電信運(yùn)營(yíng)商私有云資源池的安全風(fēng)險(xiǎn)和防護(hù)途徑

摘要：為了進(jìn)一步推動(dòng)運(yùn)營(yíng)商私有云資源池業(yè)務(wù)發(fā)展進(jìn)程，要明確資源池分層架構(gòu)，配合私有云系統(tǒng)部署方案，集中解決運(yùn)行中的安全風(fēng)險(xiǎn)問(wèn)題，從而借助網(wǎng)絡(luò)隔離、權(quán)限管控、日常安全檢查、審計(jì)、殘留數(shù)據(jù)清理等環(huán)節(jié)提升電信運(yùn)營(yíng)商私有云資源池安全防護(hù)水平，為信息安全、業(yè)務(wù)安全的全面發(fā)展提供保障。

關(guān)鍵詞：運(yùn)營(yíng)商;私有云資源池;安全風(fēng)險(xiǎn);防護(hù)措施

一、引言

伴隨著數(shù)據(jù)業(yè)務(wù)體系的不斷發(fā)展，運(yùn)營(yíng)商也面臨著5G技術(shù)體系下業(yè)務(wù)和架構(gòu)的轉(zhuǎn)型挑戰(zhàn)，為了更好地滿(mǎn)足新業(yè)務(wù)發(fā)展需求，要搭建更加科學(xué)的數(shù)字化業(yè)務(wù)整合平臺(tái)，發(fā)揮私有云資源池的應(yīng)用優(yōu)勢(shì)，促進(jìn)運(yùn)營(yíng)商綜合競(jìng)爭(zhēng)力的全面進(jìn)步。

二、私有云資源池的定義

私有云資源池指的是企業(yè)利用自身的IT機(jī)構(gòu)，或者是云提供商構(gòu)建的云平臺(tái)，將其部署在企業(yè)數(shù)據(jù)中心防火墻內(nèi)，或者是主機(jī)托管場(chǎng)所，實(shí)現(xiàn)專(zhuān)有資源控制。私有云平臺(tái)、私有云服務(wù)以及私有云管理平臺(tái)是主要組成元素?；诖耍\(yùn)營(yíng)商都會(huì)完善并且經(jīng)營(yíng)獨(dú)立的私有云資源池，以確保相關(guān)服務(wù)的安全性和實(shí)效性。

三、云資源池分層發(fā)展思路

第一，業(yè)務(wù)應(yīng)用層，主要是推動(dòng)業(yè)務(wù)應(yīng)用云化改造工作進(jìn)程，將建設(shè)客戶(hù)為中心的服務(wù)型運(yùn)營(yíng)業(yè)務(wù)平臺(tái)以及大數(shù)據(jù)分析模式作為核心業(yè)務(wù)內(nèi)容。第二，平臺(tái)能力層，主要是構(gòu)建基于軟件訪問(wèn)和企業(yè)級(jí)能力開(kāi)放的應(yīng)用框架體系，確保PaaS層能力得以拓展。第三，基礎(chǔ)設(shè)施層，主要是構(gòu)建異構(gòu)云資源池，有效提升服務(wù)器等基礎(chǔ)設(shè)施的云化水平，確?；A(chǔ)設(shè)施資源供給管理工作有序落實(shí)。第四，運(yùn)營(yíng)管理層，將資源運(yùn)營(yíng)管理作為業(yè)務(wù)要點(diǎn)，確保管理模式和端到端自動(dòng)化運(yùn)維管理平臺(tái)運(yùn)行的穩(wěn)定性[1]。第五，機(jī)房配套層，對(duì)功能區(qū)域和設(shè)備布局予以實(shí)時(shí)性規(guī)劃管理，保證運(yùn)行安全性、環(huán)保節(jié)能性。

四、云資源池安全風(fēng)險(xiǎn)分析

（一）安全優(yōu)勢(shì)

