政務云服務合作運營可行性報告

1、政務云增值安全服務合作運營可行性研究報告 湖北郵電規(guī)劃設計有限公司 PAGE ii版權所有翻印必究 PAGE iii 前言本次可行性研究報告分為以下幾個部分：第一：政務云的背景和概況介紹；第二：可行性報告的設計思路和原則；第三：目前政務云存在的挑戰(zhàn)和需求分析，主要針對目前政務云平臺現(xiàn)在存在的問題和未來可能存在的挑戰(zhàn)進行分析；第四：針對政務云平臺存在的需求進行方案設計和建設，幫助星云大數(shù)據(jù)公司解決政務云平臺存在的一些問題；第五：匯報合作運營模式、收費模式、共同收益模式； 目 錄 HYPERLINK l _Toc496732548 一、 概述 PAGEREF _Toc496732548 h 1 H

2、YPERLINK l _Toc496732549 1.1 項目背景及概況 PAGEREF _Toc496732549 h 1 HYPERLINK l _Toc496732550 1.2 編制范圍 PAGEREF _Toc496732550 h 1 HYPERLINK l _Toc496732551 二、 設計原則 PAGEREF _Toc496732551 h 3 HYPERLINK l _Toc496732552 三、 項目需求分析 PAGEREF _Toc496732552 h 5 HYPERLINK l _Toc496732553 3.1 政務云建設挑戰(zhàn) PAGEREF _Toc4967

3、32553 h 5 HYPERLINK l _Toc496732554 3.2 平臺安全挑戰(zhàn) PAGEREF _Toc496732554 h 7 HYPERLINK l _Toc496732555 3.3 租戶安全風險 PAGEREF _Toc496732555 h 8 HYPERLINK l _Toc496732556 3.4 運維挑戰(zhàn) PAGEREF _Toc496732556 h 9 HYPERLINK l _Toc496732557 四、 云平臺安全建設方案 PAGEREF _Toc496732557 h 11 HYPERLINK l _Toc496732558 4.1 方案概述 PA

4、GEREF _Toc496732558 h 11 HYPERLINK l _Toc496732559 4.2 解決方案詳述 PAGEREF _Toc496732559 h 12 HYPERLINK l _Toc496732560 4.2.1 政務云安全方案整體概況 PAGEREF _Toc496732560 h 12 HYPERLINK l _Toc496732561 4.2.2 云安全資源方案 PAGEREF _Toc496732561 h 15 HYPERLINK l _Toc496732562 4.2.3 租戶應用場景 PAGEREF _Toc496732562 h 16 HYPERLI

5、NK l _Toc496732563 4.2.4 服務運維中心解決方案 PAGEREF _Toc496732563 h 18 HYPERLINK l _Toc496732564 平臺運維 PAGEREF _Toc496732564 h 18 HYPERLINK l _Toc496732565 租戶運維 PAGEREF _Toc496732565 h 20 HYPERLINK l _Toc496732566 平臺服務商合作運維 PAGEREF _Toc496732566 h 21 HYPERLINK l _Toc496732567 五、 合作運營模式 PAGEREF _Toc496732567

6、h 22 HYPERLINK l _Toc496732568 5.1 市場容量 PAGEREF _Toc496732568 h 22 HYPERLINK l _Toc496732569 5.2 合作運營方式 PAGEREF _Toc496732569 h 23感光鼓感光鼓 湖北郵電規(guī)劃設計有限公司 PAGE 6版權所有翻印必究概述項目背景及概況電子政務云是一種基于云計算的，可以優(yōu)化政府的管理和服務職能，提高政府工作效率和服務水平的平臺技術框架，本質(zhì)上是在技術層面“構建了統(tǒng)一的政府底層IT基礎結(jié)構”。電子政務云可以把政府的IT資源整合為服務，以供所屬機關部門、企業(yè)和居民共享使用，從而提高了政務I

7、T資源的利用率。從應用角度來看，電子政務云本質(zhì)上是為政府部門搭建一個底層的基礎架構平臺，把傳統(tǒng)的政務應用遷移到平臺上，共享給各個政府部門應用，提高政府的服務效率和服務能力。近年來，云計算的商用模式日益成熟，在此情況下，各地政府紛紛規(guī)劃電子政務云計算服務體系，構建電子政務云平臺。2010年10 月18日，國家發(fā)展和改革委員會聯(lián)合工業(yè)和信息化部發(fā)布了關于做好云計算服務創(chuàng)新發(fā)展試點示范工作的通知，通知明確要求在北京、上海、深圳、杭州、無錫等五個城市先行開展云計算服務創(chuàng)新發(fā)展試點示范工作。北京、上海等地都將電子政務作為推進云計算應用的主要領域；上海、成都、北京先后成立了自己的“云基地”，為云模式的政務

