云安全解決方案

曹瑞，劉新龍

（北京啟明星辰信息安全技術(shù)有限公司，北京 100193）

云安全解決方案

曹瑞，劉新龍

（北京啟明星辰信息安全技術(shù)有限公司，北京 100193）

云計(jì)算技術(shù)實(shí)現(xiàn)了信息和服務(wù)資源的共享共用，不同于傳統(tǒng)的安全防護(hù)對(duì)象，云平臺(tái)的邊界防護(hù)及內(nèi)部虛擬化網(wǎng)絡(luò)的防護(hù)將面臨嚴(yán)重的安全問(wèn)題。啟明星辰云安全能力整體框架由4大方面構(gòu)成：一是針對(duì)云上基礎(chǔ)服務(wù)安全防御、攻擊檢測(cè)的云安全保障；二是面向監(jiān)管的云安全監(jiān)管能力建設(shè)以及以此為基礎(chǔ)的云安全服務(wù)體系建設(shè)；三是保障云上核心數(shù)據(jù)安全的云數(shù)據(jù)安全；四是針對(duì)企業(yè)云接入終端的云安全接入。

云安全；云安全威脅；云數(shù)據(jù)安全；云安全解決方案；企業(yè)專有云

1 云計(jì)算概述

1.1 云計(jì)算服務(wù)

云計(jì)算服務(wù)是一種新興的計(jì)算資源利用方式，其核心業(yè)務(wù)模式是提供服務(wù)。根據(jù)GB/T 31167—2014《信息安全技術(shù)：云計(jì)算服務(wù)安全指南》（簡(jiǎn)稱安全指南）的定義，在云計(jì)算模式下客戶不需要投入大量資金去建設(shè)、運(yùn)維和管理自己專有的數(shù)據(jù)中心等基礎(chǔ)設(shè)施，只需要為動(dòng)態(tài)占用的資源付費(fèi)，即按需購(gòu)買(mǎi)服務(wù)[1]。

同時(shí)，安全指南還提出云計(jì)算服務(wù)具有按需自助服務(wù)、泛在接入、資源池化、快速伸縮性以及服務(wù)可計(jì)量等主要特征，并提供軟件即服務(wù)（SaaS）、平臺(tái)即服務(wù)（PaaS）以及基礎(chǔ)設(shè)施即服務(wù)（IaaS）3種服務(wù)模式。

（1）軟件即服務(wù)：在SaaS模式下，云服務(wù)商向客戶提供的是運(yùn)行在云基礎(chǔ)設(shè)施之上的應(yīng)用軟件?？蛻舨恍枰?gòu)買(mǎi)、開(kāi)發(fā)軟件，可利用不同設(shè)備上的客戶端（如Web瀏覽器）或程序接口通過(guò)網(wǎng)絡(luò)訪問(wèn)和使用云服務(wù)商提供的應(yīng)用軟件，如電子郵件系統(tǒng)、協(xié)同辦公系統(tǒng)等。客戶通常不能管理或控制支撐應(yīng)用軟件運(yùn)行的低層資源，如網(wǎng)絡(luò)、服務(wù)器、操作系統(tǒng)、存儲(chǔ)等，但可對(duì)應(yīng)用軟件進(jìn)行有限的配置管理。

（2）平臺(tái)即服務(wù)：在PaaS模式下，云服務(wù)商向客戶提供的是運(yùn)行在云基礎(chǔ)設(shè)施之上的軟件開(kāi)發(fā)和運(yùn)行平臺(tái)，如標(biāo)準(zhǔn)語(yǔ)言與工具、數(shù)據(jù)訪問(wèn)、通用接口等，客戶可利用該平臺(tái)開(kāi)發(fā)和部署自己的軟件。客戶通常不能管理或控制支撐平臺(tái)運(yùn)行所需的低層資源，如網(wǎng)絡(luò)、服務(wù)器、操作系統(tǒng)、存儲(chǔ)等，但可對(duì)應(yīng)用的運(yùn)行環(huán)境進(jìn)行配置，控制自己部署的應(yīng)用。

