《網(wǎng)絡(luò)空間安全概論》課件7-3云計(jì)算安全

Whyweusecloudcomputing?Case1:WriteafileSaveComputerdown,fileislostFilesarealwaysstoredincloud,neverlost數(shù)據(jù)在云端1Case2:UseIE---download,install,useUseQQ---download,install,useUseC++---download,install,use……Gettheservefromthecloud軟件在云端2云計(jì)算的特點(diǎn)數(shù)據(jù)在云端：不怕丟失,不必備份,可以任意點(diǎn)的恢復(fù)；軟件在云端：不必下載自動(dòng)升級(jí)；無(wú)所不在的計(jì)算：在任何時(shí)間，任意地點(diǎn)，任何設(shè)備登錄后就可以進(jìn)行計(jì)算服務(wù)；無(wú)限強(qiáng)大的計(jì)算：具有無(wú)限空間的，無(wú)限速度。硬件為中心軟件為中心服務(wù)為中心PCC/S云計(jì)算云計(jì)算的定義狹義：指IT基礎(chǔ)設(shè)施的交付和使用模式，指通過(guò)網(wǎng)絡(luò)以按需、易擴(kuò)展的方式獲得所需的資源（硬件、平臺(tái)、軟件）。提供資源的網(wǎng)絡(luò)被稱為“云”?！霸啤敝械馁Y源在使用者看來(lái)是可以無(wú)限擴(kuò)展的，并且可以隨時(shí)獲取，按需使用，隨時(shí)擴(kuò)展，按使用付費(fèi)。這種特性經(jīng)常被稱為像水電一樣使用IT基礎(chǔ)設(shè)施。廣義：是指服務(wù)的交付和使用模式，指通過(guò)網(wǎng)絡(luò)以按需、易擴(kuò)展的方式獲得所需的服務(wù)。這種服務(wù)可以是IT和軟件、互聯(lián)網(wǎng)相關(guān)的，也可以是任意其他的服務(wù)。3云計(jì)算的原理基于互聯(lián)網(wǎng)的超級(jí)計(jì)算模式--即把存儲(chǔ)于個(gè)人電腦、移動(dòng)電話和其他設(shè)備上的大量信息和處理器資源集中在一起，協(xié)同工作。在極大規(guī)模上可擴(kuò)展的信息技術(shù)能力向外部客戶作為服務(wù)來(lái)提供的一種計(jì)算方式。MbPC企業(yè)電腦和服務(wù)器PDA4云計(jì)算的概念模型5NISTVisualModelofCloudComputingDefinition6本質(zhì)特征On-demandservice按需自服務(wù)GetcomputingcapabilitiesasneededautomaticallyBroadNetworkAccess寬帶接入Servicesavailableoverthenetusingdesktop,laptop,PDA,mobilephoneResourcepooling虛擬化的資源池ProviderresourcespooledtoservermultipleclientsRapidElasticity快速?gòu)椥约軜?gòu)Abilitytoquicklyscalein/outserviceMeasuredservice可測(cè)量的服務(wù)control,optimizeservicesbasedonmetering7云服務(wù)模型8部署模型Public公共云Cloudinfrastructureisavailabletothegeneralpublic,ownedbyorgsellingcloudservicesPrivate私有云Cloudinfrastructureforsingleorgonly,maybemanagedbytheorgora3rdparty,onoroffpremise“場(chǎng)內(nèi)”（on-premise）“場(chǎng)外”（off-premise）9DeploymentModelsCommunity社區(qū)云Cloudinfrastructuresharedbyseveralorgsthathavesharedconcerns,managedbyorgor3rdpartyHybrid混合云Comboof>=2cloudsboundbystandardorproprietarytechnology10ArchitecturalFramework