8、平臺建設探索發(fā)展之路。我國電子政務云逐步進入實踐應用期。編制范圍本報告主要包括以下內(nèi)容：項目背景和概況；設計原則；項目需求分析；云平臺安全建設方案；合作運營模式；設計原則統(tǒng)一性原則由于云計算是一個復雜的體系，應在統(tǒng)一的框架體系下，參考國際國內(nèi)各方面的標準與規(guī)范，嚴格遵從各項技術規(guī)定，做好系統(tǒng)的標準化設計與施工。成熟穩(wěn)定由于云計算的發(fā)展變化很快，而本項目建設時間緊，涉及面廣，應用性強，在設計過程中，應選成熟穩(wěn)定的技術和產(chǎn)品，確保建成的云平臺適應各方的需求，同時節(jié)約項目施工時間。實用先進為避免投資浪費，云平臺體系的設計不僅要求能夠滿足目前業(yè)務使用的需求，還必須具備一定的先進性和發(fā)展?jié)摿?，使系統(tǒng)具有

9、容量的擴充與升級換代的可能，以便該項目在盡可能的時間內(nèi)與業(yè)務發(fā)展和信息技術進步相適應。開放適用由于云計算平臺為各業(yè)務應用系統(tǒng)提供支撐，必須充分考慮系統(tǒng)的開放性，提供開放標準接口，供開發(fā)者、用戶使用。經(jīng)濟性原則云計算操作系統(tǒng)應在滿足云平臺建設需求的前提下具備較高的性價比。同時，云計算操作系統(tǒng)必須提供本地化技術支持，降低云平臺維護成本。安全可靠云平臺涉及用戶范圍廣，數(shù)量大，實時性強，設計時應加強系統(tǒng)安全防護能力，確保系統(tǒng)運行可靠，業(yè)務不中斷，數(shù)據(jù)不丟失。本次方案設計中參考的依據(jù)如下：GB 17859-1999 計算機信息系統(tǒng)安全保護等級劃分準則GB/T 22239-2008 信息安全技術 信息系統(tǒng)

10、安全等級保護基本要求GB/T 22240-2008 信息安全技術 信息系統(tǒng)安全等級保護定級指南GB/T 25058-2010 信息安全技術 信息系統(tǒng)安全等級保護實施指南中共中央辦公廳、國務院辦公廳國家信息化領導小組關于我國電子政務建設的指導意見（中辦發(fā)200217號）；國家信息化領導小組國家信息化領導小組關于加強信息安全保障工作的意見（中辦發(fā)200327號）；國家信息化領導小組關于推進國家電子政務網(wǎng)絡建設的意見（中辦發(fā)200618號）；國務院辦公廳關于加強政府網(wǎng)站建設和管理工作的意見(國辦發(fā)2006）104號）；國家發(fā)展改革委關于國家電子政務外網(wǎng)（一期工程）項目建議書的批復；項目需求分析我們按

11、照不同的維度進行區(qū)分，按照目前政務云的情況，我們將從以下兩個維度進行區(qū)分：平臺：此前政務云基礎架構已基本搭建完畢，參照等級保護建設要求，需要將云平臺建設為合規(guī)性安全平臺，為后續(xù)遷入的各業(yè)務系統(tǒng)提供基礎資源和安全保障。多租戶環(huán)境下云平臺主要負責將基礎設施（包括網(wǎng)絡、存儲、計算、安全等資源）進行虛擬化處理，能夠為每個用戶提供相對獨立的服務器計算資源和存儲資源，以及在承載網(wǎng)上為各租戶設定專有的數(shù)據(jù)轉(zhuǎn)發(fā)通道。租戶：租戶在本方案中指的是后期需要將業(yè)務搬遷至云平臺的各個廳局委辦。即業(yè)務系統(tǒng)的使用者。3.1 政務云建設挑戰(zhàn)當前政務云是以服務器虛擬化為基礎，提供便捷、穩(wěn)定的虛機服務；網(wǎng)絡、安全等IT資源并沒有

