SANGFOR安全資源池初級能力成長安全資源池政務(wù)云云安全背景知識

1、課程目標(biāo)能夠熟練掌握政務(wù)云的背景、建設(shè)痛點并能夠熟練運(yùn)用；能夠熟練掌握政務(wù)云的背景、建設(shè)痛點并能夠熟練運(yùn)用；能夠掌握政務(wù)云安全問題產(chǎn)生的背景、痛點并熟練運(yùn)用；能夠掌握政務(wù)云安全問題產(chǎn)生的背景、痛點并熟練運(yùn)用；能夠簡單了解政務(wù)云主流競爭對手，并能夠簡單運(yùn)用；能夠簡單了解政務(wù)云主流競爭對手，并能夠簡單運(yùn)用；銷售經(jīng)理能夠在用戶處獨(dú)立完成前期項目溝通；銷售經(jīng)理能夠在用戶處獨(dú)立完成前期項目溝通；政務(wù)云面臨的問題政務(wù)云面臨的問題政務(wù)云安全訴求的來源政務(wù)云安全訴求的來源政務(wù)云主流廠商政務(wù)云主流廠商政務(wù)云面臨的問題政務(wù)云建設(shè)模式多樣建設(shè)方式上建設(shè)方式上成熟發(fā)達(dá)省級政務(wù)云，如北京、浙江、四川等均為兩個不同云服務(wù)

2、商分建兩朵，形成競爭關(guān)系；并設(shè)置獨(dú)立的監(jiān)成熟發(fā)達(dá)省級政務(wù)云，如北京、浙江、四川等均為兩個不同云服務(wù)商分建兩朵，形成競爭關(guān)系；并設(shè)置獨(dú)立的監(jiān)管管/監(jiān)理角色，引入專業(yè)技術(shù)公司作為主管單位的技術(shù)力量支撐。如北京模式。監(jiān)理角色，引入專業(yè)技術(shù)公司作為主管單位的技術(shù)力量支撐。如北京模式。地市級政務(wù)云，絕大多數(shù)只招標(biāo)一家云服務(wù)商進(jìn)行建設(shè)。地市級政務(wù)云，絕大多數(shù)只招標(biāo)一家云服務(wù)商進(jìn)行建設(shè)。投運(yùn)流程上投運(yùn)流程上省級分建兩朵的模式下，各委辦局有較大的自主選擇權(quán)；常常由租戶申請預(yù)算，靈活購買兩家云服務(wù)。省級分建兩朵的模式下，各委辦局有較大的自主選擇權(quán)；常常由租戶申請預(yù)算，靈活購買兩家云服務(wù)。地市級常由經(jīng)信委、信息中

3、心等主管單位，進(jìn)行統(tǒng)一云服務(wù)購買。地市級常由經(jīng)信委、信息中心等主管單位，進(jìn)行統(tǒng)一云服務(wù)購買。云安全是政務(wù)云的突出問題針對傳統(tǒng)信息系統(tǒng)和物理網(wǎng)絡(luò)的邊界防御、入侵檢測、應(yīng)用安全保護(hù)等技術(shù)仍然有用；但針對云平臺層的漏洞發(fā)現(xiàn)、虛擬機(jī)逃逸和宿主機(jī)加固，以及虛擬化網(wǎng)絡(luò)安全、鏡像和云管平臺的安全保護(hù)等方面缺乏有效手段；分布式防火墻+微隔離技術(shù)，可以一定程度上解決虛擬機(jī)間隔離、防御問題，但在多租戶的政務(wù)云場景下又面臨搶占宿主機(jī)資源、責(zé)權(quán)難明晰和自服務(wù)運(yùn)維困難的問題，難以落地。運(yùn)營方式的轉(zhuǎn)變、參與角色眾多主管單位：即當(dāng)?shù)卣?wù)云建設(shè)的政府牽頭單位，如經(jīng)信委等；項目建設(shè)前期，主要負(fù)責(zé)對云服務(wù)商進(jìn)行遴選，以及后續(xù)的監(jiān)

