2019公共云網絡安全等級保護2.0合規(guī)能力白皮書

2.0總述總述PAGE\*ROMANPAGE\*ROMANII2.0云安全合規(guī)能力評估、阿里公共云典型場景(IaaS)的合規(guī)實施分析及白皮書使用建議等方面做了詳細闡述。借助該技術白皮書，云服務客戶能夠快速：確定不同云計算服務模式下的網絡安全合規(guī)要求和安全建設責任邊界；產品提供的安全能力；安全防護能力建設，構筑滿足網絡安全等級保護的安全合規(guī)體系。本技術白皮書正文共分為五個部分，各部分內容具體安排如下：第一部分為概述，對本技術白皮書的目的及主要內容進行簡要介紹。等級保護定級情況以及基于云安全責任模型對云服務商和云服務客戶在網絡安全等級保護基本要求條款適用性選擇。安全產品的安全能力進行闡述。IaaS模式下云服務客戶典型場景為例，分析了云服務客戶落實網絡安全務客戶業(yè)務系統(tǒng)安全防護能力與網絡安全等級保護基本要求間的符合程度。白皮書快速識別網絡安全等級保護基本要求適用條款，以及分析符合基本要求需建設的安全能力。AB提供了在不同云計算服務模式下，云服務客戶定級對象應滿足的網絡安全等級保護基本要求條C描述了云產品和云安全產品及其安全能力(措施)對應關系。目錄目錄PAGE\*ROMANPAGE\*ROMANIII總 述 I聲 明 II1概述 ..-1-2安全合規(guī)責任 ..-2-2.1阿里云服務模式劃分 2-2.2安全合規(guī)責任劃分 ..-3-2.3云服務客戶基本要求適用性條款 ..-5-3安全合規(guī)能力模型 ..-7-3.1保護對象 ..-7-3.2安全措施 ..-7-3.3安全能力 ..-11-3.3.1云平臺原生安全能力 ..-11-3.3.2云產品安全能力 ..-12-3.3.3云安全產品安全能力 ..-12-3.3.4云客戶自建能力 ..-12-3.4安全合規(guī)評估 ..-12-4安全合規(guī)實踐指引 ..-13-4.1云服務客戶典型場景概述 ..-13-4.2等級保護對象概述 ..-13-4.3引用云平臺等級保護結論 ..-14-4.4基本要求合規(guī)分析（通用要求） ..-15-4.4.1安全通信網絡 ..-15-4.4.2安全區(qū)域邊界 ..-19-4.4.3安全計算環(huán)境 ..-29-4.4.4安全管理中心 ..-46-4.5基本要求合規(guī)分析（云計算擴展要求） ..-52-4.5.1安全通信網絡 ..-52-4.5.2安全區(qū)域邊界 ..-53-4.5.3安全計算環(huán)境 ..-54-4.5.4安全管理中心 ..-56-4.5.5安全建設管理 ..-57-5合規(guī)白皮書應用指引 ..-60-5.1快速識別基本要求適用條款 ..-60-5.2快速分析基本要求安全合規(guī)能力 ..-60-附錄A：阿里云不同服務模式下的典型產品 ..-61-附錄B：不同模式下云服務客戶等級保護適用條款 ..-65-PAGE\*ROMANPAGE\*ROMANIVB.1網絡安全等級保護基本要求（通用要求） ..-65-B.2網絡安全等級保護基本要求（云擴展要求） ..-76-附錄C：阿里云等級保護基本要求安全能力對照表 ..-77-C.1網絡安全等級保護基本要求（通用要求） ..-77-C.2網絡安全等級保護基本要求（云擴展要求） ..-94-C.3網絡安全等級保護基本要求（物聯網擴展要求） ..-96-2.02.0編號：20191201--PAGE1-概述《網絡安全法》2017年6月1日實施標志著網絡安全保護進入有法可依的2.0時代，2019121日起GB/T22239-2019(落實網絡安全等級保護制度是每個企業(yè)和單位的基本義務和責任。高效和持續(xù)的落實網絡安全等級保護制度，提升“云上”業(yè)務系統(tǒng)的安全防護能力。本白皮書介紹了阿里云如何助力云服務客戶構建基于網絡安全等級保護的安全合規(guī)體系，內容包括：安全合規(guī)責任安全合規(guī)能力建設安全合規(guī)實踐指引合規(guī)白皮書應用指引安全合規(guī)責任在云計算環(huán)境中，任何云服務客戶業(yè)務應用系統(tǒng)安全性由云服務商和云服務客戶共同保障，云服務客戶業(yè)務系統(tǒng)所部署的云計算服務模式不同，雙方安全責任邊界也相應產生差異，詳見《GB/T22239-2019信息安全技術網絡安全等級保護基本要求》附錄D。asaPaaS（PlatformasaService，平臺即服務）和SaaS（SoftwareasaService，軟件即服務）。200服務客戶提供的云產品（服務）IaaS、PaaSSaaS2.1。圖2.1阿里公共云云上服務邏輯架構圖為確保不同云服務模式下網絡安全等級保護測評工作的完備性，云服務商對提供的不同服務模式的云計算平臺分別進行等級保護定級和開展等級保護測評工作。因此，阿里云依據提供的云服務模式實行單獨定級，確定公共云基礎服務平臺、公共云數據及開發(fā)服務平臺、公共云應用服務平臺三個等級保護定級對象，具體為：公共云基礎服務平臺IaaS公共云數據及開發(fā)服務平臺PaaS聯網云服務；SaaS三方應用服務。為便于云服務客戶能夠快速判斷采購的云產品所屬云計算服務模式類型，云服務客戶可參考：附錄A阿里云不同服務模式下的典型產品。IaaSSaaSIaaSSaaS模式下，圖2.2安全合規(guī)責任模型根據圖2.2中不同服務模式下云安全合規(guī)責任模型，結合等級保護標準框架和安全保護對象，云服務商和云服務客戶等級保護對象劃分如圖2.3所示。在IaaS服務模式中，云服務商的責任對象主要包括基礎架構層硬件、虛擬化以及云服務層的防護；云服務客戶的責任對象包括虛擬機、數據庫、中間件、業(yè)務應用和數據的安全防護。在PaaS服務模式中，云服務商的責任對象主要包括基礎架構層硬件、虛擬化以及云服務層、和虛擬機、數據庫的安全防護，云服務客戶責任主要為軟件開發(fā)平臺中間件以及應用和數據的安全防護。在SaaS服務模式中，云服務客戶僅需關心業(yè)務應用相關的安全配置、用戶訪問、用戶賬戶以及數據安全的防護，云服務商的責任對象則包括基礎架構層硬件、虛擬化以及云服務層和虛擬機、數據庫、中間件、業(yè)務應用的安全防護。圖2.3云計算環(huán)境等級保護對象劃分在云計算等級保護形態(tài)下，依據基本要求及相關標準，云服務客戶業(yè)務系統(tǒng)和云服務商云計算平臺分別作為單獨的定級對象，即云計算平臺和云服務客戶業(yè)務系統(tǒng)，兩種形態(tài)需分別滿足網絡安全等級保護相關標準、要求。考慮到云平臺和云服務客戶業(yè)務系統(tǒng)的關聯性，需按照下列原則篩選分別適用于云平臺和云服務客戶業(yè)務系統(tǒng)的基本要求條款。用于保障云平臺自身安全能力，或云平臺提供云服務客戶使用但無需云服務客戶進行自主配置的安全能力的基本要求條款，只適用于云平臺；云平臺為云客戶提供的云計算服務，為保障云計算服務能夠提供其相應的安全能系統(tǒng)；用于保障云平臺和云服務客戶業(yè)務系統(tǒng)對各自保護對象進行安全防護的基本要求條款，適用于云平臺和云服務客戶業(yè)務系統(tǒng)；針對云服務商選擇的基本要求條款，只適用于云服務客戶業(yè)務系統(tǒng)?；趫D2.3云計算環(huán)境等級保護對象劃分，不同云計算服務模式下，云服務商和云服務客戶安全責任和保護對象不同，基本要求對云服務商和云服務客戶的適用性也存在一定差異?；疽螅ǖ谌墸┰诓煌脑朴嬎惴漳Ｊ较聦υ品湛蛻舻倪m用條款數量統(tǒng)計如圖2.4所示。圖2.4不同服務模式下的云服務客戶等保2.0技術測評項數量//安全類//安全類公有云云服務客戶適用條款數三級條款數IaaS服務模式PaaS服務模式SaaS服務模式網絡安全等級保護技術要求通用安全物理環(huán)境22000安全通信網絡8800安全區(qū)域邊界202000安全計算環(huán)境34343434安全管理中心121297擴展安全物理環(huán)境1000安全通信網絡5000安全區(qū)域邊界8420安全計算環(huán)境19544安全管理中心4000技術部分總計133834945網絡安全等級保護管理要求通用安全管理制度7777安全管理機構14141414安全管理人員12121212安全建設管理34343419安全運維管理48484544擴展安全建設管理8777安全運維管理1000技術+管理部分總計257205168148具體適用項詳見B阿里云不同模式下云服務客戶等級保護適用條款。