防灾及恢复方法－Ｄｉ　ｓａｓｔｅｒ　Ｐｒｅｖｅｎｔ　ｉｏｎ　ａｎｄ　Ｒｅｃｏｖｅｒｙ　Ｍｅｔｈｏｄ　公有云安全风险分析及应对技术　

杜瑞祥鲜明　谷俊陈恬　（国防科学技术大学ＣＥＭＥＥ国家重点实验室　湖南长沙４１００７３）　

【摘要】随着云计算的蓬勃发展，公有云作为云计算的主要形态，安全问题不可避免并且日渐突出。论文首先简　单阐述了公有云安全产生的背景和相关概念，介绍了公有云环境中面临的攻击，然后基于公有云的安全需求和面　临的攻击，详细介绍了公有云安全的关键技术并做分析，最后给出了多方面综合来解决公有云安全问题的结论。　【关键词】公有云安全；虚拟化安全；数据私密性和安全性；访问控制；拒绝服务攻击；侧信道　【中图分类号】ＴＮ９２６—３４；ＴＰ３１１　【文献标识码】Ａ　

Ｐｕｂｌｉｃ　Ｃｌｏｕｄ　Ｃｏｍｐｕｔｉｎｇ　Ｓｅｃｕｒｉｔｙ　Ｒｉｓｋ　Ａｎａｌｙｓｉｓ　ａｎｄ　Ｃｏｕｎｔｍｅａｓｕｒｅｓ　Ｄｕ　Ｒｕｉ－ｘｉａｎｇ　Ｘｉａｎ　Ｍｉｎｇ　Ｇｕ　Ｊｕｎ　Ｃｈｅｎ　Ｔｉａｎ　（Ｎａｔｉｏｎａｌ　ＵｎｉｖｅｒｓｉｔｙｏｆＤｅｆｅｎｓｅ　Ｔｅｃｈｎｏｌｏｇｙ，Ｓｔａｔｅ　ＫｅｙＬａｂｏｒａｔｏｒｙｏｆＣｏｍｐｌｅｘＥｌｅｃｔｒｏｍａｇｎｅｔｉｃＥｎｖｉｒｏｎｍｅｎｔＥｆｆｅｃｔｓ　ｏｎ　ＥｌｅｃｔｒｏｎｉｃａｎｄＩｎｆｏｒｍａｔｉｏｎ　Ｓｙｓｔｅｍ　ＨｕｎａｎＣｈａｎｇｓｈａ　４１００７３）　

【Ａｂｓｔｒａｃｔ】Ｗｉｔｈ　ｔｈｅ　ｐｒｏｓｐｅｒｏｕｓ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　ｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ｔｅｃｈｎｏｌｏｇｉｅｓ，ｐｕｂｌｉｃ　ｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ｉｓ　ｔｈｅ　ｄｏｍｉｎａｎｔ　ｆｏｒｍ　ｏｆ　ｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ，ａｎｄ　ｉｔｓ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｓｅｓ　ａｒｅ　ｉｎｅｖｉｔａｂｌｙ　ａｎｄ　ｉｎｃｒｅａｓｉｎｇｌｙ　ｐｒｏｍｉｎｅｎｔ．Ｆｉｒｓｔｌｙ　ｔｈｅ　ｐａｐｅｒ　ｂｒｉｅｆｌｙ　ｅｘｐｌａｉｎｓ　ｔｈｅ　ｂａｃｋｇｒｏｕｎｄｓ　ａｎｄ　ｔｈｅ　ｒｅｌｅｖａｎｔ　ｃｏｎｃｅｐｔｓ　ｏｆ　ｐｕｂｌｉｃ　ｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ｓｅｃｕｒｉｔｙ，ｉｎｔｒｏｄｕｃｅｓ　ｔｈｅ　ｎｅｔｗｏｒｋ　ａｔｔａｃｋｓ　ｉｎ　ｐｕｂｌｉｃ　ｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ｅｎｖｉｒｏｎｍｅｎｔ．Ａｎｄ　ｔｈｅｎ，ｂａｓｅ　ｏｎ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｒｅｑｕｉｒｅｍｅｎｔｓ　ａｎｄ　ｎｅｔｗｏｒｋ　ａｔｔａｃｋｓ，　ｐａｒｔｉｃｕｌａｒｌｙ　ｅｘｐｌａｉｎｓ　ｔｈｅ　ｋｅｙ　ｔｅｃｈｎｏｌｏｇｉｅｓ　ｏｆ　ｐｕｂｌｉｃ　ｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ｓｅｃｕｒｉｔｙ　ａｎｄ　ｇｉｖｅ　ａｎａｌｙｓｉｓ．Ｆｉｎａｌｌｙ，ｔｈｅ　ｃｏｎｃｌｕｓｉｏｎ　ｗａｓ　ｇｉｖｅｎ　ｔｈａｔ　ｗｅ　ｎｅｅｄ　ｔｈｅ　ｃｏｍｐｒｅｈｅｎｓｉｖｅ　ｓｏｌｕｔｉｏｎ　ｏｆ　ｐｕｂｌｉｃ　ｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅｓ．　【Ｋｅｙｗｏｒｄｓ】ｐｕｂｌｉｃｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ｓｅｃ　ｌｙ；ｖｉｍａＩｉｚａｌｉｏｎ　ｓｅｃｕｒｉｔｙ；ｄａｔａ　ｐｒｉｖａｃｙａｎｄ　ｓａｌｔｙ；ａｃｃｅｓｓｃｏｎｔｒｏｌ；ｄｏｓ；ｓｉｄｅ　ｃｈａｎｎｅｌ　

