云計算-第8章 云計算的安全技術(shù)

第8章云計算的安全技術(shù)【教學(xué)內(nèi)容】【教學(xué)要求】【重點難點】3 網(wǎng)團(黑客)肉雞控制權(quán)4弱雞控制權(quán)商業(yè)機密形計算能力,被在黑市標(biāo)價出租隱私資料被盜竊-勒索或泄漏客集團泄落公司￥發(fā)送垃圾郵件5o不計樣本捕捉時間o1個樣本制作代碼、測試、發(fā)布約需一個工程師的2小時時間o全天25000個樣本共需50000小時的工作時間o以8小時工作制來計算，每天需6250位工程師來處理樣本o以100萬個樣本的病毒代碼為20MB計算o每天25000個樣本會占用的0.5MBo2年病毒代碼庫增長365MB因偶然的或者惡意的原因而遭受到破壞、更改病毒病毒8保密性是指信息不泄漏給非授權(quán)的用戶、實體或過完整性是指數(shù)據(jù)未經(jīng)授權(quán)可用性可用性是指被授權(quán)實體訪問可控性是指確保合法機構(gòu)按所獲授權(quán)能夠?qū)W(wǎng)絡(luò)及其中的信息流動與行為進抗抵賴性抗抵賴性又稱不可否認性，是指確保接收到的信息不是假冒的，而發(fā)信方無法9網(wǎng)絡(luò)安全體系結(jié)構(gòu)的任務(wù)基于上述對網(wǎng)絡(luò)安全的需求，作為一般手段的網(wǎng)絡(luò)安全體系結(jié)構(gòu)，其任務(wù)并不是為網(wǎng)絡(luò)提供具體的安全方案，而是提供有關(guān)形成網(wǎng)絡(luò)安全方案的方法和若干必須遵循的思開放系統(tǒng)互聯(lián)完全體系結(jié)構(gòu)ISO7498-2開放系統(tǒng)互聯(lián)安全體系結(jié)構(gòu)標(biāo)準(zhǔn)規(guī)定OSI安全體系結(jié)構(gòu)的核心內(nèi)容是：以實現(xiàn)完備的網(wǎng)絡(luò)安全功能為目標(biāo)，描述了5類安全服務(wù)，以及提供這些服務(wù)的8類安全機制和相應(yīng)的OS理，并且盡可能地將上述安全服務(wù)配置于開放系統(tǒng)互聯(lián)/通信流量填充認證交換通信流量填充認證交換數(shù)據(jù)完整性O(shè)SI安全體系結(jié)構(gòu)的三維空間表示OSI參考模型安全機制機安全服務(wù)序號安全服務(wù)1身份認證服務(wù)防止實體假冒或重放以前的連接，即偽造連接初始化攻擊。2訪問控制服務(wù)防止非法用戶進入系統(tǒng)及防止合法用戶對系統(tǒng)資源的非法訪問使用。3數(shù)據(jù)機密性服務(wù)對數(shù)據(jù)提供安全保護，防止數(shù)據(jù)被未授權(quán)用戶獲知。4數(shù)據(jù)完整性服務(wù)防止非法實體對用戶的主動攻擊(對正在交換的數(shù)據(jù)進行修改、插入、使數(shù)據(jù)延時以及丟失數(shù)據(jù)等),確保收到的數(shù)據(jù)在傳輸過程中沒有被修改、插入、刪除、延遲等。5不可否認服務(wù)防止通信參與者事后否認參與：①發(fā)送的不可否認服務(wù)，即防止數(shù)據(jù)的發(fā)送者否認曾發(fā)送過數(shù)據(jù)；②接收的不可否認服務(wù)，即防止數(shù)據(jù)的接收者否認曾接收到數(shù)據(jù)?！褚陨纤鯫SI安全體系結(jié)構(gòu)提供的五類安全服務(wù)，是配置在OSI/RM下表列舉了OSI安全體系結(jié)構(gòu)中安全服務(wù)按網(wǎng)絡(luò)層次的配置。表中有安全服務(wù)物理層鏈路層網(wǎng)絡(luò)層傳輸層會話層表示層應(yīng)用層身份認證√訪問控制√數(shù)據(jù)機密性√數(shù)據(jù)完整性不可否認性●按照OSI安全體系結(jié)構(gòu)，為了提供上述6類安全服務(wù)，(1)數(shù)據(jù)加密機制(5)認證交換機制(2)數(shù)據(jù)簽名機制(6)信息流填充機制(3)訪問控制機制(7)路由控制機制(4)數(shù)據(jù)完整性機制(8)公證機制●安全機制是用來實現(xiàn)和提供安全服務(wù)的，但給定一種安全服務(wù)，往往需要多種安全機制聯(lián)合發(fā)揮作用來提供；而某一種安全機制，往往又為下表指明了OSI安全體系結(jié)構(gòu)中安全機制與安全服務(wù)的對應(yīng)關(guān)系。