fā)展，在注重信息安全的同時，還需考慮如何構建 一個穩(wěn)固安全的云計算網(wǎng)絡體系。云計算網(wǎng)絡結構 與普通網(wǎng)絡結構差異性在于云應用更加集中化，云 計算網(wǎng)絡資源更加具有彈性，即用即取，避免了很 多不必要的資源浪費。所以，針對云計算的網(wǎng)絡安 全架構需要更加完整，并隨時利用網(wǎng)絡流量分析 (Network Traffic Analyzer, NTA )、端點檢測和響 應(Endpoint Detection Response, EDR )等新發(fā)展 的技術進行防護。 2 云計算面臨的信息安全問題 2.1 傳統(tǒng)安全威脅 分布式拒絕服務(Distributed Denial of Service, DDoS)攻擊依然是云平臺面臨的主要威脅之一，尤 其是針對云平臺業(yè)務系統(tǒng)的攻擊行為以及由云平臺 內部外發(fā)的攻擊行為，對整個云平臺大網(wǎng)均存在安 全隱患； 包括僵尸、木馬、病毒、蠕蟲等傳統(tǒng)安全威脅 仍然是云平臺面臨的重要風險之一，在云平臺內， 如租戶隔離、區(qū)域隔離措施不當，這類威脅將會更 快、更迅速的在云平臺內部進行傳播，給云平臺帶 來極大安全隱患； 云承載著各類業(yè)務系統(tǒng)，尤其是Web業(yè)務系 統(tǒng)，仍然面臨著包括SQL注入、XSS、命令注入、 跨站請求偽造、非法上傳下載、Web服務器/插件 漏洞攻擊、爬蟲攻擊、Webshell、暴力破解等傳統(tǒng) 的Web應用攻擊威脅； 云內IT主機非常多，包括Windows系統(tǒng)、 Linux系統(tǒng)、UNIX系統(tǒng)、網(wǎng)絡交換設備、數(shù)據(jù)庫及 中間件等都面臨著各類安全漏洞風險，傳統(tǒng)的漏洞 利用方式攻擊手段依然有效。 2.2 云計算特有風險 數(shù)據(jù)泄露風險：云計算內存儲著大量的用戶數(shù) 據(jù)，數(shù)據(jù)量越大、價值越高安全威脅也就越高。因 此云平臺內面臨著數(shù)據(jù)泄露、篡改等安全隱患。 隔離失效風險：在云計算環(huán)境中，計算能力、 存儲與網(wǎng)絡在多個用戶之間共享。如果不能對不同 用戶的存儲、內存、虛擬機、路由等進行有效隔離, 惡意用戶就可能訪問其他用戶的數(shù)據(jù)并進行修改、 刪除等操作。 虛機逃逸：虛擬機逃逸是指利用虛擬機軟件或 者虛擬機中運行的軟件的漏洞進行攻擊，以達到攻 擊或控制虛擬機宿主操作系統(tǒng)的目的。主要利用虛 機本身或Hypervisor層的安全漏洞造成在Hypervisor 層執(zhí)行任意代碼，進而實現(xiàn)虛機逃逸； 虛機內存泄露：當虛擬機共享或者重新分配硬 件資源時會造成很多的安全風險。信息可能會在 虛擬機之間被泄露。例如，如果虛擬機占用了額 外的內存，然而在釋放的時候沒有重置這些區(qū)域， 分配在這塊內存上的新的虛擬機就可以讀取到敏感 信息； 虛機動態(tài)遷移：利用虛擬化技術能快速實現(xiàn) VM的動態(tài)遷移，同時帶來新的安全風險包括安全 策略不能實時協(xié)同調整、數(shù)據(jù)明文傳輸被監(jiān)聽、 內存信息泄露、地址解析協(xié)議(Address Resolution Protocol, ARP)攻擊等； 虛擬化通信：虛機通信模式基本在大二層網(wǎng)絡 環(huán)境中，傳統(tǒng)的網(wǎng)絡邊界檢測及防護手段在應對東 西向流量通信時無法提供有效檢測及處置。 