数据安全生命周期威胁模型剖析

2023-11-18 理论教育版权反馈

【摘要】：图4-2显示的是从数据的创建、传输、使用到消亡过程中全生命周期的威胁模型。云计算数据生命周期不同阶段的安全挑战不尽相同。数据生成后，可能会面临安全风险。它在整个云存储方案中占有举足轻重的作用，因此数据迁移的安全问题需要加以考虑。然而，这种归档数据将受到如备份介质可能被盗、备份介质的保护级别不高等安全问题。

数据在云中比在传统计算机系统中存在更多的风险。图4-2显示的是从数据的创建、传输、使用到消亡过程中全生命周期的威胁模型。从这个模型中可以看到数据整个生命周期过程中所有可能受到的威胁^[10]。

图4-2 数据的生命周期的威胁模型

云计算环境下，数据安全生命周期主要是指数据创建、数据迁移、数据存储、数据使用/数据共享、数据归档及数据销毁六个阶段。云计算数据生命周期不同阶段的安全挑战不尽相同。

1.数据创建

在这个阶段，数据是由用户创建的。数据生成后，可能会面临安全风险。例如攻击者可以篡改用户的数据和修改其权限导致其权利丧失。

2.数据迁移

数据生命周期的第二阶段是数据迁移阶段。在这一阶段，数据是从用户传统基础架构迁移到云供应商的云中。数据迁移作为采用云存储方案中最为基础和关键的步骤。它将对历史数据进行清洗，转换，并装载到新系统，是保证数据系统平滑升级和更新的重要环节，也是将来系统稳定运行的有效保障。它在整个云存储方案中占有举足轻重的作用，因此数据迁移的安全问题需要加以考虑。

数据迁移有三种迁移模式^[8]：①公有与私有之间转移，内部与外部之间转移，以及其他各种组合；②数据在云供应商之间的迁移；③数据在既定的云内实例间迁移。

针对迁移过程中的数据安全保障，有如下三种方式：

（1）客户端和应用程序加密数据在终端或服务器端先加密，然后再通过网络传输，或者在已经以恰当的加密格式存储。这包括本地客户端加密机制或者集成在应用程序之中的加密机制。

（2）网络加密模式标准的网络加密技术包括SSL、VPN和SSH，既可以是硬件加密，也可以是软件加密。

（3）基于代理的加密数据通过一个代理设备或服务器进行传输，在网络传输前完成加密。通常都是将代理加密机制整合到原有的应用程序中。

迁移过程中，数据会面临如下风险：①攻击者可以嗅探通信信道上的数据；②攻击者可以通过执行一个中间人攻击修改数据；③通信信道可以用DoS攻击进行干扰；④可以使用盗取的身份创建真实或假数据。

因此，数据迁移中采用的传输协议要能保证数据的完整性。

3.数据存储(www.chuimin.cn)

在这个阶段必须保证数据可用，云数据备份和云恢复计划必须到位和有效，以防止数据丢失、意外数据覆盖和破坏。

数据静态地存储在云数据中心，对它不进行任何操作。数据存储包括数据的存储位置、数据的相互隔离以及数据的灾难恢复等。

存储的数据可能会遇到许多安全威胁^[11]：①云服务提供商在大容量存储空间上，能够为用户提供独自的存储空间，但用户并不清楚自己的数据所存储具体服务器的物理地址，对所属隐私数据失去物理控制；②由于多租户云模型的特征，所有被云处理的用户数据是存储在一起的，即使采用加密方式，云服务提供商也不能够保证数据之间的安全隔离；③针对用户对隐私数据的备份要求，云服务提供商通常建有冗余备份机制，可以在事故出现时，将用户的数据及时、安全地恢复，然而备份介质存在老化风险，并且在备份过程中存在信息泄露风险。

4.数据使用/数据共享

在这一阶段中，由于数据通常由其所有者或其他用户共享使用，即通常是要对它执行操作。数据尤其是敏感数据不能在没有任何控制的情况下与其他用户的数据混合。数据的混合将在数据安全和地理位置等方面增加安全挑战。另外，动态数据不可加密，因为数据加密将导致索引和查询的问题。因此，该数据可以被恶意用户使用，造成数据泄露。

5.数据归档

对暂时不使用的数据，可以复制到硬盘，并设置数据为归档状态。处于归档状态的数据不允许修改和删除，即归档之后的数据受到保护。然而，这种归档数据将受到如备份介质可能被盗、备份介质的保护级别不高等安全问题。比如，如果数据被归档到在线存储，它可能会受到非法访问。

6.数据销毁

此阶段的主要任务是必须具备一种可信技术来保证全面有效地定位、擦除和销毁数据，保证数据已被完全消除或无法恢复。

数据销毁是指采用各种技术手段来完全破坏存储介质中数据的完整性，避免非授权用户利用残留数据恢复原始数据信息，以达到保护数据的目的。

人们通常采用删除数据、格式化以及使用文件粉碎工具来对数据进行销毁，但是这些方法都不能够彻底销毁数据。如果存在恶意恢复，就会造成信息泄露。目前针对电子信息的成因，业界对于电子载体的技术销毁主要有如下几种方式^[12]：

（1）覆写法覆写法是指将一些无意义、无规律的信息反复多次覆盖介质上原先存在的数据，以达到销毁数据的目的。此方法销毁不彻底，可能会被专用工具恢复。此方法从严格意义上来讲不适用于处理有密级的载体。

（2）整体高温销毁采用高温销毁信息介质的方法，把记录有信息的介质高温熔化，确保信息无法复原，从而从根本上解决数据泄露的问题。此方法可彻底销毁信息，适用于硬盘等载体。但此方法适宜在专用场所使用。

（3）强磁场销毁针对硬盘等磁介质设备中的数据进行消磁，能够快速彻底销毁这些载体上面的信息，且信息销毁后不能恢复。

由于云存储是由第三方供应商提供的服务，因此在数据存储过程中一定要对数据进行加密，以此来防止对数据的攻击。当用户访问数据时，必须遵守有关规则和访问策略。制订的规则要与文件密码是一一对应的。比如参考文献[13]提出一种安全删除文件的方法，把关键密钥存储在密钥管理器中，每个数据文件与一个单一的规则相关联。当要对一个文件进行销毁时，需要用户提供一个与待删除文件相对应的密钥。当撤销某用户的规则文件时，相应的关键密钥也要从管理器中删除。没有钥匙，对称数据密钥就不能派生。因此，底层数据文件失去了最初使用的对称密钥，该数据将永远不能被恢复，从而保证数据在销毁过程中的安全。

数据安全生命周期威胁模型剖析

相关推荐