１　引言　同时，６３％的用户认为安全是最大的阻力。　云计算服务模式具有巨大的经济技术优势和广阔　的应用前景，普及云服务技术对我国的信息化建设和　社会发展具有重要的意义。眼下，随着各行各业的云计　算进本落地，公有云作为云计算的主要形态，越来越多　的个人、企业和机构在公有云部署信息数据系统，打破　原有边界的新技术架构给用户安全带来潜在风险。与　此同时公有云安全技术的发展显然没跟上其本身的发　展，依旧是服务商和用户的头疼问题。根据国际驰名分　析机构Ｇａｒｔｎｅｒ的分析报告显示：过去的３年．全球范　围内云计算市场规模以每年２０％的速度在增长，与此　２公有云安全　２．１云计算安全问题　云计算安全主要指云计算落地的企业、机构或使　用云计算业务用户的数据安全、信息安全、服务可用与　安全等。云计算安全联盟（ＣＳＡ）在第五届云安全联盟　高峰论坛发布了一项关于云计算安全的调查报告，调　查发现在安全专家们看来，云计算领域面临的最大威　胁，是网络犯罪分子和黑客利用病毒和恶意软件造成　的混乱，进而列出云计算行业面临的九大安全威胁，依　次是共享技术的漏洞、帐户劫持、数据丢失、数据泄露、　

网络空间安全·２０１６年７月·６７．　Ｄｉ　ｓａｓｔｅｒ　Ｐｒｅｖｅｎｔ　ｉｏｎ　ａｎｄ　Ｒｅｃｏｖｅｒｙ　Ｍｅｔｈｏｄ·防灾及恢复方法　云计算服务的滥用、云服务规划不合理、不安全的　ＡＰＩ、拒绝服务攻击、内部人员的恶意操作问题。　２．２公有云安全　公有云安全的内涵包含两个方面：一是云平台自　身安全．也可以称之为“云端的安全”：二是公有云技　术在安全领域的具体应用，也称为安全云计算。云平台　自身安全主要针对公有云环境中本身存在的安全隐　患　研究相应的安全防护措施和解决方案，如云环境中　数据安全、应用系统与服务安全、用户信息安全等；安　全云计算，即通过利用公有云的优越性来提升安全系　统的服务性能．主要指利用公有云架构．采用云服务模　式．实现安全的服务化或者统一安全监控管理，是当前　安全领域关注的技术热点ｌ　Ｊｌ。当然，这两方面互相支持、　相互渗透，在具体应用中两者之间存在的交集。　