運營模式風險：云計算帶來新的運營模式的改 變，各類業(yè)務資源需要按需彈性擴展提供，在使用 的過程中可能存在云計算資源能力的濫用造成資源 的浪費；用戶側失去對資源的直接控制，云計算的 地域特性及租戶的流動性為云服務提供商合規(guī)性要 求、安全監(jiān)管以及隱私保護提出了更高的要求。 惡意租戶風險：在云環(huán)境下，授權用戶可享 受云計算服務。惡意用戶利用云計算服務的安全 漏洞，上傳惡意攻擊代碼，非法獲取或破壞其他用 戶的數(shù)據(jù)和應用。此外，內部工作人員(例如云服 務商系統(tǒng)管理員與審計員)的失誤或惡意攻擊更加 難于防范。 3 云計算網(wǎng)絡信息安全防護思路 不同于普通網(wǎng)絡架構，云計算網(wǎng)絡架構更龐大, 存儲容量更多，用戶數(shù)量也就越多，所以面臨的安 全防護問題也就越廣。云計算環(huán)境下加密方式沒有 變化,但是網(wǎng)絡安全邊界類以及系統(tǒng)安全類有著很 大不同，云服務提供商不能有效像傳統(tǒng)一樣進行系 統(tǒng)軟件的掌握，這就造成了虛擬系統(tǒng)運行存在漏洞， 可能對網(wǎng)絡環(huán)境造成很大的安全威脅田。因此，一 個健全有效的云計算網(wǎng)絡安全防護體系的建立就顯 得很有必要。 3.1 建立完整的信息安全保障體系 建立重要信息備份審計機制。重要信息保護包 括重要信息備份、重要系統(tǒng)備份、網(wǎng)絡接口設置主 備等，并且需要瞄賬號審計工作，對修改、查看、 刪除重要信息的操作日志進行記錄。由于云計算網(wǎng) 絡的特殊性，大量的數(shù)據(jù)集群在云端，做備份和審 計工作會增加系統(tǒng)資源消耗和財產資源消耗，但是 如果云網(wǎng)絡癱瘓且沒有良好的備份，那么將會造成 不可彌補的巨大損失。 建立信息安全保護體系。信息安全保護工作有 定期進行漏洞掃描工作，及時對有問題的設備打補 T；與公網(wǎng)接口地址處謹慎開放端口，若是必要端 口需要進行相關安全策略的防護；做好網(wǎng)絡設備安 全加固工作，設置防火墻策略、設置訪問控制列表 (Access Control List, ACL)策略等；系統(tǒng)數(shù)據(jù)包 中傳輸?shù)臄?shù)據(jù)使用密文加密后傳輸；數(shù)據(jù)庫重要數(shù) 據(jù)或個人隱私數(shù)據(jù)進行加密存儲。 3.2 建立完整的防火墻防護體系和DDOS攻擊防 護體系 3.2.1 建立完整的防火墻防護體系 在云平臺邊界部署網(wǎng)絡隔離設備，將云計算數(shù) 據(jù)中心與不信任域進行有效地隔離與訪問控制。從 網(wǎng)絡防火墻技術應用方面，主要是內外網(wǎng)設置防火 墻，能檢測進入信息協(xié)議以及端口和目的地址等， 過濾到不符規(guī)定的外來信息図。訪問控制系統(tǒng)主要 指的就是防火墻，根據(jù)防火墻上的策略檢查經過的 流量，保證只有合法流量才能訪問云計算網(wǎng)絡。防 火墻部署在出口路由器和核心交換機之間，用于隔 離云計算網(wǎng)絡和外部網(wǎng)絡環(huán)境。整個防火墻的策略 應該遵循最小化原則，才能切實發(fā)揮防火墻的隔離 作用。針對云計算網(wǎng)絡環(huán)境中的虛擬化環(huán)境進行防 護，可以采用虛擬防火墻來實現(xiàn)，虛擬防火墻分為 分布式防火墻和集中式防火墻。 集中式防火墻將虛擬防火墻集中在云安全資 源池中，旁掛在云計算環(huán)境之外，此方式要想防護 到目的流量，需要將云計算網(wǎng)絡中的流量牽引到云 安全資源池，流量經過虛擬防火墻后再注回原云 計算網(wǎng)絡中。其中軟件定義網(wǎng)絡(Software Defined Network, SDN )技術能夠方便的實現(xiàn)將被防護流量 注回云安全資源池中，所以一般有SDN技術的云 數(shù)據(jù)中心，通常采用此種方式。 