安全資源池政務(wù)云云安全背景知識(shí)

1、安全資源池政務(wù)云云安全背景篇第1頁(yè)課程目標(biāo)能夠熟練掌握政務(wù)云背景、建設(shè)痛點(diǎn)并能夠熟練利用；能夠掌握政務(wù)云安全問(wèn)題產(chǎn)生背景、痛點(diǎn)并熟練利用；能夠簡(jiǎn)單了解政務(wù)云主流競(jìng)爭(zhēng)對(duì)手，并能夠簡(jiǎn)單利用；銷(xiāo)售經(jīng)理能夠在用戶處獨(dú)立完成前期項(xiàng)目溝通；第2頁(yè)政務(wù)云面臨問(wèn)題政務(wù)云安全訴求起源政務(wù)云主流廠商第3頁(yè)政務(wù)云面臨問(wèn)題建設(shè)模式多樣云安全問(wèn)題突出運(yùn)營(yíng)方式轉(zhuǎn)變參與角色眾多第4頁(yè)政務(wù)云建設(shè)模式多樣建設(shè)方式上成熟發(fā)達(dá)省級(jí)政務(wù)云，如北京、浙江、四川等均為兩個(gè)不一樣云服務(wù)商分建兩朵，形成競(jìng)爭(zhēng)關(guān)系；并設(shè)置獨(dú)立監(jiān)管/監(jiān)理角色，引入專(zhuān)業(yè)技術(shù)企業(yè)作為主管單位技術(shù)力量支撐。如北京模式。地市級(jí)政務(wù)云，絕大多數(shù)只招標(biāo)一家云服務(wù)商進(jìn)行建設(shè)。

2、投運(yùn)流程上省級(jí)分建兩朵模式下，各委辦局有較大自主選擇權(quán)；經(jīng)常由租戶申請(qǐng)預(yù)算，靈活購(gòu)置兩家云服務(wù)。地市級(jí)常由經(jīng)信委、信息中心等主管單位，進(jìn)行統(tǒng)一云服務(wù)購(gòu)置。第5頁(yè)云安全是政務(wù)云突出問(wèn)題針對(duì)傳統(tǒng)信息系統(tǒng)和物理網(wǎng)絡(luò)邊界防御、入侵檢測(cè)、應(yīng)用安全保護(hù)等技術(shù)依然有用；但針對(duì)云平臺(tái)hypervisor層漏洞發(fā)覺(jué)、虛擬機(jī)逃逸和宿主機(jī)加固，以及虛擬化網(wǎng)絡(luò)安全、鏡像和云管平臺(tái)安全保護(hù)等方面缺乏有效伎倆；分布式防火墻+微隔離技術(shù)，能夠一定程度上處理虛擬機(jī)間隔離、防御問(wèn)題，但在多租戶政務(wù)云場(chǎng)景下又面臨搶占宿主機(jī)資源、責(zé)權(quán)難明晰和自服務(wù)運(yùn)維困難問(wèn)題，難以落地。第6頁(yè)運(yùn)行方式轉(zhuǎn)變、參加角色眾多主管單位：即當(dāng)?shù)卣?wù)云建設(shè)政

