云环境中的侧通道攻击研究进展*

随着云计算技术的迅猛发展,云环境中的安全问题已成为限制云计算发展的主要因素。因此对云环境中的安全威胁和防御问题的研究已成为一个研究热点。以传统的侧通道攻击方法作为切入点,讲述云环境中的侧通道攻击特点,并对云环境中存在的主要侧通道攻击方法进行分析、总结。介绍了近年来国内外应对这类攻击的防御策略和保护措施的研究成果,并基于云环境中侧通道攻击思想给出将来的防御趋势与未来研究趋势。     

基于移动目标防御信号博弈的容器迁移策略

容器作为虚拟机的轻量级替代产品,以其灵活、高效的特点促进了云计算的发展,但同时也面临着同驻攻击、逃逸攻击等安全威胁。针对云环境中的容器安全威胁,构建了基于移动目标防御的信号博弈模型,并提出了多阶段最优防御策略求解算法,通过博弈模型和求解算法选取最优策略,同时通过容器调度方法对容器进行调度,可以增强容器安全性。仿真实验结果表明,提出的迁移策略获取的防御收益相较于Kubernetes自带迁移策略提升了3.6倍,同时容器同驻率降低了79.62%,对现实容器云环境下的防御策略选取和安全性增强具有一定的借鉴意义。     

云计算环境中的虚拟机同驻安全问题综述

在云计算环境中,为了实现资源共享,不同租户的虚拟机可能运行在同一台物理机器上,即虚拟机同驻,这将带来新的安全问题。为此,文章重点讨论同驻虚拟机所面临的一些新的安全威胁,包括资源干扰、隐蔽通道/侧信道、拒绝服务与虚拟机负载监听等,介绍现有虚拟机同驻探测方法,总结针对虚拟机同驻威胁的四种防御思路,并分析未来的研究趋势。     

创建软件定义网络中的进程级纵深防御体系结构

云计算因其资源的弹性和可拓展性,在为用户提供各项服务时,相对于传统方式占据了先机。在用户考虑是否转向云计算时,一个极其重要的安全风险是：攻击者可以通过共享的云资源对云用户发起针对虚拟机的高效攻击。虚拟机作为云服务的基本资源,攻击者在攻击或者租用了某虚拟机之后,通过在其中部署恶意软件,并针对云内其他虚拟机发起更大范围的攻击行为,如分布式拒绝服务型攻击。为防止此种情况的发生,提出基于软件定义网络的纵深防御系统,以及时检测可疑虚拟机并控制其发出的流量,抑制来自该虚拟机的攻击行为并减轻因攻击所受到的影响。该系统以完全无代理的非侵入方式检测虚拟机状态,且基于软件定义网络,对同主机内虚拟机间或云主机间的网络流量进行进程级的监控。实验结果表明了该系统的有效性。     

容器云中基于信号博弈的容器迁移与蜜罐部署策略

SaaS云中的多租户共存和资源共享模式会带来严重的安全隐患。一方面逻辑上命名空间的软隔离容易被绕过或突破,另一方面由于共享宿主机操作系统和底层物理资源容易遭受同驻攻击,对容器云中数据可用性、完整性、机密性产生严重威胁。针对SaaS云服务容易遭受容器逃逸、侧信道等同驻攻击的问题,网络欺骗技术通过隐藏执行体的业务功能和特征属性,增加云环境的不确定度,降低攻击的有效性。针对容器易遭受同驻攻击的安全威胁,结合动态迁移、虚拟蜜罐等安全技术,研究经济合理的网络欺骗方法降低同驻攻击带来的安全威胁。具体而言,提出一种基于信号博弈的容器迁移与蜜罐部署策略。依据容器面临的安全威胁分析,使用容器迁移和蜜罐两种技术作为防御方法,前者基于移动目标防御的思想提高系统的不可探测性,后者通过布置诱饵容器或提供虚假服务来迷惑攻击者;鉴于网络嗅探是网络攻击链的前置步骤,将攻防过程建模为双人不完整信息的信号博弈,发送者根据自己类型选择释放一个信号,接收者仅能够获取到发送者释放的信号,而不能确定其类型。对这个完全但不完美的信息动态博弈构建博弈树,设置攻防双方不同策略组合的开销和收益;对攻防模型进行均衡分析确定最优的欺骗策略。...     

