報刊資料整理：雲安全(cloud security)

雲安全(cloud security)

雲安全cloud security

• 雲安全(cloud security)
• 什麼是雲安全
• 雲安全的産生和原理
• 雲安全的本質
• 雲安全的特點
• • 1.共享虛拟安全
  • 2.資料失控挑戰
  • 3.安全即服務模式
• 雲安全的技術核心
• • (1)Web信譽服務
  • (2)檔案信譽服務
  • (3)行為關聯分析技術
  • (4)自動回報機制
  • (5)威脅資訊總彙
  • (6)白名單技術僻
• 雲安全的關鍵技術
• • (1)雙向自動回報機制
  • (2)根據資源的URL位址來判斷風險程度
  • (3)Web信譽服務
  • (4)電子郵件信譽服務
  • (5)檔案信譽服務
  • (6)行為關聯分析技術
• 雲安全的政策、方法與實踐
• • IaaS安全政策與實踐
  • • 實體環境的安全
    • 網絡與主機安全
    • 服務連續性
  • PaaS安全政策與實踐
  • • 身份與通路管理
    • 資訊保護
    • 服務連續性
  • SaaS安全政策與實踐
  • • 工程安全
    • 應用安全設計架構
• 雲安全常見問題
• • 1．雲計算資源的濫用
  • 2．雲計算環境的安全保護
  • 3．雲服務供應商信任問題
  • 4．雙向及多方審計
  • 5．系統與資料備份
• 雲安全的應用研究方向
• • 1．雲計算安全
  • 2．網絡安全裝置、安全基礎設施的“雲化”
  • 3．雲安全服務
• 雲安全的标準化組織
• 雲安全的發展趨勢
• 雲安全與傳統網絡安全的差別

什麼是雲安全

雲安全是指基于雲計算商業模式應用的安全軟體、硬體、使用者、機構、安全雲平台的總稱。雲安全通過網狀的大量用戶端對網絡中軟體的行為進行監測，擷取網際網路中木馬、惡意程式的最新資訊，并發送到Server端進行自動分析和處理，再把病毒和木馬的解決方案分發到每一個用戶端。

雲安全的産生和原理

在網際網路普及前，計算機安全問題基本局限在單機範疇，傳統安全廠商也主要做單機版防毒軟體，對付病毒的方法都是依靠“殺毒引擎+特征碼”的“事後清除”模式。反病毒行業目前一直沿用的方法是：發現病毒後，由反病毒公司的工程師解析病毒樣本，然後将針對該樣本的病毒碼上傳到病毒庫中，使用者通過定時或者手動更新病毒庫，來獲得防毒軟體的更新保護。但這樣的傳統殺毒方式，病毒碼更新起來比較麻煩，使用者每天更新防毒軟體也比較耗費記憶體和帶寬，很多人對此很反感。此外，日益發展的大量病毒變種，使得标準樣本收集、特征碼建立以及部署不再能充分發揮效用。

另外，繼續使用特征碼防護機制面臨的最大問題之一，是存在防護時間差的問題。一般來說，從一個病毒出現到被識别、分析、加入病毒特征碼庫到最終傳送給使用者計算機，通常要花費24～72小時。個人使用者和機構使用者在等待更新病毒庫的這段時間中，他們的終端計算機将會暴露在安全威脅之下，很容易受到攻擊。

起初病毒的設計是為了盡可能快速地進行傳播，是以很容易找到。随着網絡威脅的湧現，惡意軟體已經從爆發模式發展到隐蔽的“睡眠式”感染，進而讓傳統的保護技術更加難以探測。對于小規模，特定範圍傳播的病毒(這是計算機病毒發展的最新趨勢)，反病毒軟體公司可能沒有得到病毒樣本，是以也無法提供特征代碼。那麼，對這些病毒，反病毒軟體就無法檢測到。即使反病毒軟體公司提供特征代碼，那也是在病毒傳播一段時間之後了，這段時間裡，使用者也是不被保護的。

從安全防禦機構的角度來說，如果依然沿襲以往的反病毒模式，安全機構依靠自身部署的有限地域、有限數量的惡意軟體采集能力，無法在小規模爆發的惡意軟體變成大規模的破壞前及時地采集、分析并提出處理措施，進而遠遠落在攻擊者的腳步之後。基于“雲安全”的網絡協作模式，能夠讓每一台客戶電腦都變成安全機構的智能惡意軟體監測站，利用其主動防禦技術及時發現和送出“可疑的惡意軟體”，進而組成一個遍及全球和各領域的龐大惡意軟體監測網絡，大幅度提高安全機構的安全資訊總量和反應速度，使其基于“特征碼比對”或基于“行為模式分析”的解決方案的精确度能夠得到大幅度提高。

“雲計算”實作的安全，或稱“雲安全”，來源于其“雲網絡——瘦客戶”的新型計算模型，如圖1所示，将大量的各種計算資源放置在網絡中，将分布處理、并行處理及網格計算的能力通過網絡接口分享給客戶，在實作上，讓龐大的伺服器端(即“雲端”)承擔大規模集中資訊采集、處理、計算、存儲、分析、檢測和監測工作，甚至直接在雲内将大部分流動的攻擊行為阻斷掉，而隻讓用戶端承擔送出“潛在惡意軟體”和執行最終的“清除、隔離還是放行”的簡單任務。用戶端防護軟體将不再需要設計得龐大而全面，不再占據系統過多的寶貴計算和存儲資源。當然，對網絡資源的使用是必須的。從客戶的角度而言，這種“提供強大靠山”的新型方式大大簡化了用戶端工作量，使原本弱小的普通用戶端告别了原本安全資訊不對等的弱勢局面，将實時更新的強大入侵監測和分析能力“推送”到了每一台客戶計算機。

引入“雲計算”架構後，殺毒行業真正實作了從殺毒到防毒的改變。把病毒碼放到伺服器的“雲端”，伺服器叢集遇到進入使用者終端的病毒碼時可以自動清除，這樣就可以使使用者終端變得很輕松，不用每天更新，也不必再因為防毒軟體而占用記憶體和帶寬。不一定要等到使用者中毒之後再去解決，重要的是要預防問題。趨勢、熊貓、瑞星、賽門鐵克等殺毒廠商目前都在部署自己的雲計算機架構，用以組成“雲端”的伺服器叢集從數百台到上萬台不等。在未來，使用者隻要安裝了某一款接入“雲端”的防毒軟體，在上網時，伺服器端會根據已經預存的海量病毒庫來判斷哪些網頁行為是惡意的，甚至是木馬程式，并自動為使用者清除。

那麼一旦出現了新的病毒，而伺服器“雲端”的資料庫中此前沒有該病毒碼，雲計算不再依靠某一公司的工程師們加班加點地去分析，而是根據事先設定好的數十項衡量标準對一種網頁新行為進行測評，如果發現某一代碼行為異常，則立即截斷其來回回報的通道，不讓它進入使用者終端，直接在半路上清除。

雲安全的本質

人們常把雲計算服務比喻成自來水公司提供的供水服務。原來每個家庭和機關自己挖水井、修水塔，自己負責水的安全問題，例如避免受到污染、防止别人偷水等等。從這個比喻當中，我們窺見了雲計算的本質：雲計算隻不過是服務方式的改變!

