【正文】 通過云平臺對外發(fā)布的業(yè)務(wù)應(yīng)用，平臺用戶可以直接使用互聯(lián)網(wǎng)進(jìn)行訪問，用戶能夠訪問的資源，需要靠訪問控制的安全策略來核查，避免非授權(quán)的數(shù)據(jù)泄漏問題。云平臺需要保障服務(wù)可靠性，一旦出現(xiàn)中斷將造成重大損失，并且影響集團(tuán)形象。而云平臺內(nèi)部，每套業(yè)務(wù)系統(tǒng)都會有多個服務(wù)器（虛機(jī)）來承擔(dān)服務(wù)，出口網(wǎng)絡(luò)也會選用多家Internet服務(wù)，因此使用服務(wù)器負(fù)載、鏈路負(fù)載設(shè)備就能解決軟中斷問題。為提升外部用戶從外部訪問內(nèi)部網(wǎng)站和應(yīng)用系統(tǒng)的速度和性能，就需要對多條鏈路進(jìn)行負(fù)載優(yōu)化，實(shí)現(xiàn)在多條鏈路上動態(tài)平衡分配，并在一條鏈路中斷的時候能夠智能地自動切換到另外一條鏈路，保障業(yè)務(wù)應(yīng)用不中斷。每個等保區(qū)域內(nèi)不同租戶應(yīng)用間通過VLAN/VxLAN網(wǎng)絡(luò)隔離，租戶間通過訪問控制設(shè)備進(jìn)行訪問控制，禁止非授權(quán)訪問。 租戶互聯(lián)網(wǎng)業(yè)務(wù)需求分析 租戶基于云平臺構(gòu)建的互聯(lián)網(wǎng)業(yè)務(wù)系統(tǒng)，其安全風(fēng)險與傳統(tǒng)基于物理主機(jī)構(gòu)建的業(yè)務(wù)應(yīng)用相似，操作系統(tǒng)、數(shù)據(jù)庫、Web服務(wù)器軟件、中間件及應(yīng)用軟件相關(guān)安全風(fēng)險和可靠度均需要加以關(guān)注。 ：風(fēng)險不僅存在于網(wǎng)絡(luò)層，業(yè)務(wù)應(yīng)用如果存在漏洞，也會給黑客可趁之機(jī)，造成漏洞攻擊，同時還存在各種病毒侵染，因此需要有完備的入侵防御體系來保障租戶業(yè)務(wù)的安全。2. 權(quán)限劃分：眾多的應(yīng)用系統(tǒng)需要采用合理的訪問權(quán)限控制機(jī)制，避免將重要服務(wù)器暴露在所有內(nèi)網(wǎng)甚至外網(wǎng)用戶面前，因密碼爆破、越權(quán)訪問等行為導(dǎo)致系統(tǒng)內(nèi)重要數(shù)據(jù)的泄露。5. 應(yīng)用加速：很多業(yè)務(wù)應(yīng)用通過廣域網(wǎng)傳輸時，即使帶寬夠用，但往往丟包多、延時大，比如視屏?xí)h，經(jīng)常會出現(xiàn)馬賽克、畫質(zhì)不清晰等問題，導(dǎo)致體驗不佳，如何實(shí)現(xiàn)用戶與云間核心應(yīng)用的加速？6. 業(yè)務(wù)可靠：租戶的業(yè)務(wù)系統(tǒng)上線后，與傳統(tǒng)的硬件平臺一樣，也存在著應(yīng)用假死、虛機(jī)故障、出口線路擁塞amp。 管理運(yùn)維需求 三分技術(shù)，七分管理，有效的運(yùn)維管理是保障安全的重要手段。同時租戶管理界面還能夠直觀的看到當(dāng)前云平臺提供的各類安全、服務(wù)、穩(wěn)定性組件，租戶管理只需在管理界面上即可輕松的開啟、關(guān)閉各功能模塊，從而實(shí)現(xiàn)租戶的個性化安全、服務(wù)需求。同時在互聯(lián)網(wǎng)區(qū)與公用網(wǎng)絡(luò)區(qū)的管理網(wǎng)絡(luò)中斷部署防火墻等安全設(shè)備，用于兩個管理網(wǎng)絡(luò)的安全隔離。第三章 設(shè)計原則本次云平臺的總體設(shè)計原則如下：l 統(tǒng)一性原則由于云計算是一個復(fù)雜的體系，應(yīng)在統(tǒng)一的框架體系下，參考國際國內(nèi)各方面的標(biāo)準(zhǔn)與規(guī)范，嚴(yán)格遵從各項技術(shù)規(guī)定，做好系統(tǒng)的標(biāo)準(zhǔn)化設(shè)計與施工。