公有云环境下等级保护解决方案二级

《公有云环境下等级保护解决方案二级》由会员分享，可在线阅读，更多相关《公有云环境下等级保护解决方案二级（29页珍藏版）》请在金锄头文库上搜索。

1、云安全服务&云安个生.态云服每提供商账&认证授权市计堂 I：象ECSRDS OSS Max ComputeH-W :，作惆： 做格区啊Region；可用由AZ）骨F网埠1.1云环境WEB系统等级保护建设（二级）1.1.1 云模式下的安全保障体系建设对于不同的云建设模式（白行建设模式或购买服务模式），在安全保障体系的建设上的区别体现在安全建设责任主体的区分。当使用购买服务模式时，安全建设的责任主体会区分为“云服务商”和“云租户” 两部分；而白行建设模式中，并没有“云服务商”的概念存在，安全建 设的责任主体是用户白身。本次等保是基于公有云系统建设，在安全保障体系建设上应有“云 服务商”和“云租户”

2、共同来承担和建设，“云服务商”确保云服务平 台的安全性，“云租户”负责基于“云服务商”提供的服务构建业务应 ?系统的安全。数据认应用客户 |权主机（虚换机）渊济（虚拟网绪）根据GB/T22239.2信息安全技术网络安全等级保护基本要求第 2部分：云计算安全扩展要求的要求。对于云环境下业务系统的建设 的责任划分如下表所示：层面安全要求安全组件责任主体物理和环境安全物理位置选择数据中心及物理设施云服务方网络和通信安全网络结构、访问控制、远程访问、入侵防氾、安全申计物理网络及附属设备、虚拟网络管理平台云服务方云租户虚拟网络安全域云租户设备和计算安全身份鉴别、访问控 制、安全审计、入 侵防范、恶意代码

3、 防范、资源控制、 镜像和快照保护物理网络及附属设备、虚拟网络管理平 台、物理宿主机及附属设备、虚拟机管 理平台、镜像等云服务方云租户虚拟网络设备、虚拟安全设备、虚拟机等云租户应用和数据安全安全审计、资源控 制、接口安全、数 据完整性、数据保 密性、数据备份恢 复云管理平台（含运维和运宫）、镜像、快照等云服务方云租户应用系统及相关软件组件、云租 户应用系统配置、云租户业务相关数据 等云租户安全策略和管理制度授权和审批授权和审批流程、文档等云租户安全管理机构和人员授权和审批授权和审批流程、文档等云租户系统安全建设管理安全方案设计、测试验收、云服务商选择、供应链管理玄计算平台接口、安全措施、供应链

4、管 理流程、安全事件和重要变更信息云租户云服务商选择及管理流程云租户层面安全要求安全组件责任主体系统安全运维管理监控和审计管理监控和审计管理的相关流程、策略和数据云租户1.1.2云等保建设流程系统定级本次信息系统按照信息安全等级保护管理办法和网络安全等 级保护定级指南，初步确定定级对象的安全保护等级，已起草的网 络安全等级保护定级报告中指出三级以上系统，定级结论需要进行专 家评审。系统备案信息系统安全保护等级为第二级以上时，备案时应当提交网络安 全等级保护备案表和定级报告；第三级以上系统，还需提交专家评审 意见、系统拓扑和说明、安全管理制度、安全建设方案等。建设整改依据网络安全等级保护基本要求

5、，利用白有或第三方的安全产 品和专家服务，对信息系统进行安全建设和整改，同时制定相应的安全 管理制度；等保测评运营使用单位应当选择合适的测评机构，依据网络安全等级保护 测评要求等技术标准，定期对信息系统安全等级状况开展等级测评。监督检查公安机关及其他监管部门会在整个过程中，履行相应的监管、审核 和检查等职责。1.1.3等保二级建设方案设计网络安全拓扑安全服务（人工K务）安全融安全扪周A)|A AAA.WPWAF5LB归做街业Hj5岭-2|A向浏 Cg ROSVP1.1.4.1 物理和环境安全选择已经通过“等保三级”的云服务商。在包括机房供电、温湿度 控制、防风防雨防雷措施等，可直接复用已经通过

6、云服务商的测评结论。（不考虑未通过等保测评的云平台服务商）1.1.4.2 网络和通信安全网络架构：应划分不同的网络区域，并按照方便管理和控制的原则 为各网络区域分配地址；访问控制：应在网络边界或区域之间根据访问控制策略设置访问控 制规则，默认情况下除允许通信外受控接口拒绝所有通信；应能根据会 话状态信息为进出数据流提供明确的允许/拒绝访问的能力，控制粒度 为端口级；通信传输：应采用校验码技术或加解密技术保证通信过程中数据的 完整性；边界防护：应保证跨越边界的访问和数据流通过边界防护设 备提供的受控接口进行通信；入侵防范：应在关键网络节点处检测、防止或限制从外部发起的网 络攻击行为；当检测到攻击

7、行为时，记录攻击源 IP、攻击类型、攻击目 的、攻击时间，在发生严重入侵事件时应提供报警；安全审计：应在网络边界、重要网络节点进行安全审计，审计覆盖 到每个用户，对重要的用户行为和重要安全事件进行审计；方案设计思路:1. 根据服务器角色和重要性，对网络进行安全域划分;2. 在内外网的安全域边界设置访问控制策略，并要求配置到具体的端口 ；3. 在网络边界处应当部署入侵防范手段，防御并记录入侵行为；4. 对网络中的用户行为日志和安全事件信息进行记录和审计；安全方案设计:御pA A A A A防火埼使全组T1防火墙使全组-N（物理和环境安全设计）1. 使用云服务商的VPC网络和云防火墙/安全组对网络

