云计算的安全问题范例(3篇)
云计算的安全问题范文
关键词：云计算；财务软件；财务安全
中图分类号：TP311文献识别码：A文章编号：1001-828X（2017）009-0-02
UndertheCloudofFinancialSoftwareSecurityIssues
SuXiao-guang
（1.DepartmentofEquipmentEconomyandManagement，NationalNavyUniversity，WuHan430033，China）
Abstract：Thepopularizationofthefinancialsoftwareinacloudcomputingplatformdevelopmentalsofacestheproblemofinformationsecurity.Oncloudcomputingwiththesafetystatusofaccountingsoftware，onthebasisofcloudcomputingisanalyzedfromtheAngleoftechnology，datastorage，transmission，facingfinancialsoftwareandsystemsecurityproblems，andputforwardtosolvetheproblemsthatexistsinthedevelopmentofcloudcomputingcloudcomputingtechnologyandsoundfinancialinformationsecuritysoftwareusingthemanagement'sadvice.
Keywords：Cloudcomputing；Financialsoftware；Financialsecurity
一、引言
最近十啄昀此孀呕チ网技术的发展与普及，互联网改变了社会生活的方方面面，各行各业。数据获取也因为信息技术的发展变得容易，从PC终端到移动通信终端，数据积累量远远超过了人类以往的任何时期，数据规模以PB为单位进行衡量计算。财务数据的获取、共享变得容易的同时，财务数据的规模、处理和安全等问题也逐渐凸显。财务软件的大量应用使系统性能有了较大飞跃，有效提高了整体系统的精确性、灵活性和快速反应能力。在大型跨国企业贸易频繁、数据量巨大的今天，财务软件不仅仅是在本地内部局域网电脑上安装使用，更是在向云计算的财务软件快速发展。云计算下的财务服务以其低成本、按需付费、数据交流便捷等特点得到了许多企业的使用[1]。
在互联网平台下的财务软件可以使财务统一管理，各地数据及时共享，即时的分析数据给企业提供规避风险的指导……这些优点是以往的终端设备上财务软件无法做到的。
云计算下的财务软件在开放且动态的环境中运行。在利用云技术便捷的同时，也面临着不可控和不确定性的风险，无论是非人为因素造成的故障、错误、意外损害以及人为因素方面的黑客入侵、操作错误等都将对企业造成巨大财产损失[2]。其中云计算下财务软件如何确保用户隐私、商业数据安全、数据库数据备份安全以及有效地访问控制等方面是必须解决的问题。
云计算下的财务软件能否安全稳定的运行，同时给企业提供安全的服务，即财务软件安全性问题成为人们关心的焦点。关于财务软件安全性标准，尤其是新环境下以云计算为依托发展起来的国内财务软件至今仍没有一个统一的行业标准。在一些军队、国有企事业部门采购的财务软件通常采用《软件可靠性和安全性设计准则》GJB/Z10297和《信息技术软件安全保障规范》GB/T30998-2014等进行制定验收测试指标。然而在云计算环境下，由于财务软件开发环境变化，必然对软件测试带来一定程度的变化，软件测试重点也应做出相对应的调整。软件测试不仅需要关注传统的软件质量，而且还需考虑到云计算环境新的质量要求，如软件动态环境下运行能力、安全可信性等。因此制定的测试方法面对在日益发展的互联网环境需要不断更新向前发展。云计算下的财务软件安全问题已引起学术界的普遍关注，多从法规标准制定等宏观方面提出了建议和措施，但是从云环境的技术层面探讨的较少，基于此背景，本文主要从技术层面对财务软件的安全性进行探讨，希望能对云计算下财务软件的安全问题提供解决参考。
二、云计算下财务软件的安全分析
关于云计算的定义，目前普遍采用的是美国国家标准与技术研究院（NIST）的定义[3]：云计算是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池（资源包括网络、服务器、存储、应用软件和服务），这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。
由此可见，云计算环境天然的会存在数据依靠风险大的互联网通信和云存储服务器。云计算自身的结构特点是引起安全问题的主要原因。基于云计算下的财务软件也不可避免的面临云计算方面的安全问题。目前典型的集团公司都有公司内部各部门之间、分公司之间、企业与客户之间、企业与供应商之间、企业与金融集团之间财务往来账数量频繁、数据量巨大等特点，有一环出现问题都会造成不可预计的损失。除了传统财务软件的特殊性和专业性，其在云环境下还面临着其他一些新的风险[4]。对于云计算下的财务软件的安全性是关心的重中之重。
