《云安全解决方案》由会员分享，可在线阅读，更多相关《云安全解决方案（29页珍藏版）》请在金锄头文库上搜索。
1、-2015 NSFOCUS Cloud Security Solution2015绿盟科技云平安解决方案. z.-目录一云计算典型体系构造2云计算系统分类2云计算系统典型物理架构2云计算系统逻辑构造2二云计算平安威胁和需求分析2平安威胁分析2平安需求和挑战2三云平安防护总体架构设计2设计思路2平安保障目标2平安保障体系框架2平安保障体系总体技术实现架构设计2四云平台平安域划分和防护设计2平安域划分2平安防护设计2五云计算平安防护方案的演进2虚拟化环境中的平安防护措施部署2软件定义平安体系架构2平安运营2六云平安技术效劳2私有云平安评估和加固2私有云平台平安设计咨询效劳2七云平安解决方案2作者和
2、奉献者2关注云平安解决方案2八关于绿盟科技2图表图一.1云典型架构2图一.2云典型逻辑构造2图三.3云平台平安保障体系框架2图三.4云平台平安技术实现架构2图三.5具有平安防护机制的云平台体系架构2图四.6云平台平安域逻辑划分2图四.7平安域划分例如2图四.8传统平安措施的部署2图四.9虚拟化防火墙部署2图四.10异常流量监测系统部署2图四.11网络入侵检测系统部署图2图四.12虚拟化Web应用防火墙部署2图四.13堡垒机应用场景2图四.14堡垒机部署图2图四.15平安管理子区2图五.16SDN典型架构2图五.17软件定义平安防护体系架构2图五.18使用SDN技术的平安设备部署图2图五.19使
3、用SDN技术实现流量牵引的原理图2图五.20基于手工配置的IPS防护模式2图六.21效劳提供者与客户之间的平安控制职责围划分2图六.22云计算关键领域平安2图六.23平安咨询效劳思路2关键信息本方案首先研究了云计算系统的典型构造，分析了云计算系统面临的平安威胁、平安需求和挑战，进而对云平安防护总体架构，包括保障内容和实现机制、部署方法进展了设计和详细阐述，并介绍了云平安相关的平安技术效劳内容和*围，最后给出了典型的云平安防护场景。其中关于软件定义平安体系架构，在之前发布的2015绿盟科技软件定义平安SDS白皮书中有详述。. z.-“随着云计算技术的不断完善和开展，云计算已经得到了广泛的认可和接
4、收，许多组织已经或即将进展云计算系统建立。同时，以信息/效劳为中心的模式深入人心，大量的应用正如雨后春笋般出现，组织也开场将传统的应用向云中迁移。同时，云计算技术仍处于不断开展和演进，系统更加开放和易用，功能更加强大和丰富，接口更加规和开放。例如软件定义网络简称SDN技术、NFV网络功能虚拟化等新技术。这必将推动云计算技术的更加普及和完善。云计算技术给传统的IT根底设施、应用、数据以及IT运营管理都带来了革命性改变，对于平安管理来说，既是挑战，也是机遇。首先，作为新技术，云计算引入了新的威胁和风险，进而也影响和打破了传统的信息平安保障体系设计、实现方法和运维管理体系，如网络与信息系统的平安边界
5、的划分和防护、平安控制措施选择和部署、平安评估和审计、平安监测和平安运维等方面；其次，云计算的资源弹性、按需调配、高可靠性及资源集中化等都间接增强或有利于平安防护，同时也给平安措施改良和升级、平安应用设计和实现、平安运维和管理等带来了问题和挑战，也推进了平安效劳容、实现机制和交付方式的创新和开展。根据调研数据，信息平安风险是客户采用云计算所考虑重大问题之一，且和行业平安监管愈加严格，平安已经成为组织规划、设计、建立和使用云计算系统而急需解决的重大问题之一，尤其是不断出现的与云计算系统相关事件让组织更加担忧自身的云计算系统平安保障问题。本方案基于绿盟科技长期对云计算平安的探索和研究，借鉴行业最正
