[[140433]]

什么是云主機(jī)

云主機(jī)是云計(jì)算在基礎(chǔ)設(shè)施應(yīng)用上非常重要的組成部分，位于云計(jì)算產(chǎn)業(yè)鏈金字塔底層。云主機(jī)涵蓋了互聯(lián)網(wǎng)應(yīng)用三大核心要素：計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)，面向用戶提供公用化的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施服務(wù)。云主機(jī)是一種通過(guò)虛擬化技術(shù)在一組集群主機(jī)上虛擬出多個(gè)類似獨(dú)立主機(jī)的部分，每個(gè)部分都是獨(dú)立的操作系統(tǒng)。云主機(jī)能提供基于云計(jì)算模式的按需使用和按需付費(fèi)能力的服務(wù)器租用服務(wù)。云主機(jī)是新一代的主機(jī)租用服務(wù)，它整合了高性能服務(wù)器與優(yōu)質(zhì)網(wǎng)絡(luò)帶寬，有效解決了傳統(tǒng)主機(jī)租用價(jià)格偏高、服務(wù)品質(zhì)參差不齊等缺點(diǎn)，可全面滿足中小企業(yè)、個(gè)人站長(zhǎng)用戶對(duì)主機(jī)租用服務(wù)低成本，高可用，易管理的需求。

打造安全云主機(jī)

云主機(jī)的優(yōu)點(diǎn)已是眾所周知，但是包括多租戶、更佳的服務(wù)器利用率和數(shù)據(jù)中心整合的同時(shí)，如何應(yīng)對(duì)云主機(jī)特有的安全威脅越來(lái)越受重視。安全性能不能得到保障是亟需關(guān)注的問(wèn)題?，F(xiàn)在廣泛使用的公共云，安全問(wèn)題更是首當(dāng)其沖最關(guān)鍵的因素。如何解決其中的安全問(wèn)題不再只是云廠商的責(zé)任，也是安全廠商必須解決的問(wèn)題。廣大云計(jì)算用戶的亟需一套安全、穩(wěn)定、高可用的云主機(jī)平臺(tái)。

云主機(jī)面臨的主要安全問(wèn)題

提到云主機(jī)的安全問(wèn)題，很廣泛，大概包含這么幾個(gè)方面：數(shù)據(jù)安全、網(wǎng)絡(luò)安全、系統(tǒng)穩(wěn)定性。我們可以從如下幾個(gè)角度詳細(xì)說(shuō)明：

1.云主機(jī)安全

首先云主機(jī)是以多租戶的模式向大眾提供服務(wù)，租戶之間彼此獨(dú)立。為了更佳的服務(wù)器利用率和數(shù)據(jù)中心整合，租戶與租戶混雜，云主機(jī)之間彼此獨(dú)立是多租戶的前提，如果做好不同租戶之間的系統(tǒng)隔離是云主機(jī)安全可靠的前提。

2.物理機(jī)安全

云主機(jī)是通過(guò)虛擬化技術(shù)在物理機(jī)上實(shí)現(xiàn)的多個(gè)獨(dú)立操作系統(tǒng)，物理機(jī)本身的問(wèn)題都可能導(dǎo)致云主機(jī)異常，因此物理機(jī)安全是云主機(jī)安全的根本前提。首先物理機(jī)主要是托管在IDC機(jī)房，因此需要一個(gè)能夠有效應(yīng)對(duì)突發(fā)事件，高可用的托管環(huán)境。前一段時(shí)間阿里云機(jī)房電纜被挖，青云機(jī)房被雷擊導(dǎo)致服務(wù)暫停都是典型的案例。

在托管環(huán)境不可抗力情況下外，物理機(jī)還需要在自身系統(tǒng)安全方面做足功夫。在當(dāng)前網(wǎng)絡(luò)安全形勢(shì)與挑戰(zhàn)下，如何應(yīng)對(duì)不斷的、大量的端口掃描，密碼暴力破解，DDOS攻擊的能力，都是云主機(jī)平臺(tái)時(shí)刻面臨的安全威脅。

3.數(shù)據(jù)安全

隨著越來(lái)越多的企業(yè)遷移到云端，然而安全問(wèn)題一直是困擾走向云端的最大挑戰(zhàn)之一。企業(yè)數(shù)據(jù)放到云端，脫離企業(yè)的實(shí)際掌控，甚至很多企業(yè)共用云架構(gòu)和基礎(chǔ)設(shè)施。最近幾年數(shù)據(jù)泄露無(wú)論數(shù)量上，范圍上，損失上都迅速的增長(zhǎng)。

