3、云安全：现状与关键问题剖析

云安全：现状与关键问题剖析

1 云服务模型

随着人们对连接需求的不断增加，推动了 Web 2.0 和新型服务的发展。云系统采用了标准的三模型架构，自下而上分别为基础设施即服务（IaaS）、平台即服务（PaaS）和软件即服务（SaaS）。

1.1 IaaS

IaaS 彻底改变了企业对 IT 基础设施的投资方式。企业无需在硬件和技术团队上投入大量预算来组装和管理设备，IaaS 提供商可以即时提供可靠的虚拟服务器，如亚马逊网络服务（AWS）。该模型采用按使用付费的方式，用户只需为其使用的资源付费。此外，它使企业无需关注基础设施的可扩展性、管理和供应，从而专注于推广其应用程序。只要虚拟机监视器（VMM）未被攻破，IaaS 模型就能提供基本的安全保障，如边界防火墙和负载均衡。提供商至少应确保 VMM 层面的安全，包括环境、物理和虚拟化安全。不过，IaaS 最终会面临数据本地化和共置问题。

1.2 PaaS

PaaS 通过提供平台和框架，使客户能够开发自己的云应用程序。与 SaaS 相比，该模型具有更强的可扩展性，因为它提供了一系列客户可用的功能，因此在安全方面具有更大的灵活性。然而，不安全的集成开发环境（IDEs）和应用程序编程接口（APIs）可能成为漏洞点。此外，由于面向服务架构（SOA）应用程序的底层元素被架构所掩盖，网络攻击者很可能会攻击用户编写的可见代码。因此，应提出一套编码指标来评估用户编写代码的质量。

1.3 SaaS

SaaS 允许应用程序在云端远程部署和托管，并以服务的形式通过互联网提供按需功能。与 IaaS 类似，该模型提高了运营效率并降低了客户成本。由于它迅速满足了 IT 公司的