虚拟机、数据和内容：织就云计算保护网
DOIT云计算 13年04月01日 13:14 【转载】 作者：人民邮电报 责任编辑：王雪杨
导读：从现有的技术资料和已经曝光的安全事件来看，互联网时代中传统的安全威胁在云计算服务中同样存在，而且伴随着云计算特有的开放性与复杂性还出现了一些新的安全挑战，因此，云安全逐渐成为制约云计算发展的瓶颈。
从现有的技术资料和已经曝光的安全事件来看，互联网时代中传统的安全威胁在云计算服务中同样存在，而且伴随着云计算特有的开放性与复杂性还出现了一些新的安全挑战，因此，云安全逐渐成为制约云计算发展的瓶颈。
虚拟机：加固流程抓逃逸
虚拟机逃逸被认为是对虚拟机安全最严重的威胁。虚拟机逃逸是指攻击者突破虚拟机管理器Hypervisor ，获得宿主机操作系统管理权限，并控制宿主机上运行的其他虚拟机。产生此问题的原因一是Hypervisor本身存在漏洞，二是服务商很难辨别虚拟机申请者的真实身份。由此，攻击者既可以攻击同一宿主机上的其他虚拟机也可控制所有虚拟机对外发起攻击。
同时，虚拟机之间的嗅探对传统安全设备提出了新挑战。由于同一物理服务器上的虚拟机之间可以不需要经过防火墙与交换机设备相互访问，使得攻击者可以利用简单的数据包探测器，很轻松地读取虚拟机网络上所有的明文传输信息。目前，传统安全设备尚未提供基于虚拟机的安全防护手段。
对策：
虚拟机及其镜像的安全加固。建立安全加固流程，提供主机入侵检测和补丁自动更新服务等手段来保证虚拟机的安全。在虚拟机镜像生产流程中加入安全审核环节，可对虚拟机镜像提供加密。
虚拟机隔离。采用安全组实现不同用户间的虚拟机隔离，采用IP信息包过滤系统实现虚拟机和物理机间的隔离。
虚拟机管理和销毁。采用虚拟化在线管理系统对虚拟机进行管理，对物理服务器及Hypervisor的运维操作，遵循运维相关流程并采用实时审计技术予以监控。针对虚拟机的销毁及迁移后，及时消除原有物理服务器上磁盘和内存数据，使得虚拟机无法恢复。
数据：看准弱点倚评估
数据安全包括存储数据安全、剩余数据安全、传输数据安全。
存储数据安全问题的根源在于，用户的数据存在服务商的设备上，同时不同用户的数据共享存储资源。分析表明，存储数据面临的风险包括：服务商优先访问即来自云服务商内部人员对用户数据的非授权访问和泄漏;其他恶意租户或黑客的非授权访问导致数据丢失和泄漏;由于数据的跨境流动，个人和企业的隐私等敏感信息易被泄漏;软硬件故障、电力中断、自然灾害等造成的数据丢失等。虽然分布式存储使得数据丢失的可能性大大降低，但黑客仍可通过分析数据分片规律达到重新复原被分割的数据的目的。
剩余数据安全问题是指，用户在使用完云存储服务后退租时，如果只是对退租用户磁盘中文件进行简单的删除，而下一次将磁盘空间(逻辑卷)重新分配给其他租户时，就可能会被恶意租户使用数据恢复软件读出磁盘数据，而导致前租户的数据泄漏。
传输数据安全问题是指，数据在传输过程中被窃取或篡改。服务商需要通过手段，防止传输数据被窃取或篡改，需要保证数据即使丢失也不易泄密。针对用户未采用加密手段的情况，服务商应有相应强度的加密措施，保证用户数据在网络传输中的机密性、完整性和可用性。
- 第1页：虚拟机、数据和内容：织就云计算保护网
- 第2页：虚拟机、数据和内容：织就云计算保护网(2)
腾讯微博
新浪微博