自己開發程式服務于本機關和個人，是一種服務方式；委托專業的軟體公司開發軟體滿足其自身的需求也是一種方式；随時随地享受雲中提供的服務，而不關心雲的位置和實作途徑，是一種到目前為止最進階的服務方式。

從這個比喻當中還看出雲安全的本質：就像我們天天使用的自來水一樣，我們究竟要關心什麼安全問題呢?第一，我們關心自來水公司提供的水是否安全，自來水公司必然會承諾水的品質，并采取相應的措施來保證水的安全第二，使用者本身也要提高水的使用安全，自來水有多種，有僅供洗浴的熱水，有供打掃衛生的中水，有供飲用的水等等。例如，不能飲用中水，要将水燒開再用，不能直接飲用，這些安全問題都是靠使用者自己來解決。還有，第三個關于雲的安全問題是，

使用者擔心别人會把水費記到自己的賬單上來， 擔心自來水公司多收錢。

和自來水供應一樣，雲計算的安全問題也大緻分為以下幾個方面：第一方面，雲計算的服務提供商，他們的網絡是安全的嗎，有沒有别人闖進去盜用我們的賬号?他們提供的存儲是安全的嗎?會不會造成資料洩密?這些都是需要雲計算服務提供商們來解決，向客戶承諾的問題。就像自來水公司要按照國家有關部門法規生産水一樣，限制雲計算的服務提供商的行為和技術，也一定需要國家出台相應的法規。第二方面，客戶在使用雲計算提供的服務時也要注意：在雲計算服務提供商的安全性和自己資料的安全性上做個平衡，太重要的資料不要放到雲裡，而是藏在自己的保險櫃中；

或将其加密後再放到雲中，隻有自己才能解密資料，将安全性的主動權牢牢掌握在自己手中，而不依賴于服務提供商的承諾和他們的措施。第三方面，客戶要保管好自己的賬戶，防止他人盜取你的賬号使用雲中的服務，

而讓你埋單。

不難看出， 雲計算所采用的技術和服務同樣可以被黑客利用來發送垃圾郵件，或者發起針對下載下傳、資料上傳統計、惡意代碼監測等更為進階的惡意程式攻擊。是以， 雲計算的安全技術和傳統的安全技術一樣： 雲計算服務提供商需要采用防火牆來保證不被非法通路； 使用殺病毒軟體保證其内部的機器不被感染； 用入侵檢測和防禦裝置防止黑客的入侵；使用者采用資料加密、檔案内容過濾等防止敏感資料存放在相對不安全的雲裡。

與傳統安全不一樣的地方，是随着服務方式的改變，在雲計算時代，安全裝置和安全措施的部署位置有所不同安全責任的主體發生了變化。在自家掘井自己飲用的年代，水的安全性由自己負責，在自來水時代，水的安全性由自來水公司作出承諾， 客戶隻須在使用水的過程中注意安全問題即可。原來，使用者自己要保證服務的安全性，現在由雲計算服務提供商來保證服務提供的安全性。

雲安全的特點

針對雲計算服務模式和資源池的特征，雲安全繼承了傳統資訊安全特點，更凸顯了傳統資訊安全在資料管理、共享虛拟安全、安全管理等問題，同時改變了傳統資訊安全的服務模式，主要包括：

1.共享虛拟安全

在雲計算中心，虛拟化技術是實作資源配置設定和服務提供的最基礎和最核心的技術。通過虛拟化技術，将不同的硬體、軟體、網絡等資源虛拟為一個巨大的資源池，根據使用者的需求，動态提供所需的資源。是以，虛拟化技術的安全性在雲中顯得格外重要。虛拟機的安全除了傳統上虛拟機監督程式的安全性以及虛拟機中惡意軟體等造成的安全問題和隐私洩露之外，虛拟化技術本身的安全問題在雲中也顯得非常重要，而且這其中許多問題在雲計算之前并未得到人們的重視。在雲中，一台實體伺服器通常會運作多台虛拟機，并為多個使用者提供服務。這些使用者共享同一實體裝置，這就為攻擊者提供了發起攻擊的可能性。此外，資源的動态配置設定使得雲中虛拟機的遷移成為了普遍現象，而針對虛拟機遷移的遷移攻擊也成為了雲中不可忽視的安全問題。虛拟化的安全需要從多個層面和角度進行考慮，才能夠確定雲計算平台的虛拟化安全。

2.資料失控挑戰

在雲計算應用中，使用者将資料存放在遠端的雲計算中心，失去了對資料的實體控制，對資料的安全與隐私的保護完全由雲計算提供商提供。這一特性使得雲計算提供商即使聲明了其提供的安全性，也無法說服使用者完全的信任雲。相比于傳統的客戶／伺服器模式，使用者對雲的依賴性更高，所有操作均放在雲端執行。是以，在雲計算中，我們面臨着如何使得使用者能夠信任雲，或者在不能完全信任的平台下仍然進行存儲和計算，能夠檢驗資料是否受到保護、計算任務是否正确執行的問題。雲計算中心通常都會向使用者聲明其提供的安全性，使使用者能夠放心使用其提供的服務，然而如何驗證其是否提供了聲明的安全服務是使用者能夠信任雲的關鍵。是以通過技術手段使得使用者可以确信其資料和計算是安全且保密的，則對打消使用者對雲計算安全與隐私問題的顧慮有着極大的幫助。

3.安全即服務模式

雲計算作為一種新的模式，雖然帶來了一些新的安全威脅，但也為傳統資訊安全與隐私問題的解決提供了新的途徑。在雲計算之前，敏感資料大量分散在網絡中，許多站點并沒有很好的措施保障資料的安全，容易造成資料洩露。而利用雲計算強大的計算與存儲能力，可以将安全以服務的形式(安全即服務)提供給使用者，使得客戶能夠随時使用到更好更安全的服務。安全即服務可以在反病毒、防火牆、安全檢測和資料安全等多個方面為使用者提供服務，實作安全服務的專業化、社會化。雲安全服務中心可以通過搭建資訊安全服務平台，集中對資訊安全的相關威脅進行處理，能夠及時為使用者提供良好的安全保護。