l 經(jīng)濟(jì)性原則云計算操作系統(tǒng)應(yīng)在滿足云平臺建設(shè)需求的前提下具備較高的性價比。 GB 178591999 計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則216。 中共中央辦公廳、國務(wù)院辦公廳《國家信息化領(lǐng)導(dǎo)小組關(guān)于我國電子政務(wù)建設(shè)的指導(dǎo)意見》（中辦發(fā)[2002]17號）；216。 國家發(fā)展改革委《關(guān)于國家電子政務(wù)外網(wǎng)（一期工程）項目建議書的批復(fù)》（發(fā)改高技[2004]2135號）；第四章 解決方案 解決方案綜述對于云服務(wù)商而言，根據(jù)前面的需求分析，以及平臺的建設(shè)思路和建設(shè)目標(biāo)，我們從平臺層、租戶層、安全運(yùn)維管理這三個方面來設(shè)計云平臺整體安全方案,其框架圖如下所示：云平臺安全設(shè)計框架在平臺層，我們主要解決了平臺整體的網(wǎng)絡(luò)數(shù)據(jù)安全的問題，以及租戶和用戶接入平臺、云間互聯(lián)的安全問題，此外云平臺層面，我們也考慮了業(yè)務(wù)可靠性的安全保障。云平臺物理網(wǎng)絡(luò)出口部署的下一代防火墻NGAF可以有效保障平臺的安全。在各安全區(qū)內(nèi)，又從接入?yún)^(qū)、核心網(wǎng)絡(luò)交換區(qū)、計算存儲區(qū)、運(yùn)維管理區(qū)進(jìn)行安全區(qū)域劃分，而在公用網(wǎng)絡(luò)區(qū)和互聯(lián)網(wǎng)區(qū)之間，專門設(shè)置了數(shù)據(jù)交換區(qū)，滿足兩個區(qū)域之間高強(qiáng)度的網(wǎng)絡(luò)數(shù)據(jù)隔離和信息互換需求。幫助客戶能夠定位出那臺PC中毒，并能阻斷其網(wǎng)絡(luò)流量，避免一些非法惡意數(shù)據(jù)進(jìn)入客戶端，起到更好的防護(hù)效果。并且能通過隱藏業(yè)務(wù)系統(tǒng)版本來提高入侵者的攻擊難度。（如，SQL注入、XSS跨站腳本、CSRF跨站請求偽造）從而保護(hù)網(wǎng)站免受網(wǎng)站篡改、網(wǎng)頁掛馬、隱私侵犯、身份竊取、經(jīng)濟(jì)損失、名譽(yù)損失等問題。NGAF還內(nèi)置了國內(nèi)最大的僵尸網(wǎng)絡(luò)識別庫，能有效防止云平臺內(nèi)部大量的主機(jī)被植入僵尸病毒。NGAF面向應(yīng)用層設(shè)計，能夠精確識別用戶、應(yīng)用和內(nèi)容，具備完整安全防護(hù)能力，能夠全面替代傳統(tǒng)防火墻，并具有全面的應(yīng)用層安全防護(hù)功能和強(qiáng)勁的處理能力。..云平臺里面可能包含了多個部門數(shù)據(jù)中心或虛擬私有云，跨部門或跨級別之間也會進(jìn)行信息的流轉(zhuǎn)，租戶傳統(tǒng)數(shù)據(jù)中心之間、傳統(tǒng)數(shù)據(jù)中心和云平臺系統(tǒng)進(jìn)行信息交互，這些信息往往涉及到機(jī)密等級的問題，應(yīng)予以嚴(yán)格保密。深信服VPN 設(shè)備內(nèi)置了AES/SANGFORDES/DES/3DES/RSA等多種加密算法，支持MD5/SHA1等標(biāo)準(zhǔn)HASH算法，包括國家密碼管理局指定的基于SCB2的標(biāo)準(zhǔn)加密算法。支持隧道自愈技術(shù)，實(shí)時探測VPN隧道連接情況，一旦檢測到VPN撥號中斷則在3秒內(nèi)自動進(jìn)行VPN重新?lián)芴?；對于線路中斷的情況，通過隧道自愈技術(shù)，一旦檢測到線路恢復(fù)，則立即進(jìn)行隧道的重新建立，無需人為操作實(shí)現(xiàn)VPN網(wǎng)絡(luò)的自動恢復(fù)。 