1.财务数据存储安全
财务数据的云存储是基于云计算平台，通过将网络中可以利用的存储设备进行整合后对财务的数据进行存储和访问读取。云计算平台是借助云虚拟化（cloudvirtualization）对存储设备进行整合实现的。云计算虚拟化是通过编写的软件程序将物理的计算设备划分为一个或多个虚拟机（virtualmachine，即VM），用户通过调用这些可以使用的虚拟机进行计算任务。云存储这种外包模式的方式本身就存在着许多不安全因素。首先云存储也是基于现在的计算机技术进行分布式的整合，现有的计算机漏洞也会完全的移植到云端上。其次这种云计算模式下，使用者对于私有数据的控制权和所有权不可避免的造成了分离，因为云存储的数据是在不同物理设备之间共享的基础上实现的。
依托云服务的软件数据库因为事故导致的数据缺失将会对客户造成巨大损失，如国际互联网巨头谷歌公司在2012年就曾造成众多Gmail邮箱账号被删除，大面积数据丢失的事故。甚至有些服务提供商为了声誉会故意隐瞒数据的丢失等情况发生。由于现在商业的发展，财务数据规模和数据交换、分析，对于云存储的财务数据的存储管理显得尤为重要。然而云存储服务面临的数据规模越来越庞大，对于分散于各处读取财务数据再汇总存储数据存储的完整性也存在着许多困难去进行验证[5]。例如现实中大型集团企业的财务系统中单个表中记录条数就超过上亿条，所有的财务数据集中在一起存储在云端中，这些海量的数据确保完整的存储和不丢失是很难进行验证的。
2.财务数据传输安全
使用者将属于商业机密的财务数据存储到公有云服务器，数据的机密性非常容易遭受到内外部的入侵威胁[6]。数据在云计算平台中访问的授权、认证、访问认可、审计追踪，即访问控制（accesscontrol）需要严格的安全认证。除云端与终端设备的连接外，还要考虑用户与云端的连接安全。为确保使用者的数据在传输与存储过程中的财务信息安全，财务数据在传输过程中通常是对上传到数据提前进行加密处理后再上髦练务器，在需要访问读取时再通过解密算法解密后读取。加密技术主要由算法和密钥组成。现阶段国内常用的数据加密算法分为：对称加密和非对称加密两种类型。目前的做法通常是在数据上传到云计算平台前预先进行加密处理，在数据需要被调用时再由使用者进行逆向的解密。目前云数据在传输共享中通常采用的重加密算法或属性加密算法。这两种算法都有各自的优点，但是在实际中还是会存在着漏洞，造成信息泄露的潜在危险。
此外，数据在传输过程中也存在着完整性验证的问题。
3.财务数据使用安全
财务数据对于一个企业来说，其重要性毋庸置疑。由于其机密性，财务数据访问权的使用者严格限定在财务部门及相关人员。由于云计算的特殊性，财务软件数据的访问首先需要对使用者身份进行确认。使用者需要在不同地点、终端和时间进行财务数据的上传和访问，客观上造成信息密码外泄的几率大大增加。使用者对财务数据进行有意或无意的删改，数据恢复和同步是需要考虑的问题[7]。对于使用者访问权限的管理、防止权限被非法获取、客服权限对数据访问的意外或故意造成的冲突等权限管理机制的普遍性问题可以结合一些动态的访问控制模型来加以解决，如动态口令、物理密钥、电子密钥等方式，根据用户实际情况灵活制定安全策略。
目前云计算服务大多属于商业运作，云服务的提供者存在于私人机构中，如谷歌、亚马逊、微软等知名互联网企业，因此存在着无论技术多先进，财务信息都不可避免的会在云计算服务机构的掌控中。当这些信息被云计算服务提供方内部人员非法掌握后，对企业的在金融等市场方面将会带来巨大的影响。因此对于云计算平台的选择和第三方监管是需要考虑到的一个前提。
4.财务软件系统安全
财务软件在程序的编写上需要考虑到多种情况。如我国和其他国家在财务、税收上政策的差异性，跨国公司等大型企业涉及外汇业务的管理，企业内各部门财务数据接口灵活性、软件容错性、财务软件和金融集体数据交换的高效性以及面对行业复杂的业务需求的扩展性，在这一些列的要求下，软件的必须经过不断更新，及时发现程序漏洞或问题，及时补丁确保财务软件系统的安全性。在大型集团企业中，财务数据量巨大，保证数据在软件中能够完整保存、备份、访问，同时能够快速准确的将整个数据通过设定的算法直观的把趋势和财务状态显示出来，对于财务软件本身的数据库数据处理能力和分析能力是极大的考验。同时，目前财务软件行业存在着使用者财务人员对于财务法规和行业规范熟悉却不了解编程；许多程序员熟悉精通软件编写但是对于财会的规范比较陌生，因此会造成编写的财务软件存在着一定程度上的不合理性和一些算法上的问题。
云计算下财务软件的界面操作系统、数据传输协议、数据库管理系统等方面存在着基于网络协议的漏洞，如果遭到攻击将会不可避免的造成财务软件系统信息泄露甚至篡改。因此财务软件要有自身的防御考虑，加大对软件静态和动态环境下的缺陷预测，做好全面的测试。
三、财务软件系统建议
云计算下的财务软件系统其本质也属于云应用。最大限度的解决云计算下财务软件安全的问题，首先需要解决云计算本身的安全问题，可以分别从技术层面和法规管理两方面出发，完善财务软件的漏洞和改进存在的隐患，发挥出云计算下低价格、高灵活的技术优势，克服安全问题带来的发展限制，让更多的企业能够放心的使用。