表中安全服務(wù)安全機制數(shù)據(jù)加密數(shù)據(jù)簽名訪問控制數(shù)據(jù)完整性認證交換信息流量填充路由控制公證機制身份認證√√√√訪問控制√數(shù)據(jù)機密性√√數(shù)據(jù)完整性√√√不可否認性√√√加密技術(shù)加密技術(shù)侵檢測技術(shù)防火墻技術(shù)●認證技術(shù)的基本思想是通過驗證被認證對象的屬性來達到確認被認證對象是否真實有效的目的。被認證對象的屬性可以是口令、數(shù)字簽名或者像指紋、聲音、視網(wǎng)膜這樣的生理特征。身份認證技術(shù)消息認證技術(shù)防火墻是網(wǎng)絡(luò)訪問控制設(shè)備，用于拒絕除了明確允許通過之外的所有通信數(shù)據(jù)，它不同于只會確定網(wǎng)絡(luò)信息傳輸方向的簡單路由器,而是在網(wǎng)絡(luò)傳輸通過相關(guān)的訪問站點時對其實施一整套訪問策略的一個或一組系統(tǒng)。信息系統(tǒng)信息系統(tǒng)數(shù)據(jù)、進程、軟件軟件：如病毒等攻擊者人：如黑客互聯(lián)網(wǎng)911數(shù)據(jù)加密技術(shù)是為提高信息系統(tǒng)及數(shù)據(jù)的安全性和保密性，防止秘密數(shù)入侵檢測技術(shù)入侵檢測技術(shù)入侵檢測技術(shù)是為保證計算機系統(tǒng)的安全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權(quán)或異?，F(xiàn)象的技術(shù)，是一種用于檢測計算機網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。分公司分公司DMZIDS控制臺探測器探測器IntranetIDS控制臺服務(wù)器區(qū)入侵檢測系統(tǒng)routerrouterFirewallFirewall主要內(nèi)容主要內(nèi)容 云計算面臨各種挑戰(zhàn)全是人們對云計算最大的擔(dān)心”云時代的主要安全威脅2016年，云計算安全聯(lián)盟(CloudSecurityAlliance,CSA)列出了云計算領(lǐng)域的十二大安全威脅。數(shù)據(jù)泄露客攻擊賬戶劫持失危險云安全參考模型從服務(wù)模型的角度，CSA提出了基于3種基本云服務(wù)的層次性及其依賴關(guān)系的安全參考模型，并實現(xiàn)了從云服務(wù)模型到安全控制模型的映射。找出差距!找出差距!外觀特征外觀平臺應(yīng)用接口應(yīng)用程序數(shù)據(jù)元數(shù)據(jù)內(nèi)容整合&中間件應(yīng)用接口核心連接&傳送抽象硬件底層設(shè)備合規(guī)模型應(yīng)用程序信息管理可信計算計算&存儲Web應(yīng)用防火墻，事務(wù)處理DLP,CMF,防DDOS,QoS,DNSSEC,OAut硬件&軟件&RoT&APIsCLBASOX代碼檢查WAF加密統(tǒng)一用戶認證防病毒物理訪問控制雙重認證…PCI安全控制模型云模型HIPPA統(tǒng)一的用戶編程接口先進的加密機制和嚴格的密鑰管理體系云計算是當(dāng)前發(fā)展十分迅速的新興產(chǎn)業(yè)，具有廣闊的發(fā)展前景，同時其面臨的安全技術(shù)挑戰(zhàn)也是前所未有的。目前，云計算所涉及到的安全技術(shù)主要包括五個方面：數(shù)據(jù)安全用戶身份管理與訪問控制用戶身份管理用戶身份管理就是要對用戶的身份采用相應(yīng)的技術(shù)進行管理，這樣用戶每次要求訪問資源的時候都要進行訪問控制訪問控制(AccessControl)是指系統(tǒng)對用戶身份及其所屬的預(yù)先定義的策略組限制其使用數(shù)據(jù)資源能力的云計算環(huán)境中存在多種網(wǎng)絡(luò)安全威脅問題，主要是拒絕服務(wù)攻擊和中間人攻擊兩種攻擊方式。