12、徹底虛擬化，形成靈活的網(wǎng)絡資源池；政務云只能為用戶提供基礎的路由、交換服務，以及在數(shù)據(jù)中心邊界提供單一的網(wǎng)絡安全和網(wǎng)絡優(yōu)化服務。因此，在為各個政府租戶單位提供云服務時，就會遇到如下問題： 缺乏個性化網(wǎng)絡安全和優(yōu)化服務各個政府橫向單位托管的應用系統(tǒng)，業(yè)務類型、訪客類型各不相同，網(wǎng)絡安全、應用優(yōu)化的需求各不相同；有的需要部署SSL VPN加固第三方訪問的傳輸和身份安全性；有的需要部署下一代防火墻，為WEB系統(tǒng)提供完整的Web保護、防止敏感數(shù)據(jù)被竊??；有的需要部署應用交付做服務器負載均衡，提升應用穩(wěn)定性； 缺乏持續(xù)發(fā)現(xiàn)威脅的能力由于云平臺部署了眾多廳局單位的業(yè)務系統(tǒng)，安全的防護也是持續(xù)動態(tài)的過程，如

13、何能對云平臺上的業(yè)務進行持續(xù)威脅發(fā)現(xiàn)和跟蹤變得至關重要，同時針對已被入侵的主機或潛伏周期較長的病毒主機進行檢測和發(fā)現(xiàn)，及時處理事后入侵的安全威脅和病毒； 傳統(tǒng)方案部署復雜，不利于大規(guī)模部署一些政務云為了提供個性化服務，會在數(shù)據(jù)中心的核心交換機旁掛各種安全、優(yōu)化的硬件設備，通過策略路由的方式，牽引流量針對各租戶提供增值服務。不同租戶，需要的服務不一樣，就會形成不同的牽引策略；每增加一個租戶，核心交換機就要修改一次配置，一旦出現(xiàn)錯配、漏配，極有可能造成業(yè)務中斷；隨著租戶越來越多，這種方式會讓核心交換承載較大性能壓力。 運維責任邊界難以劃分對于政務云來說，無論是建設運營方，還是租戶，對于業(yè)務系統(tǒng)的可

14、靠性、安全性都是極為關注的。但是由于采用了集中共享硬件資料的方式，IT系統(tǒng)的運維需要多方參與，往往在如下情況難以劃分清楚責任邊界，導致相互推諉：租戶的應用系統(tǒng)遷移到政務云時，原有的系統(tǒng)架構（服務器負載+Web服務器+中間件+數(shù)據(jù)庫）的典型方式不會有太大變化，但是往往Web等應用由租戶運維的話，服務器負載硬件由建設方運維，這種方式就會造成雙方需要緊密配合，才能保證系統(tǒng)可靠性。一旦系統(tǒng)出現(xiàn)故障，甚至是較為嚴重的信息安全事故，硬件、軟件等組件的故障排查需要多方人員參與，而且責任難以劃分。也會造成大家在事前就相互推諉。3.2 平臺安全挑戰(zhàn)云計算平臺和傳統(tǒng)計算平臺的最大區(qū)別在于計算環(huán)境，云平臺的計算環(huán)境

15、比傳統(tǒng)意義上的計算環(huán)境要更加復雜。對云平臺的計算環(huán)境的保護也是云平臺下信息安全整體保護體系的重中之重。但現(xiàn)有的云平臺建設時，均存在如下安全隱患： 平臺安全風險虛擬化應用程序（hypervisor、虛擬化管理軟件）本身可能存在的安全漏洞將影響到整個物理主機的安全。攻擊者在利用漏洞入侵到主機系統(tǒng)之后，可以對整個主機上的虛擬機進行任意的配置破壞，從而導致系統(tǒng)不可用，或者竊取相關數(shù)據(jù)。同時后續(xù)租戶遷入后，平臺本身的高權限非法獲取的漏洞、提供的編程環(huán)境的漏洞、底層堆棧溢出的漏洞、應用層攻擊、病毒威脅、APT攻擊等安全威脅都會存在，而平臺側(cè)一旦被攻陷，造成的損失將無法估量。 有效流量管理及突發(fā)流量抑制第二

16、個需要考慮的是流量的合理管控。將來租戶各種各樣的業(yè)務系統(tǒng)遷入后，所有的業(yè)務系統(tǒng)都平均分配出口資源，但仍然會出現(xiàn)資源搶占的現(xiàn)象，如XX單位對外發(fā)布的業(yè)務網(wǎng)站，在業(yè)務突發(fā)期就會占用很大一部分的出口資源，將會導致其它業(yè)務系統(tǒng)用戶使用體驗變差。所以在平臺流量管理這一塊，需要有一套合理的流量分配機制及有效的突發(fā)流量調(diào)整策略。 云平臺中的非安全訪問許可第三個需要考慮的威脅是需要解決對云平臺的非安全訪問問題。研究發(fā)現(xiàn)，許多目前已經(jīng)建設完成的云平臺實際上存在嚴重的信息漏洞，平臺的訪問許可往往設置不當或?qū)彶椴粐栏?。不管是運維人員的運維接入、租戶的接入、還是異地數(shù)據(jù)中心的安全互聯(lián)，都是需要慎重考慮的問題，避免因為