物联网环境下云数据存储安全及隐私保护策略研究

物联网依托云计算强大的数据处理能力实现信息智能,而目前云计算对数据和服务的管理并不值得用户完全信赖。针对物联网环境下云数据安全性问题,在云计算中为了保证用户数据的准确性和隐私性,提出了一种物联网环境下云数据存储安全及隐私保护策略。实验结果表明该方案有效、灵活,且能抵御Byzantine失效、恶意修改数据甚至是服务器共谋攻击。     

云环境下一种基于信任的加密流量DDoS发现方法

针对云环境下分布式拒绝服务(distributed denial-of-service,DDoS)攻击加密攻击流量隐蔽性更强、更容易发起、规模更大的问题,提出了一种云环境下基于信任的加密流量DDoS发现方法TruCTCloud.该方法在现有基于机器学习的DDoS攻击检测中引入信任的思想,结合云服务自身的安全认证,融入基...     

容器云中基于Stackelberg博弈的动态异构调度方法

容器技术以其灵活、高效的特性促进了云计算的快速发展,但同时引入了如同驻攻击、逃逸攻击和共模攻击等安全威胁.针对这些安全威胁,提出一种容器云中基于Stackelberg博弈的动态异构式调度方法.首先,构建异构镜像资源池以抑制云上基于共模漏洞的攻击扩散;进而,将攻防交互过程建模为Stackelberg博弈模型;最后,对攻防...     

云计算环境下的僵尸网络

云计算环境下的僵尸网络(Bot Cloud)是把传统的僵尸网络移植到云计算平台下的新型僵尸网络。利用云的优势将僵尸网络的构建变得更容易、攻击变得更有效、检测变得更困难。分析了云计算平台和传统僵尸网络结构上的相似性,介绍了Bot Cloud对云环境的平台造成的威胁,分析了云计算环境下的僵尸网络的相关检测技术,为今后云计算环境下的僵尸网络的检测打下理论基础。     

云应用安全标准建设亟待加强

云计算环境下,应用和操作均基于开放的网络,有别于传统网络,整个IT架构面临更多威胁及更大风险。从云计算应用的服务对象来看,主要涉及公共云应用安全、私有云应用安全及混合云应用安全;从服务层次来看,主要涉及终端用户云应用安全和云端的安全,包括IaaS安全（基础设施即服务）、PaaS安全（平台即服务）、SaaS安全（软件即服务）和虚拟化安全等。云计算应用安全涉及保障云计算应用的服务可用性、数据机密性和完整性、隐私权的保护、对物理安全的控制、对恶意攻击及法律法规风险的防范等诸多方面。     

A game theoretic-based distributed detection method for VM-to-hypervisor attacks in cloud environment

Cloud computing is a pool of scalable virtual resources serving a large number of users who pay fees depending on the extent of utilized service. From payment perspective, cloud is like electricity and water as people who use more of this shared pool should pay larger fees. Cloud computing involves a diverse set of technologies including networking, virtualization and transaction scheduling. Thus, it is vulnerable to a wide range of security threats. Some of the most important security issues threatening the cloud computing systems originate from virtualization technology, as it constitutes the main body and basis of these systems. The most important virtualization-based security threats include VM side channel, VM escape and rootkit attacks. The previous works on the subject of virtualization security rely on hardware approaches such as the use of firewalls, which are expensive, the use of schedulers to control the side channels along with noise injection, which impose high overhead, or the use of agents to collect information and send them back to a central intrusion detection system, which itself can become the target of attacker. In the method presented in this paper, a group of mobile agents act as the sensors of invalid actions in the cloud environment. They start a noncooperative game with the suspected attacker and then calculate the Nash equilibrium value and utility so as to differentiate an attack from legitimate requests and determine the severity of attack and its point of origin. The simulation results show that this method can detect the attacks with 86% accuracy. The use of mobile agents and their trainability feature has led to reduced system overhead and accelerated detection process.     

On detecting co-resident cloud instances using network flow watermarking techniques

Virtualization is the cornerstone of the developing third-party compute industry, allowing cloud providers to instantiate multiple virtual machines (VMs) on a single set of physical resources. Customers utilize cloud resources alongside unknown and untrusted parties, creating the co-resident threat—unless perfect isolation is provided by the virtual hypervisor, there exists the possibility for unauthorized access to sensitive customer information through the exploitation of covert side channels. This paper presents co-resident watermarking, a traffic analysis attack that allows a malicious co-resident VM to inject a watermark signature into the network flow of a target instance. This watermark can be used to exfiltrate and broadcast co-residency data from the physical machine, compromising isolation without reliance on internal side channels. As a result, our approach is difficult to defend against without costly underutilization of the physical machine. We evaluate co-resident watermarkingunder a large variety of conditions, system loads and hardware configurations, from a local laboratory environment to production cloud environments (Futuregrid and the University of Oregon’s ACISS). We demonstrate the ability to initiate a covert channel of 4 bits per second, and we can confirm co-residency with a target VM instance in $<$ 10 s. We also show that passive load measurement of the target and subsequent behavior profiling is possible with this attack. We go on to consider the detectability of co-resident watermarking, extending our scheme to create a subtler watermarking attack by imitating legitimate cloud customer behavior. Our investigation demonstrates the need for the careful design of hardware to be used in the cloud.     

