廣電融媒體云數(shù)據(jù)中心安全體系設(shè)計(jì)

【摘要】云計(jì)算為融媒體的發(fā)展提供了極佳的基礎(chǔ)平臺(tái)，但是云計(jì)算特有的一些安全挑戰(zhàn)加上傳統(tǒng)信息系統(tǒng)面臨的安全課題給融媒體云平臺(tái)的運(yùn)行帶來(lái)了很大的安全隱患。為了化解這些安全問(wèn)題，必須結(jié)合融媒體云的特點(diǎn)對(duì)其進(jìn)行風(fēng)險(xiǎn)分析，建立一個(gè)全面的安全保障體系，在此基礎(chǔ)上對(duì)網(wǎng)絡(luò)、虛擬化、數(shù)據(jù)傳輸和存儲(chǔ)、應(yīng)用的安全防護(hù)進(jìn)行重點(diǎn)部署，構(gòu)建一個(gè)安全可靠、高效的融媒體云數(shù)據(jù)中心。

【關(guān)鍵詞】融媒體;云計(jì)算;云安全;虛擬化;七彩云

【作者簡(jiǎn)介】王磊，學(xué)士，云南廣播電視臺(tái)電視傳輸部，工程師，研究方向?yàn)橛?jì)算機(jī)網(wǎng)絡(luò)與電視信號(hào)傳輸。

中圖分類(lèi)號(hào)：TN92? ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼：A? ? ? ? ? ? ? ?文章編號(hào)：1673-0348（2020）018-078-03

Abstract： Cloud computing provides an excellent basic platform for the development of financial media， but some security challenges unique to cloud computing and security issues faced by traditional information systems have brought great security risks to the operation of financial media cloud platform. In order to solve these security problems， it is necessary to analyze the risks of the media cloud according to its characteristics， and establish a comprehensive security system. On this basis， the security protection of the network， virtualization， data transmission， storage and application should be focused on， and a safe， reliable and efficient data center of the media cloud should be built.

Keywords melt media; Cloud computing; Cloud security; Virtualization; Colorful clouds

1. 云風(fēng)險(xiǎn)來(lái)源

云計(jì)算的安全威脅來(lái)源可以分為兩部分，一部分是傳統(tǒng)信息系統(tǒng)原有的安全問(wèn)題，另外一部分就是由虛擬化、資源共享等云計(jì)算技術(shù)自身帶來(lái)的安全隱患。云計(jì)算建立在IPS-3層架構(gòu)模式之上，底層的安全隱患不解決必然傳導(dǎo)到高層。由于省級(jí)廣電融媒體云一方面以SaaS方式對(duì)外提供服務(wù)，其上運(yùn)行著大量本行業(yè)和非本行業(yè)的應(yīng)用軟件，另一方面又以IaaS或PaaS的方式作為縣級(jí)融媒體的基礎(chǔ)平臺(tái)，因此省級(jí)廣電融媒體云必須做好IPS三層的安全防護(hù)。

傳統(tǒng)安全因素主要是來(lái)自于病毒、木馬、DDoS、網(wǎng)絡(luò)監(jiān)聽(tīng)、物理安全等造成的威脅，由于虛擬化等新技術(shù)的大量應(yīng)用，在云平臺(tái)中風(fēng)險(xiǎn)更加容易擴(kuò)散，影響范圍和危害程度會(huì)更大。因?yàn)樘摂M化軟件自身的缺陷和漏洞，Hypervisor可能會(huì)受到攻擊，導(dǎo)致訪問(wèn)權(quán)限被非法獲取，威脅到虛擬機(jī)和宿主機(jī)的安全;網(wǎng)絡(luò)橫向流量不經(jīng)過(guò)外部安全檢測(cè)設(shè)備，難以對(duì)其進(jìn)行監(jiān)管;在云數(shù)據(jù)存儲(chǔ)和傳輸方面，存儲(chǔ)位置不確定、數(shù)據(jù)難以有效隔離、數(shù)據(jù)殘留、數(shù)據(jù)丟失等都會(huì)威脅到云的安全;虛擬應(yīng)用之間的隔離不充分，會(huì)導(dǎo)致數(shù)據(jù)的機(jī)密性和完整性受到破壞。云風(fēng)險(xiǎn)的來(lái)源是多方面的，只有認(rèn)真做好風(fēng)險(xiǎn)分析識(shí)別出各類(lèi)風(fēng)險(xiǎn)，重點(diǎn)關(guān)注主要風(fēng)險(xiǎn)，才能為后續(xù)的安全部署提供可靠的指導(dǎo)。

