国际创新研究期刊》的研究在科学、工程和技术
菜单ISSN在线(2319 - 8753)打印(2347 - 6710)
ISSN在线(2319 - 8753)打印(2347 - 6710)
女士Sugandha Nandedkar, Ms.Sangeeta Kakarwal
|
| 相关文章Pubmed,谷歌学者 |
访问更多的相关文章国际创新研究期刊》的研究在科学、工程和技术
云计算是一种计算依赖于共享计算资源而不是本地服务器或个人设备来处理应用程序。云计算提供了重要的成本有效的IT资源成本需求,基于客户的实际使用。尽管这个云计算也造成重大变化的脆弱性的因素。因此搬到云基础设施,它可能改变攻击者的访问级别和动机,以及努力和事实必须被认为是未来工作的风险。但是,支持一个特定于云的风险评估,似乎最赚钱的开始通过检查特定于云计算的漏洞的确切性质,。本文更关注于特定于云的漏洞。以及将一些纠正措施我们可以遵循的安全处理。
关键字 |
| 云计算、灾难恢复、安全漏洞 |
介绍 |
| 云计算是一种计算依赖于共享计算资源而不是本地服务器或个人设备来处理应用程序。在云计算,云这个词被用作比喻为“互联网”这个词云计算意味着“一种基于互联网的计算,”,不同的服务,如服务器、存储和应用程序——交付给一个组织的计算机和设备通过互联网[1]。在云计算系统中,有一个重要的工作负载转移。本地电脑不再需要做所有的重担时,运行应用程序。的计算机网络组成的云处理他们。硬件和软件要求用户的减少。用户的计算机唯一需要能够运行是应有尽有的云计算系统软件,可以简单的Web浏览器,和云的网络负责其余部分。CC最简单的例子是一个基于web的电子邮件服务的电子邮件帐户Hotmail, Yahoo !邮件或GmailHere而不是在你的电脑上运行一个电子邮件程序,你登录到远程网络的电子邮件帐户。软件和存储你的账户不存在在你的电脑上,在服务的计算机云[2]。 |
| 云是两种类型:1)社区云2)公共云 |
| 社区云:社区云共享基础设施之间的几个组织从一个特定的社区共同关注,无论是内部管理或由第三方托管内部或外部。用户的成本分布在少于公共云(但比私人的)来实现其成本节约潜力。 |
| 公共云:建立公共云几个组织也有类似的需求,寻求共享基础设施设备。此外,它可以在经济上有吸引力的资源(存储、工作站)利用和共享社区中已经利用。这是云计算模型,计算资源服务提供者使他们的网上。它允许用户访问各种重要资源云,如:软件、应用程序或存储数据。使用公共云的主要好处是,用户是解放执行某些重要的任务在他们的计算机,他们不能离开,否则,这些包括:资源的安装,配置;和存储。 |
| 云的两大条件:1)灾难恢复2)安全 |
| 答:灾难恢复 |
| 云计算是一种理想的灾难恢复解决方案。与任何灾难恢复解决方案业务我们应该现场和离线备份。甚至我们可以保持冗余副本的数据。大多数的公司提供云计算解决方案,在大多数情况下会有至少3数据中心网站养殖所以数据不是100%在一个站点位置,而是反映2其他网站冗余,然后这些网站是单独备份。 |
| b .安全 |
| 看着与云计算相关的安全问题,最大的问题大多数都与云计算会安全吗?不幸的是答案是“不”。原因是云计算是基于机械的一切,尽管它似乎虚拟。数据的安全只是一样安全个人的意愿和决心,想要[1],[2],[3]。 |
特定于云计算的漏洞 |
| 据Open Group的风险分类法、脆弱性的概率是一个资产将无法抵抗威胁代理人的行为。脆弱性存在时是有区别的力被威胁应用代理,和一个对象的能力抵抗的力量。云计算会导致很严重的脆弱性的变化因素。当然,搬到一个云基础设施可能会改变攻击者的访问级别和动机,以及努力和事实必须被认为是未来工作的风险。但是,支持一个特定于云的风险评估,似乎最赚钱的开始通过检查特定于云计算的漏洞的确切性质,。 |
| 一个漏洞是特定于云计算的 |
| 固有的或流行的云计算核心技术, |
| 有它的根源在NIST的一个基本云特征, |
| 造成当云创新做不利于安全控制困难或者不可能实现,还是 |
| 普遍建立最先进的云计算产品。 |
| 我们现在来研究这四个指标。 |
| 答:基本云特征的漏洞 |
| NIST描述了五个基本云特征:按需自助服务、无处不在的网络接入、资源池、快速弹性和可度量的服务[3]。 |
| 以下是与根源在一个或多个漏洞的例子的特点: |
| •管理界面进行未经授权的访问。 |
| •互联网协议漏洞。 |
| •数据恢复脆弱。 |
| •计量和计费逃税。 |
| 因此,我们可以利用NIST的云计算的定义推理有关云计算的问题。最新的云计算实例中是常见的漏洞。如果一个漏洞state-of-theart云产品中普遍存在,它必须被视为成为特定于云计算的漏洞。如注入漏洞,弱身份验证方案,命令注入,跨站点脚本等。 |
体系结构组件和漏洞 |
| 云服务模型通常分为SaaS, PaaS和IaaS,每个模型影响的脆弱性表现出一个给定的云基础设施[1]。有助于增加结构的服务模型栈:图显示了一个云计算参考架构,明确了最重要的安全相关的云计算组件,提供一个抽象的概述分析云计算的安全问题。我们将成为特定于云计算的漏洞映射到这个参考架构的组件,这让我们大致了解有哪些漏洞可能会与一个给定的云服务相关[4]。 |
