私有云信息安全體系架構(gòu)研究*

朱德軍 劉樹軍 趙李東

石家莊郵電職業(yè)技術(shù)學(xué)院 河北 石家莊 050021

私有云建設(shè)對信息化建設(shè)、后期網(wǎng)絡(luò)、主機(jī)、業(yè)務(wù)運維提供非常方便的技術(shù)手段，并大大提高了工作效率；并且私有云內(nèi)部的建設(shè)可以實現(xiàn)業(yè)務(wù)系統(tǒng)內(nèi)的信息共享，方便用戶獲取相關(guān)業(yè)務(wù)信息。但網(wǎng)絡(luò)攻擊、一些惡性黑客行為，會造成數(shù)據(jù)泄露風(fēng)險，并惡意造成系統(tǒng)癱瘓，使得用戶無法使用業(yè)務(wù)系統(tǒng)，造成企業(yè)經(jīng)濟(jì)損失。如盜取用戶賬戶密碼，獲取敏感信息，如身份證信息、家庭住址、手機(jī)號等，掛載非法鏈接、如黃賭毒等非法鏈接、惡意堵塞網(wǎng)絡(luò)，造成網(wǎng)絡(luò)大面積癱瘓。私有云的信息安全是保障用戶業(yè)務(wù)數(shù)據(jù)安全的重要保障。

1 私有云的部署方式所帶來的安全隱患

私有云，由多臺本地服務(wù)器（CPU、內(nèi)存、硬盤資源）、利用本地網(wǎng)絡(luò)和外置存儲組成，通常采用虛擬化技術(shù)、對整個集群的計算資源、內(nèi)存進(jìn)行池化，利用外置存儲和本地服務(wù)器的硬盤池化組成存儲資源，形成統(tǒng)一的資源池。最終由私有云的云管平臺管理調(diào)度所有的資源，根據(jù)業(yè)務(wù)部門的系統(tǒng)要求，分配相關(guān)資源，以虛擬機(jī)的方式提供給業(yè)務(wù)系統(tǒng)使用。

因為是集群化管理，云管平臺的統(tǒng)一調(diào)度、管理，可以理解為私有云是個硬件、軟件都高度耦合的，那么它存在的風(fēng)險如下：

1.1 云管平臺的管理賬戶泄露

云管平臺是整個私有云的調(diào)度、管理的核心。它可以任意改變私有云內(nèi)部的網(wǎng)絡(luò)拓?fù)洹①Y源配置、強(qiáng)制關(guān)機(jī)等高權(quán)限的配置操作。若云管平臺被攻克，執(zhí)行上述操作，會對業(yè)務(wù)系統(tǒng)造成不可預(yù)估的問題。并可以對平臺下所有的虛擬機(jī)進(jìn)行代碼滲透，一旦拿到操作系統(tǒng)的高權(quán)限，進(jìn)行數(shù)據(jù)竊取，或者植入惡性代碼進(jìn)行橫向攻擊，那后果不堪設(shè)想[1]。

1.2 數(shù)據(jù)集中管理的使用風(fēng)險

私有云是統(tǒng)一管理物理服務(wù)器和虛擬機(jī)，統(tǒng)一的資源分配，但總體都是在私有云平臺上，若數(shù)據(jù)都在外置存儲上，那物理數(shù)據(jù)屬于集中管理，一旦存儲發(fā)生故障，那會造成冗余數(shù)據(jù)的丟失，甚至?xí)斐纱竺娣e業(yè)務(wù)系統(tǒng)癱瘓，那后果就是災(zāi)難性的。

1.3 病毒風(fēng)險

私有云分配完資源后，最終還是要交給軟件供應(yīng)商來部署相應(yīng)web應(yīng)用和DB。終端遠(yuǎn)程連接虛擬機(jī)，要上傳相關(guān)工具或者程序，那就有感染病毒的風(fēng)險。一旦感染病毒會產(chǎn)生橫向擴(kuò)展，如挖礦病毒，它會影響系統(tǒng)資源都處于高位運行，會嚴(yán)重影響系統(tǒng)運行速度，當(dāng)無法及時排查是病毒造成，私有云管理員會給此系統(tǒng)追加資源，而感染的虛擬機(jī)多的情況下，會造成集群資源的浪費。若是破壞性病毒，一旦發(fā)生集群橫向、縱向感染，會造成大面積系統(tǒng)癱瘓，DB虛擬機(jī)也被破壞掉，造成數(shù)據(jù)無法恢復(fù)，那對用戶造成的損失是無法接受的。