2.02.0編號：20191201--PAGE7-安全合規(guī)能力模型阿里公共云等級保護合規(guī)能力模型（3.1）是基于云計算環(huán)境保護對象、安全措施全能力及安全合規(guī)評估四個環(huán)節(jié)。圖3.1阿里公共云等級保護合規(guī)能力模型2.3確定云服務客戶業(yè)務系統(tǒng)的等級保護對象。有的安全措施是由云平臺/云產品原生，有些則是云服務商為應對威脅而自研或由云生態(tài)圖3.2阿里公共云云服務客戶安全措施阿里云云平臺/云產品為云服務客戶提供多種安全防護措施，如虛擬網絡隔離、雙因素身份鑒別、訪問控制、日志審計、負載均衡和數據備份等。虛擬網絡隔離服務阿里云產品提供了廣泛的安全隔離措施，專有網絡（VirtualPrivateCloud）不僅支持IP專有網絡之間通過隧道IDIP和NATIP）進行互連。專有網絡同一子網內使用交換機互通互連，不同子網間使用路由器進行控制。ECSRDS、ADB、ECS、SLB、Maxcompute的IP黑白名單可以實現進一步的隔離與訪問控制。（Region）內具有相同安全保是重要的網絡安全隔離手段，適用于在云端劃分網絡安全域。MFA（Multi-FactorAuthentication）在用戶名和口令之外再額外增加一層安全保護，（云產品（第一安全要素然后要求輸入來自其設備的動態(tài)驗證碼（第二安全要素），6位數字認證碼的應用程序，遵循基于時間的一次性密碼（TOTP）標準（RFC6238），并支持在移動硬件設備上運行。RAMRAM（ResourceAccessManagement，訪問控制）為云服務客戶提供用戶身份管理與RAM（主賬號（RAM用戶授權策略可以細化到對某個API-ActionResource-ID（IPSSL/TLS、訪問時間、多因素認證等）。RAMRAMRAM用戶分配不同的密碼或API（AccessRAM用戶分配不同的工作權限，大大降低了因用戶權限過大帶來的風險。日志審計服務阿里云為云服務客戶提供的日志審計服務包括操作審計（ActionTrail）和日志服務（LogService）IP地址、資源對象、操作名稱及操作ActionTrail保存的所有操作記錄，用戶可以實現安全分析、入侵檢測、資源Trail日志服務為用戶提供針對日志類數據的一站式服務，幫助用戶快捷完成日志數據采可靠性。負載均衡SLB（ServerLoadBalancer，負載均衡是對多臺云服務器進行流量分發(fā)的負SLB--PAGE19-SLBDNS99.95%。同時，SLB可以根據應用負載進行彈性擴容，在流量波動情況下不中斷對外服務。數據備份服務99.9999999%障應用的高可用性?？苫厮菪?。（Region）的3余存儲（多可用區(qū)）99.9999999999%的數據可靠性設計，并且能夠為用戶提供%SLA。（服務云安全中心云防火墻（南北向業(yè)務與業(yè)務之間的微隔離策略（東西向），內置的威脅入侵檢測模塊（IPS）支持全網流量可視和業(yè)務間訪問關系可視，是用戶業(yè)務上云的第一個網絡安全基礎設施。應用防火墻Web應用防火墻（WebApplicationFirewall）防御SQL注入、XSS跨站腳本、常見Web服務器插件漏洞、木馬上傳、非授權核心資源訪問等OWASP常見Web攻擊，過濾海量惡意訪問，避免網站資產數據泄露，保障網站應用的安全性與可用性。DDoS高防DDoS高防支持防護全類型DDoS攻擊，通過AI智能防護引擎對攻擊行為進行精準識別和自動加載防護規(guī)則，保證網絡的穩(wěn)定性。DDoS高防支持通過安全報表，實時監(jiān)控風險和防護情況，同時支持云下企業(yè)客戶使用阿里云在全球部署的大流量清洗中心資源，通過全流量代理的方式實現大流量攻擊防護和精細化Web應用層資源耗盡型攻擊防護。加密服務客戶滿足數據安全方面的監(jiān)管合規(guī)要求，保護云上業(yè)務數據的機密性。密鑰管理服務Management為云服務客戶提供密鑰的安全托管、服務客戶自建安全能力。云平臺原生安全能力云平臺原生安全能力主要針對云基礎設施提供的安全保護能力，主要涉及物理環(huán)境安全、硬件安全、虛擬化安全和云平臺安全管理和運營。阿里公共云平臺在物理安全、硬件安全、虛擬化安全、云平臺內部身份和訪問控制、云平臺安全監(jiān)控和運營等方面進行了全方位安全設計和建設，為云服務客戶安全奠定了良好基礎，詳見\h《2019年阿里云安全白皮書》5.1云平臺安全。云產品安全能力（服務（如租戶隔離力（如數據加密）是需要客戶的開啟和正確設置。阿里云產品（服務）為云服務客戶提供的云產品安全能力，詳見附錄C。云安全產品安全能力云安全產品安全能力主要指云服務商通過自研或結合第三方安全服務商為云服務客戶提供的安全措施作用于保護對象后形成的安全防護能力。（服務C。云客戶自建能力理等。應等。基于云服務客戶構建的安全能力，結合《GB/T22239-2019網絡安全等級保護基本要求》，分析和評估云服務客戶業(yè)務系統(tǒng)的安全合規(guī)情況。通過安全合規(guī)能力模型的評估，可識別當前云平臺及云服務客戶面臨的威脅及脆弱固，強化安全防護措施，以提升云平臺及云服務客戶業(yè)務系統(tǒng)的安全防護能力。安全合規(guī)實踐指引綜合GB/T22239-2019《信息安全技術網絡安全等級保護基本要求》及第三節(jié)安全合規(guī)能力模型，對阿里云IaaS模式云服務客戶典型場景的業(yè)務應用系統(tǒng)等保2.0安全合規(guī)性評估，分析云服務客戶業(yè)務應用系統(tǒng)等級保護對象、安全措施以及安全能力。（IaaS）（VPC實現不同云服務客戶和系統(tǒng)間的虛擬網絡隔離，基于云服務器、云數據庫和IP實現與互聯網的互通，同時依靠系列安全產品和服務實現應用系統(tǒng)的安全防護和合規(guī)能力。圖4.1IaaS模式云服務客戶典型場景基于安全責任模型及云計算環(huán)境網絡安全等級保護對象的差異，在IaaS服務模式下，云服務客戶的安全責任主要有虛擬網絡（架構、邊界）安全防護、云產品安全配置、虛擬機鏡像安全防護，虛擬機（操作系統(tǒng)、數據庫、中間件）、運維終端安全防護以及云服務客戶業(yè)務應用系統(tǒng)和數據安全性。圖4.2IaaS模式下云服務客戶等級保護對象基于圖4.1IaaS模式云服務客戶典型合規(guī)場景下，阿里公共云云服務客戶在開展等級保護安全能力建設過程中安全保護對象涉及：VPC、虛擬網絡邊界、網絡設備（vSwitch、vRouter）安全設備：云安全中心、云防火墻、應用防火墻、DDoS據庫審計等服務器/存儲：虛擬機（操作系統(tǒng)、數據庫/數據庫實例）終端：云服務客戶運維終端應用系統(tǒng)：云服務客戶業(yè)務應用系統(tǒng)、阿里云控制臺、云產品安全配置重要數據：業(yè)務數據、鑒別數據、配置信息、審計數據、個人信息等安全管理：包含運營單位主體的安全管理機制情況物理機房：由云服務商統(tǒng)一負責，云服務客戶無需對物理機房進行安全保護評報告涉及到的以下內容：網絡安全等級測評基本信息表（云平臺等級測評報告）云平臺等級測評結論擴展表（云計算安全）；云平臺總體評價；云平臺主要安全問題及整改建議；云服務商針對這些主要安全問題的整改情況的詳細說明。云服務客戶應優(yōu)先選擇對應服務模式下的等級測評結論為“優(yōu)”（）基于附錄B給出的不同模式下云服務客戶等級保護適用條款內容以及3.4安全合規(guī)能力模型，本白皮書針對基本要求逐條進行安全合規(guī)性分析。安全通信網絡網絡架構安全措施：負載均衡、性能監(jiān)控保護對象：虛擬網絡設備、網絡全局安全能力：云產品安全能力VPCVPC滿足業(yè)務需求，可以直接申請增加配額。負載均衡可以通過流量分發(fā)擴展應用系統(tǒng)對外的服務能力，通過消除單點故障提升應用系統(tǒng)的可用性。云安全產品能力——云客戶安全能力云服務客戶通過VPC控制臺，定期查看當前資源配額使用情況。