當(dang)前，云計算處于高速發展(zhan)時期(qi)，云平(ping)臺實現了(le)信息共(gong)享、提(ti)升(sheng)了(le)資源利用效(xiao)率(lv)、節(jie)約了(le)成本(ben)，但其(qi)網絡(luo)安(an)全等(deng)級保護(hu)問題(ti)不容小覷。2019年5月13日，網絡(luo)安(an)全等(deng)級保護(hu)2.0正式發布，信息安(an)全等(deng)級保護(hu)也(ye)過渡到了(le)網絡(luo)安(an)全等(deng)級保護(hu)。并對云平(ping)臺、云上用戶(hu)和云上安(an)全產(chan)品提(ti)出了(le)相應的管(guan)理要求。

等保2.0在云環境方面的新要(yao)求

在(zai)等(deng)(deng)保(bao)2.0中對安全設(she)計技(ji)術、等(deng)(deng)級保(bao)護(hu)測評等(deng)(deng)一系(xi)列標準(zhun)提出新(xin)的要求，對新(xin)技(ji)術領域（云(yun)計算(suan)、大數(shu)據、物聯(lian)網、移(yi)動(dong)互聯(lian)）等(deng)(deng)級保(bao)護(hu)的標準(zhun)，提出了(le)(le)全新(xin)的工作(zuo)機(ji)制，進(jin)一步強化了(le)(le)整體的安全防(fang)護(hu)。

1、等(deng)(deng)保要(yao)(yao)求(qiu)的變化。云計(ji)(ji)算(suan)環境(jing)下網絡安(an)全等(deng)(deng)級保護在(zai)基(ji)本要(yao)(yao)求(qiu)、設計(ji)(ji)要(yao)(yao)求(qiu)和測(ce)評要(yao)(yao)求(qiu)中在(zai)原有的“通用(yong)要(yao)(yao)求(qiu)”基(ji)礎上，針(zhen)對(dui)于云計(ji)(ji)算(suan)平臺這一(yi)特(te)定等(deng)(deng)級保護對(dui)象，增(zeng)加(jia)了云計(ji)(ji)算(suan)等(deng)(deng)新領域的個性安(an)全保護標準和安(an)全擴展要(yao)(yao)求(qiu)。

2、定(ding)(ding)級(ji)對(dui)(dui)象(xiang)的變(bian)化。云(yun)平(ping)臺(tai)(tai)下網(wang)絡安全等(deng)(deng)級(ji)保(bao)護(hu)中(zhong)云(yun)平(ping)臺(tai)(tai)與承(cheng)載(zai)的系統(tong)(tong)分別定(ding)(ding)級(ji)。一個云(yun)平(ping)臺(tai)(tai)承(cheng)載(zai)多(duo)個系統(tong)(tong)，云(yun)平(ping)臺(tai)(tai)的定(ding)(ding)級(ji)根據其承(cheng)載(zai)或將要承(cheng)載(zai)的等(deng)(deng)級(ji)保(bao)護(hu)對(dui)(dui)象(xiang)的重要內容確定(ding)(ding)其安全保(bao)護(hu)等(deng)(deng)級(ji)，云(yun)平(ping)臺(tai)(tai)的等(deng)(deng)級(ji)不低(di)于所承(cheng)載(zai)系統(tong)(tong)的安全保(bao)護(hu)等(deng)(deng)級(ji)。對(dui)(dui)于大型云(yun)平(ping)臺(tai)(tai)，云(yun)計算基礎設施和(he)有關輔助服務系統(tong)(tong)被劃分為不同的定(ding)(ding)級(ji)對(dui)(dui)象(xiang)。

3、責(ze)任(ren)邊界(jie)(jie)的變(bian)化。云平(ping)臺(tai)下(xia)網絡(luo)安全(quan)等級保護首(shou)要(yao)的問題(ti)是安全(quan)責(ze)任(ren)邊界(jie)(jie)問題(ti)，其責(ze)任(ren)邊界(jie)(jie)劃分是租戶負責(ze)租戶的安全(quan)，平(ping)臺(tai)負責(ze)平(ping)臺(tai)的安全(quan)，責(ze)任(ren)劃分標準是通用的、普適(shi)性的做法。在實際(ji)工(gong)作中，還需要(yao)結(jie)合(he)實際(ji)情況，進一(yi)步(bu)明確劃分相關責(ze)任(ren)。

4、等(deng)保對象的變化。由(you)于引入(ru)了云計(ji)算，所以等(deng)保對象中增加了虛擬(ni)化網絡、虛擬(ni)機、云管理(li)平(ping)臺等(deng)，網絡安全也(ye)演(yan)變成(cheng)了基礎安全與新技術安全的集(ji)合。