多租戶、多應(yīng)用勢(shì)必造成數(shù)據(jù)混雜，不同等級(jí)的數(shù)據(jù)(或虛擬機(jī)儲(chǔ)存著不同等級(jí)的數(shù)據(jù))可能交錯(cuò)混雜在同一臺(tái)物理機(jī)器中。如何有效的管理、隔離這些數(shù)據(jù)也是一個(gè)很大的挑戰(zhàn)。企業(yè)有關(guān)數(shù)據(jù)可能被其他用戶恢復(fù)或當(dāng)磁盤被回收時(shí)恢復(fù)，刪除的數(shù)據(jù)是否會(huì)被恢復(fù)，是企業(yè)十分擔(dān)心的問(wèn)題。

4.邊界安全

云主機(jī)間的攻擊和盲點(diǎn)。

虛擬化對(duì)網(wǎng)絡(luò)安全帶來(lái)了巨大的威脅，傳統(tǒng)網(wǎng)絡(luò)可以通過(guò)交換機(jī)、IDS等設(shè)備進(jìn)行日常監(jiān)測(cè)、審計(jì)，而云主機(jī)間可能通過(guò)硬件背板而不是網(wǎng)絡(luò)進(jìn)行通訊，這些通訊流量對(duì)標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全控制來(lái)說(shuō)是不可見的。傳統(tǒng)的防護(hù)工具變成了無(wú)用的擺設(shè)。

5.性能降低

云主機(jī)是通過(guò)虛擬化技術(shù)將設(shè)備資源利用率發(fā)揮到最大，性能是否滿足又成了新的問(wèn)題，比如通常是按照1比4進(jìn)行虛擬，即1個(gè)物理核虛擬成4核。最多供四個(gè)操作系統(tǒng)共享使用，而每個(gè)操作系統(tǒng)上會(huì)運(yùn)行各自獨(dú)立的軟件，因此對(duì)性能方面是一個(gè)考驗(yàn)。比如殺毒軟件就是典型耗CPU的軟件，四個(gè)殺毒軟件一起進(jìn)行掃描，將會(huì)是什么結(jié)果呢?

6.通訊安全

遷移到云端后，為了確保業(yè)務(wù)穩(wěn)定、有序進(jìn)行，就需要可靠的通訊保證，如何解決其他租戶帶來(lái)的干擾也是一個(gè)挑戰(zhàn)。同一臺(tái)物理機(jī)上的租戶共用一個(gè)物理機(jī)網(wǎng)卡，共用一個(gè)交換機(jī)接口。如果沒(méi)有做好有效的隔離，正常租戶的通訊可能被非法監(jiān)聽，某個(gè)云主機(jī)中了apr病毒，可能會(huì)導(dǎo)致一批云主機(jī)斷網(wǎng)，業(yè)務(wù)中斷。

7.災(zāi)難恢復(fù)與業(yè)務(wù)連續(xù)性

硬件故障、自然災(zāi)害或者其他災(zāi)難時(shí)有發(fā)生，如何降低單點(diǎn)失效帶來(lái)的業(yè)務(wù)影響是企業(yè)和個(gè)人用戶都十分擔(dān)心的問(wèn)題。如何做到災(zāi)難快速恢復(fù)，恢復(fù)時(shí)長(zhǎng)是考驗(yàn)一個(gè)云服務(wù)器提供云服務(wù)質(zhì)量的一個(gè)基本指標(biāo)。

業(yè)內(nèi)解決方案

針對(duì)上述的各種安全問(wèn)題，各個(gè)云廠商應(yīng)對(duì)方法和策略比較類似。方法基本都是通過(guò)技術(shù)手段做資源隔離、對(duì)用戶數(shù)據(jù)進(jìn)行加密、云主機(jī)系統(tǒng)進(jìn)行安全加固，投入一些自主研發(fā)或向第三方購(gòu)買的安全檢測(cè)、防護(hù)設(shè)備，同時(shí)投入大量安全團(tuán)隊(duì)、運(yùn)維團(tuán)隊(duì)提供7*24小時(shí)不間斷服務(wù)。

#p#

增強(qiáng)安全性的方法可以有如下幾種：

1.基礎(chǔ)安全

首先集群成分布式部署在多個(gè)數(shù)據(jù)中心，對(duì)數(shù)據(jù)中心的資產(chǎn)設(shè)備、物資、耗材都有嚴(yán)格的規(guī)則機(jī)制，網(wǎng)絡(luò)基本都位于核心骨干區(qū)域，物業(yè)保安 7x24 小時(shí)分段巡邏，并對(duì)所有基礎(chǔ)設(shè)施進(jìn)行 7x24 小時(shí)集中視頻監(jiān)控。確保了物理機(jī)和運(yùn)行環(huán)境的有力保障。

