在云计算安全中

信息化研究与应用专题报告

云计算安全发展状况调研

中国科学院信息化工作领导小组办公室

中国科学院国家科学图书馆成都分馆

2013年3月

前 言

为深入客观反映国内外信息化发展态势，跟踪世界各发达国家信息化的重大部署及应用，院信息办和国科图成都分馆开展了信息化专题情报调研，旨在反映信息化重要专题的现状、发展趋势及关键挑战。

云计算和信息安全都是当前信息技术领域炙手可热的话题，云计算的安全是网络时代信息安全的最新体现，要充分发挥云计算的潜能，必须解决其面临的安全风险。为把握云计算时代信息安全的这一重要发展特征，本专题报告云计算安全的发展及演变，总结分析了国际权威组织近年发布的有关云安全的重要文献，归纳提炼了技术发达国家政府部门和企业界采取的相关部署和举措，并针对云计算技术在信息安全领域的应用剖析了有关案例。

谨供有关领导及专家参考。

目 录

摘 要 .............................................................................................................................................. 1

1. 云计算与云安全....

云计算中的隐私保护报告

姓 名 严晓峰 学 号 155242013087 院 系 信息技术学院 专 业 软件工程 班 级 2013级软工2班 时 间 2016-06-12

目 录

1. 云计算介绍 .........................................................错误！未定义书签。 1.1. 云计算的特点优势 ................................... 错误！未定义书签。 1.2. 云计算的现状 ........................................... 错误！未定义书签。

2. 云计算中的隐私保护 ...................................................................

云计算存在哪些安全风险呢？

安全问题是用户是否选择云计算的主要顾虑之一。传统集中式管理方式下也有云平台安全问题，云计算的多租户、分布性、对网络和服务提供者的依赖性，为安全问题带来新的挑战。除了传统信息系统的安全问题外，云计算由于其本身的特点，带来了新的安全威胁，各种资讯机构和组织分别研究了云安全问题。据弗雷斯特研究公司最新发表的题为《你的云计算有多安全？》的研究报告显示，云计算的安全漏洞比传统的IT外包模式进行更严格的审查，特别是多租户和缺少可见性等问题令人担忧。

从细节上看，云计算安全风险主要包括：

(1)虚拟化安全问题：利用虚拟化带来的可扩展性有利于加强在基础设施、平台、软件层面提供多租户云服务的能力，但虚拟化技术也会带来以下安全问题。 如果物理主机受到破坏，其所管理的虚拟服务器由于存在和物理主机的交流，有可能被攻克，若物理主机和虚拟机不交流，则可能存在虚拟机逃逸。 如果物理主机上的虚拟网络受到破坏，由于存在物理主机和虚拟机的交流，以及一台虚拟机监控另一台虚拟机的场景，导致虚拟机也会受到损害。 云计算环境也存在用户到用户的攻击;虚拟机和物理主机的共享漏洞有可能被不法之徒利用。

如果物理主机存在安全问题，那么其上的所

云计算存在哪些安全风险呢？

安全问题是用户是否选择云计算的主要顾虑之一。传统集中式管理方式下也有云平台安全问题，云计算的多租户、分布性、对网络和服务提供者的依赖性，为安全问题带来新的挑战。除了传统信息系统的安全问题外，云计算由于其本身的特点，带来了新的安全威胁，各种资讯机构和组织分别研究了云安全问题。据弗雷斯特研究公司最新发表的题为《你的云计算有多安全？》的研究报告显示，云计算的安全漏洞比传统的IT外包模式进行更严格的审查，特别是多租户和缺少可见性等问题令人担忧。

