云计算网络安全防御技术分析

刘 芳

（郑州工业应用技术学院，河南 郑州 451100）

1 云计算网络安全特点

与传统意义上的网络架构不同，云计算的内部网络边界更加模糊，用户租用云内部的虚拟资源，并根据自身需求定制不同的功能，且不同的用户会共享云平台上的数据资源。如果用户在共享云平台数据资源时存在恶意行为，那么可能会对整个系统的安全性能产生影响，并且云平台供应商无法直接访问、审查用户虚拟机。即使用户在系统内部有恶意行为，系统也无法通过架设防火墙、堡垒主机等方式发现、阻拦这种恶意攻击，因为用户是从云内部发起的网络攻击[1]。云网络平台的服务器、存储结构及桌面均是虚拟化的，应用及网络也是虚拟化的，用户可以随时随地开启新的服务，这使得原本的静态网络拓扑变成了时变网络拓扑，很难预测数据传输及节点访问情况。云计算网络的弹性使得网络拓扑结构更加灵活、复杂，增加了云网络的安全防护难度。

针对这些问题，很多专家、学者不断研究提出新的方法，例如构建分布式云网络入侵检测系统，在云平台中集成入侵检测系统（Intrusion Detection System，IDS），控制虚拟机实例间的网络通信数据流等，但是这些方法只不过是在云计算网络中移植传统的网络防护设备，一旦云计算的网络规模达到百万数量级时，这些方法对于云计算所面对的网络安全问题就无能为力了，甚至有可能由于虚拟机实例受到攻击过载而发生异常，最终引起整个物理机上的所有虚拟机都停止服务[2]。每台物理机所运行的虚拟机实例可能运行着属于不同用户的软件，一台物理主机故障会引起多个云端用户应用节点异常，最终导致整个逻辑业务停止。

2 云计算网络常见安全威胁

具体而言，云计算网络常见的安全威胁主要来自于以下几个方面。一是网络攻击。网络攻击会导致服务器瘫痪及数据传输风险，带来的风险包括数据被窃取、数据被篡改、服务器受到攻击等。在云网络中，用户数据被监听、盗取会为用户带来较大的风险，且未经用户授权对用户数据进行删除、修改也会影响数据信息的完整性与准确性。二是存储风险，主要是用户数据保密方法不当、保密措施不到位所致，一旦系统受到恶意攻击就会影响到数据的安全性。此外，数据信息存储介质也可能被恶意控制，导致数据受损。三是身份认证与访问限制。身份认证的风险主要来自于非法攻击盗取用户认证过的信息，或者第三方信息服务设备盗取用户信息，此外，用户自身也可能会通过非正常手段处理信息而导致身份认证出现问题。访问限制问题主要是第三方服务器恶意攻击，或者授权非法用户，导致用户数据信息的私密性、完整性受到影响[3]。四是虚拟环境与审计因素。云计算技术的计算空间构建于虚拟的空间内，为保证数据安全，需要借助防火墙及数据监测技术等。用户租用云计算平台以获取资源，因此云平台有大量的虚拟机合租者。如果平台对合租用户本身缺乏监管，就可能会导致一系列安全问题，例如数据安全审计中恶意关闭审计功能，导致运营日志缺失、审计记录不全等问题，从而增加审计难度[4]。

3 云计算网络安全防御系统设计

3.1 云计算网络安全防御系统架构

云计算网络中每个虚拟机都是一个节点，也可以称为传感器节点，每个节点都具备简单日志分析及处理的能力，因此每个虚拟机都可以运行一个轻量的系统监控及告警程序。该监控程序能够根据虚拟机的处理性能进行适当优化与裁剪，并能够实时感知当前系统的运行状态。例如，如果虚拟机性能较弱或负载较重，那么仅能通过监控软件对基本系统信息进行分析，包括CPU、内存、网络流量等；如果虚拟机处理能力较强或负载较轻，则可以进一步分析高级系统信息，例如数据指纹、运行进程信息等。云计算网络安全防御系统中还包括免疫处理模块，免疫处理模块被传感器节点启动后可以拦截、阻塞恶意软件及网络病毒，从而避免系统受到进一步攻击[5]。

除传感器节点外，云计算网络安全防御系统中还包含基于自身加固的防御策略生成节点，一般是逻辑网内的关键节点。这些节点包含两部分，即业务处理与安全响应，它们能够方便地升级安全响应节点为防御策略生成节点，其主要作用是对云平台中的数据进行监控，并根据实际情况生成防御策略。在系统运行过程中，防御策略生成节点会将传感器节点发送的日志、告警数据收集在一起进行分析，再根据系统定义好的防御机制及监控黑名单触发对应的策略，产生防御策略后再向传感器节点发送防御策略启动防御机制。

3.2 云计算网络安全防御系统流程设计

与传统的安全防御系统处理威胁问题不同，因为云计算网络中威胁行为的对象可能是不同用户的逻辑子网，所以在实际处理过程中可以合并处理类别相同的攻击行为，除了要保护正在被攻击的节点外，还要保护未受到攻击的节点。云计算网络安全防御系统对受到的威胁攻击的处理流程主要包括威胁检测、威胁预处理、威胁处理以及防御规则部署4个步骤。

