摘要

云計算已發展成為大數據應用、跨平臺應用的主要解決方案，而虛擬化、大規模、開放性等特征，帶來了更多安全威脅和挑戰，通過分析云計算安全防御模型架構，分別對云計算安全的技術特征、運行特征、保障模式等方面進行了研究，提出了云計算安全能力軟件定義、保障服務化、服務智能化、防御動態化等關鍵技術，支撐云安全防護靈活部署、高效保障、快速響應，提升云計算環境多樣化安全需求的響應能力，以及強對抗環境中云計算持續服務能力。

當前，云計算作為一種基于互聯網的新型分布式計算模式，憑借其高效、可靠、易維護的特點，已發展成為大數據應用、跨平臺應用等的主要解決方案。由于云計算因虛擬化、大規模、開放性等特征，面臨的安全威脅和挑戰遠大于傳統網絡信息系統，同時帶來更多安全風險。如2019年10月，全球最大云服務商AWS遭受DDoS攻擊，DNS安全面臨巨大挑戰，惡意攻擊者向系統發送大量垃圾流量，致使服務長時間受到影響。

同時，云安全聯盟(Cloud Security Alliance, CSA)發布了2019年云計算面臨的威脅報告，包括數據泄露、配置錯誤或變更控制不足、缺乏云安全架構和策略、身份、憑證、訪問和密鑰管理不足、賬戶劫持、內部威脅、不安全的接口和API、控制平面薄弱、元結構和應用程序結構故障、濫用和惡意使用云服務等11大威脅。為更好應對云計算推廣應用過程中不斷暴露的安全威脅風險和層出不窮的安全攻擊手段，針對云計算安全防御關鍵技術研究有著重要和深遠的意義。

1.云計算安全防御體系

由于云計算應用存在網絡互聯開放性、資源全面共享性、信息全面服務化，面臨來自網絡空間的攻擊目標聚焦、手段多樣、變化更快、能力更強、破壞性更大、影響面更廣，構建合理、完備的云安全體系，突破、解決各種相關安全關鍵技術，才能有效應對云環境下各種復雜安全風險，滿足云業務提供商、運營商、安全廠商、用戶構成的云生態系統安全服務需求。

云計算環境由硬件設施、虛擬資源、虛擬化計算資源、軟件平臺和應用軟件等組成，其服務類型主要包括軟件即服務(Software-as-a-Service, SaaS)、平臺即服務 (Platform as a Service, PaaS)、基礎設施即服務(Infrastructure as a Service, IaaS)3 種服務模式。不同服務模式下，云服務商和云租戶/客戶對資源訪問能力不同，安全保護需求有所區別。根據國家信息安全技術網絡安全等級保護安全設計技術最新要求，云計算環境安全服務需要基于統一全服務政策法規與標準，由一系列基礎安全服務相互支撐、協同產生。

圖1　云計算安全防御參考框架

云計算環境安全防御需要在傳統信息系統的安全保密管理、身份認證與訪問控制、系統容災備份、安全審計、入侵檢測等通用安全保密防護基礎上，同時針對云計算環境虛擬化、按需服務化等特點實施安全防護。根據國家等級保護要求，安全通用要求中的安全計算環境部分是針對邊界內部提出的安全控制要求。

云計算環境需要通過網絡區域邊界訪問控制、入侵防范、安全審計、集中管控，及計算環境身份認證、訪問控制、入侵防范、鏡像和快照保護、數據安全性、數據備份恢復、剩余信息保護、云環境可信、虛擬化安全、惡意代碼防范等安全防護技術手段，如圖1所示，分別從物理層、虛擬資源層和服務層，保障云計算環境中的硬件設施、虛擬資源、虛擬化計算資源、軟件平臺、應用軟件及數據安全。云計算環境應以統一安全基底為基礎，安全按需賦能為核心，智能安全管理為保障，在安全檢測預警的支撐下，能夠形成“監測—決策—響應—防御”的動態防御體系。