从细节上看，云计算安全风险主要包括：

(1)虚拟化安全问题：利用虚拟化带来的可扩展性有利于加强在基础设施、平台、软件层面提供多租户云服务的能力，但虚拟化技术也会带来以下安全问题。 如果物理主机受到破坏，其所管理的虚拟服务器由于存在和物理主机的交流，有可能被攻克，若物理主机和虚拟机不交流，则可能存在虚拟机逃逸。 如果物理主机上的虚拟网络受到破坏，由于存在物理主机和虚拟机的交流，以及一台虚拟机监控另一台虚拟机的场景，导致虚拟机也会受到损害。 云计算环境也存在用户到用户的攻击;虚拟机和物理主机的共享漏洞有可能被不法之徒利用。

如果物理主机存在安全问题，那么其上的所

数据通信原理

（小论文）

云计算时代下的通信与安全

摘要：选取当前网络通信领域最热门的云计算进行阐述，介绍了有关云计算的相关知识。笔者通过对云计

算的概念和特征介绍，展示了云计算的技术革新性作用，并且说明了云计算的引入对于传统数据通信的一些影响。结合人们普遍关心的信息安全话题，给出了云计算引入以来遭受的安全事故，进一步说明了了云计算的安全问题和解决办法。最后针对云计算的大趋势—混合云的安全问题进行了探讨和思考。

关键词：云计算 数据通信 安全 混合云 加密

1

目录

一、前言 ............................................................................................................................... 1 二、浅谈云计算 .................................................................................................................... 1

2.1云计算的概念

1、虚拟化技术在云计算中的哪些地方发挥了作用？ 答：虚拟化是支撑云计算的重要技术基石，云计算中所有应用的物理平台和部署环境都依赖虚拟平台的管理、扩展、迁移和备份，各操作都通过虚拟化层次完成。

服务器层面：将服务器虚拟化，它是将底层物理设备与上层操作系统、软件分离的一种去耦合技术，它将硬件、操作系统和应用程序一同装入一个可迁移的虚拟机档案文件中。虚拟化通过其管理软件将多个物理设备纳入统一的资源池进行管理，从而增强了物理设备和物理设备之间的耦合性。在单一物理服务器上可同时运行多个虚拟机，同时虚拟机之间相互隔离，以提高资源利用率，降低能耗，实现服务器的共享和隔离。虚拟机可以根据其需求弹性增加或减少其分配的硬件资源，提高资源配置的灵活性，以实现资源弹性。可实现将高负载节点中的某些虚拟机实时迁移到低负载的节点，把多个低负载的虚拟机合并到一个物理节点，并将多余的空闲物理节点关闭，以提高资源的使用效率，使负载达到均衡，从而使上层应用的性能得到了保障，同时还达到了减少能耗的目的。

存储层面：将存储虚拟化，指对存储硬件资源进行抽象化的表现，通过将一个或多个目标服务或功能与其它附加的功能集成，统一提供有用的全面功能服务。虚拟化是作用在一个或者多个实体上的，而这些

1. 华为云计算开放能力总览

Fusionsphere解决方案旨在向其用户提供IaaS层服务，相应的，Fusionsphere对外开放了IaaS接口供用户

更为灵活的使用IaaS层服务。

目前我们对外提供两套接口：

● Openstack API：此接口保持和开源Openstack租户接口完全兼容，以帮助客户避免厂商锁定问题。 ● Fusionsphere API： Fusionsphere解决方案提供了管理多资源池的能力，云服务提供商可以方便的采用

多资源池构建其服务。与此同时，为了避免云服务提供商的（最终）用户直接面临多资源池接口的复杂性，我们也提供了“统一”的Fusionsphere API。此接口对外削弱了资源池特有接口、参数的影响，提供了归一的“资源”操作接口。

目前Fusionsphere API按照业界主流的方式提供了Rest接口供第三方访问，详情可参阅版本接口文档。用户

除了直接使用Fusionsphere Rest API之外，我们也提供了Java/Python/C# 等多语言SDK以供ISV快速开发之用。

1.1 整体结构

1、 FusionSphere开放点全景图

2、开放点：

1、Application Softw

云计算是2011年下半年乃至更长一段时间内最热门的技术。虽然目前云计算没有统一的定义，但结合应用与不同的解释总结出云计算的一些本质特征，即分布式计算和存储特性，高扩展性，用户友好性，良好的管理性。