合規(guī)性情況：符合應保證網絡各個部分的帶寬滿足業(yè)務高峰期需要；安全措施：帶寬監(jiān)控保護對象：網絡全局安全能力：云產品安全能力云服務客戶根據業(yè)務實際情況在創(chuàng)建實例是申請帶寬，云監(jiān)控IP情況。云安全產品能力DDoS原生防護BGPIP實現不同運營商訪問，各線路按最優(yōu)策略調度，高可用性有保障。云客戶安全能力——合規(guī)性情況：符合安全措施：網絡隔離、安全域劃分保護對象：網絡全局安全能力：云產品安全能力VPC支持云服務客戶構建虛擬網絡，支持自定義IP地址范圍、網段、路由表和網關等，并根據業(yè)務需求自定義不同的安全域。云安全產品能力——云客戶安全能力云服務客戶基于業(yè)務需求劃分不同的安全域，配置IP地址范圍、配置路由表和網關等。合規(guī)性情況：符合的技術隔離手段；安全措施：網絡隔離、訪問控制保護對象：網絡全局安全能力：云產品安全能力不同VPC虛擬網絡間完全隔離，云服務客戶根據業(yè)務需求通過對外映射彈性公網IP和NATIP進行互連。同一VPC內基于網絡ACL和安全組進行區(qū)域間的訪問控制。云安全產品能力云防火墻實現VPC間流量控制及主機間微隔離。云客戶安全能力云服務客戶配置ACL訪問控制策略。合規(guī)性情況：符合安全措施：網絡設備冗余、鏈路冗余保護對象：網絡全局安全能力：云產品安全能力VPC組件交換機是分布式的結點，網關和控制器都集群部署并且多機房互備，所有鏈路上冗余容災。負載均衡支持根據應用負載進行彈性擴容，在流量波動情況下不中斷對外服務。云安全產品能力——云客戶安全能力——合規(guī)性情況：符合通信傳輸安全措施：傳輸加密保護對象：業(yè)務應用數據安全能力：云產品安全能力IPSECVPNIPSSLVPN，保障通信鏈路中數據的保密性。云安全產品能力——云客戶安全能力云服務客戶設置TLS，保障互聯網通信的安全性和數據完整性。合規(guī)性情況：符合安全措施：傳輸加密保護對象：業(yè)務應用數據安全能力：云產品安全能力IPSECVPNIPSSLVPN，保障通信鏈路中數據的保密性。云安全產品能力——云客戶安全能力——合規(guī)性情況：符合可信驗證安全措施：TPM可信根保護對象：網絡設備安全能力：云產品安全能力——云安全產品能力——云客戶安全能力——合規(guī)性情況：因該指標只要求“可”，不是強制要求項。安全區(qū)域邊界邊界防護安全措施：訪問控制保護對象：虛擬網絡邊界安全能力：云產品安全能力不同VPC之間內部網絡完全隔離，只能通過對外映射的IP（彈性公網IP和NATIP）互連。安全組用于在云端劃分網絡安全域，支持通過安全組規(guī)則授權兩個安全組間的互訪。云安全產品能力云防火墻對VPC間的訪問流量進行檢測和控制。云客戶安全能力云服務客戶配置ACL訪問控制策略，訪問控制粒度為端口級。合規(guī)性情況：符合安全措施：訪問控制保護對象：虛擬網絡邊界安全能力：云產品安全能力安全組通過入口方向訪問控制策略配置，限制云服務器非法內聯。云安全產品能力云防火墻支持云服務器從內對外訪問控制策略配置。云客戶安全能力云服務客戶部署第三方網絡接入控制系統(tǒng)，限制運維終端等設備非法接入到內部網--PAGE20-絡。合規(guī)性情況：符合安全措施：訪問控制保護對象：虛擬網絡邊界安全能力：云產品安全能力安全組通過出口方向訪問控制策略配置，限制云服務器非法外聯，允許或禁止云服務器實例對公網或私網的訪問。云安全產品能力云防火墻支持云服務客戶根據業(yè)務需求配置外對內訪問控制策略。云防火墻化，支持對主動外聯行為的分析和阻斷，配置開通、變更白名單策略。IP截。云客戶安全能力云服務客戶根據云下資產對象，獨立部署第三方網絡接入控制系統(tǒng)。合規(guī)性情況：符合安全措施：安全準入保護對象：虛擬網絡邊界安全能力：云產品安全能力——云安全產品能力——云客戶安全能力云服務客戶根據云下無線網絡環(huán)境，部署第三方網絡接入控制系統(tǒng)，配置禁用無線網卡的策略，無線網絡的使用按照客戶需求和具體應用場景而定。合規(guī)性情況：——（視云服務客戶云下環(huán)境而定）訪問控制信外受控接口拒絕所有通信；安全措施：訪問控制保護對象：虛擬網絡邊界安全能力：云產品安全能力安全組支持云服務客戶通過安全組規(guī)則授權不同安全組間通信。云安全產品能力云防火墻支持統(tǒng)一管理互聯網到業(yè)務的南北向訪問策略和業(yè)務與業(yè)務之間的東西向微隔離策略，訪問控制粒度可達端口級。云客戶安全能力云服務客戶配置ACL訪問控制策略，訪問控制粒度為端口級。合規(guī)性情況：符合小化；安全措施：訪問控制保護對象：虛擬網絡邊界安全能力：云產品安全能力安全組訪問控制規(guī)則支持優(yōu)先級設置，以及修改、克隆、刪除，可實現云服務客戶訪問控制規(guī)則數最優(yōu)。云安全產品能力云防火墻支持策略命中計數功能，確保沒有無效的冗余策略，云防火墻訪問控制策略可配置優(yōu)先級，優(yōu)化訪問控制列表。云客戶安全能力云服務客戶根據業(yè)務需求優(yōu)化訪問控制列表。合規(guī)性情況：符合/拒絕數據包進出；安全措施：訪問控制保護對象：虛擬網絡邊界安全能力：云產品安全能力安全組規(guī)則屬性包括網絡類型、網卡類型、規(guī)則方向、授權策略、協(xié)議類型、端口范圍、優(yōu)先級、授權類型、授權對象。云安全產品能力云防火墻目的類型、目的、協(xié)議類型、目的端口、應用協(xié)議、動作、描述和優(yōu)先級。云客戶安全能力云服務客戶根據業(yè)務需求配置恰當的訪問控制策略表。合規(guī)性情況：符合應能根據會話狀態(tài)信息為進出數據流提供明確的允許/安全措施：訪問控制保護對象：虛擬網絡邊界安全能力：云產品安全能力——云安全產品能力云防火墻支持根據會話狀態(tài)信息為數據流提供的訪問控制能力。云客戶安全能力——合規(guī)性情況：符合安全措施：訪問控制保護對象：虛擬網絡邊界安全能力：云產品安全能力——云安全產品能力云防火墻支持跨VPC數據流的應用協(xié)議、內容的訪問控制。WEB應用防火墻支持應用級協(xié)議和內容訪問控制。DDoS高防通過引流的方式對所有業(yè)務流量進行清洗，支持網絡四層和七層防護。云客戶安全能力——合規(guī)性情況：符合入侵防范安全措施：入侵檢測保護對象：虛擬網絡邊界安全能力：云產品安全能力支持實時地檢測出各種攻擊和異常行為，發(fā)現內部被控制的云服務Web云安全產品能力侵行為和文件樣本進行實時檢測和防御。云防火墻時阻斷和攔截。WebWebWAFWAF清洗后再代理轉發(fā)到應用服務器。DDoS高防支持抵御各類基于網絡層、傳輸層及應用層的DDoS攻擊，秒級啟動流量清洗，過濾掉攻擊流量支持全自動檢測和攻擊策略匹配，實時防護，清洗服務可用性99.95%，可定制99.99%。云客戶安全能力——合規(guī)性情況：符合安全措施：入侵檢測保護對象：虛擬網絡邊界安全能力：云產品安全能力阿里云基礎防護對云內部的惡意主機對外發(fā)起的攻擊行為進行檢測，及時發(fā)現內部已經被控制的云服務器。云安全產品能力云安全中心支持檢測針對主機系統(tǒng)層和應用層的主動外聯和惡意攻擊行為，對進程、網絡異常行為進行預警。云防火墻能夠檢測東西向流量，配置相應的安全策略，阻斷防止從內部發(fā)起的網絡攻擊行為。云客戶安全能力——合規(guī)性情況：符合析；安全措施：入侵檢測保護對象：虛擬網絡邊界安全能力：云產品安全能力——云安全產品能力云安全中心基于主機、網絡、云平臺的安全數據進行分析，實現挖礦、勒索、蠕蟲、DDoS木馬等基于新型網絡攻擊的攻擊預警。云防火墻持發(fā)現挖礦蠕蟲感染事件。云客戶安全能力——合規(guī)性情況：符合d)IP入侵事件時應提供報警。安全措施：入侵檢測保護對象：虛擬網絡邊界安全能力：云產品安全能力——云安全產品能力云安全中心支持檢測到威脅時，記錄事件賬號/源地址、攻擊類型、攻擊時間、事件級別以及處置建議，同時支持自動化攻擊溯源，展示攻擊過程。云防火墻支持檢測到攻擊行為時，提供網絡阻斷功能，記錄風險級別、事件名稱、防御狀態(tài)、源IP、目的IP、方向、判斷來源、發(fā)生時間和動作。Web應用防火墻HTTPHTTPSURLIPHost、時間、Get請求內容和攔截動作。