【行业研究】基于云平台安全防护的几点思考

  近年来，云计算技术在企业信息化建设中得到了广泛应用，云平台作为云计算的技术基础和承载平台,在企业云,行业云加快速度进行发展。但是，在云平台快速部署应用时，随之而来的是技术应用及信息资源共享与信息安全防护之间的矛盾一天比一天突出。目前已有很多公司开始关注云安全问题，也加大了对云平台的安全防护，同时许多主流云计算厂商都推出了关于云平台的安全解决办法。处于快速发展阶段的云平台应用必须对云平台安全方面的要求做最大限度地考虑，但目前,由于各企业和云安全厂商的侧重点不同，对云平台安全防护机制也存在比较大差异，所以,在云计算安全规划设计时,需要最大限度地考虑,并形成一套完整的,具备灵活扩展能力,具备兼容性的云平台安全整体防护体系。

  自2014年以来，国家层面已多次强调互联网空间安全的重要性。当前，我国正值“十三五”开局时期，在全面深化改革的战略要求下，各行业都依托“互联网+”、“大数据”进行体制、机制创新，云计算在促进社会创新中扮演重要角色。近几年，云计算从边缘突破到中心，对产业和社会带来革命性影响。未来行业(私有)云发展升级将成为云计算市场发展的核心动力。新兴IT技术的发展与落地，传统信息安全的边界越来越模糊，新的攻击形态层出不穷，安全威胁呈现复杂常态化趋势。

  在2016年美国信息安全大会（RSA Conference）中，云安全联盟(CSA)报告说明，企业组织在2016年面临12大顶级云计算安全威胁。包括：数据泄露、凭据或身份验证遭到攻击或破坏、接口和API（Application Programming Interface,应用程序编程接口）被黑客攻击、利用系统漏洞、账户被劫持、来自企业内部的恶意人员、APT（Advanced Persistent Threat，高级持续性威胁）寄生虫、永久性的数据丢失、缺乏尽职调查、云服务的滥用、DoS（Denial of Service，拒绝服务）攻击以及共享的科技、共享的危险等方面的威胁。

  目前,由于各厂商对云计算存在着不同的理解，导致云计算服务没有统一的规范和标准，但由于云计算技术架构基本都涵盖传统的虚拟化、大规模并行计算、分布式数据存储等一些关键技术，所以同样面临着传统IT应用下的所面临安全问题，如：物理安全、网络安全、主机安全、应用安全等。同时云平台一般规模较大，承载着海量用户的隐私数据，具有开放性、复杂性、分布式、虚拟化、多租户、数据的所有权与管理权分离等特点，因而在技术上、管理上都面临着新的安全挑战，同时也给信息安全领域带了许多新的机遇和安全研究课题。个人觉得目前云安全问题大多数表现在3个层面。

  云平台涉及多种协议，涵盖多种操作系统、数据库、中间件、虚拟化等，平台很复杂，各种漏洞很难规避。云平台承担了大量的计算任务和数据存储工作，云平台运营者面临着保障业务高可用的严峻挑战，包括计算业务持续性、数据安全存储、安全传输、安全共享等。云平台建设部门往往更专注于应用实现而疏于对安全的考量，导致应用面临着不安全的API风险、数据安全及隐私泄露风险等问题。

  云服务方式面临着安全监管难的问题。云用户对数据拥有所有权，云提供商对数据拥有管理权，由于数据的所有权与管理权分离，云用户对数据的管理维护、存储备份依赖于云服务提供商。云服务提供商需要防范外界非法攻击行为，还要有效控制内部人员失职带来的风险。

  信任危机也是制约了云平台发展的重要环节，信息技术行业的大部分决策者对将计算和数据交给云计算中心而心存质疑，担心云计算的安全控制能力、服务保障水平。所以当前需要努力实现云服务提供商交付应用服务的整条链的透明化，这样才可以达到信任和责任的有效分担。

  “云计算”是由传统网元组合而成，这些传统的网元单位包括物理服务器、网络交换机、物理存储等传统形态的IT资产，通过“抽象”技术分别进行虚拟化和分布式的方式部署，所以云计算可以视为一个庞大的应用集合，传统安全技术存在多年，并且具备极为成熟的能力，对于云计算的底层构建设施，是无法替代的手段。

  但“云计算”又是一种服务，而虚拟化和分布式系统都是用来实现“云计算”的关键技术之一。因此他改变了传统的服务模式，但并未颠覆传统安全防护模式。在云计算环境下，由于虚拟化技术和分布式系统的引入，导致资源、数据、应用以及网络等边界变得模糊。只有对这些模糊的边界进行相对有效的安全防护，才能做好云计算的安全防护。但是，在基础层面上，或是在云边界仍然需依靠成熟的传统安全技术来提供安全防护。

  云安全和传统安全在安全目标、系统资源类型、基础安全技术方面是相同的，而云计算又面临其特有的安全风险，主要是虚拟化问题、分布式计算存储以及云计算分租服务模式相关的一些安全问题。因此，我们大家都认为云安全是传统安全在云计算环境下的继承和发展。云计算的模式是革命性的，虚拟化安全、数据安全、网络安全和隐私保护是云安全的重点和难点，云安全将基于传统安全技术，在云环境下随需获取安全资源，并可以在一定程度上完成整体联动防护，云环境下安全事件可以监控、预警、审计的全面安全管理。

