|
方案概述
一、項(xiàng)目背景
近年來(lái)，隨著虛擬化和云計(jì)算技術(shù)的發(fā)展和成熟，服務(wù)器虛擬化和云平臺(tái)的價(jià)值越來(lái)越被用戶認(rèn)可。政府行業(yè)，國(guó)家級(jí)和各省級(jí)政府都在籌備國(guó)家電子政務(wù)云試點(diǎn)工程，用于將各級(jí)政府的電子政務(wù)向云平臺(tái)遷移。交通、石油石化、電信等行業(yè)，也在逐步根據(jù)自身行業(yè)特色，籌備行業(yè)私有云建設(shè)。網(wǎng)絡(luò)安全法的出臺(tái)和網(wǎng)絡(luò)安全等級(jí)保護(hù)標(biāo)準(zhǔn)的更新，均對(duì)虛擬化/云計(jì)算平臺(tái)提出了新的安全要求。隨著信息化的發(fā)展，殺毒軟件將無(wú)法有效地處理日益增多的惡意程序。來(lái)自互聯(lián)網(wǎng)的主要威脅正在由電腦病毒轉(zhuǎn)向惡意程序及木馬，在這樣的情況下，采用的特征庫(kù)判別法顯然已經(jīng)過(guò)時(shí)。運(yùn)用云安全技術(shù)應(yīng)用后，識(shí)別和查殺病毒不再僅僅依靠本地硬盤中的病毒庫(kù)，而是依靠龐大的網(wǎng)絡(luò)服務(wù)，實(shí)時(shí)進(jìn)行采集、分析以及處理。
二、系統(tǒng)框架
三、系統(tǒng)特點(diǎn)
一、基礎(chǔ)設(shè)施安全
基礎(chǔ)設(shè)施安全包括網(wǎng)絡(luò)、主機(jī)/存儲(chǔ)等核心IT基礎(chǔ)設(shè)施的安全。云計(jì)算相關(guān)的所有網(wǎng)絡(luò)層安全挑戰(zhàn)在云計(jì)算條件下變得更加嚴(yán)重，但這都不是云計(jì)算所造成的，網(wǎng)絡(luò)層面的安全控制包括網(wǎng)絡(luò)訪問(wèn)控制（如防火墻），傳輸數(shù)據(jù)加密（如SSL、IPSec），安全事件日志，基于網(wǎng)絡(luò)的入侵防御系統(tǒng)（IDS/IPS）。主機(jī)層面的安全控制包括主機(jī)防火墻、訪問(wèn)控制、安裝補(bǔ)丁、系統(tǒng)鞏固、強(qiáng)認(rèn)證、安全事件日志、基于主機(jī)的入侵防御系統(tǒng)。
二、虛擬化安全
虛擬化帶來(lái)的經(jīng)濟(jì)上的可擴(kuò)展有利于加強(qiáng)在基礎(chǔ)設(shè)施、平臺(tái)、軟件層面提供云服務(wù)的能力，然而利用這些虛擬化技術(shù)也會(huì)帶來(lái)其它安全問(wèn)題，如果云服務(wù)的基礎(chǔ)設(shè)施采用了虛擬機(jī)（VM）技術(shù)，這些VM系統(tǒng)間的隔離加固是必須要考慮的。在云計(jì)算中，某一最低安全保護(hù)的租戶，其安全性會(huì)成為虛擬環(huán)境中所有租戶共有的安全性。因此，需要考慮虛擬機(jī)的安全隔離、虛擬機(jī)鏡像安全管理、虛擬化環(huán)境下的通信安全、虛擬化和物理安全設(shè)備的統(tǒng)一管理和可視化等技術(shù)。
三、數(shù)據(jù)安全
