云計算環(huán)境下安全等級保護(hù)方案

1、云計算環(huán)境下安全等級保護(hù)方案信息安全國家戰(zhàn)略設(shè)備/用戶規(guī)模（ 百萬）1MM+10MM+100MM+1B+10B+大機(jī)小機(jī)PC桌面互聯(lián)網(wǎng)移動互聯(lián)網(wǎng)物聯(lián)網(wǎng)+云計算+大數(shù)據(jù)工業(yè)社會提升傳統(tǒng)商業(yè)邏輯效率互聯(lián)網(wǎng)+時代顛覆傳統(tǒng)商業(yè)邏輯云服務(wù)方具有超級用戶權(quán)限，用戶對不可信的云服務(wù)無防范手段數(shù)據(jù)存儲過程中的安全問題數(shù)據(jù)使用中的安全問題數(shù)據(jù)刪除與重用過程的安全問題惡意租戶可通過共享資源對其他租戶和云計算基礎(chǔ)設(shè)施進(jìn)行攻擊租戶間攻擊導(dǎo)致的數(shù)據(jù)泄露租戶共謀攻擊導(dǎo)致的信息泄露云平臺的深度開放性使攻擊者選擇多種途徑侵入和控制云平臺云計算資源濫用，DDoS 攻擊云計算為非法行為提供技術(shù)基礎(chǔ)虛擬化系統(tǒng)的各個功能組件均存在安

2、全問題虛擬機(jī)監(jiān)控器安全虛擬機(jī)管理工具安全客戶操作系統(tǒng)及應(yīng)用安全云計算存在的安全問題共享技術(shù)漏洞引入的虛擬化安全風(fēng)險云服務(wù)不可信帶來的信息安全風(fēng)險多租戶模式帶來的數(shù)據(jù)泄露風(fēng)險云平臺惡意使用帶來的運(yùn)營安全風(fēng)險VMVMVMVMVM傀儡機(jī)傀儡機(jī)傀儡機(jī)傀儡機(jī)傀儡機(jī)云計算的安全問題，不容忽視云計算導(dǎo)致數(shù)據(jù)中心發(fā)生質(zhì)變IT資源被虛擬化基礎(chǔ)設(shè)施即是服務(wù)東西向流量占據(jù)主導(dǎo)虛擬機(jī)動態(tài)遷移云計算化管理導(dǎo)致網(wǎng)絡(luò)邊界模糊物理網(wǎng)絡(luò)邊界的消失，使得傳統(tǒng)物理安全設(shè)備無處安身大量的租戶，不同的安全需求，給安全管理帶來巨大挑戰(zhàn)計算資源和網(wǎng)絡(luò)完全虛擬化和分布式，使租戶網(wǎng)絡(luò)的物理邊界消失，因此傳統(tǒng)物理安全設(shè)備也就無法找到部署的位置。

3、租戶的數(shù)量越多，安全需求就越多種多樣，如果數(shù)據(jù)中心管理員對每個租戶的安全業(yè)務(wù)都需要維護(hù)管理，工作量無法想象。云計算等級保護(hù)最新要求規(guī)范（2015年7月）第一分冊 信息安全技術(shù)信息系統(tǒng)安全等級保護(hù) 基本要求第二分冊 信息安全技術(shù)信息系統(tǒng)安全等級保護(hù) 云計算安全技術(shù)要求第三分冊 信息安全技術(shù)信息系統(tǒng)安全等級保護(hù) 物聯(lián)網(wǎng)安全技術(shù)要求第四分冊 信息安全技術(shù)信息系統(tǒng)安全等級保護(hù) 移動互聯(lián)安全技術(shù)要求第五分冊 信息安全技術(shù)信息系統(tǒng)安全等級保護(hù) 工業(yè)控制安全技術(shù)要求云計算等級保護(hù)基本要求 云平臺定級原則 針對云平臺的定級，建議遵循以下原則：云計算信息系統(tǒng)根據(jù)其在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，遭到