雲安全的技術核心

實作雲安全有六大核心技術：

(1)Web信譽服務

借助全信譽資料庫，雲安全可以按照惡意軟體行為分析所發現的網站頁面、曆史位置變化和可疑活動迹象等因素來指定信譽分數，進而追蹤網頁的可信度。然後将通過該技術繼續掃描網站并防止使用者通路被感染的網站。

(2)檔案信譽服務

檔案信譽服務技術，它可以檢查位于端點、伺服器或網關處的每個檔案的信譽，檢查的依據包括已知的良性檔案清單和已知的惡性檔案清單。

(3)行為關聯分析技術

通過行為分析的“相關性技術”可以把威脅活動綜合聯系起來，确定其是否屬于惡意行為。

(4)自動回報機制

雲安全的另一個重要元件就是自動回報機制，以雙向更新流方式在威脅研究中心和技術人員之間實作不間斷通信。通過檢查單個客戶的路由信譽來确定各種新型威脅。

(5)威脅資訊總彙

(6)白名單技術僻

作為一種核心技術，白名單與黑名單(病毒特征碼技術實際上采用的是黑名單技術思路)并無多大差別，差別僅在于規模不同。現在的白名單主要被用于降低誤報率。

雲安全的關鍵技術

基于信譽的安全技術補充了傳統安全技術的不足，通過收集匿名使用者使用情況的樣本，進而辨識URI/WEB/郵件/檔案安全與否。技術的核心集中在如何憑借指定URI/WEB/郵件/檔案的部分使用情況資訊來辨識該URI/WEB/郵件/檔案是否安全。基于信譽的安全技術充分利用多方資料資源，包括由數億使用者計算機上的代理提供的匿名資料、軟體發行商提供的資料以及在針對大型企業使用者發起的資料收集項目中獲得的資料。這些資料會持續不斷地更新到信譽引擎，以此确定每一URI/WEB/郵件/檔案的安全信譽等級，絕不需要對該URI/WEB/郵件/檔案進行掃描。從技術實作的角度而言，“雲安全”全球化的資訊采集和分析模式使其可以采用新的防禦模式和技術，主要歸納為以下幾點：

(1)雙向自動回報機制

“雲計算”防惡意軟體技術不再需要用戶端保留惡意軟體庫特征，所有的資訊都将存放于網際網路中。當全球任何角落的終端使用者連接配接到網際網路後，與“雲端”的伺服器保持實時聯絡，當發現異常行為或惡意軟體等風險後，自動送出到“雲端”的伺服器群組中，由“雲計算”技術進行集中分析和處理。之後，“雲計算”技術會生成一份對風險的處理意見，同時對全世界的用戶端進行統一分發。用戶端可以自動進行阻斷攔截、清除等操作。将惡意軟體特征庫放置于“雲”中，不但可以節省因惡意軟體不斷泛濫而造成的軟硬體資源開支，而且還能獲得更加高效的惡意軟體防範能力。

(2)根據資源的URL位址來判斷風險程度

“雲安全”可以從整個網際網路上收集源資訊，判斷使用者的網際網路搜尋、通路、應用的對象是不是惡意資訊。這種模式與病毒代碼的比對不同，病毒代碼是用特征碼進行識别。傳統病毒代碼分析依靠大量人工，而“雲安全”則利用基于曆史使用者回報的統計學分析方式不停地對網際網路進行判斷。隻要全球範圍内有1％的使用者送出需求給“雲端”伺服器，15分鐘之後全球的“雲安全”庫就會對該URL的通路行為進行政策控制。

(3)Web信譽服務

借助全球域信譽資料庫，Web信譽服務按照惡意軟體行為分析所發現的網站頁面、曆史位置變化和可疑活動迹象等因素來指定信譽分數，進而追蹤網頁的可信度。然後将通過該技術繼續掃描網站并防止使用者通路被感染的網站。為了提高準确性，降低誤報率，Web信譽服務為網站的特定網頁或連結指定信譽分值，而不是對整個網站進行分類或攔截，因為通常合法網站隻有一部分受到攻擊。而信譽可以随時間而不斷變化。通過信譽分值的比對，就可以知道某個網站潛在的風險級别。當使用者通路具有潛在風險的網站時，就可以及時獲得系統提醒或阻止，進而幫助使用者快速地确認目标網站的安全性。通過Web信譽服務，可以防範惡意程式源頭。由于對“零日攻擊”的防範是基于網站的可信度而不是真正的内容，是以能有效預防惡意軟體的初始下載下傳，使用者進入網絡前就能夠獲得防護能力。

(4)電子郵件信譽服務

電子郵件信譽服務按照已知垃圾郵件來源的信譽資料庫檢查IP位址，同時利用可以實時評估電子郵件發送者信譽的動态服務對IP位址進行驗證。信譽評分通過對口位址的行為、活動範圍以及以前的曆史不斷分析而加以細化。按照發送者的IP位址，惡意電子郵件在“雲”中即被攔截，進而防止僵屍或僵屍網絡等Web威脅到達網絡或使用者的計算機。

(5)檔案信譽服務

檔案信譽服務技術可以檢查位于端點、伺服器或網關處的每個檔案的信譽。檢查的依據包括已知的良性檔案清單和已知的惡性檔案清單，即現在所謂的防病毒特征碼。高性能的内容分發網絡和本地緩沖伺服器将確定在檢查過程中使延遲時間降到最低。由于惡意資訊被儲存在“雲”中，是以可以立即到達網絡中的所有使用者。此外，與占用端點空間的傳統防病毒特征碼檔案下載下傳相比，這種方法降低了端點記憶體和系統消耗。

(6)行為關聯分析技術

利用行為分析的相關性技術把威脅活動綜合聯系起來，确定其是否屬于惡意行為。按照啟發式觀點來判斷Web威脅的單一活動是否實際存在威脅，可以檢查潛在威脅不同元件之間的互相關系。來自世界各地的研究将補充用戶端回報内容，全天候威脅監控和攻擊防禦，以探測、預防并清除攻擊，綜合應用各種技術和資料收集方式——包括蜜罐、網絡爬行器、回報以及内部研究獲得關于最新威脅的各種情報。

雲安全的政策、方法與實踐

雲計算安全是雲計算服務提供商和雲計算使用者之間共同的責任，但兩者之間的界限有些模糊，這個界限直接取決于所應用的雲計算模式的類型。雲計算有3種雲服務模式：IaaS、PaaS、SaaS。由于這三類雲計算服務自身特點，以及使用者對雲計算資源的控制能力不同，使得雲服務提供商和雲使用者各自承擔的安全角色、職責也有所不同。在雲計算應用中，為了避免服務糾紛，有必要對雲服務提供商與使用者進行各自的責任劃分與界定。