DDoS高防檢測到DDoS攻擊時，記錄攻擊類型、攻擊目標、攻擊時間、攻擊流量峰值和清洗防護結果。云客戶安全能力——合規(guī)性情況：符合惡意代碼和垃圾郵件防范a)更新；安全措施：入侵檢測、惡意代碼檢測保護對象：虛擬網絡邊界安全能力：云產品安全能力阿里云基礎防護支持對互聯網出口的惡意代碼檢測和清除，惡意代碼規(guī)則庫定期更新。云安全產品能力定期升級相關惡意代碼規(guī)則庫。云防火墻支持通過入侵防護和集成威脅情報支持防惡意代碼，若傳輸樣本的MD5的特征值匹配到威脅情報，則阻斷該報文。Web應用防火墻流量惡意代碼檢測提供惡意代碼檢測功能，惡意代碼規(guī)則庫定期更新。云客戶安全能力——合規(guī)性情況：符合b）應在關鍵網絡節(jié)點處對垃圾郵件進行檢測和防護，并維護垃圾郵件防護機制的升級和更新。安全措施：入侵檢測、惡意代碼檢測保護對象：虛擬網絡邊界安全能力：云產品安全能力阿里云郵箱支持垃圾郵件檢測功能。云安全產品能力——云客戶安全能力云服務客戶其他郵件服務器自身要求具備發(fā)垃圾郵件功能或部署第三方郵件防護系統(tǒng)。合規(guī)性情況：——安全審計為和重要安全事件進行審計；安全措施：安全審計保護對象：虛擬網絡邊界安全能力：云產品安全能力操作審計（ActionTrail）支持記錄云賬號對資源的操作日志，提供操作日志的查詢和下載。云安全產品能力云安全中心通過支持主機登錄日志、進程啟動、網絡連接、端口快照、賬戶快照、暴力破解、網絡會話、DNS解析、WEB會話、安全告警、漏洞和基線日志進行審計。云防火墻支持通過日志審計模塊記錄所有流量日志、事件日志和操作日志。Web應用防火墻對攻擊日志支持日志實時查詢分析。堡壘機支持對云端虛擬主機ECS資產進行運維權限管控及運維審計。數據庫審計支持對云上數據庫訪問行為進行監(jiān)控，分析危險操作及可疑行為。云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合關的信息；安全措施：安全審計保護對象：虛擬網絡邊界安全能力：云產品安全能力操作審計（ActionTrail）記錄云賬號用戶云上操作日志，包括事件、用戶名、事件名稱、資源類型、資源名稱和錯誤碼。云安全產品能力云安全中心檢測到威脅時，記錄事件賬號/源地址、攻擊類型、攻擊時間、事件級別以及處置建議。云防火墻/IPIP/IPIP及具體操作信息。Web應用防火墻URLIPHost、時間、Get求內容和攔截動作。DDoS高防DDoS值和清洗防護結果。堡壘機日志記錄包括重要性、時間、日志類型、日志內容、用戶、源IP地址和結果。云客戶安全能力——合規(guī)性情況：符合安全措施：安全審計保護對象：虛擬網絡邊界安全能力：云產品安全能力（ActionTrail）90可以用作追蹤資源變更行為和行為風險分析。云安全產品能力WebDDoS6析能力。云客戶安全能力——合規(guī)性情況：符合保護對象：虛擬網絡邊界安全能力：云產品安全能力日志服務支持云服務客戶操作審計進行單獨審計，且提供審計數據分析能力。云安全產品能力云安全中心支持云服務客戶所有資產安全事件的綜合分析。云客戶安全能力云服務客戶根據云下環(huán)境配置行為審計安全配置。合規(guī)性情況：符合可信驗證可基于可信根對邊界設備的系統(tǒng)引導程序、系統(tǒng)程序、重要配置參數和邊界防護應用感知。安全措施：TPM保護對象：邊界設備安全能力：云產品安全能力——云安全產品能力——云客戶安全能力——合規(guī)性情況：因該指標只要求“可”，不是強制要求項。安全計算環(huán)境身份鑒別度要求并定期更換；安全措施：安全加固、賬號認證（系統(tǒng)、阿里云控制臺安全能力：云產品安全能力阿里云控制臺8-32MFA、口令有效期。云服務客戶創(chuàng)建云服務器實例時，支持云服務客戶選擇不同登錄憑證認證方式，支持SSH密鑰對、自定義密碼，創(chuàng)建后設置自定義口令，需8-30位必須包含大寫字母、小寫字母、數字及特殊符號中的三種。云服務客戶選擇的安全加固鏡像支持云服務客戶在創(chuàng)建實例時，鏡像云服務客戶口令基于安全基線前口令策略進行配置，口令8位以上，限制最長使用期限。云服務客戶創(chuàng)建云數據庫實例時，支持云服務客戶分配賬號和口令，賬號由大小寫字--PAGE36-母、數字、下劃線組成，且字母開頭，字母或數字結尾，最低16個字符，口令大小寫字母、特殊符號中的三種，長度8-32位。云安全產品能力堡壘機口令策略支持8個字符以上，必須包含大寫字母、小寫字母、數字及特殊符號，用戶身份有唯一標識，口令90天定期跟換，新用戶強制更改口令。云安全中心支持對云服務客戶登錄的配置和密碼復雜度進行定期安全檢查，并提供安全建議并進行預警。云客戶安全能力云服務客戶業(yè)務應用系統(tǒng)安全配置。合規(guī)性情況：符合超時自動退出等相關措施；安全措施：安全加固保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力阿里云控制臺支持設置登錄失敗處理策略，可設置最大登錄失敗5次，失敗后鎖定15分鐘，會話超時會自動中斷。云服務客戶選擇的安全加固鏡像對云服務客戶進行安全策略配置，配置登錄失敗處理功能，并支持連接超時自動退出。數據庫實例支持設置連接超時和連接失敗次數配置。云安全產品能力堡壘機支持登錄失敗處理功能配置，建議配置云服務客戶最大登錄失敗5次，臨時鎖定30分鐘，登錄連接超時時間為30分鐘。云安全中心支持登錄失敗防御配置，支持云服務客戶配置最大登錄失敗10次數，臨1天、37天。云客戶安全能力云服務客戶業(yè)務應用系統(tǒng)安全配置。合規(guī)性情況：符合安全措施：傳輸加密保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力云服務客戶控制臺訪問均通過Https加密協(xié)議來保證數據傳輸的安全。云產品支持對外提供加密Https的EndpointAPI調用，云產品訪問采用加密協(xié)議。云安全產品能力堡壘機遠程連接至云服務器時，采用安全的SSH方式進行遠程登錄。云安全中心支持對遠程管理的配置進行檢查，防止不安全的配置導致傳輸被竊聽。云客戶安全能力云服務客戶側業(yè)務應用系統(tǒng)安全配置；云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合鑒別，且其中一種鑒別技術至少應使用密碼技術來實現。安全措施：雙因素認證保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力阿里云控制臺賬戶支持MFAMFA應用程序生成的動態(tài)安全碼進行雙因素認GoogleAuthenticatorRAM控制臺。云安全產品能力堡壘機支持作為唯一入口管理服務器，支持包括虛擬MFA、短信驗證碼在內的多因子認證。云安全中心支持對云平臺配置提供基線核查，能夠實時發(fā)現主賬號雙因素認證風險。云客戶安全能力云服務客戶業(yè)務應用系統(tǒng)安全配置。云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合訪問控制安全措施：授權保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力RAMRAMRAMAPI級別。云安全產品能力——云客戶安全能力云服務客戶側業(yè)務應用系統(tǒng)安全配置。云服務客戶需基于RAM對云服務客戶進行合理授權。合規(guī)性情況：符合安全措施：安全加固保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力默認賬戶限制遠程登錄，Root用戶未刪除，但具有強口令。云安全產品能力——云客戶安全能力云服務客戶側根據自身安全基線重命名或刪除多余過期賬戶，或增強其口令。合規(guī)性情況：符合安全措施：安全加固保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力RAM支持云服務客戶對賬戶進行賬戶創(chuàng)建、刪除和修改自行管理。云安全產品能力堡壘機支持云服務客戶對無用、多余賬戶會鎖定或刪除管理。云安全中心支持對平臺賬戶進行安全配置檢查。