（3）基礎(chǔ)設(shè)施即服務(wù)：在IaaS模式下，云服務(wù)商向客戶提供虛擬計(jì)算機(jī)、存儲(chǔ)、網(wǎng)絡(luò)等計(jì)算資源，提供訪問(wèn)云基礎(chǔ)設(shè)施的服務(wù)接口?？蛻艨稍谶@些資源上部署或運(yùn)行操作系統(tǒng)、中間件、數(shù)據(jù)庫(kù)和應(yīng)用軟件等。客戶通常不能管理或控制云基礎(chǔ)設(shè)施，但能控制自己部署的操作系統(tǒng)、存儲(chǔ)和應(yīng)用，也能部分控制使用的網(wǎng)絡(luò)組件，如主機(jī)防火墻。

1.2 企業(yè)云技術(shù)架構(gòu)

企業(yè)專有云（簡(jiǎn)稱企業(yè)云）作為一個(gè)服務(wù)于企業(yè)的云計(jì)算平臺(tái)，具備通用云計(jì)算平臺(tái)所擁有的按需自助服務(wù)、泛在接入、資源池化、快速伸縮性以及服務(wù)可計(jì)量等主要特征，并可為各使用單位提供SaaS、PaaS及IaaS 3種服務(wù)模式。其典型的技術(shù)邏輯架構(gòu)可以概括為2縱3橫體系架構(gòu)，即2種體系3個(gè)層次：安全防護(hù)體系、管理服務(wù)體系，以及IaaS、PaaS、SaaS（見(jiàn)圖1）。其中，安全防護(hù)體系為基礎(chǔ)設(shè)施層、資源抽象與控制層、管理服務(wù)層提供相應(yīng)的安全防護(hù)及服務(wù)，包括云安全接入、云安全防護(hù)、云數(shù)據(jù)安全、云安全監(jiān)管及云安全服務(wù)等組件；管理服務(wù)體系為整個(gè)企業(yè)私有云平臺(tái)提供管理和運(yùn)維服務(wù)，包括資源管理、資源編排、資源監(jiān)控、計(jì)費(fèi)管理、流程管理、用戶管理，以及日志和報(bào)表管理等組件，用于滿足企業(yè)私有云平臺(tái)的運(yùn)營(yíng)管理維護(hù)需求。

1.3 政策法規(guī)和標(biāo)準(zhǔn)

云安全的相關(guān)政策法規(guī)和標(biāo)準(zhǔn)如下：

（1）ISO/IEC 27001—2013《信息技術(shù)：安全技術(shù)：信息安全管理體系要求》；

（2）ISO/IEC 27002—2013《信息技術(shù)：安全技術(shù)：信息安全控制實(shí)用規(guī)則》；

（3）GB/T 20984—2007《信息安全技術(shù)：信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》；

（4）GB/T 22239—2008《信息安全技術(shù)：信息系統(tǒng)安全等級(jí)保護(hù)基本要求》；

（5）《中華人民共和國(guó)網(wǎng)絡(luò)安全法（草案）》；

（6）《關(guān)于加強(qiáng)黨政部門(mén)云計(jì)算服務(wù)網(wǎng)絡(luò)安全管理的意見(jiàn)》（中網(wǎng)辦發(fā)文［2014］14號(hào)）；

（7）《國(guó)務(wù)院關(guān)于促進(jìn)云計(jì)算創(chuàng)新發(fā)展培育信息產(chǎn)業(yè)新業(yè)態(tài)的意見(jiàn)》（國(guó)發(fā)［2015］5號(hào)）；

（8）GB/T 31167—2014《信息安全技術(shù)云計(jì)算服務(wù)安全指南》；

（9）GB/T 31168—2014《信息安全技術(shù)：云計(jì)算服務(wù)安全能力要求》。

2 安全威脅分析

圖1 企業(yè)云平臺(tái)技術(shù)邏輯架構(gòu)

2.1 企業(yè)云面臨的問(wèn)題

雖然國(guó)內(nèi)企業(yè)云建設(shè)和發(fā)展面臨難得的機(jī)遇，但在具體建設(shè)過(guò)程中也存在一些突出問(wèn)題，特別是信息安全問(wèn)題。如果不能通過(guò)有效手段予以解決，甚至?xí){到國(guó)家安全。

與其他云計(jì)算環(huán)境一樣，企業(yè)云也面臨著網(wǎng)絡(luò)安全惡意攻擊、破壞、數(shù)據(jù)泄露等安全威脅，特別是在數(shù)據(jù)管理權(quán)與所有權(quán)分離的狀態(tài)下，應(yīng)用和數(shù)據(jù)高度集中，這些問(wèn)題顯得更加突出，總體包括以下3個(gè)方面：

