云安全等保防護解決方案報告書

...wd......wd......wd...概述隨著美國棱鏡門事件以來，信息安全受到越來越多的國家和企業(yè)的重視，特別是今年從國家層面成立了網(wǎng)絡(luò)安全與信息化領(lǐng)導(dǎo)小組，因此就某種程度而言，2014年可以說是真正的信息安全元年。就當(dāng)前的信息安全建設(shè)驅(qū)動來看，主要來自政策性合規(guī)驅(qū)動和市場需求驅(qū)動是兩個重要的驅(qū)動點?！恼邔用婵磭页闪⒘司W(wǎng)絡(luò)安全與信息化領(lǐng)導(dǎo)小組，強調(diào)自主可控是信息安全領(lǐng)域國家的根本意志表達。同時也出臺了相關(guān)的政策要求對信息安全產(chǎn)品、云計算服務(wù)等進展安全審查，通過政策、法律、標(biāo)準(zhǔn)的合規(guī)性要求加強對信息安全的把控。·從需求層面來看，隨著愈演愈烈各種的信息泄密事件、大熱的APT攻擊等，大量的企業(yè)對信息安全的認識已經(jīng)從過去的“被動防御〞轉(zhuǎn)變成“主動防御〞，尤其是新型的互聯(lián)網(wǎng)金融、電商業(yè)務(wù)、云計算業(yè)務(wù)等都前瞻性企業(yè)都把安全當(dāng)做市場競爭的重要砝碼，并尋求各種資源不斷提升用戶對其信任性?！び脩暨x擇云計算服務(wù)的角度來看，我們了解了很多的云計算用戶或潛在的云計算用戶，用戶的一項業(yè)務(wù)在往云計算中心遷移時考慮的前三位的要素一般是安全、技術(shù)成熟度和本錢，其中首要考慮的是安全。因為由于云服務(wù)模式的應(yīng)用，云用戶的業(yè)務(wù)數(shù)據(jù)都在云端，因此用戶就擔(dān)憂自己的隱私數(shù)據(jù)會不會被其他人看到，數(shù)據(jù)會不會被篡改，云用戶的業(yè)務(wù)中斷了影響收益怎么辦，云計算服務(wù)商聲稱的各種安全措施是否有、能否真正起作用等，云用戶不知道服務(wù)提供商提供的云服務(wù)是否真的到達許諾的標(biāo)準(zhǔn)等擔(dān)憂。1.云環(huán)境下的等級保護問題研究綜上所述，用戶在選擇云計算的時候首先會考慮安全性，對普通用戶來說，云計算服務(wù)的合規(guī)性是安全上很重要的參考依據(jù)。云計算服務(wù)的安全合規(guī)目前主要有等級保護、27001、CSA云計算聯(lián)盟的相關(guān)認證。其中等級保護是一項根本政策，比方用戶的一個等級保護三級的業(yè)務(wù)，采用云計算模式時，一定要求云計算服務(wù)必須到達三級的要求。1.1等級保護挑戰(zhàn)傳統(tǒng)的等級保護標(biāo)準(zhǔn)主要面向靜態(tài)的具有固定邊界的系統(tǒng)環(huán)境。然而，對于云計算而言，保護對象和保護區(qū)域邊界都具有動態(tài)性。因此，云計算環(huán)境下的等級保護面臨新的挑戰(zhàn):·業(yè)務(wù)可控性云計算環(huán)境下，數(shù)據(jù)可能會在數(shù)據(jù)中心和物理主機之間移動，導(dǎo)致用戶無法知道數(shù)據(jù)真實存儲位置。另外，云平臺引入了虛擬抽象層，其覆蓋范圍可以涵蓋不同區(qū)域的物理設(shè)施，傳統(tǒng)的等級保護并沒有考慮這種情況。·核心技術(shù)的自主可控由于云計算中許多核心技術(shù)仍然控制在國外企業(yè)手中，許多所謂的自主產(chǎn)品也可能是對國外購置的商業(yè)產(chǎn)品的改進，本質(zhì)就是買下了推廣他人產(chǎn)品的權(quán)利，隨著國內(nèi)云市場的不斷開展，對云環(huán)境的自主可控性帶來很大的挑戰(zhàn)?！