2. 云安全體系

對(duì)云計(jì)算系統(tǒng)進(jìn)行安全防護(hù)體系規(guī)劃時(shí)依然要遵循計(jì)算機(jī)與網(wǎng)絡(luò)安全的縱深防御原則和“木桶原則”，構(gòu)建一個(gè)完整的、立體的、層次化的云安全技術(shù)體系，實(shí)現(xiàn)全方位的防護(hù)，杜絕出現(xiàn)安全短板，同時(shí)要兼顧安全與效率的平衡。盡管云安全有其特殊的一面，但傳統(tǒng)的安全技術(shù)在云計(jì)算安全體系中仍然處于主導(dǎo)地位，“分區(qū)規(guī)劃，分層部署”仍然是重要的安全部署原則。安全接入是云計(jì)算系統(tǒng)的第一道安全防護(hù)，可以應(yīng)用VPN網(wǎng)關(guān)、防火（毒）墻等部署云邊界防護(hù)措施，盡量把安全威脅擋在云平臺(tái)之外;資源共享和虛擬化是云計(jì)算最重要的特征，必須實(shí)現(xiàn)不同用戶(hù)之間的數(shù)據(jù)和應(yīng)用程序運(yùn)行環(huán)境的可靠隔離;應(yīng)用服務(wù)應(yīng)該重點(diǎn)考慮用戶(hù)數(shù)據(jù)安全、內(nèi)容安全和應(yīng)用軟件自身的安全保護(hù)，確保用戶(hù)在使用云應(yīng)用軟件的過(guò)程中的所有數(shù)據(jù)在云環(huán)境中傳輸和存儲(chǔ)的安全，防止非授權(quán)使用、非法內(nèi)容傳播，建立嚴(yán)密的身份認(rèn)證機(jī)制，實(shí)現(xiàn)資源訪問(wèn)的最小權(quán)限化策略。

3. 云安全部署

為了搭建可靠的云計(jì)算環(huán)境，除了要做好傳統(tǒng)信息系統(tǒng)的安全防護(hù)外，還要針對(duì)云計(jì)算所特有的一些新技術(shù)如虛擬化、資源共享等采取特殊的保護(hù)措施，實(shí)現(xiàn)多種安全技術(shù)手段的動(dòng)態(tài)聯(lián)動(dòng)（如圖1所示）。物理安全是所有信息系統(tǒng)的安全基石，云平臺(tái)和傳統(tǒng)信息系統(tǒng)在物理安全層面采取的措施基本上是一致的。在云平臺(tái)中由于虛擬化和共享技術(shù)的大量應(yīng)用，網(wǎng)絡(luò)安全、數(shù)據(jù)安全和應(yīng)用安全的內(nèi)涵發(fā)生了很大的變化，在部署安全措施的時(shí)候需要重點(diǎn)關(guān)注網(wǎng)絡(luò)、虛擬主機(jī)、數(shù)據(jù)和應(yīng)用的安全防護(hù)。

