分布式計(jì)算、云計(jì)算與大數(shù)據(jù) 第2版 課件 第8章 云計(jì)算安全技術(shù)與標(biāo)準(zhǔn)

第8章云計(jì)算安全技術(shù)與標(biāo)準(zhǔn)提綱8.1 云計(jì)算安全的概念與現(xiàn)狀分析8.2 云計(jì)算安全技術(shù)8.3 云計(jì)算技術(shù)標(biāo)準(zhǔn)云計(jì)算安全的概念云計(jì)算安全（cloudcomputingsecurity），也簡(jiǎn)稱(chēng)為云安全（cloudsecurity），是一個(gè)演化自計(jì)算機(jī)安全、網(wǎng)絡(luò)安全甚至是更廣泛的信息安全的子領(lǐng)域，而且還在持續(xù)發(fā)展中。云安全是指一套廣泛的政策、技術(shù)與被部署的控制方法，用來(lái)保護(hù)資料、應(yīng)用程序與云計(jì)算的基礎(chǔ)設(shè)施。注意：這里的云安全（云計(jì)算安全）與“基于云”（cloud-based）的安全軟件（安全即服務(wù)，securityasaservice）不是一個(gè)概念！云計(jì)算安全的概念對(duì)于云安全一詞，目前還沒(méi)有明確的定義。但是，可以從兩方面來(lái)理解云安全。第一，云計(jì)算本身的安全通常稱(chēng)為云計(jì)算安全，主要是針對(duì)云計(jì)算自身存在的安全隱患，研究相應(yīng)的安全防護(hù)措施和解決方案，云計(jì)算安全是云計(jì)算健康可持續(xù)發(fā)展的重要前提。第二，云計(jì)算在信息安全領(lǐng)域的具體應(yīng)用稱(chēng)為安全云計(jì)算，主要利用云計(jì)算架構(gòu)、采用云服務(wù)模式，實(shí)現(xiàn)安全的服務(wù)化或者統(tǒng)一安全監(jiān)控管理。這里主要關(guān)注的是云計(jì)算安全技術(shù)，它包括兩個(gè)方面：1.用戶(hù)的數(shù)據(jù)隱私保護(hù)；2.針對(duì)傳統(tǒng)互聯(lián)網(wǎng)和硬件設(shè)備的安全。云計(jì)算安全與傳統(tǒng)安全的異同相同點(diǎn)：安全目標(biāo)相同：云安全和傳統(tǒng)安全的目的都是保護(hù)信息、數(shù)據(jù)的安全和完整。系統(tǒng)資源類(lèi)型相同：云計(jì)算和傳統(tǒng)計(jì)算使用的系統(tǒng)資源類(lèi)型相同，都包括計(jì)算、網(wǎng)絡(luò)、存儲(chǔ)三類(lèi)資源，云計(jì)算和傳統(tǒng)計(jì)算都基于這三類(lèi)資源進(jìn)行安全防護(hù)?；A(chǔ)安全技術(shù)相同：云安全和傳統(tǒng)安全使用的加解密技術(shù)、安全基礎(chǔ)設(shè)施的類(lèi)型相同，云安全依然需要防火墻、IDS/DPI/IPS等基本防護(hù)手段。云計(jì)算特有的安全問(wèn)題：云計(jì)算服務(wù)模式導(dǎo)致的信任問(wèn)題集中管理的數(shù)據(jù)安全問(wèn)題虛擬化環(huán)境下的技術(shù)及管理問(wèn)題公開(kāi)的基礎(chǔ)設(shè)施帶來(lái)的安全威脅*5云計(jì)算安全現(xiàn)狀分析云計(jì)算發(fā)展到今天，其概念、技術(shù)層次、架構(gòu)體系逐漸清晰，逐漸形成了完整的產(chǎn)業(yè)鏈結(jié)構(gòu)，但是在云計(jì)算的安全方面仍然存在較大的問(wèn)題。McAfee一項(xiàng)2017年的調(diào)查顯示，83%的用戶(hù)將敏感數(shù)據(jù)存儲(chǔ)在云上，四分之一的企業(yè)用戶(hù)有過(guò)公有云數(shù)據(jù)被盜的經(jīng)歷，五分之一的企業(yè)公有云基礎(chǔ)設(shè)施受到過(guò)攻擊?？傊朴?jì)算服務(wù)從誕生的那一天起，頻頻出現(xiàn)一些安全事件，即使是業(yè)界實(shí)力強(qiáng)勁的領(lǐng)先企業(yè)，也難免遭受威脅的攻擊。一些重要的云計(jì)算安全事件2009年2月24日，谷歌的Gmail電子郵箱爆發(fā)全球性故障，服務(wù)中斷時(shí)間長(zhǎng)達(dá)4小時(shí)。針對(duì)這一事件，谷歌向企業(yè)、政府機(jī)構(gòu)和其他付費(fèi)GoogleAppsPremierEdition客戶(hù)提供15天免費(fèi)服務(wù)，補(bǔ)償服務(wù)中斷給客戶(hù)造成的損失，每人合計(jì)2.05美元。2011年4月21日凌晨，亞馬遜爆出了史上最大的停機(jī)事件。亞馬遜公司在北弗吉尼亞州的云計(jì)算中心宕機(jī)，導(dǎo)致亞馬遜云服務(wù)中斷持續(xù)了近4天。2018年6月27日，阿里云出現(xiàn)運(yùn)維失誤，導(dǎo)致一些客戶(hù)訪(fǎng)問(wèn)阿里云官網(wǎng)控制臺(tái)和使用部分產(chǎn)品功能出現(xiàn)問(wèn)題，受影響的范圍包括阿里云官網(wǎng)控制臺(tái)，以及MQ、NAS、OSS等產(chǎn)品功能。2021年6月8日，云計(jì)算公司Fastly修改了一項(xiàng)服務(wù)配置，導(dǎo)致使用該公司CDN服務(wù)的網(wǎng)站崩潰約1小時(shí)，其中包括GitHub、谷歌、亞馬遜、Reddit、推特、eBay等。……*7制約云計(jì)算發(fā)展的安全因素*8目前來(lái)說(shuō)制約云計(jì)算發(fā)展的安全因素主要源于技術(shù)、管理和法律三個(gè)方面。技術(shù)方面云計(jì)算系統(tǒng)龐大，發(fā)生故障時(shí)，如何快速定位故障、無(wú)縫自動(dòng)切換到備用系統(tǒng)成為挑戰(zhàn)。傳統(tǒng)的基于物理安全邊界的防護(hù)機(jī)制難以有效保護(hù)基于共享虛擬化環(huán)境下的用戶(hù)應(yīng)用及信息安全?，F(xiàn)有基礎(chǔ)設(shè)施無(wú)法滿(mǎn)足云計(jì)算的需求，例如現(xiàn)有交換設(shè)備、安全設(shè)備和網(wǎng)絡(luò)設(shè)備可能無(wú)法滿(mǎn)足內(nèi)外之間大流量的處理要求。服務(wù)器虛擬化后帶來(lái)的安全隱患，包括網(wǎng)絡(luò)架構(gòu)改變引起的使用風(fēng)險(xiǎn)、虛擬機(jī)溢出導(dǎo)致虛擬機(jī)失去安全系統(tǒng)的保護(hù)、虛擬機(jī)遷移以及虛擬機(jī)間通信導(dǎo)致服務(wù)器更容易遭受滲透攻擊等。管理方面用戶(hù)與服務(wù)提供商之間在安全界面上難以達(dá)成一致，安全責(zé)任不清。云計(jì)算平臺(tái)可能被惡意利用，給安全監(jiān)管帶來(lái)挑戰(zhàn)。云計(jì)算數(shù)據(jù)管理權(quán)與所有權(quán)分離，高權(quán)限管理員的權(quán)限容易被濫用。安全防御兩極分化，大公司對(duì)安全比較重視，而中小型公司由于業(yè)務(wù)量不多并且能力有限，基本無(wú)安全防御能力。法律方面多租戶(hù)、虛擬化、分布式存儲(chǔ)等特點(diǎn)給司法取證帶來(lái)挑戰(zhàn)。云計(jì)算應(yīng)用具有地域性弱、信息流動(dòng)性大的特點(diǎn)，在政府信息安全監(jiān)管、隱私保護(hù)等方面可能存在法律差異與糾紛。云計(jì)算數(shù)據(jù)管理權(quán)與所有權(quán)分離，高權(quán)限管理員的權(quán)限容易被濫用。知識(shí)產(chǎn)權(quán)部門(mén)對(duì)云計(jì)算中的操作方法、軟件邏輯構(gòu)思、功能設(shè)計(jì)不予保護(hù)，從而使得版權(quán)保護(hù)模式和內(nèi)容依云計(jì)算服務(wù)模式的不同而有所不同。制約云計(jì)算發(fā)展的安全因素企業(yè)的擔(dān)憂(yōu)智能交通燈系統(tǒng)IDC在2009年底發(fā)布的一項(xiàng)調(diào)查報(bào)告顯示，云計(jì)算服務(wù)面臨的前三大市場(chǎng)挑戰(zhàn)分別為服務(wù)安全性、穩(wěn)定性和性能表現(xiàn)。2009年11月，F(xiàn)orresterResearch公司的調(diào)查結(jié)果顯示，有51%的中小型企業(yè)認(rèn)為安全性和隱私問(wèn)題是它們尚未使用云服務(wù)的最主要原因。2011年IDC調(diào)查結(jié)果（圖8-1）顯示，76%的受訪(fǎng)企業(yè)認(rèn)為，是否投資建立云數(shù)據(jù)中心，安全性成為首要業(yè)務(wù)驅(qū)動(dòng)因素。