|
方案概述
一、項目背景
近年來，隨著虛擬化和云計算技術的發展和成熟，服務器虛擬化和云平臺的價值越來越被用戶認可。政府行業，國家級和各省級政府都在籌備國家電子政務云試點工程，用于將各級政府的電子政務向云平臺遷移。交通、石油石化、電信等行業，也在逐步根據自身行業特色，籌備行業私有云建設。網絡安全法的出臺和網絡安全等級保護標準的更新，均對虛擬化/云計算平臺提出了新的安全要求。隨著信息化的發展，殺毒軟件將無法有效地處理日益增多的惡意程序。來自互聯網的主要威脅正在由電腦病毒轉向惡意程序及木馬，在這樣的情況下，采用的特征庫判別法顯然已經過時。運用云安全技術應用后，識別和查殺病毒不再僅僅依靠本地硬盤中的病毒庫，而是依靠龐大的網絡服務，實時進行采集、分析以及處理。
二、系統框架
三、系統特點
一、基礎設施安全
基礎設施安全包括網絡、主機/存儲等核心IT基礎設施的安全。云計算相關的所有網絡層安全挑戰在云計算條件下變得更加嚴重，但這都不是云計算所造成的，網絡層面的安全控制包括網絡訪問控制（如防火墻），傳輸數據加密（如SSL、IPSec），安全事件日志，基于網絡的入侵防御系統（IDS/IPS）。主機層面的安全控制包括主機防火墻、訪問控制、安裝補丁、系統鞏固、強認證、安全事件日志、基于主機的入侵防御系統。
二、虛擬化安全
虛擬化帶來的經濟上的可擴展有利于加強在基礎設施、平臺、軟件層面提供云服務的能力，然而利用這些虛擬化技術也會帶來其它安全問題，如果云服務的基礎設施采用了虛擬機（VM）技術，這些VM系統間的隔離加固是必須要考慮的。在云計算中，某一最低安全保護的租戶，其安全性會成為虛擬環境中所有租戶共有的安全性。因此，需要考慮虛擬機的安全隔離、虛擬機鏡像安全管理、虛擬化環境下的通信安全、虛擬化和物理安全設備的統一管理和可視化等技術。
三、數據安全
用戶需要避免數據丟失和被竊。給數據進行加密，以確保無論數據物理上存儲在哪里都受到保護。同樣的，也需要保護其用戶的敏感數據。強加密及密鑰管理是云計算系統需要用以保護數據的一種核心機制。由于加密本身不能保證防止數據丟失，加密提供了資源保護功能，同時密鑰管理則提供了對受保護資源的訪問控制。數據安全技術包括諸如數據隔離、數據加密解密、身份認證和權限管理，保障用戶信息的可用性、保密性和完整性。
四、身份和訪問管理安全
管理身份和訪問應用程序的控制仍然是當今的IT面臨的最大挑戰之一。雖然用戶可以在沒有良好的身份和訪問管理策略的前提下利用若干云計算服務，但從長遠來說延伸企業身份管理服務到云計算確是實現按需計算服務戰略的先導。因此對用戶基于云的身份和訪問管理（IAM）是否準備就緒進行一個誠實的評估，以及理解云計算服務商的能力，是采納云生態系統的必要前提。成功有效的身份管理必不可少的IAM功能包括：身份供應/取消供應、認證、聯盟、授權和用戶配置文件管理。同時還包括支持SAML、使用SPML開通用戶，以及能滿足各種用戶和訪問流程自動化需求的開放式應用程序接口。
五、Web安全
云計算模式中，Web應用是用戶最直觀的體驗窗口，也是唯一的應用接口。而近幾年風起云涌的各種Web攻擊手段，則直接影響到云計算的順利發展。為了達到云計算終端到終端的安全，用戶保持瀏覽器的良好安全狀態是很必要的，這就需要對瀏覽器安裝補丁和升級以降低瀏覽器漏洞的威脅。針對目前幾種典型的云計算模式，采取了細化應用安全防護的手段，針對不同的應用，提供專業級的網關安全產品。
六、應用安全
由于云環境其靈活性、開放性、以及公眾可用性這些特性，在DaaS、SaaS、PaaS、IaaS的所有層面，對于應用程序來說，云計算都是一個特別的挑戰。部署于公共云中的網絡應用程序必須根據互聯網威脅模型進行設計，而且必須在軟件開發生命周期（SDLC）中內嵌安全。應用程序的安全控制手段包括軟件開發生命周期內嵌安全的開發流程、“最小特權”配置、及時安裝應用程序補丁、用戶認證、訪問控制、帳戶管理、瀏覽器用最新的補丁加固、終端安全措施包括反病毒、入侵防御系統、基于主機的入侵檢測系統、主機防火墻和用于管理的虛擬專用網絡VPN等。
|