第一，要想從根本上保證云資源池安全水平，運(yùn)營(yíng)商在私有云資源池建設(shè)的過(guò)程中就會(huì)配置完整的安全設(shè)備和處理模式，依據(jù)業(yè)務(wù)系統(tǒng)的實(shí)時(shí)性需求還能提供監(jiān)測(cè)和防護(hù)服務(wù)，以維持管理規(guī)范性和安全性。相較于傳統(tǒng)業(yè)務(wù)體系中煙囪式架構(gòu)控制體系，云資源池安全管理要獨(dú)立設(shè)置安全設(shè)備，并且業(yè)務(wù)系統(tǒng)分?jǐn)偟某杀疽材苡兴档?，為安全設(shè)備控制體系的建立提供了保障。

第二，私有云資源池利用云管理品牌集中管理機(jī)制，能有效提升資源的實(shí)時(shí)性控制效果，并且配合完整地云端管理，能大大避免無(wú)人管理或者是無(wú)人調(diào)取分析的流離資產(chǎn)，減少資源浪費(fèi)的基礎(chǔ)上，還能保證資源池應(yīng)用控制的規(guī)范性。與此同時(shí)，云資源池集中管理提升了資產(chǎn)監(jiān)督控制的規(guī)范性，相較于傳統(tǒng)流利資產(chǎn)管理模式其安全性更高。

（二）安全風(fēng)險(xiǎn)

在云資源池安全管理工作中，依舊存在風(fēng)險(xiǎn)問(wèn)題。

首先，私有云資源池本身就是在傳統(tǒng)架構(gòu)基礎(chǔ)上建立的，其應(yīng)用過(guò)程難免會(huì)留存?zhèn)鹘y(tǒng)架構(gòu)中各個(gè)層級(jí)的共性問(wèn)題，尤其是物理安全問(wèn)題、主機(jī)問(wèn)題等，基礎(chǔ)設(shè)施安全若是不能得到有效的關(guān)注和管控，也會(huì)對(duì)應(yīng)用安全性產(chǎn)生影響[4]。

其次，私有云資源池自身的安全風(fēng)險(xiǎn)問(wèn)題，最關(guān)鍵的就是資源池本身是將資源進(jìn)行虛擬化處理，然后提供給不同的業(yè)務(wù)系統(tǒng)實(shí)現(xiàn)共享，在理想情況下，虛擬機(jī)-虛擬機(jī)、虛擬機(jī)-宿主機(jī)需要保持相互獨(dú)立的運(yùn)行狀態(tài)，配合網(wǎng)絡(luò)隔離維持安全性。然而，實(shí)際去卻是物理層面存儲(chǔ)、內(nèi)存等資源均為公用資源，一旦隔離失效必然會(huì)對(duì)虛擬機(jī)安全造成影響，侵?jǐn)_其他虛擬機(jī)，甚至?xí)霈F(xiàn)虛擬機(jī)逃逸以獲取整個(gè)主機(jī)權(quán)限完成云資源池的侵占[2]。

五、資源池管理相關(guān)部門(mén)職責(zé)分工

資源池能為電信運(yùn)營(yíng)提供業(yè)務(wù)支持和網(wǎng)管支持，并且匹配管理信息化應(yīng)用系統(tǒng)，打造集成化、標(biāo)準(zhǔn)化的平臺(tái)服務(wù)機(jī)制，不僅能滿(mǎn)足軟件服務(wù)要求，還能打造網(wǎng)絡(luò)和安全服務(wù)平臺(tái)。

因此，結(jié)合業(yè)務(wù)內(nèi)容一般分為以下部門(mén)：1.計(jì)劃建設(shè)部門(mén);2.私有云維護(hù)部門(mén);3.信息安全部門(mén);4.資源需求部門(mén)。各部分各司其職，以便于資源池管理工作有序開(kāi)展。

六、私有云的部署方式

為保證私有云資源池應(yīng)用控制工作的合理性和規(guī)范性，就要結(jié)合其實(shí)際應(yīng)用環(huán)境和要求落實(shí)對(duì)應(yīng)的工作模式，保證部署機(jī)制和部署內(nèi)容都能貼合基本的需求，從而為私有云資源池應(yīng)用價(jià)值的最優(yōu)化提供支持。在私有云部署工作中，要明確其應(yīng)用架構(gòu)，并按照應(yīng)用系統(tǒng)的具體情況完成部署工作，依據(jù)總體原則，配合運(yùn)營(yíng)管理要求、資源測(cè)算模型等工作環(huán)節(jié)，維持部署體系的統(tǒng)籌效果，從而保證私有云資源池效率符合預(yù)期。