8、进行安全 域划分并进行合理的访问控制；把每个业务系统都划分在一个 独立的安全组内，确保各业务系统安全隔离。2. 使用Web应用防火墙防范网络入侵行为3. 使用态势感知的日志功能对网络行为日志和安全事件进行记录 分析和审计；4. 使用DDo韵防IP进行异常流量过滤和清洗，保证业务系统连 续性和高可用性。1.1.4.3 设备和计算安全身份鉴别：应对登录的用户进行身份标识和鉴别，身份标识具 有唯一性；访问控制：应根据管理用户的角色建立不同账户并分配权限， 仅授予管理用户所需的最小权限，实现管理用户的权限分离； 安全审计：应启用安全审计功能，审计覆盖到每个用户，对重 要的用户行为和重要安全事件进行审计

9、；入侵防范：应能够检测到对重要节点进行入侵的行为，并在发 生严重入侵事件时提供报警。恶意代码防范：应采用免受恶意代码攻击的技术措施或采用可 信计算技术建立从系统到应用的信任链，实现系统运行过程中 重要程序或文件完整性检测，并在检测到破坏后进行恢复。方案设计思路：1. 避免账号共享、记录和审计运维操作行为是最基本的安全要求；2. 必要的安全手段保证系统层安全，防范服务器入侵行为；安全方案设计:防火墙役全组1 :防火墙/安全组-N（设备和计算安全设计）1. 使用云堡垒机、云数据库审计对服务器和数据的操作行为进行 审计，同时为每个运维人员建立独立的堡垒机账号，避免账号 共享。2. 使用主机安全系统对

10、服务器进行完整的漏洞管理、基线检查和 入侵防御；1.1.4.4 应用和数据安全身份鉴别：应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，鉴别信息具有复杂度要求；访问控制：应授予不同帐户为完成各白承担任务所需的最小权限，并在它们之间形成相互制约的关系； 安全审计：应提供安全审计功能，审计覆盖到每个用户，对重 要的用户行为和重要安全事件进行审计；数据完整性：应采用校验码技术或加解密技术保证重要数据在传输过程中的完整性和保密性；数据备份恢复：应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；方案设计思路：1. 根据等保合规技术要求对业务系统在系统设计阶段，完成系统 的身份鉴别、

11、访问控制和操作审计等功能；2. 数据的完整性和保密性，除了在其他层面进行安全防护以外， 加密是最为有效的方法；3. 数据的异地备份是等保三级区别于二级最重要的要求之一，是 实现业务连续最基础的技术保障措施。安全方案设计：（应用和数据安全设计）1. 在应用开发之初，就应当考虑应用本身的身份鉴别、访问控制和安全审计等功能；对已经上线的系统，通过增加账号认证、 用户权限区分和日志审计等功能设计满足等保要求；2. 数据备份，推荐使用RD郭异地容灾实例白动实现数据备份, 亦可以将数据库备份文件手工同步到云服务商其他地区的服务 器。安全策略和管理制度：应形成由安全策略、管理制度、操作规 程、记录表单等构成

12、的全面的信息安全管理制度体系。安全管理机构和人员：应成立指导和管理信息安全工作的委员 会或领导小组，其最高领导由单位主管领导委任或授权。安全建设管理：应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，并形成配 套文件；安全运维管理：应采取必要的措施识别安全漏洞和隐患，对发 现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补；方案设计思路：1. 安全策略、制度和管理层人员，是保证持续安全非常重要的基 础。策略指导安全方向，制度明确安全流程，人员落实安全责任。2. 等保要求提供了一种方法论和最佳实践，安全可以按照等保的 方法论进行持续的建设和管理。3. 安

13、全策略、制度和管理层人员，需要业务实际情况，进行梳理、 准备和落实，并形成专门的文件。推荐使用安全企业的人工4. 漏洞管理过程中需要用到的技术手段, 安全服务快速发现云上系统漏洞，及时处理。安全策略和管理制度安全策略是信息安全保障体系的灵魂和核心， 一个良好的策略体系 可以维持整个信息安全保障体系白动的进行良性循环， 不断的完善信息 安全保障体系。序 号管理项管理措施1安全管理 策略制定总体方针和安全策略，说明机构安全工作的总体目 标、范围、原则和安全框架等。2安全管理 制度对安全管理活动中的各类管理内容建立安全管理制度， 对管理人员/操作人员执行的日常管理操作建立操作规程。还应形成由安全策略

14、、管理制度、操作规程、记录表单 等构成的全面的信息安全管理制度体系。3制定和发布安全策略和制度的制定应由信息安全工作小组和专家小 组共同完成，由安全管理委员会正式发布。同时应进行版本 控制，当系统出现变更时，策略或制度的变化应得以体现。4评审和修订安全管理委员会应定期组织对安全管理制度的合理性和适用性的论证和评审，尤其是当系统 /云平台出现重大变更 后，更应及时对不合时宜的、存在不足的或需要改进的安全 管理制度进行修订。1.1.5.2安全管理结构和人员信息安全管理组织和人员的管理原则应包括：1.获取项目领导小组、各租户高层领导的足够重视，保证安全管理组织建设的顺利推进；2.提高整体员工的安全意识和技能，从广泛的人员视角上和纵深的层次上杜绝安全事件的发生；3. 需要不同的相关参与部门共同参与，制定不同角色和分工，从而保障安全管理的协调统一。号管理项管理措施1授权和审批租尸和云服务商应协作，明确授权审批事项、批准人等。针 对系统变更、重要操作、物理访1可和系统接入等事项，建立审批 程序，按照程序执行审批过程。对重要的活动应建立逐级审批制 度。应定期审查审批事项， 及时更新需授权和审批的项目、审批部门和审批人的信息。2沟通和合