前言：中文期刊網精心挑選了云計算安全服務評估范文供你參考和學習，希望我們的參考范文能激發你的文章創作靈感，歡迎閱讀。
云計算安全服務評估范文1
〔關鍵詞〕云計算；虛擬化；負載均衡；動態遷移
DOI：10．3969／j．issn．1008－0821．2012．06．013
〔中圖分類號〕G25076 〔文獻標識碼〕A 〔文章編號〕1008－0821（2012）06－0051－04
云計算環境下，數字圖書館具有數據中心云基礎設施結構復雜、讀者云個性化閱讀應用服務質量要求高、數字圖書館建設與運營成本攀升、云操作系統與閱讀應用服務系統維護難度大的特點。
目前，部分數字圖書館試圖通過增加數據中心物理設備、利用虛擬化技術、壓縮圖書館建設與運營成本、增加網絡帶寬等方法，來解決云計算環境下讀者日益增長的閱讀服務需求與數字圖書館較低服務保障能力之間的矛盾。但是，隨著云計算環境下讀者云閱讀活動服務需求的高速增長，以及云圖書館閱讀、服務保障模式多樣化發展，這種讀者云閱讀應用需求與數字圖書館服務保障能力間的矛盾更加突出。只有將云基礎設施、云應用服務、云數據庫管理系統、云平臺與服務管理系統有效遷移到云計算環境，才能保證云圖書館安全、高效的運營管理與云閱讀服務，才能降低云圖書館建設、維護、管理、升級成本，為讀者提供安全、優質、經濟、可靠的云個性化閱讀應用服務［1］。
1 傳統數字圖書館云遷移的風險與要求
傳統數字圖書館云遷移主要有以下幾種方式。首先，數字圖書館可與云服務提供商簽署云應用服務協議，以租賃方式租用云服務提供商的云基礎設施物理平臺與云應用服務，并將傳統數字圖書館遷移到云服務提供商的云計算環境下，由云服務提供商負責云平臺與云應用服務的運營、管理和維護。其次，數字圖書館也可以建設私有云的方式，將傳統數字圖書館的管理、應用、服務與數據遷移到私有云平臺上，由數字圖書館負責云平臺的維護與讀者云閱讀應用服務。第三，還可采用公共云與私有云相結合的方法。可根據圖書館讀者云服務、云數據安全、運營效率、管理與經濟等方面的需求，將云應用服務、數據庫、管理與應用系統、安全防護系統遷移到公共云與私有云環境，實現投資收益最優化。
1.1 云遷移中存在的風險
云遷移中，云服務提供商的信譽度、云基礎設施與網絡拓撲結構科學性、綜合技術實力、云系統安全可靠性、企業經濟實力，是數字圖書館在選擇云服務提供商與云遷移環境時首先應考慮的問題。
云服務提供商云系統拓撲結構與基礎設施物理設備的安全、高效、可靠、合理性，以及在云資源與云服務供應、系統安全防護、云租戶管理、云操作系統與應用服務系統日常運營維護工作中，能否從圖書館讀者云閱讀服務需求和云應用服務能力建設出發，是決定云圖書館讀者云閱讀服務的安全性、效率、質量和經濟性的關鍵。同時，也關系到當云圖書館發生安全問題或者受到攻擊時，云服務提供商能否采取有效的運營維護、技術援助和賠償政策來降低故障影響，確保云閱讀應用服務安全、優質、可靠、不間斷。
其次，在云遷移過程中，會面臨來自互聯網的攻擊與威脅。同時，網絡自身的安全性、可靠性、數據傳輸質量與遷移成本，也是影響傳統數字圖書館云遷移有效性的重要因素。遷移活動所采用的遷移管理策略、安全防范措施、遷移內容與質量要求、遷移結果評估標準，是決定遷移有效性與遷移后云圖書館讀者服務保障力的關鍵因素。
第三，數字圖書館遷移到云計算環境后，與傳統數字圖書館系統可用性和讀者服務能力相比，是否具有較高的云系統結構科學性和安全可靠性，具有較高的讀者云閱讀服務效率和較低運營成本，能夠為云計算環境下讀者個性化云閱讀活動提供有效的云服務資源和管理策略保障，是保證讀者云閱讀活動安全、開放、自由、經濟的必要條件［2］。
1.2 云遷移的要求
1.2.1 應用服務程序云遷移的高效、易用性
云計算環境與傳統應用軟件環境相比，在操作系統、管理工具、網絡架構、存儲系統、虛擬機配置方式上有很大不同。數字圖書館應用服務程序遷移到云計算環境中，應保證具有較高的安全性、運行效率、可用性、可管理性和用戶服務功能，在云平臺上易于修改、擴展和補丁。此外，當云平臺運營或與第三方軟件同時運行時，應具備較強的兼容性和運行效率，能夠基于云系統結構特點與讀者服務需求而重新構造與升級，且用戶易于對修改、升級后的應用程序進行測試和評價，并利用評價結果進行修改和完善。第三，應結合云計算環境下數字圖書館云服務特點和讀者云閱讀需求，對擬遷移到云計算環境中的應用程序進行評估、判定、選擇和擴展，以讀者需求為依據按需遷移，確保應用程序云遷移的安全、效率、可靠、經濟［3］。
1.2.2 云遷移的風險評估與安全監控