6、确实践，结合绿盟科技近期云计算平安建立经历，提出了云计算平安保障框架和方法。. z.-一 云计算典型体系构造云计算主要是通过网络，将IT以抽象化的方式交付给客户，为基于IT的效劳交付模式带来了巨大变革。云计算的一些独特优势，使其广为承受，包括：大规模资源池化、资源弹性、按需分配、自动化部署、高可靠性、高运营效率及技术和IT的高透明度。云计算平台的实现主要包括两个方式：虚拟化构成的云和应用程序/效劳器构成的云，其中后者的平安防护与传统方式根本一样，不再赘言，这里主要对虚拟化构成的云进展讨论。目前，计算虚拟化已经成熟，并为组织所广泛采用，如VMware vSphere、Citri* *en等。另外
7、，一些用户开场尝试采用SDN、NFV等新型技术，旨在通过软件控制方式解决现网中遇到的存储、网络不能自动部署和分权分域管理问题。云计算系统分类根据NIST发布的相关规，云计算系统按照部署方法可分为私有云、公有云、社区云、混合云。为了便于说明，以下容将主要以私有云为例进展说明。云计算系统所采用虚拟化技术的不同，对平安防护设计和部署具有一定影响。根据有无才采用SDN、NFV技术，可分为两类：原生虚拟化系统和基于SDN技术的虚拟化系统。如无特别说明，下述描述均指原生虚拟化系统。云计算系统典型物理架构下列图给出了一个典型的云计算系统的典型架构。图Error! No text of specified s
8、tyle in document.1云典型架构云计算系统通常具有以下特征： 核心交换机一般采用高性能数据中心级交换机搭建，支持虚拟化技术，并提供Internet、部网络、外部专用网络的接入。通过会聚交换机支持虚拟化提供*86效劳器、小型机等效劳器的接入。 与互联网相关，可以提供VPN接入，外发访问，以及公众用户对云的访问。 与部网络一样，可以提供部用户对云的访问，以及和部其他系统进展信息交互。 都有大量的刀片式效劳器，并通过虚拟化软件，实现对计算资源的抽象和池化。 具有SAN、NAS存储系统。具有独立的存储网络。 具有独立的综合管理平台，实现对云的运营管理。 具有带外网管系统，实现对整个云的运
9、维管理。云计算系统逻辑构造云计算系统一般都包括三个层次两个平台：根底设施即效劳(IaaS)、平台即效劳PaaS、云软件即效劳SaaS、云管理平台和运维管理平台。如下列图所示：图Error! No text of specified style in document.2云典型逻辑构造简单说明如下： 根底设施即效劳层IaaS：包括了各种效劳器、存储、网络设备、链路等各种物理资源，以及虚拟化管理程序和对外提供效劳的接口。可以基于此层对外提供虚拟主机效劳； 平台即效劳层PaaS：包括了各种系统、平台、应用软件，可以提供给用软件的开发、测试、部署和运营环境； 软件即效劳SaaS：包括各一系列的应用软件
10、，以及提供各客户/用户使用的交互展示程序。可以通过网络向用户交付相应的应用效劳； 云管理平台：负责云计算效劳的运营，并对云计算资源池系统及其中的各类资源进展集中管理，主要功能包括云效劳开通、用户管理、计价管理等功能。通常云管理平台通过与资源池系统之间的资源管理接口下发资源管理指令，并通过网管接口向云维管理平台网管系统提供资源池系统各类设备的管理和监控信息； 运维管理平台：实现对虚拟设备、系统、网络的技术维护和管理工作，包括容量、配置和事件管理等功能。一般通过带外网络与各种资源进展互联二 云计算平安威胁和需求分析云计算模式通过将数据统一存储在云计算效劳器中，加强对核心数据的集中管控，比传统分布在