SaaSPaasIaaSCloudReferenceModel11SecurityStackIaaS:entireinfrastructurefromfacilitiestoHWPaaS:application,Middleware,database,messagingsupportedbyIaaSSaaS:selfcontainedoperatingenvironment:content,presentation,apps,mgt12SecurityStackConcernsLowerdownthestackthecloudvendorprovides,themoresecurityissuestheconsumerhastoaddressorprovide云安全架構(gòu)的一個(gè)關(guān)鍵特點(diǎn)是云服務(wù)提供商所在的等級(jí)越低，云服務(wù)用戶自己所要承擔(dān)的安全能力和管理職責(zé)就越多Whodoyoutrust?13KeyTakeawaysSaaS在合同里需要對(duì)服務(wù)本身和提供商的服務(wù)水平、安全、管控、合規(guī)性以及責(zé)任期望等有明確要求PaaS,IaaS在PaaS或IaaS情況下，這些內(nèi)容的管理責(zé)任是用戶自己的系統(tǒng)管理員，提供商提供安全保護(hù)底層平臺(tái)和基礎(chǔ)設(shè)施組件以確?；痉?wù)的可用性和安全14OverallSecurityConcerns在SaaS環(huán)境中，安全控制及其范圍；服務(wù)等級(jí)、隱私和符合性等在合同中在IaaS中，低層基礎(chǔ)設(shè)施和抽象層的安全保護(hù)屬于提供商職責(zé)，其它職責(zé)則屬于客戶。PaaS則居于兩者之間，提供商為平臺(tái)自身提供安全保護(hù)，平臺(tái)上應(yīng)用的安全性及如何安全地開發(fā)這些應(yīng)用則為客戶的職責(zé)。15云計(jì)算賦能防御利用云計(jì)算來(lái)緩解DDoS攻擊的影響首先調(diào)整DNS記錄，將對(duì)客戶Web服務(wù)器的請(qǐng)求發(fā)送至云服務(wù)提供商，云服務(wù)提供商過(guò)濾惡意流量并將合法流量返回給客戶。16云計(jì)算賦能防御反垃圾郵件用戶安裝客戶端（云安全探針），為收到的每一封郵件計(jì)算出一個(gè)唯一的“指紋”，通過(guò)比對(duì)“指紋”可以統(tǒng)計(jì)相似郵件的副本數(shù)，當(dāng)副本數(shù)達(dá)到一定數(shù)量，就可以判定郵件是垃圾郵件；其次，由于互聯(lián)網(wǎng)上多臺(tái)計(jì)算機(jī)比一臺(tái)計(jì)算機(jī)掌握的信息更多，因而可以采用分布式貝葉斯學(xué)習(xí)算法，在成百上千的客戶端機(jī)器上實(shí)現(xiàn)協(xié)同學(xué)習(xí)過(guò)程，收集、分析并共享最新的信息。17云計(jì)算賦能防御基于云計(jì)算的病毒檢測(cè)如同處理垃圾郵件，可以基于云進(jìn)行病毒檢測(cè)。通過(guò)海量的客戶端（云安全探針）感知互聯(lián)網(wǎng)上出現(xiàn)的惡意程序、危險(xiǎn)網(wǎng)站。惡意程序被探測(cè)到后，通過(guò)專業(yè)的反病毒技術(shù)和經(jīng)驗(yàn)在盡量短的時(shí)間內(nèi)分析。通過(guò)云平臺(tái)，將最新的病毒庫(kù)分發(fā)到客戶端。18云計(jì)算賦能防御基于云計(jì)算的網(wǎng)絡(luò)靶場(chǎng)常見(jiàn)的網(wǎng)絡(luò)靶場(chǎng)主要有三種：基于實(shí)物的高逼真靶場(chǎng)；基于OP-NET、NetworkSimulator、Emulab等仿真軟件進(jìn)行網(wǎng)絡(luò)拓?fù)涞脑O(shè)計(jì)和構(gòu)建的靶場(chǎng)；基于VMware或者VirtualBox創(chuàng)建虛擬機(jī)來(lái)實(shí)現(xiàn)的互聯(lián)網(wǎng)靶場(chǎng)。