【文章內(nèi)容簡(jiǎn)介】 避雷裝置，每個(gè)機(jī)柜都有交流電源地線，設(shè)有自動(dòng)滅火裝置，UPS上有控制電涌的設(shè)置。主要設(shè)備都放置在主機(jī)房?jī)?nèi)，所有設(shè)備均固定在機(jī)柜上，并設(shè)置了明顯標(biāo)記，通信線纜鋪設(shè)在地板下，線纜走線槽，機(jī)房采用防盜設(shè)施。 網(wǎng)絡(luò)安全 網(wǎng)絡(luò)結(jié)構(gòu)安全網(wǎng)絡(luò)結(jié)構(gòu)的安全是網(wǎng)絡(luò)安全的前提和基礎(chǔ)，對(duì)于云計(jì)算平臺(tái)，選用主要網(wǎng)絡(luò)設(shè)備時(shí)需要考慮業(yè)務(wù)處理能力的高峰數(shù)據(jù)流量，要考慮冗余空間滿(mǎn)足業(yè)務(wù)高峰期需要；網(wǎng)絡(luò)各個(gè)部分的帶寬要保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)滿(mǎn)足業(yè)務(wù)高峰期需要；按照業(yè)務(wù)系統(tǒng)服務(wù)的重。要次序定義帶寬分配的優(yōu)先級(jí)，在網(wǎng)絡(luò)擁堵時(shí)優(yōu)先保障重要主機(jī)；合理規(guī)劃路由，業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間建立安全路徑；繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；根據(jù)各部門(mén)的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的網(wǎng)段。保存有重要業(yè)務(wù)系統(tǒng)及數(shù)據(jù)的重要網(wǎng)段不能直接與外部系統(tǒng)連接，需要和其他網(wǎng)段隔離，單獨(dú)劃分區(qū)域。 訪問(wèn)控制信息安全等級(jí)保護(hù)的一個(gè)重要要求是實(shí)現(xiàn)自主訪問(wèn)控制和強(qiáng)制訪問(wèn)控制。自主訪問(wèn)控制實(shí)現(xiàn)：在安全策略控制范圍內(nèi)，使用戶(hù)對(duì)自己創(chuàng)建的客體具有各種訪問(wèn)操作權(quán)限，并能將這些權(quán)限的部分或全部授予其他用戶(hù)；自主訪問(wèn)控制主體的粒度應(yīng)為用戶(hù)級(jí)，客體的粒度應(yīng)為文件或數(shù)據(jù)庫(kù)表級(jí)；自主訪問(wèn)操作應(yīng)包括對(duì)客體的創(chuàng)建、讀、寫(xiě)、修改和刪除等。 強(qiáng)制訪問(wèn)控制實(shí)現(xiàn)：在對(duì)安全管理員進(jìn)行嚴(yán)格的身份鑒別和權(quán)限控制基礎(chǔ)上，由安全管理員通過(guò)特定操作界面對(duì)主、客體進(jìn)行安全標(biāo)記；應(yīng)按安全標(biāo)記和強(qiáng)制訪問(wèn)控制規(guī)則，對(duì)確定主體訪問(wèn)客體的操作進(jìn)行控制；強(qiáng)制訪問(wèn)控制主體的粒度應(yīng)為用戶(hù)級(jí)，客體的粒度應(yīng)為文件或數(shù)據(jù)庫(kù)表級(jí)。由此主要控制的是對(duì)應(yīng)用系統(tǒng)的文件、數(shù)據(jù)庫(kù)等資源的訪問(wèn)，避免越權(quán)非法使用。采用的措施主要包括： ● 在網(wǎng)絡(luò)邊界部署防火墻，并按照安全和隔離策略設(shè)置了訪問(wèn)控制策略。● 根據(jù)會(huì)話信息為數(shù)據(jù)流提供了明確的允許/拒絕訪問(wèn)的能力，控制粒度為網(wǎng)段級(jí)。 ● 按用戶(hù)和系統(tǒng)的允許訪問(wèn)規(guī)則，決定或允許或拒絕用戶(hù)對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，控制粒度為單個(gè)用戶(hù)。 ● 網(wǎng)絡(luò)設(shè)備均設(shè)置了timeout時(shí)間。 安全審計(jì)系統(tǒng)審計(jì)包含主機(jī)審計(jì)和應(yīng)用審計(jì)兩個(gè)層面：網(wǎng)絡(luò)安全審計(jì)系統(tǒng)主要用于監(jiān)視并記錄網(wǎng)絡(luò)中的各類(lèi)操作，偵察系統(tǒng)中存在的現(xiàn)有和潛在的威脅，實(shí)時(shí)地綜合分析出網(wǎng)絡(luò)中發(fā)生的安全事件，包括各種外部事件和內(nèi)部事件。在云計(jì)算平臺(tái)交換機(jī)處并接部署網(wǎng)絡(luò)行為監(jiān)控與審計(jì)系統(tǒng)，形成對(duì)全網(wǎng)絡(luò)數(shù)據(jù)的流量監(jiān)測(cè)并進(jìn)行相應(yīng)安全審計(jì)，同時(shí)和其它網(wǎng)絡(luò)安全設(shè)備共同為集中安全管理提供監(jiān)控?cái)?shù)據(jù)用于分析及檢測(cè)。網(wǎng)絡(luò)行為監(jiān)控和審計(jì)系統(tǒng)將獨(dú)立的網(wǎng)絡(luò)傳感器硬件組件連接到網(wǎng)絡(luò)中的數(shù)據(jù)會(huì)聚點(diǎn)設(shè)備上，對(duì)網(wǎng)絡(luò)中的數(shù)據(jù)包進(jìn)行分析、匹配、統(tǒng)計(jì)，通過(guò)特定的協(xié)議算法，從而實(shí)現(xiàn)入侵檢測(cè)、信息還原等網(wǎng)絡(luò)審計(jì)功能，根據(jù)記錄生成詳細(xì)的審計(jì)報(bào)表。網(wǎng)絡(luò)行為監(jiān)控和審計(jì)系統(tǒng)采用旁路技術(shù)，不用在目標(biāo)主機(jī)中安裝任何組件。同時(shí)網(wǎng)絡(luò)審計(jì)系統(tǒng)可以與其它網(wǎng)絡(luò)安全設(shè)備進(jìn)行聯(lián)動(dòng)，將各自的監(jiān)控記錄送往安全管理安全域中的安全管理服務(wù)器，集中對(duì)網(wǎng)絡(luò)異常、攻擊和病毒進(jìn)行分析和檢測(cè)。 應(yīng)用審計(jì)針對(duì)網(wǎng)絡(luò)內(nèi)的各種操作和訪問(wèn)記錄，及入侵記錄的事件開(kāi)啟審計(jì)功能。 ● 使用軟件對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶(hù)行為等進(jìn)行日志記錄。 ● 對(duì)所有設(shè)備進(jìn)行監(jiān)控并記錄，并且每天會(huì)有專(zhuān)人負(fù)責(zé)對(duì)記錄進(jìn)行查看，并形成每日?qǐng)?bào)表以及周報(bào)、月報(bào)等。 邊界防范在邊界處部署了防火墻、審計(jì)，能對(duì)內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶(hù)未通過(guò)準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查。 入侵防范針對(duì)網(wǎng)絡(luò)入侵防范，可通過(guò)部署網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)來(lái)實(shí)現(xiàn)。將網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)位于有敏感數(shù)據(jù)需要保護(hù)的網(wǎng)絡(luò)上，通過(guò)實(shí)時(shí)偵聽(tīng)網(wǎng)絡(luò)數(shù)據(jù)流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問(wèn)嘗試。