業界普遍接受將云計算按照服務的提供方式劃分為三個大類：

• IaaS（Infrastructure as a Service–基礎設施即服務）

  IaaS是Infrastructure as a Service的縮寫，意思是基礎設施即服務。指把IT基礎設施作為一種服務通過網絡對外提供，并根據用戶對資源的實際使用量或占用量進行計費的一種服務模式。

• PaaS（Platform as a Service–平臺即服務）

  PaaS是Platform as a Service的縮寫，意思是平臺即服務，即把用戶所需運行軟件的平臺作為服務出租，PaaS層介于軟件即服務與基礎設施即服務之間。PaaS又分為2種：

  • 半平臺PaaS：只安裝操作系統，其他的用戶自己去安裝部署。這樣會比較麻煩，因為你需要有較強的技術實力，而且需要耗費部分資源去安裝軟件運行需要中間件、開發|運行環境、數據庫等。

  • 全平臺PaaS：安裝應用軟件依賴的全部平臺軟件，也就是全部部署完畢。不過大家也知道，世界上的應用軟件如此龐大，支撐他們的語言、數據庫、中間件、開發|運行環境可能都不一樣，PaaS云端公司不可能全部都去安裝，所以他們支持的軟件是有限的。

• SaaS（Software as a Service–軟件即服務）

  SaaS是Software as a Service的縮寫名稱，意思為軟件即服務，即通過網絡提供軟件服務。SaaS平臺供應商將應用軟件統一部署在自己的服務器上，客戶可以根據工作實際需求，通過互聯網向廠商定購所需的應用軟件服務，按定購的服務多少和時間長短向廠商支付費用，并通過互聯網獲得SaaS平臺供應商提供的服務。

企業組織面對重大網絡安全事故應對措施有以下這些：

• 持續性強化安全控制：企業組織要想解決配置問題導致的云泄密和系統暴露等問題，首先要提升自身對配置事故和配置問題的重視程度。配置事故多種多樣，有些是真正的錯誤或疏忽（未要求使用雙因素驗證方式訪問敏感資源），有些是系統對社會工程學攻擊缺乏足夠的防護，還有一些是因為企業組織不了解蓄意拼寫錯誤攻擊等攻擊手段。應對這一問題的解決方案有很多。企業組織可以設置更合理的默認權限，比如默認情況下所有內容都是私有的，必須采取明確的步驟使某些內容公開可見才可以被使用；還可以為云服務設置不重復的強密碼，并使用雙因素身份驗證，避免諸如Colonial Pipeline攻擊等由于密碼泄露所導致的安全事件發生；此外，企業組織還可以借助Shodan和Censys等漏洞掃描和互聯網掃描工具對企業潛在攻擊面進行定期評估。

• 保持可靠的數據和系統備份：勒索攻擊可能會給企業帶來經濟損失，是較為嚴重的攻擊類型，但企業組織通常存在僥幸心理，很少有企業積極地定制應對這類攻擊的防護方案。有些企業組織雖然擁有大批的應對勒索攻擊的老舊軟件產品，但卻漏洞百出，因此企業組織應認清升級、維護這些老舊系統產品的成本，與勒索攻擊真的發生時造成的業務中斷和財務相比損失孰輕孰重。雖然很多行業企業認為勒索攻擊并不一定會造成經濟問題，但對于醫院等企業組織而言，這是生死攸關的問題。雖然無法完全避免這類攻擊，但企業組織可以通過備份來應對攻擊者，實施有效的方案來對關鍵數據進行備份，可以保證攻擊發生后也可以快速恢復關鍵業務流程，進一步降低勒索軟件攻擊造成的影響。

• 數據分級分類管理：由于為保持業務順暢運行所需的全部數據數量龐大，全部進行備份難度大、成本高，而數據竊取和勒索軟件攻擊盜取的可能只是企業中的重要敏感數據。因此，備份大量的普通數據毫無意義。而且一旦發生數據泄露和勒索軟件攻擊，這對公司反而更加不利。因此，最好的預防措施是對現有數據進行徹底分析，對重要數據進行備份，刪除不需要的數據或轉移不太重要的數據。這樣，即使系統受到了攻擊，企業組織也能保護真正重要的數據。

