什么是云安全

云安全(cloud security)是指基于云计算商业模式应用的安全软件、硬件、用户、机构、安全云平台的总称。云安全通过网状的大量客户端对网络中软件的行为进行监测，获取互联网中木马、恶意程序的最新信息，并发送到Server端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。

云安全的产生和原理

在互联网普及前，计算机安全问题基本局限在单机范畴，传统安全厂商也主要做单机版杀毒软件，对付病毒的方法都是依靠“杀毒引擎+特征码”的“事后查杀”模式。反病毒行业目前一直沿用的方法是：发现病毒后，由反病毒公司的工程师解析病毒样本，然后将针对该样本的病毒码上传到病毒库中，用户通过定时或者手动更新病毒库，来获得杀毒软件的升级保护。但这样的传统杀毒方式，病毒码更新起来比较麻烦，用户每天升级杀毒软件也比较耗费内存和带宽，很多人对此很反感。此外，日益发展的大量病毒变种，使得标准样本收集、特征码创建以及部署不再能充分发挥效用。

另外，继续使用特征码防护机制面临的最大问题之一，是存在防护时间差的问题。一般来说，从一个病毒出现到被识别、分析、加入病毒特征码库到最终传送给用户计算机，通常要花费24～72小时。个人用户和机构用户在等待升级病毒库的这段时间中，他们的终端计算机将会暴露在安全威胁之下，很容易受到攻击。

起初病毒的设计是为了尽可能快速地进行传播，因此很容易找到。随着网络威胁的涌现，恶意软件已经从爆发模式发展到隐蔽的“睡眠式”感染，从而让传统的保护技术更加难以探测。对于小规模，特定范围传播的病毒(这是计算机病毒发展的最新趋势)，反病毒软件公司可能没有得到病毒样本，因此也无法提供特征代码。那么，对这些病毒，反病毒软件就无法检测到。即使反病毒软件公司提供特征代码，那也是在病毒传播一段时间之后了，这段时间里，用户也是不被保护的。

从安全防御机构的角度来说，如果依然沿袭以往的反病毒模式，安全机构依靠自身部署的有限地域、有限数量的恶意软件采集能力，无法在小规模爆发的恶意软件变成大规模的破坏前及时地采集、分析并提出处理措施，从而远远落在攻击者的脚步之后。基于“云安全”的网络协作模式，能够让每一台客户电脑都变成安全机构的智能恶意软件监测站，利用其主动防御技术及时发现和提交“可疑的恶意软件”，从而组成一个遍及全球和各领域的庞大恶意软件监测网络，大幅度提高安全机构的安全信息总量和反应速度，使其基于“特征码比对”或基于“行为模式分析”的解决方案的精确度能够得到大幅度提高。

“云计算”实现的安全，或称“云安全”，来源于其“云网络——瘦客户”的新型计算模型，如图1所示，将大量的各种计算资源放置在网络中，将分布处理、并行处理及网格计算的能力通过网络接口分享给客户，在实现上，让庞大的服务器端(即“云端”)承担大规模集中信息采集、处理、计算、存储、分析、检测和监测工作，甚至直接在云内将大部分流动的攻击行为阻断掉，而只让客户端承担提交“潜在恶意软件”和执行最终的“清除、隔离还是放行”的简单任务。客户端防护软件将不再需要设计得庞大而全面，不再占据系统过多的宝贵计算和存储资源。当然，对网络资源的使用是必须的。从客户的角度而言，这种“提供强大靠山”的新型方式大大简化了客户端工作量，使原本弱小的普通客户端告别了原本安全信息不对等的弱势局面，将实时更新的强大入侵监测和分析能力“推送”到了每一台客户计算机。

引入“云计算”架构后，杀毒行业真正实现了从杀毒到防毒的改变。把病毒码放到服务器的“云端”，服务器集群遇到进入用户终端的病毒码时可以自动查杀，这样就可以使用户终端变得很轻松，不用每天升级，也不必再因为杀毒软件而占用内存和带宽。不一定要等到用户中毒之后再去解决，重要的是要预防问题。趋势、熊猫、瑞星、赛门铁克等杀毒厂商目前都在部署自己的云计算机架构，用以组成“云端”的服务器集群从数百台到上万台不等。在未来，用户只要安装了某一款接入“云端”的杀毒软件，在上网时，服务器端会根据已经预存的海量病毒库来判断哪些网页行为是恶意的，甚至是木马程序，并自动为用户清除。