為了提高傳統數字圖書館云遷移活動的安全可靠性，降低云遷移后應用系統面臨的安全威脅與運行效率下降風險，應對云服務提供商、云遷移方案與過程、遷移后云圖書館的安全性和效率，以及遷移活動的經濟性、可靠性、可控性、可操作性進行評估，并依據評估結果選擇合適的云服務供應商與云遷移方案。其次，應先將一些小規模、獨立性強、易管理、對數字圖書館整體服務性能影響小的應用與數據遷移到云端。通過對已遷移到云端項目的云計算、存儲、應用服務、可管理性等方面內容進行監測，并對監測結果進行收集、整理、分析、評估后，利用評估結果完善傳統數字圖書館云遷移的方案、內容、步驟與標準，提高云遷移的安全、可靠性。
云計算安全服務評估范文2
2010年3月云安全聯盟的研究報告《云計算主要安全威脅》[3]指出云計算服務的主要威脅主要包括：云計算服務的濫用和惡意使用、不安全的接口和應用程序編程接口(APIs)、惡意的內部攻擊者、共享技術的弱點、數據丟失與泄露和賬號與服務劫持等。微軟公司的《WindowsAzure安全筆記》[4]從審計與日志、認證、授權、部署管理、通信、加密、異常管理、輸入與數據驗證和敏感數據這9個方面分別論述了云計算服務的主要安全威脅。加州大學伯克利分校的研究人員在文獻[5]中認為云計算中安全方面的威脅主要有：可用性以及業務連續性、數據鎖定、數據的機密性和相關審計、大規模分布式系統的漏洞和相關性能的不可預知性等等。在文獻[6-8]中指出云計算中最重要的安全風險主要有：違反服務等級協議，云服務商提供足夠風險評估的能力，隱私數據的保護，虛擬化有關的風險，合約風險等。目前，云計算安全問題已得到越來越多的關注。著名的信息安全國際會議RSA2010將云計算安全列為焦點問題，通信學會理事會(CCS)從2009年起專門設置了一個關于云計算安全的研討會。許多企業組織、研究團體及標準化組織都已啟動了相關研究，安全廠商也已在研究和開發各類安全云計算產品[9]。
云計算服務模式下的移動互聯網是一種復雜的、面臨各種安全威脅的系統，因此必須研究和設計移動互聯網環境下的云計算安全技術來抵抗和防御這些安全威脅，云計算安全體系結構是其研究基礎和依據。許多研究人員和來自移動互聯網相關領域的企業對如何設計和開發云計算安全技術體系架構均展開了相關研究。微軟云計算平臺WindowsAzure是微軟于2008年在微軟開發者大會上的全新的云計算平臺，它基于平臺即服務(PaaS)的思想，向開發人員提供了一個在線的基于Windows系列產品的開發、儲存和服務代管等服務的環境。微軟公司的《WindowsAzure安全筆記》[4]從改進Web應用安全的角度出發提出了一個基于應用安全、網絡安全和主機安全概念化安全區域的云計算安全架構。其中應用安全關注應用審計與日志、認證、授權、應用部署管理、加密、異常管理、參數配置、敏感數據、會話管理和驗證等問題；網絡安全保障路由器、防火墻和交換機等的安全；主機安全所需要關注的相關問題則包括補丁和更新、服務、協議、記賬、文件與目錄、共享、端口、注冊登記和審計與日志等。
Bell實驗室的研究人員在文獻[10]中提出一種支持資源無縫集成至企業內部網的云計算安全體系架構VSITE，在保持資源的隔離性和安全性的同時允許云服務提供商拓展資源為多個企業提供服務。云計算服務商提供的資源對企業來說就像是內部資源，VSITE通過使用VPN、為不同的企業分配不同的VLAN以及運用MAC地址對企業進行身份編碼等技術手段來達到這個目標。VSITE體系架構由云服務中心、目錄服務器、云數據中心以及監控中心等相關的實體組成，其監控中心設計了安全機制以防止企業與企業之間的相互攻擊。VSITE具有可擴充性安全性以及高效性。亞馬遜彈性計算云(AmazonEC2)是一個Web服務，它提供可調整的云計算能力。文獻[11]中指出AmazonEC2使用了一個多級的安全體系架構包括主機的操作系統、操作系統的虛擬實例/客戶操作系統、防火墻和簽名的API調用等層次，目標是保護云端的數據不被未授權的系統和用戶攔截，使得AmazonEC2實例盡可能安全而又不會犧牲客戶按需配置的彈性。從服務模型的角度，云安全聯盟(CSA)提出了基于3種基本云服務的層次性及其依賴關系的安全參考模型[6]，并實現了從云服務模型到安全控制模型的映射。該模型的重要特點是供應商所在的等級越低，云服務用戶所要承擔的安全能力和管理職責就越多。
從安全協同的角度，JerichoForum從數據的物理位置、云相關技術和服務的所有關系狀態、應用資源和服務時的邊界狀態、云服務的運行和管理者4個影響安全協同的維度上分類16種可能的云計算形態[12]。不同的云計算形態具有不同的協同性、靈活性及其安全風險特征。云服務用戶則需要根據自身的不同業務和安全協同需求選擇最為合適的相關云計算形態。上述云安全體系結構雖然考慮了云計算平臺中主機系統層、網絡層以及Web應用層等各層次所存在的安全威脅，形成一種通用框架，但這種云安全體系架構沒有結合移動互聯網環境來研究云計算安全體系構建及相關技術。