由此可見(jiàn)，要讓企業(yè)和組織大規(guī)模應(yīng)用云計(jì)算技術(shù)與平臺(tái)，放心地將自己的數(shù)據(jù)交付于云服務(wù)提供商管理，就必須全面分析并著手解決云計(jì)算所面臨的各種安全問(wèn)題。各方的努力智能交通燈系統(tǒng)雖然云計(jì)算安全面臨著嚴(yán)峻的考驗(yàn)，但各方也在致力于改善當(dāng)前云計(jì)算的種種難題。云提供商致力于提升云計(jì)算的安全水平，通過(guò)自身評(píng)估與第三方工具，例如CSASTAR項(xiàng)目、DIACAP認(rèn)證，以及FedRAMP認(rèn)證項(xiàng)目等方式評(píng)估云提供商的通用安全水準(zhǔn)；各大企業(yè)、研究機(jī)構(gòu)也在積極推進(jìn)安全技術(shù)的研發(fā)，使云安全技術(shù)日漸成熟；國(guó)內(nèi)外大量標(biāo)準(zhǔn)化組織也參與到云計(jì)算標(biāo)準(zhǔn)的制定工作中，并且發(fā)布了大量標(biāo)準(zhǔn)草案，涵蓋云計(jì)算相關(guān)技術(shù)、服務(wù)、安全等各個(gè)領(lǐng)域，為云計(jì)算的規(guī)范化起到了一定的指導(dǎo)作用。后續(xù)將從云計(jì)算安全技術(shù)和云計(jì)算技術(shù)標(biāo)準(zhǔn)兩個(gè)方面進(jìn)行介紹。提綱8.1 云計(jì)算安全的概念與現(xiàn)狀分析8.2 云計(jì)算安全技術(shù)8.3 云計(jì)算技術(shù)標(biāo)準(zhǔn)云計(jì)算安全技術(shù)云計(jì)算本質(zhì)上是物理的機(jī)器集群，因此云安全是傳統(tǒng)安全技術(shù)的延續(xù)，但因?yàn)樵朴?jì)算環(huán)境具有大規(guī)模、高動(dòng)態(tài)、不可信、分布式等特點(diǎn)，所以某些方面的技術(shù)對(duì)云安全來(lái)說(shuō)尤為重要，并且在云環(huán)境下一些傳統(tǒng)技術(shù)有了新的發(fā)展。對(duì)于不同的云安全組織及公司，云計(jì)算安全技術(shù)的關(guān)注點(diǎn)有所不同，如表8-1所示。云安全聯(lián)盟（CloudSecurityAlliance，CSA）從云服務(wù)模式（IaaS、PaaS、SaaS）角度提出了一個(gè)云計(jì)算安全技術(shù)體系框架，該框架描述了三種基本云服務(wù)的層次及其依賴(lài)關(guān)系，并實(shí)現(xiàn)了從云服務(wù)模式到安全控制框架的映射，如圖8-2所示。云計(jì)算安全技術(shù)體系框架圖8-2云安全聯(lián)盟云計(jì)算安全技術(shù)體系框架從圖8-2可以看出，對(duì)于不同的云服務(wù)模式（IaaS、PaaS、SaaS），安全關(guān)注點(diǎn)是不一樣的。當(dāng)然，有些是這三種模式共有的，如數(shù)據(jù)安全、加密和密鑰管理、身份識(shí)別和訪(fǎng)問(wèn)管理、安全事件管理、業(yè)務(wù)連續(xù)性等。（1）IaaS層安全I(xiàn)aaS涵蓋從機(jī)房設(shè)備到硬件平臺(tái)的所有基礎(chǔ)設(shè)施資源層面，它包括將資源抽象化的能力，并交付到這些資源的物理或邏輯網(wǎng)絡(luò)連接，終極狀態(tài)是IaaS提供商提供一組API，允許用戶(hù)管理基礎(chǔ)設(shè)施資源以及進(jìn)行其他形式的交互。IaaS層安全主要包括物理與環(huán)境安全、主機(jī)安全、網(wǎng)絡(luò)安全、虛擬化安全、接口安全，以及數(shù)據(jù)安全、加密和密鑰管理、身份識(shí)別和訪(fǎng)問(wèn)管理、安全事件管理、業(yè)務(wù)連續(xù)性等。云計(jì)算安全技術(shù)體系框架（2）PaaS層安全PaaS位于IaaS之上，用以與應(yīng)用開(kāi)發(fā)框架、中間件能力以及數(shù)據(jù)庫(kù)、消息和隊(duì)列等功能集成。PaaS允許開(kāi)發(fā)者在平臺(tái)之上開(kāi)發(fā)應(yīng)用，開(kāi)發(fā)的編程語(yǔ)言和工具由PaaS提供。PaaS層的安全主要包括接口安全、運(yùn)行安全以及數(shù)據(jù)安全、加密和密鑰管理、身份識(shí)別和訪(fǎng)問(wèn)管理、安全事件管理、業(yè)務(wù)連續(xù)性等。（3）SaaS層安全SaaS位于IaaS和PaaS之上，它能夠提供獨(dú)立的運(yùn)行環(huán)境，用以交付完整的用戶(hù)體驗(yàn)，包括內(nèi)容、展現(xiàn)、應(yīng)用和管理能力。SaaS層的安全主要是應(yīng)用安全，同樣也包括數(shù)據(jù)安全、加密和密鑰管理、身份識(shí)別和訪(fǎng)問(wèn)管理、安全事件管理、業(yè)務(wù)連續(xù)性等。云計(jì)算安全技術(shù)體系框架身份認(rèn)證技術(shù)身份認(rèn)證是云安全防護(hù)的第一步，是系統(tǒng)審查用戶(hù)身份的過(guò)程，從而確定該用戶(hù)是否具有對(duì)某種資源的訪(fǎng)問(wèn)和使用權(quán)限。除傳統(tǒng)的HTTP認(rèn)證外，針對(duì)云計(jì)算獨(dú)特的環(huán)境，還存在幾種身份認(rèn)證技術(shù)。1.API調(diào)用源鑒定云服務(wù)商提供了大量API服務(wù)和資源訪(fǎng)問(wèn)，對(duì)API進(jìn)行鑒定可以幫助云服務(wù)商驗(yàn)證API調(diào)用源的身份、防止數(shù)據(jù)篡改和重放攻擊等安全問(wèn)題。鑒定API調(diào)用源身份的常用方法是訪(fǎng)問(wèn)密鑰（accesskey），通常在用戶(hù)創(chuàng)建時(shí)由云服務(wù)商進(jìn)行分配，用戶(hù)也可以為部署的應(yīng)用請(qǐng)求分配訪(fǎng)問(wèn)密鑰。訪(fǎng)問(wèn)密鑰由訪(fǎng)問(wèn)密鑰ID（accesskeyID）和秘密訪(fǎng)問(wèn)密鑰（secretaccesskey）組成。在訪(fǎng)問(wèn)API時(shí)，可以使用秘密訪(fǎng)問(wèn)密鑰對(duì)API請(qǐng)求進(jìn)行簽名，然后將訪(fǎng)問(wèn)密鑰ID與API請(qǐng)求一起發(fā)送給API服務(wù)器，當(dāng)服務(wù)器收到API請(qǐng)求后會(huì)根據(jù)訪(fǎng)問(wèn)密鑰ID驗(yàn)證秘密訪(fǎng)問(wèn)密鑰是否正確。1.API調(diào)用源鑒定（續(xù)）訪(fǎng)問(wèn)密鑰用于云內(nèi)部鑒定API調(diào)用，對(duì)于外部API調(diào)用（例如第三方調(diào)用）來(lái)說(shuō)，可以使用開(kāi)放授權(quán)（OpenAuthorization，OAuth）進(jìn)行API調(diào)用源鑒定。第三方認(rèn)證流程中一般包含以下角色?！褓Y源擁有者（resourceowner）：有權(quán)授予對(duì)保護(hù)資源訪(fǎng)問(wèn)權(quán)限的實(shí)體，通常是應(yīng)用的使用者，例如應(yīng)用使用用戶(hù)●資源服務(wù)器（resourceserver）：存儲(chǔ)受保護(hù)資源的服務(wù)器，通常為云服務(wù)商提供的存儲(chǔ)服務(wù)器●客戶(hù)端（client）：需要使用受保護(hù)數(shù)據(jù)的第三方●認(rèn)證服務(wù)器（authorizationserver）：服務(wù)提供商專(zhuān)門(mén)用來(lái)處理認(rèn)證授權(quán)的服務(wù)器OAuth的流程如圖8-3所示。2.聯(lián)合身份認(rèn)證技術(shù)在許多云計(jì)算使用場(chǎng)景下，用戶(hù)可能使用了云服務(wù)商提供的多個(gè)服務(wù)，因此為了防止用戶(hù)重復(fù)多次進(jìn)行身份認(rèn)證，云計(jì)算中普遍采用基于單點(diǎn)登錄的聯(lián)合身份驗(yàn)證。單點(diǎn)登錄使用戶(hù)只需要一次登錄即可訪(fǎng)問(wèn)所有互相信任的服務(wù)，而不需要為每個(gè)服務(wù)單獨(dú)進(jìn)行身份認(rèn)證，實(shí)現(xiàn)單點(diǎn)登錄的常見(jiàn)技術(shù)有SAML

