與云計算特點關系密切的幾個關鍵技術問題如下：

• 身份假冒：云計算面對的首要威脅。云計算基于網絡提供服務，所有的應用都放置于云端。與其他網絡應用相同，由于網絡的虛擬性，確認使用者的身份、確保身份的合法性是其面對的首要問題。一旦攻擊者獲取到用戶的身份驗證信息，假冒合法用戶，用戶數據將完全暴露在其面前，其他安全措施都將失效，攻擊者將可以為所欲為，如竊取、修改用戶數據，竊聽用戶活動，惡意消費等。因而，身份假冒是云計算面對的首要安全威脅。

• 共享風險：云計算特有的安全風險。云計算中，軟硬件平臺通過虛擬化為多個用戶所共享，從而實現IT資源利用效率和靈活性的最大化，優化資源使用，節約能源和硬件設備，并簡化管理，有效降低成本，這是云計算得以發展的關鍵。

• 數據安全風險及隱私泄露：用戶最為關注的問題。對于用戶而言，數據的安全性和隱私保護是其最為關注的問題。數據安全方面的風險包括數據泄露、數據篡改和數據丟失，可能發生在數據傳輸、處理、存儲的各個環節。用戶在使用云計算服務的過程中，不可避免地要通過互聯網將數據從其主機移動到云上，并登錄到云上進行相應的管理。在此過程中，不安全的客戶終端可能被黑客控制或者運行木馬程序，導致重要數據從終端泄露或者被篡改。

• 云計算平臺業務連續性：影響大量用戶、危害巨大。云計算平臺以多種標準和協議為基礎，包含虛擬機管理軟件、操作系統、中間件及各類應用系統等大量軟件，系統非常復雜，很難避免漏洞的存在，防護不當的計算和存儲會導致用戶的私密數據被非授權用戶非法訪問。如Amazon的AWS主頁所用的簽名算法就曾存在漏洞，而使其SimpleDB和EC2受到了影響。云計算平臺聚集了大量用戶應用和數據資源，因而更容易成為黑客的攻擊目標，因為一旦攻破它就能獲得大量的“戰利品”。同時，集中的資源放大了云平臺故障的危害。云平臺集中了大量用戶的計算和數據，一旦遭受黑客攻擊或其他軟硬件故障，會導致大量用戶計算的異常終止和數據丟失，危害巨大。

• 不安全的接口：使云服務面臨直接暴露的風險。開放性是云計算的重要特征之一，云計算服務按照不同應用層次，把硬件、平臺和應用軟件等按照一定的商務模式，提供標準API接口開放給用戶，由用戶將其集成到上層應用，按需進行使用。由于這些API由云計算服務直接對外開放，用戶用之管理及與服務交互，因此，從某種意義上說，API的安全性體現了云計算服務的安全性。

安全審計設備一般指裝有安全審計軟件的硬件產品，常見的審計設備包括網絡安全審計設備、數據庫安全審計設備、日志審計設備、運維安全審計設備，安全審計設備是指按照一定的安全策略，利用記錄、系統活動和用戶活動等信息，檢查、審查和檢驗操作事件的環境及活動，從而發現系統漏洞、入侵行為或改善系統性能的一種設備。

安全審計可以分為以下類型：

• 系統級審計：系統級審計主要針對系統的登入情況、用戶識別號、登入嘗試的日期和具體時間、退出的日期和時間、所使用的設備、登入后運行程序等事件信息進行審查。

• 應用級審計：應用級審計主要針對的是應用程序的活動信息，如打開和關閉數據文件，讀取、編輯、刪除記錄或字段的等特定操作，以及打印報告等。

• 用戶級審計：用戶級審計主要是審計用戶的操作活動信息，如用戶直接啟動的所有命令，用戶所有的鑒別和認證操作，用戶所訪問的文件和資源等信息。

物聯網針對網絡主動攻擊的預防措施有以下這些：

• 代碼加固：由于遠程接入、操作等智能終端的代碼小巧，容易被傳播復用，因此首先需謹慎處理代碼，可以建立代碼的安全審查制度。其次，智能終端芯片或嵌入式模塊往往缺乏安全保護容易被逆向分析，因此需加強代碼加固手段，防止代碼被破解、分析、植入等。

• 通信加密：射頻、藍牙等數據通信協議通常有各種版本的實現，開發人員為了最求快速部署，常常忽略通信加密，而導致數據分組被分析破解，因此，可以采用AES、SSL/TLS等標準化的加密算法或協議，或自行研制加密方案。

