论文部分内容阅读
摘 要：能源企业的私有云数据中心建设正处于高速发展期，在建设的过程中云安全的问题逐步引起了重视，虚拟平台自身的安全、虚拟环境下业务流量的管理和监控、虚拟存储安全以及虚拟机镜像安全等等问题限制了私有云的建设，本文偏重从解决方案维度对私有云下的安全防护提出一些思路和方法。
关键词：能源 私有云 云安全
一、引言
在过去的几十年中，计算机和互联网技术的房展彻底地改变了人们的工作方式和生活习惯。大型能源企业也抛弃了传统的运营模式，开始开展以数据中心为业务运营平台的全新信息服务模式。数据中心通过云计算和虚拟化技术动态调整资源以降低运营成本，更加灵活、高效、安全地使用和管理并共享各种资源，通过彻底的技术变革改变了信息产业的商业模式。云计算以及虚拟化技术的发展和应用同时也带来了新的安全威胁，云安全已成为制约云计算技术发展的最大因素。
二、私有云现状
能源企业因业务需求每天需要处理海量的数据和业务需求，包括数万个数据采集点24小时的无间断实时数据采集，上万家分支站点的经营管理数据等，随着企业业务的飞速发展，生产、研发、销售、服务等各个领域的信息化需求也不断增加，面对这些海量的数据及深度的数据，需要稳定、可靠规模庞大的数据中心来进行支撑。传统数据中心的网络体系结构对底层物理硬件有很大的依赖，更加依赖于专用物理设备，因此部署缓慢、可扩展以及灵活性均很差。此外，由于各种网络服务的管理界面非常分散，无法进行统一的集中管理，因此相应的运维管理工作非常复杂且容易出错。综上，能源企业在规划中有望提出构建“具有云计算能力的数据中心”作为其业务发展的支撑平台，在能够实现双活功能和异地灾备的“两地三中心”网络架构。
三、安全分析与解决思路
云计算模式通过将数据统一存储在云计算服务器中，加强对核心数据的集中管控，比传统分布在大量终端上的数据行为更安全。由于数据的集中，使得安全审计、安全评估、安全运维等行为更加简单易行，同时更容易实现系统容错、高可用性和冗余及灾备恢复。但云计算在带来方便快捷的同时也带来新的挑战：
对物理设备的控制缺失；
同一物理主机上虚拟机之间流量的不可见性；
Hypervisor脆弱性引入的安全威胁（虚拟机逃逸等）；
物理安全边界模糊；
多租户环境下的数据安全和隐私保护；
云平台的安全性云服务的可靠性；
.......
解决云计算环境下的安全问题需要传统IT安全技术向云计算环境延伸，同时引入新的安全技术和方法解决云计算环境下特有的安全问题。考虑到云计算环境区别于传统IT安全的最大不同在于虚拟化环境下的安全问题，而虚拟环境下的安全又以虚拟流量的识别和检测作为核心。介于上述原因我们建议在能源行业私有云安全防护方案中考虑两种可行方式：第一种方式采用云计算环境下的发展趋势——软件定义网络SDN，基于支持SDN的交换机（如OpenvSwitch）和虚拟平台（vCenter）开放的API接口，利用SDN技术在不影响正常业务的情况下自动识别虚拟机的迁移等业务流变化以及引起的安全需求的变化，从而制定新的安全策略，并根据需求和安全策略将虚拟流量通过SDN技术转发到相关的虚拟或实体安全设备上（通过SDN流量调度，安全设备形态和部署比较灵活）进行检测和分析，从而实时有效的保护云计算环境的安全。第二种方式采用和厂商合作的方式，或以项目维度出发通过合作获得厂商开相关API及技术支持，将我们的安全设备（如防火墙）虚拟化，利用在安全产品和安全服务上的技术优势将二者的特点整合在一起，聚合成为一个具有安全资源池和安全服务能力的云安全服务提供者——云安全服务平台，为私有云提供云化安全服务。
四、私有云防护思路
1.网络层安全域划分。云计算的应用模式是将不同单位的业务系统和敏感数据集中在云中心内，实现IT资源的服务化。由于不同单位的业务系统和敏感数据有不同的安全等级和知悉范围，为了保证各单位业务系统和敏感数据的安全性，需要将具有相同安全等级、相同业务类别的虚拟计算节点实现可信互联，明确不同安全区域的边界，实现不同区域间的安全隔离，最大限度地保护多租户共享资源环境下用户数据的安全性。根据能源企业现有的状况，结合私有云的多层次架构体系，在网络层划分了六个主要的安全域，分别为生产区、非生产区、资源区、管理区、服务区以及运维区。其中服务区划分了通用服务区和安全服务区两个安全子域，运维区划分了堡垒机区和认证区两个安全子域。