數據(ju)中心云平臺安(an)全面臨的新挑(tiao)戰

由于等(deng)保(bao)(bao)2.0需(xu)求的(de)(de)變化(hua)導致等(deng)保(bao)(bao)測評重點關注內容變為(wei)：數據(ju)完整性(xing)(xing)和(he)(he)保(bao)(bao)密性(xing)(xing)、入侵防(fang)范（網絡和(he)(he)通信(xin)安全(quan)）、集中管(guan)控、個(ge)人信(xin)息(xi)保(bao)(bao)護，這就對數據(ju)中心(xin)云平臺(tai)的(de)(de)安全(quan)提出新的(de)(de)挑戰(zhan)。

1、虛擬(ni)系統的(de)安全風險

云(yun)平(ping)臺的(de)(de)核心(xin)技術是虛擬(ni)技術，其實現方法通(tong)常(chang)為(wei)在應用層(ceng)和硬件層(ceng)之(zhi)間搭(da)建虛擬(ni)層(ceng)，虛擬(ni)層(ceng)的(de)(de)搭(da)建增加了新(xin)的(de)(de)系(xi)統安(an)(an)(an)全(quan)風(feng)(feng)險(xian)。常(chang)見的(de)(de)系(xi)統安(an)(an)(an)全(quan)風(feng)(feng)險(xian)包括網絡調整、虛擬(ni)機脫離物理安(an)(an)(an)全(quan)監(jian)管(guan)、虛擬(ni)環(huan)境管(guan)理系(xi)統反攻擊能力薄弱、虛擬(ni)機未及(ji)時更新(xin)系(xi)統補丁(ding)文件、殺毒(du)(du)軟件病毒(du)(du)庫、不同信任級別的(de)(de)虛擬(ni)機應用未采取應有的(de)(de)隔離措施引起的(de)(de)各種安(an)(an)(an)全(quan)風(feng)(feng)險(xian)等等，這對于數據中心(xin)云(yun)平(ping)臺下多用戶間資(zi)源有效隔離和安(an)(an)(an)全(quan)防護工作是一(yi)個新(xin)的(de)(de)挑戰。

2、資源高利用風險

虛擬化技術將物理資源(yuan)轉變為(wei)可(ke)以(yi)邏(luo)輯管(guan)理的資源(yuan)，并打破實體(ti)結構之(zhi)間(jian)的壁壘，使用(yong)(yong)(yong)戶(hu)能(neng)夠更(geng)加合理、充分的利用(yong)(yong)(yong)物理服務(wu)(wu)器(qi)的處理器(qi)、內存、網(wang)絡帶(dai)寬等(deng)資源(yuan)。但當物理服務(wu)(wu)器(qi)資源(yuan)被(bei)過度(du)利用(yong)(yong)(yong)時，將會出現硬件設備負載過重(zhong)，運(yun)(yun)行性(xing)(xing)能(neng)下降(jiang)，甚至硬件故障或系(xi)統(tong)崩潰等(deng)嚴重(zhong)情況。當某(mou)物理服務(wu)(wu)器(qi)出現嚴重(zhong)可(ke)靠性(xing)(xing)問題或重(zhong)大硬件故障引起宕機(ji)時，其上運(yun)(yun)行的所有虛擬機(ji)都將停機(ji)，此時和(he)上述(shu)虛擬機(ji)相關(guan)應用(yong)(yong)(yong)都將停止(zhi)運(yun)(yun)行，這(zhe)相較(jiao)于傳(chuan)統(tong)IT架(jia)構中(zhong)一臺服務(wu)(wu)器(qi)停機(ji)只導致一個應用(yong)(yong)(yong)中(zhong)斷所帶(dai)來的風險(xian)要嚴重(zhong)得(de)多。

3、數據(ju)完整性和保密性風險(xian)