移動互聯網環境下的通用云計算安全技術體系架構的設計目標有以下6個方面：確保移動互聯網下的不同用戶的數據安全和隱私保護確保云計算平臺虛擬化運行環境的安全依據不同的安全需求，提供定制化的安全服務對運行態的云計算平臺進行風險評估和安全監管確保云計算基礎設施安全、構建可信的云服務保障用戶私有數據的完整性和機密性的基礎
結合上述設計目標，考慮移動互聯網接入方式、企業運營方式和用戶安全需求的多樣性，文章設計了一個移動互聯網環境下的通用云計算安全技術體系架構（如圖1所示），它具有多層次、多級別、彈性、跨平臺和統一用戶接口等特點。與云計算架構中的軟件即服務(SaaS)、PaaS和基礎設施即服務(IaaS)3個層次相應，文章首先設計了云安全應用服務資源群，包括隱私數據保護、密文數據查詢、數據完整性驗證、安全事件預警和內容安全服務等云安全應用服務。針對云計算虛擬化的特點文章還設計了云安全基礎服務資源群包括虛擬機安全隔離、虛擬機安全監控、虛擬機安全遷移和虛擬機安全鏡像等云安全基礎服務，運用虛擬技術跨越了不同系統平臺（如不同的操作系統）。同時移動互聯網環境下的云計算安全技術體系架構中也包含云安全基礎設施。由于用戶安全需求方面存在著差異，云平臺應具備提供不同安全等級的云基礎設施服務的能力。
移動互聯網環境下的云計算安全技術體系架構中的云安全基礎設施的建設則可以參考移動通信網絡和互聯網絡中云安全基礎設施已有的相關建設經驗。移動互聯網環境下的云計算安全技術體系架構還包含一個統一的云安全管理平臺，該平臺包含用戶管理、密鑰管理、授權認證、防火墻、反病毒、安全日志、預警機制和審計管理等子系統。云安全管理平臺縱貫云安全應用服務、云安全平臺服務和云安全基礎設施服務所有層次，對包含不同安全域和具有多個安全級別的整個系統的運維安全情況進行了跨安全域、跨安全級別的一系列綜合管理。體系架構考慮了移動互聯網環境下云用戶的各種接入方式如2G/3G/4G、Wi-Fi和WiMax等，具有統一的云安全應用服務接口，并提供手機多媒體服務、手機電子郵件、手機支付、網頁瀏覽和移動搜索等服務，同時還可以提供隱私數據保護、密文數據查詢、數據完整性驗證、安全事件預警和內容安全等用戶可以直接定制的安全服務。
同時，體系架構還考慮了整個系統參照云安全標準及測評體系的合規性檢查。云服務商提供的應用軟件在部署前必須由第三方可信測評機構系統地測試和評估，以確定其在移動互聯網云環境下的安全風險并設立其信任等級，云應用服務提供商不可自行設定服務的信任等級，云用戶就可能預先避免因定制未經第三方可信測評機構評估的安全云應用服務而帶來的損失。云應用服務安全等級的測試和評估也給云服務提供商帶來準入規范，迫使云服務提供商提高云服務的服務質量以及安全意識。
對用戶而言，多用戶私有資源的遠程集中式管理與計算環境的開放性之間構成了尖銳的矛盾，主要表現為：用戶資源的私有性和機密性要求其應用環境相對固定和穩定，而計算環境的開放性則會使私有數據面對來自多方的安全威脅?？梢哉f，云服務提供商與用戶之間的信任問題是云計算能否推廣的關鍵，而數據的安全和隱私保護是云計算安全中極其重要的問題。解決該問題的關鍵技術涉及支持密文存儲的密文查詢、數據完整性驗證、多租戶環境下的隱私保護方法等。
云計算平臺要統一調度、部署計算資源，實施硬件資源和虛擬資源的安全管理和訪問控制，因此，確保虛擬化運行環境的安全是云計算安全的關鍵。在此安全體系之下，結合虛擬化技術，平臺必須提供虛擬機安全監控、虛擬機安全遷移、虛擬機安全隔離以及虛擬機安全鏡像等核心基礎服務。各種服務模式的虛擬機都存在隔離問題引起的安全風險，這包括：內存的越界訪問，不同安全域的虛擬機控制和管理，虛擬機之間的協同工作的權限控制等。如果云計算平臺無法實現不同（也可能相同）云用戶租用的不同虛擬機之間的有效隔離，那么云服務商則會無法說服云用戶相信自己提供的服務是非常安全的。用戶定制的各種云服務由虛擬機中運行相關軟件來實現，因此存在虛擬機中運行的相關軟件是否按用戶需求運行的風險問題，例如運行的環境的安全級別是否符合需求和運行的流程是否異常等；虛擬機運行的預警機制與安全審計問題包括安全策略管理、系統日志管理和審計策略管理等。
云計算安全服務評估范文3
（一）對云服務提供商依賴性強企業在采用云服務（包括共有云、私有云和混合云）之后，云服務提供商會針對云技術使用者采用專用工具編寫軟件，并在特定的解決方案架構上運行，數據存儲的結構等也與專用服務軟件或架構等相適應，而企業經營管理過程中使用的其他相關軟件中數據的存儲結構等不一定與云技術中軟件的數據存儲結構一致，當企業需要將云端獲取的數據與其他數據相結合進行加工時，必然使云解決方案中的軟硬件及數據結構不便與其他軟件等兼容。此外，云服務使用企業選定了云服務提供商之后，由于云服務提供商掌控著企業所需的軟硬件及相關資源，并且云技術使用企業建立的組織機構與相關業務流程等也是在云解決方案的基礎上進行的，企業更換云服務提供商的成本會非常高。因此，云技術使用者一旦選定了云技術服務，便對云服務提供商產生了一定的依賴性，這種依賴性越強，云服務使用者更換云服務提供商的可能性就越低，成本與風險就越高。