云客戶安全能力云服務客戶側定期梳理賬戶狀態(tài)，及時清除多余、過期的賬戶。合規(guī)性情況：符合安全措施：授權保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力RAM支持子賬號對云產品使用最小權限設置。云安全產品能力堡壘機支持基于用戶角色分配權限，實現三權分立，角色分為超級管理員、審計員和運維員。云安全中心支持對賬戶權限配置的安全檢查，實現針對云服務客戶權限分離的檢查。云客戶安全能力云服務客戶基于RAM授予管理云服務客戶所需的最小權限，針對虛擬機基于三權分立的原則對管理云服務客戶進行授權。合規(guī)性情況：符合安全措施：授權保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力RAM支持創(chuàng)建RAM子云服務客戶并授予特定權限策略從賬戶權限上實現對云產品資源細粒度訪問，如網絡層面訪問控制策略、安全組規(guī)則、開發(fā)與用戶權限分離策略。云安全產品能力云安全中心支持對RAM用戶提供高危風險配置的安全檢查。云客戶安全能力云服務客戶基于云產品配置指南和業(yè)務應用系統(tǒng)需求合理配置。合規(guī)性情況：符合安全措施：授權保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力RAM支持基于用戶角色權限分配，授權主體為用戶級，客體為云服務級別、操作級別和資源級別，云資源細粒度分配由云服務客戶自行配置。阿里云控制臺支持主賬號對子賬號授權，可以控制到資源、接口和操作權限。云安全產品能力——云客戶安全能力云服務客戶基于云產品配置指南和業(yè)務應用系統(tǒng)需求合理配置。合規(guī)性情況：符合的訪問。安全措施：安全標記保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力——云安全產品能力——云客戶安全能力——B無法實現強制訪問控制。安全審計審計；安全措施：安全審計保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力操作審計（ActionTrail）支持記錄云賬號對資源的操作日志，提供操作日志的查詢和下載。云服務客戶使用安全加固公共鏡像，Linux類操作系統(tǒng)開啟auditd審計進程和rsyslog日志進程，Windows系統(tǒng)開啟本地審核策略。云安全產品能力堡壘機支持對所有云服務客戶的虛擬主機操作進行審計，系統(tǒng)自身日志本地保存。云安全中心9結果的記錄，并通過報表進行實時監(jiān)控預警。云客戶安全能力云服務客戶基于云產品配置指南和業(yè)務應用系統(tǒng)需求合理配置。合規(guī)性情況：符合安全措施：安全審計保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力操作審計（ActionTrail）記錄云賬號用戶云上操作日志，包括事件、用戶名、事件名稱、資源類型、資源名稱和錯誤碼。云安全產品能力堡壘機IPSQL云安全中心DNS、Web訪問、網站會話、云平臺操作等日志結果。云客戶安全能力云服務客戶基于云產品配置指南和業(yè)務應用系統(tǒng)需求合理配置。合規(guī)性情況：符合安全措施：安全審計、數據備份、訪問控制保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力（ActionTrail）90可以用作追蹤資源變更行為和行為風險分析。云安全產品能力堡壘機、數據庫審計日志實時推送至日志服務，審計記錄可按需調整存儲空間，支持6個月以上保存期。6查。云客戶安全能力云服務客戶需在審計產品中進行安全配置。合規(guī)性情況：符合安全措施：安全審計、授權保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力阿里云控制臺通過（ionail通過配置審計（CloudConfig）監(jiān)控操作審計的有效運行狀態(tài)，防止操作審計被誤關閉。云安全產品能力堡壘機、數據庫審計支持日志實時推送至日志服務。云安全中心對操作審計日志配置進行基線核查。云客戶安全能力云服務客戶根據業(yè)務需求進行審計策略配置和審計監(jiān)控告警設置。合規(guī)性情況：符合入侵防范安全措施：安全加固保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)安全能力：云產品安全能力阿里云鏡像上線前均經過內部安全審核，并提供安全加固公共鏡像，遵循最小化安裝原則。云安全產品能力云安全中心客戶端在上線前，均經過內部的安全審核，并進行安全加固，遵循最小化安裝原則。云客戶安全能力云服務客戶在使用過程中，僅安裝需要的組件和應用程序。合規(guī)性情況：符合安全措施：安全加固保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力阿里云鏡像上線前均經過內部安全審核，并提供安全加固公共鏡像，刪減不需要第三方組件和服務，關閉默認共享和高危端口。云服務器實例通過安全組配置僅開啟必要的端口。云安全產品能力云安全中心支持對主機、SLB、RDS、OSS等云產品進行高危配置、端口的基線檢查。云客戶安全能力合規(guī)性情況：符合安全措施：訪問控制保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）安全能力：云產品安全能力VPC虛擬網絡隔離技術和RAM賬戶策略可以對訪問終端方式進行限制。安全組支持云服務客戶配置安全組規(guī)則，限制虛擬機的訪問策略，包括端口、協(xié)議和IP地址等。云安全產品能力云安全中心IPIP管理和限制。云客戶安全能力云服務客戶根據業(yè)務需求配置相應的安全組規(guī)則。合規(guī)性情況：符合系統(tǒng)設定要求；安全措施：安全審計保護對象：業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力阿里云控制臺和產品在上線前均已經過內部開發(fā)流程，支持對輸入數據的有效性進行驗證，過濾特殊字符。云安全產品能力——云客戶安全能力合規(guī)性情況：符合安全措施：漏洞掃描保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力——云安全產品能力Linux漏洞、Windows漏洞、Web-CMS漏洞、應用漏實時檢測已知漏洞。漏洞掃描支持資產威脅檢測，發(fā)現云服務客戶業(yè)務系統(tǒng)關聯資產，實現自動化漏洞滲透測試和敏感內容監(jiān)測。滲透測試服務支持通過模擬黑客對云服務客戶業(yè)務系統(tǒng)進行安全測試，發(fā)現安全缺陷和漏洞，并提出修復建議。云客戶安全能力云服務客戶側根據業(yè)務需求制定恰當的漏洞掃描策略，及時發(fā)現漏洞并進行修復。--PAGE49-合規(guī)性情況：符合安全措施：入侵檢測保護對象：虛擬網絡設備、安全設備、虛擬機（操作系統(tǒng)、數據庫、中間件）、業(yè)務應用系統(tǒng)、阿里云控制臺安全能力：云產品安全能力——云安全產品能力（Webshell）（進程異常行為和異常網絡連接檢測機系統(tǒng)及應用的關鍵文件篡改檢測和異常賬號檢測等。WebWebWAFWAF清洗后再代理轉發(fā)到應用服務器。云客戶安全能力——合規(guī)性情況：符合惡意代碼防范并將其有效阻斷。保護對象：虛擬機安全能力：云產品安全能力——云安全產品能力云安全中心通過安全加固鏡像部署代理，支持對惡意的代碼實時攔截功能，在系統(tǒng)內核層面，識別惡意代碼，并進行主動攔截。云客戶安全能力云服務客戶對于自定義鏡像或云下服務器部署第三方防惡意代碼產品，對惡意代碼進行檢測和查殺?？尚膨炞C可信根保護對象：虛擬機安全能力：云產品安全能力基于可信技術的云服務器正在部分區(qū)域試點，即將全面推出。云安全產品能力——云客戶安全能力——合規(guī)性情況：因該指標只要求“可”，不是強制要求項。數據完整性業(yè)務數據、重要審計數據、重要配置數據、重要視頻數據和重要個人信息等；安全措施：傳輸加密保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力HttpsAPIAccessKeyAPI。