云計(jì)算機(jī)存在的安全風(fēng)險(xiǎn)與防范發(fā)布者：本站     時(shí)間：2020-05-02 16:05:52

云計(jì)算既指的是服務(wù)在網(wǎng)絡(luò)上的應(yīng)用程序也指的是在數(shù)據(jù)中心提供服務(wù)的硬件及軟件。云供應(yīng)商使用虛擬技術(shù)通過網(wǎng)絡(luò)設(shè)施為計(jì)算資源提供各種自助服務(wù)。 在云環(huán)境中，各種各樣的虛擬設(shè)備被放置在同一個(gè)物理服務(wù)器上作為基礎(chǔ)設(shè)施來使用。 云計(jì)算發(fā)展到今天，共有三種云類型：公有云、私有云及混合云。 公有云是一種由供應(yīng)商提供幾種資源的典型模型，這些資源包括有應(yīng)用程序和數(shù)據(jù)的存儲給公眾使用。私有云指的是普通人無法獲得的企業(yè)內(nèi)部的服務(wù)?；旌显茷槠髽I(yè)在內(nèi)部提供和控制一些資源提供了一種環(huán)境，同時(shí)也為公眾提供資源供大家使用。因此，私有云與公共云的結(jié)合被稱為混合云。對于云計(jì)算這種新推出的技術(shù)而言，它也有自身存在的問題，其中一個(gè)問題就是隨機(jī)存取（RAS）。

1 云中的隨機(jī)存?。≧AS）

當(dāng)用戶的數(shù)據(jù)被轉(zhuǎn)移到云中就有了兩種變化。 第一，數(shù)據(jù)將會(huì)從用戶的本地計(jì)算機(jī)被轉(zhuǎn)移出去，第二數(shù)據(jù)將從單終端的環(huán)境中被轉(zhuǎn)移到多終端上。這些變化帶給人們對數(shù)據(jù)泄漏方面的關(guān)注。 因此，從安全的角度來考慮數(shù)據(jù)泄漏已經(jīng)成為云計(jì)算機(jī)中最大的風(fēng)險(xiǎn)之一。

當(dāng)前，為了減輕這些問題對云的影響，云供應(yīng)商更愿意使用數(shù)據(jù)防泄漏保護(hù)程序（DLP）對敏感數(shù)據(jù)進(jìn)行保護(hù)。 但是，如果數(shù)據(jù)被存儲在了共有云中，由于該云的特質(zhì)所決定，使用數(shù)據(jù)保護(hù)應(yīng)用程序的意義不大。 但在 SaaS 和 PaaS 中使用數(shù)據(jù)防泄漏保護(hù)程序（DLP）對用戶數(shù)據(jù)進(jìn)行保護(hù)是不可能的，除非，云供應(yīng)商把 DLP 放在服務(wù)里。而且，把 DLP 放入虛擬環(huán)境運(yùn)行也是可以的。 與其它云類型不同，IaaS 本身就可以實(shí)現(xiàn)對相關(guān)數(shù)據(jù)的控制。

在私有云中，用戶對全部基礎(chǔ)設(shè)施享有直接的控制，是否把數(shù)據(jù)防泄漏保護(hù)程序（DLP）放置在 SaaS,PaaS 或 IaaS 中不是一個(gè)政策性問題。 然而，DLP 是否與你的 AaaS 或 PaaS 服務(wù)相互協(xié)作有可能是一個(gè)技術(shù)性的問題。 在混合云中，如果服務(wù)是IaaS,用戶可以通過設(shè)置 DLP 來控制數(shù)據(jù)。

2 云中的 IP 地址攻擊

因特網(wǎng)使用最著名的 TCP/IP 協(xié)議來定位每個(gè) IP 地址在網(wǎng)絡(luò)中的位置，而網(wǎng)絡(luò)對于云供應(yīng)商而言也只是用于交流的基礎(chǔ)設(shè)施。 與在 Inter 網(wǎng)中的物理計(jì)算機(jī)都有自己的 IP 地址一樣，網(wǎng)絡(luò)中的虛擬機(jī)同樣也有 IP 地址。 無論是外部還是內(nèi)部的網(wǎng)絡(luò)，無論是非法用戶還是合法用戶，都一樣能找到他們的 IP地址。因此，在這種情況下，非法用戶能夠找到哪個(gè)物理服務(wù)器正在使用，并通過植入惡意的虛擬機(jī)的方式發(fā)動(dòng)攻擊。 因?yàn)樗杏脩舳际褂猛瑯拥奶摂M機(jī)作為基礎(chǔ)設(shè)施，如果攻擊者竊取或控制了虛擬機(jī)，他就可以訪問機(jī)器內(nèi)所有用戶的數(shù)據(jù)。因此，黑客會(huì)在云供應(yīng)商檢測到虛擬機(jī)失去控制之前就已經(jīng)把數(shù)據(jù)復(fù)制到了他的機(jī)器中，然后通過數(shù)據(jù)分析，黑客就可以找到有價(jià)值的數(shù)據(jù)。

3 對云的分布式拒絕服務(wù)（DDoS）攻擊

分布式拒絕服務(wù)（DDoS）攻擊采用向特定的網(wǎng)絡(luò)入口發(fā)送大量的 IP 數(shù)據(jù)包的方式進(jìn)行攻擊。 在黑名單模式下對任何形式的硬件進(jìn)行操作都會(huì)很快出現(xiàn)癱瘓的狀態(tài)。 在云計(jì)算機(jī)中，由于基礎(chǔ)設(shè)施是被大量的用戶所共享的，所以 DDoS 攻擊有時(shí)會(huì)比單終端體系結(jié)構(gòu)下所受的內(nèi)在影響更大。如果云有很多的資源提供給用戶，很容易引起分布式拒絕服務(wù)（DDoS）的攻擊。

解決這個(gè)問題的一個(gè)常規(guī)性方法即增加重要資源的存儲數(shù)量。

但是當(dāng)用戶蓄意使用“僵尸網(wǎng)絡(luò)”（bot-net）運(yùn)行 DDoS 的話就會(huì)出現(xiàn)更嚴(yán)重的問題。

大多數(shù)的網(wǎng)絡(luò)措施不能阻止 DDoS 的攻擊。同它們沒有辦法阻止數(shù)據(jù)溢出一樣， 網(wǎng)絡(luò)同樣也不能區(qū)分有用的信息和有害的信息。 如果攻擊已經(jīng)被識別并且具有已知的鮮明特征，那么入侵防御系統(tǒng)（IPS）還有比較有效的。反之，如果它們內(nèi)容合法但懷有惡意攻擊的話，IPS 就會(huì)變的無效。 不幸的是，與 IPS 的解決方案類似，面對 DDoS 的攻擊，防火墻顯得即無效又容易受到攻擊，攻擊者會(huì)從云的服務(wù)器或是云中的網(wǎng)絡(luò)聯(lián)接點(diǎn)中蓄意發(fā)送大量的合法信息到服務(wù)器上，從而導(dǎo)致服務(wù)器不能處理這些信息，這時(shí)他們就可以很容易地穿越防火墻和 IPS 服務(wù)。 準(zhǔn)確的來說，DDoS防護(hù)網(wǎng)絡(luò)虛擬層的一部分，而非服務(wù)器虛擬。 例如，云計(jì)算使用虛擬機(jī)可以防止來自網(wǎng)絡(luò)層的地址解析（ARP）欺騙。