4、督、考核、指導(dǎo)管理；并負(fù)責(zé)協(xié)調(diào)、組織和監(jiān)督租戶遷移上云。監(jiān)管服務(wù)商：作為主管單位監(jiān)督職責(zé)的延伸，為主管單位提供監(jiān)管技術(shù)支撐；常見于成熟省、直轄市的省級政務(wù)云。云服務(wù)商：負(fù)責(zé)為當(dāng)?shù)卣顿Y、專門建設(shè)政務(wù)云平臺，提供計算、存儲等云服務(wù)，通過提供服務(wù)回收投資、獲得經(jīng)濟(jì)效益；在成熟、發(fā)達(dá)省份的省級政務(wù)云項目中常會入圍兩家，分建兩朵、形成競爭。安全服務(wù)方：作為云服務(wù)商的能力延伸，為使用單位（租戶，委辦廳局）提供安全服務(wù)；當(dāng)前大多數(shù)政務(wù)云都處于缺乏、缺失狀態(tài)，偶見于投運(yùn)早、業(yè)務(wù)遷移多的省級政務(wù)云。使用單位：即租戶，委辦廳局；通過購買云服務(wù)商、安全服務(wù)方的服務(wù)實現(xiàn)業(yè)務(wù)云化，并對服務(wù)進(jìn)行績效評價。政務(wù)云面臨的

5、問題政務(wù)云面臨的問題政務(wù)云安全訴求的來源政務(wù)云安全訴求的來源政務(wù)云主流廠商政務(wù)云主流廠商通過典型區(qū)域看政務(wù)云安全挑戰(zhàn)北京市政務(wù)云北京市政務(wù)云由北京市經(jīng)信委統(tǒng)籌，事業(yè)單位由北京市經(jīng)信委統(tǒng)籌，事業(yè)單位主要提供網(wǎng)絡(luò)、計算、存儲、帶寬等服務(wù)主要提供網(wǎng)絡(luò)、計算、存儲、帶寬等服務(wù)通過北京案例，政務(wù)云建設(shè)過程中的安全建設(shè)通過北京案例，政務(wù)云建設(shè)過程中的安全建設(shè)北京市級政務(wù)云體制建設(shè)角色眾多，責(zé)任明確角色眾多，責(zé)任明確云服務(wù)商云服務(wù)商經(jīng)信委經(jīng)信委云安全監(jiān)管商云安全監(jiān)管商公服中心公服中心使用單位使用單位北京市級政務(wù)云體制建設(shè)經(jīng)信委/發(fā)改委/電子政務(wù)外網(wǎng)信息中心等公共服務(wù)中心云服務(wù)商使用單位監(jiān)管服務(wù)商直接領(lǐng)導(dǎo)監(jiān)管

6、報告監(jiān)管報告安全應(yīng)急輔助安全應(yīng)急輔助監(jiān)督、考核監(jiān)督、考核物理安全管理物理安全管理指導(dǎo)、組織實施績指導(dǎo)、組織實施績效評價效評價遴選遴選監(jiān)督監(jiān)督管理管理協(xié)調(diào)協(xié)調(diào)監(jiān)測監(jiān)測監(jiān)督監(jiān)督使用、運(yùn)行監(jiān)測使用、運(yùn)行監(jiān)測安全檢查、邊界安全監(jiān)安全檢查、邊界安全監(jiān)測測規(guī)劃、遷移；績效評價規(guī)劃、遷移；績效評價邊界安全監(jiān)測邊界安全監(jiān)測云對接其他云其他云政務(wù)云建設(shè)、運(yùn)維政務(wù)云建設(shè)、運(yùn)維云自身的安全保障云自身的安全保障安全資源池安全資源池責(zé)任明確北京市市級政務(wù)云管理辦法（試行）北京市市級政務(wù)云管理辦法（試行）（京經(jīng)信委函（京經(jīng)信委函20164號）號）12北京市市級政務(wù)云的安全需求采用何種安全方案，每種安全方案的實現(xiàn)方式采用何