阿里云支持標準TLS協(xié)議，支持提供256位密鑰加密強度。云安全產品能力——云客戶安全能力云服務客戶在使用云產品支持常用產品開啟加密鏈路功能。合規(guī)性情況：符合業(yè)務數據、重要審計數據、重要配置數據、重要視頻數據和重要個人信息等；安全措施：數據完整性校驗保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力云存儲產品支持自帶完整性校驗功能，OSSobjectCRC64CRC64值做對比，從而完成數據完整性驗證，并支持在數據存儲時進行校驗碼驗證，實現數據進行細粒度的完整性校驗保護。云安全產品能力KMSKMS實現密鑰密過程。云客戶安全能力云服務客戶在使用阿里云產品時，啟用各云產品自帶的完整性校驗功能。合規(guī)性情況：符合數據保密性業(yè)務數據和重要個人信息等；安全措施：傳輸加密保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力HttpsAPIAccessKeyAPI。云安全產品能力密鑰管理服務KMS支持云服務客戶自主密鑰管理，支持云產品接入KMS實現密鑰密過程。證書服務支持云上簽發(fā)第三方CA證書頒發(fā)機構的SSL證書，實現Https。云客戶安全能力SLBCDNOSSRDS鏈路功能。合規(guī)性情況：符合業(yè)務數據和重要個人信息等。安全措施：存儲加密保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力阿里云計算、數據庫、存儲等產品支持存儲加密。云安全產品能力KMS256求。云客戶安全能力云服務客戶需選擇、配置恰當的存儲加密方式。合規(guī)性情況：符合數據備份恢復安全措施：數據備份保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力云服務器99.9999999%。云數據庫通過數據備份和日志備份的備份方式，保證數據完整可靠。同時云服務客戶可回溯性。對象存儲采用多可用區(qū)機制，將云服務客戶的數據分散存放在同一地域（Region）的3個可用區(qū)。云安全產品能力——云客戶安全能力云服務客戶需對重要的數據進行本地備份。合規(guī)性情況：符合安全措施：數據備份保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力云服務器99.9999999%。云數據庫通過數據備份和日志備份的備份方式，支持設置指定數據備份云數據庫。對象存儲采用多可用區(qū)機制，將云服務客戶的數據分散存放在同一地域（Region）的3個可用區(qū)，當某個可用區(qū)不可用時，仍然能夠保障數據的正常訪問。云安全產品能力——云客戶安全能力合規(guī)性情況：符合安全措施：數據備份保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力云產品基于飛天分布式操作系統(tǒng)高可用架構，存儲產品支持高可用性，支持用于基于業(yè)務處理能力，按照需求動態(tài)調整資源，保證系統(tǒng)高可用。云安全產品能力——云客戶安全能力——合規(guī)性情況：符合剩余信息保護安全措施：殘留數據清除保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力數據清除處理。云安全產品能力——云客戶安全能力——合規(guī)性情況：符合安全措施：殘留數據清除保護對象：業(yè)務數據、配置數據、鑒別信息、存儲數據、審計數據、個人信息等安全能力：云產品安全能力阿里云支持不同云服務客戶內存和持久化存儲空間相對獨立，當資源釋放時，云服務客戶空間會被釋放和清除。云安全產品能力物理硬盤報廢時使用隨機數據多次寫入進行數據寫入和清除。云客戶安全能力——合規(guī)性情況：符合個人信息保護安全措施：隱私聲明保護對象：個人信息安全能力：云產品安全能力阿里云發(fā)布用戶隱私政策聲明，按照最小化原則采集和保存用戶個人信息。云安全產品能力敏感數據保護支持對個人信息進行發(fā)現、分類和保護。云客戶安全能力云服務客戶根據部署的應用系統(tǒng)功能建設相應的個人信息清除機制。合規(guī)性情況：——安全措施：隱私聲明保護對象：個人信息安全能力：云產品安全能力阿里云發(fā)布用戶隱私政策聲明，按照最小化原則采集和保存用戶個人信息，禁止未授權訪問和非法、使用用戶個人信息。云安全產品能力——云客戶安全能力由云服務客戶根據部署的應用系統(tǒng)功能建設相應的個人信息保護機制。合規(guī)性情況：——安全管理中心系統(tǒng)管理作，并對這些操作進行審計；安全措施：賬號認證、授權、安全審計保護對象：全局安全能力：云產品安全能力RAM理，通過操作審計（Action記錄管理員的操作日志。云安全產品能力堡壘機依賴云賬號管理，支持對系統(tǒng)管理員身份鑒別并對其操作進行審計。云客戶安全能力云服務客戶基于用戶角色進行配置，實現用戶三權分立。合規(guī)性情況：符合資源配置、系統(tǒng)加載和啟動、系統(tǒng)運行的異常處理、數據和設備的備份與恢復等。安全措施：授權保護對象：全局安全能力：云產品安全能力RAM審計（CloudConfig）記錄資源配置歷史，并可基于資源配置數據完成合規(guī)性檢測。云安全產品能力——。云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置系統(tǒng)資源。合規(guī)性情況：符合審計管理作，并對這些操作進行審計；安全措施：賬號認證、授權、安全審計保護對象：全局安全能力：云產品安全能力阿里云支持賬號管理，支持基于RAM授權審計管理員進行安全審計，使用操作審計（ActionTrail）記錄管理的操作日志。云安全產品能力堡壘機依賴云賬號管理，支持對審計管理員身份鑒別并對其操作進行審計。云客戶安全能力云服務客戶基于用戶角色進行配置，實現用戶三權分立。合規(guī)性情況：符合審計策略對審計記錄進行存儲、管理和查詢等。安全措施：審計分析保護對象：全局安全能力：云產品安全能力（Action分析和管理。云安全產品能力堡壘機依賴云賬號管理，支持對審計記錄進行查詢、分析和管理，審計記錄支持轉存到日志服務中。云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合安全管理作，并對這些操作進行審計；安全措施：賬號認證、授權、安全審計保護對象：全局安全能力：云產品安全能力阿里云支持賬號管理，支持基于RAM授權安全管理員進行安全管理，通過操作審計（ActionTrail）記錄安全管理的操作日志。云安全產品能力安全管理員基于安全控制臺通過安全產品對云資源進行安全管理操作。云客戶安全能力云服務客戶側基于用戶角色，實現用戶三權分立。合規(guī)性情況：符合進行統(tǒng)一安全標記，對主體進行授權，配置可信驗證策略等。安全措施：授權保護對象：全局安全能力：云產品安全能力——云安全產品能力安全管理員基于業(yè)務需求可對云產品和云安全產品的資源主體、客體進行統(tǒng)一安全配置。安全管理員可通過云安全中心進行基線核查、安全策略、訪問控制策略統(tǒng)一配置。云客戶安全能力云服務客戶側基于用戶角色，實現用戶三權分立。合規(guī)性情況：符合集中管控安全措施：安全域劃分保護對象：全局安全能力：云產品安全能力--PAGE50-RAM設備或安全組件進行管理和控制。云安全產品能力——云客戶安全能力云服務客戶制定安全策略，劃分特定的管理區(qū)域。合規(guī)性情況：符合安全措施：帶外管理，加密傳輸保護對象：全局安全能力：云產品安全能力阿里云支持全鏈路通信進行SSL/TLS安全加密處理，通過Https進行管理。云安全產品能力——云客戶安全能力合規(guī)性情況：符合安全措施：安全監(jiān)測保護對象：全局安全能力：云產品安全能力云監(jiān)控IPDDoS規(guī)則，并進行集中監(jiān)測和報警。