IaaS雲服務提供商主要負責為使用者提供基礎設施服務，如提供包括伺服器、存儲、網絡和管理工具在内的虛拟資料中心，雲計算基礎設施的可靠性、實體安全、網絡安全、資訊存儲安全、系統安全是其基本職責範疇，包括虛拟機的入侵檢測、完整性保護等；而雲計算使用者則需要負責其購買的虛拟基礎設施以上層面的所有安全問題，如自身作業系統、應用程式的安全等。

PaaS雲服務提供商主要負責為使用者提供簡化的分布式軟體開發、測試和部署環境，雲服務提供商除了負責底層基礎設施安全外，還需解決應用接口安全、資料與計算可用性等；而雲計算使用者則需要負責作業系統或應用環境之上的應用服務。

SaaS雲服務提供商需保障其所提供的SaaS服務從基礎設施到應用層的整體安全，雲計算使用者則需維護與自身相關的資訊安全，如身份認證賬号、密碼的防洩露等。下面将對這3種服務方式的雲安全政策與實踐作進一步的探讨和論述。

IaaS安全政策與實踐

IaaS(Infrastructure as a

Service，基礎設施即服務)通過網際網路提供了資料中心、基礎設施硬體和軟體資源。IaaS可以提供伺服器、作業系統、網絡、磁盤存儲、資料庫和／或資訊資源。IaaS在資訊安全方面需要考慮的因素包括以下幾個方面。

實體環境的安全

傳統的企業IT建設，企業需要購置全部的硬體、網絡、存儲、軟體以及業務應用系統，企業需要自己管理資料中心，開發、部署、維護業務應用系統。在這種情形下，企業全面掌控裝置、系統以及至關重要的各種業務資料。但當企業應用遷移到雲端以後，企業的業務資料被存放在雲服務供應商的資料中心内，企業就會更加關心雲服務提供商資料中心的實體安全。誰能夠進入資料中心?進入資料中心以後的操作是否會受到控制和監視?進入資料中心以後，能夠到達的區域是否能夠控制?是否能夠對進入資料中心人員進行全程錄像監視?等等。所有這些都對雲服務提供商資料中心的管理提出更高的要求。

下面以微軟的Business Productivity Online Service雲服務為例，說明雲服務提供商對實體安全的考慮因素。

針對某些防護措施，使用技術系統實作自動化的通路身份驗證和授權，使得實體安全能夠随着安全技術的進步同步進化。而從傳統的，部署在企業内部的計算硬體和軟體中的企業級應用，轉變為利用軟體即服務，以及軟體外加服務，這屬于另一種進化。這些變動使得組織為了確定資産安全而進行額外的調整成為必需。

OSSC(線上安全與合規管理團隊)管理了所有微軟資料中心的實體安全，這是確定設施的正常運作及保護客戶資料的前提條件。所有設施的安全設計和運維都使用了已确立的，并且非常嚴格的規程，是以微軟可確定通過不同的邊界層，對外向和内向邊界提供更進一步的控制。

所實施的安全系統結合使用了包括攝像頭、生物驗證、讀卡器，以及報警器等技術解決方案，并依然實施了傳統的安全機制，如鎖和門禁。對于所有設施，還應用了運維控制機制，以便進行自動化監控，并在遇到異常情況和問題時提供前期預警，并對資料中心的實體安全規程提供可審計的文檔材料，充分履行了所有義務。下面提供了額外的範例，介紹微軟是如何對實體安全應用所需限制的。

• (1)限制可通路資料中心的人員：微軟提供了可供資料中心員工和承包商審閱的安全需求，除了針對站點人員的契約條款，在資料中心内部保持設定運作的人員還應用了一層額外的安全機制。通過最小特權政策對通路進行限制，這樣隻有必要的人員才能獲得授權并管理客戶的應用程式和服務。

• (2)解決高業務影響力資料的需求：在資料中心内，對于提供聯機服務的資産，除了中低等敏感度的内容，如果處理的是歸類為高度敏感的内容，而不是中等或低等敏感的内容，微軟還制定了更嚴格的最低需求。在标準安全協定中，對于站點項的身份認證、通路令牌，以及日志和監管等内容明确列出了需要何種類型的身份驗證。如果要通路高敏感度資産，則需要多因素身份驗證。

• (3)集中進行實體資産的通路管理：随着Microsoft繼續提供更多數量的資料中心用于提供聯機服務，還專門開發了一個用于對實體資産的通路控制進行管理的工具，該工具還可通過集中的工作流程提供包含申請、準許，以及傳遞資料中心通路等活動的可審計的記錄。該工具的運作遵循了提供通路所需的最低特權的原則，并可編入工作流，以便能夠獲得來自多個身份驗證方的審批。該工具可根據站點情況進行配置，針對報表和合規性審計，還可提供更高效的曆史記錄通路功能。

網絡與主機安全

雲服務依靠網際網路提供服務。是以，雲服務提供商的網絡接入能力是正常、持續提供服務的關鍵。所有的請求、資料、回應都将通過網絡進行通信。是以，雲服務提供商在網絡的邊際應該提供諸如防火牆、防毒牆、入侵檢測與防護系統等安全措施。

微軟已經有多年的雲服務提供經驗，早在1994年就開始營運MSN，并且有200多個面向企業提供的雲服務。現在，BPOS的運作也取得了可觀的付費使用者。在網絡安全方面，微軟的實踐經驗如下。

對于資料中心的設施和網絡連接配接，微軟應用了需要的各種安全保護層。例如，在控制和管理方面，都應用了相關的安全控制。另外還實施了某些特殊的硬體，如負載均衡器、防火牆，以及入侵檢測裝置，以便管理大量的拒絕服務(DoS)攻擊。網絡管理團隊則應用了層次式的通路控制清單(ACL)，以便按照需要對虛拟本地網絡(VLAN)和應用程式進行分段。對于使用網絡硬體，Microsoft使用了應用程式網關功能執行深入的資料包檢測，并針對可疑網絡通信執行操作，如發送警報，或直接攔截。

• 對于微軟雲環境，還提供了全局備援的内部和外部DNS基礎架構。備援可提供容錯機制，這一功能是通過DNS伺服器群集實作的。另外還有其他控制可減緩分布式拒絕服務(DDoS)和緩存投毒或污染等攻擊。例如，DNS伺服器和DNS區域的ACL隻允許通過授權的人員對DNS記錄進行寫入。來自最新版安全DNS軟體的新安全功能，如查詢辨別符随機化等，也已經被所有DNS伺服器使用。DNS群集還被進行着持續的監控，以預防未經授權的軟體和DNS區域配置變動，及服務中斷等問題的産生。DNS是連接配接全球網際網路中的一部分，要求很多機構的合作參與才能提供所需的服務。Microsoft參與了很多此類活動，例如，DNS運作分析和研究團(DNS—OARC)，該團是由全球各地的DNS專家組成的。
• 在主機安全方面，IaaS服務提供商應當提供針對作業系統的安全加強、病毒防範以及入侵檢測及防護等功能。同時，應該加強對作業系統的日志管理和監視。微軟在這方面的實踐是這樣的。