（二）企業對于云技術系統中的數據等資源缺乏主控能力一方面，多租戶云環境的本質決定了云數據存儲會存在“地點盲區”，即如果云服務使用企業的數據是存放在私有云之外的云端，那么企業無法獲取數據的現存地點或者是曾經存放的地點。另一方面，企業在采用云技術服務時，數據都是存儲在不受企業自身直接控制的外部硬件上，而硬件都是云服務提供商控制的。因此無論云服務使用者采用哪種具體的云解決方案，他們可能都無法獲取或檢查系統的網絡運行和安全事件日志。這些都使得企業對于云技術系統中的數據等資源缺乏主控能力，存在不同程度的風險。
（三）云技術系統中的數據安全性面臨極大挑戰在云計算技術環境下，雖然企業可以隨時憑借密碼等方式查詢相關數據，但是卻無法直接有效地確認數據有沒有被損壞、刪除或修改，或者有沒有被云服務提供商從一個服務器遷移到另一個服務器上。此外，在共有云與混合云的部署方式下，為了滿足多租戶應用操作的需求，各租戶的敏感信息一般都是以明文的形式儲存在云端，非完全可信的云服務提供商可能會監守自盜，租戶的敏感數據面臨極大的泄露風險。同時，當存儲于同一云端的多用戶數據中的其中任何一個用戶的敏感數據成為黑客攻擊對象時，云服務使用企業的數據極有可能會面臨連帶的泄露風險。
二、基于云計算的風險導向審計模式下的審計風險辨析
風險導向審計的基本思路是以審計風險的分析評估為基礎制定審計程序，確定會計資料的審點和抽樣規模，以驗證財務報表是否真實公允。其最大的特點便是審計所面臨的風險是注冊會計師決策編制審計程序的依據，注冊會計師通過對審計風險的量化和控制確定審計證據的充分性和適當性。因此，審計風險分析是風險導向審計實施的重要前提和保證。
（一）傳統風險導向審計模式下的審計風險辨析在風險導向審計的理念下，審計風險主要來源于幾個方面。首先，審計風險會受到企業的固有風險因素的影響，即被審計單位經營過程中所固有的風險，比如管理人員的品行和能力、企業所處社會經濟環境等導致的風險。其次，審計風險受到內部控制風險因素的影響，即賬戶余額或各類交易存在錯誤，但內部控制未能控制或發現而存在的風險。第三，審計風險受到注冊會計師實施審計程序而仍未能發現賬戶余額或各類交易存在錯報風險的影響。
（二）基于云計算的風險導向審計模式下的審計風險辨析如上所述，接受云技術服務的企業所面臨的風險產生了巨大的變化，審計對象相關風險的變化必將影響到注冊會計師的審計風險。因此，作為審計人員應該能夠識別云計算給企業帶來的風險演化為審計風險的可能性，辨識不確定性因素以及隱藏其中的風險，在評估風險時采取針對性的措施。1.在評估審計風險時，應擴大固有風險評估的范圍在云計算的商業應用中，除了部分的私有云之外，其他絕大多數云解決方案都使得企業對云解決方案中涉及的軟硬件以及數據缺乏直接的管控。因此，在評估審計風險的固有風險時，除了要針對傳統的固有風險的影響因素進行評估之外，必須要將云技術服務引發的風險作為評估的固有風險之一。首先，對企業所采用的云服務交付模式進行風險評估。一般來講，企業采用的云服務模式不同，其自身的控制權就不同，從而企業的固有風險也不同，它們之間的關系如圖1所示。在基于私有云的IaaS模式下，企業自身保留的控制程度相對較高，其固有風險相對較小。反之，在基于公共云的SaaS模式下，企業自身的控制程度較低，從而其固有風險較高。因此，注冊會計師在對企業的固有風險進行評估時，需要對企業采用的云服務交付模式進行風險評估，確定固有風險。其次，增加對簽約云服務提供商以及共同租戶的風險評估。一是要對簽約云服務提供商可能引發的對企業的連帶風險進行評估，包括簽約云服務提供商對云技術的掌控程度、其控制環境的穩定性、對數據存儲控制的安全性和合規性等方面。二是要對處于同一云計算技術系統中的其他租戶隱含的可能會關聯本企業的風險進行評估，包括其他租戶云技術使用的穩定性、敏感數據被攻擊的可能性等。第三，對采用云技術服務的企業管理人員及相關人員的云技術相關知識與能力進行風險評估。企業管理人員及相關人員在整個云計算技術的營運過程中起著關鍵性的主導作用，如果企業管理人員及相關實施人員對云技術毫無所知或者對云技術的使用非常抵觸，那么云技術使用企業的固有風險必然隨之增加。因此，在評估采用云技術服務企業的固有風險時，應增加對管理人員評估的內容，采取問卷調查法、座談法等對管理人員及相關實施人員對采用云計算技術的態度以及對云技術相關知識的掌握，尤其是云技術產生的風險及對風險的識別與控制能力進行詳細了解，確定其人員方面的固有風險。2.