云安全產品能力——云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合時間符合法律法規(guī)要求；安全措施：安全審計保護對象：全局安全能力：云產品安全能力操作審計（ActionTrail）支持記錄云服務客戶的云賬號資源操作，提供操作記錄查詢，并可以將審計事件保存到云服務客戶指定的日志服務中，可自定義留存時間。云安全產品能力云安全產品支持將自身采集安全審計記錄在安全控制臺上展示，并支持將審計記錄統(tǒng)一保存到云服務客戶指定的日志服務或存儲空間，日志留存時間滿足6個月。云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合安全措施：策略集中管控/核查保護對象：全局安全能力：云產品安全能力（CloudVPC等多類云產置實現持續(xù)監(jiān)控。云安全產品能力云安全中心對安全相關事件進行集中管理。云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合安全措施：流量監(jiān)控、入侵檢測保護對象：全局安全能力：云產品安全能力——云安全產品能力云防火墻時阻斷和攔截。WebWebWAFWAF清洗后再代理轉發(fā)到應用服務器。DDoS高防通過引流的方式對所有業(yè)務流量進行清洗，支持網絡四層和七層防護。云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合（）安全通信網絡a)安全措施：云平臺安全保護定級保護對象：云計算環(huán)境安全能力：云產品安全能力阿里公共云安全保護等級為第三級，阿里公共云平臺上承載的系統(tǒng)均不高于三級。云安全產品能力——云客戶安全能力云服務客戶選擇高于其業(yè)務系統(tǒng)安全保護等級的云平臺。合規(guī)性情況：符合安全區(qū)域邊界訪問控制安全措施：訪問控制保護對象：云計算環(huán)境安全能力：云產品安全能力VPCACL控制，ECS安全組RDS/ECS/SLBIP黑白名單支持虛擬網的隔離與訪問控制。云安全產品能力云防火墻互聯網邊界防火墻支持統(tǒng)一管理互聯網到業(yè)務的南北向訪問策略和業(yè)務與業(yè)務之間的東西向微隔離策略，訪問控制粒度可達端口級。云客戶安全能力合規(guī)性情況：符合安全措施：訪問控制保護對象：云計算環(huán)境安全能力：云產品安全能力VPCVPCECSRDS/ECS/SLBIP黑白名單進行訪問控制。云安全產品能力云防火墻VPC邊界防火墻、互聯網邊界防火墻以及主機邊界防火墻的訪問控制VPC實例間的未授權訪問。云客戶安全能力云服務客戶配置恰當訪問控制策略。合規(guī)性情況：符合安全審計刪除、虛擬機重啟；安全措施：安全審計安全能力：云產品安全能力操作審計（ActionTrail）支持對云服務客戶的云服務遠程及本地管理進行審計，并基于日志服務保留審計記錄。云安全產品能力堡壘機支持操作審計、職權管控、安全認證功能，記錄所有運維操作記錄、Linux命令審計、Windows操作錄像。云安全中心支持云服務客戶所有資產安全事件的綜合分析。云客戶安全能力合規(guī)性情況：符合安全措施：安全審計保護對象：云計算環(huán)境安全能力：云產品安全能力云服務商對云服務客戶系統(tǒng)的操作需提交工單，通過云服務客戶授權后進行操作，相關操作行為通過云服務客戶的管理平臺進行審計。云安全產品能力——云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合安全計算環(huán)境身份鑒別當遠程管理云計算平臺中設備時，管理終端和云計算平臺之間應建立雙向身份驗證機制。安全措施：賬號認證保護對象：云計算環(huán)境安全能力：云產品安全能力RAMAccessKeyAPI果雙方均為合法證書則建立雙向加密通道。云安全產品能力——云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合數據完整性和保密性a)規(guī)定；安全措施：——保護對象：云計算環(huán)境安全能力：云產品安全能力阿里云國內基礎設施和存儲空間均位于中國境內，云上數據均存儲于中國境內，云服務客戶數據是否存在出境的情況由云服務客戶確定。云安全產品能力——云客戶安全能力云服務客戶業(yè)務數據不出境，若出境遵循國家相關規(guī)定。合規(guī)性情況：符合數據備份恢復a）云服務客戶應在本地保存其業(yè)務數據的備份；安全措施：數據備份安全能力：云產品安全能力阿里云數據庫支持數據遷移和保存至云服務客戶指定的數據庫對象，提供數據本地下載服務，云服務客戶可根據需求自行選擇恰當的備份方式。云安全產品能力——云客戶安全能力云服務客戶本地備份業(yè)務數據。合規(guī)性情況：符合安全管理中心（1） 集中管控的集中審計；安全措施：賬號授權、安全審計保護對象：云計算環(huán)境安全能力：云產品安全能力操作審計（ActionTrail）支持記錄云賬號對資源的操作日志，提供操作日志的查詢和下載。云安全產品能力堡壘機支持對所有云服務客戶的操作進行審計，操作系統(tǒng)自身日志本地保存。數據庫審計支持對數據庫風險操作行為進行記錄，提供細粒度審計數據庫訪問行為。云客戶安全能力云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合應根據云服務商和云服務客戶的職責劃分，實現各自控制部分，包括虛擬化網絡、虛擬機、虛擬化安全設備等的運行狀況的集中監(jiān)測。安全措施：安全監(jiān)測保護對象：云計算環(huán)境安全能力：云產品安全能力云監(jiān)控IPDDoS規(guī)則，并進行集中監(jiān)測和報警。云安全產品能力——云客戶安全能力云服務客戶基于云產品配置指南根據業(yè)務需求合理配置。合規(guī)性情況：符合安全建設管理云服務商選擇供相應等級的安全保護能力；保護對象：云計算環(huán)境安全能力：云產品安全能力阿里云提供的公共云平臺安全保護等級為第三級，并通過公安部指定測評機構等保測評。云安全產品能力——云客戶安全能力云服務客戶根據業(yè)務需求選擇合規(guī)的云服務商。合規(guī)性情況：——應在服務水平協(xié)議中規(guī)定云服務的各項服務內容和具體技術指標；應在服務水平協(xié)議中規(guī)定云服務商的權限與責任，包括管理范圍、職責劃分、訪問授權、隱私保護、行為準則、違約責任等；據在云計算平臺上清除；安全措施：SLA文本協(xié)議保護對象：云計算環(huán)境安全能力：云產品安全能力阿里云各類云產品均為云服務客戶提供服務等級協(xié)議。云安全產品能力阿里云各安全產品均提供服務等級協(xié)議。云客戶安全能力云服務客戶在選定云服務商后，需簽訂相關服務等級協(xié)議。合規(guī)性情況：——供應鏈管理a)應確保供應商的選擇符合國家有關規(guī)定；安全措施：——保護對象：云計算環(huán)境安全能力：云產品安全能力阿里公共云平臺基礎設施供應商選擇均按照國家相關規(guī)定，對供應商資質、誠信以及產品情況進行審核篩選，阿里云提供云服務均按照國家相關規(guī)定對外售賣。云安全產品能力——云客戶安全能力云服務客戶在選擇第三方安全產品接入時，應明確供應商是否滿足國家相關規(guī)定。合規(guī)性情況：——c)應保證供應商的重要變更及時傳達到云服務客戶，并評估變更帶來的安全風險，采取措施對風險進行控制。安全措施：——保護對象：云計算環(huán)境安全能力：云產品安全能力阿里公共云平臺推送通知和公告，云服務客戶通過登錄自己的控制臺能夠查看相關風險和控制變更的信息。云安全產品能力——云客戶安全能力云服務客戶通過登錄自己的控制臺能夠查看相關風險和控制變更的信息。合規(guī)性情況：——--PAGE66-合規(guī)白皮書應用指引2.0基于阿里云自身云平臺等級保護測評的經驗，在公安部信息安全等級保護評估中心指導IaaSPaaSSaaS象，給出了基本要求中云服務客戶等級保護適用條款建議。確基本要求哪些指標的測評對象為云服務客戶業(yè)務應用系統(tǒng)（B）。本白皮書可有效幫助云服務客戶梳理業(yè)務應用系統(tǒng)部署的云計算服務模式（IaaS服務模GB/T22239—2019BC（使用B指標以及合理準確的評測業(yè)務系統(tǒng)安全能力。