摘要：本文分析了云计算的特性,并从云计算安全模型、云计算安全挑战、安全措施等方面讨论云计算的安全现状和发展。

第1页:云计算概念 第2页:云计算安全参考模型 第3页:云计算的安全挑战 第4页:云计算安全应对策略

　　
2.2JerichoForum的云立方体模型

从安全协同的角度,JerichoForum从数据的物理位置(internal和external)、云相关技术和服务的所有关系状态(proprietary和open)、应用资源和服务时的边界状态(perimeterised和de-perimeterised)、云服务的运行和管理者(insourced和outsourced)4个影响安全协同的维度上分类16种可能的云计算形态,用如图3所示的云立方体模型展示。

　　不同的云计算形态具有不同的协同性、灵活性及其安全风险特征。云服务用户需要根据自身的业务和安全协同需求选择最为合适的云计算形态。

　3云计算的安全挑战

云计算作为多种传统技术(如并行计算、分布式计算、网格计算、虚拟化、效用计算等)的综合应用、发展与商业实现的结果,信息安全的基本属性与安全需求不变,涉及信息资产、安全威胁、保护措施等的信息保障安全观不变。

从供应商的安全能力角度分析云计算面临的安全风险来讲，云计算技术主要存在7大安全风险，如表1。

表1 Gartner列出的云计算7大安全风险

风险	描述
特权用户接入	供应商的管理员处理敏感信息的风险
可审查性	供应商拒绝外部审计和安全认证的风险
数据位置	数据存储位置位置的隐私风险
数据隔离	共享资源的多租户数据隔离
数据恢复	供应商的数据备份和恢复能力
调查支持	供应商对不恰当或非法行为难以提供取证支持
长期生存性	服务稳定性、持续性及其迁移

　　CSA发布的最新版本《云计算关键领域安全指南》,主要从攻击者角度归纳云计算环境可能面临的主要威胁,提出12个关键安全关注域,罗列出了最为常见、危害程度最大的7个威胁,如表2。

表2 CSA列出的7大云计算安全威胁

威胁	表述
滥用和恶意使用云计算	利用云服务发送垃圾邮件或传播恶意代码等恶意活动
不安全的接口和API	接口质量和安全没有得到保障以及第三方插件的安全
不坏好意的内部人员	从组织内部发起攻击，如果公司使用了云服务，威胁将会进一步放大
基础设施共享问题	攻击者获取IaaS供应商的非隔离的共享基础设施的不受控制的访问权
数据丢失或泄漏	云中不断增长的数据交互放大了数据丢失或泄漏的风险
账户或服务劫持	攻击者获得云服务用户的凭据，导致云服务客户端问题
未知的风险	未知的安全漏洞、软件版本、安全实践、代码更新等

　　欧洲网络与信息安全局(Europeannetworkandinformationsecurityagency,ENISA)通过实践调查和专家咨询,将云计算环境的风险分为策略和组织风险、技术风险和法律风险3大类。云计算主要安全风险也是云计算安全的难题。