（一）私有云應(yīng)用架構(gòu)

在網(wǎng)絡(luò)不斷發(fā)展的基礎(chǔ)上，云計(jì)算受到了廣泛關(guān)注，其本身是用量付費(fèi)控制模式，能實(shí)現(xiàn)便捷化網(wǎng)絡(luò)服務(wù)，并且能實(shí)現(xiàn)計(jì)算資源池的配置處理，企業(yè)借助相應(yīng)的資源切換處理方式完成資源應(yīng)用控制，結(jié)合需求進(jìn)行計(jì)算機(jī)和存儲(chǔ)設(shè)備的訪問(wèn)。而在私有云部署處理工作中，要依據(jù)域完成劃分，并配合分層搭建的處理模式，較為常見(jiàn)的劃分內(nèi)容為一級(jí)云平臺(tái)和省級(jí)云平臺(tái)，前者能實(shí)現(xiàn)實(shí)時(shí)性管理，并為集團(tuán)提供總體業(yè)務(wù)管理和運(yùn)營(yíng)支持[3]。后者則是對(duì)省內(nèi)業(yè)務(wù)和運(yùn)營(yíng)予以協(xié)同管理。

（二）應(yīng)用系統(tǒng)部署

結(jié)合應(yīng)用要求和規(guī)范，滿(mǎn)足總體部署原則的基礎(chǔ)上，按照運(yùn)營(yíng)管理的規(guī)范內(nèi)容開(kāi)展具體作業(yè)，從而維持系統(tǒng)部署的科學(xué)效果。

1. 總體原則

（1）業(yè)務(wù)環(huán)境部署原則。主要對(duì)峰值和平均業(yè)務(wù)訪問(wèn)量、業(yè)務(wù)訪問(wèn)要求等予以管理，確保系統(tǒng)軟件選型和基礎(chǔ)設(shè)施資源需求得以滿(mǎn)足。（2）應(yīng)用架構(gòu)部署原則。結(jié)合應(yīng)用云化特征和獨(dú)立部署標(biāo)準(zhǔn)對(duì)計(jì)算機(jī)型應(yīng)用和數(shù)據(jù)服務(wù)型應(yīng)用、Web服務(wù)型應(yīng)用等予以差異化控制。（3）部署環(huán)境。綜合分析中間件和數(shù)據(jù)庫(kù)，保證資源和特征的對(duì)應(yīng)性，充分考量集成方式、資源具體要求等要素。（4）運(yùn)維部署原則。確保業(yè)務(wù)連續(xù)性保障工作和容災(zāi)應(yīng)急規(guī)劃工作等都能落實(shí)到位，匹配云化運(yùn)維彈性擴(kuò)展模塊，確保冗余度配置要求符合標(biāo)準(zhǔn)。

2. 運(yùn)營(yíng)管理要求

在云化系統(tǒng)指導(dǎo)下，要對(duì)資源進(jìn)行統(tǒng)一規(guī)劃，確保監(jiān)控內(nèi)容、調(diào)度模式、分配方式、調(diào)撥要求以及運(yùn)維管理等工作都能貼合實(shí)際需求，真正意義上打造全壽命周期運(yùn)維管理方案，確保集成化應(yīng)用部署等工作細(xì)則都能按照標(biāo)準(zhǔn)要求有序開(kāi)展，真正意義上實(shí)現(xiàn)物理資源、虛擬資源和集成應(yīng)用資源的協(xié)調(diào)統(tǒng)一[5]。