用戶需要避免數(shù)據(jù)丟失和被竊。給數(shù)據(jù)進(jìn)行加密，以確保無(wú)論數(shù)據(jù)物理上存儲(chǔ)在哪里都受到保護(hù)。同樣的，也需要保護(hù)其用戶的敏感數(shù)據(jù)。強(qiáng)加密及密鑰管理是云計(jì)算系統(tǒng)需要用以保護(hù)數(shù)據(jù)的一種核心機(jī)制。由于加密本身不能保證防止數(shù)據(jù)丟失，加密提供了資源保護(hù)功能，同時(shí)密鑰管理則提供了對(duì)受保護(hù)資源的訪問(wèn)控制。數(shù)據(jù)安全技術(shù)包括諸如數(shù)據(jù)隔離、數(shù)據(jù)加密解密、身份認(rèn)證和權(quán)限管理，保障用戶信息的可用性、保密性和完整性。
四、身份和訪問(wèn)管理安全
管理身份和訪問(wèn)應(yīng)用程序的控制仍然是當(dāng)今的IT面臨的最大挑戰(zhàn)之一。雖然用戶可以在沒(méi)有良好的身份和訪問(wèn)管理策略的前提下利用若干云計(jì)算服務(wù)，但從長(zhǎng)遠(yuǎn)來(lái)說(shuō)延伸企業(yè)身份管理服務(wù)到云計(jì)算確是實(shí)現(xiàn)按需計(jì)算服務(wù)戰(zhàn)略的先導(dǎo)。因此對(duì)用戶基于云的身份和訪問(wèn)管理（IAM）是否準(zhǔn)備就緒進(jìn)行一個(gè)誠(chéng)實(shí)的評(píng)估，以及理解云計(jì)算服務(wù)商的能力，是采納云生態(tài)系統(tǒng)的必要前提。成功有效的身份管理必不可少的IAM功能包括：身份供應(yīng)/取消供應(yīng)、認(rèn)證、聯(lián)盟、授權(quán)和用戶配置文件管理。同時(shí)還包括支持SAML、使用SPML開通用戶，以及能滿足各種用戶和訪問(wèn)流程自動(dòng)化需求的開放式應(yīng)用程序接口。
五、Web安全
云計(jì)算模式中，Web應(yīng)用是用戶最直觀的體驗(yàn)窗口，也是唯一的應(yīng)用接口。而近幾年風(fēng)起云涌的各種Web攻擊手段，則直接影響到云計(jì)算的順利發(fā)展。為了達(dá)到云計(jì)算終端到終端的安全，用戶保持瀏覽器的良好安全狀態(tài)是很必要的，這就需要對(duì)瀏覽器安裝補(bǔ)丁和升級(jí)以降低瀏覽器漏洞的威脅。針對(duì)目前幾種典型的云計(jì)算模式，采取了細(xì)化應(yīng)用安全防護(hù)的手段，針對(duì)不同的應(yīng)用，提供專業(yè)級(jí)的網(wǎng)關(guān)安全產(chǎn)品。
六、應(yīng)用安全
由于云環(huán)境其靈活性、開放性、以及公眾可用性這些特性，在DaaS、SaaS、PaaS、IaaS的所有層面，對(duì)于應(yīng)用程序來(lái)說(shuō)，云計(jì)算都是一個(gè)特別的挑戰(zhàn)。部署于公共云中的網(wǎng)絡(luò)應(yīng)用程序必須根據(jù)互聯(lián)網(wǎng)威脅模型進(jìn)行設(shè)計(jì)，而且必須在軟件開發(fā)生命周期（SDLC）中內(nèi)嵌安全。應(yīng)用程序的安全控制手段包括軟件開發(fā)生命周期內(nèi)嵌安全的開發(fā)流程、“最小特權(quán)”配置、及時(shí)安裝應(yīng)用程序補(bǔ)丁、用戶認(rèn)證、訪問(wèn)控制、帳戶管理、瀏覽器用最新的補(bǔ)丁加固、終端安全措施包括反病毒、入侵防御系統(tǒng)、基于主機(jī)的入侵檢測(cè)系統(tǒng)、主機(jī)防火墻和用于管理的虛擬專用網(wǎng)絡(luò)VPN等。
|