３公有云的安全威胁　从目前的情况来看，公有云环境中网络攻击增长　迅速．公有云安全错综复杂，面临的安全攻击包括两大　类：其一，利用虚拟机之间的资源共享或者同一操作系　统中用户的依赖关系进行攻击，目前这些攻击主要包　括虚拟化软件攻击、拒绝服务攻击、侧信道攻击等漏洞　攻击以及获取数据、隐私窃取等云上安全问题；其二，　公有云并不是完全新创造的技术，是原来计算机网络　技术的聚合和创新运用，原来的安全隐患依然存在，主　要涉及到拒绝服务攻击、ＳＱＬ注入攻击、跨站脚本攻　击、网络嗅探、中间人攻击等传统的网络安全问题。　３．１虚拟化软件攻击　虚拟机监控器是一个管理控制程序，是物理机上　具有最高权限的软件。这也使其成为恶意攻击的重要　目标，通过监控器本身漏洞获得权限，会对整个虚拟　化环境造成极大的危害。使用虚拟机镜像操作系统　时，操作系统本身存在不断发现的漏洞、已经镜像到　系统中的恶意软件、盗版软件及发布方故意安装的恶　意软件等也是主要的安全威胁。Ｂｕｇｉｅｌ等人圜展示了利　用操作系统漏洞针对亚马逊云平台虚拟机操作系统　镜像（ＡｍａｚｏｎＭａｃｈｉｎｅ　Ｉｍａｇｅ，ＡＭＩ１的攻击方法，能够从　虚拟机的操作系统中获取用户的敏感信息。Ｂｕｇｉｅｌ等　人还发现　攻击者通过镜像的ＳＳＨ主机密钥对可以识　别使用该镜像创建的其他实例系统，利用镜像中漏洞　和预安装软件．更便利的进行伪装攻击、中间人攻击　．６８．２０１６年７月·网络空间安全　和钓鱼攻击等。　３．２拒绝服务攻击　攻击者采用非法手段消耗被攻击者的服务资源　等，或直接攻击服务器主机导致主机死机，使服务器中　断或者延迟向用户端提供服务，从而使用户端发『叶Ｊ的　请求无法被服务器正常响应。２０１４年末，ＤＮＳ服务商　１＆１和ｄｎｓｍａｄｅｅａｓｙ．ｃｏｒｎ受到随机字符串＋域名的　ＤＤｏＳ猛烈攻击，致使ＤＮＳ服务器的缓存耗尽，因而无　法对外提供流畅服务。２０１５年３月，ｇｉｔＨｕｂ遭遇大流　量ＤＤｏＳ攻击．攻击者通过“接力”百度广告联盟的方　式发起了攻击。在２０１５年的最后一天．ＢＢＣ的网站遭　受了有史以来最惨烈的ＤＤｏＳ攻击，是成立于２０１２年　的“新世界”黑客组织发起并造成了６０２Ｇｂｐｓ的流量洪　水，“新世界”利用云计算的强计算能力、高带宽的优势　形成了如此强大的攻击能力。　３．３侧信道攻击　当前云环境下的侧信道构建研究都是基于经验　的，不是基于对云环境中侧信道的系统化搜索。按照侧　信道的影响范围，可将侧信道分为域内侧信道，跨平台　侧信道、域间侧信道。如利用Ｉ／Ｏ调度算法给予公平策　略的特点，通过有目的的改变受攻击者的数据卡流量　来改变外部主机得到Ｒｅｓｐｏｎｓｅ数据包的延时，从而构　建隐蔽信道：基于共享内存的Ｉ／Ｏ环形缓冲区和事件　通道构成双向通道．利用Ｉ／０缓冲区的数据申请机制．　通过有目的的控制数据申请或者申请次数来与共享内　存的同驻虚拟机构建侧信道。Ｚｈａｎｇ［　］等人，提出一种针　对多租户ＰａａＳ商业平台的基于高速缓存的侧信道攻　击方法。侧信道攻击以Ｇｕｌｌａｓｃｈ１４１的ＦＬＵＳＨ＋ＲＥＬ０ＡＤ　攻击为原型，以自动化跟踪被攻击者执行痕迹为驱动　策略，进行了改进和拓展。攻击分为两个步骤：首先，判　断两个用户应用是否同驻同一个操作系统；其次，跨边　界获取共享Ｃａｃｈｅ泄露的信息，通过分析获得敏感信，　劫持用户账户，突破ＳＭＡＬ单点登录。　