3、府牽頭單位，如經(jīng)信委等；項(xiàng)目建設(shè)前期，主要負(fù)責(zé)對(duì)云服務(wù)商進(jìn)行遴選，以及后續(xù)監(jiān)督、考評(píng)、指導(dǎo)管理；并負(fù)責(zé)協(xié)調(diào)、組織和監(jiān)督租戶遷移上云。監(jiān)管服務(wù)商：作為主管單位監(jiān)督職責(zé)延伸，為主管單位提供監(jiān)管技術(shù)支撐；常見(jiàn)于成熟省、直轄市省級(jí)政務(wù)云。云服務(wù)商：負(fù)責(zé)為當(dāng)?shù)卣顿Y、專(zhuān)門(mén)建設(shè)政務(wù)云平臺(tái)，提供計(jì)算、存放等云服務(wù)，經(jīng)過(guò)提供服務(wù)回收投資、取得經(jīng)濟(jì)效益；在成熟、發(fā)達(dá)省份省級(jí)政務(wù)云項(xiàng)目中常會(huì)入圍兩家，分建兩朵、形成競(jìng)爭(zhēng)。安全服務(wù)方：作為云服務(wù)商能力延伸，為使用單位（租戶，委辦廳局）提供安全服務(wù)；當(dāng)前大多數(shù)政務(wù)云都處于缺乏、缺失狀態(tài)，偶見(jiàn)于投運(yùn)早、業(yè)務(wù)遷移多省級(jí)政務(wù)云。使用單位：即租戶，委辦廳局；經(jīng)過(guò)購(gòu)置云服務(wù)商

4、、安全服務(wù)方服務(wù)實(shí)現(xiàn)業(yè)務(wù)云化，并對(duì)服務(wù)進(jìn)行績(jī)效評(píng)價(jià)。第7頁(yè)政務(wù)云面臨問(wèn)題政務(wù)云安全訴求起源政務(wù)云主流廠商第8頁(yè)經(jīng)過(guò)經(jīng)典區(qū)域看政務(wù)云安全挑戰(zhàn)北京市政務(wù)云由北京市經(jīng)信委統(tǒng)籌，事業(yè)單位主要提供網(wǎng)絡(luò)、計(jì)算、存放、帶寬等服務(wù)經(jīng)過(guò)北京案例，政務(wù)云建設(shè)過(guò)程中安全建設(shè)第9頁(yè)北京市級(jí)政務(wù)云體制建設(shè)角色眾多，責(zé)任明確云服務(wù)商經(jīng)信委云安全監(jiān)管商公服中心使用單位第10頁(yè)北京市級(jí)政務(wù)云體制建設(shè)經(jīng)信委/發(fā)改委/電子政務(wù)外網(wǎng)信息中心等公共服務(wù)中心云服務(wù)商使用單位監(jiān)管服務(wù)商直接領(lǐng)導(dǎo)監(jiān)管匯報(bào)安全應(yīng)急輔助監(jiān)督、考評(píng)物理安全管理指導(dǎo)、組織實(shí)施績(jī)效評(píng)價(jià)遴選監(jiān)督管理協(xié)調(diào)監(jiān)測(cè)監(jiān)督使用、運(yùn)行監(jiān)測(cè)安全檢驗(yàn)、邊界安全監(jiān)測(cè)規(guī)劃、遷移；績(jī)效評(píng)價(jià)邊

5、界安全監(jiān)測(cè)云對(duì)接其它云政務(wù)云建設(shè)、運(yùn)維云本身安全保障安全資源池第11頁(yè)責(zé)任明確北京市市級(jí)政務(wù)云管理方法（試行）（京經(jīng)信委函4號(hào)）12第12頁(yè)北京市市級(jí)政務(wù)云安全需求采取何種安全方案，每種安全方案實(shí)現(xiàn)方式產(chǎn)品生態(tài)、服務(wù)商生態(tài)怎樣在政務(wù)云中友好共存產(chǎn)品整合問(wèn)題（成本問(wèn)題，兼容問(wèn)題）怎樣滿足各方利益訴求第13頁(yè) 關(guān)鍵關(guān)鍵 云計(jì)算在當(dāng)前即使應(yīng)用廣泛，不過(guò)作為一個(gè)新技術(shù)，不可防止存在很多脆弱性，一旦被利用可能形成不可估量安全事件。主要風(fēng)險(xiǎn)1.一臺(tái)主機(jī)上可能承載多個(gè)不一樣租戶、不一樣系統(tǒng)，運(yùn)維管理復(fù)雜，流量不可視，風(fēng)險(xiǎn)難管理2.新技術(shù)應(yīng)用帶來(lái)新安全風(fēng)險(xiǎn)，如虛擬化層漏洞等3.全部雞蛋放在一個(gè)籃子里，受攻擊面