ぬ摂M化安全在云計算安全保障中，僅僅采用傳統(tǒng)的安全技術(shù)是不夠的，虛擬化帶來了新的安全風(fēng)險。當(dāng)前，對云計算虛擬化安全技術(shù)還不成熟，對虛擬化的安全防護和保障技術(shù)測評則成為云環(huán)境等級保護的一大難題。1.2等級保護研究現(xiàn)狀分析當(dāng)前，云計算依然面臨各種安全風(fēng)險。等級保護作為應(yīng)對云計算安全的重要手段，得到了人們廣泛的關(guān)注。對于云計算環(huán)境下的等級保護建設(shè)問題，沈昌祥提出云計算中心是特殊的信息系統(tǒng)，可參照GB/T25070-2010《信息系統(tǒng)安全等級保護設(shè)計技術(shù)要求》，把云計算中心從用戶網(wǎng)絡(luò)接入、訪問應(yīng)用邊界、計算環(huán)境和管理平臺進展劃分，構(gòu)建在安全管理中心支持下的可信通信網(wǎng)絡(luò)、可信應(yīng)用邊界和可信計算環(huán)境三重安全防護框架，并按照GB/17859評估準(zhǔn)則進展評估。對于云計算安全中的等級保護要求和評測問題，朱圣才從應(yīng)用安全和系統(tǒng)安全兩個角度給出了云計算安全中的等級保護要求。張京海等人設(shè)計了基于云服務(wù)架構(gòu)的等級保護要求。從5個層面的技術(shù)要求和5個層面的管理要求對傳統(tǒng)等級保護要求進展了擴展。趙繼軍等人指出了等級保護測評中需要關(guān)注的控制項和風(fēng)險。姜政偉等人則提出了基于等級保護的云計算安全評估模型。構(gòu)建了云計算安全評估指標(biāo)體系。上述工作說明，云計算環(huán)境下的等級保護問題得到了廣泛的關(guān)注。2.云計算的等級保護建設(shè)方案闡述2.1云業(yè)務(wù)模式的開展云計算已經(jīng)深刻的影響到了IT架構(gòu)、業(yè)務(wù)系統(tǒng)部署方式，以及服務(wù)模式。形成了端(終端)、管(管道)、云(云端)的IT架構(gòu)。業(yè)務(wù)系統(tǒng)和數(shù)據(jù)集中部署在云端，即云數(shù)據(jù)中心的資源池內(nèi)。有利于統(tǒng)一的數(shù)據(jù)安全保護和業(yè)務(wù)系統(tǒng)的統(tǒng)一部署、管理，提升IT資源利用率降低本錢、資源消耗。同時，移動互聯(lián)網(wǎng)絡(luò)、4G技術(shù)的開展極大拓寬了管道的寬度，使得更加豐富的終端接入提供了良好條件。在終端側(cè)，對終端設(shè)備的性能、規(guī)格要求更加廣泛，終端類型也在不斷豐富，尤其各類移動終端使得終端用戶可以更加靈活、隨時隨地的享用云端各類服務(wù)。“端、管、云〞的新型模式，可以讓用戶快速、彈性、按需、隨時隨地的獲取到IT資源和服務(wù)，實現(xiàn)IT即服務(wù)的轉(zhuǎn)變，是重要的一次信息化變革。但這種新型的IT架構(gòu)，也帶來了新的安全挑戰(zhàn)和安全需求。2.2云計算安全需求·終端側(cè)：主要考慮用戶終端的安全。采用桌面云的方式是解決云計算環(huán)境下終端安全問題的很好的方法。終端的處理能力(包括CPU和硬盤)集中到云計算資源中心，個人終端變成瘦客戶端，終端本地不保存數(shù)據(jù)，保障信息安全性，并且不提供計算能力;通過桌面云平臺，給每個終端提供虛擬化的“計算機〞或推送應(yīng)用的界面，每個終端所使用的資源都是共享的，計算資源動態(tài)伸縮，實現(xiàn)對資源的“按需分配〞的管理?！鬏?管道)：主要考慮用戶側(cè)到云端傳輸信息加密、用戶接入的認證和授權(quán)等安全措施。