和OpenID。安全斷言標(biāo)記語(yǔ)言（SecurityAssertionMarkupLanguage，SAML）是一個(gè)基于XML的安全協(xié)議，用于在不同的安全域之間進(jìn)行交換認(rèn)證和授權(quán)數(shù)據(jù)。SAML中定義了身份提供者（IdentityProvider，IDP）和服務(wù)提供者（ServiceProvider，SP），當(dāng)需要進(jìn)行身份認(rèn)證時(shí)，SP會(huì)向IDP發(fā)起驗(yàn)證用戶(hù)身份的請(qǐng)求，隨后IDP將會(huì)要求用戶(hù)提供認(rèn)證信息，一旦用戶(hù)被IDP認(rèn)證以后，訪(fǎng)問(wèn)其他在IDP注冊(cè)過(guò)的SP就可以直接登錄而不需要再進(jìn)行身份認(rèn)證。這個(gè)過(guò)程中，SP與IDP之間是不需要進(jìn)行交互的。OpenID

是一個(gè)以用戶(hù)為中心的身份驗(yàn)證框架，用戶(hù)需要預(yù)先在OpenID提供者（OpenIDProvider，OP）注冊(cè)一個(gè)統(tǒng)一身份標(biāo)識(shí)符，當(dāng)需要使用OpenID支持方（OpenIDRelyingPart，RP）的服務(wù)時(shí)，以該身份標(biāo)識(shí)符而不是以傳統(tǒng)的用戶(hù)名和密碼進(jìn)行身份認(rèn)證，在RP收到該用戶(hù)的身份標(biāo)識(shí)符后會(huì)與OP進(jìn)行驗(yàn)證確認(rèn)。3.跨域身份認(rèn)證JWT（JSONWebToken）是目前云環(huán)境中最流行的跨域認(rèn)證解決方案，當(dāng)用戶(hù)通過(guò)認(rèn)證以后，服務(wù)器會(huì)給用戶(hù)簽發(fā)一個(gè)JWT，此后用戶(hù)都可以使用該JWT直接訪(fǎng)問(wèn)受保護(hù)的資源。JWT將認(rèn)證信息存儲(chǔ)在客戶(hù)端，從而大大減少了服務(wù)器跨域身份認(rèn)證的開(kāi)銷(xiāo)。4.多因素身份認(rèn)證在從傳統(tǒng)身份認(rèn)證向更高級(jí)的身份認(rèn)證過(guò)渡的階段，許多企業(yè)采用多因素身份認(rèn)證（Multi-FactorAuthentication，MFA）保證云環(huán)境的安全。多因素身份認(rèn)證是一種通過(guò)犧牲便利性換取安全性的身份認(rèn)證技術(shù)，它需要用戶(hù)提供多種認(rèn)證憑證，這些認(rèn)證憑證通常分為以下三類(lèi)?！衩艽a：靜態(tài)密碼、動(dòng)態(tài)令牌、手機(jī)驗(yàn)證碼、郵箱驗(yàn)證碼等?！裎锢碛布簬в忻芰畹腢盤(pán)、銀行卡、鑰匙等?！裆镒R(shí)別特征：指紋、聲紋、面部特征等。訪(fǎng)問(wèn)控制技術(shù)訪(fǎng)問(wèn)控制是云計(jì)算保證數(shù)據(jù)安全的重要機(jī)制，它只允許經(jīng)過(guò)授權(quán)的用戶(hù)訪(fǎng)問(wèn)對(duì)應(yīng)權(quán)限的數(shù)據(jù)，并防止非法用戶(hù)訪(fǎng)問(wèn)受保護(hù)的網(wǎng)絡(luò)資源，如圖8-4所示。訪(fǎng)問(wèn)控制技術(shù)雖然各大云提供商都支持傳統(tǒng)的訪(fǎng)問(wèn)控制技術(shù)，如DAC、MAC、RBAC，但是傳統(tǒng)的訪(fǎng)問(wèn)控制技術(shù)已不能滿(mǎn)足云計(jì)算的復(fù)雜場(chǎng)景，具體表現(xiàn)在以下方面:傳統(tǒng)的訪(fǎng)問(wèn)控制構(gòu)建在可信的邊界保護(hù)下形成的“安全域”，但是云計(jì)算中用戶(hù)不能完全控制自己的資源，“安全域”不適用于云環(huán)境。傳統(tǒng)的訪(fǎng)問(wèn)控制屬于分散式管理模式，一臺(tái)云服務(wù)器上可能有多個(gè)主體和客體，需要有集中的訪(fǎng)問(wèn)控制模型支持。傳統(tǒng)的訪(fǎng)問(wèn)控制在設(shè)計(jì)上針對(duì)相對(duì)固定的權(quán)限分配，而云計(jì)算用戶(hù)種類(lèi)眾多、層次復(fù)雜，各個(gè)角色擁有的權(quán)限可能頻繁變化。下面分別對(duì)不同類(lèi)型的訪(fǎng)問(wèn)控制技術(shù)進(jìn)行介紹。1.基于任務(wù)的訪(fǎng)問(wèn)控制基于任務(wù)的訪(fǎng)問(wèn)控制（Task-BasedAccessControl，TBAC）是一種主動(dòng)安全模型，它以工作流中的任務(wù)為中心。主動(dòng)的安全管理方法會(huì)根據(jù)正在進(jìn)行的任務(wù)動(dòng)態(tài)地、實(shí)時(shí)地進(jìn)行權(quán)限的管理，在這期間權(quán)限被不斷地監(jiān)測(cè)、激活和停用。此外，TBAC模型在很大程度上是自我管理的，它不需要人工地對(duì)各種主客體的權(quán)限進(jìn)行配置，從而減少了與細(xì)粒度主客體安全管理有關(guān)的開(kāi)銷(xiāo)。TBAC