對被審計單位基于云計算環境的內部控制風險進行評估筆者認為，云技術的使用會影響到注冊會計師在對被審計單位內部控制風險的評估，包括內部控制環境、風險評估、控制活動、信息溝通和監督五個方面。（1）云技術的使用使得企業的內部控制環境發生了變化。傳統的內部控制環境風險評估一般包括對員工職業道德和勝任能力、董事會及監事會的參與、管理理念與經營作風、組織機構、權力和責任的規定等方面的評估，企業采用云技術之后，注冊會計師評估被審計單位的內部控制環境時需要增加對云技術應用引起的內部控制環境新變化可能帶來的風險進行評估。一是應增加對員工在云技術應用與風險控制方面的勝任能力的風險評估；二是增加對云技術應用引起的組織機構變化方面的風險評估，比如企業不需要單獨的IT部門與相關的運行軟硬件，數據計算與存儲的軟硬件以及數據集中在云端由云服務提供商進行維護、管理；三是權力和責任的規定方面應增加對企業與云服務提供商之間在云服務協議中規定的各種權力和責任可能引起的風險進行評估。（2）注冊會計師應針對云計算環境下企業對內部控制的風險評估進行再評估。風險評估即確定什么地方可能出錯，會有什么影響。通常認為風險來自經營環境的變化、采用新的信息系統、新技術的應用等。云計算技術的應用帶來了企業經營環境的重大變化，并且對企業的組織機構設置、業務流程、人員的權責分工等多個方面都產生了深刻的影響。因此，注冊會計師應合理評估企業在采用云計算新技術后有無合理針對云計算技術帶來的變化進行有效的內部控制，并基于云技術風險對這些內部控制措施的全面性、有效性等進行風險評估。（3）在控制活動方面，應增加對企業針對云技術應用引起的風險所采取的措施和行動方面的風險評估。包括針對云技術應用加強人員對于云技術知識的培訓與風險識別能力的培訓；針對云技術應用的新模式重組業務流程以控制云技術應用流程中可能存在的風險；對于存儲在云端的數據有合理有效的保密、安全措施；與云服務提供商之間責權明確，能有效控制云服務提供商對本企業數據計算與存儲的安全。（4）加強對企業人員與云技術服務提供商之間的信息溝通的風險評估。在云計算環境下，企業所處的信息化環境有別于傳統的信息化環境，即企業的軟硬件以及數據都存儲在云系統中，由云技術服務提供商管理，因此，企業人員能夠及時與云技術服務提供商進行有效的信息溝通，并將獲取的信息及時與企業內部其他部門和人員進行溝通將是影響云技術應用企業內部控制風險的一個重要因素，從而注冊會計師能否正確評估被審計單位在云技術服務過程中的信息溝通風險成為影響審計風險評估的重要因素。（5）加強對企業云計算環境下內部控制監督措施的風險評估。采用云技術服務的企業由于其對云技術服務商的依賴以及云計算技術自身存在諸多潛在的不易發現的風險，企業對云計算環境下的內部控制措施的有效監督是內部控制實施的必要條件，是影響內部控制風險的重要因素。因此，注冊會計師必須對企業云計算環境下內部控制監督措施的合理性、有效性進行風險評估。包括企業對基于云計算技術應用風險的內部控制有沒有合理有效的監督措施，這些措施是否得到有效實施。3.對被審計單位在云計算環境下實施的審計程序進行風險評估審計程序是指注冊會計師在審計工作中可能采用的，用以獲取充分、適當的審計證據從而用以發表恰當的審計意見的程序，而云計算技術的應用使得傳統的審計程序無法充分、適當地在云計算環境中獲取審計證據。因此，在云計算環境下，注冊會計師能否針對云技術實施有效的審計程序，以及從云技術服務提供商的云系統中獲取充分、適當的審計證據是影響審計風險的新生因素。注冊會計師必須針對云計算應用技術構建或是改進審計程序：一是基于云技術調整審計程序的具體實施步驟；二是針對云計算技術環境改進審計程序中的個別環節，比如內部控制測評、運用審計方法獲取審計證據、實質性測試所需的審計技術與方法等。
三、結束語
云計算安全服務評估范文4
關鍵詞 云計算；數據；安全保護；技術
中圖分類號：TP393 文獻標識碼：A 文章編號：1671-7597（2014）07-0066-01
根據用戶的服務請求，云計算對數據實施相關操作，所以用戶與云端之間的身份認證時確保數據安全的基礎。由于云用戶數量龐大，對用戶身份的合理、安全、高效的確認稱為服務商遇到的難題。在用戶身份得到確認以后，即可對云提供的數據及計算服務進行應用。雖然云服務商的技術與維護水平較高，但是仍然對數據發生的意外損壞難以避免。從本質上來說，云計算中的安全問題其實就是服務方與數據所有方之間的信任管理問題，云服務商與用戶之間需要一種數據約束，通過技術與信譽共同促進數據的安全。
1 云計算概述
