（一）云计算反DDOS安全性
DDOS是一种恶意攻击形式，实施成本低，技术手段最多。世界上许多大型互联网公司遭受了DDOS攻击，无数中小企业遭受了打击。无论是高技术反射攻击还是简单而基本的带宽消耗，它都无法帮助受害者克服令人头痛。
好消息是，随着近年来DDOS攻击的流量和频率不断增加，反DDOS服务变得越来越重要，重量级玩家也参与其中。目前，我国有多家反DDOS服务提供商，技术和基础设施资源雄厚，在业界享有良好的声誉和长期的服务经验。
云平台的反DDOS服务主要体现在以下几个方面。
（1）攻击检测使用覆盖整个网络核心路由器的NetFlow数据进行攻击检测。当发生大流量攻击时，它与传统的攻击检测模式不同。只能在攻击目的地附近的网络或主机上计算攻击流量和流量。因此，不可能避免由于拥塞或丢包导致的日志数量非常小的问题，并且可以在整个网络的所有链路上全面评估到目标IP的实际攻击流量，因此大型DDOS攻击。比例尺度是最准确的。
（2）攻击防护包括两个主要功能：流量抑制和流量清理。其突出的优势是“近源保护”的概念。它监控和分析整个网络中路由器的NetFlow数据，可以准确识别攻击的主要区域。判断是从国外发起还是从其他国内运营商发起，以及哪个城市，甚至是IDC机房所在的运营商，使IP承载网路由器和分布式部署流量清洗设备都会攻击流量。攻击流量在最接近攻击发起者的网络节点上被清除，因此其攻击保护能力在理论上是无限的。清洗设备主要基于运营级大容量高性能清洗设备。它具有强大的数据包处理和转发性能，并具有一定的Web安全过滤功能。同时，它接受用户对清洁保护策略模板的深度定制。
（3）分析可追溯性主要解决攻击源的准确定位问题。众所周知，当黑客使用僵尸主机发起攻击时，它通常会使用虚假的源IP地址来达到混淆身份和隐藏归属的目的。通过对每个检测到的攻击进行实时NetFlow分析，找到访问网络设备的攻击源点的物理电路接口，通过该接口可以准确定位攻击源，没有关于IP源地址的归属推测需要。
（二）云计算多用户可信域安全
云安全架构的一个关键特性是云服务提供商的级别越低，云服务用户的安全性和管理责任就越多。
加密磁盘上的数据或生产数据库中的数据非常重要（仍然是数据），可用于防止恶意云服务提供商，恶意邻居“租户”和某些类型的应用程序滥用。但是，静态数据加密更复杂。如果您只使用简单的存储服务进行长期文件存储，则在用户加密自己的数据后，可以将密文发送到云数据存储提供程序。但对于PaaS或SaaS应用程序，数据无法加密，因为加密数据可能会干扰索引和搜索。到目前为止，还没有可以实现全数据加密的商用算法。
为了在可扩展性、可用性，管理和运营效率方面实现“经济”，PaaS和SaaS应用基本上采用多租户模式，因此云计算应用使用的数据将与其他用户的数据混合（如谷歌的BigTable）。尽管云计算应用程序已经设计了诸如“数据标记”之类的技术来防止非法访问混合数据，但是仍然会通过应用程序漏洞进行非法访问。最著名的案例是2009年3月发生的Google文件。非法共享。
虽然一些云服务提供商使用第三方审核应用程序或第三方应用程序安全验证工具来增强应用程序安全性，但出于经济原因，单租户特定的数据平台无法实现，因此唯一可行的选择是不要将任何重要或敏感数据放在公共云中。
（三）云计算的其他新安全功能
1.应用安全性
由于云环境的灵活性、开放性和公共可用性，应用程序安全性面临许多挑战。云主机上的提供商部署的Web应用程序应充分考虑来自Internet的威胁。
（1）最终用户安全
对于使用云服务的用户，应该保证计算机的安全。在用户终端上部署安全软件，包括反恶意软件、防病毒、个人防火墙和IPS类型软件。目前，浏览器已成为云服务应用程序的客户端，但遗憾的是，所有Internet浏览器都无一例外地存在软件漏洞。这些软件漏洞增加了最终用户受到攻击的风险，从而影响了云计算应用程序安全。因此，云用户应采取必要措施保护浏览器免受攻击，并在云环境中实现端到端的安全性。云用户应使用自动更新功能定期完成浏览器修补程序和更新。
（2）SaaS应用程序安全性
SaaS应用程序向用户提供的能力是命名服务提供商在云基础架构之上运行的应用程序，并且用户使用各种客户端设备通过浏览器访问应用程序。用户不管理或控制底层云基础架构，例如网络、服务器、操作系统或存储，甚至单独的应用程序功能，但某些受限用户的特殊应用程序配置项除外。SaaS模型确定提供商管理和维护整个应用程序，因此SaaS提供商应确保最大限度地提供给客户的应用程序和组件的安全性，并且客户通常只需要负责安全功能。操作层，包括用户和访问管理，因此选择SaaS提供商需要特别小心。目前，提供商评估的通常做法是要求提供商根据保密协议提供有关安全实践的信息。此信息应包括设计、体系结构、开发、黑匣子和白盒应用程序安全测试和发布管理。一些客户甚至要求第三方安全厂商进行渗透测试（黑盒安全测试）以获得更详细的安全信息，但渗透测试通常很昂贵，并非所有提供商都同意。
