中小企業云安全策略分析

摘 要：由于云計算的虛擬化、無邊界、流動性等特征，使其面臨較多新的安全威脅；同時，云計算使各種資源、數據、應用高度集中，所帶來的安全隱患與風險較傳統網絡應用高出很多。所以，云安全問題是傳統網絡安全問題和云計算帶來的新的安全問題的綜合。文章分析了云安全與傳統網絡安全的區別、云安全現狀、中小企業向云的安全遷移的措施，以及中小企業的IaaS安全策略、PaaS安全策略、SaaS安全策略，并提出中小企業云安全風險與防護建議。

關鍵詞：中小企業；云計算；云安全；策略

中圖分類號：TP39 文獻標識碼：A

Abstract： Due to the characteristics of cloud computing such as virtualization， no boundary， mobility， it faces a lot of new security threats. And cloud computing makes all kinds of resources， data， application of a high degree of concentration， it brings more risks than the applications of traditional network. So， the problem of cloud security is the integration of the traditional network security and the new security problem brought by cloud computing. This article gave analysis of the difference between the cloud security and the traditional network security， cloud security situation， and gave medium-sized and small enterprises the security transfer measures， IaaS security strategy， PaaS security strategy， SaaS security strategy， and put forward the cloud security risks and protection suggestions for medium-sized and small enterprises.

Key words： medium-sized and small enterprises； cloud security； cloud security； strategy

1 云安全與傳統網絡安全的區別

云安全在廣義上包含兩層含義，一是云計算自身應用的安全，二是云計算在網絡安全領域的應用。本文主要針對云計算自身應用的安全展開討論。云計算安全與傳統信息安全并無本質區別，許多安全問題并非云計算特有，不論黑客入侵、惡意代碼攻擊、拒絕服務攻擊、網絡釣魚、敏感信息泄露等都是已經存在的信息安全問題，但由于云計算的虛擬化、無邊界、流動性等特征，使其面臨較多新的安全威脅；同時，云計算使各種資源、數據、應用高度集中，所帶來的安全隱患與風險較傳統網絡應用高出很多。所以，云安全問題是傳統網絡安全問題和云計算帶來的新的安全問題的綜合。

2 云安全現狀分析

安全是用戶權衡是否使用云計算服務的重要指標，是云計算健康發展的基礎。目前，許多云服務提供商提出了相應的安全解決方案，Amazon在保障用戶系統和數據保密性、完整性、可靠性方面做了很多努力，包括認證鑒權、物理安全、備份、EC2安全、S3安全和SimpleDB等；IBM推出虛擬化網絡安全平臺，嵌入云計算基礎構架里，具有入侵監測、網絡應用程序保護、網絡政策執行等安全防護功能，提供身份、訪問、認證、審查等服務；CSA著重總結了云計算的技術架構模型、安全控制模型，圍繞13個關注點，從用戶角度闡述了可能存在的商業隱患、安全威脅，并推介安全措施。總體來說，目前云計算安全的研究主要集中在云計算系統自身的安全性、數據中心安全管理、服務連續性、用戶數據的安全性、保密性等方面。

3 中小企業向云的安全遷移

云計算服務可分為私有云、公共云、混合云。私有云一般在用戶內網，專為某企業提供服務，但需專業的維護隊伍，運行管理成本高。和私有云相比，公共云的規模效應使其成本較低、管理負擔更輕，并且在資源彈性分配方面更具優勢，出于性價比的考慮，中小企業應選擇公共云服務，而公共云在安全方面所面臨的風險要高于私有云，所以，中小企業在向公共云遷移時，應采取以下措施，規避遷移風險：

（1）選擇信譽好、可信度高的云服務提供商，降低云服務提供商可能產生的負面影響。

（2）有選擇性地向云服務遷移，對于企業重要數據或敏感信息，應做好各項測試和驗證，謹慎遷移。

（3）做好業務遷移后的安全管理和監控，一方面應通過技術手段和合規審計驗證云服務提供商的安全措施，另一方面做好自身系統的安全管理和監控，包括關鍵信息的備份等。

（4）詳細了解服務協議、隱私協議，通過協議條款維護自身權益，包括要求云服務提供商及時更新保護系統，以及在協議終止時數據傳回和提供商數據備份的流程監控等。

（5）明確云服務提供商存儲企業數據的地點，盡可能控制數據的存放地，并且要注意避免因不同國家、地區的法律差異而可能引起的法律糾紛。

4 中小企業IaaS安全策略

IaaS可以提供服務器、操作系統、存儲、數據、信息資源。企業應用遷移到云端后，企業的數據被存放在云服務提供商的數據中心內，企業應關心數據中心的安全問題，誰能進入數據中心？進入數據中心的操作能否受到監控？除常規安全設備（如鎖、門禁、攝像頭、讀卡器、報警器）外，中小企業IaaS在信息安全方面還需要考慮以下幾個方面。endprint

