[论文解读] A New Trusted and Collaborative Agent Based Approach for Ensuring Cloud Security

Shantanu Pal, Sunirmal Khatua+2 more|arXiv (Cornell University)|Aug 20, 2011

Cloud Data Security Solutions参考文献 7被引用 45

一句话总结

本文提出WAY（Who Are You?）——一种新颖的两级、基于代理的框架，通过动态信任评估与协作监控，提升云安全。该框架利用虚拟机（VM）监控及基于网络、存储和基础设施活动的信任策略，在异构云环境中确保用户与服务提供方层面的端到端隐私与安全。

ABSTRACT

In order to determine the user's trust is a growing concern for ensuring privacy and security in a cloud computing environment. In cloud, user's data is stored in one or more remote server(s) which poses more security challenges for the system. One of the most important concerns is to protect user's sensitive information from other users and hackers that may cause data leakage in cloud storage. Having this security challenge in mind, this paper focuses on the development of a more secure cloud environment, to determine the trust of the service requesting authorities by using a novel VM (Virtual Machine) monitoring system. Moreover, this research aims towards proposing a new trusted and collaborative agent-based two-tier framework, titled WAY (Who Are You?), to protect cloud resources. The framework can be used to provide security in network, infrastructure, as well as data storage in a heterogeneous cloud platform. If the trust updating policy is based on network activities, then the framework can provide network security. Similarly, it provides storage security by monitoring unauthorized access activities by the Cloud Service Users (CSU). Infrastructure security can be provided by monitoring the use of privileged instructions within the isolated VMs. The uniqueness of the proposed security solution lies in the fact that it ensures security and privacy both at the service provider level as well as at the user level in a cloud environment.

研究动机与目标

• 解决云计算环境中用户信任与数据隐私日益增长的担忧。
• 缓解远程云存储中因未授权访问、数据泄露和恶意活动带来的安全风险。
• 开发一个统一且可扩展的框架，同时保护网络、基础设施和数据存储层面的云资源。
• 通过实时监控与基于策略的更新，在用户与服务提供商层面实现信任评估。
• 通过模块化、基于代理的架构，确保在异构云环境中的跨平台兼容性。

提出的方法

• 设计名为WAY（Who Are You?）的两级基于代理的框架，以去中心化方式实现信任与安全的强制执行。
• 实现虚拟机监控代理，以观察并分析系统行为，包括网络流量、存储访问和特权指令使用情况。
• 基于观察到的活动（如未授权访问尝试或可疑指令序列）使用信任更新策略，动态评估可信度。
• 在云节点之间集成协作代理，实现实时威胁情报共享与信任状态同步。
• 为网络安全部署独立的监控模块（基于通信模式），为存储安全部署独立的监控模块（基于访问控制违规），为基础设施安全部署独立的监控模块（基于特权指令使用）。
• 通过隔离的虚拟机强制执行安全策略，将异常日志记录并报告给中央信任管理组件。

实验结果

研究问题

• RQ1 在具有远程数据存储的异构云环境中，如何实现动态且准确的信任评估？
• RQ2 哪些机制能够实现在分布式虚拟机之间对云资源进行协作式实时监控？
• RQ3 统一框架如何同时确保网络、基础设施和数据存储层面的安全？
• RQ4 虚拟机级别的监控与基于策略的信任更新在防止数据泄露和未授权访问中发挥什么作用？
• RQ5 基于代理的架构如何在云计算中提升用户与服务提供方层面的安全与隐私？

主要发现

• WAY框架通过分析虚拟机级别活动（如网络通信、存储访问和特权指令使用）成功实现了动态信任评估。
• 协作式代理部署支持信任状态的实时同步，提升了云基础设施中威胁检测与响应速度。
• 该框架在网络安全、基础设施安全和数据存储安全层面提供了端到端保护，单一架构即可应对多种攻击向量。
• 通过在虚拟机内隔离监控代理，系统防止了篡改，确保了信任评估过程的完整性。
• 该方法支持异构云平台，在多样化部署环境中展现出良好的适应性与可扩展性。
• 基于策略的信任更新机制增强了对恶意行为的响应能力，降低了数据泄露与未授权访问的风险。