3.2.1 威胁检测

每个传感器节点都有以服务形式运行于虚拟机系统中的系统状态采集及分析软件，通过轮询模式与事件触发模式两种方法采集系统运行数据。轮询模式下程序以设置好的时间间隔扫描、采集系统关键信息，根据不同虚拟机的负载压力、处理能力等进行动态调整。事件触发模式下用户可以设置一个或多个触发事件，例如网络带宽占用超过阈值，或者CPU连续满负荷运行时间超过阈值等，一旦出现这些阈值系统即判断有可疑行为，需要进行及时处理。这两种威胁检测方法均可以触发威胁评估程序，评估程序会根据系统负载情况进行扫描，包括系统登陆扫描、进程扫描、端口扫描，乃至高级的内存扫描、数据包扫描等[6]。

3.2.2 威胁预处理

威胁检测完成后要对威胁行为进行预处理，避免直接汇报至上层造成防御策略生成节点压力过大而影响处理结果。在进行威胁预处理时，首先要进行数据合并与去重，该步骤的主要目的是去除重复数据，即轮询模式下触发的威胁数据与某次事件触发的数据相同时则可以进行合并处理，以减少后续处理压力；其次要进行数据过滤，第一步威胁检测所得结果不都是真正的威胁行为，有可能包含突发情况导致的误触发，因此数据过滤就是将这些非正常触发的威胁告警过滤掉[7]；最后要进行数据压缩，数据压缩的主要作用是减少网络传输压力，不过会导致本地CPU消耗，因此数据压缩可以根据实际情况确定是否有必要，如果本地CPU负载较高则尽量选择更为简单的压缩算法，或者不压缩。

3.2.3 威胁处理

所有传感器节点检测到的数据最终都会被汇总至防御策略生成节点判断威胁行为，然而虚拟机实例数量变化会直接影响防御策略生成节点的数量。防御策略生成节点也是在虚拟机实例中运行的，云外用户无法访问虚拟机实例，因此可以很容易地调整防御节点数量，将这些节点所包含的所有运行环境打包并创建为虚拟机镜像即可，后续即使需要增加更多的防御策略生成节点，也可以按照启动普通虚拟机实例的方法进行。具体而言，威胁处理的主要步骤包括以下几个方面。首先是威胁分类。这一步的主要目的是对传感器节点发送的数据进行安全类型分类，包括恶意软件、网络攻击、HTTP攻击等，通过分类为后续的规则匹配去除干扰，提高系统识别的准确率。其次是威胁汇总。威胁汇总的主要目的是将不同传感器节点所受到的相同的攻击行为整合在一起，以简化后续的处理流程。例如黑客攻击了云中某Web主页导致Web服务停止，Web多采用前端负载均衡与后端服务器集群协同工作的部署方式，一旦受到分布式拒绝服务（Distributed Denial of Service，DDoS）攻击，后端服务器会发送同样的告警信息，这种情况就可以进行合并汇总，提高后续系统处理效果。再次是规则生成。系统会通过自我学习与手动定义的方式生成一个定义各种类型威胁处理方法的规则集，针对系统受到的威胁行为进行处理。不过在某些情况下防护软件无法有效拦截某些攻击，例如针对系统自身漏洞的攻击行为，此时就需要暂时屏蔽该虚拟机实例的网络访问，以免对整个网络产生更严重的影响。最后是规则下发。防御节点生成策略后需要下发至防御部署节点，由于防御策略接收者可能是单个或多个传感器节点，因此需要合理选择下发路径。选择下发路径时针对紧急任务可采用Dijkstra算法，针对广播任务可选择广度优先算法。在攻击刚发生时被攻击点较少，此时按照紧急任务处理方法迅速保护受到攻击的虚拟机实例可以避免攻击进一步扩大，采用Dijkstra算法可以实现防御策略的及时发送。该算法以深度优先算法为基础，能够保证防御策略及时响应，从而拦截本次攻击，保证网络正常运行。针对策略接收端较多的广播任务可采用广度优先算法，因为攻击广度较大时生成的策略可能会针对较多的接收虚拟机，该算法能够更好地平衡策略下发速度与受众节点数量的关系[8]。

3.2.4 防御规则部署

防御策略生成节点将防御规则下发至传感器节点后，后者需压缩防御规则并将其导入自身的规则集中，导入完成后防御程序会逐个调用规则中关联的防御软件并应用规则，完成整个安全防御过程。

3.3 云计算网络安全防御系统核心功能的实现

本研究提出的云计算网络安全防御系统的核心功能包括系统信息采集与上报、规则生成与部署。针对系统异常状态的检测可以通过相关命令统计、汇总系统的运行状态，还可以应用对应的监控工具探测系统的详细状态，例如CPU负载可用top命令检测，内存状态可用vmstat命令检测。如果内存缓存池不为空，后台的规则过滤与匹配模块就会被触发，该模块再对规则进行分类，并委托给指定的线程进行处理。对应类型处理线程被委托后会合并相同的攻击，再在规则数据库中查询。任务分发线程将不同的任务排队委托给线程池中的不同线程，再由其匹配规则数据库中的规则，获得的规则返回给任务分发线程后部署至具体的传感器节点。

4 结束语

云计算环境下网络安全防御技术是保证系统安全、稳定运行的重要措施。因为云计算技术本身包含了大量的新兴技术与先进的技术思想，且大量采用了虚拟化技术与软件定义技术，增加了系统的复杂性，所以云计算平台的安全问题是整个技术体系的短板。本文分析了云计算网络安全特点，总结了云计算网络中常见的安全威胁，并结合工作实践提出云计算网络安全防御系统的设计思路。在后续工作中需要不断总结工作经验，不断完善防御策略，以提高云计算网络运行的安全性与可靠性。