2.云安全防御軟件定義

傳統的網絡安全防護方法已不能應對云計算安全安全防護需求，在軟件定義一切的發展趨勢下，軟件定義安全(Software Defined Security, SDS)為解決云計算安全提供了支撐，其核心是將物理安全設備與它們的接入方式、部署位置解耦，將硬件平臺與軟件功能組件分層解耦，抽象為安全資源池里的資源，通過統一編程方式進行管理維護，安全資源、安全服務模型間基于開放的規范接口定義，支持安全功能靈活部署和安全能力按需提供，實現安全即服務，如圖2所示。

SDS參考SDN/FLOW架構，將傳統安全服務功能和安全防護控制功能分離，分為業務面和控制面。基于軟件定義架構的安全防護體系也可將安全的控制平面和數據平面分離，業務面由平臺層、執行層、服務層組成，通過安全能力抽象和資源池化，將各類安全設備抽象為具有不同安全能力的資源池，并根據具體業務規模橫向擴展該資源池的規模，滿足不同客戶的安全性能要求。

圖2　云安全軟件定義設計架構

其中，平臺層由各種物理形態或虛擬形態的安全平臺、計算平臺、存儲設備、安全路由交換平臺等組成，由智能安全管理中心統一部署、管理、調度，形成安全設施資源池，相關資源按需獲取，富有彈性，可擴展性強。為執行層各安全服務功能組件提供虛擬化的運行環境。

執行層由病毒防護、密碼服務、數據備份、入侵檢測、防火墻、流量控制等安全服務類功能組件和態勢感知、漏洞管理、事件審計、認證授權、身份管理、密鑰管理設施等安全管理類功能組件構成，各項安全功能組件與硬件資源完全解耦，標準化設計，支持統一編程控制接口，同時采用開放性架構設計，能夠集成第三方安全服務組件，實現安全廠商之間優勢互補、聯防聯控。服務層則是根據云環境租戶需求，基于控制面的統一安全服務編排，執行層的安全功能組件聯動，對網絡、虛擬機的接入互聯進行控制、信息流檢查等，提供安全接入與隔離安全服務，對應用、數據的操作訪問等提供應用訪問控制和數據安全服務。

控制面側重安全服務應用的編排、部署與管理運維，智能分析用戶任務以及運行過程中實時產生的安全服務需求，轉化為具體的安全資源調度和安全策略配置方案。基于控制層提供的編程接口，對業務面的縱向各層資源進行服務編排，在離散的安全服務資源之間形成正確的締約關系，構建體系性安全防護系統，實現安全服務的整體協同聯動，達到云安全防護的智能化、服務化、動態化。安全管理范圍將隨著服務交付模式、提供商能力而變化。

3.云安全防御服務化

云計算安全防護與傳統網絡安全防護在功能需求層面相似，但是由于云計算的虛擬化、數據中心化、大規模等特點，使得云安全在訪問控制、部署方式、保障模式等方面與傳統網絡安全均有所不同，云租戶對特色化、定制化的安全防護需求更加突出，在安全軟件定義的基礎上，服務化、組合化的云安全保障模式更能適應云計算體系架構下的應用模式。

圖3　服務化云安全防御

基于統一安全基礎設施，通過封裝和組合集中化、標準化和服務化的安全功能組件設計，利用標準的北向接口，實現策略自動編排，構建面向服務(Service-Oriented Architecture, SOA)的云安全體系結構，達到交付用戶安全服務的能力，為用戶提供從IaaS、PaaS到SaaS的安全訪問控制和應用安全防護等多層次安全服務。

服務化的云安全體系結構，通過服務注冊、服務發布、服務查詢、服務請求、服務拉取、推送或綁定等環節，為服務請求者提供所需安全服務，實現安全即服務，如圖3所示。各項安全服務，包括網絡入侵檢測、主機防火墻、密碼服務、安全審計等各項基礎安全服務功能，基于統一平臺，形成安全服務資源池。云租戶通過服務查詢和服務請求，申請相關安全解決方案。

