|
新聞中心
當(dāng)前位置：網(wǎng)站首頁(yè) > 新聞中心
云平臺(tái)背景下的網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)策略
當(dāng)前，云計(jì)算處于高速發(fā)展時(shí)期，云平臺(tái)實(shí)現(xiàn)了信息共享、提升了資源利用效率、節(jié)約了成本，但其網(wǎng)絡(luò)安全等級(jí)保護(hù)問(wèn)題不容小覷。2019年5月13日，網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0正式發(fā)布，信息安全等級(jí)保護(hù)也過(guò)渡到了網(wǎng)絡(luò)安全等級(jí)保護(hù)。并對(duì)云平臺(tái)、云上用戶(hù)和云上安全產(chǎn)品提出了相應(yīng)的管理要求。等保2.0在云環(huán)境方面的新要求
在等保2.0中對(duì)安全設(shè)計(jì)技術(shù)、等級(jí)保護(hù)測(cè)評(píng)等一系列標(biāo)準(zhǔn)提出新的要求，對(duì)新技術(shù)領(lǐng)域（云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)）等級(jí)保護(hù)的標(biāo)準(zhǔn)，提出了全新的工作機(jī)制，進(jìn)一步強(qiáng)化了整體的安全防護(hù)。
1、等保要求的變化。云計(jì)算環(huán)境下網(wǎng)絡(luò)安全等級(jí)保護(hù)在基本要求、設(shè)計(jì)要求和測(cè)評(píng)要求中在原有的“通用要求”基礎(chǔ)上，針對(duì)于云計(jì)算平臺(tái)這一特定等級(jí)保護(hù)對(duì)象，增加了云計(jì)算等新領(lǐng)域的個(gè)性安全保護(hù)標(biāo)準(zhǔn)和安全擴(kuò)展要求。
2、定級(jí)對(duì)象的變化。云平臺(tái)下網(wǎng)絡(luò)安全等級(jí)保護(hù)中云平臺(tái)與承載的系統(tǒng)分別定級(jí)。一個(gè)云平臺(tái)承載多個(gè)系統(tǒng)，云平臺(tái)的定級(jí)根據(jù)其承載或?qū)⒁休d的等級(jí)保護(hù)對(duì)象的重要內(nèi)容確定其安全保護(hù)等級(jí)，云平臺(tái)的等級(jí)不低于所承載系統(tǒng)的安全保護(hù)等級(jí)。對(duì)于大型云平臺(tái)，云計(jì)算基礎(chǔ)設(shè)施和有關(guān)輔助服務(wù)系統(tǒng)被劃分為不同的定級(jí)對(duì)象。
3、責(zé)任邊界的變化。云平臺(tái)下網(wǎng)絡(luò)安全等級(jí)保護(hù)首要的問(wèn)題是安全責(zé)任邊界問(wèn)題，其責(zé)任邊界劃分是租戶(hù)負(fù)責(zé)租戶(hù)的安全，平臺(tái)負(fù)責(zé)平臺(tái)的安全，責(zé)任劃分標(biāo)準(zhǔn)是通用的、普適性的做法。在實(shí)際工作中，還需要結(jié)合實(shí)際情況，進(jìn)一步明確劃分相關(guān)責(zé)任。
4、等保對(duì)象的變化。由于引入了云計(jì)算，所以等保對(duì)象中增加了虛擬化網(wǎng)絡(luò)、虛擬機(jī)、云管理平臺(tái)等，網(wǎng)絡(luò)安全也演變成了基礎(chǔ)安全與新技術(shù)安全的集合。
數(shù)據(jù)中心云平臺(tái)安全面臨的新挑戰(zhàn)
由于等保2.0需求的變化導(dǎo)致等保測(cè)評(píng)重點(diǎn)關(guān)注內(nèi)容變?yōu)椋簲?shù)據(jù)完整性和保密性、入侵防范（網(wǎng)絡(luò)和通信安全）、集中管控、個(gè)人信息保護(hù)，這就對(duì)數(shù)據(jù)中心云平臺(tái)的安全提出新的挑戰(zhàn)。
1、虛擬系統(tǒng)的安全風(fēng)險(xiǎn)