同样重要的是要注意，SaaS提供商提供的身份验证和访问控制功能通常是管理客户信息风险的唯一安全控制措施。大多数服务（包括Google）都提供基于Web的管理用户界面。最终用户可以为其他用户分配读写权限。但是，此权限管理功能可能不会提前，细粒度访问可能存在缺陷，或者可能不符合组织的访问控制标准。
在当前的SaaS应用程序中，提供商通常会混合客户数据（结构化和非结构化数据）。应用程序中的逻辑执行层可以通过唯一的客户端标识符在逻辑上隔离客户数据。但是，当升级云服务提供商的应用程序时，在应用程序层执行过程中，此隔离可能会变得容易受到攻击。(www.xing528.com)
因此，客户应了解SaaS提供商使用的虚拟数据存储架构和防御机制，以确保虚拟环境中多租户所需的隔离。SaaS提供商应该在整个软件生命周期中加强他们的软件安全方法。
（3）PaaS应用程序安全性
PaaS应用程序为用户提供的能力是在云基础架构之上部署用户创建或采购的应用程序，使用供应商支持的编程语言或不管理或控制底层云基础架构的工具（包括网络，服务器）开发，操作系统，存储等，但可以控制部署的应用程序和应用程序主机的环境配置。PaaS应用程序安全性包括两个层面：PaaS平台本身的安全性；以及客户在PaaS平台上部署的安全性。
在多租户PaaS服务模型中，核心原则是多租户应用程序隔离。云用户应确保其数据仅可在其自己的企业用户和应用程序之间访问。提供程序维护运行引擎的PaaS平台的安全性。在多租户模式中，必须提供“沙箱”架构。平台运行引擎的“沙盒”功能可以集中维护客户在PaaS平台上部署的应用程序的机密性和完整性。云服务提供商负责监控新的漏洞和漏洞，以防止这些漏洞和漏洞被用于攻击PaaS平台并破坏“沙盒”架构。
（4）LaaS应用程序安全性
LaaS应用程序提供商（如Amazon EC2，GoGrid等）将部署在虚拟机上的客户应用程序视为黑盒子，而LaaS提供商完全不了解客户应用程序的管理，操作和维护。无论客户运行哪个平台，客户的应用程序和运行引擎都由客户部署和管理。因此，客户对云主机上的应用程序安全性负全部责任。客户不应期望来自LaaS提供商的应用程序安全性帮助。
2.虚拟化安全性
基于虚拟化技术的云计算带来的风险主要有两个方面：一是虚拟化软件的安全性；另一个是使用虚拟化技术的虚拟服务器的安全性。
（1）虚拟化软件安全
该软件直接部署在裸机上，可以创建、运行和销毁虚拟服务器。实施虚拟化的方法不止一种。实际上，有几种方法可以通过不同的抽象级别实现相同的结果，例如操作系统级虚拟化，完全虚拟化或半虚拟化。在LaaS云平台上，云主机的客户无需访问此软件层，应由云服务提供商进行管理。
由于虚拟化软件层是确保客户的虚拟机在多租户环境中彼此隔离的重要层，因此客户可以同时在一台计算机上安全地运行多个操作系统，因此任何未经授权的用户访问都必须严格限制虚拟化软件层。云服务提供商应建立必要的安全控制，以限制对虚拟机管理程序和其他形式的虚拟化的物理和逻辑访问控制。
虚拟化层的完整性和可用性对于确保基于虚拟化技术构建的公共云的完整性和可用性是最重要和最关键的。易受攻击的虚拟化软件会将所有业务域暴露给恶意入侵者。
（2）虚拟服务器安全性
虚拟服务器位于虚拟化软件上。物理服务器的安全原则和实践也可以应用于虚拟服务器。当然，需要考虑虚拟服务器。
应选择具有TPM安全模块的物理服务器。TPM安全模块可以在虚拟服务器启动时检测用户密码。如果发现用户名的密码和哈希序列不正确，则不允许启动虚拟服务器。因此，对于新用户，有必要选择这些功能的物理服务器作为虚拟机应用程序。如果可能，使用新的多核处理器并支持虚拟技术CPU，以确保CPU之间的物理隔离，从而减少许多安全问题。
安装虚拟服务器时，应为每个虚拟服务器分配一个单独的硬盘分区，以逻辑隔离虚拟服务器。虚拟服务器系统还应安装基于主机的防火墙、防病毒软件、IPS（IDS）以及日志记录和恢复软件，以将它们彼此隔离，并形成多层防御系统以及其他安全预防措施。
对于每个虚拟服务器，应通过VLAN和不同的IP网段执行逻辑隔离。需要相互通信的虚拟服务器的网络连接应该通过VPN来完成，以保护它们之间网络传输的安全性。必须备份相应备份策略的实施，包括其配置文件，虚拟机文件和其中的重要数据，备份还必须根据具体的备份计划进行，应包括完整备份、增量备份或差异备份。
在防火墙中，尝试通过设置相应的安全设置来保护和隔离每个虚拟服务器。将服务器的安全策略添加到系统的安全策略中，并将其视为物理服务器安全策略。
严密监控虚拟服务器的运行状态，实时监控每个虚拟机中的系统日志和防火墙日志，以识别潜在的安全风险。应立即关闭不需要运行的虚拟机。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