當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)違規(guī)行為和未授權(quán)的網(wǎng)絡(luò)訪問(wèn)時(shí)，網(wǎng)絡(luò)監(jiān)控系統(tǒng)能夠根據(jù)系統(tǒng)安全策略做出反應(yīng)，包括實(shí)時(shí)報(bào)警、事件登錄，或執(zhí)行用戶(hù)自定義的安全策略等。入侵檢測(cè)系統(tǒng)可以部署在云計(jì)算平臺(tái)的核心處以及主要服務(wù)器區(qū)，這里我們建議在這些區(qū)域的交換機(jī)上部署入侵檢測(cè)系統(tǒng)，監(jiān)視并記錄網(wǎng)絡(luò)中的所有訪問(wèn)行為和操作，有效防止非法操作和惡意攻擊。同時(shí)，入侵檢測(cè)系統(tǒng)還可以形象地重現(xiàn)操作的過(guò)程，可幫助安全管理員發(fā)現(xiàn)網(wǎng)絡(luò)安全的隱患。在網(wǎng)絡(luò)中旁路部署IDS監(jiān)視設(shè)備，且能對(duì)端口掃描、強(qiáng)力攻擊、木馬后門(mén)攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、注入式攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲(chóng)攻擊等。 網(wǎng)絡(luò)設(shè)備防護(hù)為提高網(wǎng)絡(luò)設(shè)備的自身安全性，保障各種網(wǎng)絡(luò)應(yīng)用的正常運(yùn)行，對(duì)網(wǎng)絡(luò)設(shè)備需要進(jìn)行一系列的加固措施，包括：● 對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶(hù)進(jìn)行身份鑒別，用戶(hù)名必須唯一?！?對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制?！?啟用SSH等管理方式，加密管理數(shù)據(jù)，防止被網(wǎng)絡(luò)竊聽(tīng)?！?網(wǎng)絡(luò)設(shè)備登錄失敗采用結(jié)束會(huì)話措施，登錄連接超時(shí)設(shè)置為35分鐘。● 網(wǎng)絡(luò)設(shè)備的遠(yuǎn)程管理均使用SSH方式，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)。 網(wǎng)絡(luò)可信接入為保證網(wǎng)絡(luò)邊界的完整性，不僅需要進(jìn)行非法外聯(lián)行為，同時(shí)對(duì)非法接入進(jìn)行監(jiān)控與阻斷，形成網(wǎng)絡(luò)可信接入，共同維護(hù)邊界完整性。通過(guò)部署終端安全管理系統(tǒng)可以實(shí)現(xiàn)這一目標(biāo)。終端安全管理系統(tǒng)其中一個(gè)重要功能模塊就是網(wǎng)絡(luò)準(zhǔn)入控制，啟用網(wǎng)絡(luò)阻斷方式包括ARP干擾、。監(jiān)測(cè)內(nèi)部網(wǎng)中發(fā)生的外來(lái)主機(jī)非法接入、篡改 IP 地址、盜用 IP 地址等不法行為，由監(jiān)測(cè)控制臺(tái)進(jìn)行告警。運(yùn)用用戶(hù)信息和主機(jī)信息匹配方式實(shí)時(shí)發(fā)現(xiàn)接入主機(jī)的合法性，及時(shí)阻止 IP 地址的篡改和盜用行為。共同保證云計(jì)算平臺(tái)的邊界完整性。具體如下： ● 在線主機(jī)監(jiān)測(cè)可以通過(guò)監(jiān)聽(tīng)和主動(dòng)探測(cè)等方式檢測(cè)系統(tǒng)中所有在線的主機(jī)，并判別在線主機(jī)是否是經(jīng)過(guò)系統(tǒng)授權(quán)認(rèn)證的信任主機(jī)。