云計算怎樣打敗勁敵拒絕服務(wù)攻擊DDOS

云計算怎樣打敗勁敵拒絕服務(wù)攻擊DDOS

隨著越來越多的公司開始使用虛擬化數(shù)據(jù)中心和云服務(wù)，企業(yè)基礎(chǔ)設(shè)施出現(xiàn)了新的弱點(diǎn)。與此同時，云計算拒絕服務(wù)攻擊也開始由原來利用大量數(shù)據(jù)流進(jìn)行暴力式攻擊轉(zhuǎn)變?yōu)獒槍A(chǔ)應(yīng)用程序的技術(shù)性攻擊。在云計算中，公司需要擔(dān)心的不僅僅是對他們資源的攻擊，還需要擔(dān)心對主機(jī)托管租戶的攻擊。因?yàn)殡S著多租戶的普及，針對一個公司的攻擊可能會影響到另外一些雖然沒有聯(lián)系的，但也采用主機(jī)托管的公司的服務(wù)。本期我們討論的話題是：云計算怎樣打敗勁敵DDOS。云的實(shí)質(zhì)從應(yīng)用的角度講，云計算并不是技術(shù)的革命，而是服務(wù)方式的更新，其實(shí)質(zhì)是一種統(tǒng)一的集中的服務(wù)提供方式。這種服務(wù)和應(yīng)用提供方式的轉(zhuǎn)變與計算技術(shù)發(fā)展初期集中計算模式有本質(zhì)區(qū)別，它是建立在計算技術(shù)、網(wǎng)絡(luò)技術(shù)以及業(yè)務(wù)應(yīng)用充分發(fā)展的基礎(chǔ)之上的。盡管云計算需要一些新的技術(shù)手段來支持它的實(shí)現(xiàn)，但根本上說，云計算改變的不是技術(shù)而是服務(wù)及應(yīng)用的模式，而且這種改變將是深遠(yuǎn)的。即便它不能最終如很多人期望的那樣成功，也會對未來的信息技術(shù)發(fā)展產(chǎn)生重要影響。云端的安全云端安全一直是云計算安全問題的焦點(diǎn)，這一方面已經(jīng)有很多專家學(xué)者和產(chǎn)業(yè)界的人士從各種角度給予了分析。當(dāng)然，也有很多人認(rèn)為云端安全問題沒有想象的那么嚴(yán)重。就我個人來看，云端安全問題包括兩個層面，一是技術(shù)層面安全，另一個是社會層面的安全。技術(shù)層面的安全包括：系統(tǒng)安全、數(shù)據(jù)安全、內(nèi)容安全和使用安全，同時更強(qiáng)調(diào)系統(tǒng)的可靠性、可用性和安全性。從安全問題在云端系統(tǒng)中的分布來看，云端安全可以包括基礎(chǔ)架構(gòu)安全、虛擬化技術(shù)安全、云存儲安全、云應(yīng)用安全等在內(nèi)的諸多問題。技術(shù)層面的安全應(yīng)該說并不難解決，我相信云端存在的安全問題不會比我們大家廣泛使用的操作系統(tǒng)更多。社會層面的安全其實(shí)是云計算及云服務(wù)所面臨的最大挑戰(zhàn)和最難逾越的障礙。這里面包括政府的相關(guān)法律法規(guī)是否完善，相關(guān)的糾紛仲裁以及取證如何實(shí)施等等，其實(shí)質(zhì)上是考驗(yàn)更深層次的社會信任和信譽(yù)機(jī)制是否成熟。缺乏信任以及信任無法獲得有效監(jiān)督和監(jiān)控都將嚴(yán)重影響云計算的廣泛應(yīng)用和部署。云端基礎(chǔ)架構(gòu)的安全隱患云計算的安全更多的取決于云計算基礎(chǔ)架構(gòu)。云計算部署之初，直接采用從底層開始系統(tǒng)設(shè)計和開發(fā)的云計算基礎(chǔ)架構(gòu)還是少數(shù)的，更多的是近似的云基礎(chǔ)架構(gòu)，也就是說大多數(shù)云基礎(chǔ)架構(gòu)沒有深層次的考慮應(yīng)用和服務(wù)的需求和特點(diǎn)。