 |
| 答:云软件基础设施和环境 |
| 云软件基础架构层提供了一个抽象层次的基本资源作为服务提供给更高的层:计算资源(通常是vm),存储和通信(网络)。Theseservices可以单独使用,通常是存储服务的情况,但它们通常捆绑,这样服务器交付有一定的网络连接和(通常)访问存储。这个包,有或没有存储,通常称为IaaS。云应用平台级软件环境层提供服务:服务和应用程序的开发和运行时环境编写的一个或多个支持的语言;存储服务(数据库接口而不是文件共享);和通信基础设施,如微软Azure服务总线[5]。漏洞的基础设施和环境层通常是特定于一个提供的三种类型的资源这两个层。然而,跨租户访问漏洞相关所有三种类型的资源。 |
| b .计算资源 |
| 一套高度相关的计算资源漏洞问题如何处理虚拟机映像:提供的唯一可行的途径几乎相同的服务器images-thus虚拟服务器提供随需应变的服务——通过克隆模板图像。脆弱的虚拟机模板镜像会导致许多操作系统或应用程序上的漏洞传播到许多systemsData虚拟机复制造成的泄漏是一个漏洞,也是根植于使用克隆服务提供群集。克隆会导致数据泄漏问题关于机器的秘密:某些元素的OS-such主机密钥和加密盐值意味着私人一个主机。克隆可以违反隐私的假设。虚拟机映像的新兴市场,在Amazon EC2,导致一个相关的问题:用户可以为其他用户提供模板图像通过将运行中的镜像转换成模板。取决于所使用的图像是在创建一个模板,它可以包含数据,用户不希望公开。 |
| c .存储 |
| 除了数据恢复脆弱由于资源池和弹性,有相关控制挑战媒体卫生处理,这通常是很难或不可能实现在云环境中。因为密码学常用来克服存储相关的漏洞,这种核心技术的vulnerabilities-insecure或过时的密码学和糟糕的云存储的关键管理具有特殊的作用。 |
| d .的沟通 |
| 云通信服务的最显著的例子是虚拟机的网络提供了一个IaaS环境。因为资源池,一些客户可能分享一定的网络基础设施组件:漏洞的共享网络基础设施组件,例如在DNS服务器漏洞,动态主机配置协议,IP协议漏洞,可能使基于网络的跨租户袭击一个IaaS基础设施[2]。 |
| e .云Web应用程序 |
| 一个Web应用程序使用浏览器技术的前端用户交互。browserbased增加吸收的计算技术,如JavaScript、Java、Flash和Silverlight, Web云应用程序分为两个部分:一个应用程序组件运行在云端,用户的浏览器内运行的浏览器组件。 |
| 在未来,开发人员将越来越多地使用技术,如Google Gears允许脱机使用的Web浏览器应用程序的组件不需要不断的用例对远程数据的访问。 |
| f .服务和api |
| 似乎很明显,所有层的云基础设施提供服务,但对于研究云基础设施的安全,是值得的显式地考虑所有的基础设施的服务和应用程序编程接口。大多数服务可能是Web服务,这与Web应用程序分享许多漏洞。的确,Web应用程序层可能意识到完全由一个或多个Web服务的应用程序URL只会给用户浏览器组件。因此,支持服务和API函数有许多漏洞和Web应用程序层[5]。 |
| g .管理访问 |
| NIST的定义云计算,云服务的核心特征之一是,它们可以快速予以配置和发布通过最少的管理工作或服务提供者交互。因此,每个云服务是一种管理的常见元素的界面直接导致的脆弱性管理界面未经授权的访问。 |
| h .身份、身份验证、授权和审计机制 |
| 所有云servicesrequire机制身份管理、认证、授权和审计(IAAA)。在某种程度上,这些机制的某些部分可能被分离出来,作为一个独立的IAAA服务使用的其他服务。两个IAAA元素必须是每个服务实现的一部分执行足够的授权检查审计和云基础设施。大多数漏洞与IAAA组件必须被视为特定于云因为他们最新的云计算实例中盛行。弱的用户身份验证机制的例子:拒绝服务帐户锁定,credential-reset机制薄弱、不足或错误的授权检查,粗授权控制、日志记录和监控不足的可能性。 |
| 即供应商 |
| 所有云计算组件的相关漏洞通常关注云基础设施提供者或,而用户无法控制他们自己的基础设施。在控制挑战安全审计不足的可能性,以及认证计划和安全指标不采用云计算。此外,关于审计标准的安全控制,认证,并连续安全监测不能有效地实现。 |
结论 |
| 云计算还处于不断发展的阶段,随着该领域的成熟,更多的特定于云的漏洞肯定还会出现,而其他人将不是一个问题。使用一个精确的定义特定于云计算的漏洞的脆弱性和四个指标,我们确定了精度和清晰度,往往缺乏当前话语对云计算的安全。控制挑战通常强调的情况下,否则成功的安全控制是无效的在云环境中。因此,这些挑战是为进一步云计算安全研究的特殊利益。事实上,许多当前的努力及其他方的类似安全指标和认证计划的发展,朝着fullfeatured虚拟化网络components-directly地址控制挑战通过启用这种tried-andtested控制云计算的使用。 |
| 上面讨论了不同的脆弱性与云计算相关的问题。尽管不同的安全限制强加的云服务提供商,作者想要把一些基本建议:总是以加密形式存储数据。你也可以放一些自己的数据完整性约束。 |
引用 |
|