《CSA云计算安全技术要求IaaS安全技术要求表格版》由会员分享，可在线阅读，更多相关《CSA云计算安全技术要求IaaS安全技术要求表格版（11页珍藏版）》请在金锄头文库上搜索。
1、CSA云计算安全技术要求-laaS安全技术要求控制域基本要求增强要求访问层 安全网络访问安全a）应支持保护用户访问云计算中的资源时通信消息的完整性和机密性的能力；b）应支持用户访问云计算中的资源前通过用户鉴别和鉴权的能力；/API访问安全a）应支持服务API调用前进行用户鉴别和鉴权的能力；b） 应支持涉及租户资源操作的服务 API调用前验证租户凭证的能力；c）应支持用户调用服务API的访问控制能力；d） 应支持服务API接的防范重放、代码注入、DoS/DDoS等攻击的能力；e）应支持服务API接安全传输能力；f）应支持服务API接过载保护能力，要求实现不冋服务等级用户间业务的公平性和系统 整体
2、处理能力的最大化；g）应支持服务API的调用日志记录能力。/Web访问安全a）应支持Web代码安全机制的能力，包括对输入输出进仃有效性检杳，以及米取防范认证漏洞、权限漏洞、会话漏洞、Web服务漏洞、注入漏洞等代码漏洞的措施；b）应支持对用户通过Web访冋资源进行访冋控制的能力；c）应支持Web远程访冋安全传输的能力。/资源层 安全物理资 源安全物理与环境安全参考业界最佳实践基础硬件安全a）应支持物理主机外设管理的能力；b）应支持硬件部分损坏情况下数据恢复的能力。a）应支持检测服务器或存储设备硬件发生变更 并予以提示的能力网络安 全网络架构 安全a）应支持绘制与当前运行情况相符的网络拓扑结构图，
3、支持对网络拓扑进行实时更新和集中 监控的能力；b）应支持划分为不冋的网络区域，并且不冋区域之间实现逻辑隔离能力；c）应支持云计算平台管理网络与业务网络逻辑隔离的能力；d）应支持云计算平台业务网络和管理网络与租户私有网络逻辑隔离能力；e）应支持云计算平台业务网络和管理网络与租户业务承载网络逻辑隔离的能力；f）应支持租户业务承载网络与租户私有网络逻辑隔离的能力；g）应支持网络设备（包括虚拟化网络设备）和安全设备业务处理能力弹性扩展能力；h）应支持高可用性部署，在一个区域出现故障（包括自然灾害和系统故障）时，a）应支持指定带宽分配优先级别的能力；b）应支持虚拟化网络边界的访冋控制；c）应支持区域边界
4、的双向访冋控制，控制 从内往外和从外往内流量的能力。自动将业务转离受影响区域的能力。网络边界 安全a）应支持对进出云计算平台业务网络和管理网络的信息进行过滤的能力；b）应支持对云计算平台管理网络最大流量及单用户网络连接数的限制能力；c）应支持对云计算平台管理员访问管理网络的访问控制能力；d） 应支持对云计算平台业务网络和管理网络的非法连接检测及阻断能力；（注：非 法连接包括从外部网络非法连接到内部网络，以及从内部网络非法连接到外部网络两种情况）e） 应支持对网络边界管理设备受控接口ACL策略支持自动化更新能力；f）应支持对恶意虚拟机的隔离能力，支持阻断恶意虚拟机与外部网络以及和其他虚拟机的通
5、信能力；g）应支持对云计算平台DDoS攻击防护的能力；h）应支持对Web应用漏洞进行检测和防护的能力；i）应支持网络边界流量监控、攻击和入侵行为检测的冃能力；j）应支持对恶意代码进行检测和处置的能力；k）应支持在不冋安全等级的区域之间通信时米用安全传输的能力。a）应支持接入第二方安全产品或服务进行不同网络区域之间、租户网络之间的网络安 全防护能力；b）应支持对云计算平台内部虚拟机发起的攻 击检测与防护能力，检测出发起攻击的 虚拟 机，并能记录攻击类型、攻击时间、攻 击流量 等。（注：内部虚拟机发起的攻击，包括对云计算平台业务网络、管理网络、租户 业务承载网络、其他租户私有网络、外部网络 等发起