3.1 網(wǎng)絡(luò)安全

云數(shù)據(jù)中心網(wǎng)絡(luò)最好采用大二層扁平化的網(wǎng)絡(luò)結(jié)構(gòu)，并且劃分為核心交換區(qū)、云存儲(chǔ)區(qū)、運(yùn)維區(qū)、服務(wù)器區(qū)、安全防護(hù)區(qū)、用戶(hù)接入等區(qū)域，采用虛擬化技術(shù)將網(wǎng)絡(luò)結(jié)構(gòu)盡量簡(jiǎn)化，形成接入層到核心層的點(diǎn)對(duì)點(diǎn)連接，避免出現(xiàn)環(huán)路。高端防火墻應(yīng)部署在核心交換機(jī)和核心路由器之間，對(duì)私有云與外部世界的違規(guī)流量進(jìn)行封堵;IDS、網(wǎng)絡(luò)安全審計(jì)等設(shè)備可以和核心交換機(jī)旁路連接，實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)，對(duì)違規(guī)流量實(shí)現(xiàn)中斷、隔離，并對(duì)網(wǎng)絡(luò)安全事件記錄保存;充分利用VLAN/Vxlan技術(shù)，最大限度降低“廣播風(fēng)暴”的發(fā)生，保證管理流量與云租戶(hù)業(yè)務(wù)流量分離;加強(qiáng)對(duì)網(wǎng)絡(luò)流量特別是橫向流量的監(jiān)控，可以利用EVB+VEPA技術(shù)將虛擬機(jī)的內(nèi)部流量引入到外部交換機(jī)上，在外部交換機(jī)轉(zhuǎn)發(fā)這些流量之前，通過(guò)鏡像或重定向技術(shù)將流量引入到安全設(shè)備進(jìn)行檢測(cè)、安全策略配置或訪問(wèn)控制策略配置。

3.2 虛擬主機(jī)安全

云平臺(tái)中要重點(diǎn)關(guān)注虛擬機(jī)的安全防護(hù)，可以從以下幾方面來(lái)部署安全措施：首先應(yīng)選用安全性高、隔離性好的Hypervisor，避免虛擬化層軟件被惡意破壞，導(dǎo)致虛擬機(jī)甚至宿主機(jī)被攻擊;對(duì)宿主機(jī)和虛擬機(jī)加強(qiáng)對(duì)病毒的防范，應(yīng)用“無(wú)代理殺毒”軟件對(duì)虛擬機(jī)進(jìn)行保護(hù);部署適應(yīng)虛擬化環(huán)境的惡意代碼檢測(cè)系統(tǒng)，及時(shí)發(fā)現(xiàn)木馬并對(duì)其隔離查殺，防止感染其他虛擬機(jī);應(yīng)用主機(jī)入侵防御系統(tǒng)，防止密碼暴力破解、檢測(cè)賬戶(hù)異地登錄、Web腳本后門(mén)侵入等安全威脅。其次要確保虛擬機(jī)只能使用分配給自己的硬件資源，不允許自主搶占系統(tǒng)資源;出現(xiàn)故障的虛擬資源要及時(shí)將其屏蔽，避免將其分配給虛擬機(jī)，導(dǎo)致虛擬機(jī)運(yùn)行不正常。另外要謹(jǐn)慎使用自動(dòng)快照功能，防止快照中存在病毒或木馬，導(dǎo)致數(shù)據(jù)泄露;虛擬化平臺(tái)自身應(yīng)提供鏡像安全基線管理、完整性檢驗(yàn)、鏡像版本管理等功能，實(shí)現(xiàn)鏡像、快照的加密、壓縮等保護(hù)。