３．４　ＳＱＬ注入安全攻击　通过利用ＳＱＬ注入安全漏洞将ＳＱＬ命令插入到　Ｗｅｂ表单中提交或者添加到网络输入框当中，得到一　个存在漏洞的网站的数据库，达到欺骗服务器执行恶　防灾及恢复方法·Ｄｉｓａｓｔｅｒ　Ｐｒｅｖｅｎｔｉｏｎ　ａｎｄ　Ｒｅｃｏｖｅｒｙ　Ｍｅｔｈｏｄ　意ＳＱＬ代码，并不是按照设计者的意图执行命令，进　而获得非法访问的权限。攻击者通过ＳＱＬ攻击，不但　可以操控Ｗｅｂ界面，也可以获取非授权的用户信息。　３．５跨站脚本安全攻击及网络嗅探　攻击者通过Ｗｅｂ程序将恶意ＵＲＬ植入到网络链　接并发送给用户，被攻击将用户导向特定页面．用户浏　览器会执行该恶意代码，并同时窃取敏感数据．如　Ｃｏｏｋｉｅ、会话令牌等。网络嗅探指的是黑客利用网络嗅　探器实施网络攻击，如网络嗅探器，通过检测网络性　能、查找网络漏洞和抓取数据包，盗取用户数据的过　程，数据未加密、密码过于简单容易使得黑客获取数据　更方便，可进行ＡＲＰ欺骗、会话劫持、ＩＰ欺骗等攻击。　３．６中问人安全攻击　这是一种“间接”的攻击．攻击者在通信双方不知　情的情况下拦截双方在网络中传输的通信数据．并在　拦截后嗅探及篡改数据，按照原来的数据流向继续发　送，对于通信双方来说像是透明传播一样。ＳＳＬ配置错　误为中间人攻击提创造了有利条件，如通信双方没有　正确安装ＳＳＬ，则黑客就可以在双发交互信息的同时　侵入到通信双方的计算机并同时窃取通信数据。　４公有云安全关键技术　４．１虚拟化安全技术　虚拟机镜像管理涉及发布者、使用者和管理者三　方面风险，Ｗｅｉ＿５＿等人设计了镜像发布使用的安全机　制，包括镜像过滤器、镜像系统的访问控制、镜像漏洞　升级维护服务、镜像发布者追踪机制等。这些安全机　制能够同时监控镜像发布者、使用者和管理者，及时　的维护更新，多角度的降低了三者的风险。Ａｚａｂｔ￣等人　提出了ＨｙｐｅｒＳｅｎｔｒｙ，利用安全硬件设计的方法，在虚拟　机中增加安全控制机制，如完整性度量代理，增强虚拟　机监督程序的完整性。在虚拟机监督程序中增加一个　完整性度量代理，连接硬件中的基线板管理控制器件。　通过智能管理平台管理基线板来管理控制器接口与远　端的验证方进行通信。　文献［７］提出了基于使用控制模型（ＵＣＯＮ）ｍｌ的　Ｈｙｐｅｒｖｉｓｏｒ非控制数据完整性保护模型。该模型在非控　制数据完整性保护需求的基础上简化了ＵＣＯＮ模型，　继承了ＵＣＯＮ模型的连续性和易变性，实现非控制数　据的实时访问控制。根据攻击样例分析攻击者和攻击　对象确定主客体减少安全策略．提高了决策效率：并基　于ＥＣＡ描述安全策略。能够有效地决策非控制数据访　问合法性。在Ｘｅｎ系统中设计并实现了相应的原型系　统。通过实验评测表明，能够有效阻止针对虚拟机管理　器的攻击，且性能开销在１０％以内。　４．２同态加密及其应用　目前同态加密算法主要集中在非对称加密模式　下，利用代数中安全的数据结构来构造安全的加密方　案。近年来，可同时支持加法与乘法的全同态算法相继　提出。文献【９】基于理想格首次提出全同态加密算法的　实现，文献［１０１取消了理想格的限制。同态加密算法…］　是对２种或２种以上的运算保持同态的加密方案。用　文献【ｌ２］的同态加密方案加密的密文随着计算乘法或　加法电路深度的增加而指数增加。上述方案可以归类　到ＰｏｌｌｙＣｒａｃｋｅｒ框架方案【　．框架系统内所有算法的安　全性都是基于理想成员资格判定问题。该框架内的算　法都假设理想成员资格判定问题是困难的，但对于这　个问题的困难性假设是否成立还有许多疑问［１４１，此外　这些方案的密文膨胀也是一个严重问题，因为这种膨　胀速度有时甚至是电路深度的双指数函数。因此，设计　高效的全同态加密方案是有待解决的。