云安全管理系統基于云計算安全防護體系架構，統一安全服務資源池的調度，通過按需編排、動態部署，使多個不同層次的虛擬安全服務設備交互協調、整體聯動，形成主動、綜合、協同防御的多角度、全方位云安全防護能力.通過為租戶提供云安全服務，滿足云環境下網絡安全隔離、租戶隔離、應用安全、數據安全等防護需求，為各租戶提供按需、彈性、易用的安全服務，實現事前云監測、事中云防護和事后云審計，為租戶虛擬計算環境、網絡及數據等提供全生命周期的安全防護。服務化云安全保障模式下，通過統一的安全運行維護與管理，既能提供精準化的安全保障，又能加快安全事件處置響應能力，促進整體安全防護能力提升。

4.云安全防御智能化

隨著云計算應用的普及，云端海量的企業和用戶數據，具有巨大的資產價值，吸引著大批黑客的攻擊與窺竊。各種安全漏洞帶來潛在安全威脅、新型網絡攻擊手段不斷推出，云計算環境面臨的安全形式日益復雜化，需要利用智能化防護手段，以人工智能為引擎，基于專家知識庫、深度學習和大數據分析等，深度分析內外威脅情報數據，為云計算環境提供智能感知、智能預警、智能決策和智能響應，

如圖4所示，提升云計算體系性安全防護的智能化水平，以更加快速地應對復雜變化的云計算安全威脅。

圖4　智能化云安全防御

一是通過多視角多粒度的網絡安全監測，基于分布式探針對日志、流量、性能等數據進行采集，對數據自動識別、補全、篩選和聚合，保證基礎數據的完整性和可靠性，使網絡安全態勢監測更加清楚，能更快地發現網絡安全威脅。

二是結合網絡空間的情報大數據，綜合多事件復雜關聯分析法，多模型行為分析法，以及基于多種統計分析、機器學習等深度分析法，對海量的感知信息進行細顆粒度、多維度的深度分析，挖掘價值數據，更加準確地研判安全態勢。

三是基于專家知識庫，安全防護規則模板、庫，動態為用戶制訂安全防護方案，以及提出安全防護策略修正等建議，輔助用戶更快速、更加準確地應對各類安全威脅和處置安全事件，針對性提升或鞏固云計算環境安全防護能力。

四是基于安全智能運維管理，對安全服務進行編排、重構等，確保云安全防御措施部署得當和防御策略執行及時高效，避免網絡空間安全威脅對云服務造成更大影響，將網絡安全威脅帶來的經濟損失降低到最小值。

5.安全防御動態化

通過對云安全各個行動環節進行統一安全設計，將安全作為一種基本屬性貫穿到云環節及其運行服務行為中。基于安全管理、安全服務、安全平臺及監測預警的聯動，構建形成“監測—預警—決策—響應”的云安全動態防御體系，如圖5所示。

一是通過對云環境實時“監測”，全面采集違規操作、網絡攻擊行為等安全態勢數據，并進行數據清洗、歸一化處理和融合化處理，挖掘重要信息。二是融合內外部威脅情報等，對感知監測形成的大數據進行安全風險分析和預判，為安全威脅進行告警，對安全趨勢進行研判，為用戶提供風險“預警”。三是云安全動態防御體系中的安全管理層，基于智能防御輔助決策，實施安全服務規劃，動態生成安全防御部署、防御策略、防御資源等保障方案，形成防御 “決策”。四是安全服務層根據安全防御調整方案做出“響應”，向安全平臺下發對應的安全服務功能，基于軟件定義安全服務平臺實施安全防御，抵抗各種安全風險事件。

圖5　動態化云安全防御體系

通過多功能整體聯動，實現對網絡攻擊、系統漏洞等安全風險實時智能監控、檢測分析和安全防御一體化，有效提高云環境的動態智能檢測、識別、防御能力，增強整體智能防御的效能。

6.結語

本文基于云計算安全基礎框架，提出了基于軟件定義架構的智能化、服務化、動態化防御體系，實現安全防御靈活部署、高效保障、快速響應，提升云計算環境多樣化安全需求和安全態勢的響應能力。為應對強對抗網絡空間中的安全博弈，需要深入研究大數據技術、人工智能等在云安全中的應用以及可信計算與云計算的融合[5]，實現多功能深度有機融合，以支撐構建智能化動態防御體系，為云環境提供立體、縱深、動態防護。