最大的特點(diǎn)是使權(quán)限的授予、使用跟蹤和撤銷(xiāo)自動(dòng)化，并與各種任務(wù)的進(jìn)展相協(xié)調(diào)。因此TBAC非常適用于具有多個(gè)訪(fǎng)問(wèn)、控制和決策點(diǎn)的分布式計(jì)算和信息處理活動(dòng)。2.基于屬性的訪(fǎng)問(wèn)控制基于屬性的訪(fǎng)問(wèn)控制（Attribute-basedAccessControl，ABAC）是針對(duì)云計(jì)算高動(dòng)態(tài)性開(kāi)放網(wǎng)絡(luò)的訪(fǎng)問(wèn)控制技術(shù)。ABAC將任何與安全相關(guān)的特征定義為屬性（attribute），在訪(fǎng)問(wèn)控制的過(guò)程中主體和客體不直接交互，而是將每一個(gè)訪(fǎng)問(wèn)控制中的元素描述為對(duì)應(yīng)的屬性，從而根據(jù)屬性建立一個(gè)統(tǒng)一的訪(fǎng)問(wèn)控制機(jī)制，這不僅降低了訪(fǎng)問(wèn)控制的開(kāi)銷(xiāo)，還允許ABAC應(yīng)用于具有海量用戶(hù)的大規(guī)模訪(fǎng)問(wèn)控制。2.基于屬性的訪(fǎng)問(wèn)控制（續(xù)）與其他訪(fǎng)問(wèn)控制模型不同的是，ABAC

還考慮了環(huán)境屬性，這是一種自定義的動(dòng)態(tài)屬性，例如時(shí)間、地點(diǎn)、歷史、技術(shù)等信息。環(huán)境屬性使ABAC具有極高的靈活性，使其能夠根據(jù)復(fù)雜的場(chǎng)景細(xì)粒度地對(duì)資源訪(fǎng)問(wèn)的權(quán)限進(jìn)行配置。3.基于ABE的訪(fǎng)問(wèn)控制基于ABE的訪(fǎng)問(wèn)控制的主要出發(fā)點(diǎn)在于對(duì)云服務(wù)商的不信任，一個(gè)典型的場(chǎng)景是客戶(hù)端請(qǐng)求服務(wù)端存儲(chǔ)在云服務(wù)器上的共享數(shù)據(jù)，基于ABE的訪(fǎng)問(wèn)控制可以實(shí)現(xiàn)在云服務(wù)器上僅僅存儲(chǔ)加密后的數(shù)據(jù)，并且密鑰的交換不需要通過(guò)云服務(wù)商。4.基于屬性加密的訪(fǎng)問(wèn)控制基于屬性加密（Attribute-basedEncryption，ABE）是公鑰加密和基于身份加密（Identity-basedEncryption，IBE）的一種擴(kuò)展，ABE與IBE最主要的區(qū)別是，ABE使用屬性集合描述用戶(hù)身份或數(shù)據(jù)的信息特征，通過(guò)定義各種策略來(lái)實(shí)現(xiàn)細(xì)粒度的訪(fǎng)問(wèn)控制能力，只有屬性符合定義的訪(fǎng)問(wèn)策略，才能夠進(jìn)行數(shù)據(jù)解密。4.基于屬性加密的訪(fǎng)問(wèn)控制（續(xù)）ABE

分為CP-ABE

和KP-ABE。CP-ABE

中每個(gè)客戶(hù)端都有其屬性，每個(gè)數(shù)據(jù)都有服務(wù)端定義的訪(fǎng)問(wèn)策略，這些策略聲明了具有哪些屬性的客戶(hù)端才有權(quán)限解密數(shù)據(jù)；而在KP-ABE

中，屬性是用來(lái)描述服務(wù)器數(shù)據(jù)的，訪(fǎng)問(wèn)策略是由客戶(hù)端設(shè)定的，服務(wù)端無(wú)法決定數(shù)據(jù)能被具有哪些屬性的客戶(hù)端獲取。兩種ABE實(shí)現(xiàn)的訪(fǎng)問(wèn)控制的區(qū)別實(shí)際上在于數(shù)據(jù)的控制權(quán)主體，如果服務(wù)端需要控制客戶(hù)端能夠獲取的數(shù)據(jù)種類(lèi)，那么可以使用CP-ABE

在分布式系統(tǒng)中實(shí)現(xiàn)細(xì)粒度的數(shù)據(jù)共享；如果客戶(hù)端需要控制數(shù)據(jù)的獲取，那么可以使用KP-ABE

根據(jù)需要獲取對(duì)應(yīng)的數(shù)據(jù)，例如付費(fèi)視頻網(wǎng)站。注意：ABAC

是將客戶(hù)端劃分為多個(gè)客戶(hù)端屬性，將服務(wù)端數(shù)據(jù)劃分為多個(gè)服務(wù)端數(shù)據(jù)屬性，然后在客戶(hù)端屬性和服務(wù)端數(shù)據(jù)屬性之間建立一系列一對(duì)一的訪(fǎng)問(wèn)控制策略；而基于ABE的訪(fǎng)問(wèn)控制（以CP-ABE

為例）是為單個(gè)客戶(hù)端賦予多個(gè)屬性，單個(gè)服務(wù)端數(shù)據(jù)定義多個(gè)策略，形成一系列多對(duì)多的訪(fǎng)問(wèn)控制策略。網(wǎng)絡(luò)隔離技術(shù)VLAN虛擬局域網(wǎng)（VirtualLocalAreaNetwork，VLAN）最初用于解決大規(guī)模網(wǎng)絡(luò)導(dǎo)致的廣播報(bào)文泛濫問(wèn)題，它將一個(gè)網(wǎng)絡(luò)劃分為多個(gè)邏輯上的子網(wǎng)絡(luò)，從而實(shí)現(xiàn)不同網(wǎng)絡(luò)廣播域的隔離，如圖8-5所示。VLAN

