【正文】 進(jìn)行訪問，用戶能夠訪問的資源，需要靠訪問控制的安全策略來核查，避免非授權(quán)的數(shù)據(jù)泄漏問題。云間安全互聯(lián)云平臺里面可能包含了多個部門數(shù)據(jù)中心或虛擬私有云，跨部門或跨級別之間也會進(jìn)行信息的流轉(zhuǎn)，傳統(tǒng)數(shù)據(jù)中心和云平臺系統(tǒng)進(jìn)行信息交互，這些信息往往涉及到機(jī)密等級的問題，應(yīng)予以嚴(yán)格保密。防止漏洞攻擊云平臺內(nèi)部有大量業(yè)務(wù)服務(wù)器，其底層和業(yè)務(wù)應(yīng)用系統(tǒng)會不斷產(chǎn)生新的安全漏洞，給了入侵者可乘之機(jī)。因為應(yīng)用只與虛擬層交互，而與真正的硬件隔離，導(dǎo)致應(yīng)用層的安全威脅缺乏監(jiān)管而泛濫，安全管理人員看不到設(shè)備背后的安全風(fēng)險，服務(wù)器變得更加不固定和不穩(wěn)定。防網(wǎng)絡(luò)病毒需求云平臺的核心是計算和數(shù)據(jù)資源，因此也是網(wǎng)絡(luò)入侵者最主要的目標(biāo)。平臺需要直接連接互聯(lián)網(wǎng)，面臨著非法接入、網(wǎng)絡(luò)入侵、黑客攻擊、病毒傳播、蠕蟲攻擊、web應(yīng)用保護(hù)、僵尸木馬、DDoS攻擊等各種安全問題，并且其底層和其上的系統(tǒng)軟件可能存在的安全漏洞將影響到整個平臺系統(tǒng)的安全，攻擊者在利用漏洞入侵到平臺之后，可以對整個平臺內(nèi)部的資源進(jìn)行各種破壞，從而導(dǎo)致系統(tǒng)不可用，或者數(shù)據(jù)丟失、數(shù)據(jù)泄露，其潛在的威脅將無法估量。除了平臺的安全問題，租戶側(cè)也面臨一些安全問題，比如接入環(huán)境是否滿足安全要求、業(yè)務(wù)系統(tǒng)是否安全、用戶訪問或接入業(yè)務(wù)的安全風(fēng)險、虛機(jī)之間信息交換是否安全、業(yè)務(wù)系統(tǒng)服務(wù)可靠性等需求。云資源共享專區(qū)通過安全隔離措施訪問公有云（互聯(lián)網(wǎng)）、公眾服務(wù)專區(qū)；各子公司需要對互聯(lián)發(fā)布的業(yè)務(wù)系統(tǒng)應(yīng)根據(jù)服務(wù)對象逐步遷移至云平臺上，實現(xiàn)集中集約部署。云計算有助于提高服務(wù)效率通過云平臺實現(xiàn)軟硬件資源所有權(quán)與使用權(quán)的分離，各子公司將在不擁有軟硬件資源的情況下享受信息服務(wù)。開發(fā)者在一個平臺上構(gòu)建和部署應(yīng)用程序，大大提高了信息系統(tǒng)部署效率。云平臺的搭建將有助于IT系統(tǒng)從粗放式、離散化的建設(shè)模式向集約化、整體化的可持續(xù)發(fā)展模式轉(zhuǎn)變，使IT管理服務(wù)從各自為政、相互封閉的運作方式向跨部門跨區(qū)域的協(xié)同互動和資源共享轉(zhuǎn)變。”在大企業(yè)，虛擬化云平臺能幫助單位在業(yè)務(wù)層面實現(xiàn)彈性架構(gòu)和資源池化，一方面可以大幅提升存儲計算等各種硬件資源的利用效率，另一方面還可明顯提升辦公、對外服務(wù)的開通時間、可用性以及災(zāi)難恢復(fù)等能力。目前，云計算在電信、互聯(lián)網(wǎng)、IT行業(yè)以及金融等方面都扮演著舉足輕重的角色。正如業(yè)界虛擬化領(lǐng)域的一位資深專家所言：“以前大家對于云計算可謂眾說紛紜，都有各自不同的見解和看法，而現(xiàn)在業(yè)界已逐漸形成共識：云計算就是下一代運算模式的演變。著名咨詢公司Gartner將虛擬化云平臺技術(shù)列為2009年十大戰(zhàn)略技術(shù)第一位，而在2010年初發(fā)布預(yù)測中，更是大膽斷言到2012年20%的單位將不再擁有IT資產(chǎn)。