這種情況下，應(yīng)該說，整個云計算基礎(chǔ)架構(gòu)的可靠性、可用性都存在一些問題，當(dāng)然也包括安全性。這樣的系統(tǒng)更容易遭受到攻擊，不僅僅包括一切現(xiàn)有網(wǎng)絡(luò)應(yīng)用中存在的攻擊行為和方式，而且由于整個基礎(chǔ)架構(gòu)上的不完善，更多的漏洞和缺陷將被利用，其所帶來的損失和危害也更大。應(yīng)對這些安全隱患，需要更加重視云基礎(chǔ)架構(gòu)的全面的系統(tǒng)的設(shè)計，在必要的基礎(chǔ)服務(wù)設(shè)施及內(nèi)部網(wǎng)絡(luò)上引入有針對性的技術(shù)和產(chǎn)品。額外需要指出的一點(diǎn)是，從國家安全和利益這個角度上講，我們需要有自主知識產(chǎn)權(quán)的基礎(chǔ)架構(gòu)技術(shù)和產(chǎn)品，這一點(diǎn)非常重要。應(yīng)對云端虛擬化安全問題云端虛擬化是構(gòu)建云基礎(chǔ)架構(gòu)平臺的重要手段，也正是因?yàn)樘摂M化的重要性，它本身的安全問題也是云基礎(chǔ)架構(gòu)平臺所需要重點(diǎn)考慮的。虛擬化在某種程度上會帶來某些安全特性的提升，如對用戶行為進(jìn)行了一定程度上的隔離。但另一方面，它所引入的風(fēng)險也不容小視。虛擬環(huán)境下很多傳統(tǒng)的安全防護(hù)產(chǎn)品將失去作用，而一旦一個虛擬節(jié)點(diǎn)遭到入侵，將給整個云基礎(chǔ)架構(gòu)帶來致命的威脅。云端虛擬化安全問題的解決還要更多的依賴于有針對性的安全技術(shù)和產(chǎn)品，這方面的未來市場需求還是很大的。解讀云計算安全風(fēng)險云計算面臨的安全風(fēng)險可以從兩個角度來分析，一是從用戶的角度，即用戶在使用云的時候所面臨的安全風(fēng)險；另一個是從云提供者的角度，即云服務(wù)商在提供服務(wù)時面臨的安全風(fēng)險。從用戶的角度來看，在云環(huán)境下，用戶對于應(yīng)用運(yùn)行和數(shù)據(jù)存儲的物理環(huán)境缺乏必要管理和控制權(quán)限，所謂安全完全建立在對云提供者的信任基礎(chǔ)之上，而沒有監(jiān)控和審核的信任往往又是最不安全的。因此，用戶必須充分意識到云計算這種服務(wù)模式固有的安全風(fēng)險，特別是在相關(guān)的法律法規(guī)還不健全，第三方監(jiān)督還沒有有效建立的情況下，必須考慮與云服務(wù)提供者達(dá)成詳細(xì)的有約束力的契約。從云提供者的角度來看，必須要應(yīng)對用戶/數(shù)據(jù)隔離失效風(fēng)險、云服務(wù)可靠性及可用性風(fēng)險等。除此之外，云提供者還必須要應(yīng)對惡意用戶對于云的濫用風(fēng)險。為了規(guī)避以上風(fēng)險，云提供者必須對云進(jìn)行系統(tǒng)、全面的安全加固，不僅要在網(wǎng)絡(luò)層面，在云中部署針對性的安全防護(hù)產(chǎn)品，更需要從系統(tǒng)層面，建立完善的密鑰管理、權(quán)限管理、認(rèn)證服務(wù)等安全機(jī)制。解決云存儲安全風(fēng)險用戶使用云存儲時所面臨的主要安全風(fēng)險包括數(shù)據(jù)泄漏、數(shù)據(jù)丟失等。