• 安全網關：智能家居等通常直接采用無線路由的接入方式，即支持多種物聯網智能終端的快速接入，這樣的接入設備最容易遭受黑客的劫持，因此需要研制部署物聯網安全網關。

• 身份認證：隨著物聯網應用的普及，可能每個人都可能成為智能手環、可穿戴設備、智能鑰匙等終端節點的持有者，建立既安全又便捷的統一身份認證體系變得越來越重要。生物識別、行為大數據分析、云端認證服務等有望解決物聯網的安全認證問題。

• 漏洞共享：近年來爆發的視頻攝像頭遠程控制和DDoS等物聯網安全事件，很大程度上在于業界缺乏足夠的安全意識和漏洞共享平臺，因此建立完善的漏洞播報和安全快速響應機制，對物聯網安全至關重要。

• 態勢感知：可以預測到未來數以億計的物聯網設備將部署在我們的周圍，因此跟蹤監控這些設備，及時掌握設備運行的安全狀態，將變得更加重要。目前已出現Shadon、ZoomEye等全球物聯網設備搜索引擎，也將成為網絡空間安全的一種常態化服務平臺。

內網信息收集大致分為5個步驟，即本機信息收集、域內信息收集、登錄憑證竊取、存活主機探測、內網端口掃描。

這里以華為云堡壘機導出日志為例，具體操作步驟如下：

1. 登錄云堡壘機系統；

2. 找到系統設置選擇數據維護，在數據維護中找到日志備份選項，進入日志備份配置管理頁面；

3. 在“本地備份”區域，單擊“新建”，彈出日志本地備份窗口，配置需備份日志和備份日期范圍；

   

4. 備份完成后直接點擊下載按鈕即可直接將日志文件下載到本地，即可完成日志導出。

   

硬件釣魚一般指攻擊者會將一些病毒或者木馬等控制程序植入到U盤或者USB設備中，并將其設置為接入計算機啟動。然后攻擊者會將這些帶有病毒程序的U盤丟棄到人流量比較大的商場或者廣場中，一旦有安全意識低的人將這些設備撿起后接入到自己的計算機中，里面寫有所執行的cmd命令會執行這些病毒，來操控你的計算機。這種釣魚方式成功率不高但是一旦被控制很難被發現。

防御硬件釣魚攻擊的方法有以下這些：

• 不要輕易將來路不明的U盤或者USB設備接入到個人計算機或者企業的內網中，防止來路不明的設備中存在病毒或者木馬。

• 如果要將來路不明的設備接入到計算機中時需要先使用病毒掃描工具將這些設備進行一次安全掃描后在接入到計算機中。

• 加強個人計算機和企業計算機中設備的的安全管理意識，及時更新殺毒軟件，升級操作系統的補丁。

• 提高警惕，不登錄不熟悉的網站，鍵入網站地址的時候要校對，以防輸入錯誤誤入陷阱網站，細心可以發現一些破綻。

• 不要打開陌生人的電子郵件，更不要輕信即時通訊工具上的傳來的消息，很有可能是病毒發出的。

• 安裝殺毒軟件并及時升級病毒知識庫和操作系統（如Windows）補丁。

• 將敏感信息輸入隱私保護，打開個人防火墻。

加強軟件運行期間安全的措施有以下這些：

• 軟件開發商或發行商應設置合理的監控措施，制訂漏洞響應計劃。

• 建立應用軟件漏洞修補跟蹤機制，對發現的漏洞根據其嚴重程度劃分等級，并安排處理優先級。

• 建立應用軟件漏洞分析機制，由安全工程師對漏洞進行分析，然后與開發團隊溝通后，共同制定漏洞修補方案。

• 在安全漏洞修補前，安全工程師應對補丁的源代碼進行再次檢查和測試，最后才能對外發布。

• 提供應急響應服務，以便及時安裝補丁，消除漏洞。

• 歸檔記錄出現過的漏洞，定期統計漏洞修補情況，并對漏洞數量、類型及原因進行分析。這是一種安全經驗的積累，也為其他應用軟件漏洞修補方案的制定提供了決策依據。

數據存儲安全包括以下四個方面：

• 數據訪問控制：應在關鍵數據存儲節點處對進出的數據進行過濾，實現對數據的訪問控制；應由授權主體配置訪問控制策略，訪問控制策略規定主體對數據的訪問規則；應授予不同賬號完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系；訪問控制的數據粒度應為文件、數據庫表級；應對敏感數據設置安全標記，并控制主體對有安全標記的信息的訪問。