云平(ping)臺數(shu)據(ju)完整性(xing)(xing)和保(bao)密(mi)性(xing)(xing)也(ye)是等保(bao)2.0中(zhong)的(de)(de)(de)(de)重要要求(qiu)，包括(kuo)對動(dong)態(tai)(tai)及(ji)靜態(tai)(tai)數(shu)據(ju)的(de)(de)(de)(de)隔離、保(bao)護以(yi)(yi)及(ji)殘余(yu)數(shu)據(ju)的(de)(de)(de)(de)清除(chu)，以(yi)(yi)確保(bao)在(zai)整個傳(chuan)輸(shu)、處理(li)、存儲(chu)及(ji)消除(chu)過程中(zhong)數(shu)據(ju)資源的(de)(de)(de)(de)保(bao)密(mi)性(xing)(xing)、完整性(xing)(xing)與可(ke)用性(xing)(xing)。縱然(ran)整個保(bao)護過程有訪(fang)問(wen)管(guan)理(li)、防火墻等安全性(xing)(xing)技術(shu)的(de)(de)(de)(de)支(zhi)撐，但是由(you)于云計算架構(gou)特點使得數(shu)據(ju)仍然(ran)存在(zai)著各(ge)個不同分(fen)散(san)空間，很(hen)難保(bao)證數(shu)據(ju)在(zai)訪(fang)問(wen)、傳(chuan)輸(shu)過程中(zhong)不被(bei)泄露。倘(tang)若沒有較為完善的(de)(de)(de)(de)數(shu)據(ju)保(bao)密(mi)機制(zhi)和相關的(de)(de)(de)(de)權限設置，那么(me)將會提(ti)高云平(ping)臺中(zhong)數(shu)據(ju)被(bei)訪(fang)問(wen)和竊取的(de)(de)(de)(de)更(geng)大風險。

4、病毒(du)及惡意代(dai)碼風險

在(zai)(zai)數據(ju)中(zhong)(zhong)心云平臺中(zhong)(zhong)，虛擬機(ji)(ji)均(jun)選擇(ze)穩定(ding)、可靠的模板(ban)進行派生，若(ruo)模板(ban)中(zhong)(zhong)存在(zai)(zai)某種系統(tong)漏(lou)洞(dong)或(huo)植(zhi)入了(le)木馬(ma)，則每個虛擬機(ji)(ji)均(jun)會存在(zai)(zai)該漏(lou)洞(dong)，植(zhi)入的木馬(ma)很可能(neng)橫向完成滲透(tou)，在(zai)(zai)破壞系統(tong)可用(yong)性(xing)(xing)的同時，故意造成混亂(luan)和脆弱性(xing)(xing)，降低(di)被(bei)發現的可能(neng)。此外，虛擬機(ji)(ji)數據(ju)的集(ji)中(zhong)(zhong)存儲，以及虛擬機(ji)(ji)IP地址的連續性(xing)(xing)，均(jun)給病(bing)毒傳播(bo)提(ti)供了(le)便利條件(jian)。

建議及策略

云平(ping)臺(tai)背景下的網絡(luo)(luo)安(an)全(quan)等(deng)級保(bao)(bao)護(hu)必須以等(deng)保(bao)(bao)政(zheng)策和技術(shu)標(biao)準(zhun)為依(yi)據，結合需求和技術(shu)現狀(zhuang)，確保(bao)(bao)云平(ping)臺(tai)的自主、安(an)全(quan)、可信和高效利用是維護(hu)網絡(luo)(luo)信息安(an)全(quan)，有效利用網絡(luo)(luo)空間的核(he)心關鍵。

1、做好云平臺部署前系統評(ping)估(gu)

在云平臺(tai)部署(shu)之前須做好虛擬化技(ji)(ji)術(shu)應(ying)(ying)用和建設的(de)調研、評估等準(zhun)備(bei)，將部署(shu)風險降到(dao)最低，確保獲得長遠效益。具(ju)體(ti)來說，首先(xian)需(xu)做好業(ye)務目標(biao)(biao)評估，使云平臺(tai)建設目標(biao)(biao)與業(ye)務發展目標(biao)(biao)一致；其次需(xu)做好應(ying)(ying)用環(huan)境評估，重(zhong)點考慮現(xian)有(you)軟件、硬件及網(wang)絡環(huan)境是(shi)否(fou)滿足虛擬化部署(shu)要求；第三做好技(ji)(ji)術(shu)水平評估，著重(zhong)關注技(ji)(ji)術(shu)人員(yuan)是(shi)否(fou)具(ju)有(you)較強的(de)業(ye)務技(ji)(ji)能(neng)，能(neng)否(fou)高(gao)效解決部署(shu)過(guo)程中出(chu)現(xian)的(de)相應(ying)(ying)問題。