與云計算相似，云存儲也是構(gòu)建在共享架構(gòu)之上，由于數(shù)據(jù)隔離的措施還不夠有效，對于數(shù)據(jù)的存儲、訪問、通信、銷毀等環(huán)節(jié)缺乏安全監(jiān)控，存在一定的安全隱患，導(dǎo)致數(shù)據(jù)存在丟失和泄漏的可能。同時在數(shù)據(jù)丟失的情況下，也有可能面臨因數(shù)據(jù)無法及時恢復(fù)所帶來的風(fēng)險。以上這些風(fēng)險主要是由于云服務(wù)提供者不能給用戶提供足夠的安全保障，因此對于這部分風(fēng)險，用戶也可以通過與云服務(wù)提供者簽署數(shù)據(jù)安全相關(guān)的服務(wù)保障協(xié)議來將化解。針對用戶面臨的數(shù)據(jù)泄漏風(fēng)險、數(shù)據(jù)丟失風(fēng)險等，云服務(wù)提供者需采取必要的數(shù)據(jù)隔離、加密、備份、分權(quán)分級管理等措施，以保證云存儲服務(wù)的安全性。云應(yīng)用里的安全隱患云應(yīng)用里面存在安全隱患這是必然的。任何一種應(yīng)用都是流程和邏輯的體現(xiàn)，而大部分應(yīng)用是不能夠準(zhǔn)確無誤地再現(xiàn)流程和邏輯的，因此必然會存在著缺陷和漏洞，這些缺陷和漏洞也就成為了最大的安全隱患?？赡芨砣藫?dān)憂的是這種應(yīng)用上的隱患與云基礎(chǔ)架構(gòu)本身的安全問題疊加，會帶來更加復(fù)雜的問題。能否實(shí)現(xiàn)云應(yīng)用和云基礎(chǔ)架構(gòu)的安全邏輯分割也許是未來可以考慮的方向之一，對于云計算安全問題的解決會起到簡化作用。獲得安全的云服務(wù)前面談到，云服務(wù)面臨兩個方面的安全挑戰(zhàn)，技術(shù)上的和社會層面上的。獲得安全的云服務(wù)要分別從這兩個方面著手。社會層面上，要盡快建立相關(guān)的法律法規(guī)。當(dāng)然法律法規(guī)的建立并不能根本解決社會信任和信譽(yù)機(jī)制建立的問題，但可以促進(jìn)信任和信譽(yù)機(jī)制的成熟。沒有法律法規(guī)的保障，我個人認(rèn)為云服務(wù)的安全只能是一個美好的愿望。而從技術(shù)層面上看，要針對云服務(wù)的特點(diǎn)，研究專門的安全防護(hù)技術(shù)，開發(fā)有針對性的云服務(wù)及云應(yīng)用的安全產(chǎn)品；同時，還需要針對法律法規(guī)的相關(guān)規(guī)定，為法律法規(guī)的實(shí)施提供相應(yīng)的技術(shù)支持，例如，糾紛出現(xiàn)時，取證以及仲裁所需要的法證技術(shù)及產(chǎn)品等。云端確保用戶數(shù)據(jù)和隱私安全用戶的數(shù)據(jù)和隱私安全是云計算領(lǐng)域最早提出的，也是爭論最多的安全問題。這種關(guān)切其實(shí)很容易被人理解。它很類似于我們經(jīng)常接觸到的存款問題。我們把錢存到銀行，怎樣確保我們的錢不會因?yàn)殂y行倒閉或者某些犯罪行為而被盜用或者丟失？怎樣確保我的財產(chǎn)信息不被泄漏？如果我們研究一下現(xiàn)有的銀行體系就會給我們提供很多啟示。首先，要有法律法規(guī)來應(yīng)對，有了法律法規(guī)才可以為用戶數(shù)據(jù)和隱私提供一個有力的保障手段；其次，要有監(jiān)督審核機(jī)制來防范。用戶數(shù)據(jù)和隱私交給云服務(wù)提供商，并不意味著不需要監(jiān)督。無數(shù)經(jīng)驗(yàn)證明，完全建立在信任和信譽(yù)基礎(chǔ)之上的安全是最不安全的。