（1）法律法規(guī)和標(biāo)準(zhǔn)不健全。當(dāng)前國(guó)內(nèi)缺乏完善的云計(jì)算服務(wù)平臺(tái)建設(shè)規(guī)范和信息安全管理規(guī)范，傳統(tǒng)的等級(jí)保護(hù)制度在云計(jì)算環(huán)境中無(wú)法完全適用，而健全的云計(jì)算安全法律法規(guī)可以從管理上最大限度地降低安全隱患。

（2）虛擬化環(huán)境的安全威脅。從技術(shù)層面上講，云計(jì)算與傳統(tǒng)IT環(huán)境最大的區(qū)別在于其虛擬的計(jì)算環(huán)境，當(dāng)前國(guó)內(nèi)云服務(wù)商的虛擬化核心技術(shù)及安全技術(shù)比較欠缺，新形態(tài)的安全技術(shù)產(chǎn)品還沒(méi)有發(fā)展起來(lái)。這對(duì)于云計(jì)算環(huán)境下多用戶間資源的隔離及安全防護(hù)是一個(gè)新的挑戰(zhàn)。

（3）數(shù)據(jù)與應(yīng)用集中帶來(lái)的風(fēng)險(xiǎn)。云計(jì)算具備2個(gè)核心要素，一是大集中，把數(shù)據(jù)和應(yīng)用集中在云端；另一個(gè)是把資源以服務(wù)的形式發(fā)布交付。這種規(guī)模化的效應(yīng)對(duì)云計(jì)算的可用性和安全性都帶來(lái)了極大挑戰(zhàn)，數(shù)據(jù)集中后，如果受到惡意攻擊或破壞，其產(chǎn)生的安全威脅規(guī)模和影響會(huì)更深遠(yuǎn)。

2.2 CSA云安全威脅報(bào)告

云安全聯(lián)盟（Cloud Security Alliance，CSA）作為業(yè)界權(quán)威組織，致力于在云計(jì)算環(huán)境下為業(yè)界提供最佳安全解決方案。其發(fā)布的《云計(jì)算關(guān)鍵領(lǐng)域安全指南》在業(yè)界最為熟知，該指南從架構(gòu)、治理和實(shí)施3個(gè)部分、14個(gè)關(guān)鍵域?qū)υ瓢踩M(jìn)行深入闡述。

CSA發(fā)布的2016年“十二大云安全威脅”報(bào)告指出云環(huán)境下的安全威脅[2]包括：（1）數(shù)據(jù)泄露；（2）身份驗(yàn)證和憑證被盜；（3）界面和應(yīng)用程序編程接口（API）安全；（4）系統(tǒng)漏洞問(wèn)題；（5）賬戶劫持；（6）內(nèi)部惡意人員；（7）高級(jí)持續(xù)性威脅（APT）寄生蟲(chóng)；（8）永久的數(shù)據(jù)丟失；（9）缺乏盡職調(diào)查；（10）云服務(wù)濫用；（11）拒絕服務(wù)攻擊；（12）共享技術(shù)&共享危險(xiǎn)。

3 安全需求分析

3.1 云安全保障需求

云計(jì)算技術(shù)實(shí)現(xiàn)了信息和服務(wù)資源的共享共用，不同于傳統(tǒng)的安全防護(hù)對(duì)象，云平臺(tái)的邊界防護(hù)及內(nèi)部虛擬化網(wǎng)絡(luò)的防護(hù)將面臨嚴(yán)重的安全問(wèn)題。因此要保證云環(huán)境的正常運(yùn)行，需要在云平臺(tái)的物理邊界及內(nèi)部虛擬化網(wǎng)絡(luò)中部署訪問(wèn)控制、攻擊行為感知、網(wǎng)絡(luò)行為感知等安全保障能力，同時(shí)輔以能夠?qū)υ骗h(huán)境中重要業(yè)務(wù)系統(tǒng)進(jìn)行脆弱性感知的安全能力，以有效阻擋黑客及不法組織的非法破壞。