4.1 物理環境的安全

（1）訪問人員限制

除數據中心員工或承包商的契約條款外，還應具備有效安全機制，比如通過最小特權策略對訪問進行限制，只有必要的人員才能獲得特權并管理客戶的應用程序和服務。

（2）身份驗證

在標準安全協議中，對于站點項的身份驗證、訪問令牌、日志等內容，應明確列出所需驗證的身份，如果要訪問高敏感度數據，則需多因素身份驗證。

（3）物理資產的訪問管理

物理資產訪問管理提供完整工作流程記錄，包含申請、批準、交付、訪問等活動的可審計的記錄（含文檔材料），并可編入工作流，以便獲得來自多個身份驗證方的審批，該流程遵循訪問最低特權原則。

4.2 網絡與主機安全

在云端，企業的所有數據、應用、請求、回應都通過網絡進行通信，網絡與主機的安全是企業正常運營的關鍵，可以使用防火墻、防毒墻、入侵檢測等防護系統，保障網絡與主機安全。

5 中小企業PaaS安全策略

PaaS提供應用基礎設施，軟件開發者可以在這個基礎設施之上建立新的應用，或擴展已有的應用，它使中小企業從繁雜低效的程序開發環境的搭建、配置、維護工作中解脫出來。中小企業PaaS在信息安全方面需要考慮以下幾個方面。

5.1 身份與訪問管理

（1）身份認證/單點登錄

啟用單點登錄，以簡化應用程序訪問中的用戶（企業）體驗，降低與額外的用戶憑據有關的風險和管理負擔。

（2）身份周期管理

管理企業的交付，以確保企業權限的精確。企業還應考慮采用聯合身份驗證，以增強現有權利在內部系統和云服務之間的便攜性。

5.2 信息保護

在云環境中，數據可能會處于多個范圍或位置中，誰或哪些實體對數據享有“主權”至關重要，目前，云服務正在嘗試允許客戶（企業）指定數據的物理存儲位置。

既然中小企業選擇使用公共云服務，數據就會被存放在公共云中，那么承載數據的基礎設施可能與其他組織共用，這就需要借助有力的數據保護措施進行數據隔離；同時，還要防范來自相同物理硬件上所共享的虛擬機被惡意攻擊的威脅。

另外，還需做好數據備份、加密、驗證，以及和云服務提供商之間有關數據訪問和管理的協議。

5.3 服務連續性

如果企業將關鍵業務遷移到云中，可能會有多個云服務提供商參與各環節的運作，其中包括安全監控、審計、法定責任、事件響應等，這一協作需要照顧各參與方的需求，體現出服務的連續性。若涉及高價值資產服務，則要有更嚴格的需求，如物理安全、額外的日志、更嚴格的管理員背景核查等。

云服務協議也應體現連續性，云服務協議除包含有關性能問題、管理問題的詳細規劃，以及網絡和映像方面的責任，還應包含在服務交付遇到中斷后，負責修復的責任人和流程。

6 中小企業SaaS安全策略

中小企業通過SaaS，可以使用云服務提供商建立在云基礎設施上的應用，用戶（企業）可使用客戶端設備通過瀏覽器進行訪問。中小企業SaaS在信息安全方面需要考慮以下幾個方面。