17、非安全的訪問許可成為整個平臺的安全短板。 云平臺中的數(shù)據(jù)泄露風險當用戶遷移到云的時候，數(shù)據(jù)泄露不是一個客戶到另一個客戶的數(shù)據(jù)遷移，實際上在云中的每個租戶都應該只能訪問他們自己的數(shù)據(jù)，而不能訪問其他客戶的數(shù)據(jù)。同時外來的訪問者竊取敏感數(shù)據(jù)或核心數(shù)據(jù)時，平臺需要一種有效的機制來抑制或發(fā)現(xiàn)。 服務中斷的風險服務中斷來源于倆方面：1.虛機故障停止對外服務、出口鏈路中斷、數(shù)據(jù)中心切換等問題帶來的服務中斷。2.災難、電力供應等不可抗拒性中斷，此類事件一旦發(fā)生，便會造成數(shù)據(jù)中心毀滅性的破壞。同時會對租戶的公信力產(chǎn)生破壞。不可能抗拒性的中斷建議采用冗余數(shù)據(jù)中心的方式來解決，但虛機故障、出口鏈路中斷等問題帶來的

18、軟中斷，是需要急切解決的。3.3 租戶安全風險除了平臺的安全問題，租戶層仍然還有如下安全風險急需解決： 個性化網(wǎng)絡安全和優(yōu)化需求各個租戶托管的應用系統(tǒng)，業(yè)務類型、訪客類型各不相同，網(wǎng)絡安全、應用優(yōu)化的需求各不相同；有的需要部署SSL VPN加固第三方訪問的傳輸和身份安全性；有的需要部署審計設備對業(yè)務數(shù)據(jù)進行審計等； 環(huán)境安全風險在租戶遷入業(yè)務系統(tǒng)之前，將會對整個平臺進行安全評估，主要從管理環(huán)境、網(wǎng)絡環(huán)境、計算環(huán)境三個方面進行整個入駐環(huán)境的評估。 南北向安全風險南北向的安全風險主要來自于兩塊：租戶遷入后業(yè)務系統(tǒng)的安全及最終用戶訪問或接入業(yè)務系統(tǒng)時的安全風險。首先，業(yè)務系統(tǒng)遷入后需要通過政務外網(wǎng)和

19、互聯(lián)網(wǎng)對外發(fā)布，目前的業(yè)務系統(tǒng)多為B/S結(jié)構，來自于互聯(lián)網(wǎng)的層出不窮的WEB攻擊、網(wǎng)頁篡改讓租戶防不勝防。其次，有些業(yè)務系統(tǒng)雖然不對互聯(lián)網(wǎng)開放，但卻有成千上萬的接入者，這些接入者的訪問通道、訪問終端的安全性保障，安全風險的規(guī)避，成為了這一部分需要重點考慮的問題 東西向流量交換的安全風險在虛擬化環(huán)境下，單臺物理服務器上的各虛擬機之間可能存在二層流量交換，而這部分流量對于管理員來說是不可見的。在這種情況下，管理員需要判斷虛擬機之間的訪問是否符合預定的安全策略，或者需要考慮如何設置策略以便實現(xiàn)對虛擬機之間流量的訪問控制及安全風險檢測。 業(yè)務系統(tǒng)中斷、訪問體驗差租戶的業(yè)務系統(tǒng)上線后，需要一種有效的方法

20、實現(xiàn)云應用的實時監(jiān)控及訪問請求的智能調(diào)度，從而保障用戶訪問體驗，杜絕因虛機故障或應用假死造成用戶訪問中斷。同時需要一種手段能夠和管理平臺進行實時聯(lián)動，在業(yè)務的高峰期，能夠新增適量的虛擬機來保障用戶訪問請求的及時快速處理。在業(yè)務的低谷期，能夠減少虛擬機來避免資源的浪費。3.4 運維挑戰(zhàn)除了前面所提到的建設及安全問題之外，租戶遷入后，運維也成了一大難題： 平臺運維難題在平臺側(cè)，運維主要有兩大困擾：首先是整個平臺本身以及平臺中的業(yè)務系統(tǒng)的安全現(xiàn)狀、實時安全監(jiān)測難題，其次是訪問審計問題，需要針對每一個平臺的訪問者進行記錄，以備出現(xiàn)問題時有據(jù)可查。 租戶運維難題在租戶側(cè)，業(yè)務系統(tǒng)遷入后，向平臺方申請的各

