研究并不因云計(jì)算而有所改動(dòng)，在這里就不再描述。

(2)數(shù)據(jù)加密

為了更好地加強(qiáng)云計(jì)算的安全性，需在數(shù)據(jù)存儲(chǔ)上增加數(shù)據(jù)的私密性，既能保證文件的隱私性，又能實(shí)現(xiàn)數(shù)據(jù)的隔離和安全存儲(chǔ)。如亞馬遜的S3系統(tǒng)會(huì)在存儲(chǔ)數(shù)據(jù)時(shí)自動(dòng)生成一個(gè)MDS散列，免除了使用外部工具生成校驗(yàn)的繁冗，有效保證數(shù)據(jù)的完整性;如IBM設(shè)計(jì)出一個(gè)“理想格(ideal lattic)”的數(shù)學(xué)對(duì)象，可以對(duì)加密狀態(tài)的數(shù)據(jù)進(jìn)行操作。基于這些技術(shù)，企業(yè)可以根據(jù)不同的情況，選擇不同的加密方式來(lái)滿足不同的加密需要。

(3)數(shù)據(jù)隔離

云計(jì)算中并不是所有數(shù)據(jù)都適合進(jìn)行數(shù)據(jù)加密，加密數(shù)據(jù)會(huì)影響數(shù)據(jù)服務(wù)的效率。對(duì)于PaaS和SaaS應(yīng)用來(lái)說(shuō)，為了強(qiáng)調(diào)運(yùn)行效率等方面的“經(jīng)濟(jì)性”，非法訪問(wèn)還是會(huì)發(fā)生的，因此需要通過(guò)實(shí)施數(shù)據(jù)隔離來(lái)解決。在云計(jì)算環(huán)境下，系統(tǒng)的物理安全邊界將會(huì)逐步消失，轉(zhuǎn)而替代的是邏輯安全邊界，因此應(yīng)該采用VLAN或者分布式虛擬交換機(jī)等技術(shù)來(lái)實(shí)現(xiàn)系統(tǒng)數(shù)據(jù)的安全隔離。

(4)數(shù)據(jù)訪問(wèn)

數(shù)據(jù)訪問(wèn)tee的策略，也就是數(shù)據(jù)訪問(wèn)權(quán)限控制，可以通過(guò)安全認(rèn)證的技術(shù)來(lái)解決。通過(guò)統(tǒng)一單點(diǎn)登錄認(rèn)證、資源認(rèn)證、協(xié)同認(rèn)證、不同安全域之間的認(rèn)證或者多種認(rèn)證方式相結(jié)合的形式，對(duì)用戶身份進(jìn)行嚴(yán)格審查，對(duì)數(shù)據(jù)進(jìn)行操作前，一定要對(duì)操作者身份進(jìn)行嚴(yán)格核查。另外在權(quán)限的合理分配方面也要做好規(guī)劃和管理。而數(shù)據(jù)訪問(wèn)的監(jiān)視和日志審計(jì)也必不可少，特別是對(duì)敏感信息的操作，要做到可溯源。

4.2應(yīng)用安全

從云計(jì)算提供商的角度出發(fā)，描述從應(yīng)用層面應(yīng)當(dāng)如何充分考慮來(lái)自外部的風(fēng)險(xiǎn)。

(1)IaaS應(yīng)用—虛擬化安全

IaaS云計(jì)算提供商將用戶在虛擬機(jī)上部署的所有應(yīng)用都看成一個(gè)黑盒子，他們完全不會(huì)干涉所部署應(yīng)用的管理工作和運(yùn)維工作，僅負(fù)責(zé)提供基礎(chǔ)資源。在IaaS應(yīng)用中，用戶應(yīng)負(fù)責(zé)其應(yīng)用程序的部署和管理，程序的安全性也應(yīng)由用戶考慮。IaaS應(yīng)用提供商利用虛擬化等技術(shù)，根據(jù)用戶的需求提供基礎(chǔ)資源，虛擬化的安全性是云服務(wù)商負(fù)責(zé)的，在4.3節(jié)將討論到。

