云计算信息安全分析与实践

同层次的抽象来实现，如操作系统级虚拟化、半虚拟化和全虚拟化。

虚拟化软件产品保证用户的虚拟主机能在多用户环境下相互隔离，可以安全地在一台物理服务器上同时运行多个虚拟主机系统，因此云服务提供商必须建立安全控制措施，严格限制任何未经授权的用户访问虚拟化软件层，限制对虚拟化层次的访问。

另一方面，虚拟化具有动态性，即所虚拟的服务系统会根据整个云的情况进行动态调整，如把虚拟服务器进行动态切换、挂起等。虚拟化软件层必须考虑由此带来的安全风险，如切换是否完整、是否存在数据残留、是否存在数据丢失、在切换的过程中是否会被利用共享内存攻击而导致数据被窃取等，这些问题都是虚拟化软件层要解决的。

(2)虚拟主机系统安全

虚拟主机系统位于虚拟化软件产品之上，普通的物理服务器主机系统的安全原理与实践完全可以运用到虚拟主机系统上，同时也需要补充虚拟主机系统的特点。应当对虚拟主机系统的运行状态进行实时监控，对各虚拟主机系统的系统日志和防火墙日志进行分析，以此来发现存在的安全隐患。对于发现存在安全隐患的虚拟主机系统，应立即进行隔离，避免危害扩散，而对于已经不需要运行的虚拟主机，应当立即关闭。物理服务器的安全原理不再赘述。

5 某集团私有云平台安全实践

某集团公司已经成功地建立了“大云”云计算平台，为了适应业务发展和技术转型的需要，广东移动分别按照BSS,OSS,MSS线条建立私有云计算平台。出于信息保密方面的考虑，不对云计算平台的具体方案和详细部署细节做过多叙述，仅给出一个具体的实施样例模型以进行安全方案论述。到目前为止，广东移动的私有云平台主要集中在IaaS层面，在进一步巩固IaaS建设的同时，正在着手开展PaaS方面的建设尝试。在云计算安全方面，如前文所述，主要集中在数据安全和应用安全两个层面。这里主要讲述在数据安全方面的实践工作。

5.1数据和资源访问

数据访问的策略即权限控制，主要是通过安全认证和安全网关访问技术来解决。在广东移动的实践中，是通过4A项目的建设来统筹完成的。4A项目实现了单点登录认证、强制用户认证，将应用资源和数据的方案控制在合理的范围内。并采用不同安全域之间的认证或者不同认证方式相结合的方式，通过动态令牌和静态口令、短信认证多种认证手段相结合的方式，对用户身份进行严格审查。特别地，对受限敏感数据进行操作或访问受限敏感网络资源前，对操作者身份进行更为严格的核查，采用按次审核的VPN访间方式，确保安全可靠。另外4A平台在权限方面进行统一合理的分配，数据或资源的访问都通过图形网管或者字符网管进行监视，并对日志和人员操作进行记录和审计，做到了可溯源。4A平台的主要功能概念框架和访问方式的概念模型如图1、图2所示。

因此，在数据和资源访问方面，广东移动将4A平台作为私有云的基础数据和资源访问平台，可以提供安全可靠的保障。

5.2数据传输和隔离

广东移动在私有云平台数据传输和隔离方面主要存在如下问题。

˙不同部门对安全级别的要求不一样，管理流程不一样，需要平衡统一维护和分开管理的矛盾。

图1 4A系统概念框架

图2 访问及控制机制

˙在虚拟化的架构下，保证安全性需做到:物理服务器内部虚拟机有流量查看与策略控制机制，虚拟机端口策略需要跟随虚拟机动态迁移，网络、服务器等安全的分工界面保持明晰，原有设计无法实现。

˙云平台业务灵活动态增减与严格安全隔离之间的矛盾。为了解决上述问题，广东移动进行了周密的规划和详细的考虑及设计。网络上做到分层分段隔离，保证网络及信息系统间有着清晰的物理或逻辑边界。图3为私有云平台的网络部署逻辑。

图3 私有云平台的网络部署逻辑

在实践中，除了使用IPS安全防御系统和企业级防火墙等安全设施作为防御手段，为了保持维护和管理界面的清晰和安全性，采用了VDC(virtual device context)技术，通过虚拟化把一台物理交换机虚拟化成多台逻辑设备技术。一台物理交换机虚拟成多台VDC虚拟交换机后，具有以下几个特点:VDC之间完全隔离，具有独立的管理地址和配置文件;一台物理交换机最多可以虚拟成8台VDC虚拟交换机;每台VDC具有独立的VLAN空间，分别支持