1.发展云计算信息安全技术
科技在不断的向前发展，现有的技术手段也面临着不断落后的危机。具体云计算的安全包含以下三个方面：云虚拟化安全、云数据安全和云系统安全。因此对于云计算下的财务软件平台从数据的存储、数据的传输、访问控制、权限管理等方面出发，加大对软件和硬件安全研究的投入，将最新的研究成果迅速转化为成果，如最新的量子计算机加密技术等。
云虚拟化安全：云虚拟化是云计算的核心，它的安全与否具有重要的意义。要解决云虚拟化安全问题就必须及时掌握现在国内外最新的攻击和防御技术，做好软件和硬件上的技术更新准备。
云数据安全：财务数据的数量大、交换频繁等特点，因此在数据共享算法、访问控制技术、加密技术等方面做到使用先进灵活的方式，针对企业需求特点进行合理选择，通过合理的搭配防御技术，把单一防御技术的短板进行弥补。
云系统安全：充分考虑到现有技术下的防御和攻击技术，针对攻击技术做好应对措施，同时根据财务软件数据特点，做好系统的安全风险评估，将使用者数据信息安全泄露风险降到最低。
因此要全面的提升云计算下财务软件的安全性就必须综合运用云虚拟化安全、云数据安全、云系统安全所涉及的多种防御机制，协调各个层面的安全技术，不能只投入巨大的财力物力于某一个方面或者依赖于某一个方面，造成其他薄弱环节成为安全的隐患。设计完善的安全方案，再根据企业要求和特点进行灵活配置，又快又好的投入到使用中去。
2.健全云计算财务软件使用管理
归根到底，使用者是财务软件的核心。对于使用者需要进行必要的约束和规范从而将安全隐患降到最低。
使用者从企业自身情况出发，结合所使用财务软件实际，规范使用，建立一个切实可行的，满足需求的财务软件管理措施。对于财务软件使用者，在上岗前请专业人员进行岗位培训，培养基本的保密意识、保密手段和职业素养，掌握软件的安全使用流程；根据不同岗位，分配不同的使用访问权限以及建立岗位变动后权限的回收制度；建立物理或电子密钥，并记录使用者使用情况，对操作情况进行审计，建立追责机制；充分理清使用者的权限和职责，使用者知晓自己使用造成问题的处置方法……通过对使用者的约束和规范，从源头上把财务软件因为人为原因发生问题的几率降到最低。加强使用者的管理对于云计算下财务软件的安全有着举足轻重的意义。
四、结语
云计算下财务软件的共享数据资源、虚拟化等技术带来了特有的安全问题，并产生了企业对其安全性的担忧。相信随着科学技术的发展、财务软件市场经济下商家的竞争和一系列法规政策的出台，云计算下的财务软件产业会变得更加的安全可靠，存在的问题被逐步解决，成为能让企业信赖的财务管理平台。让更多的企业享受到云计算下财务软件具有的廉价成本与便捷办公条件。
参考文献：
[1]陈平，周欢，杨周南.云会计下会计信息安全问题探析[J].会计信息化，2013（9）：28-31.
[2]张玉清，王晓菲，刘玉峰，等.云计算环境安全综述[J].软件学报，2016，27（6）：1328-1348.
[3]NationalInstituteofStandardsandTechnology.TheNISTdefinitionofcloudcomputing.TechnicalReport，No.800-145，2011.http：//csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf.
[4]刘会芳.对当前财务软件的应用及思考[J].经济，2016（5）：113-114.
[5]张晓宁，孙泽明，董冰，等.财务软件数据库安全与审计技术研究[J].智能计算机与应用，2016，6（2）：34-37.
云计算的安全问题范文
【关键词】云计算；虚拟化技术；安全性
TheResearchofSecurityIssueofVirtualizationTechnologyinCloudComputing
XuGuang-yu
（NetworkCenterofSuzhouUniversityJiangsuSuzhou215006）
【Abstract】Virtualizationtechnologyisthecoretechnologyincloudcomputing，Thesecurityissuessuchassecurityisolation，migrate，copy，access，etc.invirtualizationisthekeyfactorforcloudcomputingsecurity.Thisarticlepointsoutandanalyzesthevirtualizationofthecloudcomputingmaybeaseriesofsafetyproblemsfromthetechnologyaspectssuchaspersonnelprotectionandaccesscontrol，andgivesthecorrespondingsuggestion，andprovidesthesecurityforthedevelopmentofcloudcomputing.
