【正文】 須采取適當(dāng)?shù)募用芊椒▽?duì)信息進(jìn)行加密。云平臺(tái)接入安全首先要考慮租戶的安全接入，租戶接入的目的主要是對(duì)托管的業(yè)務(wù)、租賃的服務(wù)進(jìn)行運(yùn)維管理，因此需要對(duì)接入平臺(tái)的租戶身份進(jìn)行有效的認(rèn)證，避免非法用戶接入帶來(lái)的危害；而對(duì)于普通用戶來(lái)說(shuō)，平臺(tái)內(nèi)部哪些資源是對(duì)其開(kāi)放的，哪些資源不能訪問(wèn)需要界定；在整個(gè)大平臺(tái)內(nèi)部，不同的云業(yè)務(wù)及虛擬私有云之間會(huì)有大量的信息交互，因此需要考慮如何保障云間業(yè)務(wù)的安全互聯(lián)，避免信息泄露和越權(quán)訪問(wèn)。黑客能夠利用這些漏洞發(fā)起對(duì)云平臺(tái)的攻擊，比如mail漏洞、后門(mén)漏洞、操作系統(tǒng)漏洞、ftp漏洞、數(shù)據(jù)庫(kù)漏洞，實(shí)現(xiàn)對(duì)網(wǎng)站敏感信息監(jiān)控、竊取、篡改等目的。因此需要有效的設(shè)備來(lái)識(shí)別并防護(hù)針對(duì)業(yè)務(wù)系統(tǒng)漏洞的攻擊。云環(huán)境中B/S架構(gòu)的業(yè)務(wù)普遍存在，大量的Web業(yè)務(wù)應(yīng)用引入各種各樣的漏洞，給了入侵者可乘之機(jī)。云應(yīng)用安全需求云環(huán)境的隨需部署和動(dòng)態(tài)遷移，使安全策略的部署變得復(fù)雜，需要一個(gè)靈活動(dòng)態(tài)安全機(jī)制來(lái)適配虛擬化網(wǎng)絡(luò)安全防護(hù)。病毒、蠕蟲(chóng)、木馬等惡意代碼一旦感染云平臺(tái)系統(tǒng)或應(yīng)用，就可能在平臺(tái)內(nèi)部快速傳播，消耗網(wǎng)絡(luò)資源，劫持平臺(tái)應(yīng)用，竊取敏感信息，發(fā)送垃圾信息，甚至重定向用戶到惡意網(wǎng)頁(yè)。云平臺(tái)支持虛擬私有云，可以在一個(gè)云數(shù)據(jù)中心里靈活設(shè)定多個(gè)虛擬私有云，多個(gè)私有云之間使用VPN技術(shù)或VXLAN技術(shù)，達(dá)到端到端的隔離效果。分區(qū)分域需求在安全設(shè)計(jì)方案中，我們需要將省級(jí)部門(mén)的業(yè)務(wù)通過(guò)邏輯隔離劃分不同的安全域，首先云平臺(tái)建設(shè)時(shí)需考慮將基礎(chǔ)設(shè)施資源劃分為兩個(gè)獨(dú)立的區(qū)域，分別為互聯(lián)網(wǎng)業(yè)務(wù)區(qū)、公用網(wǎng)絡(luò)區(qū)，兩個(gè)區(qū)域間不能直接訪問(wèn)，僅能通過(guò)跨網(wǎng)數(shù)據(jù)交換區(qū)進(jìn)行數(shù)據(jù)交換。因此平臺(tái)層的安全建設(shè)需要從平臺(tái)安全防護(hù)，平臺(tái)的接入安全，以及平臺(tái)服務(wù)可靠性方面來(lái)建設(shè)，保證云平臺(tái)業(yè)務(wù)系統(tǒng)安全可靠運(yùn)行。整個(gè)云平臺(tái)安全運(yùn)維也成了一大難題，首先平臺(tái)本身以及平臺(tái)中的業(yè)務(wù)系統(tǒng)的安全現(xiàn)狀難以實(shí)時(shí)監(jiān)測(cè)，因此無(wú)法做到有效審計(jì)，不能追溯安全問(wèn)題；其次，對(duì)于資源池中的安全服務(wù)，如何做到動(dòng)態(tài)靈活的統(tǒng)一管理、智能分配，滿足云環(huán)境下動(dòng)態(tài)高效的需求；再次，租戶業(yè)務(wù)系統(tǒng)遷入后，如何快速的獲得所需的安全配額，實(shí)現(xiàn)針對(duì)性的策略配置和自主運(yùn)維。