【文章內(nèi)容簡介】 全問題。因此，主要考慮如下思路進行 云計算平臺 綜合安全防護體系建設： ● 基于信息安全等級保護，通過對物理安全、網(wǎng)絡安全、主機安全、應用安全、數(shù)據(jù)安全五個方面基本技術要求進行技術體系建設，達到云安全技術提升； ● 通過對安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設管理、系統(tǒng)運維管理五個方面基本管理要求進行管理體系建設； ● 通過云安全管理平臺加強 云計算平臺 安全運維管理水平。 通過以上 幾個 方面為云計算 平臺 的業(yè)務系統(tǒng)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護能力。 信息安全等保分為技術和管理兩大類要求，云安全方案 根據(jù)技術與管理要求進行設計。根據(jù)相關規(guī)定，從物理安全、網(wǎng)絡安全、主機安全、應用安全、 數(shù)據(jù)安全進行全面防范、加固。同時嚴格遵循信息安全等保的管理要求 ，形成如下的保護環(huán)境模型： 云安全技術體系 物理安全 物理位置選擇 機房建設具有防震、防風、防雨和防洪、防雷的能力。 物理訪問控制 在需進 入機房的來訪人員須經(jīng)過登記 ，并限制和監(jiān)控其活動范圍； 對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設置物理隔離裝置，在重要區(qū)域前設置交付或安裝等過渡區(qū)域； 機房合理規(guī)劃 建筑物設置有避雷裝置，每個機柜都有交流電源地線，設有自動滅火 裝置 ， UPS上有控制電涌的設置。 主要設備都放置在主機房內(nèi)，所有設備均固定在機柜上，并設置了明顯標記，通信線纜鋪設在地板下，線纜走線槽，機房采用防盜設施。 網(wǎng)絡安全 網(wǎng)絡結(jié)構(gòu)安全 網(wǎng)絡結(jié)構(gòu)的安全是網(wǎng)絡安全的前提和基礎，對于 云計算平臺 ，選用主要網(wǎng)絡設備時需要考慮業(yè)務處理能力的高峰數(shù)據(jù)流量，要考慮冗余空間滿足業(yè)務高峰期需要；網(wǎng)絡各個部分的帶寬要保證接入網(wǎng)絡和核心網(wǎng)絡滿足業(yè)務高峰期需要；按照業(yè)務系統(tǒng)服務的重 。 要次序定義帶寬分配的優(yōu)先級，在網(wǎng)絡擁堵時優(yōu)先保障重要主機；合理規(guī)劃路由，業(yè)務終端與業(yè)務服務器之間建立安全路徑；繪制與當前運行情況相符的網(wǎng)絡拓撲結(jié)構(gòu)圖；根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的網(wǎng)段。保存有重要業(yè)務系統(tǒng)及數(shù)據(jù)的重要網(wǎng)段不能直接與外部系統(tǒng)連接，需要和其他網(wǎng)段隔離，單獨劃分區(qū)域。 訪問控制 信息安全等級保護的一個重要要求是實現(xiàn)自主訪問控制和強制訪問控制。自主訪問控制實現(xiàn)：在安全策略控制范圍內(nèi)，使用戶對自己創(chuàng)建的客體具有各種訪問操作權(quán)限，并能將這些權(quán)限的部分或全部授予其他用戶；自主訪問控制主體的粒度應為用戶級，客體的粒度應為文件或數(shù)據(jù)庫表級；自主訪問操作應包括對客體的創(chuàng)建、讀、寫、修改和刪除等。 強制訪問控制實現(xiàn)：在對安全管理員進行嚴格的身份鑒別和權(quán)限控制基礎上，由安全管理員通過特定操作界面對主、客體進行安全標記；應按安全標記和強制訪問控制規(guī)則，對確定主體訪問客體的操作進行控制；強制訪問控制主體 的粒度應為用戶級，客體的粒度應為文件或數(shù)據(jù)庫表級。 