一种云安全服务架构的设计与实现

【摘 要】云计算近年来得到了越来越多的关注，云计算作为一种新的计算模式，对传统IT行业也带来了巨大的理念改变。本文对利用云计算改造传统安全服务面临的技术挑战进行了梳理，最后给出一种基于Xen、Hadoop和SOA等架构的云安全服务架构，该架构将体现“安全即服务”的服务理念，为用户提供多种基于云计算的安全服务。

【关键词】云计算；云安全；SOA

1.研究背景

云计算[1]是网格计算、分布式计算、并行计算、效用计算、网络存储、虚拟化、负载均衡、等传统计算机技术和网络技术发展融合的产物。借助SaaS、PaaS、IaaS、MSP等先进的商业模式把这强大的计算能力分布到终端用户手中。云计算的核心思想[2]，是将大量用网络连接的计算资源统一管理和调度，构成一个计算资源池向用户按需服务。

随着云计算逐渐成为未来发展的趋势，得到了当前业界乃至全社会的关注，被广泛认为是新一代信息技术变革和业务应用模式变革的核心。作为IT基础设施、信息服务的交付和使用模式及基于互联网的新型计算模式，云计算使信息技术更加简单、易用，使知识普及成本大幅下降，使人们能够更好地获取和使用知识，能够更好地支撑工作、生活。云计算的出现是传统IT 领域和通信领域技术进步、需求推动和商业模式变化共同促进的结果，具有以网络为中心、以服务为提供方式、高扩展性和高可靠性以及资源使用虚拟化、透明化等重要特征。随着云计算技术及理念的深入应用，利用云计算强大的服务能力提供安全服务（即云安全）[3]越来越成为安全业界关注的重点，同时云计算技术及理念也对传统安全技术及应用产生了深远的影响。

2.云安全服务的关键技术

当前云计算在资源共享和分配上体现的是一个整体的独立系统， 是以固定数量的资源或既定的解决方案为用户提供服务， 其业务流程相对比较固定[4]。随着网络技术的发展， 以及基于服务架构（ServiceOriented Architecture， SOA） 思想的提出， 网络安全设备的共享和应用过程应该是基于服务而形成的， 对如何资源以及如何搜索资源开展了大量的工作， 但是如何实现资源和任务在接口、功能、流程、语义、服务质量等方面的智能匹配、寻租、动态组合等， 则缺乏有效的解决手段。正因为目前的安全云技术没有很好地解决网络安全设备的动态共享与智能分配、终端物理设备智能嵌入式接入等问题， 使其推广应用和发展受到了限制。

安全云涉及的关键技术大致可以分为： 模式、体系架构、标准和规范；云端化技术；云服务的综合管理技术；安全云业务管理模式与技术。

（1） 安全云模式、体系架构、相关标准及规范

主要是从系统的角度出发， 研究安全云平台的结构、组织与运行模式等方面的技术， 同时研究支持实施安全云的相关标准和规范。包括： 支持多用户的、商业运行的、面向服务的安全体系架构；安全云应用模式下设备的交互、共享、互操作模式；安全云平台的相关标准、协议、规范等， 如云服务接入标准、云服务描述规范、云服务访问协议等。

（2） 云端化技术

主要研究安全云服务提供端各类安全设备的嵌入式云终端封装、接入、调用等技术， 并研究安全服务请求端接入安全云平台、访问和调用安全云平台中服务的技术， 包括： 支持参与安全云的底层终端物理设备智能嵌入式接入技术、云计算互接入技术等；云终端设备服务定义封装、、虚拟化技术及相应工具的开发；云请求端接入和访问云制造平台技术，以及支持平台用户使用安全云平台的技术；物联网实现技术等。

（3） 云服务综合管理技术

主要研究和支持云服务运营商对云端服务进行接入、、组织与聚合、管理与调度等综合管理操作， 包括： 云提供端资源和服务的接入管理， 如统一接口定义与管理、认证管理等；高效、动态的云服务组建、聚合、存储方法；高效能、智能化安全云服务搜索与动态匹配技术；安全云任务动态构建与部署、分解、资源服务协同调度优化配置方法；安全云服务提供模式及推广， 云用户（包括云提供端和云请求端） 管理、授权机制等。