【Keywords】cloudcomputing；virtualizationtechnology；security
1引言
关于“云计算”的概念，其实并没有一个统一的定义。云计算是一种新兴的共享基础架构的方法，是一种基于互联网的计算新方式，通过互联网上异构、自治的服务为个人和企业用户提供按需即取的计算。
虚拟化技术是云计算最核心的技术，它基于使用软硬件分时服务、模拟与仿真执行等技术，达到在单个计算机物理设备上模拟出多个相互独立的硬件执行环境的目的。这个相互隔离（独立）的虚拟执行环境也被称为虚拟机（VirtualMachine，VM），在这些虚拟机上用户可以运行不同的操作系统和各种应用程序。
云计算的吸引力在于其经济上的可扩展性、资源复用和高效。云没有边界，从而使世界变得更小。在广大云计算提供商和支持者的推崇下，众多企业用户已开始跃跃欲试。然而，云计算也带来了一些新的安全问题，由于众多用户共享IT基础架构，安全的重要性非同一般。
（1）虚拟化服务器是否安全？如果虚拟化服务器（物理主机）受到破坏，那么它所管理的虚拟服务器都有可能会受到攻击。如果虚拟化服务器存在问题，那其管理下的所有虚拟机的正常运行都可能受到影响。
（2）虚拟机是否安全？一台虚拟机出现安全问题，可能影响到同一物理主机下的其他虚拟机，更有可能影响到虚拟化服务器。
（3）虚拟机技术之有的又属于常规的信息安全行为是否得到管理员的重视？管理员可能只看到了它的便利之处，却忘记了该有的安全警惕。
目前云计算仍处于初级阶段，各式各样的供应商提供多种基于云的服务。供应商在推广自己的产品、服务的时候更多地展示如何产品优秀，前景如何广阔，而对存在或潜在的缺陷却只字不提。对于最终用户而言，这是新技术，能够充分了解或掌握其内涵的人相当有限，对云计算产品、服务可能存在的隐患，特别是安全方面的问题更是知之甚少。
对于虚拟化技术，就目前而言，在不少IT企业已经得到一定的推广，而虚拟化技术是否安全肯定会严重触及云计算最终的实现效果。目前与虚拟机安全相关的学术文章也有不少，但或者理论性太强，或者点到而止。本文尝试从实践的角度出发，理论联系实际，对虚拟化技术的安全问题作一定的研究。
2云计算与虚拟化技术的关系
2.1虚拟化的本质
云计算的出现在某种意义上剥离了软件与硬件之间的联系。云计算环境相比之前的技术，大量运用包括计算能力虚拟化、网络虚拟化、存储虚拟化等虚拟化技术。传统的运营模式中，企业除了要投资计算机软件、硬件的建设，还要有相应的技术人员来管理软、硬件，这使得企业为此付出了极大的成本。而云计算模式下，企业“花钱买服务”即可，云计算并不限制应用程序与硬件之间的必然联系，即透过平行运算的方式，一个应用程序可以在不同的硬件上执行，全面解除应用服务与硬件资源间的固定对应关系。
虚拟化的本质是提高用户对资源的使用效率和管理能力。为了给用户提供端到端的资源虚拟化服务，虚拟化的网络又分为虚拟化服务、虚拟化通道、虚拟化设备。服务器作为虚拟服务的承载，通过虚拟机实现服务的位置无关性；连接通道作为服务流量的承载，虚拟化技术配合实现了虚拟服务的迁移、虚拟服务的备份和负载分担；网络设备作为虚拟通道的承载，虚拟化技术提供了虚拟通道的灵活配置和虚拟通道间的负载分担，将服务流量的接入、汇聚、核心灵活地根据用户需要进行整合，带来了虚拟通道部署时的稳定性和灵活性。
然而，在以虚拟化技术为核心的云计算中，安全可能成为一道短板。如果在应用中安全问题不能得到有效控制或解决，那上述一切的优点将不再是优点，反而可能是用户的梦魇。
在这其中，虚拟机安全问题首当其冲。由于服务器虚拟化技术是一项新兴的技术，用户在设计、应用、测试和部署时对虚拟化的安全性问题考虑较少，或者虽然考虑了但仍采用传统的安全防护技术来解决现有虚拟机中存在的问题，这会使得用户使用云计算提供的各种服务存在巨大的风险。