被運(yùn)用于云計(jì)算中，對(duì)云主機(jī)網(wǎng)絡(luò)進(jìn)行安全域劃分，例如接入域、管理域、業(yè)務(wù)域等，并用防火墻等進(jìn)行安全域的隔離，確保安全域之間的數(shù)據(jù)傳輸符合相應(yīng)的訪(fǎng)問(wèn)控制策略，網(wǎng)絡(luò)安全問(wèn)題不會(huì)擴(kuò)散。VXLAN隨著云計(jì)算技術(shù)的不斷發(fā)展，租戶(hù)隔離、虛擬網(wǎng)絡(luò)隔離、應(yīng)用隔離等隔離需求都會(huì)耗費(fèi)大量的VLAN，導(dǎo)致VLAN的數(shù)量逐漸緊缺，因此虛擬擴(kuò)展本地網(wǎng)絡(luò)（VirtualeXtensibleLocalAreaNetwork，VXLAN）被提出。VXLAN

是一種將以太網(wǎng)報(bào)文封裝成UDP報(bào)文的隧道技術(shù)，因此可以實(shí)現(xiàn)二三層網(wǎng)絡(luò)的傳輸。相比VLAN，VXLAN

擴(kuò)展了網(wǎng)絡(luò)規(guī)模、提高了網(wǎng)絡(luò)部署的靈活性和網(wǎng)絡(luò)傳輸效率、解決了IP地址沖突的問(wèn)題，更能適應(yīng)大規(guī)模多租戶(hù)的網(wǎng)絡(luò)環(huán)境。VLAN和VXLAN的局限性VLAN

和VXLAN

屬于較粗粒度的隔離技術(shù)，虛擬化、容器化等技術(shù)的運(yùn)用使傳統(tǒng)的VLAN、VXLAN等隔離技術(shù)在大型網(wǎng)絡(luò)的進(jìn)出口端都存在比較復(fù)雜的業(yè)務(wù)訪(fǎng)問(wèn)關(guān)系和較重的工作負(fù)載，從而導(dǎo)致進(jìn)出口端的網(wǎng)絡(luò)產(chǎn)生擁塞。VPC虛擬私有云（VirtualPrivateCloud，VPC）最初是AWS在公有云多租戶(hù)環(huán)境上建立互相隔離的虛擬網(wǎng)絡(luò)的技術(shù)，VXLAN

技術(shù)與AWSVPC技術(shù)類(lèi)似。但目前來(lái)說(shuō)，各大云服務(wù)商更多將VPC視為一種常見(jiàn)的私有云網(wǎng)絡(luò)服務(wù)，即在公共資源池中劃分出客戶(hù)私有網(wǎng)絡(luò)區(qū)域，使其他租戶(hù)無(wú)法進(jìn)入該網(wǎng)絡(luò)區(qū)域。圖8-6是一個(gè)虛擬私有云方案的示意圖，圖中存在兩個(gè)VPC，VPC1與VPC2之間相互隔離，不同VPC之間可以通過(guò)創(chuàng)建對(duì)等連接進(jìn)行相互通信。在VPC內(nèi)部，用戶(hù)可以像使用傳統(tǒng)網(wǎng)絡(luò)架構(gòu)那樣根據(jù)自己的需求進(jìn)行建立防火墻、劃分子網(wǎng)等操作來(lái)實(shí)現(xiàn)滿(mǎn)足自己需求的網(wǎng)絡(luò)。圖8-6虛擬私有云方案示意圖微隔離方案微隔離方案是新一代的網(wǎng)絡(luò)隔離技術(shù)，它將網(wǎng)絡(luò)劃分為多個(gè)小的功能分區(qū)，如Web分區(qū)、App分區(qū)等，如圖8-7所示，用戶(hù)可以對(duì)每個(gè)分區(qū)設(shè)置細(xì)致的訪(fǎng)問(wèn)控制策略。與其他網(wǎng)絡(luò)隔離技術(shù)最大的區(qū)別在于它不依賴(lài)于傳統(tǒng)的防火墻進(jìn)行隔離：VLAN和VXLAN都是基于服務(wù)器IP在防火墻處實(shí)現(xiàn)的隔離，而微隔離網(wǎng)絡(luò)的隔離是在認(rèn)證服務(wù)器處實(shí)現(xiàn)的，只有通過(guò)了認(rèn)證服務(wù)器的認(rèn)證，才能訪(fǎng)問(wèn)網(wǎng)絡(luò)資源，將認(rèn)證服務(wù)器分布式地實(shí)現(xiàn)在網(wǎng)絡(luò)內(nèi)部，可以減輕整個(gè)網(wǎng)絡(luò)進(jìn)出口端的網(wǎng)絡(luò)壓力。相比傳統(tǒng)的防火墻隔離，微隔離更具有靈活性，當(dāng)有主機(jī)上下線(xiàn)時(shí)可以隨時(shí)更改區(qū)域劃分的范圍，從而動(dòng)態(tài)地更新服務(wù)的主機(jī)IP域，更加適合動(dòng)態(tài)變化的云計(jì)算環(huán)境。遠(yuǎn)程訪(fǎng)問(wèn)技術(shù)傳統(tǒng)的訪(fǎng)問(wèn)方法遠(yuǎn)程用戶(hù)或企業(yè)合作伙伴如果想訪(fǎng)問(wèn)內(nèi)網(wǎng)，傳統(tǒng)的訪(fǎng)問(wèn)方法是使用虛擬接入網(wǎng)絡(luò)（VirtualPrivateNetwork，VPN），VPN

用于在公共網(wǎng)絡(luò)中建立臨時(shí)的、經(jīng)過(guò)加密的私有網(wǎng)絡(luò)連接，常用的VPN

有IPSecVPN和SSLVPN。IPSecVPN基于IPSec安全標(biāo)準(zhǔn)在公有網(wǎng)絡(luò)中建立網(wǎng)絡(luò)與網(wǎng)絡(luò)之間的連接，因此要求兩端網(wǎng)絡(luò)出口都部署IPsecVPN網(wǎng)關(guān)；而SSLVPN基于SSL加密協(xié)議建立終端與網(wǎng)絡(luò)之間的連接，僅需要在服務(wù)端部署SSLVPN網(wǎng)關(guān)。相比之下，IPSecVPN具有更高的安全性；而SSLVPN部署更加簡(jiǎn)單、可擴(kuò)展性強(qiáng)，可以實(shí)現(xiàn)更細(xì)粒度的訪(fǎng)問(wèn)控制。圖8-8是一種常見(jiàn)的遠(yuǎn)程接入架構(gòu)，IPSecVPN用于混合云中的云間互聯(lián)或分支機(jī)構(gòu)的接入，SSLVPN則用于內(nèi)部員工遠(yuǎn)程接入云服務(wù)器。VPN存在的問(wèn)題雖然VPN可以保證基本的連接安全并且大部分云服務(wù)商提供的遠(yuǎn)程訪(fǎng)問(wèn)方案也是VPN，但是VPN信息容易被泄露、可擴(kuò)展性差、應(yīng)對(duì)網(wǎng)絡(luò)攻擊能力弱等問(wèn)題在云計(jì)算中不容忽視，具體體現(xiàn)在以下方面：VPN信息容易被泄露，一旦攻擊者通過(guò)VPN建立連接，就獲取了授權(quán)用戶(hù)擁有的全部?jī)?nèi)網(wǎng)權(quán)限。在大規(guī)模的云環(huán)境中，為每一個(gè)用戶(hù)部署VPN、編寫(xiě)權(quán)限規(guī)則的開(kāi)銷(xiāo)是非常大的，并且后續(xù)的維護(hù)也較為煩瑣。VPN網(wǎng)關(guān)作為內(nèi)網(wǎng)和公網(wǎng)之間的橋梁，容易遭受各種網(wǎng)絡(luò)攻擊，并且一旦遭受攻擊，就基本失去遠(yuǎn)程訪(fǎng)問(wèn)內(nèi)網(wǎng)的能力。SDP基于上述問(wèn)題，軟件定義的邊界（SoftwareDefinedPerimeter，SDP）被提出，它被認(rèn)為是替代VPN遠(yuǎn)程訪(fǎng)問(wèn)的最佳技術(shù)之一。相比VPN，SDP的訪(fǎng)問(wèn)控制是動(dòng)態(tài)的，不僅表現(xiàn)在權(quán)限策略上是動(dòng)態(tài)可變化的，也表現(xiàn)在建立連接時(shí)使用的密鑰也是動(dòng)態(tài)變化的，因此過(guò)期的密鑰泄露在SDP中不會(huì)導(dǎo)致入侵問(wèn)題；SDP