集團(tuán)子公司（租戶）業(yè)務(wù)系統(tǒng)上線后，面臨著用戶遠(yuǎn)程接入訪問的問題，不管是運(yùn)維人員的運(yùn)維接入，還是租戶的接入，都是需要慎重考慮接入安全的問題，尤其是使用BYOD接入訪問，更應(yīng)該對其接入進(jìn)行嚴(yán)格的身份認(rèn)證和安全核查，同時對用戶訪問行為進(jìn)行合理的權(quán)限劃分，及接入訪問的審計追溯，避免安全問題從遠(yuǎn)端傳遞過來并在云平臺蔓延。如USB KEY、硬件特征碼、短信認(rèn)證、動態(tài)令牌卡等認(rèn)證方式。事后追查：整體保障應(yīng)用系統(tǒng)安全運(yùn)維管理在訪問過程的進(jìn)行日記記錄，提供管理日志和服務(wù)日志等日志。平臺業(yè)務(wù)可靠性方面，主要是云平臺互聯(lián)網(wǎng)區(qū)的業(yè)務(wù)可靠性，因為該區(qū)域直接面向公網(wǎng)用戶，為了保障服務(wù)質(zhì)量和業(yè)務(wù)應(yīng)用的可靠性，在云平臺部署深信服應(yīng)用交付AD設(shè)備，同時啟用互聯(lián)網(wǎng)出口NGAF設(shè)備的防DDoS功能，就可以有效的抵御黑客惡意的拒絕服務(wù)攻擊行為，并且提供鏈路和服務(wù)器的負(fù)載均衡，保障平臺可靠運(yùn)行。此外，AD還具有全局負(fù)載均衡功能，等將來備份數(shù)據(jù)中心建好后，還能實(shí)現(xiàn)將用戶訪問請求引導(dǎo)到最快最優(yōu)的數(shù)據(jù)中心進(jìn)行響應(yīng)。深信服單邊加速技術(shù)通過自動、實(shí)時、持續(xù)、動態(tài)地偵測網(wǎng)絡(luò)路徑中的延遲、丟包、重傳的情況，改變傳出機(jī)制和改善傳輸擁塞機(jī)制，避免數(shù)據(jù)報文的過度重發(fā)，減少應(yīng)用響應(yīng)時間，提升TCP傳輸效率，從而節(jié)省了企業(yè)廣域網(wǎng)帶寬資源和響應(yīng)時間。該方法即避免了ICMP檢查的局限性，也避免了單一站點(diǎn)檢查帶來的單點(diǎn)失誤。通過虛擬化軟件安全、優(yōu)化產(chǎn)品，如軟件版下一代防火墻vAF、軟件版應(yīng)用交付vAD、軟件版vSSL VPN等產(chǎn)品，形成軟件安全、優(yōu)化資源池。我們主要從以下方面考慮：l 租戶VPC隔離在租戶的安全這一塊，我們首先要做的是區(qū)分出各租戶的邊界并予以安全隔離，鑒于云的特征，我們將每一個租戶劃分成一個獨(dú)立的虛擬區(qū)域，并在每一個區(qū)域使用虛擬防火墻進(jìn)行區(qū)域之間的隔離，從而避免不受信的租戶之間的數(shù)據(jù)互訪造成安全隱患。同時我們建議租戶部署的虛擬防火墻開啟漏洞掃描和分析功能模塊，從而為每一位租戶建立威脅預(yù)警機(jī)制，提供系統(tǒng)級的安全隱患分析服務(wù)，包括外部訪問、系統(tǒng)維護(hù)、等信息匯總。并且能通過隱藏業(yè)務(wù)系統(tǒng)版本來提高入侵者的攻擊難度。（如，SQL注入、XSS跨站腳本、CSRF跨站請求偽造）從而保護(hù)網(wǎng)站免受網(wǎng)站篡改、網(wǎng)頁掛馬、隱私侵犯、身份竊取、經(jīng)濟(jì)損失、名譽(yù)損失等問題?？梢圆渴鹛摂M化AD組件，實(shí)現(xiàn)云應(yīng)用的實(shí)時監(jiān)控及訪問請求智能調(diào)度，保障用戶訪問體驗，杜絕因虛機(jī)故障或應(yīng)用假死造成用戶訪問中斷。事前控制：接入身份安全、合法性保障我們建議在業(yè)務(wù)系統(tǒng)需要提供遠(yuǎn)程安全接入時，在用戶認(rèn)證方面采用多種認(rèn)證方式組合認(rèn)證的方式。本方案建議根據(jù)情況，進(jìn)行客戶端安全檢查結(jié)果進(jìn)行相應(yīng)應(yīng)用訪問權(quán)限的準(zhǔn)入和授權(quán)，同時通過SSL VPN成功接入到內(nèi)網(wǎng)中后，則自動斷開其他的Internet線路，只保留SSL VPN的通道，防止黑客通過Internet控制接入。