• 數據備份和恢復：備份數據應采取與原數據一致的安全保護措施；應定期檢查重要業務數據備份的可用性；應支持數據周期備份或手工備份數據到系統中。

• 數據殘留與銷毀：應支持在發生初始化處理、用戶簽退、非正常退出等情況時清理存放密鑰等重要信息的文件；應提供存儲的過期數據及其備份數據徹底刪除的方法和工具，能夠驗證數據已被完全刪除或使其無法恢復；針對不同的存儲設備和存儲網絡，提供硬銷毀和軟銷毀的數據銷毀方法和技術；依據數據分級、分類建立相應的數據銷毀機制，明確銷毀方式和銷毀要求，按照國家相關法律和標準銷毀個人信息數據和國家重要數據。

• 加密存儲：對數據進行分類、分級，根據數據級別提供不同的加密措施，可進行全部加密、部分加密、不加密等措施；支持系統級、應用級、數據級的加密，采用機密技術保證數據不被破壞和泄露。

使用公鑰密碼有以下好處：

• 公鑰密碼更安全。任何一種現代密碼算法的安全性都依賴于密鑰長度、破譯密碼的工作量，從抗密碼分析角度評估，公鑰密碼更安全。

• 使用公鑰密碼實現密鑰分配非常簡單。使用公鑰密碼也需要某種形式的協議，通常包含一個可信中心，其處理過程并不比傳統密碼的密鑰分配過程更簡單。

• 公鑰密碼算法使得對稱密碼算法成為過時技術。公鑰密碼算法計算速度較慢，加密數據的速率較低，通常用于密鑰管理和數字簽名。實際應用中,人們通常將對稱密碼和公鑰密碼結合起來使用，對稱密碼算法將長期存在。

基于PKI的認證機制由以下組成：

• 數字證書：數字證書是由權威的第三方認證授權中心（CA）頒發的，用于標識用戶身份的文件。數字證書一般包括證書的版本信息、用戶的公鑰信息以及證書所用的數字簽名算法等信息。數字證書類似于人們生活中的身份證，主要用于證明某個實體（如用戶、客戶端、服務器等）的身份以及公鑰的合法性。在網絡通信中，通信雙方出示各自的數字證書，可以實現通信的雙向認證，保證通信的安全。數字證書的形式有很多種，由于PKI必須適用于異構環境，所以證書的格式在所使用的范圍內必須統一。其中最為廣泛的是遵循ITU-T X.509標準的數字證書V3版本。許多與PKI相關的協議標準（如PKIX、S/MIME、SSL、TLS、IPSec）等都是在X.509基礎上發展起來的。

• 注冊授權中心：注冊授權中心是負責證書注冊任務的可信機構（或服務器）。對于第一次使用PKI進行認證的用戶，RA負責建立和確認用戶的身份。RA不負責證書的事務，它作為用戶和CA的中間人。需要生成證書的時候，用戶向RA發送請求，RA將請求轉發給認證授權中心（CA）。

• 認證授權中心：認證授權中心是PKI中存儲、管理、發布數字證書的可信機構（或服務器）。當用戶請求生成證書的時候，RA驗證用戶的身份并將用戶的請求發送給CA。CA創建證書，簽名并在證書的有效期內保管證書。

• 數字證書庫：數字證書庫是存儲數字證書的部分。數字證書庫中除了包括所有的數字證書，還包括已注銷的數字證書。PKI定期對數字證書庫進行更新，確保認證的相關數據的完整性和正確性，防范篡改和偽造的行為。

部署SSL證書很重要，會激活網站上的HTTPS協議。 當網站受到保護并且認證時，綠色掛鎖和HTTPS將出現在瀏覽器的地址欄左側。

• 全球信任的SSL證書，瀏覽器地址欄會顯示安全鎖標識，確保在線數據傳輸是安全加密傳輸的，100%保證電子商務系統在線交易數據傳輸的安全。

• 所有瀏覽器地址欄變成綠色，http升級至https，顯示網站的單位名稱和認證級別，讓用戶確信此網站的真實可信身份。

• 為網站安全提供后臺安全掃描服務，能實時發現網站掛馬和各種安全漏洞。

• 提高網站權重，利于網站seo，提升搜索引擎排名。

可以使用有效的工具、技術來保護數據庫的安全：

• 基本加密

  基本加密雖然簡單，但對很多企業是完全夠用的。基本加密保護數據的方法就是，不論是存儲的、還是傳輸的數據，都用一把鎖將數據加密起來，只有擁有鑰匙的人才可以訪問數據庫，并對數據進行操作。

  如果訪問者輸入的加密密鑰錯誤，他將無法讀取數據。由于基本加密較為簡單，一些攻擊者會通過尋找相同密碼的方法攻擊數據庫，因此，它的保護程度是有限的。

• 同態加密

  如果企業使用加密方式是傳統的算法，那么，當用戶對它進行解密時，解密的過程極有可能被其他訪問者看到。而使用同態加密（HE）這種隱私保護技術，訪問者可以直接在加密數據上執行計算任務。