3.3 數(shù)據(jù)安全

云數(shù)據(jù)安全包括機(jī)密性、完整性、可用性和不可抵賴(lài)性，可以應(yīng)用數(shù)據(jù)加密、隔離、數(shù)字簽名和數(shù)據(jù)復(fù)制等技術(shù)來(lái)實(shí)現(xiàn)。云中數(shù)據(jù)的所有權(quán)與管理權(quán)分離，確保云數(shù)據(jù)的安全是構(gòu)建云安全體系最重要的一項(xiàng)內(nèi)容。首先在數(shù)據(jù)生成階段由云用戶(hù)做好數(shù)據(jù)分級(jí)，并添加到數(shù)據(jù)的屬性信息中，在此基礎(chǔ)上利用DAC和RBAC兩種訪問(wèn)控制技術(shù)實(shí)現(xiàn)對(duì)多用戶(hù)的不同級(jí)別的信息進(jìn)行有效的隔離和完整性保護(hù);對(duì)于密級(jí)較高的數(shù)據(jù)，可以先加密再分散存儲(chǔ)到云端，利用密文云存儲(chǔ)技術(shù)實(shí)現(xiàn)密文存儲(chǔ)和檢索;綜合利用多副本技術(shù)、數(shù)據(jù)復(fù)制技術(shù)和災(zāi)難備份技術(shù)來(lái)提高云數(shù)據(jù)的可用性。利用IP SAN技術(shù)建立至少達(dá)到數(shù)據(jù)容災(zāi)第2級(jí)別的“兩地三中心”備份系統(tǒng)，并且異地備份中心必須相距300km以上，而且不能在同一地震帶、同地電網(wǎng)、同一江河流域。對(duì)于決定廢棄的數(shù)據(jù)，要執(zhí)行差異化處理，對(duì)敏感度較高的數(shù)據(jù)要進(jìn)行徹底銷(xiāo)毀，對(duì)不敏感的公共數(shù)據(jù)或敏感度較低的數(shù)據(jù)進(jìn)行清除。加強(qiáng)對(duì)移動(dòng)存儲(chǔ)介質(zhì)如U盤(pán)、光盤(pán)的管理，禁止在云內(nèi)部設(shè)備上違規(guī)使用此類(lèi)設(shè)備?？梢酝ㄟ^(guò)例如VMware的vMotion多步傳輸?shù)臋C(jī)制保證虛擬機(jī)遷移過(guò)程中瞬時(shí)狀態(tài)同步，通過(guò)MD5完整性校驗(yàn)保護(hù)完整性，當(dāng)完整性受到破壞時(shí)支持快照恢復(fù)。對(duì)磁盤(pán)陣列劃分LUN，給各個(gè)業(yè)務(wù)系統(tǒng)分配獨(dú)立的存儲(chǔ)空間，便于數(shù)據(jù)安全隔離。

3.4 應(yīng)用安全

云計(jì)算應(yīng)用主要通過(guò)Web瀏覽器實(shí)現(xiàn)，因此保障Web安全成為確保云應(yīng)用安全最重要的工作。避免發(fā)生Dos/DDos攻擊，正確安裝和配置SSL，防止數(shù)據(jù)通過(guò)不可信的互聯(lián)網(wǎng)時(shí)發(fā)生數(shù)據(jù)竊取和篡改是這一層的主要職責(zé)。Web應(yīng)用防火墻WAF不同于普通的網(wǎng)絡(luò)防火墻，它工作在應(yīng)用層，對(duì)應(yīng)用層的數(shù)據(jù)流可以起到監(jiān)視和隔離的作用，對(duì)保護(hù)應(yīng)用的安全起著至關(guān)重要的作用。為了降低用戶(hù)接入風(fēng)險(xiǎn)和用戶(hù)行為威脅，需要將用戶(hù)帳號(hào)account、認(rèn)證authentication、授權(quán)authorization和安全審計(jì)audit進(jìn)行整合，形成統(tǒng)一的4A安全管理平臺(tái)（如圖2所示），即便于新的應(yīng)用集成，又可以實(shí)現(xiàn)單點(diǎn)登錄。應(yīng)部署應(yīng)用性能監(jiān)測(cè)軟件，及時(shí)發(fā)現(xiàn)異常網(wǎng)絡(luò)連接、進(jìn)程死鎖、內(nèi)存泄漏或溢出等故障。需要將應(yīng)用開(kāi)發(fā)平臺(tái)和生產(chǎn)平臺(tái)隔離，并采取不同等級(jí)的安全等保措施。