• 威脅警報自動化響應管理：日常工作中，海量威脅警報中的噪音也是一直困擾企業組織的難題，針對該問題，自動化技術可助一臂之力。企業組織可以配置能夠對威脅警報進行優先級分類的自動化工具，以確定不同報警的重要程度，具備上下文關聯分析的能力的自動化工具在對威脅情報分類分級和自動化響應能力上更有優勢。如果想進一步提升安全防護能力，企業組織可以采用經典的縱深防御模式。該模式下，如果威脅出現在內部環境中，企業組織就可以在內部進行全方位的檢測、阻止和響應，就有更大的機會來阻止威脅。縱深防御模式幾乎對所有企業的安全團隊都有幫助，它為小型團隊提供了一種經濟高效、耗時更短的方法來加強安全；同時對大型企業的安全團隊來說，騰出了更多的時間和資源去處理更為重大的問題。

• 提前規劃恢復程序：正所謂“百密終有一疏”，無論企業組織的安全系統多嚴密，總可能存在漏洞。企業組織可以選購市面上最好的工具，但攻擊者也在適應新技術，使攻擊變得很強大，防守方的被動性是不可避免的，有些新型攻擊手段企業組織可能無法預防。在此情形下，提前規劃恢復流程很重要。企業在規劃恢復流程時，需要循序漸進，不能急于求成，恢復流程需要在假設失敗的前提下進行。因此企業組織可以結合內部的威脅檢測響應機制，選擇實施預防措施。一些典型的預防機制包括：對員工進行網絡安全培訓、采用不重復的強密碼以及雙因素身份驗證。另外，檢測和響應機制的建立應包括分析日志、網絡安全保險以及定期備份數據等多個流程，對此不可馬虎。

• 保護應用系統源代碼：防止源代碼被盜的一個方法是一視同仁地保護所有代碼數據，盡量遵循最小訪問權限原則。例如，要求只有負責處理源代碼的工作人員才有權對其進行訪問，但該方法的弊端在于，它會干擾開發人員的工作流程，使開發人員面臨訪問障礙、開發受阻等問題。因此最好的方案是，確保源代碼中永遠不會出現機密信息、密碼和密鑰。例如，有些軟件包有防止源代碼意外泄露和有意泄露的功能，比如用于掃描電子郵件及其他網絡流量以查找敏感數據工具上的數據防泄露軟件，企業組織可以采用此類軟件來保護源代碼。

• 加強員工安全防范意識：除了做好實際防備工作外，確保企業組織上下全體員工的安全防范意識也很重要。一邊開展實際的工作，一邊提升企業全體員工的網絡安全意識，這是保護自身的最佳方法。其實許多保證企業和個人網絡安全的防護手段非常基礎，例如為重要網站設置不重復的強密碼、使用雙因素身份驗證、確保軟件和操作系統是最新版本、避免點擊可疑或非法的鏈接地址、做好備份等。

與OSI安全體系結構相比DISSP安全體系結構的特點如下：

• 不允許下屬層次建立自己的安全體系：從最高層著眼，統籌解決全部國防網絡與信息系統的安全問題，不允許任何下屬層次各自為政并分別建立自己的安全體系。

• 分部分管理：把網絡與信息系統的組成簡化歸結為4個部分，即端系統、網絡、接口和安全管理。這樣便于網絡與信息系統的管理人員與安全體系設計人員之間的協商與協作，便于安全策略的落實和安全功能的完善。這是該安全體系結構的一大創新。

• 增列物理、規程和人員安全特性：在網絡安全特性中增列了“物理、規程和人員安全” 特性，第一次將有關安全的法律、法令、規程及人事管理等工作都納入安全體系結構，使安全問題能夠更有效地全面統籌解決。

