云计算概念、技术与架构Thomas Erl-第6章 基本云安全

解决云中基本信息安全问题的术语和概念??

定义一组对公有云环境来说最常见的威胁和攻击??

考试重点：

1.解释和区别云计算安全概念：“完整性和真实性”；

2.解释“流量窃听”；

3.解释“恶意媒介”；

4.解释“信任边界重叠”；

5.“风险管理”的主要工作有哪些，请分别说明。

0.前言

信息安全是技术、科技、规章和行为的复杂组合，它们联合起来保护计算机系统和数据的完整性和对之的访问。

IT安全举措旨在防御由于恶意的企图和无心的用户错误造成的威胁和干扰。

目录

0.前言

第六章 基本云安全

6.1基本术语和概念

6.1.1保密性

6.1.2完整性 *

6.1.3真实性 *可用性 威胁 漏洞 风险 安全控制 安全机制 安全策略

6.2 威胁作用者

6.2.1匿名攻击者

6.2.2恶意服务作用者

6.2.3授信的攻击者

6.2.4恶意的内部人员

6.2.5小结

6.3云安全威胁

6.3.1流量窃听 *

6.3.2恶意媒介 *

6.3.3拒绝服务

6.3.4授权不足

6.3.5虚拟化攻击

6.3.6信任边界重叠 *

6.3.7小结

6.4其他考量

6.4.1有缺陷的实现

6.4.2安全策略不一致

6.4.3合约

6.4.4风险管理 *

风险评估

风险处理

风险控制

第六章 基本云安全 6.1基本术语和概念

衡量安全性相关联的特性：保密性、完整性、真实性、可用性；

与衡量和评估不安全性或安全性缺乏相关：威胁、漏洞和风险；

与建立支持改进安全性的对策和保护措施相关联：安全控制、机制和策略。

6.1.1保密性

保密性(confidentiality)是指事物只有被授权方才能访问的特性【图6-1】在云环境中，保密性主要是关于对传输和存储的数据进行访问限制的。

6.1.2完整性 *

完整性(integrity)是指未被授权方篡改的特性【图6-2】关系到云中数据的完整性的一个重要问题是能否向云用户保证传送到云服务的数据与云服务接收到的数据完全一致。完整性可以扩展至云服务和基于云的IT资源如何存储、处理和检索数据。

6.1.3真实性 *可用性 威胁 漏洞 风险 安全控制 安全机制 安全策略

这些规章制度。例如，云安全策略会确定安全控制和机制的定位和使用。

6.2 威胁作用者

威胁作用者(threat agent)是引发威胁的实体，因为它能够实施攻击。

6.2.1匿名攻击者

匿名攻击者(anonymous attacker)：在云中没有权限、不被信任的云服务用户。【图6-4】通常是一个外部软件程序，通过公网发动攻击。匿名攻击者往往诉诸绕过用户账号或窃取用户证书的手段，同时使用能够确保匿名性或需要大量资源才能被检举的方法。

6.2.2恶意服务作用者

恶意服务作用者(malicious service agent)： 能截取并转发云内的网络流量。【图6-5】它通常是带有被损害的或恶意逻辑的服务代理（或伪装成服务代理的程序）。也有可能是能够远程截取并破坏消息内容的外部程序。

6.2.3授信的攻击者

授信的攻击者(trusted attacker)又称为恶意的租户(malicious tenant)：与同一云环境中的云用户共享IT资源，试图利用合法的证书来把云提供者及与他们共享IT资源的云租户作为攻击目标。【图6-6】不同于匿名攻击者（他们是非授信的），授信的攻击者通常通过滥用合法的证书或通过挪用敏感和保密的信息，在云的信任边界内部发动攻击。

非法之用：非法入侵认证薄弱的进程、破解加密、往电子邮件账号发垃圾邮件、发起拒绝服务攻击

6.2.4恶意的内部人员

恶意的内部人员(maliciouse insider)：是人为的威胁作用者，他们的行为代表云提供者或者与之有关，试图滥用对云资源范围的访问特权的人。这种类型的威胁作用者会带来极大的破坏可能性，因为恶意的内部人员可能拥有访问云用户IT资源的管理特权。

6.2.5小结

·匿名攻击者是不被信任的威胁作用者，通常试图从云边界的外部进行攻击。

·恶意服务作用者截取网络通信，试图恶意地使用或篡改数据。

·授信的攻击者是经过授权的云服务用户，具有合法的证书云计算概念理解，他们会使用这些证书来访问基于云的IT资源。

·恶意的内部人员是试图滥用对云资源范围的访问特权的人。

6.3云安全威胁 6.3.1流量窃听 *

流量窃听(traffic eavesdropping)：流量窃听是指当数据在传输到云中或在云内部传输时（通常是从云用户到云提供者）被恶意的服务作用者被动地截获，用于非法的信息收集之目的【图6-8】，破坏数据的保密性。这种更容易长时间进行而不被发现。