為了提供可靠的、受到良好管理的、安全的，以及無漏洞的服務，環境規模和複雜度的增長必須進行妥善的管理。

對基礎架構資産進行每天一次的掃描即可對主機系統的漏洞提供最新視圖，并使得OSSC能夠與産品和服務傳遞團隊的合作夥伴配合，在不造成微軟的聯機服務運作中斷的情況下對相關風險進行管理。

由内部和外部人員執行的滲透實驗對微軟雲基礎架構安全控制的效力提供了重要的驗證。這些審查的結果和對結果進行的持續評估可被用于後續的掃描、監控，以及風險彌補工作。

通過用自動化的方式部署标準強度的作業系統映像，并積極使用主機政策控制功能，如組政策，使得微軟可以控制微軟雲基礎架構中新增的伺服器。一旦部署完成，微軟的運維審查流程和更新檔管理工作就會提供持續的保護，減緩主機系統的安全風險。

• OSSC借助審計和報表實作檢測控制，并且在發生事件後，可提供深入資訊甚至法庭證據。由邊界防火牆、入侵檢測裝置，及網絡裝置生成的日志将通過SYSLOG協定進行集中收集，并作為檔案儲存。這些檔案中包含的針對特定事件的記錄則可解析并上傳到中央SQLServer資料庫。上傳的記錄可使用自動化工具進行分析，以便能找出針對被監控環境的異常行為或惡意活動的模式，如果對活動進行調查發現操作可能是被準許的，則還會觸發SIM團隊的警報。處理完每個日志檔案後，還會對檔案生成密碼哈希，并将其與相關檔案狀态儲存在同一個資料庫中。建立哈希後，每個資料檔案會被壓縮并存儲在備援的檔案歸檔伺服器中。哈希值使得在需要進行額外分析時，審計和調查人員能夠驗證存儲在檔案中的原始日志檔案的完整性。
• 對于微軟雲基礎設施中的一些重要伺服器，如域控制器、安全伺服器，以及包含敏感資訊的伺服器，其審計日志會通過微軟System Center Operations Manager 2007的Audit Collection Services(ACS)功能進行近乎實時的收集，并儲存在SQLServer資料庫中。由于這些環境會收集到大量資料，是以重要或相關事件(也叫作“感興趣的事件”)會從中提取出來，然後轉發到另一個SQL資料庫，針對該資料庫，OSSC會使用自動化的工具執行詳細的分析，并尋找可疑活動。從事件日志中收集的資訊包括使用者登入、安全政策配置的變動，以及未經授權的系統或應用程式檔案通路。與由邊界和網絡裝置生成的記錄類似，從審計日志中提取的感興趣的事件可以看作是控制失敗，對伺服器配置進行未經授權的修改，以及其他惡意活動的證據。

另外，針對微軟Operations Manager(MOM)和微軟System Center Operations Manager建立的自定義的管理包則提供了實時警報和健康監控功能。這樣即可從另一個角度了解安全問題、影響系統完整性的改動，以及特定系統的政策違背情況。這些MOM和System Center Operations Manager事件會被整合到标準的運維架構中。微軟内部運維團隊采用的方法也需要使用這些内容減緩不那麼緊迫的問題。

從不同日志檔案中提取的資訊可用于事件建立、報表生成，以及曆史趨勢等用途，所有這些内容都可用于驗證控制架構中控制機制的效力。

服務連續性

IaaS服務提供商應該保證資料中心的運作連續性，保證根據SLA的定義，保障服務連續性。IaaS服務連續性涉及技術和營運管理。技術方面包括：負載均衡技術、群集技術、系統高穩定性技術、虛拟化高可用性技術等。管理方面包括：運作監控、安全管理、更新檔管理等。

PaaS安全政策與實踐

PaaS雲提供給使用者的能力是在雲基礎設施之上部署使用者建立或采購的應用，這些應用使用服務商支援的程式設計語言或開發工具，使用者并不管理或控制底層的雲基礎設施，包括網絡、伺服器、作業系統或存儲等，但是可以控制部署的應用以及應用主機的某個環境配置。

PaaS(Platform as a Service，平台即服務)提供了應用基礎設施，軟體開發者可以在這個基礎設施之上建設新的應用，或者擴充已有的應用，同時卻不必購買開發、品質控制或生産伺服器。Salesforce．tom的Force．tom、Google的App Engine和微軟的Azure(微軟雲計算平台)都采用了PaaS的模式。這些平台允許企業建立個性化的應用，也允許獨立軟體廠商或者其他的第三方機構針對垂直細分行業建立新的解決方案。

PaaS在資訊安全方面需要考慮的因素包括以下幾個方面。

身份與通路管理

身份與通路管理涉及對使用者的身份認證／單點認證、授權以及使用者身份生命周期的管理。

(1)身份認證／單點登入：如何在企業中啟用單點登入，以簡化應用程式通路過程中的使用者體驗，并降低與額外的使用者憑據有關的風險和管理負擔?服務提供商是否支援使用單點登入所必需的，基于标準的聯合身份驗證技術?

(2)身份周期管理：管理使用者的傳遞，以確定使用者權限的精确和及時管理。企業還應考慮采用聯合身份驗證(如基于聲明的安全性)，以增強現有使用者權利在内部系統和雲服務之間的便攜性。

基于雲的服務要求安全地跨域協作，并保護防範人員和裝置身份的誤用。任何負責身份和通路控制的系統，尤其是針對高價值資産的此類系統，都應使用基于使用者面對面證明機制的身份架構，或者類似強度的其他流程，并使用強壯的加密憑據。這些憑據有助于實作“基于聲明”的通路控制系統，此類系統可對系統中任何實體的聲明進行身份驗證。該驗證系統的強度則應在保護系統使用者的隐私方面進行合理的權衡。為了幫助實作這一平衡，對于任何特定的事務或服務的連接配接，系統都應允許強聲明在不需要擷取任何非必要資訊的情況下進行傳輸和驗證。

安全的身份管理是任何環境的基礎，但在雲計算的環境中，可能會變得更加複雜。典型的雲系統通常包含多種身份聲明提供程式，并使用相對獨立的流程，是以必須充分了解并證明其可信。将服務遷往雲端往往會産生多個問題：身份的所有權歸誰?針對身份和通路管理可實施怎樣的控制?組織是否可更改聲明提供程式?聯合身份驗證功能如何用于不同提供程式?身份驗證和授權如何與身份進行捆綁?如何與組織範圍之外的，使用不同身份提供程式的人建立自由式的協作?