云计算技术具有以下特点：

(1) 云计算系统提供的是服务。服务的实现机制对用户透明，用户无需了解云计算的具体机制，就可以获得需要的服务。

(2) 用冗余方式提供可靠性。云计算系统由大量商用计算机组成机群向用户提供数据处理服务。随着计算机数量的增加，系统出现错误的概率大大增加。在没有专用的硬件可靠性部件的支持下，采用软件的方式，即数据冗余和分布式存储来保证数据的可靠性。

(3) 高可用性。通过集成海量存储和高性能的计算能力，云能提供一定满意度的服务质量。云计算系统可以自动检测失效节点，并将失效节点排除，不影响系统的正常运行。

(4) 高层次的编程模型。云计算系统提供高级别的编程模型。用户通过简单学习，就可以编写自己的云计算程序，在“云”系统上执行，满足自己的需求。现在云计算系统主要采用Map-Reduce模型。

(5) 经济性。组建一个采用大量的商业机组成的机群相对于同样性能的超级计算机花费的资金要少很多。

下面从几个层次来看待云计算：

云存储

在所

第4 O卷

第8期

计

算

机

科

学

Vo 1 . 4 O No . 8Aug .2 01 3

2 0 1 3年 8月

Co mp u t e r S c i e n c e

基于等级保护的云计算安全评估模型姜政伟 L 赵文瑞L 刘宇。刘宝旭

(中国科学院研究生院 北京 1 0 0 0 4 9 ) (中国科学院高能物理研究所计算中心 北京 1 O O 0 4 9 )。摘要云计算应用与发展中最受关注的问题之一是安全。针对云计算服务安全水平量化的需求，以我国等级保护

测评要求为基础，借鉴欧美相关机构的云计算风险控制与安全评估框架，通过德尔菲法构建云计算安全评估指标体

系，使用层次化分析法计算出各指标项的权重。根据设计的指标体系，将模糊综合评判引入对云计算实例的分析。实际应用表明模型能为云平台安全提供有效的量化和与评估。

关键词

云计算，安全评估，等级保护，层次分析法，模糊综合评价T P 3 9 3 文献标识码 A

中图法分类号

Mo de l f o r Cl o u d Co mp ut i ng S e c u r i t y As s e s s me n t Ba s e d o n Cl ss a i ie f d Pr o t ct e i o n

云计算指南：管理、架构、安全、网络与服务

云计算的魅力在于，用户只要有身份证和信用卡就可以开始使用，但这也是问题所在。这么简单的服务势必会给毫无准备的IT部门带来许多挑战。之前我们 已经多次碰到过这个现象：某项技术易于采用的优点到头来却变成了意料之外的管理难题，比如虚拟化技术导致虚拟机散乱，智能电话带来新的安全风险，即时通讯 引发公司治理方面的问题。

本文旨在向IT经理们介绍如何最大限度地发挥云计算的优点，包括使用简单、灵活和较低成本；同时最大限度地减小风险。这篇实用指南包括了许可、管理工具、带宽、安全和架构等方面的内容。

本文表明我们仍处于云计算的早期阶段，这意味着，相关工具和技术还在不断完善中。比方说，经过长达两年的测试后，亚马逊网络服务公司的弹性计算云（Elastic Compute Cloud）服务在去年底才推向市场；监测、管理和负载平衡等企业级功能仍在其规划当中。同样，谷歌应用引擎（App Engine）属于预览版本。微软的Azure云服务也属于预览版本，目前只有Windows开发人员可以使用有限的功能，其他早期采用者无法使用。

不过现在可以开始规划了，你既可以实际感受这种新的IT交付模式（包括了解各种故障和缺陷），又可以比其他在考虑独自利