一方面云卤，云計(jì)算與傳統(tǒng)的計(jì)算模式相比具有開放性、分布式計(jì)算與存儲(chǔ)碳扯、無(wú)邊界城也、虛擬性、多租戶窃躲、數(shù)據(jù)的所有權(quán)和管理權(quán)分離等特點(diǎn)计贰。同時(shí)，云中包含大量軟件和服務(wù)框舔，以各種標(biāo)準(zhǔn)為基礎(chǔ)蹦玫，數(shù)據(jù)量龐大，系統(tǒng)非常復(fù)雜刘绣，因而在技術(shù)樱溉、管理和法律等方面面臨新的安全挑戰(zhàn)。此外纬凤，云計(jì)算系統(tǒng)中存放著海量的重要用戶數(shù)據(jù)福贞，對(duì)攻擊者來(lái)說(shuō)具有更大的誘惑力，如果攻擊者通過(guò)某種方式成功攻擊云系統(tǒng)停士，將會(huì)給云計(jì)算服務(wù)提供商和用戶帶來(lái)重大損失挖帘，因此，云計(jì)算的安全性面臨著比以往更為嚴(yán)峻的考驗(yàn)恋技。

與傳統(tǒng)IT安全比較拇舀，云計(jì)算特有的安全問(wèn)題主要有以下三個(gè)方面：

• 云計(jì)算平臺(tái)導(dǎo)致的安全問(wèn)題

云計(jì)算平臺(tái)聚集了大量用戶和數(shù)據(jù)資源漱屁，更容易吸引黑客攻擊，而故障一旦發(fā)生株矩，其影響范圍多茧津，后果更加嚴(yán)重。此外碱跃，其開放性對(duì)接口的安全也提出了更高的要求营鸽。另外，云計(jì)算平臺(tái)上集成了多個(gè)租戶园湘，多租戶之間的信息資源如何安全隔離也成為云計(jì)算安全的突出問(wèn)題奴万。

• 虛擬化環(huán)境下的技術(shù)及管理問(wèn)題

傳統(tǒng)的基于物理安全邊的防護(hù)機(jī)制難以有效保護(hù)基于共享虛擬化環(huán)境下的用戶應(yīng)用及信息安全。另外单墓，云計(jì)算的系統(tǒng)如此之大个荔，而且主要是通過(guò)虛擬機(jī)進(jìn)算，一旦出現(xiàn)故障返工，如何快速定位問(wèn)題所在也是一個(gè)重大挑戰(zhàn)擦钾。

• 如何界定用戶與服務(wù)商責(zé)任的問(wèn)題

云計(jì)算這種全新的服務(wù)模式將資源的所有權(quán)、管理權(quán)及使權(quán)進(jìn)行了分離抽碌，因此用戶失去了對(duì)物理資源的直接控制，會(huì)面臨與服務(wù)商協(xié)作的一些安全問(wèn)題决瞳，如用戶是否會(huì)面臨服務(wù)退出障礙货徙，不完整和不安全的數(shù)據(jù)刪除會(huì)對(duì)用戶造成損害，因此如何界定用戶與服務(wù)提供商的不同責(zé)任也是一個(gè)重要問(wèn)題皮胡。

云計(jì)算安全防護(hù)的范圍較廣痴颊，主要包括了以下5個(gè)方面：

• 基礎(chǔ)設(shè)施安全

基礎(chǔ)設(shè)施安全包括服務(wù)器系統(tǒng)安全、網(wǎng)絡(luò)管理系統(tǒng)安全屡贺、域名系統(tǒng)安全蠢棱、網(wǎng)絡(luò)路由系統(tǒng)安全、局域網(wǎng)和VLAN配置等甩栈。主要的安全措施包括安全冗余設(shè)計(jì)泻仙、漏洞掃描與加固，IPS/IDS量没、DNSSec等玉转。考慮到云計(jì)算環(huán)境的業(yè)務(wù)持續(xù)性殴蹄，設(shè)備的部署還須要考慮到高可靠性的支持究抓，諸如雙機(jī)熱備、配置同步兄哮，鏈路捆綁聚合及硬件Bypass 等特性肚微，實(shí)現(xiàn)大流量匯聚情況下的基礎(chǔ)安全防護(hù)气凫。