云平臺(tái)的核心技術(shù)是虛擬技術(shù)，其實(shí)現(xiàn)方法通常為在應(yīng)用層和硬件層之間搭建虛擬層，虛擬層的搭建增加了新的系統(tǒng)安全風(fēng)險(xiǎn)。常見(jiàn)的系統(tǒng)安全風(fēng)險(xiǎn)包括網(wǎng)絡(luò)調(diào)整、虛擬機(jī)脫離物理安全監(jiān)管、虛擬環(huán)境管理系統(tǒng)反攻擊能力薄弱、虛擬機(jī)未及時(shí)更新系統(tǒng)補(bǔ)丁文件、殺毒軟件病毒庫(kù)、不同信任級(jí)別的虛擬機(jī)應(yīng)用未采取應(yīng)有的隔離措施引起的各種安全風(fēng)險(xiǎn)等等，這對(duì)于數(shù)據(jù)中心云平臺(tái)下多用戶(hù)間資源有效隔離和安全防護(hù)工作是一個(gè)新的挑戰(zhàn)。
2、資源高利用風(fēng)險(xiǎn)
虛擬化技術(shù)將物理資源轉(zhuǎn)變?yōu)榭梢赃壿嫻芾淼馁Y源，并打破實(shí)體結(jié)構(gòu)之間的壁壘，使用戶(hù)能夠更加合理、充分的利用物理服務(wù)器的處理器、內(nèi)存、網(wǎng)絡(luò)帶寬等資源。但當(dāng)物理服務(wù)器資源被過(guò)度利用時(shí)，將會(huì)出現(xiàn)硬件設(shè)備負(fù)載過(guò)重，運(yùn)行性能下降，甚至硬件故障或系統(tǒng)崩潰等嚴(yán)重情況。當(dāng)某物理服務(wù)器出現(xiàn)嚴(yán)重可靠性問(wèn)題或重大硬件故障引起宕機(jī)時(shí)，其上運(yùn)行的所有虛擬機(jī)都將停機(jī)，此時(shí)和上述虛擬機(jī)相關(guān)應(yīng)用都將停止運(yùn)行，這相較于傳統(tǒng)IT架構(gòu)中一臺(tái)服務(wù)器停機(jī)只導(dǎo)致一個(gè)應(yīng)用中斷所帶來(lái)的風(fēng)險(xiǎn)要嚴(yán)重得多。
3、數(shù)據(jù)完整性和保密性風(fēng)險(xiǎn)
云平臺(tái)數(shù)據(jù)完整性和保密性也是等保2.0中的重要要求，包括對(duì)動(dòng)態(tài)及靜態(tài)數(shù)據(jù)的隔離、保護(hù)以及殘余數(shù)據(jù)的清除，以確保在整個(gè)傳輸、處理、存儲(chǔ)及消除過(guò)程中數(shù)據(jù)資源的保密性、完整性與可用性?？v然整個(gè)保護(hù)過(guò)程有訪(fǎng)問(wèn)管理、防火墻等安全性技術(shù)的支撐，但是由于云計(jì)算架構(gòu)特點(diǎn)使得數(shù)據(jù)仍然存在著各個(gè)不同分散空間，很難保證數(shù)據(jù)在訪(fǎng)問(wèn)、傳輸過(guò)程中不被泄露。倘若沒(méi)有較為完善的數(shù)據(jù)保密機(jī)制和相關(guān)的權(quán)限設(shè)置，那么將會(huì)提高云平臺(tái)中數(shù)據(jù)被訪(fǎng)問(wèn)和竊取的更大風(fēng)險(xiǎn)。
4、病毒及惡意代碼風(fēng)險(xiǎn)
在數(shù)據(jù)中心云平臺(tái)中，虛擬機(jī)均選擇穩(wěn)定、可靠的模板進(jìn)行派生，若模板中存在某種系統(tǒng)漏洞或植入了木馬，則每個(gè)虛擬機(jī)均會(huì)存在該漏洞，植入的木馬很可能橫向完成滲透，在破壞系統(tǒng)可用性的同時(shí)，故意造成混亂和脆弱性，降低被發(fā)現(xiàn)的可能。此外，虛擬機(jī)數(shù)據(jù)的集中存儲(chǔ)，以及虛擬機(jī)IP地址的連續(xù)性，均給病毒傳播提供了便利條件。
建議及策略
云平臺(tái)背景下的網(wǎng)絡(luò)安全等級(jí)保護(hù)必須以等保政策和技術(shù)標(biāo)準(zhǔn)為依據(jù)，結(jié)合需求和技術(shù)現(xiàn)狀，確保云平臺(tái)的自主、安全、可信和高效利用是維護(hù)網(wǎng)絡(luò)信息安全，有效利用網(wǎng)絡(luò)空間的核心關(guān)鍵。
1、做好云平臺(tái)部署前系統(tǒng)評(píng)估