(2)PaaS應(yīng)用—API安全、應(yīng)用部署安全

PaaS云計(jì)算提供商給用戶提供在IaaS之上，依照平臺(tái)的接口規(guī)范，部署由用戶開(kāi)發(fā)的平臺(tái)化應(yīng)用或采購(gòu)現(xiàn)成的中間件產(chǎn)品。PaaS云計(jì)算提供商關(guān)注的安全問(wèn)題包括兩個(gè)方面:PaaS平臺(tái)自身的安全風(fēng)險(xiǎn)和用戶部署在PaaS平臺(tái)上的應(yīng)用的安全風(fēng)險(xiǎn)。

PaaS平臺(tái)自身的安全風(fēng)險(xiǎn)，主要包括對(duì)外提供API的安全和PaaS應(yīng)用管理的安全。對(duì)于PaaS的API安全問(wèn)題，目前國(guó)際上并沒(méi)有統(tǒng)一的標(biāo)準(zhǔn)，這對(duì)云計(jì)算API的安全管理帶來(lái)了不確定性;而PaaS應(yīng)用管理方面，核心的安全原則就是確保用戶的數(shù)據(jù)只有用戶自身才能訪問(wèn)和授權(quán)，實(shí)行多用戶應(yīng)用隔離，不能被非法訪問(wèn)和竊取。在這種環(huán)境下，PaaS平臺(tái)應(yīng)提供平臺(tái)的保密性和完整性，云服務(wù)提供商應(yīng)負(fù)責(zé)監(jiān)控PaaS平臺(tái)的缺陷和漏洞，及時(shí)發(fā)布補(bǔ)丁更新，解決安全漏洞。

用戶部署在PaaS平臺(tái)上的應(yīng)用安全風(fēng)險(xiǎn)，對(duì)于云提供商來(lái)說(shuō)主要是對(duì)客戶部署程序的安全審查，排除有意或無(wú)意的惡意程序甚至病毒的部署。因?yàn)橛脩羯暾?qǐng)要部署的程序，無(wú)論是自行開(kāi)發(fā)的還是采購(gòu)的，均有安全的不確定性，因此云服務(wù)提供商需要對(duì)申請(qǐng)部署的程序進(jìn)行嚴(yán)格的安全審計(jì)，包括非法代碼、不安全代碼、存在漏洞的代碼的檢測(cè)，并需與用戶一起對(duì)審計(jì)的結(jié)果進(jìn)行分析和修正。當(dāng)前這方面沒(méi)有標(biāo)準(zhǔn)，因此需要各云服務(wù)商提供此安全審計(jì)要求。

(3)SaaS應(yīng)用—服務(wù)安全

SaaS云計(jì)算提供商給用戶提供的是靈活方便地使用在云計(jì)算服務(wù)端中的各種應(yīng)用。SaaS云計(jì)算提供商應(yīng)必須確保提供給用戶的應(yīng)用程序的安全性，而用戶只需對(duì)訪問(wèn)云端應(yīng)用的終端的安全負(fù)責(zé)，如終端自身安全、客戶端的訪問(wèn)管理等。在SaaS平臺(tái)層，云服務(wù)提供商應(yīng)重點(diǎn)關(guān)注所提供服務(wù)的安全性，可參考當(dāng)前對(duì)軟件安全性的相關(guān)考慮方案進(jìn)行評(píng)估和審查。

4.3虛擬化安全

虛擬化安全是云計(jì)算最基礎(chǔ)部分IaaS的重要技術(shù)手段，對(duì)虛擬化技術(shù)的安全性進(jìn)行分析，對(duì)整個(gè)云計(jì)算的安全性來(lái)說(shuō)是堅(jiān)實(shí)的一步?；谔摂M化技術(shù)的云計(jì)算信息安全風(fēng)險(xiǎn)主要有兩個(gè)方面:虛擬化軟件產(chǎn)品的安全和虛擬主機(jī)系統(tǒng)自身的安全。

(1)虛擬化軟件產(chǎn)品安全

虛擬化軟件產(chǎn)品是直接部署在裸機(jī)之上，提供創(chuàng)建、啟動(dòng)和銷(xiāo)毀虛擬主機(jī)的能力，對(duì)虛擬主機(jī)進(jìn)行管理的一種軟件。實(shí)現(xiàn)虛擬化的技術(shù)不止一種，可以通過(guò)不