因此需要劃分安全區(qū)域，保證網(wǎng)絡(luò)安全。利用Hypervisor實現(xiàn)安全域劃分安全域1安全域1(VLAN1)交換控制功宿主機(物理主機)宿主機(物理主機)安全域2(VLAN2)該模式用VM將每個安全域劃分成幾個模塊，然后存在邏輯關(guān)系的模塊寄宿在物理主機上面，通過虛擬交換控制模塊進行監(jiān)控保障安全。借助物理交換機實現(xiàn)虛擬安全域劃分安全域1安全域1安全共2交換機以Cisco、HP等交換機廠家將虛擬機的網(wǎng)絡(luò)流量通過引出到傳統(tǒng)網(wǎng)絡(luò)設(shè)備(防火針對當(dāng)前云計算中數(shù)據(jù)資源所面的威脅，如何利用有效的安全加密機制來加強數(shù)據(jù)的安全性、防止數(shù)據(jù)泄露和加強隱私保護是云計算安相比于基于身份的加密體從原理上較適合云計算環(huán)境下的針對多用戶的數(shù)據(jù)分為兩大類：密文策略的屬性加密和密鑰策略的屬5)用戶B下載密文5)用戶B下載密文●不同的云計算服務(wù)提供模式創(chuàng)建了不同的安全管理邊界，以及由運行商和用戶共享責(zé)任的安全管理模型?！馭aaS,主要由運營商擔(dān)負安全管理責(zé)任；●PaaS,由運營商和用戶共同分擔(dān)安全管理責(zé)任；●IaaS,運營商僅負責(zé)網(wǎng)絡(luò)、云平臺等基礎(chǔ)設(shè)備安全管理，而用戶負責(zé)業(yè)務(wù)系統(tǒng)安全管理。安全管理標(biāo)準(zhǔn)規(guī)定了安全管理邊界的界定條件，運營商和用戶聯(lián)動方式等。從而實現(xiàn)云服務(wù)的可用性管理、漏洞管理、補丁管理、配置管理以及時間應(yīng)急響應(yīng)等。虛擬化安全虛擬化技術(shù)是實現(xiàn)云計算的關(guān)鍵核心技術(shù)，使用虛擬技化術(shù)的云計安全隔離通過采用云存儲數(shù)據(jù)隔離加固技術(shù)和虛擬機隔離加固技術(shù)，可以使數(shù)安全運行通過虛擬化可以用與訪問抽象前資源一致的方法訪問抽象后的資源，從而隱藏屬性和操作之間的差異，并允許通過一種通用的方式來查看和維護資源，從而安全監(jiān)控基于虛擬化技術(shù)，可以進行安全監(jiān)控。從安全監(jiān)控實現(xiàn)技術(shù)的角度來看，基于虛擬化的安全監(jiān)控可以分為兩類許多云服務(wù)提供商紛紛提出并部署了相應(yīng)的云計算安全解決方案，主要通過采用身份認證、安全審查、數(shù)據(jù)加密、系統(tǒng)冗余等技術(shù)及管理手段來提高云計算業(yè)務(wù)平臺的健壯性、服務(wù)連續(xù)性和用戶Microsoft的云計算平臺叫做WindowsAzure。在Azure上，Azure每個服務(wù)器只根據(jù)定制安裝必需的軟件組件，且在需要時均●中的數(shù)據(jù)被未經(jīng)認可的系統(tǒng)或用戶攔截，并在不犧牲用戶要求的配置靈活性的基礎(chǔ)上提供最大限度的安全保障。amazon主機操作系統(tǒng)02客戶操作系統(tǒng)防火墻實例隔離具有進入管理面業(yè)務(wù)需要的管理員被要求使提供了一個完整的防火墻解決方案，用戶須運行在相同物理機器上的不同實例通過Xen程 為有效保障云計算應(yīng)用的安全，中國電信進一步集成數(shù)據(jù)加密、VPN、身份認證、安全存儲等綜合安全技術(shù)手段，構(gòu)建面向云計算應(yīng)用的縱深 云安全(CloudSecurity)主要包含兩個方面的含義：也稱為云計算安全，包括云計算應(yīng)用系統(tǒng)安全、云計算應(yīng)用服務(wù)安全、云計算用戶信息安全等，云計算安全是云計算技術(shù)健康可持續(xù)發(fā)展的基礎(chǔ)。也即云計算技術(shù)在安全領(lǐng)域的具體應(yīng)用，也稱為安全云計算，就是基于云計算的、通過采用云計算技術(shù)來提升安全系統(tǒng)的服務(wù)效能的安全解決方案，