建立數據中心的目的是為了更好地利用數據、挖掘數據，向數據要效益。在數據中心中應用云計算技術則是一個必然的趨勢。而從數據中心獲得效益就必須有一個相對安全穩定的環境作為支撐，因此研究云計算數據中心的信息安全體系架構具有重要意義。

一、云計算綜述

(一)云計算簡介

云計算指IT基礎設施的交付和使用模式，指通過網絡以按需、易擴展的方式獲得所需資源。從更深層次的角度來看，也可以不局限于IT基礎設施，可以將其擴展到服務的層面。這種服務可以是IT和軟件、互聯網相關，也可以是其他服務。它的核心思想是，統一管理和調度大量用網絡連接的計算資源，構成一個計算資源池向用戶提供按需服務。提供資源的網絡被為“云”。

“云”中的資源在使用者看來是可以無限擴展的，并且可以隨時獲取、按需使用、隨時擴展。簡單來說，云計算系統可以看成是有網絡瀏覽器和“云”兩部分構成，而云就是由內部互連的眾多虛擬機組成的并行分布式計算系統，能夠根據服務提供商和客戶之間協商好的服務等級協議動態提供計算資源。

云計算的基本原理是，計算在大量的分布式計算機上完成，而不是在本地計算機或遠程服務器中完成，數據中心的運行將更與互聯網相似。資源可以被便捷地切換到需要的應用上，用戶可以根據需求訪問計算機和存儲系統。在以云計算模型作為基礎的數據中心里，用戶對于軟硬件設施的依賴大大降低，他們使用的僅僅是由數據中心提供的服務，“一切即服務”(XaaS)。

作為云計算的重要特征，“一切即服務”分為3方面，基礎設施即服務(InfrastructureasaService，IaaS)、平臺即服務(PlatformasaService，PaaS)和軟件即服務(SoftwareasaService，SaaS)。從云計算的技術架構角度來看，IaaS包含了機房設備等所有的基礎設施資源。PaaS位于IaaS的上一層，為用戶提供一個集應用開發、中間件使用以及數據庫、消息和隊列等功能于一身的平臺。PaaS允許開發者在該平臺之上開發應用，所使用的編程語言和工具由PaaS支持提供。SaaS位于IaaS和PaaS之上，能夠提供獨立的運行環境，用來為用戶提供完整的使用體驗，包括內容展現和應用管理等。

(二)云計算的優勢與劣勢

作為一種新興的系統模型，云計算有其獨到的優勢。第一，容易部署和配置方便，在公有云中，用戶可以通過Internet輕松訪問，而在私有云中，用戶則可以通過自建局域網獲取服務。第二，可擴展性保證了云計算模型可以從小型的驗證性模型平滑擴展到大型數據中心的建設上，可以同時為大量的節點提供數據服務。

第三，云計算具有高可用性的特點，在整個模型中，即使一部分計算節點失效，也不會影響向用戶提供服務。第四，建設成本降低。云計算是一種規模經濟，規模越大，相對建設成本就越低。第五，資源共享變得更加容易。第六，有助于實現集中化管理，降低管理和維護成本。

同時，云計算在實際應用中也有一些缺陷。第一，安全性有待提高，從2008年~2010年，全球發生了若干起數據中心信息安全事件，其中有80%的事件出現在基于云計算模型建設的數據中心。第二，服務質量的保障。第三，在由傳統數據中心平臺遷移到云計算數據中心時，可能會出現分布式業務的平滑過渡問題。

(三)遷移到云環境后的收益

云計算技術的推出將為數據中心帶來增強數據安全性、加快信息共享速度、提高服務質量、降低運營成本等益處。

第一，增強數據處理能力。通過把云計算技術與數據挖掘技術相結合，可以從海量數據中快速提取出有價值的信息，為機構的決策提供服務。分布在云中成千上萬的計算機群提供強大的計算能力，并通過網絡將龐大的計算處理程序拆分成無數個較小的子程序。云計算技術能在短時間內對大量的業務數據進行存儲、分析、處理、挖掘、關聯，從而極大地增強了數據處理能力。