虚拟化技术是云计算的基石。一个云计算的应用必定是基于虚拟化的。目前，云计算已经是第三代的IT，第三代是动态，所有的信息和数据都在动态的架构上，否则也就没有云，没有云计算。虚拟化是动态的基础，只有在虚拟化的环境下，云才是可能。同样，只有充分研究并解决虚拟化技术的安全问题，才能使云计算得到长足的发展。
2.2云计算的安全范畴
云计算中的安全包括身份和访问管理、数据安全、隐私保护、虚拟化安全等。在云计算环境中，节点的物理硬件和网络物理硬件通过多层虚拟化的逻辑简化过程形成了弹性化的计算、存储和网络带宽三者整合的虚拟资源池。提供了随需而选的资源共享、分配、管控平台。用户可根据上层的数据和业务形态的不同需求，搭配出各种互相隔离的应用。这样通过虚拟技术，就形成一个服务导向的可伸缩的IT基础架构，可以提供云计算服务。
云计算与传统IT环境最大的区别在于其虚拟的计算环境，正是这一区别导致其安全问题变得异常“棘手”。身份管理、数据安全等问题可以通过现有的访问控制策略、数据加密、网络备份等传统安全手段来解决，而虚拟化作为云计算最重要的技术，且虚拟环境是云计算的独特环境，传统的安全措施很难从根本上解决问题，必须采取新的安全策略。
3虚拟化安全问题研究
3.1资源运行发生意外
3.1.1虚拟机溢出
虚拟机的溢出是指资源的使用超出了预先设置，这种情况往往来源于管理程序设计过程中的安全隐患，它会传染同一台物理主机上的虚拟机，包括多种情况：同一物理机上的虚拟机使用的CPU或内存总和等资源接近或超出物理机的总容量；单台虚拟机出现CPU或内存的使用超标。
3.1.2虚拟化服务器的宕机
虚拟化服务器的宕机出现的概率相对较小，除了上述的资源溢出外，更多可能的原因在于该控制器所在的物理机的硬件出现问题，还有一部分可能在于黑客攻击。
3.2黑客攻击虚拟化服务器
有这样一种可能，由于某种漏洞的出现，控制器程序会被黑客干扰或者插入流氓管理程序。由于控制器管理程序是在处理器专属级别上运行的，所以管理程序上运行的任何操作系统都很难甚至不可能侦测到这些虚拟化安全威胁。虚拟化出现安全问题的一个重要原因就是在部署之时就没有考虑安全因素，从而导致在软件、硬件上都存在潜在的安全隐患。这里所谈到的漏洞，有时可能会是管理员的一个低级错误引起的。比如，管理员所设置的虚拟化服务器（物理主机）的IP地址和虚拟机所使用的IP地址在同一网段（同一Vlan）或者有路由联通，那从虚拟机就可以直接“管理”到虚拟化服务器了。又如，把很多虚拟机放在一台物理机器上，并且用户的关键应用和敏感数据也都在这台物理机上；或者把不同安全级别（或信任级别）的应用放在了同一台物理机上而没有加以隔离。这样部署虚拟机的结果是其安全性甚至还不如相应的物理服务器。
前面所述的虚拟机的溢出将可能导致暴露相关的漏洞并可能允许黑客威胁到特定的虚拟机甚至是物理机（指上述的虚拟化服务器），将黑客攻击从虚拟服务器升级到控制底层的管理程序，可能导致相关的虚拟机停止服务。从理论上来说，控制了管理程序的黑客会控制任何在物理服务器上运行的虚拟机。如果整个虚拟化服务器出现问题，将可能影响到该控制器下的所有虚拟机的正常运行。
还有一种特殊情况，那就是虚拟化服务器中的虚拟机文件被盗。由于一般情况下一台虚拟机就是一个文件，所以这是一种相当于窃取了完整的物理服务器的攻击，而且无需进入安全的数据中心和移除计算设备。
3.3虚拟机单体安全事件
一台虚拟机从运行的角度来看，它基本就是一台物理服务器。以前在物理服务器上所要配置的安全设置，同样也要在虚拟机上实现。不仅如此，其他的包括入侵检测等在内的安全措施，虚拟机也照样需要。同理，原先针对物理服务器的黑客攻击、病毒感染等问题，对于虚拟机单体来讲，仍然是不可回避的。
虚拟机单体安全事件在虚拟机安全中不能孤立地看，因为某虚拟机如果出了问题，将有可能影响到在同一物理机上的其他虚拟机的安全，即便入侵者没有更改虚拟机的中的任何设置，如果他把其他虚拟机改为停机状态或离线状态，或者更改了它们的配置，那将可能造成相应的通信中断、应用服务中断。
