2022云應用安全技術規(guī)范

云應用安全技術規(guī)范IIIII目??次前言 III范圍 1規(guī)范性引用文件 1術語和定義 1縮略語 2云應用安全技術或能力要求 2云應用架構設計要求 3應用運行環(huán)境安全要求 4云應用程序安全要求 5訪問控制安全要求 7租戶級安全自助能力要求 9云應用實施/交付/服務安全要求 9數(shù)據(jù)安全要求 10安全管理能力要求 11PAGEPAGE10范圍本文件確立云應用產(chǎn)品應該具備的安全相關的技術或能力要求。云應用包括但不限于SaaS云應用、PaaS和IaaS云的應用程序部分。云應用提供服務的形式可以是web應用、移動APP、API接口等。規(guī)范性引用文件GB/T25069-2010信息安全技術術語GB/T35273-2020信息安全技術個人信息安全規(guī)范GB/T22239-2019信息安全技術網(wǎng)絡安全等級保護基本要求CSA云計算安全技術要求SaaS安全技術要求ISO/IEC27001信息安全管理術語和定義3.1云應用 CloudApplicationSaaSPaaS和IaaS3.2云應用廠商CloudApplicationProvider是指為客戶提供云應用及相關服務的廠商，又稱云應用提供商。3.3云應用租戶CloudApplicationTenant是指云應用的購買方或使用方，可以是企業(yè)也可以是個人。3.4互操作性Interoperability3.5可移植性Portability是指應用程序或數(shù)據(jù)在不同的平臺、環(huán)境或服務商之間進行遷移的能力。3.6不可變基礎設施ImmutableInfrastructure縮略語下列縮略語適用于本文件。APP Application 應用程序API ApplicationProgrammingInterface 應用程序接SQL StructuredQueryLanguage 結構化查詢語言CI/CD ContinuousIntegration/ContinuousDelivery持續(xù)集成/持續(xù)部署SaaS Software-as-a-Service 軟件即服務PaaS Platform-as-a-Service 平臺即服務IaaS Infrastructure-as-a-Service 基礎設施即服務SDK SoftwareDevelopmentKit 軟件開發(fā)工具包RBAC RoleBasedAccessControl 基于角色的訪問控ABAC AttributeBasedAccessControl 基于屬性的訪問控IAM IdentityandAccessManagement 身份與訪問管理IDaaS Identity-as-a-Service 身份驗證即服務SSO SingleSignOn 單點登錄PII PersonallyIdentifiableInformation 個人身份信SLA ServiceLevelAgreement 服務等級協(xié)GUID GloballyUniqueIdentifier 全局唯一標識符APaaS ApplicationPlatform-as-a-Service 應用級平臺即服ISV IndependentSoftwareVendors 獨立軟件開發(fā)商TEE TrustedExecutionEnvironment 可信執(zhí)行環(huán)境SE SecureElement 安全元件RASP RuntimeApplicationSelf-protect 應用運行時自我保護云應用安全技術或能力要求8圖1云應用安全框架云應用架構設計要求高可用架構設計SLA的要求。