第二，增強數據的存儲能力和可靠性。一方面，云中的眾多服務器正好可以提供強大的存儲能力，網絡中不同類型的大量存儲設備通過應用軟件集合起來協同工作，滿足業務不斷增長帶來的龐大數據存儲需要。另—方面，云計算也提高數據的可靠性。即使某臺服務器出現故障，其他服務器也可以在極短時間內快速將其數據備份到其他服務器上，并啟動新的服務器以提供服務。

第三，降低數據中心運營成本，提高運營效率。隨著業務的不斷發展，逐漸從一個地區擴展到其他地區，分支機構不斷增多。為此不得不花費大量的資金購買數量眾多的計算機設備，從而造成數據中心運營成本急劇上升。如果采用云計算技術，就能像規模經濟靠攏，長遠看來是可以極大的降低運行成本，提高運營效率。

二、云計算的安全性

云計算數據中心面臨的安全風險分為3個層面，共4類。34個層面分別為數據、應用和虛擬化，4類分別為傳輸安全、存儲安全、恢復安全和審計安全，其中傳輸安全為數據層面所獨有。

為化解上述安全風險，目前可以采用的技術有以下幾種。

1.資源訪問控制。在云環境中，資源被分為若干訪問區域，用戶有跨區域共享數據的權利，但需要在每個區域設置身份認證和身份管理策略，同時設置訪問控制策略。資源訪問控制技術主要解決優先訪問權、管理權限等風險。

2.數據存在與可使用性。云計算數據中心與傳統數據中心相比，數據規模更大，而大規模的數據會使數據中心在提供服務時面臨巨大的通信壓力。數據在傳輸和使用中會出現正確性和可靠性無法保證的情況，而在服務高效率的要求下，等到數據完全傳輸到本地再檢查其準確性和可靠性是不現實的，因此需要通過數據存在與可使用性技術來判斷遠端數據是否正確可用。

3.數據隱私保護。該技術主要是應對云計算數據中心的數據泄漏風險。

4.虛擬化安全。數據中心在向云計算平臺遷移的過程中必然要使用到虛擬化技術，該技術一般應用在PaaS層面中，因此保證虛擬化平臺的安全對于云數據中心的整體安全是非常重要的。

5.可信的云計算平臺。云計算平臺分為公有云和私有云兩類，私有云計算平臺一般為用戶自行搭建，不使用公共網絡中云服務提供商的服務。而公有云計算平臺則涉及使用第三方云服務提供商的產品，可信的云計算平臺技術可以保證云平臺，特別是公有云平臺的可靠性和持久性。

三、傳統數據中心的信息安全體系架構

傳統數據中心所面臨的安全威脅主要來自3個方面，一是面向應用層的攻擊，二是面向網絡層的攻擊，三是面向基礎設施的攻擊(這里的基礎設施是指網絡、主機等信息系統硬件設施)。因此傳統數據中心的信息安全防護體系一般按照“多層防護、分區規劃、分層部署”的原則來進行。

(一)多層防護

多層防護大體上分為3層，第一層是高性能硬件防火墻，第二層是具有高性能檢測引擎的IDS甚至是IPS，第三層是具有豐富安全功能的路由器和交換機。這種分層方式比較宏觀，從更微觀的角度來看，根據0SI7層模型，數據中心還建立了從鏈路層到應用層的非常具體的信息安全防護體系，例如防病毒網關、數據防泄漏等防護手段和防護設備。

(二)分區規劃、分層部署

數據中心存在不同價值和易受攻擊程度不同的設備，按照這些設備的情況制定不同的安全策略和信任模型，將數據中心劃分為不同區域，這就是分區規劃。通常，數據中心根據不同的信任級別可以劃分為遠程接入區、Internet服務器區、局域網外部服務器區、局域網內部服務器區、管理區、核心區等。

傳統數據中心的分層架構除了體現在傳統的網絡3層部署(接入層、匯聚層、核心層)上，還體現在應用系統的設計部署上。多層架構把應用服務器分解成可管理的、安全的層次，這樣可以避免將所有功能都駐留在單一服務器時帶來的安全隱患，增強了擴展性和高可用性。

(三)安全防護技術

根據傳統數據中心的信息安全架構，有多種安全防護技術對其進行支撐。安全防護技術同樣分為3個層次。第一層是數據中心網絡基礎設施防護技術，包括基于VLAN的端口隔離、STPRoot/BPDUGuard、端口安全。第二層是數據中心邊界防護技術，包括防火墻的使用和管理等。第三層是數據中心應用安全防護技術，包括病毒防護、數據泄漏防護、數據存儲防護等。

