云平臺安全監(jiān)管及體系設計方案

1、云平臺安全監(jiān)管及體系設計方案內(nèi)容目錄0引言云安全風險分析云基礎設施安全風險基礎設施服務層安全風險虛擬機安全威脅云數(shù)據(jù)存儲和傳輸安全風險虛擬化監(jiān)視器安全風險網(wǎng)絡虛擬化安全風險虛擬化管理方面安全風險平臺服務層安全風險軟件服務層安全風險云平臺軟件服務的安全風險云平臺軟件服務隔離的安全風險云軟件服務身份和訪問管理的安全風險云安全標準規(guī)范國外標準規(guī)范NISTCSA國內(nèi)云安全標準云計算服務安全指南2.2.22.0云平臺安全體系設計思路體系框架云安全監(jiān)管體系設計體系概述體系功能組成功能模塊設計云安全合規(guī)性檢測服務云安全數(shù)據(jù)分析服務用戶交互服務引言問題成為影響云計算技術進一步推廣的最大障礙。由于云計算技術具有

2、體系架構復雜、虛擬資源與物理資源相結云安全風險分析云基礎設施安全風險存在不同的安全風險。計算存儲設備安全風險在云計算環(huán)境中，計算存儲設備是云最基本的基礎設施，是進面的安全風險。網(wǎng)絡物理傳輸安全風險云平臺的物理傳輸網(wǎng)絡存在外來網(wǎng)絡非法入侵、網(wǎng)絡竊取、數(shù)據(jù)密碼技術保證數(shù)據(jù)傳輸?shù)臋C密性和完整性，防止數(shù)據(jù)被監(jiān)聽泄密?；A設施服務層安全風險傳統(tǒng)系統(tǒng)中未有過的安全風險和威脅?；A設施服務（Infrastructure as a Service，IaaS）層主要包括虛擬機、云數(shù)虛擬機安全威脅Web webshell云數(shù)據(jù)存儲和傳輸安全風險質(zhì)上，并通過網(wǎng)絡方式訪問，因此面臨著以下風險：數(shù)據(jù)在傳輸過程中受到破壞

3、而無法恢復；在虛擬環(huán)境傳輸?shù)奈募蛘邤?shù)據(jù)被監(jiān)聽；邏輯卷被多個虛擬機掛載導致邏輯卷上的敏感信息泄露；云用戶從虛擬機逃逸后獲取鏡像文件或其他用戶的隱私數(shù)據(jù)；虛擬機遷移、敏感數(shù)據(jù)存儲漂移導致的不可控；數(shù)據(jù)安全隔離不嚴格導致惡意用戶可以訪問其他用戶數(shù)據(jù)；虛擬機鏡像遭到惡意攻擊者篡改或非法讀取。虛擬化監(jiān)視器安全風險式對資源進行邏輯切分，其中存在以下安全風險：HypervisorHypervisor 后進入虛擬機；Hypervisor物理主機的控制權限；Hypervisor缺乏服務質(zhì)量（QualityofService，QoS）保證機制，虛擬機因異常原因產(chǎn)生的資源占用過高而導致宿主機或宿主機下的其他虛擬機

4、的資源不足，導致正常業(yè)務異常或不可用；缺乏針對虛擬機的“監(jiān)、控、防”機制，不能及時發(fā)現(xiàn)攻擊行可以猜解其他賬戶，并能長期潛伏；虛擬機可能因運行環(huán)境異常或硬件設備異常等原因出錯而影響其他虛擬機；無法快速地恢復。網(wǎng)絡虛擬化安全風險傳統(tǒng)的防火墻、入侵檢測系統(tǒng)（IntrusionDetection （IntrusionPrevention地對云環(huán)境流量進行審計、監(jiān)控和管控；黑客通過虛擬機向整個虛擬網(wǎng)絡進行滲透攻擊，并在虛擬的安全運行；機之間進行的地址解析協(xié)議（AddressResolution Protocol，ARP）攻擊、嗅探；虛擬系統(tǒng)在熱遷移過程中數(shù)據(jù)被非法嗅探和讀?。辉苾?nèi)網(wǎng)絡帶寬的非法搶占；重要

5、的網(wǎng)段、服務器被非法訪問、端口掃描、入侵攻擊；內(nèi)部用戶或內(nèi)部網(wǎng)絡的非法外聯(lián)行為無法檢測和阻斷；侵攻擊等。虛擬化管理方面安全風險統(tǒng)漏洞導致的攻擊入侵。平臺服務層安全風險平臺服務a 層向應用提供開發(fā)、Web云平臺服務安全風險Web（eXtensible Markup Language，XML）外部實體漏洞、失效的身份認證、失效的訪問控制、安全配置錯誤、使用含有已知漏洞的組件、不充分的日志和監(jiān)控等安全風險。云平臺接口安全風險受到分布式拒絕服務攻擊（DistributedDenialOfServiceattack， DDOS）攻擊，接口可用性遭到破壞；傳輸協(xié)議未加密或加密不充分， 云平臺數(shù)據(jù)安全風險（