分布式部署方式將虛擬防火墻部署在每個租 戶虛擬私有網(wǎng)絡(Virtual Private Cloud, VPC )邊 界。不同的VPC用虛擬局域網(wǎng)(Virtual Local Area Network, VLAN)隔離的情況下，可以把虛擬主機 和虛擬化防火墻的業(yè)務網(wǎng)口加入同一個VLAN,或 者用安全組隔離的情況下，可以把虛擬主機和虛擬 防火墻的業(yè)務網(wǎng)口加入同一端口組列表。該VPC內 的虛擬主機在訪問其它區(qū)域的虛擬主機的時候，流 量就必須經過虛擬化防火墻，需要虛擬化防火墻作 為網(wǎng)關來做訪問控制。如圖1所示為云計算網(wǎng)絡中 的防火墻部署拓撲。  圖1 云計算網(wǎng)絡防火墻部署圖（分布式、集中式） 在云計算網(wǎng)絡環(huán)境中，不僅僅是網(wǎng)絡資源需 要防火墻的防護，云平臺的虛擬機中承載著大量的 Web應用服務，所以還需部署網(wǎng)站應用級入侵防御 系統(tǒng)(Web Application Firewall, WAF )來應對各種 通過Web應用傳入的威脅。通過嚴格的訪問控制, 防止Web應用被入侵，以保護整個系統(tǒng)的可用性。對于部署方式，由于出入口的流量較大，所以常采 用旁路的方式旁掛在出口路由器上，將特定網(wǎng)絡地 址(Internet Protocol Address, IP )的 http/https 流量 引導到WAF上，WAF對流量進行過濾轉發(fā)，最終 實現(xiàn)Web應用安全防護。 3.2.2 建立完整的DDoS防護體系 云平臺上分布著大量虛擬服務器，攻擊者針對 云計算架構的DoS攻擊在流量上提高了攻擊當量來 達到攻擊效果叫 所以建立一個完整的DDoS防護 體系是一個巨大的挑戰(zhàn)。 在云計算網(wǎng)絡架構的網(wǎng)絡出口處建立黑洞路由 進行防護，這是對抗DDoS攻擊比較好的方法。當 DOS攻擊進行時，在攻擊路徑上設置路由黑洞，能 夠使得攻擊數(shù)據(jù)包在此丟棄而不送往受害機器，避 免了受害機器因不斷接收巨量數(shù)據(jù)包導致掛死。 使用DDoS防火墻和異常流量檢測與清洗設備 對抗攻擊。當應對小流量的DDoS攻擊時，設置簡 單的防火墻策略和DDoS應用軟件就能夠進行防護。但是當應對大流量大規(guī)模的攻擊事件時，需要將流 量引入DDoS清洗設備并檢查分組限流的部署情況。在云計算網(wǎng)絡入口出口處設置DDoS防火墻和流量 清洗設備，能夠最大限度防止DDoS攻擊對云計算 網(wǎng)絡的影響。 異常流量檢測與清洗一般采用旁路部署的模 式，旁掛在核心交換機上，通過OSPF/BGP/IS-IS 路由協(xié)議廣播路由的方式，實現(xiàn)對異常流量的自動 化牽引。對于清洗后的回注流量，一般采用策略路 由的方式來控制流量上行或下行。如圖2為異常流 量監(jiān)測與清洗設備部署方案。 3.3 利用漏洞掃描主動防御 在云計算網(wǎng)絡安全防護過程中，定期進行云端 設備及系統(tǒng)的漏洞掃描能起到良好的防御效果。漏 洞掃描根據(jù)目的地址及端口信息，利用已知漏洞信 息進行掃描，主動探測系統(tǒng)或主機是否存在可被利 用的漏洞。在云計算網(wǎng)絡中，面向的是巨量的網(wǎng)絡 數(shù)據(jù)，云計算按需自服務，彈性可擴展，資源池化, 廣泛網(wǎng)絡接入，多租戶等特性造就了云計算網(wǎng)絡在 安全防護中的特殊性。這一特殊性在主動漏洞掃描 中體現(xiàn)在于使用單機資源的漏洞掃描技術會浪費大 量的系統(tǒng)資源和人力資源，所以需要的是利用網(wǎng)絡 協(xié)議建立掃描系統(tǒng)，少量地耗費網(wǎng)絡資源去做掃描 的工作。  