因此，云服務(wù)提供商以及云基礎(chǔ)設(shè)施提供者需要為第三方提供可靠的有效的監(jiān)督審核渠道和技術(shù)手段；最后，還要有一個查詢和確認(rèn)機(jī)制。這種查詢和確認(rèn)機(jī)制可以讓數(shù)據(jù)和信息所有者，及時的了解自己所擁用數(shù)據(jù)的安全狀態(tài)。上述這些方面，其實(shí)在技術(shù)上都需要一些新的方法和手段來支撐。包括數(shù)據(jù)的加密，權(quán)限的認(rèn)證，數(shù)據(jù)處理流程的監(jiān)控以及取證技術(shù)的支持等等。私有云、公共云、混合云的安全差異性這三種云在安全問題上還是有差異的。私有云的安全問題與傳統(tǒng)企業(yè)或組織內(nèi)部的信息資產(chǎn)安全問題差別不大。以往存在的安全威脅也是私有云的安全威脅。而私有云的建立一定程度上會提高企業(yè)或組織內(nèi)部的信息資產(chǎn)安全。因?yàn)?，私有云很大程度上解決了企業(yè)或組織內(nèi)部經(jīng)常存在的數(shù)據(jù)分散不能有效集中管理所帶來的風(fēng)險。相對于私有云，公共云的安全問題將更為突出。不僅僅要面對私有云所面對的安全威脅和風(fēng)險，而且涉及到多個云使用者之間的邏輯安全分割及防護(hù)的問題?；旌显频陌踩珕栴}與公共云安全問題類似。私有云、公共云、混合云的安全重點(diǎn)私有云的安全重點(diǎn)在于防止云基礎(chǔ)設(shè)施及系統(tǒng)受到入侵和外部攻擊。而公共云的安全重點(diǎn)在于內(nèi)部服務(wù)的邏輯安全分割以及數(shù)據(jù)和隱私等信息的泄漏?；旌显频陌踩雷o(hù)需要同時考慮私有和公用兩種情景下的防范重點(diǎn)。云計算環(huán)境下的網(wǎng)絡(luò)及服務(wù)器、CPU取證云計算環(huán)境的網(wǎng)絡(luò)和計算機(jī)法證技術(shù)與傳統(tǒng)環(huán)境下的取證技術(shù)相比，應(yīng)該說有很大區(qū)別。目前情況下，計算機(jī)犯罪的證據(jù)相對來說還是比較集中的，便于收集及取證。我們所接觸到的計算機(jī)法證技術(shù)和產(chǎn)品更多的是面向單一設(shè)備的。在云計算環(huán)境下，計算機(jī)犯罪包括網(wǎng)絡(luò)犯罪的行為蹤跡將更為分散，證據(jù)難于收集。我們可以想象，在大規(guī)模的云計算基礎(chǔ)架構(gòu)平臺上去收集非法行為的蹤跡和證據(jù)，其復(fù)雜度是很難想象的。而這種取證又是確保云安全的必要手段。因此，我個人認(rèn)為，隨著國家相關(guān)法律法規(guī)的出臺，相關(guān)的取證技術(shù)和產(chǎn)品還是有很大的市場需求的。云計算及云安全標(biāo)準(zhǔn).目前云計算的標(biāo)準(zhǔn)化情況還存在很大程度的滯后。原因有很多，主要是云計算技術(shù)、服務(wù)及應(yīng)用上還存在著各種不同的觀點(diǎn)和看法。這種情況也側(cè)面反應(yīng)了云計算的真正成熟和商用還有相當(dāng)長的路要走。至于云安全相關(guān)的標(biāo)準(zhǔn)化情況則更為不樂觀。安全技術(shù)的發(fā)展從時間軸上總是要滯后于應(yīng)用的發(fā)展，這也是一個客觀現(xiàn)實(shí)。云端安全產(chǎn)品與非云端安全產(chǎn)品的區(qū)別就目