• 受到局部破壞時仍能繼續工作：把在網絡安全體系受到局部破壞或功能降低情況下，仍能繼續工作且受敵危害最小的特性，列為要求的安全特性。

• 保證互操作性：從多個角度，特別強調了在確保網絡安全性的同時，保證網絡具有足夠的互操作性。

等級保護工作是由公安部的網安支隊負責，網安支隊監督是檢查、指導、協調全市公共信息網絡和國際互聯網的安全保護及管理工作，指導全市公安機關互聯網監控點建設和網上信息監控工作，查處危害公共信息網絡的違法犯罪案件，負責全市網吧安全管理工作及網吧違法案件的查處工作，負責重點領域計算機的安全管理工作。

公共信息網絡安全監察是國家賦予公安機關的一項重要職能，是公安機關在互聯網信息網絡領域承擔的 一項重要安全保衛任務。公共信息網絡安全監察部門是以網絡技術為主要手段，集情報信息、偵察控制 、打擊犯罪、防范管理于一體的實戰部門。

另外中國公安機關的職責還包括：

• 預防、制止和偵查違法犯罪活動；
• 防范、打擊恐怖活動；
• 維護社會治安秩序，制止危害社會治安秩序的行為；
• 管理交通、消防、危險物品；
• 管理戶口、居民身份證、國籍、出入境事務和外國人在中國境內居留、旅行的有關事務；
• 維護國（邊）境地區的治安秩序；
• 警衛國家規定的特定人員、守衛重要場所和設施；
• 管理集會、游行和示威活動；
• 監督管理公共信息網絡的安全監察工作；
• 指導和監督國家機關、社會團體、企業事業組織和重點建設工程的治安保衛工作，指導治安保衛委員會等群眾性治安保衛組織的治安防范工作。

傳輸中數據保護與靜態數據保護的區別主要有以下兩點：

• 靜態數據保護：在穩定的存儲系統中不經常更新的數據;組織通常以加密的形式存儲這些數據。定位和編目存儲在整個企業中的敏感信息。靜態數據有時被認為比在傳輸數據時更不容易受到攻擊，安全性更高所以使用的安全策略和加密技術與強制訪問控制級別低。

• 傳輸中的數據保護：正在通過各種端點接口生成、更新、處理、擦除或查看的數據。這種數據應為在傳輸過程中的不確定性和不穩定性導致保護過程中安全性降低，所以對數據文件安全策略、加解密技術與強制訪問控制使用的基本高。數據保護應當以零信任架構為指導，從資產、入侵、風險三個視角出發，實現覆蓋數據全生命周期的數據安全體系建設，包括數據發現與分類分級，數據使用安全、數據流動安全、外部入侵安全，數據存儲安全、態勢感知等安全能力輸出，構建全方位的數據安全保護體系。

入侵檢測系統能發現以下類型的攻擊：

• Denial of Service拒絕服務：利用域名解析服務器不驗證請求源的弱點，攻擊者偽裝成攻擊目標域名向全世界數以百萬計的域名解析服務器發送查詢請求，域名服務器返回的數據要遠大于請求的數據，導致目標遭受了放大數十倍的DDoS攻擊。被利用的域名服務器因此每天會收到大量的惡意請求，它也不斷的遭受較小規模的DDoS攻擊；

• Distributed DoS分布式拒絕服務：是指處于不同位置的多個攻擊者同時向一個或數個目標發動攻擊，或者一個攻擊者控制了位于不同位置的多臺機器并利用這些機器對受害者同時實施攻擊。由于攻擊的發出點是分布在不同地方的，這類攻擊稱為分布式拒絕服務攻擊，其中的攻擊者可以有多個；

• Brut-Force-Attack暴力拆解：是指攻擊者通過系統的組合所有可能性（例如登錄時用的賬戶名.密碼），嘗試所有的可能性破解用戶的賬戶名.密碼等敏感信息，攻擊者會經常使用自動化腳本組合出正確的用戶名和密碼；

