云計算環境下企業私有云平臺安全架構的機理和實現

摘 要 隨著科技水平的不斷發展，社會在不斷地進步，計算機科學以及網絡技術也取得了可觀的成果，這些成果給人們的生活帶來了便利，人類社會的發展進程也受到了巨大的影響。云計算是一種新興的計算機技術，它的重點在于應用方面，它是以互聯網技術為基礎的。企業以自有數據中心建立的云管理環境系統的基礎支持就是私有云，私有云的建立可以很好地定義以及運行云應用，并且為其提供計算、存儲功能以及網絡資源的管理平臺。在本論文中，討論了企業私有云的搭建方案，企業私有云搭建內容、建設目的以及最后的安全架構也被系統地分析，同時私有云所要面臨的安全性問題也被進一步地探討，最后私有云的安全架構被提出，希望對企業的私有云搭建提供一些幫助。

【關鍵詞】網絡技術 互聯網技術 私有云 云計算 存儲功能 安全架構

1 引言

在2006年，谷歌首次提出了云的概念，云開始逐漸地出現在人們的視野中，并影響著人們的日常生活。隨著網絡虛擬化程度越來越高，一些計算機關鍵技術得到了飛速的發展，例如：寬帶技術、分布式計算技術等，這些技術的發展促使云技術得到了長足的進步，云應用的時代已經被開啟，很多企業以前都是將自己的信息平臺建立在客戶機或者是服務器架構中，隨著云應用的開發，大部分企業已經將信息轉移到了新興的云平臺上面。云計算是計算機技術的一個新的衍生事物，人們對它了解的越多，就越來越容易接受它，但是在應用云的同時，一些網絡信息的安全隱患隨之而來，這將是人們面對的一項巨大挑戰。從2006年到2011年，云技術得到了空前的發展，但是受到的網絡沖擊也是越來越大，例如，谷歌、百度、微軟以及亞馬遜等大型網絡公司的云平臺在近幾年，都遭到了大大小小上百次的網絡攻擊，對使用客戶造成的影響非常惡劣，并且在全球范圍內，云平臺受到的攻擊數量在不斷地增加，已經呈現出難以抑制的趨勢。企業私有云的建造人員以及維護人員不得不思考如何保證自己企業私有云平臺不受到外界的攻擊，或者說在受到外界攻擊時如何保證數據安全，如何保證受到的損失最小，如何快速的去修復云平臺，這些都是技術人員面臨的挑戰。在本論文中，根據目前企業私有云安全的情況，通過一些企業建設云平臺的經驗，一種新型的、應用性能良好的云安全框架被提出，希望對企業的私有云搭建提供一些參考以及幫助。

2 私有云的概念簡介

在商業模式中，云計算技術手段得到了完美的詮釋。計算機的計算資源、存儲資源、網絡化資源都通過云計算過程以虛擬化以及自動化的方式來提交?？梢赃M行自我維護、自行管理的虛擬運算資源就是人們常說的“云”，通常情況下，很多大型服務器集群都是云的體現，云控制器、云服務器以及云配制服務器都被包含其中。用戶所需要的計算能力、存儲空間、軟件功能以及信息服務等都是通過云計算來提供的，云計算可以支撐很多應用類程序的運行。平行計算（Parallel Computing）、分布式計算（Distributed Computing）以及網格化計算（Grid Computing）這三者的共同發展，并且有機地結合形成了云計算。私有云的英文稱為Private Clouds，最開始它在國外的企業信息服務中得到了非常廣泛地應用，它可以為客戶獨自建立、而且可以為用戶提供單獨的使用空間，所以它可以有效地控制數據的安全性，也可以提高服務質量。擁有私有云的公司可以有效地控制自己公司的基礎設施，在該基礎設施上完成應用程序的基本部署。公司可以將私有云設置在公司內部數據中心的防火墻內，也可以在相對安全的主機托管場所內部署私有云。公司內部自己擁有的IT機構就可以建立自己公司的私有云，云提供經銷商也可以為公司構建私有云。目前國際上一些大型公司都是由云提供商來為它們建立私有云，Sun、IBM等大型的云計算提供經銷商可以為企業提供私有云的安裝、配置以及運營等一系列服務，為公司提供一個專用的云來支持公司的數據中心。這種模式可以讓公司很好地控制云資源，讓公司對云資源的使用達到極高地水準。