圖2 異常流量監(jiān)測與清洗系統(tǒng)部署方案 由于安全漏洞主要出現(xiàn)在云主機應用程序中，所 以安全漏洞掃描器主要針對的是云主機層面的漏洞掃 描，且分為兩種部署方式：分布式部署和集中式部署。 分布式部署方案中，虛擬化安全漏洞掃描器分 別部署在不同的VLAN中，實現(xiàn)對本VLAN中所 有主機的安全掃描工作。掃描結束后，通過VLAN Security將掃描結果傳給安全管理平臺。在實際的 運用情況中，虛擬化安全漏洞掃描器可以根據(jù)需要 動態(tài)生成及部署，使用完成后進行下線或銷毀。 集中式部署方案中，安全漏洞掃描器會集中部 署在某一個資源池或區(qū)域。其業(yè)務掃描端口可以靜 態(tài)的接入不同的VLAN中（要求不同的VLAN的 IP地址不能重合），或者通過建立多協(xié)議標簽交 換（Multi-Protocol Label Switching, MPLS ）通道的 方式將掃描器的業(yè)務掃描端口與被掃描的VLAN連 通，實現(xiàn)安全掃描。 對于實現(xiàn)了 SDN的云平臺，也可采用動態(tài)端 口接入的方式。即在掃描器啟動時，在SDN控制 器的配合下，將掃描器的業(yè)務掃描端口與被掃描的 VLAN連通。掃描結束后，再由SDN控制斷開連接。這樣就實現(xiàn)了安全掃描器的共享和復用。 如果網(wǎng)絡采用可擴展虛擬局域網(wǎng)（Virtual extensible LAN, vXLan ）的方式，分布式部署與上 述方案相似，只需將虛擬機實例生成在租戶vXLan 網(wǎng)絡內部并打通業(yè)務口和虛擬機工作口的網(wǎng)絡連接 即可。對于集中式的部署方案，需要將租戶內部需 要掃描的虛擬機，通過浮動IP的方式暴露給掃描器。安全掃描器部署策略如圖3所示。  圖3 安全掃描器部署策略 3.4 利用多重身份認證技術 云計算網(wǎng)絡處于發(fā)展過程中，對于諸多新接入 的設備，默認設置、弱口令等問題也比較普遍，尤 其是與外部網(wǎng)絡的接口處的身份認證就顯得至關重 要，例如系統(tǒng)對外的管理平臺，核心網(wǎng)絡設備等。對于管理平臺，盡量使用強口令（包含英文大小寫、 數(shù)字、符號且不少于8位）且定期（一般為90天） 更換一次，除此之外需要多重身份認證，包含但不 限于手機號碼驗證或指紋識別認證技術。 3.5 建立完整入侵檢測體系 在云計算網(wǎng)絡邊界需部署入侵檢測系統(tǒng)，通過分 析網(wǎng)絡流量，對網(wǎng)絡及系統(tǒng)的運行狀況進行實時的 監(jiān)測，及時發(fā)現(xiàn)正在進行的惡意攻擊并告警。入侵 檢測系統(tǒng)同樣是縱向采用旁路監(jiān)聽的方式部署，橫 向釆用分布式或集中式部署，不影響正常的出入口流 量，網(wǎng)絡流量通過線路分光、隧道引流或者端口鏡像 的方式將流量發(fā)送到入侵檢測系統(tǒng)中進行檢測，對異 常行為流量進行告警。圖4為入侵檢測系統(tǒng)部署策略。   圖4 入侵檢測系統(tǒng)部署策略(橫向及縱向) 縱向防護中，入侵檢測系統(tǒng)(Intrusion Detection Systems, IDS )部署在路由器下級，檢測經過交換 機出口或者經過路由器入口的流量。橫向防護中若 采用分布式入侵檢測，系統(tǒng)是單獨部署在虛擬化的 云環(huán)境中的，通過配置虛擬交換設備將租戶需要 防護的流量通過鏡像引流的方式引流到虛擬網(wǎng)絡 入侵檢測系統(tǒng)(Virtual Network Intrusion Detection System, VNIDS )中進行流量入侵檢測，并通過系 統(tǒng)管理相關安全日志及告警信息。