3.系统实现

本文的主要研究内容包括如何利用蓝盾网络安全云防护平台基于利用云计算平台，在蓝盾现有的综合网络安全设备和系统的基础上，实现统一威胁管理云服务、统一终端管理云服务、以及统一策略管理云服务，体现云计算环境在网络安全，特别是在外网防御方面的优势。同时，本文利用了基于同态hash（homomorphic hashing）的数据持有性证明方法、虚拟网络随动审计、基于通用的认证和密钥管理框架、可证明安全的高效认证密钥协商协议、自主可控的细粒度云数据共享访问控制等手段来保护用户的隐私和数据安全，消除用户对于云计算的疑虑，保障云平台的稳定运行。

蓝盾网络安全云防护平台架构包括有网络安全基础设施层IaaS （Security Infrastructure as a Service）、网络安全应用平台层PaaS （Security Platform as a Service），以及网络安全服务层SaaS （Security Software as a Service）。其中：

网络安全基础设施层IaaS提供基础的存储资源和计算资源，通过开源Xen云计算虚拟基础设施系统构造云基础设施层，实现硬件资源的虚拟化，并且以虚拟机为基础单位对资源进行分配、调度和管理等。Xen虚拟化了基础设施资源，实现了基础设施资源的网络化交付。

在IaaS的基础上，通过设计相应的服务接口，实现基础和共，构造网络安全应用平台层PaaS。PaaS基于开源的Hadoop云计算应用平台，分别提供HDFS分布式存储以及Map/Reduce并行计算的支持，为各个创新软件/服务的共性需求提供支持，包括海量数据存储和备份、海量安全信息的采集、分析和监控、协同防御的基本实现。

在PaaS的基础上，通过Web Service接口，以网络服务的形式提供各类直接面向应用的软件服务，包括云网站防护、云风险评估、云审计和云防火墙等等软件服务。

图1 蓝盾云安全平台架构

（1）网络安全基础设施层

网络安全基础设施层IaaS提供基础的存储资源和计算资源，通过Xen云计算虚拟基础设施系统构造云基础设施层，实现硬件资源的虚拟化，并且以虚拟机为基础单位对资源进行分配、调度和管理等。Xen虚拟化了基础设施资源，实现了基础设施资源的网络化交付。

Xen是云虚拟化基础设施平台，该云虚拟化基础设施平成对硬件资源的虚拟化以及提供统一的平台对资源进行管理和访问。在设备中引入虚拟化的概念，使得一个物理设备可以虚拟化为多个设备。同时各个虚拟设备之间的环境有严格的隔离；本项目支持用户在任意位置、使用各种终端获取应用服务。用户请求的资源来自“云”，而不是固定的有形的实体。应用在“云”中某处运行，用户无需了解应用运行的具置。只需要一台笔记本或者一个手机，就可以通过网络来实现安全云服务。

图2 Xen应用体系

Xen实现了下列主要功能：①硬件资源的虚拟化。通过对硬件资源进行虚拟化， Xen能够在不同的硬件环境中虚拟出一致的环境和平台，以简化软件的研发和管理。②硬件资源的多租户共享和服务的安全隔离。Xen通过虚拟化，对硬件资源进行分割、隔离和共享，可以实现单一硬件上的多组用户共享，提升硬件资源的利用率。同时，虚拟化过程形成的严格隔离区域，为各个服务提供安全的运行区域。③资源的池化集约式管理。Xen对把硬件资源虚拟化后，形成一个统一的大资源池。Xen集中管理和分配硬件资源，最大化资源的利用率。④实现了集约式产品研发模式。传统的烟囱式研发需要从硬件平台开始进行产品研发。在整合Xen平台后，产品研发可以直接从产品的应用模块开始，而无需在考虑软硬件平台等问题。

（2）网络安全应用平台层

在网络安全应用平台层，通过Hadoop平台，为网络安全服务层提供多种共，例如网站安全云防护、云防火墙、云安全风险评估，云安全策略管理，云安全协同防御，云安全流量管理等。

4.结论

本文主要探索了云安全服务所需要的关键技术，在蓝盾现有的综合网络安全设备和系统的基础上，设计了三层云安全服务架构，实现统一威胁管理云服务、统一终端管理云服务、以及统一策略管理云服务，体现云计算环境在网络安全，特别是在外网防御方面的优势。

参考文献：

[1] 陈全，邓倩妮. 云计算及其关键技术[J].计算机应用，2009， 29（9）： 2562 -2567

[2] 李乔，郑啸.云计算研究现状综述[J].计算机科学，2011，38（4）：39-45

[3] 孙磊 ，戴紫珊.安全服务云框架研究[J].计算机应用， 2012，32（1）：13―15，41

[4] 俞能海，郝卓，徐甲甲，张卫明，张驰.云安全研究进展综述[J].电子学报，2013，41（2）：371-382