云安全技术解决方案发展趋势
从整体上来说，国际上关于云计算安全问题的研究也是刚刚起步，虽然很多的组织和机构都在积极地对云计算的安全问题进行分析和研究，但主要是CSA以及微软、谷歌、亚马逊等几个为数不多的组织和机构能够比较清晰地提出各自对云计算安全问题的基本认识以及关于云计算安全问题的初步解决方案。为此，现对主流企业云安全研究进展及技术解决方案进行阐述。
（1）微软
微软的云计算平台叫做WindowsAzure。在Azure上，微软通过采用强化底层安全技术性能、使用所提出的Sydney安全机制，以及在硬件层面上提升访问权限安全等系列技术措施为用户提供一个可信任的云，从私密性、数据删除、完整性、可用性和可靠性五个方面保证云安全。
·私密性：WindowsAzure通过身份和访问管理、SMAPI身份验证、最少特权用户软件、内部控制通信量的SSL双向认证、证书和私有密钥管理、WindowsAzureStorage的访问控制机制保证用户数据的私密性。
·隔离：把不同的数据适当地进行隔离，作为一种保护方式。微软提供了管理程序，RootOS和GuestVMs的隔离、FabricControllers的隔离、包过滤、VLAN隔离、用户访问的隔离五种隔离方式给用户数据提供保护。
·加密：在存储和传输中对数据进行加密，确保数据的保密性和完整性。此外，针对关键的内部通信，使用SSL加密进行保护。作为用户的选择之一，WindowsAzureSDK扩展了核心。NET类库以允许开发人员在WindowsAzure中整合。NET加密服务提供商（CSPs）；
·数据删除：WindowsAzure的所有的存储操作，包括删除操作被设计成即时一致的。一个成功执行的删除操作将删除所有相关数据项的引用使得它无法再通过存储API访问。所有被删除的数据项在之后被垃圾回收。正如一般的计算机物理设备一样，物理二进制数据在相应的存储数据块为了存储其他数据而被重用的时候会被覆盖掉。
·完整性：微软的云操作系统以多种方式来提供这一保证。对客户数据的完整性保护的首要机制是通过FabricVM设计本身提供的。每个VM被连接到三个本地虚拟硬盘驱动（VHDs）：D驱动器包含了多个版本的GuestOS中的一个，保证了最新的相关补丁，并能由用户自己选择；E驱动器包含了一个被FC创建的映像，该映像是基于用户提供的程序包的；C驱动器包含了配置信息，paging文件和其他存储。另外存储在读/写C：驱动中的配置文件是另一个主要的完整性控制器。至于WindowsAzure存储，完整性是通过使用简单的访问控制模型来实现的。每个存储账户有两个存储账户密钥来控制所有对在存储账户中数据的访问，因此对存储密钥的访问提供了完全的对相应数据的控制。Fabric自身的完整性在从引导程序到操作中都被精心管理。
·可用性：WindowsAzure提供了大量的冗余级别来提升最大化的用户数据可用性。数据在WindowsAzure中被复制备份到Fabric中的三个不同的节点来最小化硬件故障带来的影响。用户可以通过创建第二个存储账户来利用WindowsAzure基础设施的地理分布特性达到热失效备援功能。
·可靠性：WindowsAzure通过记录和报告来让用户了解这一点。监视代理（MA）从包括FC和RootOS在内的许多地方获取监视和诊断日志信息并写到日志文件中，最终将这些信息的子集推送到一个预先配置好的WindowsAzure存储账户中。此外，监视数据分析服务（MDS）是一个独立的服务，能够读取多种监视和诊断日志数据并总结信息，将其写到集成化日志中。
（2）谷歌
在2010年，为使其安全措施、政策及涉及到谷歌应用程序套件的技术更透明，谷歌发布了一份白皮书，向当前和潜在的云计算客户保证强大而广泛的安全基础。此外，谷歌在云计算平台上还创建了一个特殊门户，供使用应用程序的用户了解其隐私政策和安全问题。
谷歌的云计算平台上主要从三个部分着手保障云安全。
·人员保证。谷歌雇佣一个全天候的顶级信息安全团队，负责公司周围的的防御系统并编写文件，实现谷歌的安全策略和标准。
·流程保证。应用要经过多次的安全检查。作为安全代码开发过程，应用开发环境是严格控制并认真调整到最大的安全性能。外部的安全审计也有规则的实施来提供额外的保障。