·云計算中心(云端)：針對云計算中心區(qū)域邊界、計算環(huán)境、虛擬化環(huán)境，云計算中心綜合采用身份認證、訪問控制、入侵檢測、惡意代碼防范、安全審計、防病毒、數(shù)據(jù)加密等多種技術(shù)和措施，實現(xiàn)業(yè)務(wù)應(yīng)用的可用性、完整性和保密性保護。·云數(shù)據(jù)安全建設(shè)，依據(jù)客戶實際需求和相關(guān)安全合規(guī)標(biāo)準(zhǔn)，進展數(shù)據(jù)創(chuàng)立、傳輸、存儲、使用、共享和銷毀在內(nèi)的全生命周期的云環(huán)境下的數(shù)據(jù)安全設(shè)計，以及數(shù)據(jù)安全體系建設(shè)。保障用戶數(shù)據(jù)在云環(huán)境下的安全使用，保護云環(huán)境中的數(shù)據(jù)的機密性、可用性、完整性。2.3云環(huán)境下的等保安全防護思路云計算從安全域的角度，可以分為安全計算域、安全網(wǎng)絡(luò)域和安全管理域。安全計算域是一樣安全保護等級的物理主機/服務(wù)器的集合，安全網(wǎng)絡(luò)域是由通信網(wǎng)絡(luò)和接入網(wǎng)絡(luò)構(gòu)成。安全管理域是對整體云計算中安全事件收集與管控報警的系統(tǒng)平臺。云計算安全部署構(gòu)造，如以下列圖所示：圖云計算部署架構(gòu)云計算的各安全域涵蓋了云計算中的計算環(huán)境、云邊界、云通信網(wǎng)絡(luò)及管理中心，對應(yīng)的安全措施如下：(1)云計算計算環(huán)境安全云計算計算環(huán)境包含私有云安全計算域、公共云安全計算域。其中私有云安全計算域是進展安全設(shè)備部署的重點，可采取的安全措施主要包括：4A系統(tǒng)、虛擬安全網(wǎng)關(guān)、主機加固和加密機等設(shè)備和手段。公共云安全計算域，應(yīng)采取根基平臺安全審查、評定，托管鏡像加密和租用應(yīng)用加固的安全措施，保障擴散到公共云平臺上的資源、數(shù)據(jù)安全可靠。(2)云計算邊界安全云計算邊界環(huán)境由物理的接入網(wǎng)絡(luò)邊界和虛擬化網(wǎng)絡(luò)邊界組成，物理網(wǎng)絡(luò)接入邊界的防護，采取傳統(tǒng)安全網(wǎng)關(guān)即可。針對虛擬化平臺中，應(yīng)在虛擬平臺中部署虛擬安全網(wǎng)關(guān)進展虛擬安全邊界防護。(3)云計算通信網(wǎng)絡(luò)安全在云計算環(huán)境下，通信網(wǎng)絡(luò)包括傳統(tǒng)網(wǎng)絡(luò)和虛擬網(wǎng)絡(luò)兩局部。對于從外部網(wǎng)絡(luò)接入云計算中心的通信網(wǎng)絡(luò)，應(yīng)借助在網(wǎng)絡(luò)接入邊界處部署的VPN設(shè)備實現(xiàn)SSL、IPSEC的安全隧道通信;在云計算平臺節(jié)點內(nèi)部的虛擬網(wǎng)絡(luò)，可通過部署在虛擬化平臺內(nèi)部的VPN組件實現(xiàn)安全隧道功能。(4)云計算安全管理中心云計算環(huán)境安全管理中心對私有云和公共云中的所屬資產(chǎn)、資源的運行狀況，以及相關(guān)行為、安全事件、安全預(yù)警等進展集中監(jiān)管。通過SNMP、Syslog、ODBC、API等協(xié)議接口和數(shù)據(jù)文件，進展綜合分析形成安全報表、整體安全態(tài)勢報告。使得安全風(fēng)險可視化、風(fēng)險告警全面化和風(fēng)險處置專業(yè)化，從而實現(xiàn)安全風(fēng)險集中化管控。3.總結(jié)云計算的高速開展需要有等級保護措施提