告警日志提供（暴破登錄攻擊記錄、CPU長時間占用過高記錄、設(shè)備內(nèi)存不足）、用戶暴破登錄、主從用戶名非法訪問記錄等。（2）應(yīng)用優(yōu)化針對數(shù)據(jù)備份軟件、數(shù)據(jù)庫同步、FTP文件傳輸?shù)葢?yīng)用，通過應(yīng)用優(yōu)化策略，可進(jìn)行進(jìn)一步的優(yōu)化，減少數(shù)據(jù)小包交互，提升訪問速度，提高工作效率。當(dāng)數(shù)據(jù)庫同步未啟用、數(shù)據(jù)備份軟件等應(yīng)用流量不很是多未占滿保障帶寬時，剩余帶寬將借用出來提供給其他應(yīng)用使用。n 建議部署組件：除了部署vAF、vAD外，還需要部署vVPN，針對訪客提供SSL VPN安全接入，針對租戶數(shù)據(jù)中心提供IPSec VPN接入。vAD、vAF、vSSL VPN、vWOC以虛擬化軟件形式部署，將設(shè)備以路由、單臂等部署方式在虛擬化平臺上，針對不同租戶開啟一個對應(yīng)的虛機(jī)鏡像，然后配置vSwitch連通網(wǎng)絡(luò)，數(shù)據(jù)流量經(jīng)過設(shè)備安全檢測與防護(hù)后到達(dá)業(yè)務(wù)系統(tǒng)，從而保障業(yè)務(wù)系統(tǒng)的安全。 單臂旁掛： vAD、vSSL VPN虛擬機(jī)方式部署簡單4步，快速部署上線：216。 vSwitch配置：配置虛擬交換機(jī)實(shí)現(xiàn)業(yè)務(wù)的互通 管理運(yùn)維設(shè)計方案 平臺運(yùn)維云管理是整個云平臺后臺的管理、調(diào)度、運(yùn)維中心。通過對服務(wù)鏈的健康狀態(tài)的整體監(jiān)控和評分，對每個租戶的總體服務(wù)質(zhì)量有全面的把握和管理。還可以與平臺進(jìn)行深度合作，以實(shí)現(xiàn)云平臺的統(tǒng)一集中管理。我們?yōu)樽鈶籼峁┑倪\(yùn)維界面清晰、完整、簡單、自助化，從而可以使租戶管理員非常便捷的就能夠加載其需要的安全組件、優(yōu)化組件、計算組件等。下面以vAD為例，通過在第三方的OpenStack平臺上安裝插件，可以第三方的OpenStack管理平臺，對深信服AD應(yīng)用交付產(chǎn)品進(jìn)行服務(wù)器負(fù)載均衡的網(wǎng)絡(luò)策略配置。平臺為租戶提供組件選擇，租戶可以根據(jù)自身的需要選擇相應(yīng)的服務(wù)。不用擔(dān)心過去由于租戶增多，硬件設(shè)備性能不足，而要淘汰、更換設(shè)備的情況，保護(hù)投資 高效率：業(yè)務(wù)系統(tǒng)部署速度快云平臺具有較高的靈活性，實(shí)施新的業(yè)務(wù)系統(tǒng)時，不必購買額外的軟硬件，而是利用已有云基礎(chǔ)設(shè)施，快速部署系統(tǒng)，提高應(yīng)用系統(tǒng)部署速度。通過云平臺，多個部門可以共用相應(yīng)的基礎(chǔ)架構(gòu)，實(shí)現(xiàn)各應(yīng)用系統(tǒng)之間的軟硬件共享，提高信息共享的效率，擴(kuò)大信息共享范圍；軟硬件資源和信息資源的共享將有利于促進(jìn)各部門內(nèi)部與部門之間的業(yè)務(wù)系統(tǒng)的整合，為各部門業(yè)務(wù)協(xié)同創(chuàng)造條件。最后，在部署了以云計算為技術(shù)支撐的云平臺以后，后臺信息的煙囪式部署方式的壁壘將被打破，從而實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)數(shù)據(jù)的統(tǒng)一共享，這對前臺服務(wù)界面的統(tǒng)一打通有著重要意義，將使得業(yè)務(wù)系統(tǒng)的統(tǒng)一化、整合化不再停留在前臺展示層面，大大提高了服務(wù)質(zhì)量，效率，以及用戶的使用感知。用一些事情，總會看清一些人。4. 歲月是無情的，假如你丟給它的是一片空白，它還給你的也是一片空白。學(xué)習(xí)參考