對(duì)云平臺(tái)的計(jì)算環(huán)境的保護(hù)也是云平臺(tái)下信息安全整體保護(hù)體系的重中之重。 需求概述從整個(gè)云平臺(tái)整體安全角度來(lái)看，我們需要考慮三個(gè)方面的設(shè)計(jì)：云平臺(tái)安全、租戶側(cè)安全、安全運(yùn)維管理和便捷性。第二章 需求分析集團(tuán)的云平臺(tái)一般為專有云架構(gòu)，專有云平臺(tái)承擔(dān)集團(tuán)內(nèi)部服務(wù)的內(nèi)容如業(yè)務(wù)應(yīng)用系統(tǒng)等，為各分公司、集團(tuán)子公司的應(yīng)用系統(tǒng)提供基礎(chǔ)設(shè)施支撐。因此，集團(tuán)的IT部門(mén)能夠集中人力物力進(jìn)行本部門(mén)的業(yè)務(wù)運(yùn)轉(zhuǎn)，從而減輕行政負(fù)擔(dān)，能有更多的精力專注于面向公眾的公共服務(wù)，提高效率。通過(guò)云平臺(tái)，多個(gè)部門(mén)/集團(tuán)子公司可以共用相應(yīng)的基礎(chǔ)架構(gòu)，實(shí)現(xiàn)各業(yè)務(wù)系統(tǒng)之間的軟硬件共享，提高信息共享的效率，擴(kuò)大信息共享范圍；軟硬件資源和信息資源的共享將有利于促進(jìn)各部門(mén)內(nèi)部與部門(mén)之間的業(yè)務(wù)系統(tǒng)的整合，為各部門(mén)業(yè)務(wù)協(xié)同創(chuàng)造條件。云計(jì)算降低信息共享和業(yè)務(wù)協(xié)同難度長(zhǎng)期以來(lái)，各應(yīng)用系統(tǒng)普遍存在各自為政、資源分散等問(wèn)題。云計(jì)算提高業(yè)務(wù)系統(tǒng)的部署效率云平臺(tái)具有較高的靈活性，集團(tuán)實(shí)施新的應(yīng)用系統(tǒng)時(shí)，不必購(gòu)買(mǎi)額外的軟硬件，而是利用已有云基礎(chǔ)設(shè)施，快速部署系統(tǒng)，提高應(yīng)用部署速度。云計(jì)算能夠降低信息化成本在云環(huán)境下，可以將信息技術(shù)資源交給專業(yè)的第三方云服務(wù)商管理，由云服務(wù)商提供需要的信息技術(shù)基礎(chǔ)架構(gòu)、軟硬件資源和信息服務(wù)等，各子公司、集團(tuán)根據(jù)按需付費(fèi)的原則定制需要的信息服務(wù)。而虛擬化云平臺(tái)技術(shù)，作為云計(jì)算的一個(gè)支撐技術(shù)，必將成為未來(lái)最重要的最值得研究的IT技術(shù)之一。著名咨詢公司Gartner將虛擬化云平臺(tái)技術(shù)列為2009年十大戰(zhàn)略技術(shù)第一位，而在2010年初發(fā)布預(yù)測(cè)中，更是大膽斷言到2012年20%的單位將不再擁有IT資產(chǎn)。內(nèi)部云建制的科技基礎(chǔ)就是虛擬化云平臺(tái)，這也將成為拉動(dòng)整個(gè)虛擬化云平臺(tái)市場(chǎng)持續(xù)走高的成長(zhǎng)動(dòng)力。正如業(yè)界虛擬化領(lǐng)域的一位資深專家所言：“以前大家對(duì)于云計(jì)算可謂眾說(shuō)紛紜，都有各自不同的見(jiàn)解和看法，而現(xiàn)在業(yè)界已逐漸形成共識(shí)：云計(jì)算就是下一代運(yùn)算模式的演變。