在云平臺(tái)部署之前須做好虛擬化技術(shù)應(yīng)用和建設(shè)的調(diào)研、評(píng)估等準(zhǔn)備，將部署風(fēng)險(xiǎn)降到最低，確保獲得長(zhǎng)遠(yuǎn)效益。具體來(lái)說(shuō)，首先需做好業(yè)務(wù)目標(biāo)評(píng)估，使云平臺(tái)建設(shè)目標(biāo)與業(yè)務(wù)發(fā)展目標(biāo)一致；其次需做好應(yīng)用環(huán)境評(píng)估，重點(diǎn)考慮現(xiàn)有軟件、硬件及網(wǎng)絡(luò)環(huán)境是否滿(mǎn)足虛擬化部署要求；第三做好技術(shù)水平評(píng)估，著重關(guān)注技術(shù)人員是否具有較強(qiáng)的業(yè)務(wù)技能，能否高效解決部署過(guò)程中出現(xiàn)的相應(yīng)問(wèn)題。
2、強(qiáng)化安全管理技術(shù)策略
在云平臺(tái)部署過(guò)程中，要從管理策略的角度防范風(fēng)險(xiǎn)。在管理措施方面，須嚴(yán)格遵守信息系統(tǒng)安全管理規(guī)范，虛擬服務(wù)器的審計(jì)策略和安全防護(hù)策略須與物理服務(wù)器一致，定期備份監(jiān)控主機(jī)和虛擬服務(wù)器上的安全日志和事件日志；在用戶(hù)權(quán)限管理方面，必須遵循最低權(quán)限原則，管理人員權(quán)限須與其工作職責(zé)匹配，禁止共享賬號(hào)；在監(jiān)督管理方面，云平臺(tái)中采用的虛擬化監(jiān)控工具必須能夠檢測(cè)到虛擬機(jī)各類(lèi)異常現(xiàn)象以及未經(jīng)授權(quán)行為，虛擬機(jī)數(shù)量必須嚴(yán)格處于監(jiān)控之下，努力減少入侵攻擊面。
3、提高數(shù)據(jù)的安全性和保密性
在網(wǎng)絡(luò)數(shù)據(jù)存儲(chǔ)過(guò)程中進(jìn)行加密處理是保障數(shù)據(jù)安全性和保密性的有效方式。一方面， 選擇信譽(yù)度高的云服務(wù)提供商，確保服務(wù)提供商能夠?qū)ψ陨硇袨樨?fù)責(zé)，擁有專(zhuān)業(yè)的技術(shù)團(tuán)隊(duì)，減少信息數(shù)據(jù)泄露，降低用戶(hù)信息泄露的風(fēng)險(xiǎn)。另一方面，?要采用加密技術(shù)高、破解難度大的主流加密技術(shù)和程序如pgp、truecrypt、hushmail來(lái)應(yīng)對(duì)安全和保密風(fēng)險(xiǎn)。同時(shí)采用vontu、websense等過(guò)濾器用于數(shù)據(jù)監(jiān)控，阻攔敏感數(shù)據(jù)。
4、強(qiáng)化云平臺(tái)安全技術(shù)措施
安全技術(shù)是安全控制的重要手段，安全技術(shù)措施主要包括控制虛擬機(jī)蔓延、隔離虛擬機(jī)以及常規(guī)性安全防護(hù)等措施。在技術(shù)安全防護(hù)上一是 必須對(duì)虛擬機(jī)進(jìn)行嚴(yán)格審核、監(jiān)控和追蹤，防止虛擬機(jī)失控蔓延；二是 為確保虛擬化平臺(tái)通信安全，必須通過(guò)劃分vlan對(duì)虛擬機(jī)進(jìn)行邏輯隔離，在業(yè)務(wù)、管理、測(cè)試業(yè)務(wù)應(yīng)用中通過(guò)虛擬網(wǎng)實(shí)現(xiàn)隔離；三是 常規(guī)性安全防護(hù)須嚴(yán)格遵守信息系統(tǒng)安全管理規(guī)范，部署防病毒軟件，及時(shí)安裝操作系統(tǒng)補(bǔ)?。凰氖?強(qiáng)化虛擬機(jī)外置設(shè)備（如U盤(pán)、光驅(qū)等）管理，切斷病毒的傳入渠道，掛起或者關(guān)掉暫不使用的虛擬機(jī)。
數(shù)據(jù)中心云平臺(tái)防護(hù)體系應(yīng)當(dāng)依據(jù)網(wǎng)絡(luò)安全等級(jí)保護(hù)的思想，以數(shù)據(jù)中心云平臺(tái)的安全需求出發(fā)，用技術(shù)和管理充分保護(hù)數(shù)據(jù)中心云平臺(tái)信息安全，從全生命周期確保數(shù)據(jù)中心云平臺(tái)的安全建設(shè)符合等保要求，將安全理念貫穿數(shù)據(jù)中心云平臺(tái)建設(shè)、整改、測(cè)評(píng)、運(yùn)維全過(guò)程，做到等保成果的可視化，安全工作的持久化。
|
