[黃星輝 米洪偉 劉利男]
隨著移動通信和大數(shù)據(jù)的快速發(fā)展,電信企業(yè)的數(shù)據(jù)價值已經(jīng)成為業(yè)界關(guān)注的焦點,與此同時,數(shù)據(jù)的安全威脅也與日俱增。雖然《網(wǎng)絡(luò)安全法》出臺了信息安全等級保護2.0,但在落地實施方面仍然需要諸多技術(shù)和管理的支持,本文從電信企業(yè)的現(xiàn)狀出發(fā),針對大數(shù)據(jù)云計算技術(shù)架構(gòu)所帶來的新的信息安全問題,在分析現(xiàn)有的等級保護2.0 基礎(chǔ)上,結(jié)合電信企業(yè)云平臺的特點和面臨的新威脅,提出一種縱深、多層次保護的安全防護體系?;A(chǔ)信息安全從云基礎(chǔ)設(shè)施、數(shù)據(jù)和終端的私密性和完整性出發(fā),采用數(shù)據(jù)加密和鏡像加密的技術(shù)保證基礎(chǔ)信息安全;接入安全層采用網(wǎng)絡(luò)防護、可信接入、API 安全使用、代碼安全驗證技術(shù)保證邊界安全;數(shù)據(jù)存儲安全層采用租戶隔離、數(shù)據(jù)檢索、數(shù)據(jù)傳輸安全、數(shù)據(jù)隔離技術(shù)實現(xiàn)大量用戶的軟硬件共享和存儲的安全;數(shù)據(jù)分析采用序列分析、數(shù)據(jù)關(guān)聯(lián)分析、惡意代碼分析和統(tǒng)計分析等技術(shù),為安全防護系統(tǒng)的入侵風險評估、安全檢測、故障定位和用戶操作審計提供技術(shù)手段;應(yīng)用安全從身份鑒別、第三方授權(quán)、AOP 切面注入技術(shù)和應(yīng)用隔離沙箱技術(shù)實現(xiàn)用戶應(yīng)用隔離和用戶訪問的細粒度控制;預(yù)警監(jiān)視采用分布式日志收集、API 監(jiān)控、安全審計、事件研判和實時預(yù)警技術(shù)實現(xiàn)全方位預(yù)警監(jiān)視;應(yīng)急響應(yīng)則采取有效的安全措施對潛在安全威脅進行定位和處理。基于上述縱深、多層次保護的安全防護體系的研究,旨在探索信息安全等級保護環(huán)境下電信企業(yè)安全防護體系,應(yīng)對新形勢的網(wǎng)絡(luò)安全新挑戰(zhàn)。
云平臺主要依賴從底層硬件進行抽象的虛擬化技術(shù),實現(xiàn)多租戶使用同一個應(yīng)用環(huán)境和運算環(huán)境。通常來說,云平臺面臨的安全風險包括:消費者租用虛擬機安裝惡意用戶操作系統(tǒng),攻擊虛擬機狀態(tài)文件、蠕蟲攻擊、拒絕服務(wù)攻擊、虛擬機檢查點攻擊以及虛擬機鏡像蔓延等。對于上述的安全風險,電信運營商通常采用安裝反病毒軟件、防火墻代理、入侵檢測系統(tǒng)等對抗大部分的攻擊行為,重在對通信安全防護和阻止外部攻擊,對內(nèi)部隔離的防護力度則相當薄弱。
大多數(shù)云平臺是基于第三方庫和開源軟件進行搭建的,而云平臺的安全性容易受到第三方庫和開源軟件安全漏洞的影響。目前針對Xen、Hadoop、Openstack、JVM等的安全防護技術(shù)得到加固,無法解決開放式服務(wù)場景面臨的安全問題。因此,云平臺安全防護要以支持云用戶靈活配置和功能擴展為前提,制定多層次深防御的安全防護技術(shù),形成更細顆粒度的訪問控制、更細粒度的用戶應(yīng)用隔離沙箱、支持多種需求的日志收集、更深層次的用戶鏡像加密操作支持等防護手段。
信息系統(tǒng)安全防護體系由安全技術(shù)體系、安全管理體系以及安全組織及策略管理構(gòu)成[1-4]。而信息安全系統(tǒng)等級保護是指根據(jù)信息保護的等級對信息系統(tǒng)進行安全保護和監(jiān)管,依據(jù)對象的等級,侵害的客體以及侵害程度,分等級對信息安全事件進行對應(yīng)的處置和監(jiān)管。
信息系統(tǒng)安全等級保護的生命周期管理包括定義階段、規(guī)劃設(shè)計階段、安全實施及實現(xiàn)階段、安全運行管理階段。
定義階段包括活動有:系統(tǒng)調(diào)查和描述、子系統(tǒng)的劃分和分解、子系統(tǒng)邊界的確定、安全等級確定以及等級結(jié)果文檔化。