● 主機(jī)授權(quán)認(rèn)證可以通過(guò)在線主機(jī)是否安裝客戶(hù)端代理程序，并結(jié)合客戶(hù)端代理報(bào)告的主機(jī)補(bǔ)丁安裝情況，防病毒程序安裝和工作情況等信息，進(jìn)行網(wǎng)絡(luò)的授權(quán)認(rèn)證，只允許通過(guò)授權(quán)認(rèn)證的主機(jī)使用網(wǎng)絡(luò)資源?！?非法主機(jī)網(wǎng)絡(luò)阻斷對(duì)于探測(cè)到的非法主機(jī)，系統(tǒng)可以主動(dòng)阻止其訪問(wèn)任何網(wǎng)絡(luò)資源，從而保證非法主機(jī)不對(duì)網(wǎng)絡(luò)產(chǎn)生影響，無(wú)法有意或無(wú)意的對(duì)網(wǎng)絡(luò)攻擊或者試圖竊密?！?網(wǎng)絡(luò)白名單策略管理可生成默認(rèn)的合法主機(jī)列表，根據(jù)是否安裝安全管理客戶(hù)端或者是否執(zhí)行安全策略，來(lái)過(guò)濾合法主機(jī)列表，快速實(shí)現(xiàn)合法主機(jī)列表的生成。同時(shí)允許管理員設(shè)置白名單例外列表，允許例外列表的主機(jī)不安裝客戶(hù)端但是仍然授予網(wǎng)絡(luò)使用權(quán)限，并根據(jù)需要授予可以和其他授權(quán)認(rèn)證過(guò)的主機(jī)通信的權(quán)限或者允許和任意主機(jī)通信的權(quán)限?！?IP和MAC綁定管理可以將終端的IP和MAC地址綁定，禁止用戶(hù)修改自身的IP和MAC地址，并在用戶(hù)試圖更改IP和MAC地址時(shí)，產(chǎn)生相應(yīng)的報(bào)警信息。 應(yīng)用安全 身份鑒別 虛擬服務(wù)器的客戶(hù)端維護(hù)端提供登錄控制模塊對(duì)登錄用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別，有效防止身份冒用。 客戶(hù)端在用戶(hù)登陸時(shí)對(duì)用戶(hù)名進(jìn)行唯一性鑒別，鑒別信息作復(fù)雜度進(jìn)行檢查；密碼要求最少8位以上。客戶(hù)端用戶(hù)分為監(jiān)控用戶(hù)和管理用戶(hù)，密碼要求最少8位以上。 客戶(hù)端在鎖定字段進(jìn)行設(shè)置，當(dāng)用戶(hù)名或密碼輸入錯(cuò)誤時(shí)會(huì)跳轉(zhuǎn)提示頁(yè)面，提供失敗登錄處理功能。應(yīng)用維護(hù)端提供失敗登錄處理功能。 通信保密性設(shè)計(jì)在云計(jì)算平臺(tái)管理軟件應(yīng)用層的通信保密性主要由應(yīng)用系統(tǒng)完成。在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證；并對(duì)通信過(guò)程中的敏感信息字段進(jìn)行加密。對(duì)于在云計(jì)算平臺(tái)管理軟件應(yīng)用層信息傳輸?shù)耐ㄐ疟Ｃ苄詰?yīng)由傳輸加密系統(tǒng)完成。部署SSL VPN系統(tǒng)保證遠(yuǎn)程數(shù)據(jù)傳輸?shù)臄?shù)據(jù)機(jī)密性。 數(shù)據(jù)安全數(shù)據(jù)庫(kù)中存放的數(shù)據(jù)（用戶(hù)數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)等），是信息資產(chǎn)的核心，如果數(shù)據(jù)被破壞/ 篡改或非授權(quán)獲取將給政府/企業(yè)帶來(lái)嚴(yán)重的損失。數(shù)據(jù)庫(kù)安全是整個(gè)安全鏈條上的個(gè)重要環(huán)節(jié)，如果數(shù)據(jù)庫(kù)安全中的任何環(huán)節(jié)出現(xiàn)問(wèn)題都可能會(huì)損害整個(gè)鏈的牢固性性，給我們整個(gè)系統(tǒng)的安全帶來(lái)嚴(yán)重的損失。由于信息系統(tǒng)的各個(gè)層面（網(wǎng)絡(luò)、主機(jī)、應(yīng)用等）都對(duì)各類(lèi)數(shù)據(jù)進(jìn)行傳輸、存儲(chǔ)和處理等，因此，對(duì)數(shù)據(jù)的保護(hù)需要物理環(huán)境、網(wǎng)絡(luò)、數(shù)據(jù)庫(kù)和操作系統(tǒng)、應(yīng)用程序等提供支持。