4、破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等，云計算信息系統(tǒng)的 、 例如：為第二級信息系統(tǒng)提供服務(wù)的云平臺，其安全保護(hù)等級應(yīng)定為第二級；為第三級信息系統(tǒng)提供服務(wù)的云平臺，其安全保護(hù)等級應(yīng)定為第三級 根據(jù)相應(yīng)級別進(jìn)行建設(shè)，邀請第三方評估機(jī)構(gòu)進(jìn)行安全等級保護(hù)測評，通過等級保護(hù)測評后，再提供云服務(wù)由低到高劃分為五級。定級對象有兩種，分別是云租戶信息系統(tǒng)、云平臺。云平臺的安全保護(hù)等級由云平臺所承載信息系統(tǒng)的安全保護(hù)等級決定，云平臺對外提供服務(wù)之前，應(yīng)先進(jìn)行云平臺定級，云計算等保三級基本要求 關(guān)注點（網(wǎng)絡(luò)層面）結(jié)構(gòu)安全（G3）本項要求包括：應(yīng)實現(xiàn)不同云租戶之間網(wǎng)絡(luò)資

5、源的隔離，并避免網(wǎng)絡(luò)資源的過量占用應(yīng)繪制與當(dāng)前運(yùn)行情況相符的虛擬網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，并能對虛擬網(wǎng)絡(luò)資源、網(wǎng)絡(luò)拓?fù)溥M(jìn)行實時 更新和集中監(jiān)控應(yīng)保證虛擬機(jī)只能接收到目的地址包括自己地址的報文應(yīng)保證云平臺管理流量與云租戶業(yè)務(wù)流量分離應(yīng)能識別、監(jiān)控所有虛擬機(jī)之間、虛擬機(jī)與物理機(jī)之間、虛擬機(jī)與宿主機(jī)之間的流量應(yīng)提供開放接口、允許接入第三方安全產(chǎn)品，實現(xiàn)云租戶的網(wǎng)絡(luò)安全防護(hù)應(yīng)根據(jù)云租戶的業(yè)務(wù)需求定位安全訪問路徑云計算等保三級基本要求 關(guān)注點（主機(jī)層面）資源控制（A3）本項要求包括：應(yīng)提供自動保護(hù)功能，當(dāng)故障發(fā)生時自動保護(hù)所有狀態(tài)，保證系統(tǒng)能夠進(jìn)行恢復(fù)應(yīng)屏蔽虛擬資源故障，某個虛虛擬機(jī)崩潰后不影響虛擬機(jī)監(jiān)視器及其他

6、虛擬機(jī)應(yīng)對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配應(yīng)保證虛擬資源的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要應(yīng)保證虛擬內(nèi)存的獨占訪問應(yīng)根據(jù)業(yè)務(wù)服務(wù)的重要性來分配虛擬資源的優(yōu)先級別，保證在資源緊張的時候優(yōu)先保護(hù)重要業(yè)務(wù)服務(wù)所占用資源應(yīng)對虛擬機(jī)的網(wǎng)絡(luò)接口的帶寬進(jìn)行設(shè)置，并進(jìn)行監(jiān)控應(yīng)為監(jiān)控信息的匯集提供接口，并實現(xiàn)集中監(jiān)控云計算等保三級基本要求 關(guān)注點（服務(wù)及運(yùn)維層面）供應(yīng)鏈管理（G3）本項要求包括：應(yīng)確保供應(yīng)商的選擇符合國家的有關(guān)規(guī)定云服務(wù)方應(yīng)確保供應(yīng)鏈安全事件信息或威脅信息能夠及時傳達(dá)到云租戶應(yīng)保證供應(yīng)商的重要變更及時傳達(dá)到云租戶，并評估變更帶來的安全風(fēng)險，采取有關(guān)措施對風(fēng)險進(jìn)行控制監(jiān)控