21、類安全資源如何配置合理有效的策略？能否提供在業(yè)務系統(tǒng)的日常運行中，有哪些安全風險的定期風險報表？近段時間遭受了哪些安全威脅？目前的安全現(xiàn)狀如何？需要進行哪些短板補齊？是否能夠提供自動化的策略配置工具來減輕租戶管理員的負擔？綜合以上的來自于建設層面、平臺層面、租戶層面的種種需求，我們建議本次云平臺的安全體系架構如下：云安全體系架構圖云平臺安全建設方案4.1 方案概述云計算虛擬化技術以其對資源的高效整合、提高資源利用率、節(jié)省能源、節(jié)約投資、隨需擴展等優(yōu)點而廣受認可，并被大量部署，但虛擬化技術在為用戶帶來利益的同時，也對用戶的數(shù)據(jù)安全和基礎架構提出了新的要求。如何在安全的范疇內(nèi)使用虛擬化技術，成為虛

22、擬化數(shù)據(jù)中心迫在眉睫需要解決的問題。本章將從云基礎安全、數(shù)據(jù)及應用安全、業(yè)務系統(tǒng)穩(wěn)定、安全運維等角度提供一些云安全建設的思路。政務云整體防護示意圖4.2 解決方案詳述4.2.1 政務云安全方案整體概況如上圖所示，在云數(shù)據(jù)中心物理網(wǎng)絡邊界需要部署安全、優(yōu)化硬件設備，如下一代防火墻、應用交付、流量管理、VPN等產(chǎn)品，形成安全硬件資源池，在物理網(wǎng)絡出口提供平臺級的整體安全保護，防止外部網(wǎng)絡的非授權接入和惡意入侵，防止針對云平臺資源申請和管理界面的攻擊，并提供鏈路負載均衡和業(yè)務流量管理等功能，保證應用系統(tǒng)具備更高的持續(xù)性和可用性以及快速性。政務云租戶安全防護指的是，在服務器虛擬化環(huán)境下，對不同租戶間、

23、租戶內(nèi)部虛擬機間的流量進行安全防護和隔離。通過虛擬化軟件安全、優(yōu)化產(chǎn)品，如軟件版下一代防火墻vAF、軟件版應用交付vAD、軟件版vSSL VPN等產(chǎn)品，形成軟件安全、優(yōu)化資源池。這些軟件安全、優(yōu)化資源池提供了針對虛擬化網(wǎng)絡的2到7層安全防護和應用的負載優(yōu)化，實現(xiàn)精細的區(qū)域劃分與可視化的權限訪問控制。如區(qū)域劃分、接入控制、病毒防護、入侵防護、漏洞檢測、DDoS攻擊防護、WEB安全防護、數(shù)據(jù)泄露保護、網(wǎng)頁篡改保護、服務器負載均衡等。通過安全軟件資源池，可以實現(xiàn)按需分配、靈活部署的安全保護深信服云端安全服務以安全設備為載體，后臺的安全專家團隊作為技術支撐；通過搜集安全設備如下一代防火墻檢測和上報的安

24、全日志，過濾和篩選出和用戶業(yè)務最密切相關的安全風險并實時推送給用戶，使之能夠在最短的時間內(nèi)了解業(yè)務服務器上存在的安全風險，并且7*24小時為用戶持續(xù)提供三塊在線安全服務：事前：網(wǎng)站安全漏洞掃描及滲透測試事中：網(wǎng)站內(nèi)容安全監(jiān)測及運營分析事后：網(wǎng)站安全漏洞驗證及應急響應用戶通過掃描深信服安全設備上的安全服務二維碼即會自動關注深信服安全服務微信公眾號，同時深信服安全服務平臺將根據(jù)用戶關注的設備進行相關安全信息的推送，從而用戶可以隨時隨地獲得深信服以上的在線安全服務。租戶的安全防護需求，過去需要以專用硬件方式部署，現(xiàn)在不再需要依賴專用的硬件，可以以軟件鏡像的方式，完美支持在VMware等服務器虛擬化環(huán)

