|
方案概述
一、項(xiàng)目背景
近年來，隨著虛擬化和云計算技術(shù)的發(fā)展和成熟，服務(wù)器虛擬化和云平臺的價值越來越被用戶認(rèn)可。政府行業(yè)，國家級和各省級政府都在籌備國家電子政務(wù)云試點(diǎn)工程，用于將各級政府的電子政務(wù)向云平臺遷移。交通、石油石化、電信等行業(yè)，也在逐步根據(jù)自身行業(yè)特色，籌備行業(yè)私有云建設(shè)。網(wǎng)絡(luò)安全法的出臺和網(wǎng)絡(luò)安全等級保護(hù)標(biāo)準(zhǔn)的更新，均對虛擬化/云計算平臺提出了新的安全要求。隨著信息化的發(fā)展，殺毒軟件將無法有效地處理日益增多的惡意程序。來自互聯(lián)網(wǎng)的主要威脅正在由電腦病毒轉(zhuǎn)向惡意程序及木馬，在這樣的情況下，采用的特征庫判別法顯然已經(jīng)過時。運(yùn)用云安全技術(shù)應(yīng)用后，識別和查殺病毒不再僅僅依靠本地硬盤中的病毒庫，而是依靠龐大的網(wǎng)絡(luò)服務(wù)，實(shí)時進(jìn)行采集、分析以及處理。
二、系統(tǒng)框架
三、系統(tǒng)特點(diǎn)
一、基礎(chǔ)設(shè)施安全
基礎(chǔ)設(shè)施安全包括網(wǎng)絡(luò)、主機(jī)/存儲等核心IT基礎(chǔ)設(shè)施的安全。云計算相關(guān)的所有網(wǎng)絡(luò)層安全挑戰(zhàn)在云計算條件下變得更加嚴(yán)重，但這都不是云計算所造成的，網(wǎng)絡(luò)層面的安全控制包括網(wǎng)絡(luò)訪問控制（如防火墻），傳輸數(shù)據(jù)加密（如SSL、IPSec），安全事件日志，基于網(wǎng)絡(luò)的入侵防御系統(tǒng)（IDS/IPS）。主機(jī)層面的安全控制包括主機(jī)防火墻、訪問控制、安裝補(bǔ)丁、系統(tǒng)鞏固、強(qiáng)認(rèn)證、安全事件日志、基于主機(jī)的入侵防御系統(tǒng)。
二、虛擬化安全
虛擬化帶來的經(jīng)濟(jì)上的可擴(kuò)展有利于加強(qiáng)在基礎(chǔ)設(shè)施、平臺、軟件層面提供云服務(wù)的能力，然而利用這些虛擬化技術(shù)也會帶來其它安全問題，如果云服務(wù)的基礎(chǔ)設(shè)施采用了虛擬機(jī)（VM）技術(shù)，這些VM系統(tǒng)間的隔離加固是必須要考慮的。在云計算中，某一最低安全保護(hù)的租戶，其安全性會成為虛擬環(huán)境中所有租戶共有的安全性。因此，需要考慮虛擬機(jī)的安全隔離、虛擬機(jī)鏡像安全管理、虛擬化環(huán)境下的通信安全、虛擬化和物理安全設(shè)備的統(tǒng)一管理和可視化等技術(shù)。
三、數(shù)據(jù)安全
用戶需要避免數(shù)據(jù)丟失和被竊。給數(shù)據(jù)進(jìn)行加密，以確保無論數(shù)據(jù)物理上存儲在哪里都受到保護(hù)。同樣的，也需要保護(hù)其用戶的敏感數(shù)據(jù)。強(qiáng)加密及密鑰管理是云計算系統(tǒng)需要用以保護(hù)數(shù)據(jù)的一種核心機(jī)制。由于加密本身不能保證防止數(shù)據(jù)丟失，加密提供了資源保護(hù)功能，同時密鑰管理則提供了對受保護(hù)資源的訪問控制。數(shù)據(jù)安全技術(shù)包括諸如數(shù)據(jù)隔離、數(shù)據(jù)加密解密、身份認(rèn)證和權(quán)限管理，保障用戶信息的可用性、保密性和完整性。
四、身份和訪問管理安全
管理身份和訪問應(yīng)用程序的控制仍然是當(dāng)今的IT面臨的最大挑戰(zhàn)之一。雖然用戶可以在沒有良好的身份和訪問管理策略的前提下利用若干云計算服務(wù)，但從長遠(yuǎn)來說延伸企業(yè)身份管理服務(wù)到云計算確是實(shí)現(xiàn)按需計算服務(wù)戰(zhàn)略的先導(dǎo)。因此對用戶基于云的身份和訪問管理（IAM）是否準(zhǔn)備就緒進(jìn)行一個誠實(shí)的評估，以及理解云計算服務(wù)商的能力，是采納云生態(tài)系統(tǒng)的必要前提。成功有效的身份管理必不可少的IAM功能包括：身份供應(yīng)/取消供應(yīng)、認(rèn)證、聯(lián)盟、授權(quán)和用戶配置文件管理。同時還包括支持SAML、使用SPML開通用戶，以及能滿足各種用戶和訪問流程自動化需求的開放式應(yīng)用程序接口。
五、Web安全
云計算模式中，Web應(yīng)用是用戶最直觀的體驗(yàn)窗口，也是唯一的應(yīng)用接口。而近幾年風(fēng)起云涌的各種Web攻擊手段，則直接影響到云計算的順利發(fā)展。為了達(dá)到云計算終端到終端的安全，用戶保持瀏覽器的良好安全狀態(tài)是很必要的，這就需要對瀏覽器安裝補(bǔ)丁和升級以降低瀏覽器漏洞的威脅。針對目前幾種典型的云計算模式，采取了細(xì)化應(yīng)用安全防護(hù)的手段，針對不同的應(yīng)用，提供專業(yè)級的網(wǎng)關(guān)安全產(chǎn)品。
六、應(yīng)用安全
由于云環(huán)境其靈活性、開放性、以及公眾可用性這些特性，在DaaS、SaaS、PaaS、IaaS的所有層面，對于應(yīng)用程序來說，云計算都是一個特別的挑戰(zhàn)。部署于公共云中的網(wǎng)絡(luò)應(yīng)用程序必須根據(jù)互聯(lián)網(wǎng)威脅模型進(jìn)行設(shè)計，而且必須在軟件開發(fā)生命周期（SDLC）中內(nèi)嵌安全。應(yīng)用程序的安全控制手段包括軟件開發(fā)生命周期內(nèi)嵌安全的開發(fā)流程、“最小特權(quán)”配置、及時安裝應(yīng)用程序補(bǔ)丁、用戶認(rèn)證、訪問控制、帳戶管理、瀏覽器用最新的補(bǔ)丁加固、終端安全措施包括反病毒、入侵防御系統(tǒng)、基于主機(jī)的入侵檢測系統(tǒng)、主機(jī)防火墻和用于管理的虛擬專用網(wǎng)絡(luò)VPN等。
|