2.虛拟机、控制中心以及Hypervisor的安全加固。在云计算中心各类硬件、软件、协议的具体实现或系统安全策略上都会存在一些缺陷，可以使攻击者在未授权的情况下访问或破坏系统。虚拟化平台的安全问题，以相关的主要组件防护为核心，对控制中心、虚拟机、Hypervisor进行相关的安全加固。
3.虚拟网络安全防护。云计算平台上将运行多种应用系统，这些业务系统运行在不同的虚拟机逻辑主机上，必须对运行不同业务的虚拟机之间进行隔离，保护信息资产免遭非授权访问。针对云计算环境下虚拟网络存在的安全问题，基于OpenvSwitch技术，实现用户可控虚拟机安全管理、虚拟安全域划分、安全域间访问控制、虚拟流量管理检测等功能，解决云计算环境下因广泛采用虚拟化技术而带来的网络边界模糊、网络无序不可控等问题。
4.私有云环境下的其它安全问题。
4.1数据安全。云平台数据安全主要是包括存储系统的容灾备份系统、数据安全加密以及数据的迁移设计。利用容灾备份系统能够确保存储系统由于不可抗因素被破坏后，备份存储系统能够及时恢复关键数据，并且保障上层应用的可用性，同时保障数据的安全性。另外，在进行关键数据的存储时，将采用加密存储技术，关键信息经过符合我国密码管理局要求的加密算法进行处理后存储到系统当中，确保数据的机密性。 4.2虚拟节点防护。云计算环境针对虚拟节点的防护通过节点安全代理实现Hypervisor层更严格的虚拟资源隔离功能。云安全服务平台采用一种基于系统调用拦截的虚拟资源隔离技术来实现虚拟资源的隔离和访问控制。通过对上层虚拟机的系统调用、内存访问和磁盘I/O进行拦截并监控，跟踪内存访问是否越界，磁盘I/O访问对应的文件操作是否符合访问控制策略。对于用户的静态数据，通过在虚拟机监视器源码中加入事件钩子函数和存储监控模块，对虚拟磁盘的访问事件进行监控，可以实现对用户数据的实时监控和隔离保护，防止非法访问。对于用户进程中参与计算的动态敏感数据，则通过对用户进程的内存页进行实时监控，从而预防用户敏感数据在运行过程中被窃取和篡改。
4.3虚拟镜像安全。虚拟机镜像文件、快照文件、模板文件是用户使用云计算的重要资源，通常保存用户安全属性和配置相关的重要信息，必须确保其完整性，并且在必要的时候也应进行加密保护，以防止被篡改或在传输复制过程中被破坏或信息的泄露。云安全防護平台利用虚拟机透明加解密技术能够对虚拟机镜像文件在每次虚拟机启动时进行加载前的静态度量，只有在与上次关闭时的值匹配才能启动；并且在运行结束后重新进行度量更新。
4.4虚拟用户数据隔离。云安全防护平台采用基于安全标记的强制访问控制技术，对应用软件进行有效控制，在虚拟机操作系统创建以应用软件为核心的安全隔离域，隔离域内的进程被限制在作用范围内，隔离域外的进程被限制访问域内资源，这样不仅可以实现不同应用软件间的安全隔离，也能够有效的提升应用系统的自我免疫能力和抗攻击能力。
4.5私有云安全监控。云计算环境下的安全监控相比传统的流量监控，除了能够支持传统云数据中心物理网络设备的流量，也将对虚拟网络流量，虚拟机之间的流量进行全方位的监控。另外，和传统监控系统不同，云安全服务平台提供的云安全监控能够对私有云数据中心的所有物理网络和虚拟网络中发生的流量进行全方位、多粒度、多层次的采集、分析和挖掘。通过对流量数据的分析，对应用进行识别，发现虚拟网络和物理网络设备及服务器主机的异常。通过对网络流量状况进行全局的精细分析、 对关键业务的性能进行实施监测， 提供私有云数据中心物理和虚拟网络运行状况的分析报告， 完成快速故障定位， 并能够协助对网络攻击行为进行识别和溯源。
参考文献：
[1]《云计算服务安全能力要求》《云安全指南》——CSA云安全解决方案介绍——刘文懋.