• Portscan端口掃描：端口掃描是指某些別有用心的人發送一組端口掃描消息，試圖以此侵入某臺計算機，并了解其提供的計算機網絡服務類型（這些網絡服務均與端口號相關）。端口掃描是計算機解密高手喜歡的一種方式。攻擊者可以通過它了解到從哪里可探尋到攻擊弱點。實質上，端口掃描包括向每個端口發送消息，一次只發送一個消息。接收到的回應類型表示是否在使用該端口并且可由此探尋弱點；

• 嗅探攻擊：嗅探 sniff。嗅探器可以獲取網絡上流經的數據包。用集線器hub組建的網絡是基于共享的原理的，局域網內所有的計算機都接收相同的數據包，而網卡構造了硬件的“過濾器“通過識別MAC地址過濾掉和自己無關的信息，嗅探程序只需關閉這個過濾器，將網卡設置為“混雜模式“就可以進行嗅探。用交換機switch組建的網絡是基于“交換“原理的，交換機不是把數據包發到所有的端口上，而是發到目的網卡所在的端口，這樣嗅探起來會麻煩一些，嗅探程序一般利用“ARP欺騙“的方法，通過改變MAC地址等手段，欺騙交換機將數據包發給自己，嗅探分析完畢再轉發出去；

• 病毒攻擊：病毒是人為制造的，有破壞性，又有傳染性和潛伏性的，對計算機信息或系統起破壞作用的程序。它不是獨立存在的，而是隱蔽在其他可執行的程序之中。計算機中病毒后，輕則影響機器運行速度，重則死機系統破壞；

• 垃圾郵件：垃圾郵件還沒有一個非常嚴格的定義。一般來說，凡是未經用戶許可就強行發送到用戶的郵箱中的任何電子郵件都是垃圾郵件，因為目前沒有明確的定義所以該對該攻擊不能完全防御檢測；

• 木馬：木馬病毒是指隱藏在正常程序中的一段具有特殊功能的惡意代碼，是具備破壞和刪除文件、發送密碼、記錄鍵盤和攻擊Dos等特殊功能的后門程序。木馬病毒其實是計算機黑客用于遠程控制計算機的程序，將控制程序寄生于被控制的計算機系統中，里應外合，對被感染木馬病毒的計算機實施操作。一般的木馬病毒程序主要是尋找計算機后門，伺機竊取被控計算機中的密碼和重要文件等。可以對被控計算機實施監控、資料修改等非法操作。木馬病毒具有很強的隱蔽性，可以根據黑客意圖突然發起攻擊。

TCP/IP安全體系結構包括以下這些：

• TCP/IP物理層的安全性：TCP/IP模型的網絡接口層對應著OSI模型的物理層和數據鏈路層。物理層安全問題是指由網絡環境及物理特性產生的網絡設施和線路安全性，致使網絡系統出現安全風險，如設備被盜、意外故障、設備損壞與老化、信息探測與竊聽等。由于以太網上存在交換設備并采用廣播方式，可能在某個廣播域中偵聽、竊取并分析信息。為此，保護鏈路上的設施安全極為重要，物理層的安全措施相對較少，最好采用“隔離技術”保證每兩個網絡在邏輯上能夠連通，同時從物理上隔斷，并加強實體安全管理與維護。

• TCP/IP網絡層的安全性：網絡層的主要功能是用于數據包的網絡傳輸，其中IP是整個TCP/IP協議體系結構的重要基礎，TCP/IP中所有協議的數據都以IP數據報形式進行傳輸。TCP/IP協議族常用的兩種IP版本是IPv4和IPv6。IPv4在設計之初沒有考慮到網絡安全問題，IP包本身不具有任何安全特性，從而導致在網絡上傳輸的數據包很容易泄露或受到攻擊，IP欺騙和ICMP攻擊都是針對IP層的攻擊手段，如偽造IP包地址、攔截、竊取、篡改和重播等。因此，通信雙方無法保證收到IP數據報的真實性。IPv6簡化了IPv4中的IP頭結構，并增加了對安全性的設計。