·技术保证。为降低开发风险，每个Google服务器只根据定制安装必需的软件组件，而且在需要的时候，均匀的服务器架构能够实现全网的快速升级和配置改变。数据被复制到多个数据中心，以获得冗余的和一致的可用性。在安全上，实现可信云安全产品管理、可信云安全合作伙伴管理、云计算合作伙伴自管理、可信云安全的接入服务管理、可信云安全企业自管理。在可信云安全系统技术动态IDC解决方案中，采取面向服务的接口设计、虚拟化服务、系统监控服务、配置管理服务、数据保护服务等方法，实现按需服务、资源池、高可扩展性、弹性服务、自服务、自动化和虚拟化、便捷网络访问、服务可度量等特点。
（3）亚马逊
亚马逊是互联网上最大的在线零售商，但是同时也为独立开发人员以及开发商提供云计算服务平台。亚马逊是最早提供远程云计算平台服务的公司，他们的云计算平台称为弹性计算云（ElasticComputeCloud，EC2）。亚马逊从主机系统的操作系统、虚拟实例操作系统火客户操作系统、防火墙以及API呼叫多个层次为EC2提供安全，目的就是防止亚马逊EC2中的数据被未经认可的系统或用户拦截，并在不牺牲用户要求的配置灵活性的基础上提供最大限度的安全保障。EC2系统主要包括以下组成部分。
·主机操作系统。具有进入管理面业务需要的管理员被要求使用多因子的认证以获得目标主机的接入。这些管理主机都被专门设计、建立、配置和加固，以保证云的管理面，所有的接入都被记录并审计。当一个员工不再具有这种进入管理面的业务需要时，对这些主机和相关系统的接入和优先权被取消。
·客户操作系统：虚拟实例由用户完全控制，对账户、服务和应用具有完全的根访问和管理控制。AWS对用户实例没有任何的接入权，并不能登录用户的操作系统。AWS建议一个最佳实践的安全基本集，包括不再允许只用密码访问他们的主机，而是利用一些多因子认证获得访问他们的例子。另外，用户需要采用一个能登录每个用户平台的特权升级机制。例如，如果用户的操作系统是Linux，在加固他们的实例后，他们应当采用基于认证的SSHv2来接入虚拟实例，不允许远程登陆，使用命令行日志，并使用“sudo”进行特权升级。用户应生成他们的关键对，以保证他们独特性，不与其他用户或AWS共享。
·防火墙：亚马逊EC2提供了一个完整的防火墙解决方案。这个归本地的强制防火墙配置在一个默认的deny-all模式，亚马逊EC2顾客必须明确地打开允许对内通信的端口。通信可能受协议、服务端口以及附近的的源设定接口的网络逻辑地址的限制。防火墙可以配置在组中，允许不同等级的实例有不同的规则。
·实例隔离：运行在相同物理机器上的不同实例通过Xen程序相互隔离。另外，AWS防火墙位于管理层，在物理网络接口和实例虚拟接口之间。所有的包必须经过这个层，从而一个实例的附近的实例与网上的其他主机相比，没有任何多余的接入方式，并可认为他们在单独的物理主机上。物理RAM也使用相同的机制进行隔离。客户实例不能得到原始磁盘设备，而是提供虚拟磁盘。AWS所有的的圆盘虚拟化层自动复位用户使用的每个存储块，以便用户的数据不会无意的暴露给另一用户。AWS还建议用户在虚拟圆盘之上使用一个加密的文件系统，以进一步保护用户数据。
（4）中国电信
作为拥有全球最大固话网络和中文信息网络的基础电信运营商，中国电信一直高度关注云计算的发展。对于云安全，中国电信认为，云计算应用作为一项信息服务模式，其安全与ASP（应用托管服务）等传统IT信息服务并无本质上的区别，只是由于云计算的应用模式及底层架构的特性，使得在具体安全技术及防护策略实现上会有所不同。为有效保障云计算应用的安全，需在采取基本的IT系统安全防护技术的基础上，结合云计算应用特点，进一步集成数据加密、VPN、身份认证、安全存储等综合安全技术手段，构建面向云计算应用的纵深安全防御体系，并重点解决如下问题。
·云计算底层技术架构安全：如虚拟化安全、分布式计算安全等。
·云计算基础设施安全：保障云计算系统稳定性及服务连续性。
·用户信息安全：保护用户信息的可用性、保密性和完整性。
·运营管理安全：加强运营管理，完善安全审计及溯源机制。
随着云计算部署和实施规模的日益扩大，对“云”安全的研究及技术解决方案的探索将持续深入。微软、谷歌、亚马逊等IT巨头们以前所未有的速度和规模推动云计算的普及和发展，而云安全技术推出的时间不长，且网络威胁是动态变化的，所以云安全技术永远都处于不断研发、完善和前进的过程中。各大公司积极地应对云安全，为此，我们对云计算主流企业的云安全研究进展和解决方案进行分析和跟踪，对我国云计算安全事业的发展有一定的现实意义。