• 數(shù)據(jù)安全

云數(shù)據(jù)安全包含的內(nèi)容遠(yuǎn)遠(yuǎn)不只是簡(jiǎn)單的數(shù)據(jù)加密。數(shù)據(jù)安全的需求隨著三種服務(wù)模式旭眼，四種部署模式（公共云市协、私有云、社區(qū)云教够、混合云）以及對(duì)風(fēng)險(xiǎn)的承受能力而變化潮兼。滿足云數(shù)據(jù)安全的要求，需要應(yīng)用現(xiàn)有的安全技術(shù)杠捂，并遵循健全的安全實(shí)踐始树，必須對(duì)各種防范措施進(jìn)行全盤考慮，使其構(gòu)成一道彈性的屏障赋芥。主要安全措施包括對(duì)不同用戶數(shù)據(jù)進(jìn)行虛擬化的邏輯隔離绳宰、使用身份認(rèn)證及訪問(wèn)管理技術(shù)措施等，從而保障靜態(tài)數(shù)據(jù)和動(dòng)態(tài)數(shù)據(jù)的保密性一膨、完整性呀邢、可用性、真實(shí)性豹绪、授權(quán)价淌、認(rèn)證和不可抵賴性。

• 虛擬化安全

虛擬化的安全包括兩方面的問(wèn)題：一是虛擬技術(shù)本身的安全瞒津，二是虛擬化引入的新的安全問(wèn)題蝉衣。虛擬技術(shù)有許多種，最常用的是虛擬機(jī)（VM）技術(shù)巷蚪，需考慮VM內(nèi)的進(jìn)程保護(hù)病毡，此外還有Hypervisor 和其他管理模塊這些新的攻擊層面∑ò兀可以采用的安全措施有：虛擬鏡像文件的加密存儲(chǔ)和完整性檢查啦膜、VM 的隔離和加固、VM 訪問(wèn)控制淌喻、虛擬化脆弱性檢查僧家、VM 進(jìn)程監(jiān)控、VM的安全遷移等橱孽。

• 身份認(rèn)證與訪問(wèn)管理（IAM）

IAM（Identity and AccessManagement）是用來(lái)管理數(shù)字身份并控制數(shù)字身份如何訪問(wèn)資源的方法拥臼、技術(shù)和策略，用于確保資源被安全訪問(wèn)的業(yè)務(wù)流程和管理手段愁豆，從而實(shí)現(xiàn)對(duì)企業(yè)信息資產(chǎn)進(jìn)行統(tǒng)一的身份認(rèn)證搭奄、授權(quán)和身份數(shù)據(jù)集中化的管理與審計(jì)。IAM是保證云計(jì)算安全運(yùn)行的關(guān)鍵所在招狈。傳統(tǒng)的IAM 管理范疇艇氯，如自動(dòng)化管理用戶賬號(hào)殖吧、用戶自助式服務(wù)、認(rèn)證药炊、訪問(wèn)控制牧返、單點(diǎn)登錄、職權(quán)分離变跃、數(shù)據(jù)保護(hù)弥铸、特權(quán)用戶管理、數(shù)據(jù)防丟失保護(hù)措施與合規(guī)報(bào)告等瘪决，都與云計(jì)算的各種應(yīng)用模式息息相關(guān)脸候。

IAM并不是一個(gè)可以輕易部署并立即產(chǎn)生效果的整體解決方案，而是一個(gè)由各種技術(shù)組件绑蔫、過(guò)程和標(biāo)準(zhǔn)實(shí)踐組成的體系架構(gòu)运沦。標(biāo)準(zhǔn)的企業(yè)級(jí)IAM 體系架構(gòu)包含技術(shù)、服務(wù)和過(guò)程等幾個(gè)層面配深，其部署體系架構(gòu)的核心是目錄服務(wù)携添，目錄服務(wù)是機(jī)構(gòu)用戶群的身份、證書和用戶屬性的信息庫(kù)篓叶。

• 應(yīng)用安全

由于云環(huán)境的靈活性烈掠、開放性以及公眾可用性等特性，給應(yīng)用安全帶來(lái)了很多挑戰(zhàn)缸托。云計(jì)算的應(yīng)用主要通過(guò)Web 瀏覽器實(shí)現(xiàn)向叉。因此，在云計(jì)算中嗦董，對(duì)于應(yīng)用安全，尤其需要注意的是Web 應(yīng)用的安全瘦黑。要保證SaaS 的應(yīng)用安全京革，就要在應(yīng)用的設(shè)計(jì)開發(fā)之初，制定并遵循適合SaaS 模式的安全開發(fā)生命周期規(guī)范和流程趾倾，從整體生命周期上去考慮應(yīng)用安全贪挽。可以采用的防護(hù)措施有訪問(wèn)控制绑功、配置加固泵易、部署應(yīng)用層防火墻等。