虚拟机单体安全事件同样也可能影响到虚拟化服务器的安全。在虚拟化环境下，资源（如CPU、内存、硬盘和网络）由虚拟机和宿主机（虚拟机控制机）一起共享。因此，如果有人发起DoS攻击的话，则有可能会加到虚拟机上从而获取虚拟机控制机上所有的资源，由于资源耗尽，从而造成系统将会拒绝来自客户的所有请求，直至彻底宕机。
3.4虚拟机迁移导致的信息泄露
虚拟化软件可以有效地将应用程序栈和底层硬件脱钩，一台虚拟服务器可以像一个文件那样被复制、备份、迁移、移动，甚至可以动态迁移——即一台虚拟服务器可以在正在运行的过程中被迁移到他处，而用户访问不受影响并毫不察觉，所以虚拟化能够提供服务水平协议并提供高质量的服务。
虚拟机的迁移本是虚拟机技术给资源管理带来的诸多好处之一。但如果有人（不一定属于黑客）拥有虚拟机控制机的管理权限，那他可以在不知不觉中将某重要虚拟机进行复制、迁移操作。在复制、迁移过程中，虚拟磁盘被重新创建，而创建者完全可以重新配置虚拟机的属性、特性，且有足够的时间来研究、破解虚拟机原有的安全措施，在破解的过程中无人能够察觉或追踪，因为这个虚拟机和原来的虚拟机一模一样但却仅是一个副本。甚至，最终攻击者可能将此副本顶替原先的虚拟机投入正常运行，从而彻底掌控这台虚拟机所包含的敏感数据。还有一种可能是将某重要虚拟机迁移到另一台物理主机上，从而有可能脱离IDS等系统的保护，从而带来安全风险。
3.5服务器备份中可能出现的信息泄露
对于任何一个重要的信息管理系统，数据备份是常规工作，但数据备份不是做一下、做完了就完事了。企业信息化采用了云计算模式后，备份的数据一般也会放在云端，或者说放在某台虚拟机（或虚拟存储）里。有人可能会这样认为，反正我的虚拟机资源很多，我多做一个备份（相当于异地容灾备份），这下数据安全不是更有保证了吗？这样的理解确实没错，重要数据是要做不止一份备份，还要做容灾备份。只是在做备份的时候，很多管理员可能会忽视备份虚拟机的安全性。如果备份服务器受到攻击，那数据安全同样得不到有效保证。
4虚拟化安全风险对策
4.1保证虚拟化服务器（物理主机）的安全
几乎在所有的信息安全范畴当中，最基本的就是物理设备的安全，比如说不会出现天灾人祸而导致物理设备损毁或被盗等，从系统运行的角度讲，这其中应该包括硬件、软件两个方面。
硬件方面，物理主机至少配置要高、设备稳定性好，应使用新的带有多核的处理器，并支持虚拟技术的CPU，能保证CPU之间的物理隔离，会减少许多安全问题。至少不会出现或者难以出现因硬件问题导致虚拟机系统集体宕机的事件。软件方面，虚拟化服务器软件层直接部署于裸机之上，提供能够创建、运行和销毁虚拟服务器的能力。虚拟化层的完整性和可用性对于保证基于虚拟化技术构建的公有云的完整性和可用性是最重要，也是最关键的。作为虚拟机的核心，必须要确保它的安全。
在虚拟机服务器里创建、配置新的虚拟机的时候，管理员需要根据虚拟机服务器硬件的实际情况来配置虚拟机的属性，切不可为了达到“物尽其用”的目的，而使“虚拟机溢出”成为可能。
4.2防范黑客攻击
对虚拟化服务器的攻击，一般或者通过应用程序接口（API）或网络攻击，或者通过虚拟化服务器管理下的虚拟机攻击。对于恶意代码通过应用程序接口（API）攻击，系统要确保虚拟机只会发出经过认证和授权的请求；对于通过网络进行攻击，需要严格谨慎地配置网络访问，以及使用强密码保护。
防范对虚拟化服务器的攻击，还必须严格限制任何未经授权的用户访问虚拟化软件层。云服务提供商应建立必要的安全控制措施，限制对于相关的虚拟化层次的物理和逻辑访问控制。
4.3保证虚拟机的安全
前面已经叙述过，虚拟机的安全与否和虚拟化服务器的安全也是有很大关联的，所以虚拟机的安全工作也是任重道远的。
管理员不一定能触及每台虚拟服务器的管理，但平时要做好基础性工作（比如说打好虚拟机补丁等），要加强对虚拟服务器的运行状态的严密监控，及时发现存在的安全隐患。对不需要运行的虚拟机应当立即关闭。发现问题要及时处理，严格防范类似于“虚拟机溢出”这类问题的发生，这是最基本的。