若采用的是集中 式的入侵檢測，VNIDS集中到云安全資源池中，租 戶虛擬機上的橫向流量通過隧道引流的方式進入云 安全資源池，通過云安全資源池的集中式分析進行流量入侵分析檢測。 3.6 建立防病毒防護體系 病毒防護系統(tǒng)主要有兩種部署方式：有客戶端 的網(wǎng)絡病毒防護系統(tǒng)和無客戶端的病毒防護系統(tǒng)。防病毒主要針對到主機中，所以僅對主機層面進行 防護。防護方式可根據(jù)云數(shù)據(jù)中心的防護需求來選 擇部署相應的病毒防護系統(tǒng)。防病毒系統(tǒng)部署策略 如圖5所示。  圖5 防病毒系統(tǒng)部署策略 有客戶端的網(wǎng)絡病毒防護體系，對關鍵虛擬化 服務器進行重點的病毒防護。對需要進行病毒防護 的虛擬主機安裝客戶端，通過部署于運行管理區(qū) 的防病毒服務器統(tǒng)一進行病毒防護策略管理。針 對云數(shù)據(jù)中心防病毒的要求，對基于Windows, Linux, Unix平臺的虛擬化服務器提供全方位的病毒防護能力。 無客戶端的病毒防護系統(tǒng)不需要在被防護的虛擬主機上安裝任何客戶端，只需要在被防護的虛擬主 機所在宿主機上安裝防病毒模塊就可以實現(xiàn)對相應虛 擬主機的防護。通常防病毒模塊也是用虛擬機的方式 安裝在云環(huán)境中，用戶可以配置策略，對已安裝防病 毒模塊的宿主機上的任意虛擬主機進行病毒防護。 對于云計算網(wǎng)絡安全的整個防護架構，只要在 網(wǎng)絡入口處把好關，做到相關防護工作，網(wǎng)絡內部 結構合理，橫向主機之間做好權限管理以及流量管 理，日常維護管理及使用行為做到規(guī)范化就能夠維持云計算網(wǎng)絡的安全穩(wěn)定運行。通過建立以防火墻、毒組成的完整云計算網(wǎng)絡安全防護架構，能夠最大異常流量檢測與清洗、入侵檢測、漏洞掃描、防病程度保障整個云計算環(huán)境的穩(wěn)定運行。 4 結 語 現(xiàn)代計算機技術發(fā)展太快，云計算服務把整個 世界都結合在了一起。也把以前很多不相干的事物 也結合起來了，很好地運用了網(wǎng)絡為我們提供便利， 但在為我們提供各種便利的同時也暴露了很多安全 性問題。信息的共享性無法保證信息的保密程度， 導致很多信息泄漏在網(wǎng)絡上也是常有的事，所以網(wǎng) 絡安全相關技術發(fā)展對當今社會也非常的重要，在 大型企業(yè)或者集團對網(wǎng)絡安全的需求就非常的大， 因為它牽連的利益更大。每個人都應該提升信息安 全意識，建立良好的安全意識從而維護自身利益。 信息的保密性和完整性可以為社會生活帶來高 效的服務，網(wǎng)絡的互通性和自由性可以為社會生活 帶來便捷的服務。但是信息的不可控性和流動性又 給社會生活帶來一定信息安全危害，網(wǎng)絡的開放性 和虛擬性給社會生活帶來了信息泄露的威脅。 所以 說包含萬千信息的網(wǎng)絡是一把雙刃劍，基于云計算 的網(wǎng)絡信息體系更是有利有弊。我們應該合理地利 用信息及網(wǎng)絡為生活提供便利的服務，提高網(wǎng)絡與 信息安全防護技術，提高個人信息安全防范意識， 才能造就一個完整可靠的網(wǎng)絡信息環(huán)境。作者簡介 >>> 田春平( 1982-),男，學士，助理工程師，主要研究方向為網(wǎng)絡與信息安全； 張晉源( 1996-),男，學士，技術員， 主要研究方向為網(wǎng)絡與信息安全； 武靖瑩( 1992-),女，學士，技術員，主要研究方向為網(wǎng)絡與信息安全。 選自《通信技術》2019年第四期 （為便于排版，已省去原文參考文獻） |
|
|