所謂云計算，其實是一個發展中的概念，對云計算也存在多種解釋，尚無一個確定的定義。整體而言，云計算是一種將虛擬化的資源通過網絡以服務的形式提供給用戶的計算模式，用戶對云計算只有使用的權利，沒有管理的權利。云計算主要的特點包含：1）寬帶接入。將軟件、硬件等資源通過網絡以服務形式提供給用戶。2）動態服務模式。按照用戶需求對云中的資源進行配置與擴展，使資源更具擴展性，提高了資源的利用率。3）虛擬化共享資源。資源在云中以共享的形式存在，實現虛擬化共享。4）按照需求控制資源使用。用戶在對云中的資源進行使用時，按照實際使用量付費，不需要對其它空閑資源付費。云計算在部署方式上包含私有云、社區云、公有云及混合云的形式。常用的形式為私有云與公有云之間的關系，如圖1所示。
圖1 幾種云計算的部署
2 云計算面臨的數據安全威脅
因為云計算系統規模比較大，包含諸多用戶的隱私數據，切具有復雜性與開放性，其安全性方面也面臨著前所未有的挑戰。其安全威脅主要表現在以下幾個方面：1）數據泄露和丟失。在云計算中，對數據的安全控制能力并不高，缺乏安全管理機制，容易造成數據泄露，不管是國家重要數據，還是個人隱私數據，一旦泄露或丟失，都會造成嚴重后果。2）共享技術漏洞。由于云計算是一個數據共享中心，共享的程度越高，受到攻擊的點也就越多。3）身份認證機制薄弱。云中集中了大量的應用、數據及資源，如果身份認證機制安全性不高，入侵者很容易就能獲取用戶賬號，并登陸用戶虛擬機，實施破壞。4）供應商可靠性難以評估?？煽康姆展淌潜苊庑畔⒈桓`取的有效保證，但是對供應商的可靠性評估存在一定難度。5）應用程序接口不安全。由于云計算應用程序是一個復雜的系統，難以保證其安全性，部分接口或許已經被攻擊程序占據，一旦用戶從該接口進入，就會引發安全問題。6）云計算的錯誤運行。在技術應用方面，或許黑客比技術人員的進步更快，通過非法身份進入后實施破壞。7）未知風險。由于云計算服務是透明的，用戶只能在Web前端交互界面進行使用，對供應商采用的平臺或安全機制完全不了解，對其是否履行服務協議也難以確認。以上七個方面是根據云計算自身的特點引發的安全威脅。
3 云計算數據安全保護技術
3.1 身份認證技術
云計算中，存在不同服務供應商，用戶的選擇余地非常大，在多種服務形式面前，用戶很有可能出現遺忘或混淆。為了提供良好的用戶體驗，在云計算認證中，提供了單點登錄、聯合身份認證、PKI等認證技術。1）單點登錄。是將身份信息安全的傳遞給云服務的能力。允許將本地身份信息管理系統提供其他系統認證，用戶只需要使用一次注冊和登錄，不需要對每一個云服務都注冊與登錄，有效的減輕了用戶的負擔。典型的單點登錄協議OpenID，是谷歌云服務商提供的單點登錄技術。2）聯合身份認證。是對不同的服務商身份信息庫之間建立關聯。用戶在使用時登錄一次，即可對多個云平臺進行訪問，省去了多個云平臺登錄的麻煩。該技術是在單點登錄技術基礎上實現的。
3.2 靜態存儲數據保護技術
存儲服務是云提供的一種服務形式，是一種基礎存儲形式，在分布式與虛擬化計算域存儲技術上，將多個存儲介質進行整合后形成大的存儲資源池，將數據分配、硬件配置等向用戶屏蔽掉。用戶對存儲資源進行租用，并能進行遠程訪問。在存儲中，數據以靜態方式存儲，數據的機密性、隱私性、安全性、完整性等都是用戶關注的安全問題，同時也是云存儲安全技術重點研究的內容。一般采取對用戶數據進行加密的方式保證數據的保密性；在數據隱私性方面，云服務商除了檢索結果外，對其他的數據內容無法獲取，保證不能通過對數據內容進行分析獲取用戶的隱私。用戶需要與服務商簽訂協議，一旦出現數據泄露或損壞，可以對問題進行問責。
3.3 動態數據隔離保護技術
對動態數據進行保護主要采用密文處理技術。首先，隔離機制，采用沙箱機制對云應用進行隔離，通過先知系統中應用程序的權限，降低環境對數據的干擾與破壞。其次，訪問控制模型機制。云計算系統中，訪問控制是基本安全機制之一，通過權限管理實現對數據資源的保護，防止非授權訪問。由于云計算系統具有異構性、開放性及動態性，在保護數據過程中，需要考慮不同的安全策略、參與者及使用模式等。
4 可信云計算保護技術
在云計算環境中，融入可信計算技術，服務商通過可以信賴的方式為用戶提供云服務，這樣用戶與云服務商之間就會建立起信任關系。當前，這也是云計算安全領域中的一個重要研究方向?？尚庞嬎憬M織的目的是在計算與通信系統中使用硬件安全模塊條件下的可信計算平臺。從一個初始可信根出發，通過信息的擴展信任邊界保證系統的可信?？尚庞嬎闫脚_的構建如圖2所示。由于云計算是在虛擬環境下完成的，那么虛擬環境的安全是可信計算平臺安全的基礎，提高虛擬環境的可信性主要從以下幾方面進行：1）虛擬機監控器安全設計。2）虛擬機監控器保護機制。3）虛擬化環境軟件隔離機制。
圖2 可信計算平臺信任鏈構建圖
5 結束語
本文主要從云計算認證方案，靜態、動態數據保護技術及可信云計算平臺構建幾個方面對云計算數據安全保護技術進行分析。為了提高云計算數據的安全性，還需要根據網絡信息技術的發展，不斷完善各種安全保護技術。
