云计算环境下安全风险分析

DOIT云计算 12年05月04日 00:47 【来稿】作者：H3C 孙松儿责任编辑：王林

导读：在互联网快速发展的今天，网络的安全是不可回避的问题，尤其是各种安全威胁对业务系统的潜在危害逐渐放大的今天，任何IT系统的建设都很难忽视安全问题的存在。

2)用户应用不能安全交付

云计算服务商在运行维护过程中，需要对整个云计算中心的服务器存储网络等资源进行运维管理。在这个过程中，任何运维管理环节的问题，都可能对用户的应用造成损害,如因为配置方面的疏忽，造成用户的虚拟化计算资源不足以正常运行业务系统;因为网络安全的配置错误导致互联网连接不通;因为服务商对公共安全风险如DDOS攻击防护不足导致用户对外的业务交付出现故障等。

3)内部人员数据窃取

企业的核心数据在云计算环境中的存储，离不开管理员的操作和审核，如果服务商内部的管理出现疏漏，将可能导致内部人员私自窃取用户数据，从而对用户的利益造成损害。在这种情况下，除了通过技术的手段加强数据操作的日志审计之外，严格的管理制度和不定期的安全检查十分必要。云计算服务供应商有必要对工作人员的背景进行调查并制定相应的规章制度避免内部人员“作案”，并保证系统具备足够的安全操作的日志审计能力，在保证用户数据安全的前提下，满足第三方审计单位的合规性审计要求。

4)用户身份认证的安全

云计算服务商在对外提供服务的过程中，需要同时应对多租户的运行环境，保证不同用户只能访问企业本身的数据、应用程序和存储资源。在这种情况下，运营商必须要引入严格的身份认证机制，不同的云计算租户有各自的帐号密码管理机制。如果运营商的身份认证管理机制存在缺陷，或者运营商的身份认证管理系统存在安全漏洞，则可能导致企业用户的帐号密码被仿冒，从而使得“非法”用户堂而皇之的对企业数据进行窃取。因此如何保证不同企业用户的身份认证安全，是保证用户数据安全的第一道屏障。

3 云计算环境下安全防护的差异化分析

基于云计算环境下的安全风险分析，在云计算安全的建设过程中，需要针对这些安全风险采取有针对性的措施进行防护。和传统的数据中心安全建设方式相比，云计算环境下的安全建设有其明显的特点，主要存在以下几个方面的差异。

3.1 云计算环境下一般性安全风险的特点

在云计算的建设过程中，尽管其在业务模型或者服务器虚拟化等方面有了革命性的变化，但是其应用系统本身以及用户访问的行为并没有发生本质的变化：服务器业务系统的安全交付、用户访问的安全隔离和控制、网络本身对DDoS等恶意流量的攻击防护、病毒蠕虫、恶意代码和钓鱼网站等安全威胁仍然存在。因此，云计算的安全防护首先需要考虑的是如何对这部分常规安全风险进行防护。从这个角度看，传统的防火墙和入侵防御等产品形态仍然适合，而且涉及到的技术支撑和设备的防护部署思路可以继续借鉴。当然，在云计算环境下，因为系统流量模型的相对集中，对于安全设备的性能和扩展性等方面有了一些新的要求，系统需要支持更高性能的安全防护，尤其是当安全作为一种服务对外提供的环境下，更需要安全资源池在高性能可扩展方面提供相应的保障。