由此主要控制的是對應用系統(tǒng)的文件、數(shù)據(jù)庫等資源的訪問，避免越權(quán)非法使用。采用的措施主要包括： ● 在網(wǎng)絡邊界部署防火墻，并按照安全和隔離策略設置了訪問控制策略。 ● 根據(jù)會話信息為數(shù)據(jù)流提供了明確的允許 /拒絕訪問的能力，控制粒度為網(wǎng)段級。 ● 按用戶和系統(tǒng)的允許訪問規(guī)則，決定或允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶。 ● 網(wǎng)絡設備均設置了 timeout 時間。 安全審計 系統(tǒng)審計包含主機審計和應用審計兩個層面： 網(wǎng)絡安全審計系統(tǒng) 主要用于監(jiān)視并記錄網(wǎng)絡中的各類操作，偵察系統(tǒng)中存在的現(xiàn)有和潛在的威脅，實時地綜合分析出網(wǎng)絡中發(fā)生的安全事件，包括各種外部事件和內(nèi)部事件。 在 云計算平臺 交換機處并接部署網(wǎng)絡行為監(jiān)控與審計系統(tǒng)，形成對全網(wǎng) 絡數(shù)據(jù)的流量監(jiān)測并進行相應安全審計，同時和其它網(wǎng)絡安全設備共同為集中安全管理提供監(jiān)控數(shù)據(jù)用于分析及檢測。 網(wǎng)絡行為監(jiān)控和審計系統(tǒng)將獨立的網(wǎng)絡傳感器硬件組件連接到網(wǎng)絡中的數(shù)據(jù)會聚點設備上，對網(wǎng)絡中的數(shù)據(jù)包進行分析、匹配、統(tǒng)計，通過特定的協(xié)議算法，從而實現(xiàn)入侵檢測、信息還原等網(wǎng)絡審計功能，根據(jù)記錄生成詳細的審計報表。 網(wǎng)絡行為監(jiān)控和審計系統(tǒng)采用旁路技術，不用在目標主機中安裝任何組件。同時網(wǎng)絡審計系統(tǒng)可以與其它網(wǎng)絡安全設備進行聯(lián)動，將各自的監(jiān)控記錄送往安全管理安全域中的安全管理服務器，集中對網(wǎng)絡異常、攻擊和病毒進行分析和檢測。 應用審計 針對網(wǎng)絡內(nèi)的各種操作和訪問記錄，及入侵記錄的事件開啟審計功能。 ● 使用軟件 對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等進行日志記錄。 ● 對所有設備進行監(jiān)控并記錄，并且每天會有專人負責對記錄進行查看，并形成每日報表以及周報、月報等。 邊界防范 在邊界處部署了防火墻、審計，能對內(nèi)部網(wǎng)絡中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡的行為進行檢查。 入侵防范 針對網(wǎng)絡入侵防范，可通過部署網(wǎng)絡入侵檢測系統(tǒng)來實現(xiàn)。將網(wǎng)絡入侵檢測系統(tǒng)位 于有敏感數(shù)據(jù)需要保護的網(wǎng)絡上，通過實時偵聽網(wǎng)絡數(shù)據(jù)流，尋找網(wǎng)絡違規(guī)模式和未授權(quán)的網(wǎng)絡訪問嘗試。當發(fā)現(xiàn)網(wǎng)絡違規(guī)行為和未授權(quán)的網(wǎng)絡訪問時，網(wǎng)絡監(jiān)控系統(tǒng)能夠根據(jù)系統(tǒng)安全策略做出反應，包括實時報警、事件登錄，或執(zhí)行用戶自定義的安全策略等。 入侵檢測系統(tǒng)可以部署在 云計算平臺 的核心處以及主要服務器區(qū)，這里我們建議在這些區(qū)域的交換機上部署入侵檢測系統(tǒng)，監(jiān)視并記錄網(wǎng)絡中的所有訪問行為和操作，有效防止非法操作和惡意攻擊。