云計算安全服務評估范文5
美國市場研究公司評選出2Ol1年對多數組織最具戰略意義的十大技術和趨勢，云計算居首?？梢?，云計算正是最符合條件的戰略技術，是時展的必然趨勢。戴爾數據中心解決方案部門在最近戴爾邁向云計算之旅的演講中形容云計算的熱度時這樣說：“有人認為云計算無所不能，甚至能夠解決全球的饑餓問題?！焙翢o疑問，云計算已經成為IT業的主旋律：無論是亞馬遜、Google，還是IBM、微軟幾乎都異口同聲的將“云”定為未來的發展重心。
2010年可以稱為“中國的云計算落地之年”，20l1年云計算在各個行業的各種應用已經開始嶄露頭角。各種嶄新的云計算應用概念也被提出來，比如智慧城市、虛擬化、公共云、私有云，云存儲。特別是伴隨著八百客、用友偉庫等云計算廠商的興起，更是讓云計算變得炙手可熱。
云計算的優勢與劣勢
1云計算的優勢
(1)實現數據的安全可靠。云計算提供了相對安全可靠的數據存儲中心，嚴格的管理權限策略可以幫助用戶與指定群體共享數據，用戶不必擔心數據丟失、個人信息外泄、病毒入侵等問題。
(2)用戶端需求低。云計算對于用戶端的設備要求很低，所有可以聯入互聯網的設備，包括計算機、平板電腦、智能手機等設備均可以訪問云端，共享資源。
(3)有助于追蹤評估安全系統成效。云計算具有極強的彈性，可以靈活按照用戶的需求增減安全功能。對于公司和組織而言，這樣即減少了安全功能投入的資金，又可以應付各類型的威脅。
(4)促進市場競爭。云計算有助信息安全服務市場的蓬勃發展，其靈活性讓商家可以按照市場及客戶的實際需求配置信息服務供應架構，降低了安全服務的市場門檻，使得更多商家可以參與其中。
2云計算的劣勢
云計算安全服務評估范文6
關鍵詞：云計算 網絡安全 威脅 應對策略
中圖分類號：TP393.08 文獻標識碼：A 文章編號：1007-9416（2016）12-0211-02
近年來，隨著社會經濟的快速發展，科學技術水平較之前有了很大的進步和提高，云計算技術被廣泛的應用在社會生產和生活的方方面面，并在其中發揮了很大的作用，不僅方便了人們的生活，并且在很大程度上推動了社會的發展和時代的進步。
1 云計算網絡威脅
1.1 服務性攻擊的拒絕
服務器運行過程中如果出現服務停止、主機死機的現象，出現這些現象的原因很大一部分與攻擊者將相關拒絕服務的指令發送給服務器有關。若服務器受攻擊者的訪問請求過多，則極易導致網絡消耗的過大，進而使得服務器內部所能夠繼續緩沖的空間越來越小。
1.2 對端口進行掃描
網絡攻擊者在攻擊網絡時往往會采用掃描端口的形式，借助服務器中相關端口的應用，掃描時通過對端口進行消息的輸入與輸出，以此根據信息的反饋將隱藏在其中的弱點準確的找出來，然后對網絡進行集中式的攻擊。
1.3 對網絡進行嗅探
所謂的對網絡進行嗅探原本是管理網絡的相關人員采用的一種對網絡性能進行維護、監測以及管理的帶有強烈管理性質的工具。然而，網絡攻擊者同樣也可以借助這一工具攻擊服務器，進而導致網路服務器出現崩壞、癱瘓的現象。
1.4 注入一定的SQL
SQL其實是一種對數據進行訪問和處理的標準性計算機語言。網絡攻擊者通過科學的分析服務器中的SQL安全漏洞，然后注入一定的SQL，便可以攻擊其他的網絡服務器。攻擊者在一般情況下如果想要實現對服務器訪問權的獲取，便會將相關的SQL代碼輸入到網絡表格框中，進而實現對以Web界面為主的網站的操作，然后使服務器數據庫進行錯誤代碼的運行，從而幫助攻擊者獲取到所需要的信息。
1.5 對中間人進行攻擊
攻擊中間人其實是攔截正常網絡的各種通信數據信息，然后完成信心的竊取或者篡改。同時，在這其中通信雙方并不知道網絡信息被攻擊者竊取或者篡改過，總的來說這是一種隱匿性極強的攻擊方式。
1.6 對跨站腳本進行攻擊
當網絡中存在一定的漏洞r，網絡攻擊者便可以攻擊跨站腳本進而利用網絡漏洞，在用戶在瀏覽相關網站的同時，實現對網頁的篡改或將非法的代碼輸入到網頁鏈接中，制定用戶轉移到非法的頁面當中，以此來將一些重要的個人資料、信息竊取過來。
2 云計算安全威脅
2.1 XML簽名包裝
所謂的XML簽名包裝主要是漏洞攻擊的一種，其本身可以實現對服務器中的組件名或屬性進行保護，避免受到任何的攻擊。但是基于其本身具備特殊的性質，在相關公文當中不能對實現自身文職的隱藏，因此極易在簡單訪問對象的協議中受到網絡攻擊者對相關內容和組件的攻擊。
2.2 網絡黑客的破壞
網絡黑客主要是指那些具備超高計算機水平，通過利用電腦系統本身的漏洞對系統正常的工作進行干擾，或者識別竊取用戶重要資料的電腦高手。隨著科學技術的日益發展，現如今的黑客數量眾多，甚至還有專門的團隊組織，能夠他人和政府的網站公然入侵，擾亂社會的正常運作，嚴重威脅著整個社會的安定團結。
2.3 網絡病毒的入侵