25、境下的部署。從而極大的簡化政務云數(shù)據(jù)中心網(wǎng)絡的架構，為各個租戶的虛擬應用按需、靈活的虛擬擴展出各種安全和優(yōu)化方案，同時還便于劃分清楚各方的運維職責。深信服虛擬化軟件安全、優(yōu)化產(chǎn)品是以虛機的形式存在于在虛擬化平臺中，可以快速部署于VMware等Hypervisor系統(tǒng)之上，并可以完全適配Vmware的vCenter和vmotion的監(jiān)管，支持虛擬設備克隆和遷移等配置和操作，實現(xiàn)無障礙使用。軟件虛擬化版本產(chǎn)品直接以虛擬機的方式運行，只需要分配好相應的CPU、內(nèi)存、硬盤等資源大小，就可以獲得對應性能的安全、優(yōu)化產(chǎn)品。一般會分為1核、2核、4核、8核CPU等檔次，性能從百兆到千兆。功能方面，由于是將現(xiàn)

26、有硬件產(chǎn)品的版本直接平移，所以軟件版產(chǎn)品的功能與硬件設備保持一致，可以為用戶提供最專業(yè)的網(wǎng)絡安全、網(wǎng)絡優(yōu)化解決方案。方案優(yōu)勢：在云平臺出口的硬件資源池，通過鏈路調(diào)度單元來保障不會因為出口鏈路中斷而引起服務中斷，通過用戶運營商歸屬智能調(diào)度保障用戶的訪問請求被合理分配不會引起用戶訪問體驗差;通過平臺安全單元為整個云平臺構建L2-L7的整體安全防護，為云平臺的各種應用提供保駕護航。通過數(shù)據(jù)中心互聯(lián)單元來實現(xiàn)與備份數(shù)據(jù)中心的安全互聯(lián)的同時進行冗余數(shù)據(jù)的削減，減少帶寬資源的浪費。而流量管控單元來減少帶寬資源的不合理利用及峰值低價值流量的削減。深信服虛擬化軟件安全產(chǎn)品以虛機的形式存在于在虛擬化平臺中，并提

27、供和物理設備完全一樣的安全防護功能，最大限度滿足虛擬化環(huán)境下按需分配的靈活需求。相比硬件安全資源池，軟件資源池可以最大化在云平臺內(nèi)部消化東西向互聯(lián)通信、清除異常行為，減少跨層流量，減輕核心和出口壓力，提升云平臺網(wǎng)絡的穩(wěn)定性。通過軟件安全資源池，可以為不同的用戶快速分配獨立的安全資源，提供個性化的安全服務，并達到比硬件資源池更低的投資和更高的回報率。4.2.2 云安全資源方案云安全資源池解決方案以軟件定義安全為核心，結(jié)合安全設備虛擬化，適應云計算環(huán)境下的資源虛化、安全邊界模糊、多租戶安全策略沖突等新問題，實現(xiàn)對客戶安全的縱深防御。云安全資源池解決方案的整體部署結(jié)構如下圖所示，安全資源池采用深信服

28、自身研發(fā)的服務器虛擬化aSV產(chǎn)品進行組建，類似于傳統(tǒng)的一虛多方案，但可以采用集群部署。在安全資源池里將提供深信服的所有核心安全產(chǎn)品，包括防火墻、VPN、負載均衡以及加速等，所有這些安全產(chǎn)品均以軟件的形式進行部署，并且接受統(tǒng)一的云安全服務平臺CSSP的管理，包括新建、修改、刪除、配置等。目前云數(shù)據(jù)中心主要存在三條數(shù)據(jù)路徑：1、外部網(wǎng)絡與數(shù)據(jù)中心網(wǎng)絡之間的南北流量（圖中所示）2、數(shù)據(jù)中心不同租戶/子網(wǎng)之間的東西流量（圖中所示）3、數(shù)據(jù)中心相同租戶/子網(wǎng)的虛機間的東西流量（圖中所示）如何實現(xiàn)這三條數(shù)據(jù)路徑的安全防護是云安全解決方案的核心內(nèi)容。對于南北流量，將經(jīng)過核心交換機配置策略路由后引入到安全資源

29、池進行清洗防護。多租戶/子網(wǎng)的流量區(qū)分可以采用IP或VLAN或VXLAN等多種方式，既可以人工手動配置，也可以利用云平臺的REST API接口自動獲取。對于東西流量防護，采用Agent代理實現(xiàn)，Agent是一個非常輕量級的軟件實現(xiàn)，運行于虛機之內(nèi)，由云安全服務平臺CSSP統(tǒng)一管理。深信服云安全解決方案將安全設備虛擬化，將大大降低用戶成本，同時提高了敏捷度和并發(fā)性能（比如利用scale out的橫向擴展和云資源的彈性擴容）。另外，將虛擬化的安全設備組建成獨立于云平臺之外的安全資源池，能夠解耦安全資源與應用平臺的關聯(lián)關系，在選擇和運營使用等各個方面給以用戶更多便利。4.2.3 租戶應用場景根據(jù)各個