那么一旦出现了新的病毒，而服务器“云端”的数据库中此前没有该病毒码，云计算不再依靠某一公司的工程师们加班加点地去分析，而是根据事先设定好的数十项衡量标准对一种网页新行为进行测评，如果发现某一代码行为异常，则立即截断其来回反馈的通道，不让它进入用户终端，直接在半路上查杀。

云安全的本质

人们常把云计算服务比喻成自来水公司提供的供水服务。原来每个家庭和单位自己挖水井、修水塔，自己负责水的安全问题，例如避免受到污染、防止别人偷水等等。从这个比喻当中，我们窥见了云计算的本质：云计算只不过是服务方式的改变! 自己开发程序服务于本单位和个人，是一种服务方式；委托专业的软件公司开发软件满足其自身的需求也是一种方式；随时随地享受云中提供的服务，而不关心云的位置和实现途径，是一种到目前为止最高级的服务方式。

从这个比喻当中还看出云安全的本质：就像我们天天使用的自来水一样， 我们究竟要关心什么安全问题呢?第一，我们关心自来水公司提供的水是否安全，自来水公司必然会承诺水的质量，并采取相应的措施来保证水的安全第二，用户本身也要提高水的使用安全，自来水有多种，有仅供洗浴的热水，有供打扫卫生的中水，有供饮用的水等等。例如，不能饮用中水，要将水烧开再用，不能直接饮用，这些安全问题都是靠用户自己来解决。还有，第三个关于云的安全问题是， 用户担心别人会把水费记到自己的账单上来， 担心自来水公司多收钱。

和自来水供应一样，云计算的安全问题也大致分为以下几个方面：第一方面， 云计算的服务提供商，他们的网络是安全的吗，有没有别人闯进去盗用我们的账号?他们提供的存储是安全的吗?会不会造成数据泄密?这些都是需要云计算服务提供商们来解决， 向客户承诺的问题。就像自来水公司要按照国家有关部门法规生产水一样，约束云计算的服务提供商的行为和技术，也一定需要国家出台相应的法规。第二方面，客户在使用云计算提供的服务时也要注意：在云计算服务提供商的安全性和自己数据的安全性上做个平衡，太重要的数据不要放到云里，而是藏在自己的保险柜中； 或将其加密后再放到云中，只有自己才能解密数据，将安全性的主动权牢牢掌握在自己手中，而不依赖于服务提供商的承诺和他们的措施。第三方面，客户要保管好自己的账户，防止他人盗取你的账号使用云中的服务， 而让你埋单。

不难看出， 云计算所采用的技术和服务同样可以被黑客利用来发送垃圾邮件， 或者发起针对下载、数据上传统计、恶意代码监测等更为高级的恶意程序攻击。所以， 云计算的安全技术和传统的安全技术一样： 云计算服务提供商需要采用防火墙来保证不被非法访问； 使用杀病毒软件保证其内部的机器不被感染； 用入侵检测和防御设备防止黑客的入侵； 用户采用数据加密、文件内容过滤等防止敏感数据存放在相对不安全的云里。

与传统安全不一样的地方， 是随着服务方式的改变，在云计算时代，安全设备和安全措施的部署位置有所不同安全责任的主体发生了变化。在自家掘井自己饮用的年代，水的安全性由自己负责，在自来水时代， 水的安全性由自来水公司作出承诺， 客户只须在使用水的过程中注意安全问题即可。原来， 用户自己要保证服务的安全性，现在由云计算服务提供商来保证服务提供的安全性。

云安全的特点

针对云计算服务模式和资源池的特征，云安全继承了传统信息安全特点，更凸显了传统信息安全在数据管理、共享虚拟安全、安全管理等问题， 同时改变了传统信息安全的服务模式，主要包括：

1.共享虚拟安全

在云计算中心，虚拟化技术是实现资源分配和服务提供的最基础和最核心的技术。通过虚拟化技术，将不同的硬件、软件、网络等资源虚拟为一个巨大的资源池，根据用户的需求，动态提供所需的资源。因此，虚拟化技术的安全性在云中显得格外重要。虚拟机的安全除了传统上虚拟机监督程序的安全性以及虚拟机中恶意软件等造成的安全问题和隐私泄露之外，虚拟化技术本身的安全问题在云中也显得非常重要，而且这其中许多问题在云计算之前并未得到人们的重视。在云中，一台物理服务器通常会运行多台虚拟机，并为多个用户提供服务。这些用户共享同一物理设备，这就为攻击者提供了发起攻击的可能性。此外，资源的动态分配使得云中虚拟机的迁移成为了普遍现象，而针对虚拟机迁移的迁移攻击也成为了云中不可忽视的安全问题。虚拟化的安全需要从多个层面和角度进行考虑，才能够确保云计算平台的虚拟化安全。