采用虚拟化技术前，用户可以在防火墙设备上建立多个隔离区，对不同服务器采用不同的规则进行管理，由于隔离区的存在，对一个服务器的攻击不会扩散到其他服务器。虚拟机的运行模式为在同一平台上的并存模式，从自身安全角度都存在着隔离的需求，并且所有的虚拟机会集中连接到同一台虚拟交换机与外部网络通信，会造成安全问题的扩散。所以隔离的方法不能像传统方式那样使用网线、交换机或者防火墙等物理手段，只能依靠虚拟机监视器和一些软件模块来实现。
从运维的角度来看，对于虚拟服务器，应当像对一台物理服务器一样地对它进行系统安全加固，包括系统补丁、应用程序补丁、所允许运行的服务、开放的端口等。同时严格控制物理主机上运行虚拟服务的数量，禁止在物理主机上运行其他网络服务。
所以在这方面，管理员一则还是要依靠那些传统的安全手段，二则在布置、分配、设置虚拟机资源的时候，需要根据不同的安全需求、安全级别来处理虚拟机申请。
4.4有限分发、安全迁移及有效备份
有限分发、安全迁移及有效备份指的是虚拟机的分发/访问管理，它所涉及的主要就是权限管理，因为虚拟机的分发、迁移及备份不是每个人都能涉及到的。
4.4.1有限分发
所有的虚拟机都应该是首先通过系统管理员来创建和保护的，如果某些最终用户，如开发人员、测试人员和培训者需要和网络环境中的虚拟机交互，那么这些虚拟机应该是通过资源池的管理员来创建和管理的。管理员需要控制所有到资源池的访问以确保只有被信任的用户才具备访问权限。控制所有到资源池管理工具的访问，只有被信任的用户有权访问资源池组件，如物理服务器、虚拟化管理程序、虚拟网络、共享存储等。需要注意的是，这是的资源池是泛指，除了虚拟机、虚拟存储外，还包括相应的虚拟机文件、存储文件及它们所在的文件夹等。资源是有限的，分发应是可控的。
4.4.2安全迁移
复制性迁移其实也是备份的一种方式。将某虚拟机复制到他处，如果原虚拟机宕机，就可迁移启动备份虚拟机来达到“无缝切换”的目的，当然条件是该虚拟机中应用程序的数据是另存他处的。
管理员在进行虚拟机的复制、迁移的过程中要有全局的安全意识，以保证虚拟机拥有足够的安全保证。避免出现因为迁移而导致虚拟机失去必要保护的低级错误。管理员可以不是负责迁移工作的人员，但这个负责迁移的人必须是安全可靠的。
4.4.3有效备份
任何一级的管理员都必须树立安全意识，在整体管理中有逐级负责的概念。管理员要进行有计划的备份，包括完整、增量或差量备份方式，备份对象不仅有常规的文件、数据，还可以根据需要对相应的虚拟机文件进行备份，以保证能够有效地进行虚拟化的灾难恢复。当然，很关键的，备份服务器（或存储）应是安全的所在。
大多数的安全工作说到底除了技术防护，还有一个就是“人防”。所以，除技术之外的人员管理规则及建设标准也必须与之同步发展，真正达到解决云计算的信任问题。
5结束语
虚拟化技术是云计算最核心的技术，而信息安全是制约云计算更快发展的主要因素之一，虚拟化技术的发展能为用户带来快速部署、灵活应用、节约经费等一系列好处。作为云计算的核心技术，我们必须重视其安全问题。
网络安全工作没有终结点，云计算的安全也是这样。随着云计算技术的快速发展和更广泛地应用，我们将会面临更多的安全风险，没有什么方案、方法能够一劳永逸，而遵循已有的最佳安全实践，将可以加强云计算的安全。
参考文献
[1]薛静.基于虚拟化的云计算平台中安全机制研究[D].西安：西北大学，2010.
[2]陈世兴.虚拟化，网络面向应用的第一步[N].IP领航，2013.1.
[3]易涛.云计算虚拟化安全技术研究[J].信息安全与通信保密，2012.5：63-65.
[4]房晶，吴昊，白松林.云计算的虚拟化安全问题[J].电信科学，2012.4：135-139.
[5]朱源，闻剑峰.云计算安全浅析[J].电信科学，2010.6，54-57
甘宏，潘丹.虚拟化系统安全的研究与分析[J].信息网络安全，2012，（05）：43-45.
[6]郝斐，王雷，荆继武等.云存储安全增强系统的设计与实现[J].信息网络安全，2012，（03）：38-41.