19云計(jì)算安全風(fēng)險(xiǎn)云服務(wù)利用風(fēng)險(xiǎn)利用云計(jì)算服務(wù)，自動(dòng)化注冊(cè)大量免費(fèi)賬號(hào)，上傳惡意攻擊代碼，把云平臺(tái)作為跳板，發(fā)起拒絕服務(wù)攻擊。另外，攻擊者可以利用強(qiáng)大的云計(jì)算能力破解密碼20云計(jì)算安全風(fēng)險(xiǎn)數(shù)據(jù)泄露或破壞風(fēng)險(xiǎn)云服務(wù)商的技術(shù)方面的漏洞可能存在數(shù)據(jù)泄露與非法篡改。云服務(wù)商存儲(chǔ)用戶數(shù)據(jù)帶來(lái)服務(wù)商優(yōu)先訪問(wèn)問(wèn)題，即來(lái)自云服務(wù)商內(nèi)部人員對(duì)用戶數(shù)據(jù)的非授權(quán)訪問(wèn)和泄漏。用戶還面臨數(shù)據(jù)被非授權(quán)更改，甚至數(shù)據(jù)被刪除等問(wèn)題21云計(jì)算安全風(fēng)險(xiǎn)隔離失敗風(fēng)險(xiǎn)在云計(jì)算環(huán)境中，計(jì)算能力、存儲(chǔ)與網(wǎng)絡(luò)在多個(gè)用戶之間共享。如果不能對(duì)不同用戶的存儲(chǔ)、內(nèi)存、虛擬機(jī)、路由等進(jìn)行有效隔離，惡意用戶就可能訪問(wèn)其他用戶的數(shù)據(jù)并進(jìn)行修改、刪除等操作。虛擬機(jī)逃逸被認(rèn)為是對(duì)虛擬機(jī)安全最嚴(yán)重的威脅。虛擬機(jī)逃逸是指攻擊者突破虛擬機(jī)管理器Hypervisor，獲得宿主機(jī)操作系統(tǒng)管理權(quán)限，并控制宿主機(jī)上運(yùn)行的其他虛擬機(jī)。22云計(jì)算安全風(fēng)險(xiǎn)應(yīng)用程序接口(API)濫用風(fēng)險(xiǎn)云服務(wù)中的應(yīng)用程序接口(API)允許任意數(shù)量的交互應(yīng)用，雖然可以通過(guò)管理進(jìn)行控制，但API濫用風(fēng)險(xiǎn)仍然存在。23云計(jì)算安全風(fēng)險(xiǎn)業(yè)務(wù)連續(xù)性中斷風(fēng)險(xiǎn)當(dāng)用戶的數(shù)據(jù)與業(yè)務(wù)應(yīng)用于云計(jì)算平臺(tái)時(shí)，其業(yè)務(wù)流程將依賴于云計(jì)算服務(wù)的連續(xù)性，一旦云服務(wù)因攻擊或故障拒絕服務(wù)，必將影響用戶業(yè)務(wù)24云計(jì)算安全風(fēng)險(xiǎn)基礎(chǔ)設(shè)施不可控風(fēng)險(xiǎn)公有云服務(wù)商的用戶管理接口可以通過(guò)互聯(lián)網(wǎng)訪問(wèn)，并可獲得較大的資源集，可能導(dǎo)致多種潛在的風(fēng)險(xiǎn)，使惡意用戶能夠控制多個(gè)虛擬機(jī)的用戶界面、操作云服務(wù)商界面等25云計(jì)算安全風(fēng)險(xiǎn)運(yùn)營(yíng)終止風(fēng)險(xiǎn)硬件提供商和基礎(chǔ)軟件提供商等都是云服務(wù)供應(yīng)鏈中不可缺少的參與角色，如果任何一方突然無(wú)法繼續(xù)供應(yīng)，云服務(wù)商又不能立即找到新的供應(yīng)方，就會(huì)導(dǎo)致供應(yīng)鏈中斷，進(jìn)而導(dǎo)致相關(guān)的云服務(wù)故障或終止26云計(jì)算安全風(fēng)險(xiǎn)內(nèi)部攻擊風(fēng)險(xiǎn)云服務(wù)商內(nèi)部人員并不都是可靠的。相對(duì)于外部攻擊，內(nèi)部攻擊造成的安全威脅更大而且更隱蔽。27云計(jì)算安全風(fēng)險(xiǎn)內(nèi)容違規(guī)風(fēng)險(xiǎn)公共云服務(wù)背景下，信息的發(fā)布和傳播具有不同于以往的特點(diǎn)，公共云平臺(tái)容易成為有害和垃圾信息的傳播渠道，面臨內(nèi)容合規(guī)性監(jiān)管的難題。。28云計(jì)算安全風(fēng)險(xiǎn)云計(jì)算法律風(fēng)險(xiǎn)信息服務(wù)或用戶數(shù)據(jù)可能分布在不同地區(qū)甚至不同國(guó)家，可能導(dǎo)致組織(例如政府)信息安全監(jiān)管等方面的法律差異與糾紛同時(shí)，云計(jì)算的多租戶、虛擬化等