基于云计算物流平台的应用及安全研究

基于云计算物流平台的应用及安全研究 杨军1，周道明2，张明1

（1.总后直属供应保障局自动化站，北京 100071；2.后勤科研所，北京 100010）

文章分析了云计算对物流企业信息安全风险的影响，探讨了基于云计算物流平台可能面临的摘　要：

信息安全新问题，并提出了加强云计算物流平台安全性的建议。

云计算物流；等级保护；风险评估关键词：

中图分类号：TP393.08 文献标识码：A 文章编号：1671-1122（2011）10-0010-03

Study on Applications and Security of Logistics Information

System Based on Cloud Computing

YANG Jun1, ZHOU Dao-ming2, ZHANG Ming1

( 1.The General Logistics Department directly under the supply security bureau automation station, Beijing 100071,

China; 2. Logistics Research Institute, Beijing 100010, China )

Abstract: This paper analyses the infl uence of cloud computing technology to information security risk of logistics , explores the new information security risk of logistics information system based on cloud computing, and presents some suggestions to strengthen information security of logistics system based on cloud computing.

Key words: cloud computing logistics; security protection level; risk evaluation

0 引言

随着全球经济一体化的推进和社会分工的细化，物流产业已经成为国民经济发展的重要基础，第三方物流蓬勃发展，第四方物流逐渐成熟，敏捷反应和交互协同已经成为物流发展的主题；另一方面，信息技术快速发展，物联网等实时感知、智能处理手段相继应用于解决日益复杂的供应链问题，大多物流企业在信息化建设投入方面的压力空前增大，供应链信息管理和交互过程中出现的信息安全问题突出。在物流产业中应用云计算技术可有效解决这些问题，但同时也带来了新的安全隐患。

1 云计算在降低物流企业信息安全风险方面的作用

1.1 降低企业信息化应用风险，提高生存能力

随着物流产业对信息化需求的不断提高，至少给物流企业带来了以下三个方面的风险。第一，投资风险。与传统物流相比，现代物流在信息化方面的投入大幅提升，导致物流企业成本加大；另外，一旦投资失败，信息环境尤其是软环境建设方面的投入很难转为其他用途，增大了投资风险。第二，管理风险。物流信息化环境搭建以后，需要大量的专业技术人员进行运维管理，一方面是需要持续性地消耗人力物力；另一方面，由于运行和维护方面的原因可能会给企业带来信息安全问题。第三，合作风险。一个物流企业信息环境建设再全面，其扩展性也是有限的，不可能持续保持与外界不同信息平台进行信息交互的能力，导致失去商机或者降低合作效率。云计算平台的应用可以有效解决这些问题，企业只需花费低廉的代价就可以拥有可靠性高、扩展性强、交互性好的服务，无需面对昂贵的基础设施、复杂的软件后台以及繁琐的维护管理。

1.2 促进物流要素之间的协同，降低信息交互引起的安全风险

物流是介于供应商和需求商的中间环节，目的是实现原材料、中间过程产品、最终产品在起点与终点以及各个环节之间的有效流动，涉及的对象多、环节多；尤其是第四方物流，以供应链内的各种服务供应商进行集成、整合为基础，供应链各环节、各

收稿时间：2011-09-09作者简介：杨军（1981-），男，广西，工程师，硕士，主要研究方向：物流信息化；周道明（1965-）：男，高级工程师，主要研究方向：信息网络技术；张明（1979-），男，山东，技师，本科，主要研究方向：计算机网络。

102011󰀀10期专题研究企业之间需要进行大量的信息交互。在分布计算环境下，从感知到应用各物流层次都有各自的计算节点，大到数据中心，小至一台计算机，数据分散存储在对应计算节点当中，管理难度大、技术漏洞多，从信息的感知、传输、应用各个环节都有可能引起信息安全问题[1]。基于云计算的物流平台集中了计算资源和数据，由分布计算变成集中计算，由数据交互变成数据共享或者服务内、云内交互，解决了数据交互引起信息安全问题。同时，云计算物流平台以海量实时的参考信息和强大智能的计算资源为支撑，可根据感知的物流信息实时动态做出反应，提供面向用户、面向任务、面向需求的服务，不同的供应链节点只需要将需求提供给云计算中心，中心就可以直接面向任务给出敏捷、实时的解决方案，并可以根据物流环境的变化自主、智能地协同业务执行模块共同完成任务，真正做到面向任务、按需分配、自主敏捷，从而促进物流环节之间、物流企业之间的协同。

2.2 服务和数据的连续可用性问题

云计算通过虚拟化技术，将分散的计算资源和数据集中在虚拟资源池内协同工作，不会因为个别服务器出现问题而引起故障；与分散的计算资源相比，云计算具有高可靠性、可用性和扩展性。然而，计算资源和数据的集中也意味着各种恶意行为的集中，黑客通过对云不良使用、不安全API控制、利用共享技术漏洞、劫持账户或者服务等手段对服务或数据造成致命性破坏，再加上软硬件故障等原因，使得服务和数据的连续可用性问题更加突出，依托云计算的物流平台，一旦服务或者数据出现中断，物流企业正常业务将无法开展。