3 云計算的實現機理

從云計算結構上來劃分，我們可以將云計算技術的體系劃分為四大類。物理資源層、資源池層、管理中間件層，以及SOA構建層都被包含在其中。承擔數據傳輸任務的物理媒體我們稱之為物理資源層；應用層以及資源層之間橋梁我們稱之為管理中間件層，它在中間起到的是承上啟下的作用，同時管理中間件層還可以提供諸多功能，例如：資源代理、通訊服務、任務分析器、任務調度器以及信息服務能力等。面向服務的體系架構我們稱之為SOA構建層，它由服務接口、服務注冊、服務查找、服務訪問以及服務工作流組成。云計算技術最為關鍵的部分就是管理中間件層以及資源池層，SOA構建層的一些功能是由外部設施所提供的。資源管理、任務管理、用戶管理以及安全管理等工作都是由云計算的管理中間件層負責的。底層硬件資源、服務器的處理能力、局域網以及外網的網絡傳輸、虛擬存儲空間的存儲能力都是由資源管理負責的，它可以有效地控制VM資源，合理地管理系統、應用軟件以及數據庫等資源；任務狀態的遷移、任務控制模塊、內核中各種隊列模式、算法調度以及內核時間等都是由任務管理負責；在后臺管理節點內所有用戶的功能都是由用戶管理來負責調度的，它的任務包括用戶交互接口的提供、管理以及識別用戶的身份，為每個客戶去建立用戶程序，對每個用戶的使用情況進行計費處理。從技術、組織以及管理層面角度出發，合理地運用安全管理分析手段可以解決、甚至消除各種不安全因素，一些事故的發生就會被很好地預防，在一些容易出現的安全事故方面，例如：身份驗證、訪問權限、綜合防護以及安全審計等，都可以有效地降低發生事故的概率。

以上述體系結構為基礎，我們可以將云計算的實現機制分類三大類，即虛擬化機制、海量數據分布式存儲管理機制以及分布式計算機制。將物理資源進行抽象處理，之后將抽象處理后的資源進行映射以及呈現，這樣就會使物理資源隱藏在后臺，統一的設備使用模型被上層系統所提供，這樣一個過程就是虛擬化機制的體現。海量數據分布式存儲管理機制是用來存儲數據的，分布式存儲方式被它采用去對大量的數據進行存儲，數據的安全性以及可靠性是通過冗余存儲的方式來實現的。將一個規模宏大的應用程序劃分成若干個并且可以平行處理的子程序，這個過程就是分布式計算的機制，它是以互聯網技術為基準，利用多個計算機分別計算生成的子程序，最后對所有子程序的結果進行分析整合得出最終的結論。

4 私有云的安全性

4.1 私有云的安全問題

云計算技術的基礎都是以某個應用管理程序為載體。計算以及其相關的安全性威脅與傳統的安全工具可以通過管理程序將它們完全地隔離開，這樣網絡通信中一些不合適的或者惡意的程序包就會被檢測出來。如果虛擬機處于同一臺服務器中，那么它們通過管理程序中的通訊功能就可以進行無障礙的溝通，在虛擬機之間數據包可以進行無障礙地傳送，無須經過物理網絡流程，物理網絡中的通訊流量可以通過安裝的安全設備被檢測計算出來。但是虛擬機也存在一定弊端，一旦一臺虛擬機被攻擊遭到破壞，那么這臺虛擬機會將危險源傳送給別的虛擬機，整個系統的防護措施是不會察覺到危險源的存在。也就是說，一個危險的應用程序能夠對其他虛擬機造成攻擊破壞，客戶所用的安全措施對危險程序是完全沒有辦法的，所以，私有云的使用還是存在一定的安全隱患的。

4.2 私有云安全框架的構成

多種方式的服務形式都可以通過云服務來提供，上下文情景對云安全框架的解決方案起決定性的作用。所以，以云應用架構為基礎，方案架構的解決可以適應這些安全的顧慮，同時安全控件被建立。用戶以及云服務提供商需要共同負責公有云的云安全，但是在私有云的使用方面，云平臺的安全狀況需要用戶自己進行管理，云服務提供商不會代替用戶去管理私有云的平臺，他們只會負責公共基礎設施的安全，所以，要想使私有云的安全性能更高，一下四個方面的安全措施需要得到保證：