云計算能夠降低信息化成本在云環(huán)境下，可以將信息技術(shù)資源交給專業(yè)的第三方云服務(wù)商管理，由云服務(wù)商提供需要的信息技術(shù)基礎(chǔ)架構(gòu)、軟硬件資源和信息服務(wù)等，各子公司、集團(tuán)根據(jù)按需付費的原則定制需要的信息服務(wù)。云計算降低信息共享和業(yè)務(wù)協(xié)同難度長期以來，各應(yīng)用系統(tǒng)普遍存在各自為政、資源分散等問題。因此，集團(tuán)的IT部門能夠集中人力物力進(jìn)行本部門的業(yè)務(wù)運轉(zhuǎn)，從而減輕行政負(fù)擔(dān)，能有更多的精力專注于面向公眾的公共服務(wù)，提高效率。 需求概述從整個云平臺整體安全角度來看，我們需要考慮三個方面的設(shè)計：云平臺安全、租戶側(cè)安全、安全運維管理和便捷性。整個云平臺安全運維也成了一大難題，首先平臺本身以及平臺中的業(yè)務(wù)系統(tǒng)的安全現(xiàn)狀難以實時監(jiān)測，因此無法做到有效審計，不能追溯安全問題；其次，對于資源池中的安全服務(wù)，如何做到動態(tài)靈活的統(tǒng)一管理、智能分配，滿足云環(huán)境下動態(tài)高效的需求；再次，租戶業(yè)務(wù)系統(tǒng)遷入后，如何快速的獲得所需的安全配額，實現(xiàn)針對性的策略配置和自主運維。分區(qū)分域需求在安全設(shè)計方案中，我們需要將省級部門的業(yè)務(wù)通過邏輯隔離劃分不同的安全域，首先云平臺建設(shè)時需考慮將基礎(chǔ)設(shè)施資源劃分為兩個獨立的區(qū)域，分別為互聯(lián)網(wǎng)業(yè)務(wù)區(qū)、公用網(wǎng)絡(luò)區(qū)，兩個區(qū)域間不能直接訪問，僅能通過跨網(wǎng)數(shù)據(jù)交換區(qū)進(jìn)行數(shù)據(jù)交換。病毒、蠕蟲、木馬等惡意代碼一旦感染云平臺系統(tǒng)或應(yīng)用，就可能在平臺內(nèi)部快速傳播，消耗網(wǎng)絡(luò)資源，劫持平臺應(yīng)用，竊取敏感信息，發(fā)送垃圾信息，甚至重定向用戶到惡意網(wǎng)頁。云環(huán)境中B/S架構(gòu)的業(yè)務(wù)普遍存在，大量的Web業(yè)務(wù)應(yīng)用引入各種各樣的漏洞，給了入侵者可乘之機(jī)。黑客能夠利用這些漏洞發(fā)起對云平臺的攻擊，比如mail漏洞、后門漏洞、操作系統(tǒng)漏洞、ftp漏洞、數(shù)據(jù)庫漏洞，實現(xiàn)對網(wǎng)站敏感信息監(jiān)控、竊取、篡改等目的。因此，在信息傳遞過程中，必須采取適當(dāng)?shù)募用芊椒▽π畔⑦M(jìn)行加密。訪問控制系統(tǒng)的安全目標(biāo)是將云計算中心與不可信任域進(jìn)行有效地隔離與訪問授權(quán)。服務(wù)中斷來源于倆方面：一方面因為攻擊造成拒絕對外提供服務(wù)，這種情況下服務(wù)器或帶寬資源被消耗完，導(dǎo)致無法處理后續(xù)服務(wù)；另一方面是因為服務(wù)器故障停止對外服務(wù)、出口鏈路中斷、數(shù)據(jù)中心切換等問題帶來的服務(wù)軟中斷；此外，災(zāi)難、電力供應(yīng)等不可抗拒性也會導(dǎo)致服務(wù)中斷，此類事件一旦發(fā)生，便會造成數(shù)據(jù)中心毀滅性的破壞。防止拒絕服務(wù)云平臺上托管著大量的面向互聯(lián)網(wǎng)的服務(wù)，往往會成為拒絕服務(wù)的攻擊目標(biāo)。全局負(fù)載均衡當(dāng)某一云中心出現(xiàn)系統(tǒng)性故障時，或者某一云中心的性能負(fù)載出現(xiàn)過大問題時，可以通過全局負(fù)載，進(jìn)行實時業(yè)務(wù)調(diào)度，讓兩個或者多個云數(shù)據(jù)中心能夠互為備份，讓用戶獲得就近最快速的訪問。 