所謂的網絡病毒與普通病毒之間存在著本質的區別，主要是一些通過計算機程序插入一定破壞計算機正常功能、影響其正常使用或者運行的代碼、指令等。系統、腳本等網絡病毒本身具備極大的破壞力，對于計算機危害更大，一旦入侵便會直接導致計算機處于癱瘓狀態，還會損失數據資料和一些重要文件。
2.4 洪流攻擊
將大量的資源提供給用戶是使用云系統平臺的關鍵優勢之一，云平臺規模的大小在一定程度上取決于訪客量的多少，并且客戶所需要的各種需求都是通過服務模式的不斷產生和更新實現的。當云平臺服務器在受到攻擊者入侵時，便會將眾多無實質意義的服務性請求發送至位于中央的服務器中，待服務器接受到相關請求后，由于過度的使用資源會造成不能將正常的服務提供給用戶。
2.5 瀏覽器的安全性
如果用戶在向位于云端的服務器發送相關服務請求的過程中，所使用的是Web瀏覽器，則用戶的身份需要進行一定的驗證，通常情況下服務器會采用SSL加密授權的形式。同時，用戶在發送相關的請求的過程中不可避免的存在著第三者，基于SSL可以實現點與點之間的通信，攻擊者便可以將用戶保存在云端服務器中的各種信息借助一定的SSL 竊取過來，然后使自身成為合法的用戶。
2.6 保護和刪除數據
保護用戶在云計算當中的各種信息是保障云計算安全的重要問題之一，但是用戶往往會將自己一些重要的個人信息在網絡云盤中保存下來，管理人員在日常維護網絡云盤的過程中一不小心便會泄露用戶的重要信息，進而造成不可想象的損失。另外，用戶在刪除一些數據資料時刪除不徹底的情況時常發生，從而導致一些重要數據信息的泄露。
3 應對云計算的網絡安全威脅的重要策略
3.1 在計算機軟件中應用一定的數據加密技術
近年來隨著現代化信息技術的不斷發展，云計算網絡技術逐漸應用到更多的領域中，各種與之相關的計算機軟件也得到了一定的開發和利用，與此同時在很大程度上也給電腦黑客與病毒的侵入以可乘之機，借助這些軟件將用戶的數據資料竊取過來，這已經嚴重影響和威脅著用戶的正常使用。因此，在云計算軟件中運用一定的數據加密技術非常有必要。一方面，加密技術的應用可以相關的計算機軟件進行一定的加密處理，能夠最大限度的保證用戶各項數據信息的安全，防止泄露；另一方面，通過借助一定的預警系統可以及時的反饋即將出現的網絡安全問題，幫助用戶事先做好防范處理的各種工作。另外，用戶自身還可以定期對計算機系統進行安全檢查，極大的保證各種軟件，及時的處理潛在的病毒，從而有助于實現對信息的維護，保障信息安全。
3.2 建立完善的云計算安全管理機制
云計算是在傳統技術的基礎上逐漸發展起來的，其本身擁有的強大的技術力量支持，如備份、訪問管理、虛擬、數據加密、身份認證以及入侵檢測等一系列技術支持。同時這些技術在實際應用過程中受到大多數人的普遍重視，在常規應用中可以為應用的安全使用提供重要的保障。但是，基于云計算本身的開放性和復雜性，若將這些全部應用其中來保障應用的安全是一件非常困難的事情，不僅需要相關供應商提供強大的技術標準來支撐，并且還需要在技術層面實現對風險的有效控制。
3.3 促進云計算相關標準的進一步有效完善
所謂的標準化主要包括各項服務、不同云計算供應商之間對資源的操作、資源的遷移和協議時相關接口的標準、協議、格式等。因此，促進計算機相關標準的進一步完善需要政府和相關權威機構的努力，保證各項數據和應用程序都能在不同供應商之間進行移植，進而將最優質的服務提供給廣大的用戶。
3.4 科學的評估第三方機構的管理
現如今，企業在對云計算供應商進行選擇的過程中，供應商對于相關細節方面如運營的具體方式、技術的使用和服務器的位置等并不會仔細的說明，使得用戶在選擇上面具有很大的盲目性。由于供應商并不會制定一個特定的標準以方面用戶進行參考，單純的依賴彼此之間的商量，往往會導致用戶很被動，問題一旦出現，受傷害的永遠是用戶。但是，對第三方機構管理進行科學的評估在很大程度上可以保障云計算能夠進行順利的推廣，通過對供應商所提供的實時評估，可以及時的找出潛伏在其中的各種安全隱患，用戶可以以此作為重要的參考，實現對來自供應商各方面風險的有效控制。
4 結語
伴隨著現代信息技術的不斷發展，云計算得到了普及化的發展，普遍應用在社會的諸多領域中，極大地便利了用戶的日常生活，有效的推動了社會的發展和時代的進步。面對當今日益復雜的網絡環境，云計算在使用過程中受到的網絡安全威脅越來越多。本文在綜合分析網絡安全威脅的基礎上，從在計算機軟件中應用一定的數據加密技術、建立完善的云計算安全管理機制、科學的評估第三方機構的管理以及科學的評估第三方機構的管理等方面提出了應對云計算的W絡安全威脅的重要策略。
參考文獻
[1]崔學海.云計算框架下的網絡安全威脅與應對策略[J].內江科技，2014（02）：116-117.
[2]苗玉霞.談云計算的網絡安全威脅與應對策略[J].信息通信，2015（05）：136.