深信服云安全解決方案深信服電子科技有限公司2015年11月7日目錄第一章 建設(shè)背景 4 4 4第二章 需求分析 5 需求概述 5 平臺(tái)側(cè)需求 7 7 8 9 租戶側(cè)需求 10 租戶間隔離需求分析 10 租戶虛擬機(jī)需求分析 11 租戶互聯(lián)網(wǎng)業(yè)務(wù)需求分析 11 租戶外網(wǎng)業(yè)務(wù)需求分析 12 管理運(yùn)維需求 13第三章 設(shè)計(jì)原則 14第四章 解決方案 15 解決方案綜述 15 平臺(tái)側(cè)設(shè)計(jì)方案 17 18. 平臺(tái)分區(qū)分域 18. 防網(wǎng)絡(luò)病毒 18. 應(yīng)用安全防護(hù) 19. 防止漏洞攻擊 19. 多業(yè)務(wù)數(shù)據(jù)隔離和交換 20 20 21 22 23. 防拒絕服務(wù)攻擊 23. 鏈路/全局負(fù)載均衡 23 租戶側(cè)設(shè)計(jì)方案 25 25 26 26 27 29 NFV安全組件部署方式 31 管理運(yùn)維設(shè)計(jì)方案 32 平臺(tái)運(yùn)維 32 租戶運(yùn)維 33 平臺(tái)服務(wù)商合作運(yùn)維 34第五章 解決方案價(jià)值 35 高安全：提供專業(yè)、可靠的服務(wù) 36 高性價(jià)比：降低IT建設(shè)成本 36 高效率：業(yè)務(wù)系統(tǒng)部署速度快 37 高協(xié)同：降低信息共享和業(yè)務(wù)協(xié)同難度 37第一章 建設(shè)背景云計(jì)算的興起，給人們的工作方式以及商業(yè)模式帶來(lái)根本性變化，甚至可能掀起信息技術(shù)的第三次“浪潮”。目前，云計(jì)算在電信、互聯(lián)網(wǎng)、IT行業(yè)以及金融等方面都扮演著舉足輕重的角色。每家單位都要建立自己的云計(jì)算模式，其第一步要做的就是完成內(nèi)部云或私有云的建制?！痹诖笃髽I(yè)，虛擬化云平臺(tái)能幫助單位在業(yè)務(wù)層面實(shí)現(xiàn)彈性架構(gòu)和資源池化，一方面可以大幅提升存儲(chǔ)計(jì)算等各種硬件資源的利用效率，另一方面還可明顯提升辦公、對(duì)外服務(wù)的開(kāi)通時(shí)間、可用性以及災(zāi)難恢復(fù)等能力。尤其在大企業(yè)，因?yàn)槎鄠€(gè)內(nèi)在關(guān)聯(lián)的趨勢(shì)正在推動(dòng)大企業(yè)逐步減少I(mǎi)T硬件資產(chǎn)，這些趨勢(shì)主要是虛擬化云平臺(tái)、云計(jì)算服務(wù)、虛擬化的桌面交付等。云平臺(tái)的搭建將有助于IT系統(tǒng)從粗放式、離散化的建設(shè)模式向集約化、整體化的可持續(xù)發(fā)展模式轉(zhuǎn)變，使IT管理服務(wù)從各自為政、相互封閉的運(yùn)作方式向跨部門(mén)跨區(qū)域的協(xié)同互動(dòng)和資源共享轉(zhuǎn)變。這帶來(lái)了兩大好處：一是不需要投資建立大量的數(shù)據(jù)中心和大型機(jī)房，購(gòu)買(mǎi)服務(wù)器和存儲(chǔ)設(shè)備等，從而節(jié)省建設(shè)費(fèi)用；二是信息軟硬件資源交給專業(yè)的云服務(wù)商管理，集團(tuán)不再負(fù)擔(dān)信息系統(tǒng)維護(hù)和升級(jí)，節(jié)省了運(yùn)維費(fèi)用。