云计算导论 课件 第四章 云安全

《云计算导论》第四章云安全目录云基础设施安全1云数据安全2云应用安全3云安全标准和法律法规44.1云基础设施安全基础设施亦称公共设施，是指为社会生产和居民生活提供公共服务的物质工程设施，它是社会赖以生存发展的一般物质条件。云基础设施是指为互联网用户提供存储、计算、网络带宽等云计算服务的物质工程设施，是构建云计算资源和服务的一般物质条件。云基础设施安全是为了保障云计算资源中心正常运行，提供可靠的云服务，实现所承诺的功能和性能所需要采取的安全措施、安全技术手段和管理策略。具体来说，云基础设施安全又分为网络硬件安全和主机系统安全，主机系统安全主要是基础软件系统和中间件系统的安全。4.1云基础设施安全4.1.1网络硬件安全网络硬件安全主要是指云计算硬件设备及其部署环境的安全，重点解决硬件设备的物理安全问题，主要包括两个方面的安全：环境安全和设备安全。1．环境安全环境安全是指云基础设施所处的外部环境的安全，包括场地选择、机房建造和装修、电力保障、网络保障、消防安全和机房管理等。1）场地选择2）机房建造和装修3）电力保障4）网络保障5）消防安全6）机房管理4.1云基础设施安全4.1.1网络硬件安全2．设备安全设备是指构成云基础设施资源中心的各种网络设备、计算机设备以及辅助设备，如供电相关设备等。这些设备可能受到环境因素、未授权访问、供电异常、设备故障和人为破坏等方面的威胁，保障这些设备的安全包括以下几个方面：1）防盗防毁2）防止电磁泄漏和电磁干扰3）设备维护4）设备报废与再利用5）设备转移4.1云基础设施安全4.1.2主机系统安全相对于硬件安全，软件系统的安全更频繁地影响着云基础设施的正常运行，软件故障、系统漏洞、病毒感染、黑客入侵等无时无刻不在影响着云基础设施的正常高效运行，消除或减少这些危害的技术手段主要有软件测试、漏洞扫描、防火墙、入侵检测和恶意软件防范。1．软件测试2．漏洞扫描3．防火墙4．入侵检测5．恶意软件防范4.1云基础设施安全4.1.3安全管理长期以来，人们保障安全的手段偏重于依靠技术，在安全技术和产品的研发上不遗余力，新的技术和产品不断涌现。消费者也更加相信安全产品，把大部分安全预算也都投入到信息安全产品的采购上。但事实上，复杂的信息安全技术和产品往往在完善的管理下才能发挥作用。据统计，70％的泄密犯罪来自组织内部，相关安全技术人员的违规操作非常普遍。因此，人们在信息安全领域总结出了“三分技术，七分管理”的实践经验和原则。4.2云数据安全4.2.1数据存储安全数据存储安全是指数据在云基础设施中存储所涉及的安全问题，在存储中数据安全的主要目标是保障数据的机密性、完整性和可用性。1．机密性保障机密性是指数据不被泄露给非授权的用户、实体或过程，或被其利用。对数据进行加密是保障数据机密性的一个重要方法，即使该数据被人非法窃取，对他们来说也只是一堆乱码，他们无法知道具体的信息内容。2．完整性保障完整性是指数据未经授权不能进行更改。完整性要求数据不应受到各种原因的破坏，影响数据完整性的主要因素有设备故障、人为攻击、计算机病毒等。3．可用性保障可用性是指数据可以被授权实体访问并按需求使用。可用性涉及的范围很广，在此处数据存储的可用性主要是指数据不会因为突发的灾害或系统错误而丢失。保障数据可用性的方法主要通过备份或复制数据副本来实现。4.2云数据安全4.2.2数据访问安全在实现安全存储之后，用户在使用数据的过程中也存在安全问题。首先，非授权的用户不能访问数据，同时授权的用户也不能被限制而造成使用困难。其次，为防止使用数据过程中被拦截的风险，数据的传输安全也同样重要。1．访问控制访问控制是在保障授权用户能获取所需数据的同时拒绝非授权用户的安全机制。2．传输安全在云计算应用环境下，数据的网络传输不可避免，因此保障数据传输的安全性也很重要。数据传输安全主要通过加密方式实现，数据传输加密可以选择在链路层、网络层、传输层等不同层次实现，采用网络传输加密技术保证网络传输数据信息的机密性、完整性、可用性。4.2云数据安全4.2.3数据管理安全通常云计算平台是以多租户模式向用户提供服务的。这种多租户模式在带来巨大好处的同时也给用户数据的安全带来了隐患。1．数据隔离1）物理层隔离2）虚拟化层隔离3）中间件层隔离4）应用层隔离2．残余信息保护4.3云应用安全4.3.1用户认证用户在使用云提供商提供的服务时，需要向云提供商证明自己是合法用户。云提供商一般提供两种认证方法：一种是集中式的认证方法，另一种是去中心的认证方法。4.3云应用安全4.3.2应用授权为了方便计算，用户可以授权一个云平台访问自己在另一个云平台上的数据，也可以用一个唯一的URL作为自己的身份登录多个网站，这些都需要协议的支持。常用的有OAuth和OpenID授权协议。4.4云安全标准和法律法规目前，有许多标准化组织和政府组织已着手研究云计算相关的安全标准和法律法规，产生了一些成果，但是相关的