是基于身份建立連接的，因此只需要對(duì)每個(gè)身份制定訪(fǎng)問(wèn)策略，而當(dāng)用戶(hù)變動(dòng)時(shí)只需要修改其對(duì)應(yīng)的身份即可，能夠應(yīng)對(duì)大規(guī)模環(huán)境下的擴(kuò)展；SDP

將身份認(rèn)證服務(wù)器和資源訪(fǎng)問(wèn)服務(wù)器分離，如圖8-9所示，在訪(fǎng)問(wèn)資源服務(wù)器之前，SDP控制器會(huì)驗(yàn)證請(qǐng)求者的身份，只有通過(guò)認(rèn)證的請(qǐng)求者才能與資源服務(wù)器建立連接，這使資源服務(wù)器的IP信息不暴露在公共網(wǎng)絡(luò)中，對(duì)外實(shí)現(xiàn)零連接和零可見(jiàn)性，基本上可以抵御任何基于網(wǎng)絡(luò)的攻擊。端點(diǎn)防護(hù)技術(shù)從廣義上講，任何連接到網(wǎng)絡(luò)的設(shè)備都被稱(chēng)為端點(diǎn)（endpoint），這里的端點(diǎn)防護(hù)是指資源服務(wù)器及其上虛擬機(jī)的防護(hù)，即保障資源服務(wù)器在處理外部網(wǎng)絡(luò)流量時(shí)的安全。網(wǎng)絡(luò)邊緣的網(wǎng)關(guān)服務(wù)器可以抵御一定的外部攻擊（如DDoS攻擊），但對(duì)于病毒、惡意軟件這類(lèi)較為隱蔽的攻擊（如SQL注入），需要額外的防護(hù)技術(shù)進(jìn)行檢測(cè)來(lái)保障端點(diǎn)的安全。傳統(tǒng)的端點(diǎn)安全防護(hù)主要依靠殺毒軟件，它在云環(huán)境中的不足表現(xiàn)在以下幾個(gè)方面。殺毒是基于病毒庫(kù)、惡意軟件庫(kù)比對(duì)進(jìn)行的安全防御，在攻擊類(lèi)型復(fù)雜多樣且快速變化的云環(huán)境中，基于庫(kù)比對(duì)的防護(hù)難以保證云服務(wù)器的安全。殺毒軟件屬于靜態(tài)的防御技術(shù)，只有在受到攻擊以后才能捕獲攻擊特征并記錄到庫(kù)中，在大規(guī)模、存儲(chǔ)大量敏感數(shù)據(jù)的云環(huán)境中，任何成功的攻擊都會(huì)帶來(lái)嚴(yán)重的損失。隨著病毒庫(kù)、惡意軟件庫(kù)的不斷擴(kuò)建，需要存儲(chǔ)大量的數(shù)據(jù)庫(kù)資源，同時(shí)也會(huì)降低病毒、惡意軟件的檢索效率，使端點(diǎn)防護(hù)的響應(yīng)速度難以得到保障。反病毒程序旨在保護(hù)一個(gè)單一的端點(diǎn)，在許多情況下只對(duì)該端點(diǎn)提供可見(jiàn)性，每個(gè)端點(diǎn)孤立地進(jìn)行安全防護(hù)，沒(méi)有協(xié)作關(guān)系。EPP端點(diǎn)保護(hù)平臺(tái)（EndpointProtectionPlatform，EPP）建立了一個(gè)公共的數(shù)據(jù)庫(kù)平臺(tái)和一個(gè)統(tǒng)一的控制平臺(tái)，管理員可以根據(jù)共享數(shù)據(jù)在控制平臺(tái)上對(duì)各個(gè)設(shè)備進(jìn)行遠(yuǎn)程管理。EPP

只是傳統(tǒng)端點(diǎn)防護(hù)在云計(jì)算環(huán)境下的擴(kuò)展，它暫時(shí)緩解了本地存儲(chǔ)帶來(lái)的信息臃腫問(wèn)題，但是沒(méi)有從本質(zhì)上改變靜態(tài)、孤立的端點(diǎn)防護(hù)機(jī)制。EDR端點(diǎn)檢測(cè)與響應(yīng)（EndpointDetectionandResponse，EDR）是一種主動(dòng)防御技術(shù)，主要思想是監(jiān)控端點(diǎn)的活動(dòng)和事件，產(chǎn)生關(guān)鍵上下文以自動(dòng)檢測(cè)和分析攻擊，它在傳統(tǒng)的端點(diǎn)安全防護(hù)基礎(chǔ)上擴(kuò)展了威脅檢測(cè)和響應(yīng)取證兩個(gè)能力。EDR

的危險(xiǎn)檢測(cè)建立在已有的云端威脅情報(bào)、用戶(hù)和軟件的行為上，通過(guò)機(jī)器學(xué)習(xí)技術(shù)主動(dòng)地對(duì)當(dāng)前用戶(hù)和軟件的行為進(jìn)行分析，從而訓(xùn)練出一個(gè)準(zhǔn)確的攻擊指示器（IndicatorofCompromise，IoC），通過(guò)攻擊指示器來(lái)判斷當(dāng)前任何可能出現(xiàn)的威脅并進(jìn)行防護(hù)；在防護(hù)過(guò)后，EDR能夠?qū)ν{自動(dòng)進(jìn)行分析，獲取威脅的典型特征，反復(fù)訓(xùn)練攻擊指示器以更好地應(yīng)對(duì)未來(lái)的攻擊。EDR（續(xù)）EDR專(zhuān)注于快速、有效地應(yīng)對(duì)網(wǎng)絡(luò)威脅，它最大的優(yōu)勢(shì)在于不需要過(guò)分依賴(lài)外部專(zhuān)家即可實(shí)現(xiàn)快速攻擊響應(yīng)和自動(dòng)化取證分析。與傳統(tǒng)端點(diǎn)防護(hù)類(lèi)似，EDR

僅僅基于單一端點(diǎn)的信息進(jìn)行安全防護(hù)，沒(méi)有考慮到各個(gè)端點(diǎn)之間的聯(lián)系，會(huì)產(chǎn)生大量不完整的上下文信息，導(dǎo)致較高的威脅誤報(bào)率。XDR擴(kuò)展檢測(cè)與響應(yīng)（eXtendedDetectionandResponse，XDR）解決了EDR孤立防護(hù)的問(wèn)題，是EDR在整個(gè)網(wǎng)絡(luò)中的推廣。XDR