租戶虛擬機(jī)需求分析 在云平臺的環(huán)境下，租戶內(nèi)部存在一臺或多臺虛擬機(jī)，虛擬機(jī)是否安全和可靠直接影響到租戶業(yè)務(wù)的質(zhì)量好壞，而虛擬機(jī)主要存在以下需求：l 對虛擬主機(jī)進(jìn)行安全加固，采取措施防止通過虛擬機(jī)漏洞獲得對所在物理機(jī)的訪問和控制；單臺物理服務(wù)器上的各虛擬機(jī)之間可能存在二層流量交換，而這部分流量對于管理員來說是不可見的。租戶的互聯(lián)網(wǎng)業(yè)務(wù)主要承載對外發(fā)布系統(tǒng)、門戶網(wǎng)站等，用戶主要是互聯(lián)網(wǎng)用戶，因此該區(qū)域的需求分為了訪問控制、web安全防護(hù)、入侵防御、病毒防護(hù)、安全管理、應(yīng)用可靠、用戶體驗。 ：租戶的業(yè)務(wù)系統(tǒng)上線后，與傳統(tǒng)的硬件平臺一樣，也存在著應(yīng)用假死、出口線路擁塞amp。同時，針對于不同的應(yīng)用系統(tǒng)對訪問人員做好細(xì)致的訪問權(quán)限控制，避免越權(quán)訪問。故障、用戶的請求被錯誤的分配等問題，我們需要從以下兩個方面來更好的保障租戶業(yè)務(wù)系統(tǒng)的穩(wěn)定：l 提供一種有效的方法實現(xiàn)云應(yīng)用的實時監(jiān)控及訪問請求的智能調(diào)度，從而保障用戶訪問體驗，杜絕因虛機(jī)故障或應(yīng)用假死造成用戶訪問中斷。基于云計算模式的業(yè)務(wù)系統(tǒng)對數(shù)據(jù)安全、隱私保護(hù)提出了更高的要求，在數(shù)據(jù)管理權(quán)與所有權(quán)分離的狀態(tài)下這些問題顯得更加突出。同時，在管理平臺上應(yīng)能定期的生成各租戶的安全風(fēng)險報表，可以幫助平臺上督促租戶進(jìn)行漏洞發(fā)現(xiàn)、安全整改等工作。網(wǎng)管平臺通過SNMP等方式實現(xiàn)對多種IT資產(chǎn)進(jìn)行統(tǒng)一的管理，包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)等設(shè)備。l 成熟穩(wěn)定由于云計算的發(fā)展變化很快，而本項目建設(shè)時間緊，涉及面廣，應(yīng)用性強，在設(shè)計過程中，應(yīng)選成熟穩(wěn)定的技術(shù)和產(chǎn)品，確保建成的云平臺適應(yīng)各方的需求，同時節(jié)約項目施工時間。同時，云計算操作系統(tǒng)必須提供本地化技術(shù)支持，降低云平臺維護(hù)成本。 GB/T 222392008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求216。 國家信息化領(lǐng)導(dǎo)小組《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）；216。這部分主要采用硬件設(shè)備：平臺互聯(lián)網(wǎng)出口：兩臺下一代防火墻、兩臺應(yīng)用交付、兩臺SSL VPN在租戶層，我們考慮了業(yè)務(wù)安全上云的問題，以及業(yè)務(wù)應(yīng)用安全、租戶、用戶接入安全問題，此外在租戶側(cè)我們還考慮了主機(jī)和虛機(jī)橫行訪問的安全問題。深信服下一代防火墻（NextGeneration Application Firewall）NGAF面向應(yīng)用層設(shè)計，能夠精確識別用戶、應(yīng)用和內(nèi)容，具備完整安全防護(hù)能力，能夠全面替代傳統(tǒng)防火墻，并具有全面的應(yīng)用層安全防護(hù)功能和強勁的處理能力。通過云平臺區(qū)域邊界劃分和安全隔離，實現(xiàn)網(wǎng)絡(luò)服務(wù)、應(yīng)用業(yè)務(wù)的獨立性和各業(yè)務(wù)的隔離、互訪安全保障。