  2016年10月10日，第五届全国信息安全等级保护技术大会在云南昆明召开，公安部网络安全保卫局郭启全总工在“加快完善国家信息安全等级保护制度，全力保卫关键信息基础设施安全”的发言中指出，国家对网络安全等级保护制度提出了新的要求，等级保护制度已进入2.0时代，要构建“打防管控”一体化的网络安全综合防控体系。同时，由公安部信息安全等级保护评估中心主导起草的《云计算信息安全等级保护基础要求》、《云计算信息安全等级保护安全设计技术方面的要求》、《云计算信息安全等级保护测评要求》（简称：云等保标准）也即将颁布执行，这是我国信息安全总体战略部署的重要一步。

  “云等保标准”针对云计算的特点，提出了部署在云计算环境下的重要信息系统安全等级保护的安全要求，这中间还包括技术方面的要求和管理要求，适用于指导分等级的云计算环境信息系统的安全建设和监督管理。

  云安全防护设计应最大限度地考虑云计算的特点和要求，基于对安全威胁的分析，明确来自各方面的安全需求。充分的利用现有的、成熟的安全控制措施，结合云计算的特点和最新技术做综合考虑和设计，相对是一条捷径。同时，要结合等级保护有关要求，以满足风险管理要求、合规性的要求，保障和促进云平台的健康运行。

  通过人员、技术和流程要素，构建云安全监测、识别、防护、审计和响应的综合能力，有效抵御相关威胁，将云平台的风险降低到企业可接受的程度，并满足法律、监管和合规性要求，保障云计算资源/服务的安全。

  在开展云安全建设时要最大限度地考虑如下5方面。一是要确保云平台及其配套设施的安全；二是要建立基于安全域的纵深防护体系；三是要以安全服务为导向结合云计算有关技术开展云安全防护设计；四是要做好传统安全与云安全衔接；五是要加强云平台运营管理，逐步加强相关制度建设。

  在技术方面，基于安全域的划分，从物理基础设施、虚拟化、网络、系统、应用、数据等层面做综合防护；在管理方面，应对云平台、云服务、云数据的整个生命周期、安全事件、运行维护和监测、度量和评价来管理。云平台的安全保障体系框架如下图所示：

  云平台安全保障体系的最终落实和实现应借鉴工程化方法，严格落实“三同步”原则，在系统规划、设计、实现、测试等阶段把落实相应的安全控制，实现安全控制措施与云计算平台的无缝集成，同时做好运营期的安全管理，保障虚拟服务器/应用/服务实例创建的同时，同步部署相应的安全控制措施，并配置相应的安全策略。

  不同安全区域（网络站点平台、多渠道接入和核心应用）使用的是“安全通道”贯穿。一个安全通道是利用一组高端交换平台，创建跨区域访问并提供多种安全服务。安全通道节点包括传统的防火墙功能，也能更加进一步扩展，以提供其他的安全服务，包括网络IPS（Intrusion Prevention System，入侵防御系统）、防病毒网关、web应用防火墙、在线恶意代码扫描以及负载均衡等。安全服务可并行执行（例如，IPS检查和防火墙检查一起进行）。安全通道还通过减少物理交换机端口和网络链路节点的提高用户的投资回报率。

  利用VPC的思路，对分行接入进行分租户的划分，有效利用VPN(Virtual Private Network，虚拟专用网络)、VRF（Virtual Routing Forwarding，VPN路由转发实例）和Vxlan(Virtual Extensible LAN，可扩展虚拟局域网)等技术，构建基于私有云IaaS（Infrastructure as a Service，基础设施即服务）类型的总分行云化管理环境，通过在物理网络上构建虚拟的网络层，实现网络的云化应用，同时为实现云化环境的安全控制与数据权限隔离，通过新一代防火墙、IPS和负载均衡产品的SOP（Standard Operation Procedure，标准作业程序）技术，为每个业务分配独立非共享的安全防护资源。

  云上业务的不同系统可能分部在不同的Vxlan或网段中，利用SDN（Software Defined Network,软件定义网络）控制器利用互联网服务虚拟化技术，将承载层物理网络服务资源进行归一化的切片和抽象，建立虚拟网络服务节点。虚拟网络服务节点可以涵盖虚拟防火墙节点、虚拟负载均衡节点、虚拟IPS节点等多种类型。一旦虚拟网络服务节点完成定义，SDN控制器会将这些虚拟资源和承载层网元自动映射，当不同应用的数据跨安全级别流动时，通过服务链技术对访问流量进行东西向的安全检测，最终将清洗后的流量注入到目标地址当中。

  一旦多业务网络架构设计完毕，其他安全控制手段就可以分平台分区实现。控制包括集中式认证，IPS，网络准入，云安全监控，网络行为审计，漏洞和补丁管理。这些控制手段便于为每个区域进行性能优化和效率的调整。

  有了云安全的协助，云服务可以轻松又有效地提高运营能力而不要消耗更多的资金、人力成本，也不用添置服务器、网络及安全设备。由于在云环境中，计算、存储和安全都是按需提供的，分行、合作伙伴及不同业务部门只需要为自己使用的资源按需申请即可，不需要按传统方式前期购置大量的软硬件设备。

  云安全以云网融合为基础，可以在一定程度上完成无边界网络和云计算环境下的安全防护需求，充分满足国家及行业监管部门对于虚拟化和云计算环境下的政策法规要求。

  云安全以软件定义安全为核心，结合安全服务链技术，将安全服务化，云计算能够准确的通过业务的安全策略需求，自定义安全访问路径，将传统的围防式安全变为塔防式安全，以适应云计算环境下的安全边界模糊、多租户安全策略冲突等问题。

  【人物访谈】圆通将与西安共同打造中国“孟菲斯”——专访圆通速递有限公司董事局主席、总裁 喻渭蛟