6、的攻击）网络授权 及审计a）应支持对网络设备（包括虚拟化网络设备）的管理员登录地址进行限制的能力；b）应支持登录网络设备（包括虚拟化网络设备）失败处理的能力；c）应支持网络设备（包括虚拟化网络设备）管理员登录采用两种或两种以上组合的鉴别技 术来进行身份鉴别能力；d）应支持对网络设备（包括虚拟化网络设备）远程管理时采用安全传输能力；e）应支持对网络设备（包括虚拟化网络设备）远程管理时特权命令进行限制的能力；f）应支持对网络设备（包括虚拟化网络设备）管理员权限最小化的能力；g）应支持对网络设备（包括虚拟化网络设备）管理员登录时用户标识唯一能力；h） 应支持区域边界处的网络设备（包括虚拟化网络设备）
7、和安全设备的日志记录、审计 报表能力/虚拟资 源安全资源管 理平台 安全计算资源 管理平台 安全a）应支持对代码进行安全测试并进行缺陷修复的能力；b）应支持限制虚拟机对物理资源的直接访问，支持对物理资源层的调度和管理均受虚拟机监 视器控制的能力；c）应支持对计算资源管理平台的攻击行为进行监测和告警的能力，检测到攻击行 为时，应能够记录攻击的源 IP、攻击的类型、攻击的目的、攻击的时间；d）应支持最小安装的原则，仅安装必要的组件和应用程序的能力；e）应支持禁用无需使用的硬件能力：a）应支持对核心软件源代码进行审查并 识别后门的能力；b）应支持重要程序安全启动的能力；（注：安全启动的软件应该是与预
8、期软件版本一 致，没有被篡改。）c）应支持对重要配置文件元整性检测的能力f） 应支持虚拟机和虚拟化平台间内部通信通道的受限使用能力;g）应支持组件间通信采用安全传输的能力；h）应支持管理命令采用安全传输的能力；i）应支持内核补丁更新、加固及防止内核提权的能力；j）应支持对恶意代码进行检测和处置的能力；k）应支持监视计算资源管理平台远程管理连接，中断未授权管理连接的能力；l）应支持对远程执行计算资源管理平台特权管理命令进行限制的能力；m）应支持资源监控的能力，资源监控的内容包括CPU利用率、带宽使用情况、内 存利用率、存储使用情况等；n）应支持系统过载保护，保障业务公平性和系统资源利用率最大化的
9、能力；0）应支持禁止计算资源管理平台管理员未授权操作租户资源的能力；（注：租户资源包括已分配给租户的网络、数据库、存储空间、租户虚拟机以及租户虚拟机上的OS、应用程序等。）p） 应支持计算资源管理平台镜像文件完整性保护的能力.d）应支持软件白名单的能力；e）应支持对非授权组件或设备（包括软件、硬件和固件）的检测，检测到非授权的 组 件或设备时应支持禁止其网络访问或对 其进行 隔离或告警的能力；f）应支持对重要程序运行状态下完整性保护 的能力；g）应支持虚拟机启动过程的完整性保护的能力；h）应支持虚拟机运行过程的完整性保护的能 力。存储资源 管理平台 安全L 丿J J U 丿 1 Z/zJ 1
10、1 1 1 1 U 丿J 1 1 丿 U 1 1 L PTJ/ 11-J rdtJ / U 9a）应支持对代码进行安全测试并进行缺陷修复的能力；b）应支持对攻击行为进行监测和告警的能力，检测到攻击行为时，能够记录攻击 的源IP、 攻击的类型、攻击的目的、攻击的时间；c）应支持组件间通信采用安全传输的能力；d）应支持管理命令采用安全传输的能力；e）应支持内核补丁更新、加固及防止内核提权的能力；f）应支持对恶意代码进行检测和处置的能力；g）应支持监视存储资源管理平台远程管理连接，发现未授权管理连接时中断连接的能力；h）应支持对远程执行存储资源管理平台特权管理命令进行限制的能力；i）应支持资源监控的