同樣也使用機(jī)器學(xué)習(xí)技術(shù)分析可能的攻擊，不同的是XDR

的數(shù)據(jù)來(lái)源于端點(diǎn)、網(wǎng)絡(luò)、其他云服務(wù)器等整個(gè)網(wǎng)絡(luò)架構(gòu)，能夠?yàn)楣舴治鎏峁┤轿坏臄?shù)據(jù)支持，從而實(shí)現(xiàn)更深入、更準(zhǔn)確的攻擊檢測(cè)和響應(yīng)。數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密的目的是防止他人拿到數(shù)據(jù)的原始文件后進(jìn)行數(shù)據(jù)的竊取。數(shù)據(jù)加密在云計(jì)算中的具體應(yīng)用形式為：在用戶(hù)側(cè)使用密鑰對(duì)數(shù)據(jù)進(jìn)行加密，然后將其上傳至云計(jì)算環(huán)境中，如圖8-10所示，使用時(shí)再實(shí)時(shí)解密，避免將解密后的數(shù)據(jù)存放在任何物理介質(zhì)上。數(shù)據(jù)加密已經(jīng)存在多種成熟的算法，比如對(duì)稱(chēng)加密、公鑰加密、iSCSI加密等，在此基礎(chǔ)上針對(duì)云計(jì)算不同的場(chǎng)景又發(fā)展出多種新型的加密技術(shù)。同態(tài)加密技術(shù)在某些情況下，云服務(wù)器不止需要對(duì)數(shù)據(jù)進(jìn)行簡(jiǎn)單的存儲(chǔ)和傳輸，還需要利用其集成的環(huán)境和強(qiáng)大的算力對(duì)數(shù)據(jù)進(jìn)行計(jì)算，這意味著服務(wù)器需要得到原始數(shù)據(jù)才能執(zhí)行計(jì)算服務(wù)，為了能夠在加密狀態(tài)下對(duì)數(shù)據(jù)進(jìn)行操作，誕生了同態(tài)加密技術(shù)（homomorphicencryption）。與傳統(tǒng)密碼算法不同的是，同態(tài)加密算法的密文計(jì)算算法能對(duì)加密的數(shù)據(jù)進(jìn)行計(jì)算而無(wú)須先將其解密，因此云服務(wù)器上并不需要獲取原始數(shù)據(jù)，也不會(huì)得到計(jì)算后的真實(shí)數(shù)據(jù)，在完成計(jì)算后服務(wù)器將加密后的計(jì)算結(jié)果傳輸給用戶(hù)，用戶(hù)對(duì)其進(jìn)行解密即可得到真實(shí)數(shù)據(jù)。共享數(shù)據(jù)加密技術(shù)云環(huán)境中存在大量數(shù)據(jù)共享的場(chǎng)景，目前主流的共享數(shù)據(jù)加密技術(shù)分為屬性加密技術(shù)（ABE）和代理重加密技術(shù)，訪(fǎng)問(wèn)控制中介紹的屬性加密技術(shù)常用于用戶(hù)與服務(wù)器等一對(duì)多的共享數(shù)據(jù)加密，而代理重加密技術(shù)的應(yīng)用場(chǎng)景為用戶(hù)與用戶(hù)等一對(duì)一的數(shù)據(jù)共享，一種典型的場(chǎng)景是數(shù)據(jù)請(qǐng)求方向云服務(wù)器發(fā)起數(shù)據(jù)擁有方的私有數(shù)據(jù)請(qǐng)求。代理重加密（ProxyRe-Encryption，PRE）實(shí)質(zhì)上是一種密文之間的密鑰轉(zhuǎn)換機(jī)制，它使用對(duì)稱(chēng)加密算法對(duì)原始數(shù)據(jù)進(jìn)行加密，然后通過(guò)非對(duì)稱(chēng)加密算法生成重加密密鑰作為中間橋梁，在云環(huán)境下實(shí)現(xiàn)安全的端到端對(duì)稱(chēng)密鑰交換，當(dāng)數(shù)據(jù)請(qǐng)求方獲得對(duì)稱(chēng)密鑰之后，即可解密獲得原始數(shù)據(jù)。提綱8.1 云計(jì)算安全的概念與現(xiàn)狀分析8.2 云計(jì)算安全技術(shù)8.3 云計(jì)算技術(shù)標(biāo)準(zhǔn)云計(jì)算技術(shù)標(biāo)準(zhǔn)隨著云計(jì)算的不斷發(fā)展，它未來(lái)將會(huì)轉(zhuǎn)變?yōu)橐环N電信基礎(chǔ)設(shè)施服務(wù)，充分市場(chǎng)化的公共云服務(wù)需要涉及服務(wù)提供商之間的接口（類(lèi)似于運(yùn)營(yíng)商間的網(wǎng)絡(luò)與業(yè)務(wù)互聯(lián)），以及服務(wù)提供商與用戶(hù)之間的接口（類(lèi)似于運(yùn)營(yíng)商與終端用戶(hù)之間的接口），這些接口都需要進(jìn)行標(biāo)準(zhǔn)化，以實(shí)現(xiàn)服務(wù)提供商之間業(yè)務(wù)的互通，同時(shí)避免服務(wù)提供商對(duì)用戶(hù)的鎖定。如果沒(méi)有對(duì)云計(jì)算的技術(shù)、服務(wù)、管理、接口等進(jìn)行標(biāo)準(zhǔn)化，各個(gè)云服務(wù)商難以實(shí)現(xiàn)互聯(lián)互通，形成較大規(guī)模的云計(jì)算服務(wù)體系，云計(jì)算產(chǎn)業(yè)也難以得到健康、規(guī)范化的發(fā)展。國(guó)際云計(jì)算組織及技術(shù)標(biāo)準(zhǔn)各國(guó)政府在積極推動(dòng)云計(jì)算發(fā)展的同時(shí)，也積極推動(dòng)云計(jì)算標(biāo)準(zhǔn)的制定工作。全世界已經(jīng)有30多個(gè)標(biāo)準(zhǔn)組織宣布加入云計(jì)算標(biāo)準(zhǔn)的制定行列，這些標(biāo)準(zhǔn)組織大致可分為以下3種類(lèi)型：以DMTF、OGF、SNIA等為代表的傳統(tǒng)IT標(biāo)準(zhǔn)組織或產(chǎn)業(yè)聯(lián)盟，這些標(biāo)準(zhǔn)組織中有一部分原來(lái)是專(zhuān)注于網(wǎng)格標(biāo)準(zhǔn)化的，現(xiàn)在轉(zhuǎn)而進(jìn)行云計(jì)算的標(biāo)準(zhǔn)化。以CSA、OCC、CCIF等為代表的專(zhuān)門(mén)致力于進(jìn)行云計(jì)算標(biāo)準(zhǔn)化的新興標(biāo)準(zhǔn)組織。以ITU、ISO、IEEE、IETF為代表的傳統(tǒng)電信或互聯(lián)網(wǎng)領(lǐng)域的標(biāo)準(zhǔn)組織。1.ISO/IECJTC1ISO/IECJTC1（國(guó)際標(biāo)準(zhǔn)化組織/國(guó)際電工委員會(huì)的第一聯(lián)合技術(shù)委員會(huì)）是一個(gè)信息技術(shù)領(lǐng)域的國(guó)際標(biāo)準(zhǔn)化委員會(huì)，官網(wǎng)為/home.html。其中負(fù)責(zé)云計(jì)算和分布式平臺(tái)領(lǐng)域標(biāo)準(zhǔn)化的是38號(hào)特別工作組（SC38），主要內(nèi)容包括：基礎(chǔ)概念和技術(shù)、運(yùn)營(yíng)問(wèn)題，云計(jì)算系統(tǒng)之間及云計(jì)算系統(tǒng)與其他分布式系統(tǒng)之間的交互問(wèn)題。截至2019年，ISO/SECJTC1/SC38發(fā)布了15個(gè)標(biāo)準(zhǔn)，一些重要的標(biāo)準(zhǔn)如表8-2所示。2.ITU-TITU-T（國(guó)際電信聯(lián)盟電信標(biāo)準(zhǔn)分局）是國(guó)際電信聯(lián)盟管理下專(zhuān)門(mén)制定電信標(biāo)準(zhǔn)的分支機(jī)構(gòu)，官網(wǎng)為/zh/ITU-T/Pages/default.aspx。