6.3.2恶意媒介 *

恶意媒介(malicious intermediary)：恶意媒介威胁是指消息被恶意服务作用者截获并且被篡改，因此肯能会破坏数据的保密性和完整性。它还有可能在把消息转发到目的地之前插入有害的数据。【图6-9】

注意??：虽然不太常见，但是恶意媒介攻击也有可能是由恶意的云服务用户程序发起的。

6.3.3拒绝服务

拒绝服务（DoS）: 攻击的目标是使IT资源过载而无法正确运行。一般的方式有：云服务上的负载由于伪造的消息或重复的通信请求不正常地增加；网络流量过载，降低了响应性，性能下降；多个消耗大量资源的云服务请求。

成功的DoS攻击使得服务器性能恶化或失效【图6-10】

6.3.4授权不足

授权不足： 错误地授予攻击者访问权限或授权太宽泛，导致攻击者能够访问到本该受到保护的IT资源。这种攻击的一种变种称为弱认证(weak authentication),如果用弱密码或共享账户来保护IT资源，就可能导致这种攻击。【图6-12】

6.3.5虚拟化攻击

虚拟化攻击 ：虚拟化提供了一种方法使得多个云用户可以访问IT资源，这些IT资源共享底层硬件但是逻辑上相互独立。因为云提供者给予云用户对虚拟化的IT资源（例如虚拟服务器）的管理权限，随之而来的风险就是云用户滥用这种访问权限来攻击底层物理IT资源。??云用户滥用对虚拟化的IT资源访问的权限攻击底层物理IT资源。

虚拟化攻击(virtualization attack)利用的是虚拟化平台中的漏洞来危害虚拟化平台的保密性、完整性和可用性。【图6-13】所示：一个授信的攻击者成功地接入了一台虚拟服务器。破坏它底层的物理服务器。

6.3.6信任边界重叠 *

信任边界重叠 ： 共享物理IT资源的云用户的信任边界是重叠的。恶意的云服务用户将攻击目标设定为共享的IT资源，从而损害其他共享信任边界的云服务用户或IT资源。【图6-14】展示了一个例子：两个云服务用户共享位于同一物理服务器上的虚拟服务器，不情愿地，他们各自的信任边界有所重叠。

6.3.7小结

·流量窃听和恶意媒介攻击通常是由截取网络流量的恶意服务作用者实施的。

·DoS的发生是当目标IT资源由于请求过多而负载过重，这些请求意在使IT资源性能陷于瘫痪或不可用。

·授权不足攻击是指错误地授予了攻击者访问权限或是授权太宽泛，或是使用了弱密码。

·虚拟化攻击利用的是虚拟化环境中的漏洞，获得了对底层物理硬件未被授权的访问。

·重叠的信任边界潜藏了一种威胁，攻击者可以利用多个云用户共享的、基于云的IT资源。

6.4其他考量 6.4.1有缺陷的实现

部署有缺陷的基于云的解决方案可能会引入安全风险。

6.4.2安全策略不一致

在选择云提供厂商时，理解云提供者如何定义和强加所有权，以及可能的不兼容的云安全策略，是形成评估标准的关键部分。

6.4.3合约

在云用户和云提供者签署的法律协议中，需要明确定义和相互理解对潜在的安全泄漏的责任、免责和问责。

6.4.4风险管理 *

对于云用户来说，在理解具体针对某个特定云环境的安全相关的可能的问题之后，对识别出的风险进行相应的评估是很重要的。

主要的???????工作通常是风险评估、风险处理和风险控制。

风险评估

风险评估 (risk assessment)——在风险评估阶段，要分析云环境，识别出威胁可能会利用的潜在的漏洞和缺陷。云提供者可能会被要求提供过去在它的云中发生过的成功和不成功的攻击。根据发生的概率和对云用户计划使用基于云的IT资源的影响的程度，对识别出来的风险进行定量和定性。

风险处理

风险处理(risk treatment)——在风险处理阶段设计的风险减轻策略和计划意在成功

地处理在风险评估阶段发现的风险。有些风险可以消除，有些可以减轻，还有一些可以通过外包或者甚至加入保险或运营损失预算中。云提供者本身也可能同意把责任作为合同义务的一部分。

风险控制

风险控制(risk control)——风险控制阶段是与风险监控相关的，含有一个三阶段处理过程，包括调查相关的事件，审阅这些事件来决定前期评估和处理的有效性，确认是否需要进行策略调整。根据所需监控的本质，这个阶段可以由云提供者进行或与云提供者一同进行。

（编辑：温州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!