開(kāi)發(fā)者在一個(gè)平臺(tái)上構(gòu)建和部署應(yīng)用程序，大大提高了信息系統(tǒng)部署效率。盡管信息難以共享的根源在于業(yè)務(wù)系統(tǒng)機(jī)制問(wèn)題，但云計(jì)算能從技術(shù)上降低信息共享和業(yè)務(wù)協(xié)同的難度。云計(jì)算有助于提高服務(wù)效率通過(guò)云平臺(tái)實(shí)現(xiàn)軟硬件資源所有權(quán)與使用權(quán)的分離，各子公司將在不擁有軟硬件資源的情況下享受信息服務(wù)。同時(shí)，在部署了以云計(jì)算為技術(shù)支撐的云平臺(tái)以后，后臺(tái)信息的煙囪式部署方式的壁壘將被打破，從而實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)的統(tǒng)一共享，這對(duì)前臺(tái)服務(wù)界面的統(tǒng)一打通有著重要意義，將使得業(yè)務(wù)系統(tǒng)的統(tǒng)一化不再停留在前臺(tái)展示層面，而切切實(shí)實(shí)的實(shí)現(xiàn)服務(wù)的高效與統(tǒng)一。云資源共享專區(qū)通過(guò)安全隔離措施訪問(wèn)公有云（互聯(lián)網(wǎng)）、公眾服務(wù)專區(qū)；各子公司需要對(duì)互聯(lián)發(fā)布的業(yè)務(wù)系統(tǒng)應(yīng)根據(jù)服務(wù)對(duì)象逐步遷移至云平臺(tái)上，實(shí)現(xiàn)集中集約部署。云計(jì)算平臺(tái)和傳統(tǒng)計(jì)算平臺(tái)的最大區(qū)別在于計(jì)算環(huán)境，云平臺(tái)的計(jì)算環(huán)境比傳統(tǒng)意義上的計(jì)算環(huán)境要更加復(fù)雜。除了平臺(tái)的安全問(wèn)題，租戶側(cè)也面臨一些安全問(wèn)題，比如接入環(huán)境是否滿足安全要求、業(yè)務(wù)系統(tǒng)是否安全、用戶訪問(wèn)或接入業(yè)務(wù)的安全風(fēng)險(xiǎn)、虛機(jī)之間信息交換是否安全、業(yè)務(wù)系統(tǒng)服務(wù)可靠性等需求。歸納起來(lái)，云平臺(tái)整體安全需求如下圖所示： 平臺(tái)側(cè)需求對(duì)于云來(lái)說(shuō)，平臺(tái)無(wú)疑是對(duì)外提供服務(wù)的基礎(chǔ)，無(wú)論是建設(shè)運(yùn)營(yíng)方，還是租戶，對(duì)于平臺(tái)自身的可靠性、安全性都是極為關(guān)注的。平臺(tái)需要直接連接互聯(lián)網(wǎng)，面臨著非法接入、網(wǎng)絡(luò)入侵、黑客攻擊、病毒傳播、蠕蟲(chóng)攻擊、web應(yīng)用保護(hù)、僵尸木馬、DDoS攻擊等各種安全問(wèn)題，并且其底層和其上的系統(tǒng)軟件可能存在的安全漏洞將影響到整個(gè)平臺(tái)系統(tǒng)的安全，攻擊者在利用漏洞入侵到平臺(tái)之后，可以對(duì)整個(gè)平臺(tái)內(nèi)部的資源進(jìn)行各種破壞，從而導(dǎo)致系統(tǒng)不可用，或者數(shù)據(jù)丟失、數(shù)據(jù)泄露，其潛在的威脅將無(wú)法估量。每個(gè)等保區(qū)域內(nèi)不同租戶應(yīng)用間通過(guò)VLAN/VxLAN網(wǎng)絡(luò)隔離，租戶間通過(guò)訪問(wèn)控制設(shè)備進(jìn)行訪問(wèn)控制，禁止非授權(quán)訪問(wèn)。