雾计算中基于DQL算法的伪装攻击检测方案

雾计算是一种在云数据中心和物联网（Internet of Things,IoT）设备之间提供分布式计算、存储等服务的技术,它能利用网络边缘进行认证并提供与云交互的方法。雾计算中以传统的安全技术实现用户与雾节点间安全性的方法不够完善,它仍然面对着窃听攻击、伪装攻击等安全威胁,这对检测技术提出了新的挑战。针对这一问题,提出了一种基于DQL（Double Q-learning）算法的雾计算伪装攻击检测方案。该方案借助物理层安全技术中的信道参数,首先在Q-learning算法的基础上处理Q值过度估计问题,获取最佳的伪装攻击测试阈值,然后通过阈值实现了用户与雾节点间的伪装攻击检测。实验结果表明,该算法检测伪装攻击的性能优于传统的Q-learning算法,具有在雾计算安全防护方面的优越性。     

Iterative Dichotomiser Posteriori Method Based Service Attack Detection in Cloud Computing

Cloud computing (CC) is an advanced technology that provides access to predictive resources and data sharing. The cloud environment represents the right type regarding cloud usage model ownership, size, and rights to access. It introduces the scope and nature of cloud computing. In recent times, all processes are fed into the system for which consumer data and cache size are required. One of the most security issues in the cloud environment is Distributed Denial of Service (DDoS) attacks, responsible for cloud server overloading. This proposed system ID3 (Iterative Dichotomiser 3) Maximum Multifactor Dimensionality Posteriori Method (ID3-MMDP) is used to overcome the drawback and a relatively simple way to execute and for the detection of (DDoS) attack. First, the proposed ID3-MMDP method calls for the resources of the cloud platform and then implements the attack detection technology based on information entropy to detect DDoS attacks. Since because the entropy value can show the discrete or aggregated characteristics of the current data set, it can be used for the detection of abnormal data flow, User-uploaded data, ID3-MMDP system checks and read risk measurement and processing, bug rating file size changes, or file name changes and changes in the format design of the data size entropy value. Unique properties can be used whenever the program approaches any data error to detect abnormal data services. Finally, the experiment also verifies the DDoS attack detection capability algorithm.     

DDOS攻击方式和防护方法的研究

DDoS攻击仍旧是现在网络上主要的一类攻击手段,并且呈现上升趋势。本文先介绍了DDOS攻击的现状,然后对大流量冲击型和应用层资源消耗型这两种主要的攻击方式做了分析,然后提出了通过合理配置、防火墙、基于流量模型自学习的攻击检测方法和基于云计算服务等实现DDOS攻击防护。     

云环境下SDN的流量异常检测性能分析

随着复杂的混合云网络逐渐成为云计算发展的瓶颈,软件定义网络(SDN)技术近年来成为学术界和工业界关注的热点。在网络安全领域,对于应用SDN来解决网络攻击的研究尚处于起步阶段,SDN是否能够高效检测来自内部的网络攻击尚无定论。针对该问题,在分析SDN技术框架的基础上,设计基于OpenStack的云环境实验方案。在传统云环境网络和SDN环境下同时测试2种流量异常检测算法,模拟Flood攻击和端口扫描攻击,分析SDN在检测攻击时的精确度和资源使用率。结果表明,在云环境下利用SDN检测内部威胁时比传统网络环境占用更少的物理内存而不影响精确度,但直接在SDN控制器上部署安全应用的方式也存在性能瓶颈。     

云计算环境下资源调度系统设计与实现

在云计算环境下,对开放的网络大数据库信息系统中的数据进行优化调度,提高数据资源的利用效率和配置优化能力;传统的资源调度算法采用资源信息的自相关匹配方法进行资源调度,当数据传输信道中的干扰较大及资源信息流的先验数据缺乏时,资源调度的均衡性不好,准确配准度不高;提出一种基于云计算资源负载均衡控制和信道自适应均衡的资源调度算法,并进行调度系统的软件开发和设计;首先构建了云计算环境下开放网络大数据库信息资源流的时间序列分析模型,采用自适应级联滤波算法对拟合的资源信息流进行滤波降噪预处理,提取滤波输出的资源信息流的关联维特征,通过资源负载均衡控制和信道自适应均衡算法实现资源调度改进;仿真结果表明,采用资源调度算法进行资源调度系统的软件设计,提高了资源调度的信息配准能力和抗干扰能力,计算开销较小,技术指标具有优越性。