浅析云计算环境下等级保护访问控制测评技术.pdfVIP

总第127期 现代工业经济和信息化 Total0f127 aIld 2016年第19期 ModemIndustrial Infb珊ationization No．19．2016 Economy 浅析云计算环境下等级保护访问控制测评技术 徐丽娟， 郭臣， 张德馨，唐刚 (中国软件评测中心， 北京100048) 摘要：首先说明了在对云计算系统进行等级保护测评时，现有等级保护测评基本要求的不足。然后，对云计 算等级保护测评基本要求中访问控制测评方面新增和细化的测评项进行了总结和提炼，对这些提炼出的测 评项的测评方法逐一做出诠释。接着，给出了不同云计算服务模型的访问控制权限分配表。最后，指出三种云 计算服务模型在进行等级保护测评时分别应满足的安全测评要求。 关键词：云计算；等级保护；访问控制；信息安全 中图分类号：TP309 文献标识码：A 引言 访问控制有很重要的作用：1)防止非法的用户访问 云计算【-怍为一种基于网络、可配置、随需访问 受保护的系统信息资源；2)允许合法用户访问受保 的服务模式，已经在国内外广泛应用，但是近年来云 护的系统信息资源；3)防止合法的用户对受保护的 计算的发展也存在众多的挑战，其中非常重要的一 系统信息资源进行非授权的访问。随着计算机技术 个安全问题就是访问控制。在传统的计算模式下，用 和应用的发展，特别是网络应用的发展，这一技术的 户对数据的存储与计算拥有完全的控制权，而在新 思想和方法迅速应用于信息系统的各个领域川。 兴的云计算模式下，用户数据与机器的管理将完全 1．2 云计算环境下等级保护访问控制测评的不足 依赖于服务提供商，而用户仅仅保留对虚拟机的控 传统计算模式下，企业信息系统的软硬件设施 制。因此，从用户的角度来说，如何保证存储数据与 一般都部署在企业内部．企业内部的计算机、网络、 计算结果的安全性、私密性、可用性等，防止云服务 路由器等IT设备和设施形成了一个可被企业信息 提供商与其它用户非法访问数据显得尤为重要。对 系统管理员完全控制的网络，通常称作“可控信任 于云计算整体安全，国内外很多研究机构已经进行 域”【8】。在这种模式下，由于所有的IT资源都置于企 了标准化的研究，但是专门针对云计算等级保护中 业的完全控制之下，所以对于企业而言实现身份管 的访问控制的研究并不是很多，而且访问控制技术 理和访问控制并不困难。进入云计算时代，计算模式 也主要是由企业推动，并没有形成统一的标准，所以 和存储模式都发生了很多变化，主要体现在以下五 对访问控制技术的安全评估更成为一个难题。本文 个方面：1)云计算环境中用户无法控制资源；2)用户 基于已有的技术和研究，对云环境下访问控制面临 和云平台之间缺乏信任；3)迁移技术可能导致数据 的问题进行了分析。 要变更安全域；4)多租户技术使得访问主体要重新 1访问控制及其在云计算环境下等级保护测评 界定；5)虚拟化技术会让数据在同一物理设备上遭 面临的问题 到窃取。所以，云计算技术给访问控制研究提出了新 1．1访问控制 的挑战：如何发展传统的访问控制技术来解决新型 所谓访问控制，就是在鉴别用户的合法身份后， 的云计算安全问题【3】。 通过