• TCP/IP傳輸層的安全性：TCP/IP傳輸層主要包括傳輸控制協議TCP和用戶數據報協議UDP，其安全措施主要取決于具體的協議。傳輸層的安全主要包括：傳輸與控制安全、數據交換與認證安全、數據保密性與完整性等。TCP是一個面向連接的協議，用于多數的互聯網服務，如HTTP、FTP和SMTP。為了保證傳輸層的安全，Netscape通信公司設計了安全套接層協議SSL（Secure Socket Layer），現更名為傳輸層協議TLS（Transport Layer Security），主要包括SSL握手協議和SSL記錄協議兩個協議。

• TCP/IP應用層的安全性：在應用層中，利用TCP/IP運行和管理的程序有多種。網絡安全性問題主要出現在需要重點解決的常用應用系統（協議）中，包括HTTP、FTP、SMTP、DNS和Telnet等。

入侵檢測系統和堡壘機兩者無法比較，兩者的功能不同所以很難說那個比較好，兩者雖然都是防護產品，但是入侵檢測系統是進行主動檢測并加防御，而堡壘機綜合了核心系統運維和安全審計管控兩大主干功能來進行安全維護。入侵檢測系統是對堡壘機等安全設備的有益補充,二者都用于保障網絡或系統安全，部分功能是允許冗余的。二者的主要區別在于堡壘機屬于被動防御措施,而入侵檢測系統屬于主動防御措施。

堡壘機功能：

- 登錄功能
- 賬號管理
- 身份認證
- 資源授權
- 訪問控制
- 操作審計

入侵檢測功能：

- 識別各種黑客入侵的方法和手段，防范外部黑客的入侵
- 檢測內部人員的誤操作、資源濫用和惡意行為
- 多層次和靈活的安全審計，幫助用戶對內外網行為進行追蹤
- 實時的報警和響應，幫助用戶及時發現并解決安全問題
- 協助管理員加強網絡安全管理

信息安全威脅歸結起來包括以下幾個方面：

• 內部泄密：內部泄密指由于不嚴謹的企業內部管理，導致內部信息被企業內部人員有意或無意泄露，它是企業數據外泄的最主要原因。互聯網已成為企業信息泄露的巨大威脅。在利益的驅動下，員工點擊鼠標，復制數據，通過E-mail即可將信息傳出。

• 網絡竊聽：網絡監聽工具可以監視和截獲網絡狀態、數據流程以及網絡上信息傳輸。如果黑客獲取超級用戶權限，登錄主機，即可監控網絡設備并截獲數據。網絡竊聽指非法用戶在未經授權的情況下，通過Sniffer等竊聽軟件，偵聽網絡傳輸信道或服務器、路由器等關鍵網絡設備，通過竊聽數據的方法來獲得敏感信息。

• 病毒感染：計算機病毒是一組計算機指令或者程序代碼，它通過自我復制對計算機的功能和數據進行破壞，影響計算機的正常運轉甚至導致計算機系統癱瘓。計算機病毒因其破壞性而對計算機系統產生巨大威脅。

• 黑客攻擊：黑客攻擊是通過一定的技術手段進入內部網絡，通過掃描系統漏洞，利用系統中安全防護的薄弱環節或系統缺陷，攻擊目標主機或竊取其中存儲的敏感信息。網絡監聽、拒絕服務、密碼破解、后門程序、信息炸彈等都是黑客常用的攻擊方式。

• 非授權訪問：非授權訪問指未經系統授權就使用網絡或計算機資源，通過各種手段規避系統的訪問控制機制，越權對網絡設備及資源進行的訪問。假冒、身份攻擊和非法用戶進入網絡系統進行非法操作等，這些都是非授權訪問的幾種常見手段。