30、局委辦租戶在政務云的應用場景，可以劃分為：政務網(wǎng)站/應用的托管部署應用需求：將單個應用，完全部署在政務云環(huán)境中，對公眾、政府橫向兄弟單位提供接入訪問建議部署組件：采用vAF提供租戶間、對外南北流量的安全防護；vAD提供虛擬機的服務器負載均衡，提升應用的可靠性政務應用混合云部署應用需求：在政務云部署了部分應用系統(tǒng)，或者單個應用的系統(tǒng)的部分組件（如僅部署Web服務器，DB還在傳統(tǒng)數(shù)據(jù)中心），這些虛擬機依然需要與租戶的傳統(tǒng)數(shù)據(jù)中心（租戶DC）進行數(shù)據(jù)訪問；同時，為了提升對外訪問的安全性，需要進行加密傳輸和認證加固。建議部署組件：除了部署vAF、vAD外，還需要部署vVPN，針對訪客提供SSL VPN

31、安全接入，針對租戶數(shù)據(jù)中心提供IPSec VPN接入。多應用系統(tǒng)托管部署：應用需求：租戶在虛擬網(wǎng)絡中部署了多個應用系統(tǒng)，需要針對不同應用系統(tǒng)虛擬機之間的訪問流量進行安全防護控制，滿足安全合規(guī)要求。建議部署組件：除了部署vAF、vAD以外，還需要部署插件版AF，它可以通過VMware的VMsafe接口，從服務器虛擬化底層針對不同的虛擬機的流量進行精細的安全訪問控制和虛擬補丁等服務。4.2.4 服務運維中心解決方案 平臺運維云管理是整個云平臺后臺的管理、調(diào)度、運維中心。基于Openstack平臺的商業(yè)化云服務平臺，在繼承原有架構靈活、擴展性強、開放性和兼容度高的基礎上，產(chǎn)品穩(wěn)定性和可靠性大大增強。

32、基于租戶到應用的端到端的云服務配置和管理，將用戶申請的服務組裝成服務鏈，統(tǒng)一管理和配置。通過對租戶的分級管理，實現(xiàn)了私有云多級資源分配的要求，通過定制個性化的審批流程，使得服務的申請更符合某些特殊業(yè)務的多級審批要求。通過對服務鏈的健康狀態(tài)的整體監(jiān)控和評分，對每個租戶的總體服務質(zhì)量有全面的把握和管理。云安全管理平臺應實現(xiàn)對多種IT資產(chǎn)進行統(tǒng)一的管理，包括服務器、網(wǎng)絡設備、安全設備、應用系統(tǒng)等設備。深信服SC集中管理平臺能夠?qū)υ破脚_網(wǎng)絡中全部的深信服設備進行集中管理。SC集中平臺可以統(tǒng)一查看各個設備的實時信息，包括最近事件，cpu、內(nèi)存、磁盤使用信息，內(nèi)置庫版本信息等；并能進行安全策略統(tǒng)一管理下發(fā)

33、和軟件規(guī)則庫自動升級管理。還可以與平臺進行深度合作，以實現(xiàn)云平臺的統(tǒng)一集中管理。 租戶運維建設云平臺的最終目標是要實現(xiàn)系統(tǒng)的按需運營，多種服務的開通，而這依賴于對計算、存儲、網(wǎng)絡資源的調(diào)度和分配，同時提供用戶管理、組織管理、工作流管理、自助界面等。從用戶資源的申請、審批到分配部署的智能化。管理系統(tǒng)不僅要實現(xiàn)對傳統(tǒng)的物理資源和新的虛擬資源進行管理，還要從全局而非割裂地管理資源，因此統(tǒng)一管理平臺與自動化服務交付是提升服務效率的重要因素。我們?yōu)樽鈶籼峁┑倪\維界面清晰、完整、簡單、自助化，從而可以使租戶管理員非常便捷的就能夠加載其需要的安全組件、優(yōu)化組件、計算組件等。平臺服務商合作運維為了實現(xiàn)IaaS