6、增大，同時(shí)平臺(tái)方責(zé)任更重政務(wù)云新技術(shù)引入安全問(wèn)題第14頁(yè)政務(wù)云面臨問(wèn)題政務(wù)云安全訴求起源政務(wù)云主流廠商第15頁(yè)主流云上方案硬件一虛多防火墻軟件類(lèi)安全SDN安全類(lèi)無(wú)代理殺毒第16頁(yè)主流云上方案 硬件一虛多主流廠商及代表型號(hào)：華三M9000系列、華為USG9000系列、迪普 DPX系列方案簡(jiǎn)述：經(jīng)過(guò)硬件網(wǎng)關(guān)設(shè)備上虛擬化技術(shù)提供虛擬防火墻、VPN等安全組件，多見(jiàn)于云平臺(tái)廠商打包方案中，作為邊界網(wǎng)關(guān)處理租戶間訪問(wèn)控制。方案優(yōu)劣：一虛多功效在某種程度上來(lái)說(shuō)是一個(gè)成本較低同時(shí)實(shí)現(xiàn)平臺(tái)基本安全策略方案，該方案也存在致命弊端，包含功效比較簡(jiǎn)單 如waf、網(wǎng)頁(yè)防篡改、網(wǎng)絡(luò)審計(jì)等租戶實(shí)際需要 等保要求安全策略都無(wú)

7、法滿足。同時(shí)，因?yàn)橛布脚_(tái)性能限制，伴隨平臺(tái)業(yè)務(wù)增加、業(yè)務(wù)流量增大 該方案無(wú)法支持平滑擴(kuò)容 隨需所取。第17頁(yè)主流云上方案 軟件NFV主流廠商及代表產(chǎn)品：基于阿里云深信服vaf、vssl、基于華為、華三云安全鏡像方案簡(jiǎn)述：經(jīng)過(guò)和云平臺(tái)耦合方式，兼容云平臺(tái)提供安全鏡像，實(shí)現(xiàn)對(duì)租戶安全策略。方案優(yōu)劣：對(duì)平臺(tái)兼容性要求極高，比如深信服當(dāng)前NFV 方案僅適配了自家產(chǎn)品和阿里云，另外多產(chǎn)品也極難形成統(tǒng)一管理、配置復(fù)雜。第18頁(yè)主流云上方案 SDN主流廠商及代表產(chǎn)品：云平臺(tái)廠商（h3c、華為）、啟明、綠盟方案簡(jiǎn)述：主要使用vxlan技術(shù)，經(jīng)過(guò)設(shè)備（如防火墻）接口調(diào)用來(lái)生成策略，能夠了解為在統(tǒng)一協(xié)議中經(jīng)過(guò)控制器引流建立租戶對(duì)應(yīng)vrf、網(wǎng)關(guān)等配置，從而完成自動(dòng)化交付。方案優(yōu)劣：SDN 缺乏落地，當(dāng)前沒(méi)有看到落地應(yīng)用很好案例；運(yùn)維復(fù)雜尤其是排錯(cuò)很復(fù)雜，對(duì)運(yùn)維技術(shù)挑戰(zhàn)較大；SDN 安全需要協(xié)調(diào)多家硬件設(shè)備廠商配合，難以落地。第19頁(yè)主流云上方案 無(wú)代理殺毒主流廠商及代表產(chǎn)品：基于平臺(tái)做深度定制安全組件，常見(jiàn)針對(duì)vmware平臺(tái)、h3c cas平臺(tái)、華為fusion平臺(tái)定制deep security產(chǎn)品。常見(jiàn)亞信、360等廠商。方案簡(jiǎn)述：針對(duì)平臺(tái)深度定制平臺(tái)安全插件，主要提供殺毒功