3.2 云安全監(jiān)管與服務(wù)需求

云計(jì)算獨(dú)具特色的服務(wù)提供方式必將帶來(lái)新技術(shù)的應(yīng)用，隨著新技術(shù)的產(chǎn)生必將帶來(lái)多種安全挑戰(zhàn)。因此要精確掌握并有效呈現(xiàn)現(xiàn)有云上資產(chǎn)、脆弱性狀態(tài)和安全威脅，實(shí)現(xiàn)對(duì)海量安全數(shù)據(jù)進(jìn)行分析并依托分析結(jié)果進(jìn)行預(yù)判，達(dá)到提前防御和治理的目標(biāo)，因而需要全面圍繞云安全保障體系構(gòu)建云安全服務(wù)的態(tài)勢(shì)感知能力。

同時(shí)，云環(huán)境新的技術(shù)方式也導(dǎo)致需要專業(yè)對(duì)口的安全人員對(duì)云環(huán)境網(wǎng)絡(luò)的生態(tài)安全提供針對(duì)性的支撐服務(wù)，諸如測(cè)試、檢查、維護(hù)、分析、評(píng)估等必要的工作內(nèi)容。由安全團(tuán)隊(duì)綜合運(yùn)用態(tài)勢(shì)感知系統(tǒng)提供的安全感知、分析能力，才能有效保障云安全體系的正常運(yùn)行。

3.3 云數(shù)據(jù)安全需求

云平臺(tái)的一個(gè)關(guān)鍵特征是其服務(wù)通過(guò)網(wǎng)絡(luò)提供，所有業(yè)務(wù)數(shù)據(jù)都依托于虛擬化技術(shù)存放在云端。由于云計(jì)算是分布式的，并且為提高資源使用效率，用戶之間可能共用計(jì)算或存儲(chǔ)資源，導(dǎo)致數(shù)據(jù)在存儲(chǔ)、傳輸?shù)确矫婷媾R嚴(yán)峻的考驗(yàn)。如果用戶之間安全隔離限制不夠完善或被惡意用戶進(jìn)行攻擊，將導(dǎo)致數(shù)據(jù)安全受到嚴(yán)重威脅。在云計(jì)算環(huán)境下，必須確保不對(duì)用戶數(shù)據(jù)帶來(lái)風(fēng)險(xiǎn)的同時(shí)，又提供必要的數(shù)據(jù)管理支持，以便協(xié)助監(jiān)管方及用戶對(duì)數(shù)據(jù)的存儲(chǔ)和傳輸進(jìn)行安全和準(zhǔn)確的審計(jì)，并對(duì)數(shù)據(jù)進(jìn)行相關(guān)的敏感性處理。

同時(shí)，云平臺(tái)數(shù)據(jù)被高度集中，形成了各種業(yè)務(wù)系統(tǒng)建設(shè)的前提，在使用大數(shù)據(jù)技術(shù)建設(shè)業(yè)務(wù)系統(tǒng)的過(guò)程中，新的技術(shù)方式也給數(shù)據(jù)安全帶來(lái)了新的挑戰(zhàn)。針對(duì)大數(shù)據(jù)技術(shù)不完善的安全策略，身份認(rèn)證及訪問(wèn)控制機(jī)制等安全薄弱環(huán)節(jié)的，將給入侵者、越權(quán)者帶來(lái)可乘之機(jī)。

3.4 云安全接入需求

云環(huán)境可以提供包括計(jì)算機(jī)終端和移動(dòng)智能終端在內(nèi)的多種接入方式，在數(shù)據(jù)整合及共享的前提下，云環(huán)境對(duì)接入終端的身份合法性、自身系統(tǒng)安全性、終端合規(guī)性、數(shù)據(jù)安全性等幾方面都需要在云環(huán)境中部署相應(yīng)的軟硬件安全產(chǎn)品，同時(shí)對(duì)終端本身進(jìn)行加固與防護(hù)，甚至對(duì)終端接入APP的發(fā)布渠道進(jìn)行監(jiān)測(cè)。

同時(shí)，由于云環(huán)境下不可避免的用戶遠(yuǎn)程接入性質(zhì)，在接入傳輸線路的加密能力上也提出更高的要求。

4 云安全能力整體框架

啟明星辰云安全能力整體框架由4大方面構(gòu)成：一是針對(duì)云上基礎(chǔ)服務(wù)安全防御、攻擊檢測(cè)的云安全保障；二是面向監(jiān)管的云安全監(jiān)管能力建設(shè)以及以此為基礎(chǔ)的云安全服務(wù)體系建設(shè)；三是保障云上核心數(shù)據(jù)安全的云數(shù)據(jù)安全；四是針對(duì)企業(yè)云接入終端的云安全接入。云安全能力整體框架見(jiàn)圖2。