2、強化安全(quan)管理技術策(ce)略

在云平(ping)臺(tai)部署過程(cheng)中(zhong)，要從管(guan)理(li)(li)(li)策略的(de)角(jiao)度防范風險。在管(guan)理(li)(li)(li)措施方(fang)(fang)面，須(xu)(xu)嚴格遵守信息系(xi)統安全管(guan)理(li)(li)(li)規范，虛(xu)擬(ni)服務器(qi)的(de)審(shen)計(ji)策略和安全防護策略須(xu)(xu)與物理(li)(li)(li)服務器(qi)一(yi)致，定(ding)期備份(fen)監(jian)控主機和虛(xu)擬(ni)服務器(qi)上的(de)安全日志和事(shi)件日志；在用戶權限管(guan)理(li)(li)(li)方(fang)(fang)面，必(bi)須(xu)(xu)遵循最(zui)低權限原(yuan)則，管(guan)理(li)(li)(li)人員權限須(xu)(xu)與其工作職責匹配，禁止共(gong)享(xiang)賬號(hao)；在監(jian)督管(guan)理(li)(li)(li)方(fang)(fang)面，云平(ping)臺(tai)中(zhong)采用的(de)虛(xu)擬(ni)化監(jian)控工具(ju)必(bi)須(xu)(xu)能夠檢測(ce)到虛(xu)擬(ni)機各類異常現(xian)象以(yi)及未經授權行為(wei)，虛(xu)擬(ni)機數量必(bi)須(xu)(xu)嚴格處于監(jian)控之下，努力減少(shao)入侵攻(gong)擊面。

3、提高數據的安全性和保密(mi)性

在網絡(luo)數(shu)據存儲過程(cheng)(cheng)中進(jin)行加密處理是保(bao)障數(shu)據安(an)全(quan)性(xing)和保(bao)密性(xing)的有(you)效(xiao)方式。一方面(mian)， 選擇信譽(yu)度(du)高(gao)的云(yun)服務提供商，確保(bao)服務提供商能(neng)夠對自身行為負責，擁有(you)專業的技術(shu)團隊，減(jian)少信息(xi)數(shu)據泄(xie)(xie)露，降低用(yong)戶信息(xi)泄(xie)(xie)露的風險。另一方面(mian)， 要采用(yong)加密技術(shu)高(gao)、破(po)解難度(du)大的主流加密技術(shu)和程(cheng)(cheng)序如pgp、truecrypt、hushmail來應對安(an)全(quan)和保(bao)密風險。同時采用(yong)vontu、websense等過濾(lv)器用(yong)于數(shu)據監控，阻攔(lan)敏感數(shu)據。

4、強化云平臺安(an)全(quan)技術措施

安(an)(an)全(quan)(quan)技術是安(an)(an)全(quan)(quan)控(kong)制的重要(yao)手段(duan)，安(an)(an)全(quan)(quan)技術措施(shi)主(zhu)要(yao)包(bao)括(kuo)控(kong)制虛(xu)擬(ni)機蔓(man)延(yan)、隔(ge)離(li)虛(xu)擬(ni)機以及(ji)常規(gui)(gui)性安(an)(an)全(quan)(quan)防(fang)護等措施(shi)。在(zai)技術安(an)(an)全(quan)(quan)防(fang)護上一是 必(bi)(bi)須(xu)對虛(xu)擬(ni)機進(jin)行嚴格(ge)審核、監控(kong)和追(zhui)蹤，防(fang)止虛(xu)擬(ni)機失控(kong)蔓(man)延(yan)；二是 為(wei)確保虛(xu)擬(ni)化(hua)平(ping)臺通(tong)信(xin)安(an)(an)全(quan)(quan)，必(bi)(bi)須(xu)通(tong)過劃分(fen)vlan對虛(xu)擬(ni)機進(jin)行邏輯隔(ge)離(li)，在(zai)業務(wu)、管(guan)理(li)、測試業務(wu)應(ying)用中(zhong)通(tong)過虛(xu)擬(ni)網實現隔(ge)離(li)；三是 常規(gui)(gui)性安(an)(an)全(quan)(quan)防(fang)護須(xu)嚴格(ge)遵守信(xin)息系統(tong)安(an)(an)全(quan)(quan)管(guan)理(li)規(gui)(gui)范(fan)，部署防(fang)病(bing)(bing)毒(du)軟件，及(ji)時安(an)(an)裝操作系統(tong)補丁；四是 強化(hua)虛(xu)擬(ni)機外置設備(bei)（如(ru)U盤(pan)、光驅等）管(guan)理(li)，切斷病(bing)(bing)毒(du)的傳(chuan)入渠(qu)道(dao)，掛起或者關(guan)掉暫不(bu)使用的虛(xu)擬(ni)機。

數據中心云平臺防護體系應當依據網絡安全等級保護的思想，以數據中心云平臺的安全需求出發，用技術和管理充分保護數據中心云平臺信息安全，從全生命周期確保數據中心云平臺的安全建設符合等保要求，將安全理念貫穿數據中心云平臺建設、整改、測評、運維全過程，做到等保成果的可視化，安全工作的持久化。