其中第13研究組（SG13）負(fù)責(zé)云計(jì)算的標(biāo)準(zhǔn)化工作，該小組制定了詳細(xì)說(shuō)明云計(jì)算生態(tài)系統(tǒng)要求和功能架構(gòu)的標(biāo)準(zhǔn)，涵蓋支持XaaS（X即服務(wù)）的云間和云內(nèi)計(jì)算和技術(shù)。這項(xiàng)工作包括云計(jì)算模型的基礎(chǔ)設(shè)施和網(wǎng)絡(luò)方面，以及互操作性和數(shù)據(jù)可移植性的部署注意事項(xiàng)和要求，表8-3是SG13發(fā)布的一些標(biāo)準(zhǔn)。3.CSACSA（云安全聯(lián)盟）是一個(gè)非營(yíng)利組織，旨在推廣云安全的最佳實(shí)踐方案和開(kāi)展云安全培訓(xùn)。CSA在全球范圍內(nèi)設(shè)立了美洲區(qū)、亞太區(qū)、歐非區(qū)和大中華區(qū)四大區(qū)，其中CSA大中華區(qū)在網(wǎng)信辦、工信部、公安部的支持下，成為網(wǎng)絡(luò)安全領(lǐng)域首家在中國(guó)正式注冊(cè)備案的境外非政府組織，并在上海設(shè)立中國(guó)總部。CSA大中華區(qū)的官方網(wǎng)址為/。表8-4是CSA發(fā)表的一些報(bào)告與建議書(shū)。國(guó)內(nèi)云計(jì)算技術(shù)標(biāo)準(zhǔn)在我國(guó)，云計(jì)算相關(guān)的標(biāo)準(zhǔn)化工作自2008年底開(kāi)始被科研機(jī)構(gòu)、行業(yè)協(xié)會(huì)及企業(yè)關(guān)注，并成立了相關(guān)的聯(lián)盟、協(xié)會(huì)及標(biāo)準(zhǔn)化工作組以開(kāi)展相關(guān)的標(biāo)準(zhǔn)化工作，如中國(guó)通信標(biāo)準(zhǔn)化協(xié)會(huì)、中國(guó)電子學(xué)會(huì)云計(jì)算專(zhuān)家委員會(huì)、全國(guó)信息計(jì)劃標(biāo)準(zhǔn)化技術(shù)委員會(huì)等。總體而言，我國(guó)的云計(jì)算標(biāo)準(zhǔn)化工作還處于起步階段。當(dāng)前的工作首先對(duì)國(guó)際標(biāo)準(zhǔn)組織及協(xié)會(huì)的云標(biāo)準(zhǔn)進(jìn)行梳理，對(duì)中國(guó)國(guó)內(nèi)云計(jì)算商業(yè)應(yīng)用進(jìn)行調(diào)研，并基于此規(guī)劃我國(guó)的云計(jì)算標(biāo)準(zhǔn)體系及開(kāi)展云計(jì)算標(biāo)準(zhǔn)的制定。雖然目前在云計(jì)算產(chǎn)業(yè)與服務(wù)方面，我國(guó)并未在國(guó)際上取得領(lǐng)先的地位，但在云計(jì)算的國(guó)際標(biāo)準(zhǔn)化方面，國(guó)內(nèi)許多企業(yè)與研究機(jī)構(gòu)都在積極參與。中國(guó)標(biāo)準(zhǔn)是四級(jí)結(jié)構(gòu)：國(guó)家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)、地方標(biāo)準(zhǔn)、企業(yè)標(biāo)準(zhǔn)。國(guó)家標(biāo)準(zhǔn)信息查詢(xún)網(wǎng)站為/fuwu/bzxxcx/bzh.htm。國(guó)家標(biāo)準(zhǔn)信息查詢(xún)網(wǎng)站首頁(yè)國(guó)家標(biāo)準(zhǔn)信息查詢(xún)?cè)朴?jì)算結(jié)果1.《云計(jì)算綜合標(biāo)準(zhǔn)化體系建設(shè)指南》2015年11月，工業(yè)和信息化部辦公廳印發(fā)《云計(jì)算綜合標(biāo)準(zhǔn)化體系建設(shè)指南》（以下簡(jiǎn)稱(chēng)《指南》），《指南》確定了云計(jì)算標(biāo)準(zhǔn)研制方向，以云計(jì)算綜合標(biāo)準(zhǔn)化體系框架為基礎(chǔ)，通過(guò)研究及分析信息技術(shù)和通信領(lǐng)域已有標(biāo)準(zhǔn)，提出現(xiàn)有標(biāo)準(zhǔn)缺失的，并能直接反映云計(jì)算特征，有效解決應(yīng)用和數(shù)據(jù)遷移、服務(wù)質(zhì)量保證、供應(yīng)商綁定、信息安全和隱私保護(hù)等問(wèn)題的29個(gè)標(biāo)準(zhǔn)研制方向?！吨改稀窐?gòu)建了云計(jì)算綜合標(biāo)準(zhǔn)化體系框架，包括云基礎(chǔ)標(biāo)準(zhǔn)、云資源標(biāo)準(zhǔn)、云服務(wù)標(biāo)準(zhǔn)和云安全標(biāo)準(zhǔn)4個(gè)部分，如圖8-13所示。《指南》構(gòu)建了云計(jì)算綜合標(biāo)準(zhǔn)化體系框架，包括云基礎(chǔ)標(biāo)準(zhǔn)、云資源標(biāo)準(zhǔn)、云服務(wù)標(biāo)準(zhǔn)和云安全標(biāo)準(zhǔn)4個(gè)部分，各個(gè)部分的概況如下：云基礎(chǔ)標(biāo)準(zhǔn)。用于統(tǒng)一云計(jì)算及相關(guān)概念，為其他各部分標(biāo)準(zhǔn)的制定提供支撐。主要包括云計(jì)算術(shù)語(yǔ)、參考架構(gòu)、指南等方面的標(biāo)準(zhǔn)。云資源標(biāo)準(zhǔn)。用于規(guī)范和引導(dǎo)建設(shè)云計(jì)算系統(tǒng)的關(guān)鍵軟硬件產(chǎn)品研發(fā)，以及計(jì)算、存儲(chǔ)等云計(jì)算資源的管理和使用，實(shí)現(xiàn)云計(jì)算的快速?gòu)椥院涂蓴U(kuò)展性。主要包括關(guān)鍵技術(shù)、資源管理和資源運(yùn)維等方面的標(biāo)準(zhǔn)。云服務(wù)標(biāo)準(zhǔn)。用于規(guī)范云服務(wù)設(shè)計(jì)、部署、交付、運(yùn)營(yíng)和采購(gòu)，以及云平臺(tái)間的數(shù)據(jù)遷移。主要包括服務(wù)采購(gòu)、服務(wù)質(zhì)量、服務(wù)計(jì)量和計(jì)費(fèi)、服務(wù)能力評(píng)價(jià)等方面的標(biāo)準(zhǔn)。云安全標(biāo)準(zhǔn)。用于指導(dǎo)實(shí)現(xiàn)云計(jì)算環(huán)境下的網(wǎng)絡(luò)安全、系統(tǒng)安全、服務(wù)安全和信息安全，主要包括云計(jì)算環(huán)境下的安全管理、服務(wù)安全、安全技術(shù)和產(chǎn)品、安全基礎(chǔ)等方面的標(biāo)準(zhǔn)。1.《云計(jì)算綜合標(biāo)準(zhǔn)化體系建設(shè)指南》公安部在2017年5月8日正式發(fā)布GA/T1390.2—2017《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第2部分：云計(jì)算安全擴(kuò)展要求》（以下簡(jiǎn)稱(chēng)“云等保”），“云等?！睂?duì)《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第1部分：安全通用要求》進(jìn)行了擴(kuò)展，形成了云計(jì)算安全擴(kuò)展要求，用于指導(dǎo)分等級(jí)的非涉密云計(jì)算系統(tǒng)的安全建設(shè)和監(jiān)督管理?！?/p>