圖2 云安全能力整體框架

4.1 云安全保障

云安全保障關(guān)注企業(yè)云平臺(tái)在基礎(chǔ)安全保障方面需求的實(shí)現(xiàn)，以及安全能力如何與云平臺(tái)的結(jié)合。云安全保障能力由3部分組成（見(jiàn)圖3）。

圖3 云安全保障能力

第一部分是企業(yè)云邊界的安全防護(hù)能力，重點(diǎn)關(guān)注對(duì)云平臺(tái)接入邊界的網(wǎng)絡(luò)流量中攻擊數(shù)據(jù)的控制、檢測(cè)；在企業(yè)云出口，關(guān)注惡意代碼、入侵攻擊、信息竊取、拒絕服務(wù)等攻擊行為的發(fā)生，需要針對(duì)企業(yè)云上的業(yè)務(wù)系統(tǒng)提供相應(yīng)的防護(hù)能力。

第二部分是針對(duì)云上的業(yè)務(wù)防護(hù)，采用啟明星辰軟件定義安全框架來(lái)實(shí)現(xiàn)云環(huán)境下基礎(chǔ)安全能力的部署，借助虛擬化的優(yōu)勢(shì)實(shí)現(xiàn)自適應(yīng)的安全體系架構(gòu)，可以實(shí)現(xiàn)云上的安全能力根據(jù)業(yè)務(wù)安全需求進(jìn)行動(dòng)態(tài)調(diào)整，實(shí)現(xiàn)更加智能化的安全。軟件定義安全框架由3個(gè)組件構(gòu)成：第一個(gè)組件是用以驅(qū)動(dòng)云上數(shù)據(jù)轉(zhuǎn)發(fā)的智慧流平臺(tái)，目前已經(jīng)可以采用虛擬導(dǎo)流、軟件定義網(wǎng)絡(luò)（SDN）等方式進(jìn)行流量轉(zhuǎn)發(fā)，進(jìn)行企業(yè)云南北向、東西向流量的靈活調(diào)度，進(jìn)行網(wǎng)絡(luò)流量的分析和控制；第二個(gè)組件是安全資源池，啟明星辰Vetrix平臺(tái)實(shí)現(xiàn)安全設(shè)備的資源管理，Vetrix安全資源平臺(tái)由各種物理形態(tài)或虛擬形態(tài)的網(wǎng)絡(luò)安全設(shè)備組成，兼容各廠商的安全系統(tǒng)；第三個(gè)組件是管理控制中心，安全資源池內(nèi)的安全系統(tǒng)不再采用單獨(dú)部署、各自為政的工作模式，而是由管理中心統(tǒng)一部署、管理、調(diào)度，以實(shí)現(xiàn)相應(yīng)的安全功能。安全資源可以按需取用，支持高擴(kuò)展性、高彈性。

第三部分是云上安全保障能力的調(diào)度和展現(xiàn)平臺(tái)——CloudSOC云安全管理平臺(tái)。CloudSOC主要完成各類云上安全信息如日志、攻擊數(shù)據(jù)、漏洞數(shù)據(jù)、情報(bào)數(shù)據(jù)、流量數(shù)據(jù)等內(nèi)容的集中采集，然后采用大數(shù)據(jù)分析技術(shù)，對(duì)各類數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析、聚類挖掘，依據(jù)前期設(shè)定的場(chǎng)景規(guī)則，匹配驅(qū)動(dòng)流平臺(tái)和安全資源池的調(diào)度，以實(shí)現(xiàn)根據(jù)不同安全場(chǎng)景進(jìn)行安全能力的調(diào)整，實(shí)現(xiàn)自適應(yīng)的安全體系架構(gòu)。

4.2 云安全監(jiān)管及服務(wù)

企業(yè)云安全面臨大量新型威脅形態(tài)，攻擊者的攻擊手段、攻擊頻率大大加強(qiáng)，需要建立一套安全監(jiān)測(cè)監(jiān)管系統(tǒng)（見(jiàn)圖4），用于實(shí)時(shí)感知企業(yè)云安全態(tài)勢(shì)情況，并基于態(tài)勢(shì)感知的結(jié)果，提供云上的安全服務(wù)。