7、種安全方案，每種安全方案的實現(xiàn)方式產(chǎn)品生態(tài)、服務(wù)商生態(tài)如何在政務(wù)云中和諧共存產(chǎn)品生態(tài)、服務(wù)商生態(tài)如何在政務(wù)云中和諧共存產(chǎn)品的整合問題（成本問題，兼容問題）產(chǎn)品的整合問題（成本問題，兼容問題）如何滿足各方利益訴求如何滿足各方利益訴求 核心關(guān)鍵核心關(guān)鍵 云計算在當(dāng)前雖然應(yīng)用廣泛，但是作為一個新技術(shù)，不可避免的存在諸多脆弱性，一旦被利用可能形成不可估量的安全事件。云計算在當(dāng)前雖然應(yīng)用廣泛，但是作為一個新技術(shù)，不可避免的存在諸多脆弱性，一旦被利用可能形成不可估量的安全事件。主要風(fēng)險主要風(fēng)險1.一臺主機(jī)上可能承載多個不同的租戶、不同的系統(tǒng)，運(yùn)維管理復(fù)雜，流量不可視，風(fēng)險難管理一臺主機(jī)上可能承載多個不同的

8、租戶、不同的系統(tǒng)，運(yùn)維管理復(fù)雜，流量不可視，風(fēng)險難管理2.新技術(shù)的應(yīng)用帶來新的安全風(fēng)險，如虛擬化層的漏洞等新技術(shù)的應(yīng)用帶來新的安全風(fēng)險，如虛擬化層的漏洞等3.所有雞蛋放在一個籃子里，受攻擊面增大，同時平臺方責(zé)任更重所有雞蛋放在一個籃子里，受攻擊面增大，同時平臺方責(zé)任更重政務(wù)云新技術(shù)引入的安全問題政務(wù)云面臨的問題政務(wù)云面臨的問題政務(wù)云安全訴求的來源政務(wù)云安全訴求的來源政務(wù)云主流廠商政務(wù)云主流廠商主流的云上方案主流的云上方案硬件一虛多防火墻硬件一虛多防火墻軟件類安全軟件類安全SDN安全類安全類無代理殺毒無代理殺毒主流的云上方案主流的云上方案 硬件一虛多硬件一虛多主流廠商及代表型號：華三M9000系

9、列、華為9000系列、迪普 系列方案簡述：通過硬件網(wǎng)關(guān)設(shè)備上的虛擬化技術(shù)提供虛擬防火墻、等安全組件，多見于云平臺廠商的打包方案中，作為邊界網(wǎng)關(guān)解決租戶間的訪問控制。方案優(yōu)劣：一虛多功能在某種程度上來說是一種成本較低同時實現(xiàn)平臺基本安全策略的方案，該方案也存在致命的弊端，包括功能比較簡單 如、網(wǎng)頁防篡改、網(wǎng)絡(luò)審計等租戶實際需要 等保要求的安全策略都無法滿足。同時，由于硬件平臺的性能限制，隨著平臺業(yè)務(wù)增加、業(yè)務(wù)流量增大 該方案無法支持平滑擴(kuò)容 隨需所取。主流的云上方案主流的云上方案 軟件軟件主流廠商及代表產(chǎn)品：基于阿里云的深信服、基于華為、華三云的安全鏡像方案簡述：通過和云平臺耦合的方式，兼容云平

10、臺提供安全鏡像，實現(xiàn)對租戶的安全策略。方案優(yōu)劣：對平臺的兼容性要求極高，比如深信服目前 方案僅適配了自家產(chǎn)品和阿里云，另外多產(chǎn)品也很難形成統(tǒng)一的管理、配置復(fù)雜。主流的云上方案主流的云上方案 主流廠商及代表產(chǎn)品：云平臺廠商（h3c、華為）、啟明、綠盟方案簡述：主要使用技術(shù)，通過設(shè)備（如防火墻）接口調(diào)用來生成策略，可以理解為在統(tǒng)一的協(xié)議中通過控制器引流建立租戶對應(yīng)的、網(wǎng)關(guān)等配置，從而完成自動化交付。方案優(yōu)劣： 缺少落地，目前沒有看到落地應(yīng)用很好的案例；運(yùn)維復(fù)雜特別是排錯很復(fù)雜，對運(yùn)維技術(shù)挑戰(zhàn)較大； 安全需要協(xié)調(diào)多家硬件設(shè)備廠商配合，難以落地。主流的云上方案主流的云上方案 無代理殺毒無代理殺毒主流廠商及代表產(chǎn)品：基于平臺做深度定制的安全組件，常見針對vmware平臺、h3c cas平臺、華為fusion平臺定制的deep security產(chǎn)品。常見亞信、360等廠商。方案簡