7、和審計管理（G3）本項要求包括：應(yīng)確保信息系統(tǒng)的監(jiān)控活動符合關(guān)于隱私保護(hù)的相關(guān)政策法規(guī)應(yīng)確保提供給云租戶的審計數(shù)據(jù)的真實性和完整性應(yīng)制定相關(guān)策略，對安全措施有效性進(jìn)行持續(xù)監(jiān)控云服務(wù)方應(yīng)將安全措施有效性的監(jiān)控結(jié)果定期提供給相關(guān)云租戶系統(tǒng)運(yùn)維管理云安全等保規(guī)劃安全風(fēng)險評估安全標(biāo)準(zhǔn)規(guī)范遵從安全策略制定控制措施選擇商務(wù)云交通云地市云地市云食品安全云政務(wù)云資產(chǎn)評估硬件設(shè)施業(yè)務(wù)系統(tǒng)數(shù)據(jù)資產(chǎn)威脅來源分析縱向?qū)＞W(wǎng)政務(wù)外網(wǎng)互聯(lián)網(wǎng)服務(wù)風(fēng)險分析IaaSPaaSSaaS網(wǎng)信辦關(guān)于加強(qiáng)黨政部門云計算服務(wù)網(wǎng)絡(luò)安全管理的意見公安部信息系統(tǒng)安全等級保護(hù)測評要求 云計算要求安全責(zé)任劃分云租戶云服務(wù)提供商分區(qū)分域業(yè)務(wù)物理分區(qū)業(yè)務(wù)

8、邏輯分區(qū)租戶橫向隔離租戶縱向隔離數(shù)據(jù)保護(hù)數(shù)據(jù)隱私保護(hù)數(shù)據(jù)安全交換數(shù)據(jù)災(zāi)備安全服務(wù)交付安全組織建設(shè)組織設(shè)置人員設(shè)置安全管理體系制度建設(shè)風(fēng)險管理事件響應(yīng)通告安全技術(shù)手段物理層安全虛擬化安全應(yīng)用安全安全審計智能風(fēng)險預(yù)警根據(jù)租戶的定級要求按需提供安全和管理提供增值的云安全業(yè)務(wù)幫助租戶業(yè)務(wù)符合等保要求基礎(chǔ)設(shè)施：機(jī)房安全、電源可靠、備用設(shè)施網(wǎng)絡(luò)層：網(wǎng)絡(luò)連通性、Anti-DoS、數(shù)據(jù)傳輸機(jī)密性計算層：業(yè)務(wù)連續(xù)性、數(shù)據(jù)隱私性、虛擬系統(tǒng)安全存儲層：日志管理、數(shù)據(jù)加密、數(shù)據(jù)備份、云災(zāi)難恢復(fù)管理層：流程、管理制度完善、組織保障等云計算兩級等保建設(shè)第一級：云平臺自身等保實施第二級：租戶等保實施虛擬化環(huán)境下多層訪問控制

9、外聯(lián)網(wǎng)區(qū)TenantA：VLAN100Hypervisor(VMM)VM1VM2VM3TenantC：VLAN300Hypervisor(VMM)VM1VM2VM3TenantB：VLAN200Hypervisor(VMM)VM2VM3vMSG業(yè)務(wù)Internet外聯(lián)區(qū)DMZ區(qū)服務(wù)區(qū)FWIPSInternet外聯(lián)Extranet外聯(lián)區(qū)DMZ區(qū)服務(wù)區(qū)FWIPSIPSExtranet辦公I(xiàn)nternet外聯(lián)區(qū)DMZ區(qū)服務(wù)區(qū)FWIPSInternet4-7層第五層安全：東西向流量防護(hù)；主機(jī)集成防護(hù)第四層安全：ACL，無狀態(tài)過濾第三層安全：網(wǎng)關(guān)層4-7層第二層安全：南北流量防護(hù)；區(qū)域劃分第一層安全：內(nèi)外網(wǎng)隔離，攻擊防范SAAS（安全即服務(wù)）傳統(tǒng)視角：基于設(shè)備的、基于參數(shù)的安全策略云視角：基于應(yīng)用的、基于業(yè)務(wù)的條帶化安全基于設(shè)備或用戶的準(zhǔn)入實現(xiàn)網(wǎng)絡(luò)身份認(rèn)證網(wǎng)絡(luò)設(shè)備加固訪問控制加固ANTI-DDoS網(wǎng)絡(luò)監(jiān)控網(wǎng)絡(luò)監(jiān)控VPN加密防惡意代碼審核跟蹤訪問控制加密服務(wù)器端的基于設(shè)備的網(wǎng)絡(luò)準(zhǔn)入加密傳輸內(nèi)部WAN/MEN路由器交換機(jī)NetStreamSPAN/RSPAN