NGAF提供了網(wǎng)絡(luò)病毒防護(hù)功能，從病毒傳播的途徑中對HTTP、FTP、SMTP、POP3等協(xié)議流量中進(jìn)行病毒查殺，亦可查殺壓縮包（zip，rar，7z等）中的病毒，內(nèi)置百萬級別病毒樣本，確保查殺效果。可隱藏的服務(wù)器包括WEB服務(wù)器、FTP服務(wù)器、郵件服務(wù)器等。. 防止漏洞攻擊 云平臺內(nèi)大量主機(jī)的底層和業(yè)務(wù)應(yīng)用系統(tǒng)會不斷產(chǎn)生安全漏洞，給了入侵者可乘之機(jī)。該特征庫包含木馬，廣告軟件，惡意軟件，間諜軟件，后門，蠕蟲，漏洞，黑客工具，病毒9大分類。深NGAF設(shè)備實現(xiàn)完整的二到七層網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)。因此，在信息傳遞過程中，必須加密方法措施進(jìn)行安全加固。通過IPSEC在Internet上建立安全可信的隧道，各實體之間的數(shù)據(jù)都是通過安全隧道傳遞。支持多線路技術(shù)實現(xiàn)多條線路之間的主備，可設(shè)備主線路組合備線路組，并可實現(xiàn)在主線路組、備線路組中分別進(jìn)行帶寬的疊加及負(fù)載均衡。通過部署深信服SSL VPN設(shè)備，可以保障云平臺內(nèi)部應(yīng)用系統(tǒng)的安全發(fā)布，實現(xiàn)智能終端對業(yè)務(wù)的無縫訪問，實現(xiàn)云應(yīng)用的授權(quán)訪問，保障遠(yuǎn)程訪問安全，實現(xiàn)應(yīng)用系統(tǒng)安全加固，確保合法身份通過合法行為接入合法系統(tǒng)。單一的認(rèn)證方式容易被暴力破解，為了進(jìn)一步提高身份認(rèn)證的安全性，深信服建議采用混合認(rèn)證，針對以上認(rèn)證方式可以進(jìn)行多因素的“與”、“或”組合認(rèn)證。管理日志可提供管理員訪問、操作日志，服務(wù)日志提供信息、告警、調(diào)試、錯誤日志，方便管理員對系統(tǒng)進(jìn)行診斷。. 防拒絕服務(wù)攻擊云平臺上托管著大量的面向互聯(lián)網(wǎng)的服務(wù)一旦發(fā)生拒絕服務(wù)攻擊，外聯(lián)服務(wù)平臺無法對外正常提供服務(wù)，影響云平臺和各部門正常的業(yè)務(wù)開展。鏈路負(fù)載均衡深信服 AD設(shè)備能夠進(jìn)行DNS請求轉(zhuǎn)發(fā)，通過深信服 AD尋找合適的DNS服務(wù)器返回給請求用戶。全局負(fù)載均衡深信服全局負(fù)載均衡設(shè)備通過多個Internet站點的可達(dá)性，來共同判斷一條鏈路的狀況。虛擬服務(wù)的健康檢查深信服全局負(fù)載均衡設(shè)備在部署網(wǎng)絡(luò)中，每臺AD設(shè)備都會對所有數(shù)據(jù)中心的虛擬服務(wù)進(jìn)行監(jiān)測，這樣不僅可以實時發(fā)現(xiàn)出現(xiàn)故障的數(shù)據(jù)中心，同時也可以監(jiān)視虛擬服務(wù)在IP、TCP、UDP、應(yīng)用和內(nèi)容等所有協(xié)議層上的工作狀態(tài)。這些軟件安全、優(yōu)化資源池提供了針對虛擬化網(wǎng)絡(luò)的2到7層安全防護(hù)和應(yīng)用的負(fù)載優(yōu)化，實現(xiàn)精細(xì)的區(qū)域劃分與可視化的權(quán)限訪問控制。l 租戶安全邊界我們將虛擬防火墻以虛機(jī)的方式部署在租戶虛擬網(wǎng)絡(luò)和云網(wǎng)絡(luò)的邊界，針對租戶應(yīng)用系統(tǒng)的南北流量安全防護(hù)和隔離，包括租戶間的安全隔離，防止非法人員從云平臺內(nèi)部進(jìn)行安全攻擊；租戶應(yīng)用對外的安全防護(hù)