2.3 交互数据的互操作性问题

物流企业既要保证企业核心信息的安全，又要实现企业内部、企业之间相互合作领域的基础信息能够交互共享。云计算平台可以有效促进同一服务的终端之间进行数据共享；然而，在不同服务、不同云平台之间的数据交互，尤其是有选择性的部分数据交互共享，目前还缺少统一的标准和接口。

1.3 提高企业应对突发事件和信息安全威胁的快速反应

能力

随着物流环境的复杂化，由于物流企业基本信息掌握不全面、动态信息掌握不及时、信息安全威胁响应不灵敏等原因，导致大多数企业缺少对不可测意外的快速响应能力，无法应对突如其来的各种变化，最终给物流企业造成损失。据统计，在德国，每年因为上述原因造成的经济损失达到1000亿欧元，在日本达到12兆亿日元，美国则达到1200亿美元[2]。基于云计算的物流信息平台，可有效对末端的各种子系统、传感器、信息获取终端进行瘦身，使其不再担任大量的计算任务，把计算、存储、协调的任务交给云平台实施。一方面，可以使得信息获取渠道更加灵活、快捷、多样，提高动态信息获取的能力和效率；另一方面，计算平台的计算能力和对安全威胁的发现和响应能力更强，可以在复杂环境下发现和防范各种安全威胁，及时对突发事件进行感知和反应。

2.4 信任问题

有人把云计算平台比作银行，认为数据存在云里就像钱存在银行里一样，总比放自己家安全。不能忽略的是，银行有国家监管，有完善的法律作为保证，有成熟的安全防护体系和应对措施；而云计算只有第三方机构进行监管，相关的法规制度、标准规范都不完善。在前有技术担忧、后无法律保证的情况下，大多企业对云计算还不信任，处于观望状态。

3 加强云计算物流平台安全性的措施

3.1 以等级评定为基础，有选择地开展公共云物流应用

Gartner咨询公司副总裁兼分析家David Cearley表示，“使用云计算的局限是企业必须认真对待的敏感问题，企业必须对

[3]

云计算发挥作用的时间和地点所产生的风险加以衡量”。要保

证云计算物流平台的安全可靠，应该对物流业务和云计算平台两个方面进行衡量。一是对企业的物流信息系统、业务进行安全保护等级评定和风险评估，依照《计算机信息安全保护等级划分准则》、《信息系统安全保护等级定级指南》等技术标准为依据，确定信息系统安全保护级别；对业务进行风险评估，确定不同业务的风险等级，文献4根据物流企业风险的频率和损失将风险分为低风险型、中等风险型、高风险型和超高风险型[4]。二是对云计算平台进行适用性研究，对于三级及其以上的信息系统、高风险型和超高风险型的业务应该谨慎评估云计算化可能带来的风险，尽量避免应用到公共云平台，如果一定要以云的形式提供服务，则可考虑私有云建设。

2 云计算物流平台面临的信息安全问题

2.1 数据完整性问题

云计算平台上数据是否完整，对于物流企业来说包括两个方面：一是保证数据完整可用，即不丢失；二是保持数据的完整可控，即不泄露。在云计算平台中，虚拟化是关键技术，通过虚拟化，用户可以由各种终端获取服务或者存储信息，无需知道数据存在什么地方、由谁管理，也就是说数据完整性完全交给了云计算运营商负责。在这种情况下，云计算的数据完整性控制要比传统的企业自主控制更加复杂，也更容易出现问题，访问权限控制、数据存储技术以及云计算运营商的内部管理等等都会引起数据的丢失或者泄露，从而导致物流企业正常业务的中断或核心机密的泄露。

3.2 以自主开发为核心，有计划地推进云物流平台建设

物流云计算平台建设既不能回避观望，也不能盲目跟进，更不能直接采取“拿来主义”；要借技术发展带来行业重新洗牌

11

专题研究2011年第10期表1 系统安全保护级别、业务风险级别与运行区域对应表

运行平台

信息安全保护级别

业务风险级别

主要内容

术的进步；物流云计算平台建设也一样，等到技术非常成熟完善的时候再应用则往往意味着滞后和淘汰，而且技术和基础设施也会牢牢掌握在发达国家手中。基于云概念的物流平台只有在特定时期的特定功能范围内，在理论创新的基础上展开持续的应用以及不断的实践，才能逐步完善云计算物流平台安全体系，促进物流产业在信息条件下安全、持续发展，从而在技术发展中不断提升物流企业的国际竞争力。