6、ApplicationProgramming件、惡意軟件破壞、硬件設備故障、非法入侵等。軟件服務層安全風險云平臺的軟件服務（Software as a Service，SaaS）層向應用提供軟件服務，這些軟件服務的安全性直接影響云平臺的安全。云平臺軟件服務的安全風險云平臺軟件服務安全面臨以下風險：軟件服務本身存在安全漏洞，導致受到惡意攻擊，如結構化查詢語言（Structured Query Web 云平臺軟件服務隔離的安全風險云平臺軟件服務在多租戶應用模式下，不同用戶共享統(tǒng)一的計 資源未隔離、網(wǎng)絡資源未隔離、存儲資源未隔離。云軟件服務身份和訪問管理的安全風險內(nèi)部威脅是指內(nèi)部具有訪問權限的內(nèi)部人

7、員也有可能因安全意識缺失、錯誤的軟件/服務配置或者不規(guī)范的軟件使用等原因造成的內(nèi)部安全威脅。云安全標準規(guī)范國外標準規(guī)范NIST針對云計算標準，美國國家標準技術研究院（National efsdy云計算標準路線圖和SP 500-292云計算定義模型，如圖 1 所示。圖1云計算定義模型3（PaaS、SaaS4（5速伸縮、服務可度量）。20135NISTSP 500-299 NIST（NCC-SRA）22圖2NIST云計算安全參考架構CSA云安全聯(lián)盟（Cloud Security Aliance，CSA）發(fā)布的云安全CSA聯(lián)盟的云控制矩陣身份管理和訪問控制指南等3。其中，v4.014113中，要求對

8、云平臺進行合規(guī)化和審計管理。國內(nèi)云安全標準222392019GB/T 311672014311682014云計算服務安全指南4 年9311682014信息安全技術 云計算服務安全能力要求和 GB/T311672014信息安全技術 云計算服務安全指南，是審查云計算服務網(wǎng)絡安全能力的重要標準。算計算平臺進行持續(xù)監(jiān)管。運行時也要對云服務和云形態(tài)實施安全監(jiān)管。2.2.2 等保 2.0為了適應新技術、新應用情況下信息安全等級保護工作的開 GB/T222392019信息2.0。新應用領域提出等保擴展安全要求。2.042.0云平臺安全體系設計思路前面從云的分層架構角度對云上各層面臨的安全風險進安全能力提出了

9、具體的要求。本節(jié)將針對風險和安全能力需IaaSPaaSSaaS體系框架IaaSPaaSSaaS63圖 3 云平臺安全技術框架設備的傳統(tǒng)安全防護以外，還包括針對虛擬化監(jiān)視器的安全保護技（VirtualMachine Monitor，VMM）元數(shù)據(jù)保護等等 IaaS 層安全方面，主要包括虛擬機安全、虛擬網(wǎng)絡安全以及虛擬存儲安全 3 方面。掃描以及入侵檢測等。虛擬網(wǎng)絡安全包括云平臺上東西向的網(wǎng)絡防ARP密、完整性保護、遷移加密和訪問控制。PaaSPaaS3Web 接口通信加密、傳輸數(shù)據(jù)完整性、DDosSaaSWeb包括統(tǒng)一的云安全態(tài)勢、云安全操作、日志審計。Gartner通過自定義合規(guī)策略實現(xiàn)安全基

10、線檢查。云安全監(jiān)管體系設計體系概述3IaaSPaaSSaaS 6下面針對云安全監(jiān)管系統(tǒng)的設計具體如下文所述。定位分析問題。全監(jiān)管模型對不同云平臺進行綜合監(jiān)管和智能評估。策略合理性、隔離有效性。組和泛終端主機安全防護策略的設置是否生效。理員提供合理、有效的安全加固方案和措施。體系功能組成4圖 4 云安全監(jiān)管系統(tǒng)功能組成管理端管理端實現(xiàn)虛擬資產(chǎn)發(fā)現(xiàn)、虛擬網(wǎng)絡拓撲展示、網(wǎng)絡通信可見、撲圖。CPU、內(nèi)存、存儲配置、MACCPUIO端口之間的連通性，且能夠?qū)С霰O(jiān)測結果。外部的通信關系。抓包工具：提供在線抓包工具，便于快速定位和分析問題。合規(guī)性檢測：根據(jù)預先制定的安全規(guī)則或用戶自定義的安全規(guī)報告，提供修改

11、建議和意見。被非法修改或篡改。身份可信鑒別：檢驗云用戶、云租戶、云計算節(jié)點、云服務組是否采用生物特征、密碼標識、用戶口令等多因子驗證方法。檢測報告并給出安全建議。代理端等能力。功能模塊設計CPU、內(nèi)存、存儲等虛擬機資源運行狀態(tài)以及臺網(wǎng)絡風險。5圖 5 云安全監(jiān)管系統(tǒng)技術結構云安全合規(guī)性檢測服務2.0GJB5612控制點檢測并形成檢測結論和檢測意見。云安全數(shù)據(jù)分析服務云安全數(shù)據(jù)分析服務對采集層獲取的動靜態(tài)數(shù)據(jù)進行處理、統(tǒng) 為云平臺的安全分析、評估和評分提供支撐。數(shù)據(jù)處理服務入時序數(shù)據(jù)庫。數(shù)據(jù)采集服務數(shù)據(jù)采集中心通過雙路模式采集云環(huán)境中數(shù)據(jù)；通過調(diào)用云軟件開發(fā)工具包（Software Development Kit，SDK）提供的遠程接口， 收集