（1）整體的運行系統必須保證絕對的安全性；

（2）私有云上的系統信息必須確保其安全性；

（3）在每個服務器之間的信息傳播途徑必須安全；

（4）使用網絡的信息內容要保證安全性。

與公有云相比，在安全技術方面，私有云的組成也是一樣的，中段以及云端兩部分組成了私有云的安全框架。

4.2.1 私有云的終端構成

終端可以分為兩種類型：

（1）終端是一種云安全設備，它可以負責采集數據。它是一種采集能力的體現，通過API技術與沙箱技術的結合，多文件、程序行為以及關聯數據都可以被提供。例如：在Windows終端上，瀏覽器會被API Hook技術監控，通過這種技術，用戶下載的執行文件以及利用系統漏洞運行的惡意代碼、用戶訪問過的URL等信息都可以被采集到，未知漏洞的運行程序可以通過關聯分析被發現。數據支持會被提供，這樣就會為后續制定的防御策略和追蹤威脅來源提供一定的幫助。

（2）終端也可以被看作是一種云安全軟件，它可以負責安全防御以及威脅處理。多層次多維度的安全策略會被實現通過云查殺技術與API監控技術的結合。例如：防火墻處于云安全設備中，一旦管理員發現危險源，那么私有云的安全平臺就會將危險源認定為不可信任的信息，同時對它進行攔截處理，在計算機上就會讓該程序停止運行，這樣安全防御的目的就被達到。在用戶使用過程中，同一個終端充當多個角色的情形經常被遇到。

4.2.2 私有云安全框架的特征

私有云安全框架具有以下特征：

（1）不依靠黑名單的威脅防御能力可以被提供，基于企業內部基本穩定的軟件生態系統，私有云可以形成分級別的自定義安全基準線。原本只能依靠黑名單防護的泛安全邏輯可以轉變成精確安全邏輯，這個轉變過程是依靠自定義的安全基準線來實現的。

（2）云安全軟件監控系統得到提升，網內新產生的程序、軟件以及數據就可以被隨時的發現，實時性功能就會得到很好地體現。

（3）鑒定系統采用多級別多維度文件分析形式，多種靜態、動態文件被結合，這樣就可以提供可靠的綜合依據，用這個依據來判定文件是否安全可靠。

（4）可以隨時去評估威脅風險，網內的威脅風險的變化反饋可以被實時地進行，它是通過各種云安全設備來實現的，這些云安全設備包括了客戶端的軟件終端、以云安全技術為基礎的網絡檢測設備以及移動檢測設備等。

（5）依據威脅評估的結論以及用戶對資產價值的預測結果分析，用戶可以被提供一些安全防御與威脅處置策略的制定權利以及處理方案。如果用戶對非核心價值資產關注過多，那么就會浪費大量的人力以及物力，所以一旦減少這種不必要的關注，人力物力資源就會被大量地節省，成本就會被大幅度地降低。

4.3 企業私有云平臺安全框架建立的必要性

近些年來，企業的管理方向逐漸地向信息化方向發展，企業自身都會非常重視自己的知識產權以及商業機密的保護，所以，新的網絡安全問題就會被提出，這些要求都是針對企業自身網絡環境的安全性提出的。一旦建立企業自身的私有云計算平臺，傳統網絡維護以及安全防御的限制就會被突破，這樣可空性良好的信息終端安全運行維護系統就會被成功地建立，從真正意義上，使企業業務網絡實現一體化的威脅監控流程，在整個流程中發現、評估、處置以及審計都包含在這個整體中，重要的保障體系被提供用來保證信息系統的穩定運行。

5 結束語

在本論文中，云計算技術的應用背景以及應用現狀被詳細地論述，企業私有云平臺建立的必要性也被闡明，私有云安全的完整意義被提出，通過私有云安全特征的分析，提出了企業私有云安全架構的設計。

參考文獻

[1]白妙青.云計算技術在廣播電視網中的應用[J].現代電子技術，2013，36（11）：142-144.

[2]林曉鵬.云計算以及關鍵技術問題[J].現代電子技術，2013，36（12）：67-70.

[3]Groves D I，et al.Orogenetic gold deposits：a proposed classification in the context of their crustal distribution and relationship to other gold deposit types[J].Ore Geology Review，1998，13（06）：7-27.

作者簡介

李鐵（1982-），男，河南省沁陽市人。碩士學位?，F為中國石化銷售有限公司陜西石油分公司工程師。研究方向為網絡與信息安全、信息運維管理。

作者單位

中國石化銷售有限公司陜西石油分公司 陜西省西安市 710003