任何需要與不同應用程式進行互動的身份環境都必須使用身份聲明，并需要在雲端和本地建立雙向的，安全的資料通路控制遷移機制。這樣的環境必須可被組織，以及使用雲服務的個人所管理。

在幫助每個參與者了解某個身份提供程式可提供何種程度的信任和責任方面，身份提供程式的資質和聲譽系統扮演了重要的角色。在這種情況下，提供強憑據需求的數字化身份系統即可根據互動式聲明，同時對内部和雲提供商的使用者進行驗證，可極大地改善安全性和資料完整性。

資訊保護

服務運作過程中所涉及資料的敏感度是決定服務是否能夠由服務提供商進行管理的主要因素，如果可以，又應使用怎樣的通路控制機制以確定事務中可以滿足合規性義務的要求。通過實施有效的資料分類方法即可了解事務中所涉及資料的類型，并可确定在不同情況下需要使用的控制機制，這樣有助于組織更容易地做決策。無論資料儲存在哪裡，如何傳輸，組織都需要确定自己對于資料處理和資訊管理的接受程度。這一基本原則也适用于今天的内部環境。

另外，還需要了解在傳遞雲服務的過程中可能遭遇的挑戰，包括資料主權、資訊的通路，以及資料的分隔和處理。

• 多年來，已經針對資料的保護制定了相關的規章制度。這些制度通常都針對特定的司法制度，用于對資料的權威性劃定限制或範圍。随着雲計算的到來，資料可能會保管在最初确定的範圍之外，或位于多種不同的範圍或位置中。在客戶的司法範圍或位置之外承載資料可能導緻有關資訊管理和通路方面的問題，即誰或哪些實體對資料擁有“主權”。目前一些較新的雲服務正在嘗試通過允許客戶指定資料的實體存儲位置，解決這些挑戰。

• 當資訊的管理和控制從一方轉交給另一方，組織可能會失去保護、擷取，或移動資訊的能力。是以一定要了解誰控制了通路資訊所需的身份和身份驗證系統，備份資料都儲存在哪裡，是否支援對資料進行加密，加密解決方案有哪些相關成本(例如功能的缺失)，以及如果對服務提供商的選擇存在分歧，如何擷取對資料的通路和管理。例如，是否可以確定如果服務被取消，服務提供商無法保留任何資料。
• 最後，如果資料被存儲在公共雲中，承載資料的基礎設施可能是與其他組織所共用的。此時依然可以借助強資料保護實踐確定資料按照正确的方式進行分隔和處理。是以在準許在雲端處理資料之前，組織一定要明确誰可以通路自己的資料，并考慮相關風險是否是可接受的。另外還需要明确雲服務提供商的架構，以确信如何保護共享的虛拟機防範來自相同實體硬體上，被惡意使用者使用的其他虛拟機進行的各種形式的潛在攻擊。

設計資訊保護時，需要考慮的因素如表2所示。

　

服務連續性

• 如果要将關鍵業務流程遷移到雲計算模型下，還需要對内部安全流程進行更新，以允許多個雲提供商可以在需要時參與到這一流程中。這其中包括的流程有安全監控、審計、法定責任、事件響應，以及業務連續性等。這一協作必須被包含到客戶和雲提供商最初的雲傳遞工作中，并需要照顧到所有參與方的需求。對于某些應用或服務，服務的安全需求非常簡單直覺，但對其他服務(例如，涉及高價值資産的服務)，則需要考慮并建立更加嚴格的需求，包括實體安全需求、額外的日志，以及更深入的管理者背景核查等。

任何雲服務協定都應包含有關性能問題、管理等問題的詳細規劃，按照需要照顧到網絡和映像方面的法定責任，并包含在服務的傳遞遇到中斷後，負責進行修複的特定責任聯系人和流程。最終，該協定應當定義雲服務應以怎樣的價格提供何種程度的安全監控和審計功能。

SaaS安全政策與實踐

SaaS應用提供給使用者的能力是使用服務商運作在雲基礎設施之上的應用，使用者使用各種用戶端裝置通過浏覽器來通路應用。

SaaS在資訊安全方面需要考慮的因素包括以下幾種。

工程安全

SaaS安全非常重要的一方面是在服務設計、開發時引入安全的設計、編碼的考慮和評估。微軟自2002年以來，一直緻力于安全開發周期(SDL)的實踐活動，并取得了積極的效果。微軟SDL實踐的情況如下。

任何開發軟體的組織都應當遵循一定的設計和開發流程，以在自己的産品中包含安全和隐私保護功能。雲計算環境的設計和開發也是如此，并且往往需要一種流程，能夠将安全和隐私保護貫徹到應用程式和軟體開發的整個過程中一無論是由組織的開發部門，或者雲提供商和／或其他第三方開發的程式皆是如此。雖然作為一項收益，雲營運商可以提供整合式安全技能，但依然需要確定提供商的開發和維護流程在每個開發階段都考慮到安全和隐私保護。微軟的應用程式開發工作使用了安全開發生命周期技術，并已将其擴充到雲計算環境中開發工作的每個階段。

(1)需求。

這一階段的主要目标是确定主要安全目标，否則需要在確定最大程度的軟體安全性的同時，確定客戶易用性、規劃，以及計劃方面的影響降到最低。

(2)設計。

這一階段的關鍵安全步驟包括記錄潛在的攻擊面，以及建立威脅模型。

(3)實施。

在這一階段中，開發團隊必須采取措施以確定代碼中不存在已知安全漏洞，為此需要遵守一定的代碼編寫标準，并針對軟體的進化使用分析工具。

(4)确認。

在這一階段，團隊必須確定代碼滿足前期階段中建立的安全和隐私信條，團隊還需要完成公開釋出的隐私評估。

(5)釋出。

在這一階段需要進行最終的安全審查，這種審查有助于确定産品是否已經足夠安全，并可以釋出，為此需要確定軟體滿足所有标準的安全需求，并滿足任何額外的，與特定項目有關的安全需求。

(6)響應。

軟體釋出後，提供商還需要準備安全響應小組，以找出、監控、解決，以及響應安全事件和微軟軟體的安全漏洞。提供商還需要管理涉及整個公司範圍的安全更新釋出流程，并承擔單點協調和溝通的工作。

在對雲服務提供商進行評估時，應詢問有關提供商的特定安全開發流程方面的問題。這些流程應反映上述每個通用階段，因為上述每個領域對整體的安全開發流程都至關重要。另外還需要讨論這一安全流程在長期時間内的性質，包括威脅模型的更新頻率，安全響應小組的職能，以及客戶如何獲得有關安全更新的通知等。