2.数据失控挑战

在云计算应用中，用户将数据存放在远程的云计算中心，失去了对数据的物理控制，对数据的安全与隐私的保护完全由云计算提供商提供。这一特性使得云计算提供商即使声明了其提供的安全性，也无法说服用户完全的信任云。相比于传统的客户／服务器模式，用户对云的依赖性更高，所有操作均放在云端执行。因此，在云计算中，我们面临着如何使得用户能够信任云，或者在不能完全信任的平台下仍然进行存储和计算，能够检验数据是否受到保护、计算任务是否正确执行的问题。云计算中心通常都会向用户声明其提供的安全性，使用户能够放心使用其提供的服务，然而如何验证其是否提供了声明的安全服务是用户能够信任云的关键。因此通过技术手段使得用户可以确信其数据和计算是安全且保密的，则对打消用户对云计算安全与隐私问题的顾虑有着极大的帮助。

3.安全即服务模式

云计算作为一种新的模式，虽然带来了一些新的安全威胁，但也为传统信息安全与隐私问题的解决提供了新的途径。在云计算之前，敏感数据大量分散在网络中，许多站点并没有很好的措施保障数据的安全，容易造成数据泄露。而利用云计算强大的计算与存储能力，可以将安全以服务的形式(安全即服务)提供给用户，使得客户能够随时使用到更好更安全的服务。安全即服务可以在反病毒、防火墙、安全检测和数据安全等多个方面为用户提供服务，实现安全服务的专业化、社会化。云安全服务中心可以通过搭建信息安全服务平台，集中对信息安全的相关威胁进行处理，能够及时为用户提供良好的安全保护。

云安全的技术核心

实现云安全有六大核心技术：

(1)Web信誉服务。借助全信誉数据库，云安全可以按照恶意软件行为分析所发现的网站页面、历史位置变化和可疑活动迹象等因素来指定信誉分数，从而追踪网页的可信度。然后将通过该技术继续扫描网站并防止用户访问被感染的网站。

(2)文件信誉服务。文件信誉服务技术，它可以检查位于端点、服务器或网关处的每个文件的信誉，检查的依据包括已知的良性文件清单和已知的恶性文件清单。

(3)行为关联分析技术。通过行为分析的“相关性技术”可以把威胁活动综合联系起来，确定其是否属于恶意行为。

(4)自动反馈机制。云安全的另一个重要组件就是自动反馈机制，以双向更新流方式在威胁研究中心和技术人员之间实现不间断通信。通过检查单个客户的路由信誉来确定各种新型威胁。

(5)威胁信息总汇。

(6)白名单技术僻。作为一种核心技术，白名单与黑名单(病毒特征码技术实际上采用的是黑名单技术思路)并无多大区别，区别仅在于规模不同。现在的白名单主要被用于降低误报率。

云安全的关键技术

基于信誉的安全技术补充了传统安全技术的不足，通过收集匿名用户使用情况的样本，从而辨别URI/WEB/邮件/文件安全与否。技术的核心集中在如何凭借指定URI/WEB/邮件/文件的部分使用情况信息来辨别该URI/WEB/邮件/文件是否安全。基于信誉的安全技术充分利用多方数据资源，包括由数亿用户计算机上的代理提供的匿名数据、软件发行商提供的数据以及在针对大型企业用户发起的数据收集项目中获得的数据。这些数据会持续不断地更新到信誉引擎，以此确定每一URI/WEB/邮件/文件的安全信誉等级，绝不需要对该URI/WEB/邮件/文件进行扫描。从技术实现的角度而言，“云安全”全球化的信息采集和分析模式使其可以采用新的防御模式和技术，主要归纳为以下几点：

(1)双向自动反馈机制。“云计算”防恶意软件技术不再需要客户端保留恶意软件库特征，所有的信息都将存放于互联网中。当全球任何角落的终端用户连接到互联网后，与“云端”的服务器保持实时联络，当发现异常行为或恶意软件等风险后，自动提交到“云端”的服务器群组中，由“云计算”技术进行集中分析和处理。之后，“云计算”技术会生成一份对风险的处理意见，同时对全世界的客户端进行统一分发。客户端可以自动进行阻断拦截、查杀等操作。将恶意软件特征库放置于“云”中，不但可以节省因恶意软件不断泛滥而造成的软硬件资源开支，而且还能获得更加高效的恶意软件防范能力。