整個(gè)監(jiān)管服務(wù)體系分2步實(shí)施。

第一步，構(gòu)建企業(yè)云安全監(jiān)管平臺(tái)。通過(guò)相關(guān)檢測(cè)、分析能力的部署，實(shí)現(xiàn)對(duì)云上安全態(tài)勢(shì)的實(shí)時(shí)分析。在感知內(nèi)容上，主要針對(duì)威脅感知、脆弱性與資產(chǎn)感知、威脅情報(bào)獲取和使用、流量感知等，通過(guò)感知采集的相關(guān)數(shù)據(jù)，使用安全大數(shù)據(jù)分析工具（BDSA）和相關(guān)分析算法，并通過(guò)可視化展現(xiàn)將安全態(tài)勢(shì)情況進(jìn)行整體描繪與呈現(xiàn)，以驅(qū)動(dòng)安全服務(wù)等工作的進(jìn)行。

圖4 云安全監(jiān)測(cè)監(jiān)管系統(tǒng)

第二步，基于監(jiān)管平臺(tái)的監(jiān)測(cè)數(shù)據(jù)提供安全服務(wù)（見(jiàn)圖5）。安全服務(wù)內(nèi)容區(qū)別于傳統(tǒng)信息系統(tǒng)的服務(wù)，結(jié)合企業(yè)云業(yè)務(wù)的生命周期特點(diǎn)及云架構(gòu)的特點(diǎn)展開(kāi)。

圖5 基于監(jiān)管平臺(tái)的監(jiān)測(cè)數(shù)據(jù)提供安全服務(wù)

檢查測(cè)試類服務(wù)內(nèi)容為：基礎(chǔ)IaaS/PaaS平臺(tái)的安全周期性安全評(píng)估，主要判斷基礎(chǔ)架構(gòu)中如操作系統(tǒng)、數(shù)據(jù)庫(kù)中間件等基礎(chǔ)平臺(tái)是否存在普遍性的安全漏洞；企業(yè)云上線的安全檢測(cè)主要是指業(yè)務(wù)上云或新業(yè)務(wù)發(fā)布時(shí)，是否能符合企業(yè)云整體的安全要求，原有的在云下的安全能力是否能正常切換到企業(yè)云上等；在前兩類服務(wù)之外，也融合基于黑盒的滲透測(cè)試和白盒的代碼審計(jì)等服務(wù)內(nèi)容，服務(wù)項(xiàng)目相互融合，貼合企業(yè)云業(yè)務(wù)特點(diǎn)展開(kāi)。

保障支撐類服務(wù)主要基于監(jiān)管平臺(tái)態(tài)勢(shì)感知的實(shí)時(shí)數(shù)據(jù)，展開(kāi)響應(yīng)企業(yè)云上的安全監(jiān)管。如，實(shí)時(shí)針對(duì)企業(yè)云安全威脅的分析，境外組織對(duì)重要信息系統(tǒng)的攻擊情況分析；重大緊急漏洞的快速響應(yīng)，如影響范圍分析，利用該漏洞的攻擊監(jiān)測(cè)等。

合規(guī)評(píng)估服務(wù)是針對(duì)各類云上安全標(biāo)準(zhǔn)，如國(guó)標(biāo)GB/T 31167、GB/T 31168，ISO 27001延伸的CSA STAR，等級(jí)保護(hù)云標(biāo)準(zhǔn)等，以及各類地方標(biāo)準(zhǔn)的符合性角度，進(jìn)行企業(yè)云平臺(tái)的合規(guī)性評(píng)估。

4.3 云數(shù)據(jù)安全

云數(shù)據(jù)安全主要考慮云上數(shù)據(jù)安全問(wèn)題。企業(yè)云上數(shù)據(jù)可以分為結(jié)構(gòu)化數(shù)據(jù)、非結(jié)構(gòu)化數(shù)據(jù)形態(tài)，以及企業(yè)大數(shù)據(jù)平臺(tái)內(nèi)的混合型數(shù)據(jù)。云數(shù)據(jù)安全框架見(jiàn)圖6。

圖6 云數(shù)據(jù)安全框架

結(jié)構(gòu)化數(shù)據(jù)主要是指企業(yè)云上各企業(yè)門(mén)戶網(wǎng)站數(shù)據(jù)、各企業(yè)服務(wù)平臺(tái)、企業(yè)OA系統(tǒng)以及其他業(yè)務(wù)平臺(tái)的關(guān)系型數(shù)據(jù)庫(kù)中的結(jié)構(gòu)化數(shù)據(jù)，主要威脅為攻擊者針對(duì)業(yè)務(wù)平臺(tái)或暴露在外的數(shù)據(jù)管理接口上的攻擊，直接導(dǎo)致數(shù)據(jù)失竊；另外還存在運(yùn)維過(guò)程中運(yùn)維人員直接對(duì)數(shù)據(jù)庫(kù)的操作風(fēng)險(xiǎn)。