應用安全設計架構

在應用設計、編碼時，在實行SDL的同時，需要采用安全設計架構以加強SaaS服務的安全性。應用安全設計架構如表3所示。

雲安全常見問題

雲計算所帶來的新興安全問題主要包含以下幾個方面。

1．雲計算資源的濫用

由于通過雲計算服務可以用極低的成本輕易取得大量計算資源，于是已有黑客利用雲計算資源濫發垃圾郵件、破解密碼及作為僵屍網絡控制主機等惡意行為。濫用雲計算資源的行為，極有可能造成雲服務供應商的網路位址被列入黑名單，導緻其他使用者無法正常通路雲端資源。例如，亞馬遜EC2雲服務曾遭到濫用，而被第三方列入黑名單，導緻服務中斷。之後，亞馬遜改采用申請制度，對通過審查的使用者，解除發信限制。此外，當雲計算資源遭濫用作為網絡犯罪工具後，執法機關介入調查時，為保全證據，有可能導緻對其他使用者的服務中斷。例如，2009年4月，美國FBI在德州調查一起網絡犯罪時，查扣了一家資料中心的電腦裝置，導緻該資料中心許多使用者的服務中斷。

2．雲計算環境的安全保護

• 當雲服務供應商某一服務或客戶遭到入侵，導緻資料被竊取時，極有可能會影響到同一供應商其他客戶的商譽，使得其他客戶的終端使用者不敢使用該客戶提供的服務。此外，雲服務供應商擁有許多客戶，這些客戶可能彼此間有競争關系，而引發強烈地利用在同一雲計算環境之便動機，去竊取競争對手的機密資料。
• 另一個在國内較少被讨論的雲安全問題是在多使用者環境中，使用者的活動特征亦有可能成為洩密的管道。2009年在ACM上發表的一份研究報告，即提出了在同一實體伺服器上攻擊者可以對目标虛拟機發動SSH按鍵時序攻擊。

以上安全問題的對策，有賴于雲服務供應商對雲計算環境中的系統與資料的有效隔離。但不幸的是，大多數的雲服務供應商都有免責條款，不保證系統安全，并要求使用者自行負起安全維護的責任。

3．雲服務供應商信任問題

傳統資料中心的環境中，員工洩密時有所聞，同樣的問題，極有可能發生在雲計算的環境中。此外，雲服務供應商可能同時經營多項業務，在一些業務和計劃開拓的市場甚至可能與客戶具有競争關系，其中可能存在着巨大的利益沖突，這将大幅增加雲計算服務供應商内部員工竊取客戶資料的動機。此外，某些雲服務供應商對客戶知識産權的保護是有所限制的。選擇雲服務供應商除了應避免競争關系外，亦應審慎閱讀雲服務供應商提供的合約内容。此外，一些雲服務供應商所在國家的法律規定，允許執法機關未經客戶授權，直接對資料中心内的資料進行調查，這也是選擇雲服務供應商時必須注意的。在歐盟和日本的法律限制涉及個人隐私的資料不可傳送及儲存于該地區以外的資料中心。

4．雙向及多方審計

其實問題1到3都與審計有關。然而，在雲計算環境中，都涉及供應商與使用者間雙向審計的問題，遠比傳統資料中心的審計來得複雜。國内對雲計算審計的讨論，很多都是集中在使用者對雲服務供應商的審計。而在雲計算環境中，雲服務供應商也必須對使用者進行審計，以保護其他使用者及自身的商譽。此外，在某些安全事故中，審計對象可能涉及多個使用者，複雜度更高。為維護審計結果的公信力，審計行為可能由獨立的第三方執行，雲服務供應商應記錄并維護審計過程所有稽核軌迹。如何有效地進行雙向及多方審計，仍是雲安全中重要的讨論議題，應逐漸制定相關規範，未來還有很多的工作需要做。

5．系統與資料備份

很多人都有這樣的認為，即雲服務供應商已做好完善的災備措施，并且具有持續提供服務的能力。事實上，已有許多雲服務供應商因網絡、安全事故或犯罪調查等原因中斷服務。此外，雲服務供應商亦有可能因為經營不善宣告倒閉，而無法繼續提供服務。面對諸如此類的安全問題，使用者必須考慮資料備份計劃。

另外一個值得注意的問題是，當不再使用某一雲服務供應商的服務時，如何能確定相關的資料，尤其是備份資料，已被完整删除，這是對使用者資料隐私保護的極大挑戰。這有待于供應商完善的安全管理及審計制度。

雲安全的應用研究方向

雲安全的應用研究方向主要有3個方向。

1．雲計算安全

主要研究如何保障雲計算應用的安全，包括雲計算平台系統安全、使用者資料安全存儲與隔離、使用者接入認證、資訊傳輸安全、網絡攻擊防護，乃至合規審計等多個層面的安全。

2．網絡安全裝置、安全基礎設施的“雲化”

網絡安全裝置的“雲化”是指通過采用雲計算的虛拟化和分布式處理技術，實作安全系統資源的虛拟化和池化，有效提高資源使用率，增加安全系統的彈性，提升威脅響應速率和防護處理能力，其研究主體是傳統網絡資訊安全裝置廠商。

對于雲安全服務提供商或電信營運商來說，其主要研究領域是如何實作安全基礎設施的“雲化”來提升網絡安全營運水準，主要研究方向是采用雲計算技術及理念建立、整合安全系統等安全基礎設施資源，優化安全防護機制。例如通過雲計算技術建構的超大規模安全事件、資訊采集與處理平台，可實作對海量資訊的采集、關聯分析，提高全網安全态勢把控能力、風險控制能力等。

3．雲安全服務

雲安全服務是雲計算應用的一個分支，主要是基于雲安全業務平台為客戶提供安全服務，雲安全服務可提供比傳統安全業務更高可靠性、更高成本效益的彈性安全服務，而且使用者可根據自身安全需求，按需定購服務内容，降低客戶使用安全服務的門檻。雲安全業務按其服務模式可分為兩類，若該服務直接向客戶提供，則屬于SaaS業務；若作為一種能力開放給第三方或上二層應用，則可歸類為PaaS業務。

雲安全的标準化組織

目前，雲安全研究還處于起步階段，業界尚未形成相關标準。但業已有70個以上的業界組織正在制定雲計算相關标準，其中超過40個宣稱有包含安全相關的議題。例如，美國的National Institute of Standards and Technology(NIST)已成立雲計算工作小組，并且也釋出了少數研究成果，但還沒有提出具體的标準。歐盟的European Network and Information Security Agency(ENISA)也釋出了雲安全風險評估與雲安全架構等相關研究成果。目前以Cloud Security Alliance(CSA)所釋出的雲安全研究成果，涵蓋面最為完整，但仍有很多領域的成果未釋出。

其次業界在雲計算應用安全方面的研究相對較多的是一些CSA、CAM等相關論壇。而在安全雲研究方面，主要由各安全裝置廠家自行對自有安全産品進行“雲化”研發，在業界并未形成相關标準組織或論壇。