关键词：能源 私有云 云安全
一、引言
在过去的几十年中，计算机和互联网技术的房展彻底地改变了人们的工作方式和生活习惯。大型能源企业也抛弃了传统的运营模式，开始开展以数据中心为业务运营平台的全新信息服务模式。数据中心通过云计算和虚拟化技术动态调整资源以降低运营成本，更加灵活、高效、安全地使用和管理并共享各种资源，通过彻底的技术变革改变了信息产业的商业模式。云计算以及虚拟化技术的发展和应用同时也带来了新的安全威胁，云安全已成为制约云计算技术发展的最大因素。
二、私有云现状
能源企业因业务需求每天需要处理海量的数据和业务需求，包括数万个数据采集点24小时的无间断实时数据采集，上万家分支站点的经营管理数据等，随着企业业务的飞速发展，生产、研发、销售、服务等各个领域的信息化需求也不断增加，面对这些海量的数据及深度的数据，需要稳定、可靠规模庞大的数据中心来进行支撑。传统数据中心的网络体系结构对底层物理硬件有很大的依赖，更加依赖于专用物理设备，因此部署缓慢、可扩展以及灵活性均很差。此外，由于各种网络服务的管理界面非常分散，无法进行统一的集中管理，因此相应的运维管理工作非常复杂且容易出错。综上，能源企业在规划中有望提出构建“具有云计算能力的数据中心”作为其业务发展的支撑平台，在能够实现双活功能和异地灾备的“两地三中心”网络架构。
三、安全分析与解决思路
云计算模式通过将数据统一存储在云计算服务器中，加强对核心数据的集中管控，比传统分布在大量终端上的数据行为更安全。由于数据的集中，使得安全审计、安全评估、安全运维等行为更加简单易行，同时更容易实现系统容错、高可用性和冗余及灾备恢复。但云计算在带来方便快捷的同时也带来新的挑战：
对物理设备的控制缺失；
同一物理主机上虚拟机之间流量的不可见性；
Hypervisor脆弱性引入的安全威胁（虚拟机逃逸等）；
物理安全边界模糊；
多租户环境下的数据安全和隐私保护；
云平台的安全性云服务的可靠性；
.......
解决云计算环境下的安全问题需要传统IT安全技术向云计算环境延伸，同时引入新的安全技术和方法解决云计算环境下特有的安全问题。考虑到云计算环境区别于传统IT安全的最大不同在于虚拟化环境下的安全问题，而虚拟环境下的安全又以虚拟流量的识别和检测作为核心。介于上述原因我们建议在能源行业私有云安全防护方案中考虑两种可行方式：第一种方式采用云计算环境下的发展趋势——软件定义网络SDN，基于支持SDN的交换机（如OpenvSwitch）和虚拟平台（vCenter）开放的API接口，利用SDN技术在不影响正常业务的情况下自动识别虚拟机的迁移等业务流变化以及引起的安全需求的变化，从而制定新的安全策略，并根据需求和安全策略将虚拟流量通过SDN技术转发到相关的虚拟或实体安全设备上（通过SDN流量调度，安全设备形态和部署比较灵活）进行检测和分析，从而实时有效的保护云计算环境的安全。第二种方式采用和厂商合作的方式，或以项目维度出发通过合作获得厂商开相关API及技术支持，将我们的安全设备（如防火墙）虚拟化，利用在安全产品和安全服务上的技术优势将二者的特点整合在一起，聚合成为一个具有安全资源池和安全服务能力的云安全服务提供者——云安全服务平台，为私有云提供云化安全服务。
四、私有云防护思路
1.网络层安全域划分。云计算的应用模式是将不同单位的业务系统和敏感数据集中在云中心内，实现IT资源的服务化。由于不同单位的业务系统和敏感数据有不同的安全等级和知悉范围，为了保证各单位业务系统和敏感数据的安全性，需要将具有相同安全等级、相同业务类别的虚拟计算节点实现可信互联，明确不同安全区域的边界，实现不同区域间的安全隔离，最大限度地保护多租户共享资源环境下用户数据的安全性。根据能源企业现有的状况，结合私有云的多层次架构体系，在网络层划分了六个主要的安全域，分别为生产区、非生产区、资源区、管理区、服务区以及运维区。其中服务区划分了通用服务区和安全服务区两个安全子域，运维区划分了堡垒机区和认证区两个安全子域。