規(guī)劃設(shè)計階段:等級化風險評估、安全總體設(shè)計、安全建設(shè)規(guī)劃。
安全實施及實現(xiàn)階段:安全方案設(shè)計、安全產(chǎn)品采購、安全控制集成、測試與驗收、管理機構(gòu)的設(shè)置、管理制度的建設(shè)、組織結(jié)構(gòu)及人員管理、安全建設(shè)過程管理。
安全運行管理階段:操控管理、變更管理、安全狀態(tài)監(jiān)測管理、安全事件風險評估與應(yīng)急、監(jiān)督監(jiān)測等。
(1)基礎(chǔ)信息安全
基礎(chǔ)信息安全作為安全防護體系最底層、最基礎(chǔ)的防護技術(shù),包括云基礎(chǔ)設(shè)施、應(yīng)用終端、移動終端、采集終端等的安全。
(2)安全接入
安全接入作為安全防護體系第2 層防護技術(shù),包括云安全接入和安全接入平臺的安全。其中云安全接入是電信企業(yè)云平臺信息安全防護的重點,包括網(wǎng)絡(luò)安全防護、可信接入、API 安全使用、代碼安全驗證等。
(3)數(shù)據(jù)存儲
數(shù)據(jù)存儲作為安全防護體系第3 層防護技術(shù),包括虛擬化服務(wù)、用戶數(shù)據(jù)加密、數(shù)據(jù)檢索、數(shù)據(jù)傳輸安全等。
(4)數(shù)據(jù)分析
數(shù)據(jù)分析作為安全防護體系第4 層防護技術(shù),采用大數(shù)據(jù)和人工智能等技術(shù),實現(xiàn)數(shù)據(jù)關(guān)聯(lián)分析、序列分析、惡意代碼分析、統(tǒng)計分析等,實現(xiàn)安全防護體系的實時分析和歷史分析,為平臺的分線預(yù)警提供信息化手段。
(5)應(yīng)用安全
應(yīng)用安全作為安全防護體系第5 層防護技術(shù),旨在對安全防護分析的結(jié)果展現(xiàn)。包括身份鑒別、應(yīng)用隔離沙箱、AOP 切面注入技術(shù)等,將數(shù)據(jù)分析的結(jié)果采用圖表的方式來展現(xiàn),方便運維人員對安全事件進行研判。
(6)預(yù)警監(jiān)視
預(yù)警監(jiān)視作為安全防護體系第6 層防護技術(shù),涵蓋安全防護系統(tǒng)的分布式日志收集、安全審計、潛在風險預(yù)警和安全事件研判、實時預(yù)警。
(7)應(yīng)急響應(yīng)
應(yīng)急預(yù)警作為安全防護體系第7 層防護技術(shù),是該體系最關(guān)鍵的一環(huán),針對預(yù)警監(jiān)視的事件研判結(jié)果,采取有效的安全措施對潛在安全威脅進行定位和處理,遏制安全事件的擴大化。
基于安全防護架構(gòu)構(gòu)建思路,構(gòu)建多層次的電信企業(yè)安全防護體系總體架構(gòu),左側(cè)是基礎(chǔ)信息安全和接入安全;中間為數(shù)據(jù)存儲安全、數(shù)據(jù)分析安全和應(yīng)用安全,涵蓋防護體系的核心技術(shù);右邊是預(yù)警監(jiān)視和應(yīng)急響應(yīng),是安全防護的時候響應(yīng)。通過構(gòu)建七層次的、縱深防御的安全管理防護體系,實現(xiàn)事前檢測、事中防護、事后響應(yīng)的可信、可控的電信企業(yè)云平臺安全防護保障體系,如圖1 所示。
圖1 電信企業(yè)云平臺安全防護體系總體架構(gòu)
本文在信息等級保護2.0 的環(huán)境下,從云平臺安全技術(shù)和管理角度出發(fā),分析了當前的安全防護技術(shù)。針對電信企業(yè)云平臺出現(xiàn)的安全挑戰(zhàn),在等級保護安全要求,提出縱深、多層次保護的安全防護體系。該安全防護體系從7 個層面的安全防護實現(xiàn)更細粒度監(jiān)控各種服務(wù)行為、更細粒度地管理用戶訪問服務(wù)資源的級別、更細粒度地管理用戶權(quán)限,從而降低企業(yè)網(wǎng)絡(luò)、數(shù)據(jù)資產(chǎn)、各類系統(tǒng)的安全隱患,最大化保證了整個企業(yè)網(wǎng)絡(luò)和數(shù)據(jù)的安全,保障客戶的隱私。