1.4 機(jī)房環(huán)境風(fēng)險

機(jī)房的環(huán)境如溫度、濕度、電力都會影響私有云集群的物理機(jī)運行的穩(wěn)定性，私有云是高度集群化的，一旦機(jī)房內(nèi)出現(xiàn)任何問題，都會造成整個集群的穩(wěn)定性。機(jī)房內(nèi)的各項參數(shù)的可控性對集群的穩(wěn)定運行至關(guān)重要。

2 相對安全隱患的防御措施

私有云是高度信息化企業(yè)使用的必要手段，它的安全措施也是運維和使用的重心，下面我們將介紹相關(guān)的安全防御措施：

2.1 私有云外部防護(hù)

私有云是架在用戶內(nèi)部網(wǎng)絡(luò)中，而訪問用戶分為外網(wǎng)用戶和內(nèi)外用戶，對于外網(wǎng)用戶的訪問的保護(hù)措施，主要通過私有云核心網(wǎng)絡(luò)的上層安全設(shè)備來防護(hù)。如邏輯上自上而下的安全設(shè)備有：外部防火墻、IPS、WAF等安全設(shè)備，輔助態(tài)勢感知和流量分析，對外部訪問進(jìn)行安全管控。內(nèi)部用戶的訪問，通過私有云內(nèi)部防火墻和內(nèi)部WAF進(jìn)行管控，將各個業(yè)務(wù)系統(tǒng)進(jìn)行業(yè)務(wù)切割，切斷橫向、縱向的訪問，對IP地址進(jìn)行精確管控，將風(fēng)險控制在最小的范圍之內(nèi)。對云平臺的賬戶采用大小寫+特殊字符，不少于10位，并規(guī)定密碼生效的時間范圍，到規(guī)定時間點強(qiáng)制更換密碼[2]。

2.2 私有云自身內(nèi)部防護(hù)

虛擬化技術(shù)是云計算的主要技術(shù)支撐，私有云通過計算虛擬化、存儲虛擬化、網(wǎng)絡(luò)虛擬化來實現(xiàn)云平臺功能，同時采取了相應(yīng)措施，保障云計算環(huán)境下信息安全。

2.2.1 內(nèi)核加固。當(dāng)私有云平臺底層使用linux系統(tǒng)時，為保障安全必須對Linux操作系統(tǒng)進(jìn)行底層加固，相應(yīng)的措施有：最小化服務(wù)、服務(wù)加固、內(nèi)核參數(shù)調(diào)整、文件目錄權(quán)限設(shè)置、賬戶口令安全、系統(tǒng)認(rèn)證授權(quán)、服務(wù)內(nèi)核日志和審計

2.2.2 計算隔離。Hypervisor和虛擬機(jī)隔離：Hypervisor直接運作在裸機(jī)上,統(tǒng)一管理物理資源，防止虛擬機(jī)對物理資源的直接訪問，屏蔽虛擬資源故障。 Hypervisor和虛擬機(jī)之間隔離，確保用戶虛擬機(jī)無法通過未授權(quán)的方式訪問物理主機(jī)資源。

虛擬機(jī)之間隔離包括內(nèi)存隔離和CPU隔離，其中內(nèi)存隔離是指結(jié)合宿主機(jī)的進(jìn)程隔離機(jī)制和x86服務(wù)器提供的內(nèi)存頁表映(VT-X/EPT)訪問機(jī)制，從宿主機(jī)操作系統(tǒng)和底層硬件機(jī)制上，保證各虛擬機(jī)只能訪問自己空間內(nèi)的內(nèi)存地址。CPU隔離是指通過使用物理處理器的不同權(quán)限級別，可以有效地防止虛擬機(jī)通過未授權(quán)的方式訪問物理主機(jī)和其他的用戶虛擬機(jī)的系統(tǒng)資源，同時也做到了虛擬機(jī)之間的有效隔離。

2.2.3 網(wǎng)絡(luò)隔離。虛擬交換機(jī)邏輯隔離：提供分布式虛擬交換機(jī)，采用了VXLAN技術(shù)和VLAN技術(shù)實現(xiàn)大二層網(wǎng)絡(luò)隔離，包括不同虛擬機(jī)之間、以及虛擬機(jī)和物理機(jī)之間的網(wǎng)絡(luò)流量隔離。