(2)根据资源的URL地址来判断风险程度。“云安全”可以从整个互联网上收集源信息，判断用户的互联网搜索、访问、应用的对象是不是恶意信息。这种模式与病毒代码的比对不同，病毒代码是用特征码进行识别。传统病毒代码分析依靠大量人工，而“云安全”则利用基于历史用户反馈的统计学分析方式不停地对互联网进行判断。只要全球范围内有1％的用户提交需求给“云端”服务器，15分钟之后全球的“云安全”库就会对该URL的访问行为进行策略控制。

(3)Web信誉服务。借助全球域信誉数据库，Web信誉服务按照恶意软件行为分析所发现的网站页面、历史位置变化和可疑活动迹象等因素来指定信誉分数，从而追踪网页的可信度。然后将通过该技术继续扫描网站并防止用户访问被感染的网站。为了提高准确性，降低误报率，Web信誉服务为网站的特定网页或链接指定信誉分值，而不是对整个网站进行分类或拦截，因为通常合法网站只有一部分受到攻击。而信誉可以随时间而不断变化。通过信誉分值的比对，就可以知道某个网站潜在的风险级别。当用户访问具有潜在风险的网站时，就可以及时获得系统提醒或阻止，从而帮助用户快速地确认目标网站的安全性。通过Web信誉服务，可以防范恶意程序源头。由于对“零日攻击”的防范是基于网站的可信度而不是真正的内容，因此能有效预防恶意软件的初始下载，用户进入网络前就能够获得防护能力。

(4)电子邮件信誉服务。电子邮件信誉服务按照已知垃圾邮件来源的信誉数据库检查IP地址，同时利用可以实时评估电子邮件发送者信誉的动态服务对IP地址进行验证。信誉评分通过对口地址的行为、活动范围以及以前的历史不断分析而加以细化。按照发送者的IP地址，恶意电子邮件在“云”中即被拦截，从而防止僵尸或僵尸网络等Web威胁到达网络或用户的计算机。

(5)文件信誉服务。文件信誉服务技术可以检查位于端点、服务器或网关处的每个文件的信誉。检查的依据包括已知的良性文件清单和已知的恶性文件清单，即现在所谓的防病毒特征码。高性能的内容分发网络和本地缓冲服务器将确保在检查过程中使延迟时间降到最低。由于恶意信息被保存在“云”中，所以可以立即到达网络中的所有用户。此外，与占用端点空间的传统防病毒特征码文件下载相比，这种方法降低了端点内存和系统消耗。

(6)行为关联分析技术。利用行为分析的相关性技术把威胁活动综合联系起来，确定其是否属于恶意行为。按照启发式观点来判断Web威胁的单一活动是否实际存在威胁，可以检查潜在威胁不同组件之间的相互关系。来自世界各地的研究将补充客户端反馈内容，全天候威胁监控和攻击防御，以探测、预防并清除攻击，综合应用各种技术和数据收集方式——包括蜜罐、网络爬行器、反馈以及内部研究获得关于最新威胁的各种情报。

云安全常见问题

云计算所带来的新兴安全问题主要包含以下几个方面。

1．云计算资源的滥用

由于通过云计算服务可以用极低的成本轻易取得大量计算资源，于是已有黑客利用云计算资源滥发垃圾邮件、破解密码及作为僵尸网络控制主机等恶意行为。滥用云计算资源的行为，极有可能造成云服务供应商的网路地址被列入黑名单，导致其他用户无法正常访问云端资源。例如，亚马逊EC2云服务曾遭到滥用，而被第三方列入黑名单，导致服务中断。之后，亚马逊改采用申请制度，对通过审查的用户，解除发信限制。此外，当云计算资源遭滥用作为网络犯罪工具后，执法机关介入调查时，为保全证据，有可能导致对其他用户的服务中断。例如，2009年4月，美国FBI在德州调查一起网络犯罪时，查扣了一家数据中心的电脑设备，导致该数据中心许多用户的服务中断。

2．云计算环境的安全保护

当云服务供应商某一服务或客户遭到入侵，导致资料被窃取时，极有可能会影响到同一供应商其他客户的商誉，使得其他客户的终端用户不敢使用该客户提供的服务。此外，云服务供应商拥有许多客户，这些客户可能彼此间有竞争关系，而引发强烈地利用在同一云计算环境之便动机，去窃取竞争对手的机密资料。

另一个在国内较少被讨论的云安全问题是在多用户环境中，用户的活动特征亦有可能成为泄密的渠道。2009年在ACM上发表的一份研究报告，即提出了在同一物理服务器上攻击者可以对目标虚拟机发动SSH按键时序攻击。