附錄A：阿里云不同服務模式下的典型產品服務模式一級類目二級類目產品名稱產品官網鏈接IaaS服務模式云計算基礎存儲服務對象存儲https://\h/product/oss塊存儲https://\h/product/disk歸檔存儲https://\h/product/oas/彈性計算GPU云服務器https://\h/product/ecs/gpu超級計算集群https://\h/product/scc彈性裸金屬服務器https://\h/product/ebm輕量應用服務器https://\h/product/swas專有宿主機https://\h/product/ddh云服務器ECShttps://\h/product/ecs網絡NAT網關https://\h/product/nat彈性公網IPhttps://\h/product/eip負載均衡https://\h/product/slb高速通道https://\h/product/expressconnect云企業(yè)網https://\h/product/cbn專有網絡VPChttps://\h/product/vpc安全安全服務云安全中心https://\h/product/sasPaaS服務模式云計算基礎存儲服務混合云備份服務https://\h/product/hbr混合云存儲陣列https://\h/product/hgw混合云容災服務https://\h/product/hdr文件存儲NAShttps://\h/product/nas云存儲網關https://\h/product/hcs智能媒體管理https://\h/product/imm彈性計算彈性高性能計算https://\h/product/ehpc函數計算https://\h/product/fc批量計算https://\h/product/batchcompute容器服務https://\h/product/containerservice容器服務Kubernetes版https://\h/product/kubernetes互聯網中間件企業(yè)級分布式應用服務https://\h/product/edas全局事務服務https://\h/aliware/txc消息隊列MQhttps://\h/product/ons消息服務https://\h/product/mns性能測試https://\h/product/pts應用配置管理https://\h/product/acm視頻媒體處理https://\h/product/mts全站加速https://\h/product/dcdn服務模式一級類目二級類目產品名稱產品官網鏈接視頻點播https://\h/product/vod視頻直播https://\h/product/live音視頻通信https://\h/product/rtc數據庫DataLakeAnalyticshttps://\h/product/datalakeanalyticsHybridDBforMySQLhttps://\h/product/petadata表格存儲https://\h/product/ots分布式關系型數據庫服務https://\h/product/drds分析型數據庫MySQL版https://\h/product/ads分析型數據庫PostgreSQL版https://\h/product/gpdb數據管理https://\h/product/dms數據庫備份https://\h/product/dbs云數據庫Memcache版https://\h/product/ocs云數據庫MongoDB版https://\h/product/mongodb云數據庫MySQL版https://\h/product/rds/mysql云數據庫POLARDBhttps://\h/product/polardb云數據庫PostgreSQL版https://\h/product/rds/postgresqlPPAS版https://\h/product/rds/ppas云數據庫Redis版https://\h/product/kvstore云數據庫SQLServer版https://\h/product/rds/sqlserver云數據庫HBase版https://\h/product/hbase大數據大數據計算E-MapReducehttps://\h/product/emapreduce大數據計算服務https://\h/product/odps實時計算（流計算/product/sc大數據搜索與分析Elasticsearch/product/elasticsearchQuickBI/product/bi關系網絡分析/product/graphanalytics開放搜索https://\h/product/opensearchDataWorks/product/ide大數據應用企業(yè)圖譜/product/eprofile數據開發(fā)數據集成https://\h/product/cdp服務模式一級類目二級類目產品名稱產品官網鏈接數據可視化DataV數據可視化/visual/datav開發(fā)者服務集成交付CodePipelinehttps://\h/product/codepipeline開發(fā)者平臺云效https://\h/product/rdc企業(yè)應用域名與網站云虛擬主機/hosting/彈性Web托管/hosting/elastic物聯網云服務時序時空數據庫https://\h/product/hitsdb物聯網平臺https://\h/product/iot物聯網無線連接服務https://\h/product/olddyiotSaaS服務模式安全安全管理堡壘機https://\h/product/bastionhost操作審計https://\h/product/actiontrail訪問控制https://\h/product/ram密鑰管理服務https://\h/product/kms數據安全加密服務https://\h/product/hsm數據庫審計https://\h/product/dbaudit網絡安全DDoS高防IPhttps://\h/product/ddos游戲盾/markets/aliyun/product/GameShield云防火墻https://\h/product/cfw業(yè)務安全內容安全https://\h/product/lvwang實人認證https://\h/product/cloudauth應用安全SSL證書（CA證書服務）https://\h/product/casWeb應用防火墻https://\h/product/waf漏洞掃描https://\h/product/avds爬蟲風險管理https://\h/product/antibot企業(yè)應用區(qū)塊鏈區(qū)塊鏈服務https://\h/product/baas移動云移動測試https://\h/product/mqc移動熱修復https://\h/product/hotfix移動推送https://\h/product/cps應用服務API網關https://\h/product/apigateway阿里郵箱/mail郵件推送https://\h/product/directmail云APhttps://\h/product/cloudap云投屏https://\h/product/cd域名與網站HTTPDNShttps://\h/product/httpdns域名/domain/云解析DNS/domain/dns智能客服鏈云呼叫中心https://\h/product/ccc服務模式一級類目二級類目產品名稱產品官網鏈接接云客服https://\h/product/ccs智能對話分析https://\h/product/sca人工智能人工智能產品機器學習\h/product/learn人臉識別/product/face圖像識別/product/image圖像搜索/imagesearch印刷文字識別/product/ocr智能語音交互/product/nls自然語言處理/nlp云計算基礎彈性計算資源編排\h/product/ros網絡共享帶寬\h/product/cbwp共享流量包\h/product/flowba