• 信息丟失：病毒感染或者黑客攻擊都會導致文件被刪除和數據被破壞，從而造成關鍵信息丟失。信息數據面臨的安全威脅來自多個方面。通過對信息數據安全威脅的分析可以知道，造成信息數據丟失的原因主要有軟件系統故障（操作系統故障、應用系統故障）、硬件故障、誤操作、病毒、黑客、計算機犯罪、自然災害等。

網絡安全體系的用途主要體現為：

• 有利于組織的網絡安全管理體系認證，證明組織有能力保障重要信息，能提高組織的知名度與信任度。

• 有利于系統性化解網絡安全風險，確保業務待續開展并將損失降到最低限度。

• 有利于強化工作人員的網絡安全意識，規范組織、個人的網絡安全行為。

• 有利于對組織的網絡資產進行全面系統的保護，維持競爭優勢。

• 有利于組織的商業合作。

使用無線加密協議

現在很多的無線路由器都擁有了無線加密功能，這是無線路由器的重要保護措施，通過對無線電波中的數據加密來保證傳輸數據信息的安全。無線加密協議（WEP）是無線網絡上信息加密的一種標準方法，它可以對每一個企圖訪問無線網絡的人的身份進行識別，同時對網絡傳輸內容進行加密。

一般的無線路由器或AP都具有WEP加密和WPA加密功能，WEP一般包括64位和128位兩種加密類型，只要分別輸入 10 個或 26 個 16 進制的字符串作為加密密碼就可以保護無線網絡。WEP協議是對在兩臺設備間無線傳輸的數據進行加密的方式，用以防止非法用戶竊聽或侵入無線網絡。許多無線設備廠商為了使產品安裝簡單易行，都把他們產品的出廠配置設置成禁止WEP模式，這樣做最大的弊端是數據可以被直接從無線網絡上讀取，因此黑客就能輕而易舉地從無線網絡中獲取想要的信息。另外，WEP密鑰一般是保存在Flash中，有些黑客可以利用網絡中的漏洞輕松進入。

主動更新

搜索并安裝所使用的無線路由器或無線網卡的最新固件或驅動更新，消除以前存在的漏洞。還有下載安裝所使用的操作系統在無線功能上的更新等，這樣可以更好地支持無線網絡的使用和安全，使自己的設備能夠具備最新的各項功能。

在合理位置放置天線

使無線接入點保持封閉，首先要正確放置天線，從而限制能夠到達天線有效范圍的信號量。天線的理想位置是目標覆蓋區域的中心，并使泄露到墻外的信號盡可能地少。不過，完全控制無線信號是幾乎不可能的，所以還需要同時采取其他一些措施來保證網絡安全。

禁用動態主機配置協議

動態主機分配協議（Dynamic Host Configuration Protocol，DHCP）的主要功能是幫助用戶隨機分配IP地址，省去了用戶手動設置IP地址、子網掩碼以及其他所需要的TCP/IP 參數的麻煩。這本來是方便用戶的功能，但卻被很多別有用心的人利用。一般的路由器 DHCP 功能是默認開啟的，這樣所有在信號范圍內的無線設備都能自動分配到IP地址，這就留下了極大的安全隱患。攻擊者可以通過分配的IP地址輕易得到很多你的路由器的相關信息，所以禁用DHCP功能非常必要。無線網絡使用這個策略后，將迫使黑客去破解目標的IP地址、子網掩碼和其他必需的TCP/IP參數。因為即使黑客可以使用無線接入點，但還必須要知道對應的IP地址。