四、云環境下數據中心的信息安全體系架構

在建設云計算數據中心時，由于資源整合程度和共享程度很高，不論是數據安全、應用安全還是虛擬化安全，都以服務的方式交付給數據中心用戶。在這種建設思路的指引下，云計算數據中心的信息安全體系和傳統數據中心的安全防護體系差別很大，歸結起來主要有以下幾個方面。

(一)新增虛擬化安全要求

云計算數據中心的虛擬化分為軟件虛擬化和硬件虛擬化。所謂軟件虛擬化是指將軟件直接部署在實體機上，提供創建、運行和撤銷虛擬服務器的能力。在這種情況下，用戶具有了同時操作多臺虛擬服務器的條件，所以必須嚴格限制任何未經授權的用戶訪問虛擬化軟件層，例如建立嚴格的控制措施，限制對于Hypervisor和其他虛擬化層次的物理和邏輯訪問控制。硬件虛擬化的安全可以借鑒物理服務器的安全措施，主要從實體機選擇、虛擬服務器安全和日常管理3個方面來制定安全防護方案。另外，在資源高度整合的條件下，對資源的按需分配、數據之間的安全隔離提出了更高的要求，安全設備應適應云計算數據中心虛擬化要求。

(二)安全邊界混雜

傳統數據中心的安全防護體系建設的一個重要思路就是基于邊界的安全隔離和訪問控制，并且強調分區規劃，分層防護。但是在云計算數據中心里，資源高度整合，基礎設施架構統一化，安全設備的部署邊界已經變得十分模糊，甚至有消失的趨勢。

(三)安全威脅發現和處理作用范圍變大

在傳統數據中心里，安全威脅的信息來源主要是客戶端上部署的安全軟件和網絡中部署的硬件安全產品。管理人員在得到信息后，可以在很短的時間內對安全威脅進行處理，但這種處理是分區域的，也就是說無法做到整個數據中心的集中防范和集中處理，無法形成整體的安全防護。而在云計算數據中心里，安全威脅的感知和處理都將趨于統一，信息共享率極高，安全防護體系比傳統數據中心的體系更加宏觀，防護范圍更大。根據云計算數據中心信息安全體系建設的新情況，云計算數據中心的信息安全防護可以從以下幾個方面綜合考慮。

1.注重對虛擬化的支持

虛擬化是云計算數據中心的關鍵技術，現代化數據中心的基礎網絡架構、存儲資源、計算資源以及應用資源都已經在向虛擬化靠攏。無論是為了滿足不同用戶的需求，提供個性化資源服務，還是為了利用邏輯隔離手段來保證數據安全，虛擬化都是一個非常好的選擇。因此，在建設云計算數據中心的安全防護體系時，對虛擬化的支持是十分重要的。

2.建設統一安全威脅防護系統

由于云計算數據中心的安全邊界已經變得模糊不清，資源高度整合，管理員即使有能力對整個數據中心進行分區，也只能是基于邏輯的劃分，物理上的安全邊界已經不復存在。在這種情況下，針對用戶單獨部署獨立的安全系統已不現實。安全設備的部署應該從原來的基于各子系統的安全防護，轉移到基于整個云計算數據中心的安全防護，建設統一安全威脅防護系統。打個形象的比喻，云計算數據中心的安全威脅防護系統應該像一個罩子，覆蓋住整個數據中心。

3.形成安全風險陜速反應機制

在云計算數據中心的安全建設中，充分利用云計算強大的資源共享能力和運算能力，對安全風險進行快速反應和處置，快速定位解析安全威脅，并將安全威脅的處置方式推送至整個數據中心，從而使所有的安全設備都具備對這種安全威脅的檢測能力。

五、總結

建立數據中心的目的是為了更好地利用數據、挖掘數據，向數據要效益。在數據中心中應用云計算技術則是一個必然的趨勢。而從數據中心獲得效益就必須有一個相對安全穩定的環境作為支撐，因此研究云計算數據中心的信息安全體系架構具有重要意義。云計算數據中心所面臨的當務之急不是來自技術層面，而是來自管理層面。我國信息技術管理指導部門應該盡快制定云計算數據中心的相關標準，特別是信息安全標準，以便及早進行規范和管理