各個(gè)“關(guān)口”把好了，數(shù)據(jù)本身再具有一些防御和修復(fù)手段，必然將對(duì)數(shù)據(jù)造成的損害降至最小。另外，數(shù)據(jù)備份也是防止數(shù)據(jù)被破壞后無(wú)法恢復(fù)的重要手段，而硬件備份等更是保證系統(tǒng)可用的重要內(nèi)容，在高級(jí)別的信息系統(tǒng)中采用異地適時(shí)備份會(huì)有效的防治災(zāi)難發(fā)生時(shí)可能造成的系統(tǒng)危害。保證數(shù)據(jù)安全和備份恢復(fù)主要從：數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)等三個(gè)控制點(diǎn)考慮。 數(shù)據(jù)完整性數(shù)據(jù)完整性是在信息和重要業(yè)務(wù)數(shù)據(jù)傳輸過(guò)程中完整性免受破壞，通過(guò)技術(shù)手段達(dá)到可使完整性收到保護(hù)。存儲(chǔ)是計(jì)算機(jī)中的數(shù)據(jù)可以說(shuō)每天都在增加與此同時(shí)需要訪問(wèn)這些數(shù)據(jù)的人數(shù)也在增長(zhǎng)這樣無(wú)疑對(duì)數(shù)據(jù)的完整性的潛在需求也隨之而增長(zhǎng)。完整性認(rèn)證是對(duì)信息完整性得鑒別，確定數(shù)據(jù)是否被非法篡改，保證合法用戶(hù)得到正確、完整得信息。 數(shù)據(jù)保密性數(shù)據(jù)安全指的是通過(guò)一些技術(shù)或者非技術(shù)的方式來(lái)保證數(shù)據(jù)的訪問(wèn)是受到合理控制，并保證數(shù)據(jù)不被人為或者意外的損壞而泄露或更改。在云環(huán)境中，物理機(jī)、存儲(chǔ)系統(tǒng)的所有權(quán)屬于運(yùn)營(yíng)單位，而數(shù)據(jù)和應(yīng)用的所有權(quán)屬于云用戶(hù)，因此傳統(tǒng)的安全管理機(jī)制難以奏效。由于云用戶(hù)失去了對(duì)于物理機(jī)和存儲(chǔ)系統(tǒng)的控制和管理，所以數(shù)據(jù)訪問(wèn)控制機(jī)制將有所調(diào)整。在云計(jì)算環(huán)境中需要實(shí)現(xiàn)策略驅(qū)動(dòng)型的細(xì)粒度數(shù)據(jù)訪問(wèn)。（1）以強(qiáng)身份驗(yàn)證為基礎(chǔ)數(shù)據(jù)訪問(wèn)控制須以強(qiáng)身份驗(yàn)證為基礎(chǔ)。首先需要確認(rèn)用戶(hù)的身份，對(duì)用戶(hù)的身份進(jìn)行認(rèn)證，一般來(lái)說(shuō)，對(duì)于普通的數(shù)據(jù)，可以采用用戶(hù)名/口令的方式來(lái)進(jìn)行身份認(rèn)證；而對(duì)于敏感的數(shù)據(jù)，建議采用多因素的強(qiáng)身份認(rèn)證方式來(lái)進(jìn)行身份認(rèn)證。（2）基于將基于多用戶(hù)的細(xì)粒度訪問(wèn)控制策略策略驅(qū)動(dòng)式的數(shù)據(jù)訪問(wèn)對(duì)于用戶(hù)數(shù)據(jù)的安全性有良好的保障。細(xì)粒度、策略驅(qū)動(dòng)式安全保護(hù)，以確保只有經(jīng)過(guò)授權(quán)、經(jīng)身份驗(yàn)證的用戶(hù)和系統(tǒng)才能與敏感的應(yīng)用程序數(shù)據(jù)交互。明確界定哪些類(lèi)型的數(shù)據(jù)受到保護(hù)，哪些應(yīng)用程序可以訪問(wèn)數(shù)據(jù)并不受限制地與其交互等等。政策可以根據(jù)用戶(hù)、角色、時(shí)間和數(shù)據(jù)類(lèi)型來(lái)定義，從而提供更好的控制。細(xì)粒度的保護(hù)