禁用或修改SNMP設置

如果無線接入點支持簡單網絡管理協議（SNMP），那么需要禁用它或者修改默認的公共和私有的標識符。不這么做的話，黑客將可以利用SNMP獲取關于網絡的重要信息。

IP過濾和MAC地址列表

由于每個網卡的MAC地址是唯一的，所以可以通過設置MAC地址列表來提高安全性。在啟用了IP地址過濾功能后，只有IP地址在MAC列表中的用戶才能正常訪問無線網絡，其他的不在列表中的就自然無法連入網絡了。另外需要注意在“過濾規則”中一定要選擇“僅允許已設MAC地址列表中已生效的MAC地址訪問無線網絡”選項，要不無線路由器就會阻止所有用戶連入網絡。對于家庭用戶來說這個方法非常實用，家中有幾臺電腦就在列表中添加幾臺即可，這樣既可以避免鄰居“蹭網”也可以防止攻擊者的入侵。

但是，不是所有的無線接入點都支持這一功能，而且它必須手動輸入MAC地址過濾標準。支持這項功能的接入點可以利用TFTP（簡單文件傳輸協議）定期地來下載更新訪問列表，從而避免了必須使所有設備上的列表保持同步的巨大的管理工作量。

改變服務集標識符并且禁止SSID廣播

服務集標識符（SSID）是無線接入的身份標識符，是無線網絡用于定位服務的一項功能，用戶用它來建立與接入點之間的連接，為了能夠進行通信，無線路由器和主機必須使用相同的SSID。這個身份標識符是由通信設備制造商設置的，并且每個廠商都用自己的默認值。

在通信過程中，無線路由器首先廣播其SSID，任何在此接收范圍內的主機都可以獲得SSID，使用此SSID值對自身進行配置后就可以和無線路由器進行通信。在搜索無線網絡時，網絡的名字也就是SSID就會顯示在搜索結果中。一旦攻擊者利用通用的初始化字符串來連接無線網絡，極容易入侵到無線網絡中來。 盡管目前大部分無線路由器都已經支持禁用自動廣播SSID功能，仍需要給每個無線接入點設置一個唯一并且難以推測的 SSID，同時盡可能禁止 SSID 向外廣播。這樣，無線網絡就不能通過廣播的方式來吸納更多用戶，這不是說網絡不可用，只是它不會出現在可使用網絡的名單中。

云存儲訪問控制比傳統訪問控制有以下區別：

• 傳統用戶身份認證和數據訪問控制是在服務器可信的前提下進行，而云計算與云存儲環境下用戶身份認證和數據訪問控制是在不可信的服務器模型下。通常，云服務器會誠實地執行用戶的指令，但在各種利益驅動下，很難保證云服務提供商仍然誠實可信。

• 云存儲環境下用戶失去了對物理設備的控制權，很難實現用戶與云服務器之間的信任，同時虛擬化技術下多租戶特征可能導致合法用戶竊取同一物理設備上其他合法用戶的數據。

• 云存儲環境下，用戶對數據的訪問通常是有選擇性并被高度區分的，不同用戶對數據享有不同的權限。傳統的訪問控制是用戶在可信的服務器上存儲數據，而在云存儲環境下，用戶和云服務器不在同一個可信域內。另外，因為云服務器不完全可信，如果服務器被惡意攻擊者控制或者存在內部威脅，用戶的數據得不到任何安全保障。因此，必須利用云服務器的計算資源，實現細粒度的訪問控制，保證云中的數據、信息流、記錄等不被非法訪問。

• 云計算與云存儲是一個動態的分布式系統，需要綜合考慮時間、位置、云資源遷移等因素的影響，所以訪問控制模型要將云計算與云存儲中動態的因素作為訪問控制模型的約束條件進行研究。

• 云存儲的安全性相比普通傳統的存儲方式更加安全，“由云服務器組成的公有云，受到攻擊和數據損失的可能性非常低。公有云安全層是對惡意攻擊的有效阻隔，云服務商實時監控云集群，秒級處理突發的網絡攻擊，迅速阻止攻擊。公有云服務商部署有智能化的安全系統，可以自動更新系統補丁，自動在后臺修復漏洞，這是大多數企業的傳統服務器做不到的。 部署安全措施的成本和時間，及所消耗的資源，讓絕大數企業和開發者都難以承受。并且，安全技術上也遠遠沒有專業的云服務商可靠。