34、架構的統(tǒng)一管理及統(tǒng)一調(diào)度，通過OpenStack北向接口與第三方云管理平臺實現(xiàn)互通，通過與第三方合作開發(fā)，提供云平臺安全監(jiān)控日志、平臺訪問審計、租戶安全、優(yōu)化組件的策略自動化配置、基于業(yè)務的定期風險報表及租戶安全監(jiān)控平臺。從而將資源的調(diào)度管理更加集約化、易用化。合作運營模式5.1 市場容量一、從第三方數(shù)據(jù)出發(fā)：Gartner發(fā)布報告“2014年全球云安全服務市場趨勢”預測：隨著越來越多的企業(yè)，尤其是中小企業(yè)采用云安全服務，云安全服務市場，包括安全郵件/web網(wǎng)關、身份和訪問管理IAM、遠程漏洞評估、安全信息和事件管理將迎來高速發(fā)展時期，2017年該市場規(guī)模將高達41.3億美元。從Gartner

35、公布的圖表（上圖）可以看出，2013年基于云的安全服務市場規(guī)模將達到21億美元，到2015年將增長到31億美元。Gartner表示，云安全將保持強勁增長，但是收入機會將有所不同。二、從用戶需求出發(fā)：未來不同的租戶的個性化需求會隨著遷移的業(yè)務系統(tǒng)的增多而迅速增加；打造云安全合作生態(tài)圈不僅可以保證電子政務云平臺的信息資產(chǎn)，另外一方面也可以給租戶提供更過的安全增值業(yè)務，提高云平臺運營的收益；舉例：如一個用戶有個性化的Web應用防火墻需求，可在安全資源池中申請采購一臺虛擬的Web應用防火墻軟件用于防護該租戶的業(yè)務安全，而星云公司便可以向經(jīng)濟信息中心申請收取該虛擬安全設備的服務費用，若該費用是一年500

36、0元，申請的用戶增加到1000個租戶時，一年的服務費用可達5000,000元，10000個租戶時，一年的服務費用可達到五千萬元，這也只是單個虛擬安全設備的服務費用；因此市場規(guī)模和容量是非?？捎^的；5.2 合作運營方式可合作運營的增值安全內(nèi)容包括兩大類，三個點。如下圖所示：兩大類：增值安全組件、增值安全服務。三個點電子政務外網(wǎng)區(qū)安全資源池：應包括應用安全防護類（WAF、IPS、病毒過濾）、應用負載均衡類、安全接入類、安全掃描和加固類等組件和服務，為中大型租戶提供更加精細化的增值安全能力?；ヂ?lián)網(wǎng)公眾服務區(qū)安全資源池：應包括應用安全防護類（WAF、IPS、病毒過濾、防篡改）、應用負載均衡類（LB）、

37、安全掃描和加固類、數(shù)據(jù)安全保護等安全組件和服務，為租戶的提供更加精細化的增值安全能力。安全監(jiān)測區(qū)互聯(lián)網(wǎng)安全監(jiān)測服務：通過互聯(lián)網(wǎng)安全監(jiān)測平臺的服務，進行APM故障預警、應用安全、內(nèi)容安全監(jiān)測告警和通報等服務。合作運營模式 增值安全組件：資源池開放、共建，按需租用安全組件；按照單個組件的處理性能要求（如虛擬防火墻的吞吐、鏈接數(shù)、運算能力CPU核數(shù)等）/授權數(shù)（如SSL VPN的授權數(shù)等）+租用周期，進行計費。費用核算分成：可通過云服務商按需購買我司授權、付費，然后賣給租戶獲取差價形式（安徽政務云模式）；也可以將安全資源池形成安全市場，由用戶自由選取、付費；我司向云服務商繳納管理費用或利益分成方式（

38、阿里云模式）；也可以通過我司向云服務商按需提供安全組件，云服務商統(tǒng)一向租戶提供增值服務，并按使用周期/組件資源數(shù)量進行利益分成的形式。 此次合作模式將采用合作分成，風險共擔模式，深信服認可以下任意一種分成模式： 一、根據(jù)銷售額進行固定比例分成，其中云安全組件按：模式分成（星云，深信服）； 二、根據(jù)深信服提供的軟件，每完成一個CPU的銷售，深信服得到固定的分成收益，與總銷售額無關；增值安全服務：利用深信服部署在互聯(lián)網(wǎng)上的，已有成熟安全監(jiān)測平臺，向租戶按需提供（站點/次數(shù)/包月套餐等）Web安全監(jiān)測服務，包括應用層的安全漏洞、弱口令、后門、安全事件等；內(nèi)容層的黃、賭、毒、反動言論的監(jiān)測等。費用核算分成：可通過云服務商推介，廠商按需向租戶提供安全監(jiān)測服務；廠商向云服務商繳納管理費用或利益分成。也可以由租戶向云服務商按需申請、付費，云服務商向廠商派發(fā)工單、利益分成的方式進行。市場推廣模式：一、深信服將提供全套培訓工作，并會將阿里云，亞馬遜云，以及其他省市云平臺