11、大量终端上的数据行为更平安。由于数据的集中，使得平安审计、平安评估、平安运维等行为更加简单易行，同时更容易实现系统容错、高可用性和冗余及灾备恢复。但云计算在带来方便快捷的同时也带来新的挑战。平安威胁分析CSA在2013年的报告中列出了九大平安威胁。依排序分别为1.数据泄露 2.数据丧失 3.*劫持 4.不平安的接口API 5.拒绝效劳攻击DDoS 6.部人员的恶意操作 7.云计算效劳的滥用 8.云效劳规划不合理 9.共享技术的漏洞问题。把云计算环境下的平安威胁细化，并按云计算环境下等级保护的根本要求进展对应，可得到如下的云计算环境下的具体平安威胁： 网络平安局部 业务顶峰时段或遭遇DDoS攻击
12、时的大流量导致网络拥堵或网络瘫痪 重要网段暴露导致来自外部的非法访问和入侵 单台虚拟机被入侵后对整片虚拟机进展的渗透攻击，并导致病毒等恶意行为在网络传播蔓延 虚拟机之间进展的ARP攻击、嗅探 云网络带宽的非法抢占 重要的网段、效劳器被非法访问、端口扫描、入侵攻击 云平台管理员因账号被盗等原因导致的从互联网直接非法访问云资源 虚拟化网络环境中流量的审计和监控 部用户或部网络的非法外联行为的检查和阻断 部用户之间或者虚拟机之间的端口扫描、暴力破解、入侵攻击等行为 主机平安局部： 效劳器、宿主机、虚拟机的操作系统和数据库被暴力破解、非法访问的行为 对效劳器、宿主机、虚拟机等进展操作管理时被窃听 同一
13、个逻辑卷被多个虚拟机挂载导致逻辑卷上的敏感信息泄露 对效劳器的Web应用入侵、上传木马、上传webshell等攻击行为 效劳器、宿主机、虚拟机的补丁更新不及时导致的漏洞利用以及不平安的配置和非必要端口的开放导致的非法访问和入侵 虚拟机因异常原因产生的资源占用过高而导致宿主机或宿主机下的其它虚拟机的资源缺乏 资源抽象平安局部 虚拟机之间的资源争抢或资源缺乏导致的正常业务异常或不可用 虚拟资源缺乏导致非重要业务正常运作但重要业务受损 缺乏身份鉴别导致的非法登录hypervisor后进入虚拟机 通过虚拟机漏洞逃逸到hypervisor，获得物理主机的控制权限 攻破虚拟系统后进展任易破坏行为、网络行为
14、、对其它账户的猜解，和长期潜伏 通过hypervisor漏洞访问其它虚拟机 虚拟机的存和存储空间被释放或再分配后被恶意攻击者窃取 虚拟机和备份信息在迁移或删除后被窃取 hypervisor、虚拟系统、云平台不及时更新或系统漏洞导致的攻击入侵 虚拟机可能因运行环境异常或硬件设备异常等原因出错而影响其他虚拟机 无虚拟机快照导致系统出现问题后无法及时恢复 虚拟机镜像遭到恶意攻击者篡改或非法读取 数据平安及备份恢复 数据在传输过程中受到破坏而无法恢复 在虚拟环境传输的文件或者数据被监听 云用户从虚拟机逃逸后获取镜像文件或其他用户的隐私数据 因各种原因或故障导致的数据不可用 敏感数据存储漂移导致的不可控
15、 数据平安隔离不严格导致恶意用户可以访问其他用户数据为了保障云平台的平安，必须有有效的抵御或消减这些威胁，或者采取补偿性的措施降低这些威胁造成的潜在损失。当然，从平安保障的角度讲，还需要兼顾其他方面的平安需求。平安需求和挑战从风险管理的角度讲，主要就是管理资产、威胁、脆弱性和防护措施及其相关关系，最终保障云计算平台的持续平安，以及其所支撑的业务的平安。云计算平台是在传统IT技术的根底上，增加了一个虚拟化层，并且具有了资源池化、按需分配，弹性调配，高可靠等特点。因此，传统的平安威胁种类依然存在，传统的平安防护方案依然可以发挥一定的作用。综合考虑云计算所带来的变化、风险，从保障系统整体平安出发，其面临的主要挑战和需求如下： 法律和合规 动态、虚拟化网络边界平安 虚拟化平安 流量可视化