非結(jié)構(gòu)化數(shù)據(jù)存在2種數(shù)據(jù)泄露途徑：一是內(nèi)部人員直接數(shù)據(jù)外發(fā)，二是攻擊者直接獲取系統(tǒng)控制權(quán)限后的數(shù)據(jù)竊取。

針對(duì)大數(shù)據(jù)平臺(tái)，主要面臨的風(fēng)險(xiǎn)是數(shù)據(jù)平臺(tái)上各組件的認(rèn)證過(guò)程中存在越權(quán)、非授權(quán)訪問(wèn)的問(wèn)題，導(dǎo)致直接獲取大數(shù)據(jù)平臺(tái)中的相關(guān)數(shù)據(jù)。

針對(duì)結(jié)構(gòu)化數(shù)據(jù)的防護(hù)主要從應(yīng)用防護(hù)角度展開(kāi)，針對(duì)云上業(yè)務(wù)平臺(tái)的應(yīng)用界面攻擊（如注入、針對(duì)數(shù)據(jù)庫(kù)接口的攻擊），防護(hù)能力由上述云安全保障部分防御能力來(lái)完成，主要涉及入侵防御系統(tǒng)或Web應(yīng)用安全網(wǎng)關(guān)。

針對(duì)非結(jié)構(gòu)化數(shù)據(jù)，如企業(yè)云平臺(tái)上存在的文件、圖表等非結(jié)構(gòu)化數(shù)據(jù)，可以使用數(shù)據(jù)防泄漏（DLP）方案應(yīng)對(duì)。在企業(yè)云平臺(tái)上需要特別針對(duì)網(wǎng)絡(luò)流量及郵件數(shù)據(jù)進(jìn)行數(shù)據(jù)防泄密監(jiān)控。

面對(duì)認(rèn)證、授權(quán)、審計(jì)3個(gè)大數(shù)據(jù)安全核心問(wèn)題，大數(shù)據(jù)安全管理系統(tǒng)面向大數(shù)據(jù)基礎(chǔ)平臺(tái)，兼容各主流大數(shù)據(jù)平臺(tái)的版本。為不同角色用戶提供快捷服務(wù)的門(mén)戶系統(tǒng)，其核心的基礎(chǔ)就是用戶身份的管控，包括用戶管理、機(jī)構(gòu)管理、角色管理、權(quán)限管理、操作行為管控、統(tǒng)一用戶信息管理等部分，即通常所說(shuō)的3個(gè)統(tǒng)一：統(tǒng)一認(rèn)證管理、統(tǒng)一授權(quán)管理和統(tǒng)一安全審計(jì)。

企業(yè)云平臺(tái)建設(shè)過(guò)程中通常會(huì)涉及不同級(jí)別的網(wǎng)絡(luò)間的數(shù)據(jù)交換，如互聯(lián)網(wǎng)區(qū)域和企業(yè)外網(wǎng)區(qū)域，采用數(shù)據(jù)交換平臺(tái)，可以實(shí)現(xiàn)異構(gòu)數(shù)據(jù)間的安全可信交換。

另外，針對(duì)于敏感數(shù)據(jù)，如公民的身份證、住址、電話和其他個(gè)人信息等，在企業(yè)云各平臺(tái)使用過(guò)程中要做到數(shù)據(jù)的按需求傳遞，如有些場(chǎng)景下并不需要完整字段的數(shù)據(jù)，可以采用數(shù)據(jù)庫(kù)脫敏技術(shù)對(duì)數(shù)據(jù)漂白，如采用模糊、替換、轉(zhuǎn)義等方式進(jìn)行數(shù)據(jù)脫敏。

各業(yè)務(wù)平臺(tái)的非授權(quán)或越權(quán)使用，也是數(shù)據(jù)泄露的重要途徑，可以通過(guò)系統(tǒng)日志、網(wǎng)絡(luò)日志、業(yè)務(wù)日志、運(yùn)維審計(jì)（堡壘機(jī)）等方式采集各類業(yè)務(wù)操作數(shù)據(jù)，基于業(yè)務(wù)操作數(shù)據(jù)的分析，可以發(fā)現(xiàn)企業(yè)云上違規(guī)操作、惡意操作行為，從業(yè)務(wù)審計(jì)自身的角度解決數(shù)據(jù)安全的問(wèn)題。