相關要求如下：【基礎要求】a）應支持從基礎設施到應用程序各層級的負載均衡；b）應支持水平擴展集群或分布式集群部署；應支持異地災備；應支持租戶級策略路由；應支持微服務架構，實現(xiàn)不同業(yè)務功能解耦；f）【增強要求】a）數(shù)據(jù)存儲應支持多副本架構；b）應支持雙活或多活架構；c）應具備故障隔離、熔斷或降級機制；d）應具備容錯或故障自愈能力。高性能架構設計云應用架構設計應能夠保障應用高效運行，能夠承載高并發(fā)或業(yè)務峰值。相關要求如下：【基礎要求】應使用分庫分表、讀寫分離或數(shù)據(jù)分片機制；應使用緩存技術并具備防緩存穿透或雪崩的能力；c）應使用消息隊列技術；應具備全業(yè)務流程性能監(jiān)測與預警能力；f）g）應具備彈性能力。【增強要求】a）應具備應用全鏈路的彈性能力。高安全架構設計【基礎要求】a）/數(shù)據(jù)應具備充分的隔離機制；b）應遵循默認安全原則，如默認白名單；c）/立體防御原則；【增強要求】a）應具備云原生安全能力。應用運行環(huán)境安全要求運行環(huán)境是云應用依賴的操作系統(tǒng)、中間件、數(shù)據(jù)庫等，是云應用正常運行的基礎。相關要求如下：操作系統(tǒng)安全要求【基礎要求】應具備安全加固的能力；應具備主機安全監(jiān)測和防御的能力；c）d）應具備漏洞管理和補丁管理的能力；e）應具備系統(tǒng)變更管理和監(jiān)測的能力；f）應保證操作系統(tǒng)鏡像和快照的安全性與完整性；【增強要求】a）支持不可變基礎設施。容器與編排管理平臺安全要求【基礎要求】a）應具備對容器相關的配置、運行狀態(tài)及資源使用進行管理和監(jiān)測的能力；b）應具備對容器的訪問控制能力；應具備容器鏡像的機密性和完整性保護的能力；應保證進程只能執(zhí)行在允許列表中明確定義的函數(shù)；e）應具備對容器進程隔離的能力。root應能夠用可變的文件系統(tǒng)運行容器；應能夠支持對容器編排管理平臺的訪問控制；應將憑證和敏感信息放在安全函數(shù)文件系統(tǒng)中并加密；j）應具備漏洞管理和補丁管理的能力；k）應禁用匿名登錄并具備登錄審計的能力。數(shù)據(jù)庫安全【基礎要求】應能夠支持對數(shù)據(jù)的加密保護；應具備控制管理員訪問數(shù)據(jù)庫及用戶數(shù)據(jù)的能力；c）d）應具備漏洞管理和補丁管理的能力；e）應具備審計的能力；中間件安全【基礎要求】a）應具備安全加固的能力；b）應具備訪問控制的能力；c）應具備漏洞管理和補丁管理的能力。熔斷與環(huán)境隔離【基礎要求】應支持租戶間資源/數(shù)據(jù)的隔離；應支持對資源異常訪問請求的熔斷處理；c）云應用程序安全要求云應用程序包含多種形式，如web、移動APP、API接口、小程序等，相關的要求如下：Web安全要求Web是云應用呈現(xiàn)給最終用戶最常見的業(yè)務形態(tài)，本文件對web安全的相關要求如下：【基礎要求】a）WebOwasptop10c）SQL；d）IPGUIDID；應具備參數(shù)防篡改的能力，如對參數(shù)進行簽名和驗簽；應避免敏感信息回顯，如避免將服務器版本信息或其它敏感信息回顯到瀏覽器；i）應防止租戶間越權；應防止租戶內平行越權或垂直越權；urliframen）應具備代碼審計的能力?！