云計算解決方案之云安全匯總

1、云計算解決方案之云安全匯總云計算解決方案之云安全提綱云計算平臺面臨的威脅云計算安全平臺框架云計算安全四方面足夠安全的云計算對用戶至關(guān)重要75CIO關(guān)心云計算安全關(guān)心云計算安全63的的CIO關(guān)心云計算的性能和投資成本關(guān)心云計算的性能和投資成本云計算安全問題關(guān)注云計算安全問題關(guān)注l服務(wù)可用性服務(wù)可用性l數(shù)據(jù)機(jī)密性和完整性數(shù)據(jù)機(jī)密性和完整性l隱私權(quán)的保護(hù)隱私權(quán)的保護(hù)IDC autumn 202X云計算平臺安全問題分析安全認(rèn)證l攻擊攻擊p中間人攻擊p重放攻擊p僵尸網(wǎng)絡(luò)p拒絕式服務(wù)攻擊l客戶客戶l身份偽造身份偽造l冒充冒充l云計算應(yīng)用認(rèn)證根密鑰竊取云計算應(yīng)用認(rèn)證根密鑰竊取虛擬化安全l漏洞攻擊漏洞攻擊pV

2、MWare 漏洞pHyperVM：zero-dayp僵尸網(wǎng)絡(luò)p拒絕式服務(wù)攻擊l黑客盜用黑客盜用拒絕服務(wù)攻擊lDoS&DDoSp不是云計算特有p關(guān)鍵核心數(shù)據(jù)和服務(wù)遷移到云計算中心p拒絕服務(wù)帶來的后果影響更嚴(yán)重l消耗主機(jī)可用資源消耗主機(jī)可用資源pLand、Teardrop、SYN Flood、UDP Flood、ICMP Flood、Smurfp消耗服務(wù)器鏈路帶寬云制圖攻擊lDoS&DDoSp定位在第三方云計算服務(wù)托管的Web服務(wù)器物理位置的計劃。云制圖旨在繪制服務(wù)提供商的基礎(chǔ)設(shè)施，以確定特定虛擬機(jī)（VM）可能的位置。l存在的攻擊行為p攻擊亞馬遜數(shù)據(jù)共享的API設(shè)置p旁道攻擊其它：

3、訪問控制授權(quán)、數(shù)據(jù)機(jī)密性及完整性、隱私權(quán)保護(hù)、入侵檢測、容災(zāi)及數(shù)據(jù)冗余、惡意代碼防役提綱云計算平臺面臨的威脅云計算安全平臺框架云計算安全四方面云計算安全平臺框架提綱云計算平臺面臨的威脅云計算安全平臺框架云計算安全四方面四方面安全考慮定制加固定制加固Linux基于基于Xen、KVM的開源系統(tǒng)的開源系統(tǒng)虛擬化虛擬化業(yè)務(wù)計算資源調(diào)度業(yè)務(wù)計算資源調(diào)度分布式數(shù)據(jù)庫分布式數(shù)據(jù)庫分布式文件系統(tǒng)分布式文件系統(tǒng)通用通用PC或刀片或刀片大規(guī)模計算平臺大規(guī)模計算平臺安全域動態(tài)數(shù)據(jù)安全靜態(tài)數(shù)據(jù)安全可信可信的接入安全的接入安全可信可信虛擬化安全虛擬化安全可信可信網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全可信的接入認(rèn)證可信的終端設(shè)備可信的通信鏈路