同時，入侵檢測系統(tǒng)還可以形象地重現(xiàn)操作的過程，可幫助安全管理員發(fā)現(xiàn)網(wǎng)絡安全的隱患。 在網(wǎng)絡中旁路部署 IDS 監(jiān)視 設備，且能對端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、注入式攻擊、 IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等。 網(wǎng)絡設備防護 為提高網(wǎng)絡設備的自身安全性，保障各種網(wǎng)絡應用的正常運行，對網(wǎng)絡設備需要進行一系列的加固措施，包括： ● 對登錄網(wǎng)絡設備的用戶進行身份鑒別，用戶名必須唯一。 ● 對網(wǎng)絡設備的管理員登錄地址進行限制。 ● 啟用 SSH 等管理方式，加密管理數(shù)據(jù)，防止被網(wǎng)絡竊聽。 ● 網(wǎng)絡設備登錄失敗采用結(jié)束會話措施，登錄連接超時設置為 35分鐘。 ● 網(wǎng)絡設備的遠程管理均使用 SSH 方式，防止鑒別 信息在網(wǎng)絡傳輸過程中被竊聽。 網(wǎng)絡可信接入 為保證網(wǎng)絡邊界的完整性，不僅需要進行非法外聯(lián)行為，同時對非法接入進行監(jiān)控與阻斷，形成網(wǎng)絡可信接入，共同維護邊界完整性。通過部署終端安全管理系統(tǒng)可以實現(xiàn)這一目標。 終端安全管理系統(tǒng)其中一個重要功能模塊就是網(wǎng)絡準入控制，啟用網(wǎng)絡阻斷方式包括 ARP 干擾、 協(xié)議聯(lián)動等。 監(jiān)測內(nèi)部網(wǎng)中發(fā)生的外來主機非法接入、篡改 IP 地址、盜用 IP 地址等不法行為，由監(jiān)測控制臺進行告警。運用用戶信息和主機信息匹配方式實時發(fā)現(xiàn)接入主機的合法性，及時阻止 IP 地址的篡改和盜用行 為。共同保證 云計算平臺 的邊界完整性。具體如下： ● 在線主機監(jiān)測 可以通過監(jiān)聽和主動探測等方式檢測系統(tǒng)中所有在線的主機，并判別在線主機是否是經(jīng)過系統(tǒng)授權(quán)認證的信任主機。 ● 主機授權(quán)認證 可以通過在線主機是否安裝客戶端代理程序，并結(jié)合客戶端代理報告的主機補丁安裝情況，防病毒程序安裝和工作情況等信息，進行網(wǎng)絡的授權(quán)認證，只允許通過授權(quán)認證的主機使用網(wǎng)絡資源。 ● 非法主機網(wǎng)絡阻斷 對于探測到的非法主機，系統(tǒng)可以主動阻止其訪問任何網(wǎng)絡資源，從而保證非法主機不對網(wǎng)絡產(chǎn)生影響，無法有意或無意的對網(wǎng)絡攻擊或者試圖竊密。 ● 網(wǎng)絡白名單策略管理 可生成默認的合法主機列表，根據(jù)是否安裝安全管理客戶端或者是否執(zhí)行安全策略，來過濾合法主機列表，快速實現(xiàn)合法主機列表的生成。同時允許管理員設置白名單例外列表，允許例外列表的主機不安裝客戶端但是仍然授予網(wǎng)絡使用權(quán)限，并根據(jù)需要授予可以和其他授權(quán)認證過的主機通信的權(quán)限或者允許和任意主機通信的權(quán)限。 ● IP 和 MAC 綁定管理 可以將終端的 IP和 MAC 地址綁定，禁止用戶修改自身的 IP和 MAC地址，并在用戶試圖更改 IP 和 MAC 地址時，產(chǎn)生相應的報警信息。 應用安全 身份鑒別 虛擬服務器的客戶端維護端提供登錄控制模塊對登錄用戶進行身份標識和鑒別，有效防止身份冒用。 客戶端在用戶登陸時對用戶名進行唯一性鑒別，鑒別信息作復雜度進行檢查；密碼要求最少 8 位以上 。