云计算的安全问题范文篇3
[关键词]云计算虚拟化安全策略
中图分类号：F426.6文献标识码：A文章编号：1009-914X（2015）05-0315-01
最近十多年来，随着互联网的高速发展，社会信息数据化不断加深，尤其是在移动互联网急速扩张的今天，产生的数据量在以惊人的速度在增长。一方面，庞大的数据需要庞大的计算能力来进行处理；另一方面零散的计算机节点大概只有不到30%的存储和计算资源被使用，70%实际上是被闲置的。原来以不断堆砌硬件设备的服务模式已经不能应对当前巨大的计算吞吐量，如何把众多的具有闲置计算资源的计算机节点组织起来，以一种新的形式去解决当前出现的问题，这成为学术界和产业界共同关注的问题。由此，云计算的概念应运而生。
一、云计算的概念
简单来讲，云计算（Cloud？Computing）是基于分布式计算（Distributed？Computing）、网格计算（Grid？Computing）、并行计算（Parallel？Computing）等发展的基础上，以网络存储（NetworkStorageTechnologies）、虚拟化（Virtualization）、负载均衡（LoadBalance）等为关键技术的一种新型计算模型，它面对的是超大规模的分布式环境，核心是提供数据存储和网络服务。
二、云计算的基本架构
云计算的体系架构可以分为三层，从下到上依次是硬件平台层、云平台层和云服务层，其系统架构模型如图1所示。
硬件平台是包括是包括服务器、网络设备、存储设备等在内的所有硬件设施。它是云计算的数据中心，通过虚拟化技术来实现资源池化。
云平台提供服务开发工具和基础软件（如：数据库、分布式操作系统），从而帮助云服务的开发者开发服务。另外，它也是云服务的运行平台，所以，云平台要具有Java运行厍，Web2.0应用运行厍、各类中间件等等。
云服务就是指可以在互联网上使用一种标准接口来访问的一个或多个软件功能（比如：财务管理软件，客户关系管理软件，计算软件等）。
三、云计算的特点
1、超强的计算能力。云计算通过集群应用、网格技术、分布式处理等功能将网络中的计算设备调用起来协调工作，共同组成一个计算资源池，提供给用户前所未有的计算能力。据统计，Google云计算的服务器有上百万台服务器，IBM，Anlazon也有几十万台，大中型企业的私有云也有至少上百台，整合在一起的计算能力不容忽视。
2、硬件虚拟化。虚拟化是云计算最显著的特点。云计算把将计算资源连接起来，由软件自动管理，支持用户在任意位置使用各种终端获取应用服务，请求的资源来自“云”，应用也在“云”中运行，用户只需要一个终端，就可以通过网络服务实现所需要的一切，而不用关心资源究竟在哪里，整个过程是如何在哪里实现的。用户只需要将自己的需求提交给云，云返回用户所要的结果就可以了，用户只需用一个终端就可以随时获得想要的资源和服务，使用起来非常方便，而且对用户终端的要求不高，降低了用户的成本。
3、高可靠性。云计算使用了数据多副本容错、计算节点同构可互换等措施来保证服务的高可靠性。
4、高通用性。云计算不针对特定的应用，在云服务层上可以很方便的支撑不同的应用。
5、可扩展性高。云计算的规模可以根据实际情况进行动态的伸缩，满足不同用户和应用增长的需要。
6、按需购买。云中的计算资源可以按需购买，如同现在使用水电那种方便。
四、云计算的安全问题
云计算的优势是明显的，它的发展也非常迅速，但是仍然有人对云计算的前景担忧，主要出于对安全问题的忧虑。当我们把数据放在云上时，云是一个虚拟的环境，我们并不知道数据究竟在哪里，哪些人在使用云，又是哪些人在控制着云，应用环境和数据都脱离了用户可控范围，这些都是云计算的不安全因素。随着云计算应用的越来越广，用户越来越关注以下几种安全方面的问题：
1、云服务商的接人权限；2、数据存放位置；3、数据隔离；4、持久的服务。
五、云环境下安全对策的探讨
对于云计算服务提供商来说，务必在云环境提供以下安全策略：
1.云计算环境应该具有多个基本的安全域，每个安全域要有全局和局部主题映射；
2.位于不同安全域之间的操作必须相互鉴别，并且要提供完整单点登录认证、、协同认证、资源认证，在认证过程中的通信也必须通过SSL、VPN等安全方式来保证用户登录信息的安全。
3.建立可靠及时的备份容错服务，即使灾难发生，也可以保证数据的安全和完整性。
4.提供过滤器系统，目的在于监视并能自动阻止敏感数据离开了自己的网络。
5.建立严格的内部监管机制，防止人为从内部泄漏用户数据。
6.应该遵循相应应用的开放标准，尽量不采用私有标准。如果没有标准可以遵循，至少要提供数据导入导出框架以及数据转换机制，为用户的数据迁移提供必要的保障和方便。
而对于云计算服务使用的用户来说，应该注意以下几点：
1.用户可以对自己的数据先进行加密再上传到云端，PGP或者True？Crypt等机密软件都提供了足够强大的加密功能。
2.从安全性和完备性来考虑，都应该使用信誉良好的服务商，大型的云服务商不会拿自己的企业品牌来冒险，也不会窘迫到和营销商共享数据，同时在企业内部也有比较严格的规章制度来保证数据的安全。最好选择是本国注册且数据中心、总部或资产在本国的大型企业，这样可保证其能够尊重驻在国家法律并受驻在国法律的监管，长久提供稳定、安全、可靠的服务。在发生事故后，由于其总部或资产在驻在国境内，因此赔偿或追讨可以顺利进行。
3.尽量采用付费的模式，因为免费的午餐终究是没有保证的。