【kingsql分享】雲平臺安全的研究

宣告：本文為筆者研究資訊保安領域中雲安全之後總結，轉載請註明出處

1雲端計算定義

雲端計算是一種能夠支援按需分配的共享計算資源池的模型，且共享池中的資源能夠動態的實現快速供給和回收。

雲有五個基本特徵，包括按需自助服務、普適網路連線、資源池、快速伸縮能力、可被測量的服務。

雲有三個服務模型，包括軟體即服務（SaaS）、平臺即服務（PaaS）、基礎設施即服務（IaaS）。

美國國家標準和技術局規定了四個雲部署模型，包括私有云、社群雲、公共雲、混合雲。這些內容將在雲第二章中詳細介紹。

 
2.雲端計算的特點

按需自助服務：這個特點使得使用者可以不和雲服務提供商聯絡就能根據需要使用雲資源。透過按需自助服務，使用者可以按需規劃計算和儲存資源，從而使得使用者和雲服務提供商的效率都得到提高，且節約了成本。
普適網路連線：要想讓使用者能夠連線到雲端，必須具有高速網路支援，很多組織使用三層網路架構將各種使用者終端連線到雲端。三層架構由接入層交換機、匯聚層交換機、核心層交換機與路由器構成。

 

資源池：雲平臺的資源與位置無關，使用者往往無法瞭解自身資源的具體位置，但是卻可以在一個抽象的層面指定位置。

快速伸縮能力：為了滿足雲的按需自助服務，雲具有對分配的資源進行快速增加或縮減的能力。

可被測量的服務：透過對利用在某種抽象層次上適用於服務型別的計量能力，雲可以實現資源使用的自動控制和最佳化。

3.雲技術造成的影響

從架構來看，雲受到過去幾十年內一些架構發展的影響，例如高效能運算、公用計算與企業網格計算、自治計算、服務整合、水平擴充套件、Web服務、高擴充套件性架構等。

從技術來看，雲也受到了一些影響，雲端計算依賴於對網路隨時隨地的連線，雲端計算的服務提供商組織利用過剩的伺服器和儲存、資料庫資源透過雲端計算服務來獲取利益，伺服器的虛擬化技術對雲端計算來說具有至關重要的作用。

從運維角度，對於雲平臺的部署、管理、維護和選擇等方面具有重要的影響。例如透過虛擬化來整合，節約成本的外包等。

4.雲的資訊保安

雲軟體必須展現出以下3個屬性才能被認為是安全的。
可靠性：雲軟體能夠按預期執行，在各種情況下都能夠正常執行，包括受到攻擊或在惡意主機上執行時。
可信性：軟體中沒有或只包含最小數量的、可能會破壞軟體可靠性的漏洞和弱點。它必須能夠抵禦惡意邏輯。

可生存性：軟體能夠抵禦或容忍攻擊，並且具有儘可能降低傷害和快速恢復的能力。

5.雲安全服務

影響雲安全的其他因素包括認證、授權、審計和可追溯性。

認證是指對使用者身份的證據進行驗證和達成一致的過程。它建立使用者的身份，並確保使用者就是他們宣告的實體。

授權是指為使用者或進行授予許可權，使其能夠訪問計算機資源和資訊資產。一旦使用者的身份和認證完成，授權級別決定著使用者所具有的系統許可權。

審計是為了維持執行保證，根據資訊系統架構和部署情況，可採用系統審計和系統監控。

可追溯性是指在雲端計算系統中能夠辨別出某個實體的動作和行為，並且能夠識別出該實體的身份。

6.雲安全設計原則

如果有足夠的時間和資源，駭客總是可以找到一些方法攻擊計算機系統，所以，安全的目標是擁有一個對日常應用足夠安全的系統，但一個絕對安全的系統將會表現出較差的效能特徵，所以需要折衷考慮。

雲安全的設計應該遵循以下原則。

最小許可權：該原則是指應該為個人或賬戶賦予其能夠完成一個任務所需的最小許可權。

許可權分離：該原則是要求某個特定的敏感活動的完成或對敏感物件的訪問有賴於滿足多個條件。

深度防禦：該原則是指採用多層安全防護提供雲平臺安全。

故障保護：如果雲平臺發生了故障，那麼應該讓它在故障時處於系統安全狀態，且保證資料不會遭到破壞。

機制的經濟性：該原則促進防護機制的設計與實現是簡單、易於理解的，這也就不存在意料外的訪問路徑，或者能夠很容易地找到並消除這些路徑。

完全仲裁：在完全仲裁的情況下，雲平臺中主體對客體的每一個訪問請求都必須經過一個正當有效的授權過程。

開放設計：採取安全設計完全開放給社群進行監視和評估的方法已經被證明非常有效。

最小公共機制：此原則是指應該儘可能少地採用公共防禦機制為大多數使用者服務，因為共享的訪問路徑可能成為非授權資訊交換的源頭。

心理可接受性：此原則是指使用者必須能夠在無需解析複雜指令的情況下，瞭解和使用使用者介面。

最弱連結：找出安全鏈和防禦層中最弱的機制，並對其進行改進，使得雲平臺風險能夠降低到一個可接受的程度，也是非常重要的。

利用現有元件：仔細檢查現有安全機制的狀態和設定，確保它們都在最優設計點上執行，這能夠極大程度地改善一個資訊系統的安全狀態。

7.雲端計算交付模型

在雲端計算的分類機制方面，大家普遍認可的是SPI模型，它標誌雲所提供的三類主要服務，即軟體即服務、平臺即服務、寄出設定即服務。

軟體即服務（SaaS）解決方案是透過Web交付應用軟體。一個完整的SaaS服務應該講一個功能齊全的應用套件作為服務按需提供出來，在雲上作為一個應用程式例項執行，為多個組織使用者和個人使用者提供服務。

平臺即服務（PaaS）與SaaS類似，但是服務的是整個應用環境，而不僅僅是一個應用程式，PaaS提供了一個可以透過Web瀏覽器訪問的、雲中的虛擬開發平臺。利用PaaS理念，軟體開發者無需在自己的電腦上安裝軟體構建工具就可以建立Web應用，並且可以輕鬆地將他們的應用釋出或部署到雲中。

基礎設施即服務（IaaS）是最能夠清晰展示出傳統IT基礎設施與基於雲的基礎設施服務之間區別的雲模型。IaaS表示將計算基礎設施作為服務交付。

8.雲端計算部署模型

以NIST為基準，其定義了4個雲部署模型。

私有云單獨為某個組織建立雲基礎設施，它可以由組織自己管理，也可以由某個第三方管理，既可以部署在組織內部，也可以部署在組織外部。

社群雲是由幾個組織共享的雲基礎設施，用於支援具有共同關注點的特定社群。它可以由組織自己管理，也可以由某個第三方管理，既可以部署在組織內部，也可以部署在組織外部。
公共雲是面向大眾貨大型工業組織的雲基礎設施，雲基礎設施歸提供雲服務的組織所有。
混合雲是兩種或兩種以上雲的結合，每個雲都作為一個單獨實體存在，但又透過可以提供資料和應用移植性的標準或專有技術繫結在一起。