防網(wǎng)絡(luò)病毒需求云平臺(tái)的核心是計(jì)算和數(shù)據(jù)資源，因此也是網(wǎng)絡(luò)入侵者最主要的目標(biāo)。所以云平臺(tái)安全建設(shè)需要包含檢測(cè)和清除病毒蠕蟲(chóng)木馬等惡意內(nèi)容的機(jī)制。因?yàn)閼?yīng)用只與虛擬層交互，而與真正的硬件隔離，導(dǎo)致應(yīng)用層的安全威脅缺乏監(jiān)管而泛濫，安全管理人員看不到設(shè)備背后的安全風(fēng)險(xiǎn)，服務(wù)器變得更加不固定和不穩(wěn)定。黑客能夠利用這些漏洞發(fā)起對(duì)云應(yīng)用的攻擊，比如SQL注入、跨站腳本攻擊等，進(jìn)而實(shí)現(xiàn)對(duì)內(nèi)部敏感信息監(jiān)控、竊取、篡改等目的。防止漏洞攻擊云平臺(tái)內(nèi)部有大量業(yè)務(wù)服務(wù)器，其底層和業(yè)務(wù)應(yīng)用系統(tǒng)會(huì)不斷產(chǎn)生新的安全漏洞，給了入侵者可乘之機(jī)。因此需要有效的手段來(lái)識(shí)別并防護(hù)針對(duì)系統(tǒng)漏洞的攻擊。云間安全互聯(lián)云平臺(tái)里面可能包含了多個(gè)部門(mén)數(shù)據(jù)中心或虛擬私有云，跨部門(mén)或跨級(jí)別之間也會(huì)進(jìn)行信息的流轉(zhuǎn)，傳統(tǒng)數(shù)據(jù)中心和云平臺(tái)系統(tǒng)進(jìn)行信息交互，這些信息往往涉及到機(jī)密等級(jí)的問(wèn)題，應(yīng)予以嚴(yán)格保密?；贗Psec的加密方式被廣泛采用，其優(yōu)點(diǎn)顯而易見(jiàn)：IPSEC對(duì)應(yīng)用系統(tǒng)透明且具有極強(qiáng)的安全性，同時(shí)也易于部署和維護(hù)，這對(duì)于龐大的云平臺(tái)來(lái)說(shuō)，顯得極有好處。用戶訪問(wèn)安全一些集團(tuán)子公司部門(mén)通過(guò)云平臺(tái)對(duì)外發(fā)布的業(yè)務(wù)應(yīng)用，平臺(tái)用戶可以直接使用互聯(lián)網(wǎng)進(jìn)行訪問(wèn)，用戶能夠訪問(wèn)的資源，需要靠訪問(wèn)控制的安全策略來(lái)核查，避免非授權(quán)的數(shù)據(jù)泄漏問(wèn)題。訪問(wèn)控制系統(tǒng)應(yīng)根據(jù)各業(yè)務(wù)的安全級(jí)別要求和全網(wǎng)安全策略控制出入網(wǎng)絡(luò)的信息流，并且系統(tǒng)本身具有較強(qiáng)的抗攻擊能力。云平臺(tái)需要保障服務(wù)可靠性，一旦出現(xiàn)中斷將造成重大損失，并且影響集團(tuán)形象。同時(shí)會(huì)對(duì)租戶的公信力產(chǎn)生非常不利的影響。而云平臺(tái)內(nèi)部，每套業(yè)務(wù)系統(tǒng)都會(huì)有多個(gè)服務(wù)器（虛機(jī)）來(lái)承擔(dān)服務(wù)，出口網(wǎng)絡(luò)也會(huì)選用多家Internet服務(wù)，因此使用服務(wù)器負(fù)載、鏈路負(fù)載設(shè)備就能解決軟中斷問(wèn)題。黑客控制著大量的僵尸“肉機(jī)”，從而發(fā)起向云平臺(tái)的大量異常請(qǐng)求，這種攻擊行為使得Web等系統(tǒng)充斥大量需要響應(yīng)的信息，嚴(yán)重消耗網(wǎng)絡(luò)系統(tǒng)資源，導(dǎo)致外聯(lián)服務(wù)平臺(tái)無(wú)法對(duì)外正常