11、能力， 资源监控的内容包括CPU利用率、带宽使用情况、内 存利用率、存储使用情况等；j）应支持系统过载保护，保障业务公平性和系统资源利用率最大化的能力；k）应支持禁止平台管理员未授权操作租户资源的能力；l）应支持数据存储机密性保护的能力；m）应支持数据存储完整性保护的能力；n）应支持数据存储可用性保护的能力；0）应支持数据的异地备份和备份数据一致性的能力；a）应支持对核心软件源代码进行审查并识别 后门的能力；b）应支持对重要程序安全启动的冃匕力；（注：安全启动的软件应该是与预期软件版 本一致，没有被篡改的）c）应支持对重要配置文件元整性检测的能力；d）应支持对非授权组件或设备（包括软件、 硬件
12、和固件）的检测，检测到非授权的 组件或 设备时应支持禁止其网络访问或对 其进行隔离 或告警的能力。e）应支持软件白名单的能力；f）应支持对用户上传的数据进行加密的能 力；g）应支持对用户的密钥管理的能力；h）应支持对用户的密钥由租户自管理或 第三 方管理的能力；i）应支持数据多副本存储的能力，支持P）应支持租户访冋存储的安全传输的能力。不同副本数据至少分布存储在两个机架上；j）应支持异地备份的能力，支持自动跨集群 的数据同步能力；k）应支持存储层面的跨数据中心的冋步或异 步复制的能力。虚拟资 源空间 安全虚拟化计 算安全a） 应支持在虚拟机之间以及虚拟机与宿主机之间CPU安全隔离的能力，包括如
13、下 要求：1）在某个虚拟机发生异常（包括崩溃）后不影响其他虚拟机和宿主机；2）虚拟机不能访冋其他虚拟机或宿主机的CPU寄存器信息。b）应支持在虚拟机之间以及虚拟机与宿主机之间内存安全隔离的能力，包括如下要求：1）分配给虚拟机的内存空间，其他虚拟机和宿主机不能访冋；2）防止虚拟机占用过多内存资源，超过设定的规格，影响其他虚拟机正常运 行;3） 某个虚拟机发生异常（包括崩溃）后不影响其他虚拟机和宿主机；4）能够禁止虚拟机和其他虚拟机、宿主机之间拷贝或粘贴动作，如通过剪贴板 的共享和复制。c）应支持在虚拟机之间以及虚拟机与宿主机之间存储空间安全隔离的能力，包括如卜要求：1）分配给虚拟机的存储空间，其
14、他虚拟机和宿主机不能访问；2）防止虚拟机占用过多存储资源，超过设定规格，影响其他虚拟机正常运行；3） 某个虚拟机发生异常（包括崩溃）后不影响其他虚拟机和宿主机。d）应支持一个虚拟机逻辑卷冋一时刻只能被一个虚拟机挂载的能力：e）应支持根据租户所选择的服务级别进行虚拟机存储位置分配的能力；f）应支持实时的虚拟机监控，对虚拟机的运行状态、资源占用、迁移等信息进行监控和告警 的能力。a）应支持对虚拟机所在物理机范围进行指定或 限定的能力。虚拟化网 络安全a）应支持不冋租户的虚拟化网络之间安全隔离的能力；b）应支持租户的虚拟化网络与云计算平台的业务和管理网络之间安全隔离的能力，包括如 下要求：1）云计算
15、平台管理员，无法通过云计算平台的业务和管理网络访问租户私有网 络；2）租户无法通过私有网络访问云计算平台的业务和管理网络；3）租户无法通过私有网络访问宿主机。/c）应支持虚拟私有云VPC的能力，包括如下要求：1）租户完全控制VPC虚拟网络，包括能够选择自有IP地址范围、创建子网， 以及配置路由表和网关；2）租户可以在自己定义的VPC虚拟网络中启动云服务的资源，如虚拟机实例；3）对VPC的操作，如创建或删除VPC，变更路由、安全组和ACL策略等，需 要验证租户凭证。d）应支持VPC之间连接的能力，包括冋一个租户的不冋VPC之间和不冋租户VPC之间的 连接能力；e）应支持安全组，提供虚拟化网络安全隔离和