2.賬號(hào)與系統(tǒng)安全

組織專業(yè)的安全團(tuán)隊(duì)，結(jié)合處理多年的安全實(shí)際處理經(jīng)驗(yàn)，云主機(jī)的鏡像進(jìn)行了一系列的安全加固策略。包括賬號(hào)管理與安全認(rèn)證，比如禁止root賬號(hào)登錄(其他云服務(wù)商均未做限制)禁用非常用端口、隱藏歷史操作記錄;復(fù)雜口令設(shè)置包括：強(qiáng)制密碼長(zhǎng)度、必須包含大小寫字母的復(fù)雜度設(shè)定，有效降低了用戶賬號(hào)被暴力破解的風(fēng)險(xiǎn)。

物理機(jī)系統(tǒng)選擇發(fā)行中穩(wěn)定版的操作系統(tǒng),采用自定義方式安裝軟件包,以最小化安裝的方式部署基礎(chǔ)系統(tǒng);及時(shí)升級(jí)補(bǔ)丁及軟件版本，封堵已知漏洞。

支持雙因子認(rèn)證，購(gòu)買云主機(jī)后就與租戶手機(jī)綁定，重置密碼、重裝系統(tǒng)、刪除都需要輸入校驗(yàn)碼才能繼續(xù)操作。雙因子認(rèn)證的加入是對(duì)賬號(hào)安全的又一個(gè)有效的保障。

3.網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全方面采用多重防御，通過(guò)防火墻、ACL等安全措施對(duì)集群內(nèi)流量進(jìn)行嚴(yán)格管控，保護(hù)集群內(nèi)云主機(jī)免受來(lái)自內(nèi)部、外部的網(wǎng)絡(luò)攻擊。物理機(jī)與云主機(jī)全部采用VLAN嚴(yán)格隔離，同一租戶落入一個(gè)VLAN，不同租戶做二層隔離，可以有效防止云主機(jī)產(chǎn)生的包括arp欺騙、端口掃描等安全威脅。采用白名單形式設(shè)置訪問(wèn)控制列表，使得只有可信主機(jī)才能訪問(wèn)集群內(nèi)主機(jī);自主研發(fā)的頂級(jí)防護(hù)產(chǎn)品網(wǎng)站衛(wèi)士、網(wǎng)絡(luò)全流量分析等設(shè)備的投入都可以有效的阻止syn flood、cc等常見的網(wǎng)絡(luò)攻擊。

定期進(jìn)行安全掃描，及時(shí)發(fā)現(xiàn)安全漏洞，快速對(duì)漏洞進(jìn)行修補(bǔ)或者防護(hù)。

4.安全審計(jì)

集群內(nèi)物理機(jī)全部啟用安全相關(guān)的日志記錄功能(shell log),重定向日志到獨(dú)立的日志服務(wù)器;為整個(gè)安全基礎(chǔ)設(shè)施包括虛擬環(huán)境在內(nèi)提供統(tǒng)一的日志安全審計(jì)系統(tǒng); 針對(duì)賬戶管理、登錄事件、系統(tǒng)事件、策略更改、帳戶登錄事件的成功、失敗開啟審計(jì)。

5.安全運(yùn)維

集中的組和角色管理系統(tǒng)來(lái)定義和控制權(quán)限, 運(yùn)維工程師都有唯一身份;通過(guò)加密信道進(jìn)行管理,具備身份鑒別和認(rèn)證;所有登陸、操作過(guò)程均被實(shí)時(shí)審計(jì).建立內(nèi)部流量匯聚點(diǎn),監(jiān)控整網(wǎng)的動(dòng)態(tài)和流量。

對(duì)物理機(jī)、云主機(jī)進(jìn)行實(shí)時(shí)的CPU、帶寬、磁盤監(jiān)控,發(fā)現(xiàn)異常情況立即通過(guò)短信、郵件告警; 實(shí)時(shí)的資源監(jiān)控是對(duì)資源使用情況的有效展現(xiàn)方式，也是自動(dòng)化運(yùn)維的有效方式之一。

未來(lái)發(fā)展方向

云服務(wù)器商應(yīng)該致力于為企業(yè)和個(gè)人用戶提供高性能、可信賴、安全的云服務(wù)，最大程度降低企業(yè)發(fā)展所需的IT基礎(chǔ)架構(gòu)技術(shù)、成本門檻，為企業(yè)遷移到云端提供最大的便利和最專業(yè)的安全服務(wù)體系保障。

本文節(jié)選自360云：如何給用戶交付安全云主機(jī)