客戶端用戶分為監(jiān)控用戶和管理用戶，密碼要求最少 8 位以上。 客戶端在鎖定字段進行設置，當用戶名或密碼輸入錯誤時會跳轉(zhuǎn)提示頁面，提供失敗登錄處理功能。應用維護端提供失敗登錄處理功能。 通信保密性設計 在 云計算平臺 管理軟件應用層的通信保密性主要由應用系統(tǒng)完成。在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證；并對通信過程中的敏感信息字段進行加密。 對于在 云計算平臺 管理軟件應用層信息傳輸?shù)耐ㄐ疟Ｃ苄詰蓚鬏敿用芟到y(tǒng)完成。部署 SSL VPN 系統(tǒng)保證遠程數(shù)據(jù)傳輸?shù)臄?shù)據(jù)機密性。 數(shù)據(jù)安全 數(shù)據(jù)庫中存放的數(shù)據(jù)（用戶數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、業(yè)務數(shù)據(jù)等），是信息資產(chǎn)的核心，如 果數(shù)據(jù)被破壞 / 篡改或非授權(quán)獲取將給政府 /企業(yè)帶來嚴重的損失。數(shù)據(jù)庫安全是整個安全鏈條上的個重要環(huán)節(jié)，如果數(shù)據(jù)庫安全中的任何環(huán)節(jié)出現(xiàn)問題都可能會損害整個鏈的牢固性性，給我們整個系統(tǒng)的安全帶來嚴重的損失。由于信息系統(tǒng)的各個層面（網(wǎng)絡、主機、應用等）都對各類數(shù)據(jù)進行傳輸、存儲和處理等，因此，對數(shù)據(jù)的保護需要物理環(huán)境、網(wǎng)絡、數(shù)據(jù)庫和操作系統(tǒng)、應用程序等提供支持。各個“關口”把好了，數(shù)據(jù)本身再具有一些防御和修復手段，必然將對數(shù)據(jù)造成的損害降至最小。另外，數(shù)據(jù)備份也是防止數(shù)據(jù)被破壞后無法恢復的重要手段，而硬件備份等更 是保證系統(tǒng)可用的重要內(nèi)容，在高級別的信息系統(tǒng)中采用異地適時備份會有效的防治災難發(fā)生時可能造成的系統(tǒng)危害。保證數(shù)據(jù)安全和備份恢復主要從：數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復等三個控制點考慮。 數(shù)據(jù)完整性 數(shù)據(jù)完整性是在信息和重要業(yè)務數(shù)據(jù)傳輸過程中完整性免受破壞，通過技術手段達到可使完整性收到保護。存儲是計算機中的數(shù)據(jù)可以說每天都在增加與此同時需要訪問這些數(shù)據(jù)的人數(shù)也在增長這樣無疑對數(shù)據(jù)的完整性的潛在需求也隨之而增長。完整性認證是對信息完整性得鑒別，確定數(shù)據(jù)是否被非法篡改，保證合法用戶得到正確、完整得信息。 數(shù)據(jù) 保密性 數(shù)據(jù)安全指的是通過一些技術或者非技術的方式來保證數(shù)據(jù)的訪問是受到合理控制，并保證數(shù)據(jù)不被人為或者意外的損壞而泄露或更改。 在云環(huán)境中，物理機、存儲系統(tǒng)的所有權(quán)屬于運營單位，而數(shù)據(jù)和應用的所有權(quán)屬于云 用戶 ，因此傳統(tǒng)的安全管理機制難以奏效。由于云 用戶 失去了對于物理機和存儲系統(tǒng)的控制和管理，所以數(shù)據(jù)訪問控制機制將有所調(diào)整。在云計算環(huán)境中需要實現(xiàn)策略驅(qū)動型的細粒度數(shù)據(jù)訪問。 （ 1）以強身份驗證為基礎 數(shù)據(jù)訪問控制須以強身份驗證為基礎。首先需要確認用戶的身份，對用戶的身份進行認證，一般來說