公共云1、2级

私有云3、4、5级

处理的信息：地理信息、交通信息、物流

园区物业管理信息、需要与其他企业交

低、中等

互合作业务的基础信息等；处理的业务：风险

发生概率小且损失小、发生概率大但损失小的非核心业务。处理的信息：客户信息、仓储信息、配送

高、超高信息等；处理的业务：发生概率很低但风险损失很大、发生概率很高且风险很大的

核心业务。

的机会，加快云计算和相关信息安全技术的技术研究与实践，努力把物流云计算平台的各个环节都控制在自己手中，避免国家、行业安全受制于人，通过有限改良或者技术集成的方式开展建设并不是有效途径，在技术受人控制的同时也带来了巨大的信息安全隐患。二是要主动参与云计算法规、标准的制定和部署，完善物流云计算平台的软设施，从法规制度的角度规范平台的建设和应用，为物流的产业安全、信息安全提供坚实保障。三是要建立云计算分级保护体系，对计算平台进行安全性评估，确定什么样的信息可以应用什么级别的服务，在不同的保护级别范围内提供本级别及其以下安全级别的服务。

4 结束语

云计算是信息技术发展的必然趋势，尽管存在各种技术和管理上的问题，物流行业仍然必须紧跟这个步伐，对于现有的非自主公共云要有选择地应用，对自主云平台要大力研究并积极实践，只有通过不断地技术创新、不断地实践应用，才能建立不断完善的物流云计算安全体系，保证物流产业在技术跨越中拥有旺盛的生命力，更好地为国民经济发展提供服务。（责编 杨晨）

参考文献：

[1] 聂元铭,张红军,韩惠良.物联网的安全层及防护策略研究[J].信息网络安全，2011，（06）：20-21.

[2] 赵鹤.物流配送车辆监控系统的设计与实现[D].大连:大连理工大学，2007.

[3] 陈尚义.浅谈云计算安全问题[J].网络安全技术与应用，2010，（10）：76-77.

[4] 何玉华.物流企业如何建立风险管理策略[J].商场现代化，2008，（529）：107-108.[4] Mark Pollitt. A History of Digital Forensics[C]. Advances in Digital Forensics VI，2010:3-15.

[5] van Baar R, Alink W and van Ballegooij A. Forensic memory analysis: Files mapped in memory[J]. Digital Investigation, vol. 2008,(05): 52-57.[6] A. Schuster, The impact of Microsoft Windows pool allocation strategies on memory forensics[J].Digital Investigation, vol. 2008,(05):58-64.

[7] Solomon J, et al, User data persistence in physical memory[J]. Digital Investigation, vol. 4(2):199-211, 2007.

[8]Joyce R, et al.MEGA: A tool for Mac OS X operating system and application forensics[J]. Digital Investigation, vol. 2008,(05):83-90.

[9] V. Roussev, et al. A cloud computing platform for large-scale forensic computing[C]. Advances in Digital Forensics V，2009:201-214.

[10] Beebe N, et al. Clark.Dealing with terabyte data sets in digital investigations[C]. Advances in Digital Forensics，2006:3-16.

[11] Bem D,et al.Computer forensic analysis in a virtual environment[J]. International Journal of Digital Evidence, vol. 2007, 6(02):122-131.

[12] Craiger P, et al, A virtual digital forensics laboratory[C]. Advances in Digital Forensics IV, 2008:357-365.

[13] Pollitt M, et al.Virtualization and digital forensics: A research and teaching agenda[J]. Journal of Digital Forensic Practice, vol.2008, 2(2):66-73.[14]Dorn G, et al.Analyzing the impact of a virtual machine on a host machine[C]. Advances in Digital Forensics V，2009:69-82.

[15] Apache Software Foundation.Apache Hadoop Core[EB/OL]. Forest Hill, http://hadoop.apache.org/

[16] 吴同，杨永川.云计算环境下的取证研究[J]. 电信科学，2010，（12）： 79-82.

3.3 以应用实践为手段，有步骤地构建云物流平台安全

体系

就云计算技术和管理方面来说，还有很多需要完善的地方，现有的一些云平台在使用过程中也出现了这样那样的安全问题，但这些问题并没有影响技术的应用，反而促进了技

上接第9页

的设备维护和取证人员缺乏。如果在依托公安专网建立一个统一的计算机取证云计算平台，各地警方按照需要申请使用，或者通过此平台将案件委托给其他有实力和精力的单位，或者通过此平台邀请他人（可以在异地）协同调查、案件会审，这样即获得了单机取证分析设备达不到的运算和存储能力，又节省了时间和资金，提高了办案质量和效率。

本系统的继续深入研究包括虚拟机对仿真Apple的IOS、Google的Android等操作系统的支持，以及对成熟的分布式取证软件的需求等。

目前，虚拟化技术是云计算的核心技术之一，本研究将计算机取证部署在云计算环境，依靠虚拟技术仿真待调查的硬盘系统，是十分有益的开创性工作。（责编 杨晨 ）

参考文献:

[1] Above the clouds: a Berkeley view of cloud computing[EB/OL]. www.eecs.berkeley.edu/Pubs/ TechRpts/2009/ EECS-2009-28.html，2011-09-10.

[2] Peter Mell, Tim Grance. Draft nist working definition of cloud computing[EB/OL]. www.csrc.nist.gov/ groups/SNS/cloud-computing/index.html, 2009-4-24/2011-09-10.

[3] 王丽娜等，利用虚拟机监视器检测及管理隐藏进程[J]. 计算机研究及发展，2011，48（8）：1534-1541.

12