4、可信的策略管理可信的用戶管理可信的審計機(jī)制合規(guī)性可信可信安全管理安全管理虛擬機(jī)防護(hù)虛擬機(jī)加密存儲安全補(bǔ)丁管理加固，定制OSZXCCP DHSSZXCCP DHSSZXDFSZXDFSIVASIVAS可信云計算可信云計算接入安全n 應(yīng)用層認(rèn)證n SSO *n 共享秘密GBA/口令n 公鑰證書 數(shù)字證書n 終端軟件完整性n 終端硬件完整性n 通過驗證終端設(shè)備的軟硬件完整性來保證設(shè)備安全n C數(shù)據(jù)機(jī)密性n I 數(shù)據(jù)完整性n A可用性n 保證數(shù)據(jù)在通信鏈路中傳輸過程的安全可信接入安全不同不同SSO機(jī)制下的身份聯(lián)盟機(jī)制下的身份聯(lián)盟身份認(rèn)證和身份認(rèn)證和服務(wù)提供分離服務(wù)提供分離終端軟硬件信息及簽名OMC獲取

5、終端的軟硬件信息，與來自TrE的軟硬件信息進(jìn)行比對請求設(shè)備完整性認(rèn)證設(shè)備完整性驗證結(jié)果利用HTTPS對基于HTTP傳輸?shù)臄?shù)據(jù)進(jìn)行安全保護(hù)利用TLS對基于TCP傳輸?shù)臄?shù)據(jù)進(jìn)行安全保護(hù)利用DTLS對基于UDP傳輸?shù)臄?shù)據(jù)進(jìn)行安全保護(hù)利用IPSec對基于IP承載的數(shù)據(jù)進(jìn)行安全保護(hù)虛擬化安全p傳統(tǒng)虛擬化面臨的挑戰(zhàn)n IP地址依賴性n 虛擬機(jī)散亂n 無法監(jiān)控主機(jī)間通訊n 孤立的安全政策方法n 提供足夠信息逐條回放虛擬機(jī)上執(zhí)行的任務(wù)，通過建立具有各種依賴關(guān)系的攻擊事件鏈，從而重構(gòu)出攻擊細(xì)節(jié)n Syn-Cookie(主機(jī))/n Syn-Gate(網(wǎng)關(guān))n Random Drop算法n 帶寬限制和QoS保證n

6、專業(yè)防御DoS攻擊產(chǎn)品n 負(fù)載均衡n 網(wǎng)絡(luò)中都有大量成熟的現(xiàn)成工具可以利用，比較常見和有效的有Trinoo、TFN、Stacheldraht、TFN2Kn 虛擬機(jī)隔離n 虛擬機(jī)安全組n 虛擬機(jī)安全規(guī)則n 防地址欺騙n 阻斷對虛擬機(jī)端口掃描，嗅探n 虛擬機(jī)鏡像加密存儲n 系統(tǒng)安全定制，檢查工具n 補(bǔ)丁測試，安裝n 精簡定制加固OS網(wǎng)絡(luò)安全n 針對云計算環(huán)境，建議：內(nèi)/外網(wǎng)Web服務(wù)器、4A、應(yīng)用服務(wù)器、IDS/IPS等放置于DMZ域，作為堡壘機(jī)；n 動態(tài)數(shù)據(jù)安全 域間安全 域內(nèi)安全n 靜態(tài)數(shù)據(jù)安全n 訪問控制n 數(shù)據(jù)加密n 完善的冗余校驗、備份恢復(fù)、異地容災(zāi)手段是云存儲安全的保障堡壘主機(jī)堡壘主機(jī)l基于角色的細(xì)粒度基于角色的細(xì)粒度訪問授權(quán)訪問授權(quán)l(xiāng)用戶訪問行為審計用戶訪問行為審計、監(jiān)控、回放、監(jiān)控、回放安全域安全域登錄策略密碼設(shè)置策略 登錄IP管理策略 認(rèn)證/授權(quán)策略數(shù)據(jù)安全策略日志策略可視、可配置.查詢?nèi)罩緜浞萑罩?刪除日志 增加用戶刪除用戶修改用戶信息查詢用戶信息 分角色、分權(quán)分域安全管理謝謝懇請各位領(lǐng)導(dǎo)批評指正人有了知識，就會具備各種分析能力，明辨是非的能力。所以我們要勤懇讀書，廣泛閱讀，古人說“書中自有黃金屋?！蓖ㄟ^閱讀科技書