• 使用數字簽名

  數字簽名就是只有信息的發送者才能產生的別人無法偽造的一段數字串，這段數字串同時也是對信息的發送者發送信息真實性的一個有效證明。像RSA或DSA這樣的數字簽名算法是更為復雜的計算，它將散列函數的篡改檢測特性與帶有認證信息的特定個人或機構相結合。他們依賴一個只有責任方知道的秘密密鑰。

• 建立全分布式數據庫

  一筐雞蛋不能放在同一個籃子里，企業的數據同樣也是，可以將數據庫分成幾個部分，再根據不同部分的數據性質，進行安全保護。通過建立全分布式數據庫，當用戶訪問的數據不需要集中分析和處理時，訪問速度會更快。

通常將安全策略劃分為以下這些等級：

• 一切都是禁止的：這種策略等級是最高保護策略，其實現方法是切斷內部網絡與外部網絡的連接。采用這種策略雖能有效防止內部網絡遭受外部攻擊，但也隔絕了內部網絡與外界的連接。通常情況下，這是一種不可取的策略。

• 一切未被允許的都是禁止的：這種策略開放（允許）有限的資源，對于未明確允許的資源禁止訪問。

• 一切未被禁止的都是允許的：這種策略只禁止對部分資源的訪問，對于未明確禁止的資源都允許訪問。

• 一切都是允許的：這是沒有任何保護的策略，即把內部網絡的全部資源完全對外開放，不加任何保護。通常情況下，這種策略也是不可取的。

網絡的安全策略包括以下這些方面：

• 物理安全策略：物理安全策略的目的是保護計算機系統、網絡服務器及打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限，防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境；建立完備的安全管理制度，防止非法進入計算機控制室，防止各種偷竊和破壞活動。抑制和防止電磁泄漏是物理安全策略的一個主要問題。目前，主要防護措施有以下兩類。一類是對傳導發射的防護，主要對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導線間的交叉耦合。另一類是對輻射的防護，這類防護措施又可分為以下兩種：一是采用各種電磁屏蔽措施，如對設備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機系統工作的同時，利用干擾裝置產生一種與計算機系統輻射相關的偽噪聲并向空間輻射以掩蓋計算機系統的工作頻率和信息特征。

• 訪問控制策略：訪問控制策略是網絡安全防范和保護的主要策略，它的主要任務是保證網絡資源不被非法使用和非常訪問。它也是維護網絡系統安全和保護網絡資源的重要手段。各種安全策略必須相互配合才能真正起到保護的作用。訪問控制可以說是保證網絡安全最重要的核心策略之一，主要包括入網訪問控制、網絡的權限控制、目錄級安全控制、屬性安全控制、網絡服務器安全控制、網絡檢測和鎖定控制及網絡端口和節點的安全控制等。

• 防火墻控制策略：防火墻控制策略是控制進出兩個方向通信的門檻。在網絡邊界上通過建立起來相應的網絡通信監控系統隔離內部和外部網絡，以阻擋外部網絡的侵入。

• 網絡加密控制策略：網絡加密控制策略的目的是保護網內傳輸的數據、文件、口令和控制信息，保護網上傳輸的數據。常用的網絡加密方法有鏈路加密、端到端加密和節點加密3種。鏈路加密的目的是保護網絡節點之間的鏈路信息安全，端到端加密的目的是對源端用戶到目的端用戶的數據提供保護，節點加密的目的是對源節點到目的節點之間的轉發節點提供保護。

• 網絡安全管理策略：在網絡安全中，除了采用上述措施之外，加強網絡的安全管理，制定有關的規章制度，對于確保網絡安全可靠地運行起到十分有效的作用。網絡安全管理策略包括確定安全管理的等級和安全管理的范圍、制定有關網絡使用規程和人員出入機房的管理制度、制定網絡系統的維護制度和應急措施等。

分組交換的缺點主要有：

• 傳輸效率較低：由網絡附加的信息比較多，對長報文通信的傳輸效率較低。按照分組交換的要求，一份報文要分割成許多分組在網內傳輸，為了保證這些分組能夠按照正確的路徑安全準確地到達目的地，要給每個數據分組加上控制信息（分組頭）。此外，還必須附加許多控制分組，用它們來實現數據通路的建立、保持和拆除，并進行差錯控制和流量控制等。可見，在分組交換網內除了傳輸有用的用戶數據之外，還要傳輸許多輔助控制信息。對于那些長報文而言，分組交換的傳輸效率可能不如電路交換或報文交換高。

