近年来,随着云计算的飞速发展,云计算展现出了巨大的商业潜力,国内许多互联网企业开始建设自己的公有云平台。大量企业和个人以及政府部门都将自身的服务迁移到云服务商提供的云平台上。然而,目前尚无健全的云平台可信性评测机制,传统的云平台评测方法主要是靠云平台自身收集证据和测评,这种方式的前提是云服务商收集的证据是可信的,然而从实际情况来看,即使云服务商通过某种特定安全措施进行检查,也无法消除云租户对云平台可信性的疑虑。云平台可信性评测系统作为独立第三方架设在云平台和云租户之间,验证云平台可信性的方法是,可信第三方通过安全信道与被测云平台建立连接并进行数据交换,实时收集云平台各类可信性证据并存入数据库。可信证据主要分为三类:配置类信息、操作行为类信息、实时监控类信息。大数据分析平台通过规则库中的过滤规则对数据进行审计和评测,并生成可信度测评结果。云平台可信性评测系统支持周期性和按需两种模式,周期性模式中系统自动进行证据的收集和存储,按需模式由租户发起请求,系统利用已有证据进行评测并返回结果。为验证评测系统的可行性,实验中通过中国信息安全测评中心提供的vsphere云平台,成功收集了大量可信性证据,并通过规则库中预先设计的过滤规则对上述证据进行了分析,发现该平台存在一定程度上的可信性风险,并向租户发布了可信性风险评估报告。