云數(shù)據(jù)安全還需要采用安全評(píng)估的方法，針對(duì)云上業(yè)務(wù)的互訪關(guān)系、數(shù)據(jù)的分類分級(jí)等進(jìn)行評(píng)估，找出各類數(shù)據(jù)傳遞過(guò)程中可能存在的安全威脅，再使用前面提到的各類安全技術(shù)措施，采用適當(dāng)?shù)陌踩呗裕拍苓_(dá)到有效數(shù)據(jù)安全防護(hù)能力的落地。

4.4 云安全接入

企業(yè)云上主要承載各類企業(yè)業(yè)務(wù)應(yīng)用，以上針對(duì)數(shù)據(jù)、監(jiān)管、保障的防護(hù)方案主要針對(duì)云上的業(yè)務(wù)安全需求展開(kāi)。企業(yè)云的使用除了互聯(lián)網(wǎng)區(qū)域的對(duì)公業(yè)務(wù)外，還有很多應(yīng)用是針對(duì)于政府工作人員，使用企業(yè)終端的接入進(jìn)行業(yè)務(wù)操作和數(shù)據(jù)傳遞，在這個(gè)過(guò)程中，如果對(duì)于接入的終端控制不嚴(yán)格，會(huì)導(dǎo)致惡意代碼對(duì)企業(yè)應(yīng)用的影響、敏感數(shù)據(jù)非受控傳輸?shù)?。云安全接入框架?jiàn)圖7。

圖7 云安全接入框架

云安全接入主要包含3方面內(nèi)容：

（1）針對(duì)移動(dòng)端的安全主要涉及企業(yè)應(yīng)用移動(dòng)終端的管控，如移動(dòng)執(zhí)法、移動(dòng)辦公的手機(jī)和平板電腦等，采用企業(yè)移動(dòng)管理（EMM）方案，對(duì)移動(dòng)端進(jìn)行統(tǒng)一的設(shè)備管理、應(yīng)用管理，以及文件的數(shù)據(jù)落地管理，保障移動(dòng)端的應(yīng)用、數(shù)據(jù)的安全可控。

（2）針對(duì)桌面操作終端，主要實(shí)現(xiàn)對(duì)終端層面的惡意代碼防護(hù)、終端DLP、終端行為管理等能力，保證接入企業(yè)云的桌面終端的安全可控。

（3）無(wú)論是移動(dòng)端或桌面端，需要采用統(tǒng)一的認(rèn)證、可靠的方式，限定非認(rèn)證的終端不允許接入云端。同時(shí)，對(duì)于終端到企業(yè)云的數(shù)據(jù)連接，采用有效的加密通信過(guò)程。

[1] GB/T 31167—2014 信息安全技術(shù)：云計(jì)算服務(wù)安全指南[S].

[2] CSA. The Treacherous 12 Cloud Computing Top Threats in 2016[R]，2016.

責(zé)任編輯 盧敏

A Solution to Cloud Security

CAO Rui，LIU Xinlong
（Venustech，Beijing 100193，China）

The cloud computing technology makes information and service resources sharable. Unlike traditional safeguarding object, the cloud platform will face severe security issues in terms of boundary protection and safeguard of inside virtualization network. The overall framework of Venustech cloud security ability consists of four aspects: f rstly, the cloud security safeguard targeting security defense and attack detection of fundamental cloud services; secondly, construction of cloud security supervision ability and of cloud security service system on this basis; thirdly, security of cloud data which safeguard the core data of the cloud; fourthly, the cloud security access for the enterprise cloud.

cloud security；cloud security threat；cloud data security；a solution to cloud security；enterprise-dedicated cloud

TP391；U298

A

1001-683X（2017）02-0077-07

10.19549/j.issn.1001-683x.2017.02.077

2017-01-05

曹瑞（1978—），男，高級(jí)工程師。E-mail：caorui@venustech.com.cn

劉新龍（1976—），男，高級(jí)工程師。E-mail：13910912512@139.com

“中國(guó)畫(huà)火車第一人”王忠良先生火車鋼筆畫(huà)系列作品——“MG”型蒸汽機(jī)車