以上安全问题的对策，有赖于云服务供应商对云计算环境中的系统与数据的有效隔离。但不幸的是，大多数的云服务供应商都有免责条款，不保证系统安全，并要求用户自行负起安全维护的责任。

3．云服务供应商信任问题

传统数据中心的环境中，员工泄密时有所闻，同样的问题，极有可能发生在云计算的环境中。此外，云服务供应商可能同时经营多项业务，在一些业务和计划开拓的市场甚至可能与客户具有竞争关系，其中可能存在着巨大的利益冲突，这将大幅增加云计算服务供应商内部员工窃取客户资料的动机。此外，某些云服务供应商对客户知识产权的保护是有所限制的。选择云服务供应商除了应避免竞争关系外，亦应审慎阅读云服务供应商提供的合约内容。此外，一些云服务供应商所在国家的法律规定，允许执法机关未经客户授权，直接对数据中心内的资料进行调查，这也是选择云服务供应商时必须注意的。在欧盟和日本的法律限制涉及个人隐私的数据不可传送及储存于该地区以外的数据中心。

4．双向及多方审计

其实问题1到3都与审计有关。然而，在云计算环境中，都涉及供应商与用户间双向审计的问题，远比传统数据中心的审计来得复杂。国内对云计算审计的讨论，很多都是集中在用户对云服务供应商的审计。而在云计算环境中，云服务供应商也必须对用户进行审计，以保护其他用户及自身的商誉。此外，在某些安全事故中，审计对象可能涉及多个用户，复杂度更高。为维护审计结果的公信力，审计行为可能由独立的第三方执行，云服务供应商应记录并维护审计过程所有稽核轨迹。如何有效地进行双向及多方审计，仍是云安全中重要的讨论议题，应逐步制定相关规范，未来还有很多的工作需要做。

5．系统与数据备份

很多人都有这样的认为，即云服务供应商已做好完善的灾备措施，并且具有持续提供服务的能力。事实上，已有许多云服务供应商因网络、安全事故或犯罪调查等原因中断服务。此外，云服务供应商亦有可能因为经营不善宣告倒闭，而无法继续提供服务。面对诸如此类的安全问题，用户必须考虑数据备份计划。

另外一个值得注意的问题是，当不再使用某一云服务供应商的服务时，如何能确保相关的数据，尤其是备份数据，已被完整删除，这是对用户数据隐私保护的极大挑战。这有待于供应商完善的安全管理及审计制度。

云安全与传统网络安全的区别

云安全包括两种含义，分别是云计算应用的安全以及云计算技术在网络安全领域的具体应用。

云计算安全与传统信息安全并无本质区别，但由于云计算自身的虚拟化、无边界、流动性等特性，使得其面临较多新的安全威胁；同时云计算应用导致IT资源、信息资源、用户数据、用户应用的高度集中，带来的安全隐患与风险也较传统应用高出很多。例如，云计算应用使企业的重要数据和业务应用都处于云服务提供商的云计算系统中，云服务提供商如何实施严格的安全管理和访问控制措施，避免内部员工或者其他使用云服务的用户、外部攻击者等对用户数据的窃取及滥用的安全风险。如何实施有效的安全审计、对数据的操作进行安全监控、如何避免云计算环境中多客户共存带来的潜在风险、数据分散存储和云服务的开放性以及如何保证用户数据的可用性等，这些都对现有的安全体系带来新的挑战。

许多安全问题并非是云计算环境所特有的，不论是黑客入侵、恶意代码攻击、拒绝服务攻击、网络钓鱼或敏感信息外泄等，都是存在已久的信息安全问题。许多人对云安全的顾虑甚为担忧，源自于混杂了互联网固有的安全问题和云计算所带来的新兴安全问题。例如，2009年12月，Zeus恶意代码被入侵到亚马逊(Amazon)服务，形成恶意控制主机事件，被许多人视为新兴的云安全问题。然而，同样的安全问题也存在传统的计算环境，这个事件再次说明了云安全和传统信息安全在许多方面的本质是一样的。

另外，在现有网络安全形势日益严峻的形势下，传统的网络安全系统与防护机制在防护能力、响应速度、防护策略更新等方面越来越难以满足日益复杂的安全防护需求。面对各类恶意威胁、病毒传播的互联网化，必须要有新的安全防御思路与之抗衡，而通过将云计算技术引入到安全领域，将改变过去网络安全设备单机防御的思路。通过全网分布的安全节点、安全云中心超大规模的计算处理能力，可实现统一策略动态更新，全面提升安全系统的处理能力，并为全网防御提供了可能，这也正是安全互联网化的一个体现。