• CSA是目前業界比較認可的雲安全研究論壇，其釋出的《雲安全指南》是一份雲計算服務的安全實踐手冊，準備或已經采用了雲計算服務的IT團隊從中可以獲得在如何選擇雲服務提供商、如何簽署合約、如何實施項目和監視服務傳遞等商業活動中的安全注意事項，這些推薦事項可以用來保證企業安全政策的正确順利實施，避免出現因安全事件、法律法規方面的疏忽或合同糾紛等帶來的商業損失。目前已有越來越多的IT企業、電信營運商加入到該組織中來。

另外，歐洲網絡資訊安全局(ENISA)和CSA聯合發起了一個項目——Common Assurance Metric-Beyondthe

Cloud(簡稱CAM)。CAM項目的研發目标是開發一個客觀、可量化的測量标準，供客戶評估和比較雲計算服務提供商安全運作的水準。CAM計劃于2010年底提出内容架構。學術界也成立了ACM Cloud Computing Security Workshop等專屬學術交流論壇。此外，ACM Conferenceon Compmer and Communications Security(CCS)也有雲安全專屬的分組。目前相關的學術研究，主要關注Web安全、資料中心及虛拟環境安全。

至于黑客界，也分别在BlackHatUSA2009及2010的大會上，發表了雲端服務及虛拟化環境的安全漏洞、利用雲端服務作為僵屍網絡惡意控制主機及虛拟環境中密碼方法的弱點等研究成果。

由于雲安全的許多領域正在積極發展，估計短期内很難有統一的雲安全标準。但根據業界專屬需求或特定部署方式制定的标準，較有可能于近期内釋出。

雲安全的發展趨勢

• 雲安全通過網狀的大量用戶端對網絡中軟體行為的異常監測，擷取網際網路中木馬、惡意程式的最新資訊，推送到服務端進行自動分析和處理，再把病毒和木馬的解決方案分發到每一個用戶端。雲安全的政策構想是：使用者越多，每個使用者就越安全，因為如此龐大的使用者群，足以覆寫網際網路的每個角落，隻要某個網站被挂馬或某個新木馬病毒出現，就會立刻被截獲。
• 雲安全的發展像一陣風，瑞星、趨勢、卡巴斯基、MCAFEE、SYMANTEC、江民科技、PANDA、金山、360安全衛士、卡卡上網安全助手等都推出了雲安全解決方案。瑞星基于雲安全政策開發的2009新品，每天攔截數百萬次木馬攻擊，其中2009年1月8日更是達到了765萬餘次。趨勢科技雲安全已經在全球建立了五大資料中心，幾萬部線上伺服器。據悉，雲安全可以支援平均每天55億條點選查詢，每天收集分析2．5億個樣本，資料庫第一次命中率就可以達到99％。借助雲安全，趨勢科技現在每天阻斷的病毒感染最高達1000萬次。
• 雲安全的核心思想是建立一個分布式統計和學習平台，以大規模使用者的協同計算來過濾垃圾郵件：首先，使用者安裝用戶端，為收到的每一封郵件計算出一個唯一的“指紋”，通過比對“指紋”可以統計相似郵件的副本數，當副本數達到一定數量，就可以判定郵件是垃圾郵件；其次，由于網際網路上多台計算機比一台計算機掌握的資訊更多，因而可以采用分布式貝葉斯學習算法，在成百上千的用戶端機器上實作協同學習過程，收集、分析并共享最新的資訊。反垃圾郵件網格展現了真正的網格思想，每個加入系統的使用者既是服務的對象，也是完成分布式統計功能的一個資訊節點，随着系統規模的不斷擴大，系統過濾垃圾郵件的準确性也會随之提高。用大規模統計方法來過濾垃圾郵件的做法比用人工智能的方法更成熟，不容易出現誤判假陽性的情況，實用性很強。反垃圾郵件網格就是利用分布網際網路裡的千百萬台主機的協同工作，來建構一道攔截垃圾郵件的“天網”。反垃圾郵件網格思想提出後，被IEEE Cluster2003國際會議選為傑出網格項目，在2004年網格計算國際研讨會上作了專題報告和現場示範，引起較為廣泛的關注，受到了中國最大郵件服務提供商網易公司的重視。既然垃圾郵件可以如此處理，病毒、木馬等亦然，這與雲安全的思想就相距不遠了。

雲安全與傳統網絡安全的差別

雲安全包括兩種含義，分别是雲計算應用的安全以及雲計算技術在網絡安全領域的具體應用。

• 雲計算安全與傳統資訊安全并無本質差別，但由于雲計算自身的虛拟化、無邊界、流動性等特性，使得其面臨較多新的安全威脅；同時雲計算應用導緻IT資源、資訊資源、使用者資料、使用者應用的高度集中，帶來的安全隐患與風險也較傳統應用高出很多。例如，雲計算應用使企業的重要資料和業務應用都處于雲服務提供商的雲計算系統中，雲服務提供商如何實施嚴格的安全管理和通路控制措施，避免内部員工或者其他使用雲服務的使用者、外部攻擊者等對使用者資料的竊取及濫用的安全風險。如何實施有效的安全審計、對資料的操作進行安全監控、如何避免雲計算環境中多客戶共存帶來的潛在風險、資料分散存儲和雲服務的開放性以及如何保證使用者資料的可用性等，這些都對現有的安全體系帶來新的挑戰。
• 許多安全問題并非是雲計算環境所特有的，不論是黑客入侵、惡意代碼攻擊、拒絕服務攻擊、網絡釣魚或敏感資訊外洩等，都是存在已久的資訊安全問題。許多人對雲安全的顧慮甚為擔憂，源自于混雜了網際網路固有的安全問題和雲計算所帶來的新興安全問題。例如，2009年12月，Zeus惡意代碼被入侵到亞馬遜(Amazon)服務，形成惡意控制主機事件，被許多人視為新興的雲安全問題。然而，同樣的安全問題也存在傳統的計算環境，這個事件再次說明了雲安全和傳統資訊安全在許多方面的本質是一樣的。
• 另外，在現有網絡安全形勢日益嚴峻的形勢下，傳統的網絡安全系統與防護機制在防護能力、響應速度、防護政策更新等方面越來越難以滿足日益複雜的安全防護需求。面對各類惡意威脅、病毒傳播的網際網路化，必須要有新的安全防禦思路與之抗衡，而通過将雲計算技術引入到安全領域，将改變過去網絡安全裝置單機防禦的思路。通過全網分布的安全節點、安全雲中心超大規模的計算處理能力，可實作統一政策動态更新，全面提升安全系統的處理能力，并為全網防禦提供了可能，這也正是安全網際網路化的一個展現。