驹鰪娨蟆繎摼邆淇蚣軐用娴娜职踩烙芰Γ粦邆渫ㄟ^語義分析、機器學習等技術執(zhí)行安全檢測的能力；c）d）應具備防止業(yè)務邏輯漏洞的能力；e）應具備對攻擊請求自動阻斷的能力；f）CI/CDRASPAPP安全移動APPAPP安全APPGB/T35273等相關法律法規(guī)和標準的要求：【基礎要求】a）應具備防反編譯或破解的能力，如代碼混淆、設置debugable=false,allowbackup=false等；b）發(fā)布前必須執(zhí)行安全加固；APP應該支持多種身份認證機制，如賬號密碼、生物識別、短信驗證等；e）f）應僅支持安裝在內部存儲，不應將文件設置為全局可讀或可寫權限；g）APP客戶端不應存儲個人敏感信息；h）Service、Provider、Receiverrootj）移動APP的功能設計應該符合應用商店審核要求?！驹鰪娨蟆縜）APPAPP應支持登錄設備管理和會話強制退出；APPAPP（TEE+SE）的安全保護方案。API接口安全要求【基礎要求】APIAPI非公開接口調用前應進行充分的身份認證；接口調用的身份憑證應支持租戶自助獲??；應遵循最小權限原則；API應具備參數(shù)防篡改的能力；應具備輸入數(shù)據(jù)校驗和過濾能力；APIAPIAPI應具備對非法調用的阻斷能力；應具備接口防重放能力。【增強要求】應支持使用接口網(wǎng)關對接口進行注冊、鑒權、限頻管理；應具備細粒度的授權機制，如使用Oauth3.0協(xié)議；應支持租戶級接口調用的IP白名單。小程序安全【基礎要求】AppID應具備防止代碼被逆向分析的能力，如對代碼進行混淆處理；應具備防篡改防二次打包的能力；應具備檢測程序調試狀態(tài)的能力；應加密存儲的數(shù)據(jù)，防止敏感信息泄露。后臺應用程序安全【基礎要求】應具備租戶身份鑒別的能力；應具備按租戶路由的能力；應具備業(yè)務流程上下文監(jiān)測和路徑追蹤的能力；應具備高可用和彈性能力；應具備對后臺應用程序本身的安全保障能力。SDK/類庫安全【基礎要求】SDKSDKSDKSDK云應用代碼防泄露【基礎要求】應具備源代碼泄露監(jiān)測和及時預警的能力；應具備從源代碼中發(fā)現(xiàn)敏感信息硬編碼的能力。訪問控制安全要求本文件涉及的訪問控制包括通信安全、安全區(qū)域、身份與訪問管理IAM、會話安全及終端安全識別等方面。相關要求如下：通信安全【基礎要求】在允許遠程連接云應用前，應進行身份驗證和授權；應具備阻止非授權遠程連接的能力；TLSDoSDDoS應該具備保障通信鏈路穩(wěn)定高效的能力；云應用服務端應該具備帶寬彈性擴容的能力。安全訪問區(qū)域【基礎要求】如果不同租戶使用獨立的資源，則應實現(xiàn)租戶間的資源/網(wǎng)絡訪問區(qū)域隔離；應實現(xiàn)不同租戶之間的數(shù)據(jù)隔離；應在不同等級的網(wǎng)絡區(qū)域邊界執(zhí)行訪問控制策略；IP云應用廠商應具備限制其管理員訪問租戶資源/數(shù)據(jù)的能力；會話安全【基礎要求】應具備控制賬號并發(fā)會話數(shù)的能力；應具備控制會話憑證有效期的能力；應具備會話鎖定/解鎖的能力；應具備異常登錄提醒能力。IAM【基礎要求】RBAC應支持多種身份認證方式；應具備對賬號申請人進行實名/實人認證的能力；應具備租戶級賬號和口令策略定制的能力；應具備租戶級賬號分級授權管理的能力；應具備租戶級的權限清單；應支持登錄日志審計；【增強要求】ABACIAMIDaaS租戶管理員也應該和普通用戶一樣遵循最小權限原則，如默認只有租戶配置權限，沒有數(shù)據(jù)權限。識別訪問終端安全【基礎要求】應該具備辨識訪問終端身份的能力，如判斷是人工訪問還是機器訪問；應具備辨識終端異常訪問行為和阻斷的能力，如識別并屏蔽掃描器或爬蟲。