2.2.4 存儲隔離。作為云計算虛擬化基礎(chǔ)設(shè)計的一部分，深信服Sangfor Cloud將基于虛擬機(jī)的計算與存儲分離。在虛擬化層，Hypervisor采用分離設(shè)備驅(qū)動模型實現(xiàn)I/O虛擬化。虛擬機(jī)所有I/O操作都會被Hypervisor截獲處理，保證虛擬機(jī)只能訪問分配給它的物理磁盤空間，從而實現(xiàn)不同虛擬機(jī)硬盤空間的安全隔離。

2.2.5 集群內(nèi)虛擬安全設(shè)備。在私有云的邊界，融入了虛擬分布式防火墻、IPS、VWaf等虛擬安全設(shè)備，對整個私有云的邊界起到防護(hù)作用。私有云虛擬分布式防火墻，可學(xué)習(xí)端口流量、交互關(guān)系，為用戶推薦防護(hù)策略，并可視化呈現(xiàn)虛擬機(jī)端口使用情況和訪問關(guān)系，可支持組級別安全策略配置和編輯，根據(jù)業(yè)務(wù)和訪問情況，進(jìn)行精確管控。對于私有云內(nèi)對外網(wǎng)提供訪問的虛擬機(jī)，全部加入到VWaf后方，并結(jié)合IPS的安全策略，啟動主動防御功能，讓整個集群的邊界處于安全狀態(tài)[3]。

2.3 存儲分散方案

在私有云存儲方案中有兩種硬件可作為存儲，一是外置存儲，二是利用服務(wù)器本身硬盤進(jìn)行存儲池化。若企業(yè)本身沒有存儲利舊，可直接利用服務(wù)器硬盤就行存儲池化；若有外置存儲，可將此外置存儲和硬盤池化組成兩套存儲，供私有云使用。切勿只使用外置存儲，當(dāng)虛擬機(jī)很多時存儲的壓力會上漲，性能瓶頸會先到，造成整個集群反應(yīng)速度急速下降，情況嚴(yán)重點會造成整個私有云平臺無法運維?；齑罨蛑焕梅?wù)器本身硬盤池化，在后期擴(kuò)展都非常有利，在數(shù)據(jù)備份也很靈活，可進(jìn)一步加強(qiáng)私有云信息安全。

2.4 輔助分析

私有云的核心是利用軟件對物理服務(wù)器的資源做整體調(diào)度，以便用戶能最大的使用物理資源，并能方便的優(yōu)化業(yè)務(wù)網(wǎng)絡(luò)結(jié)構(gòu)，對產(chǎn)生的危險信息通過某些手段能夠抓取、分析。既然是軟件做整體調(diào)度，那私有云的底層架構(gòu)必然會出現(xiàn)某些狀況，包括服務(wù)器的資源、性能監(jiān)控。那么豐富、全面的日志分析系統(tǒng)就凸顯重要性。相關(guān)日志有：服務(wù)器日志、安全設(shè)備日志、網(wǎng)絡(luò)設(shè)備日志、中間件日志。當(dāng)通過私有云的監(jiān)控系統(tǒng)發(fā)現(xiàn)某臺物理服務(wù)器性能消耗過大，而它上面的虛擬機(jī)數(shù)量不多，并發(fā)也不大時，通過分析服務(wù)器日志分析造成原因，及時解決，防止私有云內(nèi)部服務(wù)器崩潰，造成數(shù)據(jù)損失。而其他的設(shè)備日志分析，與之用法一致。它們都是對私有云信息安全的輔助排查手段[4]。

3 結(jié)束語

私有云已經(jīng)在企業(yè)和日常企業(yè)中得到廣泛應(yīng)用，它可大大提高物理服務(wù)器的利用率，可以統(tǒng)一的管理物理資源，做到了降本增效。隨著應(yīng)用的廣泛，對它的信息化安全，提出了更高的要求。在企業(yè)使用的越是廣泛，對私有云的安全要求也就越高。最基礎(chǔ)的網(wǎng)絡(luò)安全、私有云內(nèi)部的安全管控、機(jī)房動環(huán)的安全，這些安全都是為了私有云信息安全。