• 技術實現復雜：分組交換機要對各種類型的分組進行分析處理，為分組的傳輸提供路由，并且在必要時自動進行路由調整，為用戶提供速率、編碼和通信協議的變換，為網絡的維護管理提供必要的報告信息等，因而技術復雜，要求交換機具有較高的處理能力。

• 時延較大：由于節點處理任務較多，信息從一端傳送到另一端，穿越網絡的路徑越長、節點越多，分組時延越大。這種傳統的分組交換主要用于數據通信，很難應用于實時多媒體業務。

• 額外開銷大：因為結點是分布的，在網絡一部分狀態的改變與網絡其他部分得知這個改變之間總是有一個時延。傳遞狀態信息需要一定的費用，因此其額外開銷較大。

分組交換的優點主要有：

• 向用戶提供了不同速率、不同編碼方式、不同通信協議的數據終端之間能夠相互通信的靈活的通信環境。

• 在網絡負荷較輕的情況下，信息的傳輸時延較小，而且時延的變化不大，能夠較好地滿足計算機實時交互業務的要求。

• 實現了線路的動態統計復用，通信線路（包括中繼線和用戶線）的利用率很高，在一條物理線路上可以同時提供多條信息通路。

• 可靠性高。分組在網絡中傳輸時可以在中繼線和用戶線上分段進行差錯校驗，使信息在分組交換網絡中傳輸的比特差錯率大大降低，一般可以達到10-10以下。由于分組在網絡中傳輸的路由是可變的，當網絡中的設備或線路發生故障時，分組可以自動地避開故障點，故分組交換的可靠性高。

• 經濟性好。信息以分組為單位在交換機中存儲和處理，不要求交換機具有很大的存儲容量，降低了網絡設備的費用；對線路的動態統計復用也大大降低了用戶的通信費用。

傳統企業和互聯網企業在安全建設需求上的差異有以下兩種：

• 管理手段上的差異：傳統企業和互聯網企業在安全建設需求上的差異是傳統企業的安全建設在管理手段上比較重視ISMS（信息安全管理體系）的建設，重視制度流程、重視審計，有些行業也必須做等級保護以及滿足大量的合規性需求。而互聯網企業的安全建設互聯網公司基本不太會考慮等保、合規需求，只從最實際的角度出發，這一點是比傳統企業更務實的地方。

• 信息安全管理上的差異：與辦公網絡和雇員信息安全管理相比，互聯網公司的文化比較開放，一般不太會維持激進的安全政策（對雇員做太多信息安全方面的管制和限制），這點也是跟傳統企業差別比較大的地方。

傳統企業安全需要應對如下問題：

• IT資產相對固定。

• 業務變更不頻繁。

• 網絡邊界比較固定。

• IDC規模不會很大，甚至沒有。

• 使用基于傳統的資產威脅脆弱性的風險管理方法論加上購買和部署商業安全產品（解決方案）通常可以搞定。

大型互聯網企業需要應對如下問題：

• 海量IDC和海量數據。

• 完全的分布式架構。

• 應對業務的頻繁發布和變更。

• 同時架構層面需要關注：高性能、高可用性、（水平）擴展性、TCO（ROI）。

傳統企業和互聯網企業在安全建設需求上的差異

1.從安全建設上來看傳統企業的安全建設是在邊界部署硬件防火墻、IPS/IDS、WAF、商業掃描器、堡壘機，在服務器上安裝防病毒軟件，集成各種設備、終端的安全日志建設SOC，當然購買的安全硬件設備可能遠不止這些。在管理手段上比較重視ISMS（信息安全管理體系）的建設，重視制度流程、重視審計，有些行業也必須做等級保護以及滿足大量的合規性需求。互聯網企業的生產網絡中，安全解決方案基本上都是以攻防為驅動的，怕被黑、怕拖庫、怕被劫持就是安全建設的最直接的驅動力。互聯網公司基本不太會考慮等保、合規這種形而上的需求，只從最實際的角度出發，這一點是比傳統企業更務實的地方。

2.自研或對開源軟件進行二次開發+無限水平擴展的軟件架構+構建于普通中低端硬件之上（PC服務器甚至是白牌）+大數據機器學習的方式，是目前大型互聯網公司用來應對業務持續性增長的主流安全解決方案。是否真的到了機器學習階段這個有點難說，但是安全進入大數據時代則是肯定的。

與辦公網絡和雇員信息安全管理相比，互聯網公司的文化比較開放，一般不太會維持激進的安全政策（對雇員做太多信息安全方面的管制和限制），這點也是跟傳統企業差別比較大的地方。