租戶級安全自助能力要求IAM自助服務【基礎要求】應支持租戶管理員自助創(chuàng)建賬號和授權；應支持租戶管理員自助定制口令策略，如口令復雜度、有效期等；應支持租戶管理員自助選擇認證方式以及是否開啟二次認證或雙因素認證；應具備租戶管理員自助設置防攻擊策略的能力，如防暴力破解、撞庫等；應支持租戶管理員自助設置會話有效期的能力；APISSO租戶級自助審計【基礎要求】應支持租戶管理員自助審計用戶的登錄日志和操作日志；租戶級的審計日志應支持通過接口調用或由租戶自助導出。云應用實施/交付/服務安全要求SaaSSaaS公有云模式由云（甚至包含數(shù)據(jù)層云應用實施/交付/服務安全控制云應用實施/交付/服務安全主要是指云應用程序在交付過程中涉及到的實施配置和初始化過程中的安全。相關要求如下：【基礎要求】云應用實施配置相關的權限應由租戶管理員控制，如給實施人員授權和撤銷權限；應具備對實施/交付/服務相關操作的審計能力；對實施過程中要用到的初始化數(shù)據(jù)，應具備租戶自助導入的能力；實施工具的操作界面應該具備水印功能；應具備租戶級的灰度交付能力；應具備用于云應用實施/交付的沙箱環(huán)境；應具備差異化/定制化交付的能力；SLA互操作與可移植性【基礎要求】IAMIDaaS應提供完善的接口文檔以實現(xiàn)不同云應用間的集成和對接；集成對接過程應具備安全的身份認證和授權機制；接口調用過程傳輸?shù)臄?shù)據(jù)應遵循最小權限原則；接口調用日志應可審計；接口升級需要考慮安全和兼容；應具備遷移或導出云應用數(shù)據(jù)的能力；應保證系統(tǒng)集成或數(shù)據(jù)遷移過程中數(shù)據(jù)的機密性和完整性。安全即服務【基礎要求】云應用自身應具備原生的安全配置功能模塊；云應用所使用的安全服務應具備與云應用同等的彈性能力和安全保障；安全即服務本身不得引入新的安全風險。云應用功能擴展與定制化交付能力云應用應該具備靈活的功能擴展與定制化能力，相關要求如下：【基礎要求】a)應具備應用功能定制和擴展的能力；【增強要求】應具備零代碼能力，即通過字段或表單的拖拽即可實現(xiàn)功能的定制；lowcodeAPaaSISV。數(shù)據(jù)安全要求租戶間數(shù)據(jù)隔離【基礎要求】租戶間的數(shù)據(jù)應充分隔離，確保每個租戶只能操作屬于自己的數(shù)據(jù)；云應用的所有操作均應先進行租戶信息鑒別和校驗；私有化部署的云應用必須采用獨立的數(shù)據(jù)庫實例或對數(shù)據(jù)進行物理隔離。數(shù)據(jù)機密性【基礎要求】應保障敏感數(shù)據(jù)傳輸?shù)臋C密性，如采用通道加密或內容加密；應保障敏感數(shù)據(jù)存儲的機密性，如加密存儲；應保障加密機制本身的安全性，如使用安全的加密算法；應保障密鑰生命周期的安全性；應遵循最小權限原則，避免租戶間及租戶內的數(shù)據(jù)越權?！驹鰪娨蟆棵舾袛?shù)據(jù)采用數(shù)據(jù)分片或分布式存儲；敏感數(shù)據(jù)應采用密文檢索技術；應保證敏感數(shù)據(jù)在分享給第三方的處理過程中始終以密文形式出現(xiàn)。數(shù)據(jù)可用性【基礎要求】應執(zhí)行完善的數(shù)據(jù)備份策略和恢復測試策略；應執(zhí)行完善的容災機制；分布式存儲應設置多個副本?！净A要求】a)應支持租戶自助備份數(shù)據(jù)。數(shù)據(jù)完整性【基礎要求】應具備數(shù)據(jù)完整性校驗的能力；應具備數(shù)據(jù)防篡改的能力；分布式存儲應具備保障各節(jié)點數(shù)據(jù)一致性的能力；【增強要求】PIITLS，進行多表交叉校驗等；針對高敏感數(shù)據(jù)，采用數(shù)據(jù)分片和分布式存儲技術，并確保各數(shù)據(jù)分片