6.1 工程安全

云計算環境的設計和開發應當遵循一定的流程，以在產品中包含安全和隱私保護功能，并且將安全和隱私保護貫徹到流程的每一個環節中：

（1）需求：這一階段的任務是確定安全目標。

（2）設計：分析潛在攻擊，建立威脅模型。

（3）實施：編寫代碼，并確保代碼中不存在已知的安全漏洞。

（4）確認：確保代碼滿足前階段建立的安全規則和隱私信條，開發團隊還需完成公開發布的隱私評估。

（5）發布：進行最終的安全審查，確保系統滿足所有安全需求，包括額外的，與特定項目有關的安全需求。

（6）響應：成立安全小組，用于響應安全事件，以及對安全漏洞進行查找、監控、修復等，安全小組還需管理整個公司范圍的安全流程，并承擔協調和溝通工作。

6.2 安全設計框架

安全設計框架用以加強SaaS服務的安全性，包括如下幾個方面：

（1）審計和日志：對安全相關事件的記錄、監控、查看。

（2）身份驗證：證明身份的過程，如用戶名和密碼。

（3）授權：應用程序為角色、資源及運作提供訪問控制。

（4）通信：決定數據安全傳輸的方式。

（5）配置管理：從安全的角度考慮，管理應用程序和處理配置的方式。如：應用程序以誰的身份運行？鏈接到哪個數據庫？設置是如何保護的？

（6）算法：用于保證應用程序的機密性和完整性。

（7）例外管理：用于處理應用程序錯誤和例外事件。

（8）敏感數據：用于保護數據在內存、網絡以及存儲過程中的安全。

（9）會話管理：用于保護用戶和應用程序間的操作。

（10）驗證：在開始處理之前，對數據進行驗證、篩選或約束，確保收到的數據可信、安全；驗證還包括對輸出進行整理。

7 中小企業云安全風險與防護

由于中小企業大多處于公共云環境，安全威脅和私有云相比更為直接，情況也更為復雜，針對中小企業的云安全風險，分析以下幾點，并提出防護建議：

7.1 黑客入侵

云數據中心集存大量敏感數據，成為黑客攻擊的目標。應包括針對網絡的防護（防火墻、IPS、DDoS）、針對系統的防護（弱點管理、主機型入侵防護）、針對應用的防護（應用程序滲透測試、WAF），并強調縱深的層層防護，阻擋黑客攻擊。

7.2 惡意員工

為防止云服務提供商內部的惡意員工竊取企業的敏感數據，應強化數據訪問權限控制，并定期對訪問日志進行審計；另外，加密敏感數據，并提供安全的傳送通道。endprint

7.3 共享基礎設施的安全隱患

在公共云中，用戶（企業）無法選擇“鄰居”，在多租戶的環境下，惡意的云用戶，可能利用共享的設備或資源，竊取其他用戶的數據。防護措施是：在各租戶間建立完善的隔離機制，軟硬件資源應有適當的權限劃分；此外，各租戶間建立監控機制，同時定期執行弱點掃描，修補共享資源中的漏洞。

7.4 云計算資源濫用

若有黑客入侵主機，其可能向主機發送垃圾郵件，或散播惡意代碼；黑客有可能租用云計算資源從事非法活動（釣魚網站、木馬、僵尸網絡等）。防護措施是：對租戶進行嚴格身份驗證，若有不良行為，追究法律責任；實施異常流量監控，采取有效措施防止惡意攻擊或垃圾郵件。

7.5 數據中心的安全審計

云用戶（企業）不易對云服務提供商地安全控制措施和訪問記錄進行審計，目前也沒有針對云數據中心的認證標準，但需提醒的是，現有的認證制度可以提升安全程度，但涵蓋面可能不能完全包含云構架下的所有范圍。

7.6 災備管理

應建立健全災備管理機制，以避免數據中心因各種意外造成的如服務中斷、數據遺失等損失。

7.7 云服務提供商服務的連續性

云服務提供商可能因各種原因（政策、經營不善等）停止服務，應提前評估是否有相同服務的提供商可以轉換，或評估替代方案的可行性。

參考文獻：

[1] IBM. IBM Point of View： Security and Cloud Computing[Z]. 2009.

[2] Li Liping. Analysis and Strategy of Customer Relationship Management in E-commerce[C] // 7th International Conference on Management of e-Commerce and e-Government.IEEE， 2013.

[3] 李莉平. 中小企業云計算策略分析[J]. 物流科技，2014（7）：54-57.

[4] 馬飛，等. 云計算安全現狀及我國政策思考[J]. 電信網技術，2015（2）：21-23.

[5] 雷萬云. 后危機時代集團企業信息化建設策略[J]. e制造雜志，2009（12）：32-35.

[6] 雷萬云. 云計算——技術、平臺及應用[M]. 北京：清華大學出版社，2011.

[7] 龐松濤，李清玉. 云計算安全體系探討[C] // 2013電力行業信息化年會論文集，2013.

[8] 王純子，等. 云網絡安全技術研究現狀綜述[J]. 信息安全與技術，2015（8）：12-16.endprint