基于saas模式下的系统数据安全策略探讨

《基于saas模式下的系统数据安全策略探讨》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、技术应用基于SaaS模式下的系统数据安全策略探讨刘建本福州大学现代教育技术中心福建300002摘要：在基于SaaS(SoftwareasaService)模式的系统应用的使用和推广中，如何保证用户数据的完整性、安全性、保密性是用户普遍关心的问题，也是SaaS应用系统设计中必须重点考虑的一个方面。本文主要从SaaS应用系统数据安全性必须重点考虑身份认证、权限控制、日志管理、数据隔离、敏感数据加密、数据安全传输、网络攻击等方面，阐述了构建基于SaaS模式应用的数据安全解决方案。关键词：SaaS；数据安全；软件；计算机网络0引言用在

2、设计时，需要更加系统的考虑安全问题，并采用更可靠随着互联网的飞速发展，软件市场需求的日益增长，软的安全技术和手段来保证系统的高可用性，保证数据的完整件生产力的大幅提升，以及用户对软件核心价值观的转变，性和保密性。必然导致软件的服务化趋势，从而催生SaaS商业模式。SaaS是一个以软件租用为主体的新型模式，其目标是减少IT成本和所需的工作。成熟的SaaS软件开发商多采用一对多的软件交付模式，也就是一套软件多个用户使用。这种新模式的产生使软软件服务朝着更加标准化的方向发展，对软件问题及扩展需求做出更快的响应；同时使得每个企业在软件

3、采购、构建、维护、程序管理的负担大大减轻了。所以很受中小企业的欢迎。但是在SaaS系统使用和推广中，系统的安全性特别是数据的安全受到用户的普遍关注。图1传统应用程序部署模式1SaaS应用的数据安全问题在传统应用中，应用服务器和数据库设备、网络都是部署在客户自己企业，系统维护都是由客户自己掌握，每个客户的数据自然是完全独立互不扰的，这样客户觉得很安全、很踏实。传统应用程序部署模式如图1所示。而在SaaS应用中，应用服务器、数据库设备不再由客户自己管理，而是部署在软件服务运营上处，系统维护也不再由客户负责。另外，SaaS应用是完全

4、基于互联网使用的，用户所有的交互和数据都需要通过互联网。SaaS软件服务提供方式如图2。客户开始觉得不放心了。数据存到哪里了？会不图2SaaS软件服务提供方式会丢失？各个用户之间的使用会不会冲突？数据会不会被其2SaaS系统的数据安全解决方案他用户看到？数据传输安全与否？会不会受到黑客的攻击等。对于SaaS应用来说，数据安全确实是一个备受关注的问以上这些都成了客户使用SaaS应用的顾虑。这就要求SaaS应题。只有构建安全可靠的SaaS应用，让客户可以安全、稳定作者简介：刘建本(1969-)，男，计算机硕士，福州大学现代教育技术

5、中心工程师，研究方向：ERP、商业智能、数据仓库。682009.8技术应用地使用系统，是赢得市场的关键和基础。所做的每一个行为都记录下来，记录用户的身份和行为的时2.1权限控制体系刻。行为日志记录的实现采用面向页面的方案来实现，例如权限管理就是要实现用户使用系统功能访问控制，保证有通过过滤器或拦截器的方式，对所有的页面请求行为及页面效用户正常使用系统的同时，防止非法用户和无权限用户对系的提交行为进行拦截，然后将其记录在日志文件中。统功能的使用。与传统应用的权限管理不同的是，SaaS应用的（2）数据日志：对用户在系统中所做操作的

6、数据进行记权限管理需要对用户的权限进行控制，并基于用户的授权模式。录，记录数据的变更过程及变更的历史。这在多人操作同一在SaaS应用中，我们同样可以采用RBAC(Role-BasePoli-个数据的系统中显的尤为重要。ciesAccessControl)权限模型体系，不过在SaaS应用中用户是日志记录是对用户在系统中的行为进行查证的依据，是按用户隔离的，而角色既会是全局的，也会是用户角色的，而用来跟踪和保障系统安全的。日志本身的安全也很关键，所用户的角色是需要进行隔离的。以对日志记录的处理首先应该是只读的，加上时间戳，不应全局

7、角色由系统管理员分配，可以对系统内的所有许可该被认为修改或伪造；其次，日志记录必须进行加密处理；进行分配。用户角色由用户管理员分配，只能对用户所购买第三，只对用户管理员开放，用户只能查询自己的日志记录。的功能进行授权。2.4用户数据隔离方案2.2身份认证体系传统的应用因为每个用户的设备是独立的，相互之间数身份认证就是实现对用户身份的识别和验证，这是保证据是绝对隔离的，而且应用也是相对对立的。而对于SaaS应整个系统应用安全的基础。通过严格的身份认证，防止非法用来说，应用部分不再是独立的，而数据设备可能不再是独用户使用系统，或伪

8、装成其他用户来使用系统。立的了，至少对于用户来说是不可预知的。所以必须采用数目前比较常用的身份认证有集中认证、非集中认证、混据隔离的方法来保证用户数据仍然像传统应用一样安全。合认证等三种。数据隔离就是要对用户之间的数据进行隔离，已确保各集中认证就是由SaaS应用系统提供一个统