防火墻雙機模式有以下兩種：

• 雙機熱備模式：防火墻雙機熱備指是用HRP來做當一臺防火墻宕機另一臺防火墻會在一瞬間承擔去業務，該模式有兩種方式分別是主-備方式（Active-Standby方式）和雙主機方式（Active-Active方式），主-備方式即指的是一臺服務器處于某種業務的激活狀態（即Active狀態），另一臺服務器處于該業務的備用狀態（即Standby狀態）。而雙主機方式即指兩種不同業務分別在兩臺服務器上互為主備狀態（即Active-Standby和Standby-Active狀態）。

• 雙機冷備模式：防火墻雙機冷備指的是將配置好的防火墻的所有進行備份并拷貝到一臺相同型號的防火墻上，當一臺防火墻宕機時，手動人工干預來切換防火墻。雙機冷備會定時將數據備份至備份服務器或目標硬件，出現故障時不會自動接管，需手動啟硬件和服務。

APT攻擊中其中a代指技術高級，相對于其他攻擊形式更為高級和先進，其高級性主要體現在APT在發動攻擊之前需要對攻擊對象的業務流程和目標系統進行精確的收集。是一種利用先進的攻擊手段對特定目標進行長期持續性網絡攻擊的攻擊形式。APT攻擊是一類針對企業和政府重要信息資產的，對信息系統可用性、可靠性構成極大挑戰的信息安全威脅。

預防抵抗APT攻擊的方法有以下這些：

• 使用威脅情報：這包括APT操作者的最新信息；從分析惡意軟件獲取的威脅情報；已知的C2網站；已知的不良域名、電子郵件地址、惡意電子郵件附件、電子郵件主題行；以及惡意鏈接和網站。威脅情報在進行商業銷售，并由行業網絡安全組共享。企業必須確保情報的相關性和及時性。威脅情報被用來建立“絆網”來提醒你網絡中的活動。

• 建立強大的出口規則：除網絡流量（必須通過代理服務器）外，阻止企業的所有出站流量，阻止所有數據共享和未分類網站。阻止SSH、FTP、Telnet或其他端口和協議離開網絡。這可以打破惡意軟件到C2主機的通信信道，阻止未經授權的數據滲出網絡。

• 收集強大的日志分析：企業應該收集和分析對關鍵網絡和主機的詳細日志記錄以檢查異常行為。日志應保留一段時間以便進行調查。還應該建立與威脅情報匹配的警報。

• 聘請安全分析師：安全分析師的作用是配合威脅情報、日志分析以及提醒對APT的積極防御。這個職位的關鍵是經驗。

• 對未知文件進行檢測：一般通過沙箱技術罪惡意程序進行模擬執行，通過對程序的行為分析和評估來判斷未知文件是否存在惡意威脅。

• 對終端應用監控：一般采用文件信譽與嘿白名單技術在終端上檢測應用和進程。

• 使用大數據分析方法：基于大數據分析的方法，通過網路取證，將大數據分析技術和沙箱技術結合全面分析APT攻擊。

網絡安全等級保護是：

• 信息系統安全等級保護是國家信息安全保障工作的基本制度、基本策略、基本方法。開展信息系統安全等級保護工作不僅是加強國家信息安全保障工作的重要內容，也是一項事關國家安全、社會穩定的政治任務。信息系統安全等級保護測評工作是指測評機構依據國家信息安全等級保護制度規定，按照有關管理規范和技術標準，對未涉及國家秘密的信息系統安全等級保護狀況進行檢測評估的活動。公安機關等安全監管部門進行信息安全等級保護監督檢查時，系統運營使用單位必須提交由具有等級測評資質的機構出具的等級測評報告。

信息系統的安全保護等級分為以下五級：

• 第一級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。

• 第二級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。

• 第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。

• 第四級，信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。

• 第五級，信息系統受到破壞后，會對國家安全造成特別嚴重損害。