4. “七彩云”安全

“七彩云”是云南廣播電視臺(tái)重要的融媒體云設(shè)施，由私有云、專(zhuān)屬云和公有云3朵云組成的混合云構(gòu)成。為了確保云的安全運(yùn)行，構(gòu)建了統(tǒng)一的云安全管理平臺(tái)，應(yīng)用多種安全措施以應(yīng)對(duì)各類(lèi)安全風(fēng)險(xiǎn)。私有云部分嚴(yán)格按照國(guó)家《信息安全等級(jí)保護(hù)管理辦法》第三級(jí)相關(guān)要求規(guī)劃建設(shè)，專(zhuān)屬云和公有云基礎(chǔ)設(shè)施和安全方案由華為云提供。系統(tǒng)采用多租戶(hù)模式架構(gòu)，為各縣級(jí)融媒體和其他入駐機(jī)構(gòu)劃分vPC，在保證資源使用效率的同時(shí)實(shí)現(xiàn)了租戶(hù)之間的數(shù)據(jù)和應(yīng)用安全隔離。根據(jù)應(yīng)用的安全等級(jí)要求采取分區(qū)域部署策略，安全要求最高的媒資、總編、辦公、新聞、電視制播等傳統(tǒng)系統(tǒng)部署在私有云，內(nèi)容云、網(wǎng)臺(tái)、APP等新媒體的生產(chǎn)與發(fā)布部署在專(zhuān)屬云，公有云上部署UGC、互聯(lián)網(wǎng)直播、兩微等安全等級(jí)最低的應(yīng)用。規(guī)范系統(tǒng)接口統(tǒng)一采用適應(yīng)云計(jì)算環(huán)境的RESTful風(fēng)格接口，應(yīng)用上線前必須經(jīng)過(guò)嚴(yán)格的測(cè)試，防止引入安全漏洞。充分利用4A安全管理機(jī)制提高混合云平臺(tái)的安全性，實(shí)現(xiàn)了單點(diǎn)登錄功能，新應(yīng)用可以很容易的接入到現(xiàn)有的安全管理體系中。充分利用專(zhuān)屬云安全隔離、穩(wěn)定可靠、靈活可控、成本低等特點(diǎn)，建立私有云的遠(yuǎn)程異地應(yīng)用級(jí)備份中心，大大提高了數(shù)據(jù)存儲(chǔ)和應(yīng)用的安全性。在華為云安全解決方案的基礎(chǔ)上，構(gòu)建了以WAF、IPS和DDoS/DoS清洗為主要措施的三層保護(hù)網(wǎng)，有效的化解了相關(guān)安全風(fēng)險(xiǎn)。

5. 結(jié)束語(yǔ)

安全對(duì)于廣電融媒體云至關(guān)重要，除了采取技術(shù)上的防護(hù)措施外，還必須建立一套科學(xué)合理的管理制度并嚴(yán)格執(zhí)行，只有這樣才能搭建一個(gè)安全高效的媒體云運(yùn)行環(huán)境。信息系統(tǒng)安全建設(shè)沒(méi)有完成時(shí)只有進(jìn)行時(shí)，在今后的系統(tǒng)升級(jí)過(guò)程中，將繼續(xù)完善“七彩云”安全防護(hù)措施，為我臺(tái)云基礎(chǔ)設(shè)施編織起一張堅(jiān)實(shí)的安全防護(hù)網(wǎng)。

參考文獻(xiàn)：

[1] 梁曉斌 . 融合環(huán)境下的媒資系統(tǒng)建設(shè)[J].廣播與電視技術(shù)，2019，46（9）：52-56.

[2] 陳馳，于晶 .云計(jì)算安全體系[M]. 北京：科學(xué)出版社，2014.

[3] 毛祥威，金晶.“七彩云”構(gòu)建縣級(jí)融媒體中心省級(jí)技術(shù)平臺(tái)[J].現(xiàn)代電視技術(shù)，2019，（8）：108—110.