2.虛拟机、控制中心以及Hypervisor的安全加固。在云计算中心各类硬件、软件、协议的具体实现或系统安全策略上都会存在一些缺陷，可以使攻击者在未授权的情况下访问或破坏系统。虚拟化平台的安全问题，以相关的主要组件防护为核心，对控制中心、虚拟机、Hypervisor进行相关的安全加固。
3.虚拟网络安全防护。云计算平台上将运行多种应用系统，这些业务系统运行在不同的虚拟机逻辑主机上，必须对运行不同业务的虚拟机之间进行隔离，保护信息资产免遭非授权访问。针对云计算环境下虚拟网络存在的安全问题，基于OpenvSwitch技术，实现用户可控虚拟机安全管理、虚拟安全域划分、安全域间访问控制、虚拟流量管理检测等功能，解决云计算环境下因广泛采用虚拟化技术而带来的网络边界模糊、网络无序不可控等问题。
4.私有云环境下的其它安全问题。
4.1数据安全。云平台数据安全主要是包括存储系统的容灾备份系统、数据安全加密以及数据的迁移设计。利用容灾备份系统能够确保存储系统由于不可抗因素被破坏后，备份存储系统能够及时恢复关键数据，并且保障上层应用的可用性，同时保障数据的安全性。另外，在进行关键数据的存储时，将采用加密存储技术，关键信息经过符合我国密码管理局要求的加密算法进行处理后存储到系统当中，确保数据的机密性。 4.2虚拟节点防护。云计算环境针对虚拟节点的防护通过节点安全代理实现Hypervisor层更严格的虚拟资源隔离功能。云安全服务平台采用一种基于系统调用拦截的虚拟资源隔离技术来实现虚拟资源的隔离和访问控制。通过对上层虚拟机的系统调用、内存访问和磁盘I/O进行拦截并监控，跟踪内存访问是否越界，磁盘I/O访问对应的文件操作是否符合访问控制策略。对于用户的静态数据，通过在虚拟机监视器源码中加入事件钩子函数和存储监控模块，对虚拟磁盘的访问事件进行监控，可以实现对用户数据的实时监控和隔离保护，防止非法访问。对于用户进程中参与计算的动态敏感数据，则通过对用户进程的内存页进行实时监控，从而预防用户敏感数据在运行过程中被窃取和篡改。
4.3虚拟镜像安全。虚拟机镜像文件、快照文件、模板文件是用户使用云计算的重要资源，通常保存用户安全属性和配置相关的重要信息，必须确保其完整性，并且在必要的时候也应进行加密保护，以防止被篡改或在传输复制过程中被破坏或信息的泄露。云安全防護平台利用虚拟机透明加解密技术能够对虚拟机镜像文件在每次虚拟机启动时进行加载前的静态度量，只有在与上次关闭时的值匹配才能启动；并且在运行结束后重新进行度量更新。
4.4虚拟用户数据隔离。云安全防护平台采用基于安全标记的强制访问控制技术，对应用软件进行有效控制，在虚拟机操作系统创建以应用软件为核心的安全隔离域，隔离域内的进程被限制在作用范围内，隔离域外的进程被限制访问域内资源，这样不仅可以实现不同应用软件间的安全隔离，也能够有效的提升应用系统的自我免疫能力和抗攻击能力。
4.5私有云安全监控。云计算环境下的安全监控相比传统的流量监控，除了能够支持传统云数据中心物理网络设备的流量，也将对虚拟网络流量，虚拟机之间的流量进行全方位的监控。另外，和传统监控系统不同，云安全服务平台提供的云安全监控能够对私有云数据中心的所有物理网络和虚拟网络中发生的流量进行全方位、多粒度、多层次的采集、分析和挖掘。通过对流量数据的分析，对应用进行识别，发现虚拟网络和物理网络设备及服务器主机的异常。通过对网络流量状况进行全局的精细分析、 对关键业务的性能进行实施监测， 提供私有云数据中心物理和虚拟网络运行状况的分析报告， 完成快速故障定位， 并能够协助对网络攻击行为进行识别和溯源。
参考文献：
[1]《云计算服务安全能力要求》《云安全指南》——CSA云安全解决方案介绍——刘文懋.