3. 資源測(cè)算模型

在私有云資源池部署體系中，要充分重視資源的價(jià)值，所謂資源，指的就是系統(tǒng)不同應(yīng)用在計(jì)算處理過(guò)程、數(shù)據(jù)存儲(chǔ)訪問(wèn)過(guò)程以及指令傳達(dá)等環(huán)節(jié)中依賴(lài)設(shè)施的關(guān)鍵技術(shù)指標(biāo)，不僅包括主機(jī)CPU、內(nèi)存數(shù)據(jù)、I/O，還包括交換機(jī)端口等內(nèi)容，匹配軟件性能工程處理模式，就能打造更加系統(tǒng)且定量的管控機(jī)制，減少性能驅(qū)動(dòng)開(kāi)發(fā)造成的影響。為了保證資源測(cè)算模型應(yīng)用的合理性，要落實(shí)相應(yīng)的資源管理辦法（見(jiàn)表1），維持資源控制基礎(chǔ)效果。而在軟件性能工程中，要結(jié)合性能基準(zhǔn)設(shè)定要求完成軟件測(cè)試，較為常見(jiàn)的是軟件執(zhí)行模型和系統(tǒng)資源模型。而系統(tǒng)資源模型要借助計(jì)算機(jī)資源完成建模和分析工作，能在描述系統(tǒng)需求的同時(shí)，打造排隊(duì)網(wǎng)絡(luò)模型，完成資源測(cè)算工作。

七、云資源池安全防護(hù)措施

為保證云資源池安全防護(hù)效果，要整合具體的防控措施，確保安全設(shè)施部署、安全管控流程監(jiān)督等工作內(nèi)容都能有序開(kāi)展。

（一）部署安全設(shè)施

1. 主機(jī)防護(hù)設(shè)備

在主機(jī)防護(hù)設(shè)備部署的過(guò)程中，要對(duì)物理主機(jī)和虛擬主機(jī)予以協(xié)同管理和保護(hù)，維持良好的應(yīng)用狀態(tài)，并且搭建入侵檢測(cè)防御模塊、漏洞風(fēng)險(xiǎn)檢測(cè)模塊、基線配置檢查模塊和弱口令檢測(cè)模塊等，及時(shí)查殺病毒和惡意程序，從而維持實(shí)時(shí)性保護(hù)和控制的規(guī)范性。

2. 堡壘機(jī)

在云資源池安全防護(hù)體系中，堡壘機(jī)能打造業(yè)務(wù)內(nèi)容集中認(rèn)證和賬號(hào)綜合授權(quán)管理的控制模式，并且，配合集中審計(jì)等基礎(chǔ)環(huán)節(jié)，就能建構(gòu)統(tǒng)一運(yùn)維管理體系，及時(shí)攔截非法指令或者是違規(guī)操作等內(nèi)容，發(fā)揮預(yù)警優(yōu)勢(shì)作用，提升部署安全性。

3. 網(wǎng)站防護(hù)設(shè)備

在網(wǎng)絡(luò)應(yīng)用控制體系中，多數(shù)業(yè)務(wù)系統(tǒng)均具備Web網(wǎng)站，配合云資源池部署防護(hù)要求建立集中化保護(hù)模式，并且配合防火墻的基礎(chǔ)組成單元，減少網(wǎng)站受到攻擊的概率，也能最大程度上避免數(shù)據(jù)被剽竊的可能性。利用相應(yīng)的阻斷處理模式就能有效維持網(wǎng)頁(yè)文件的安全性、完整性，甚至在被惡意篡改后及時(shí)修復(fù)。

（二）安全管控

1. 網(wǎng)絡(luò)隔離

指的是結(jié)合網(wǎng)絡(luò)應(yīng)用要求部署差異化VLAN以及獨(dú)立的虛擬防火墻結(jié)構(gòu)，從而打造獨(dú)立的防護(hù)控制單元，確保業(yè)務(wù)系統(tǒng)之間能呈現(xiàn)出獨(dú)立運(yùn)行狀態(tài)，而對(duì)于需要建立業(yè)務(wù)交互工作的系統(tǒng)則需要在其他應(yīng)用體系內(nèi)完成交接。盡管這種處理機(jī)制會(huì)浪費(fèi)一部分網(wǎng)絡(luò)資源，但卻能維持業(yè)務(wù)系統(tǒng)獨(dú)立安全性，結(jié)合流量設(shè)置處理方式，在系統(tǒng)出現(xiàn)網(wǎng)絡(luò)風(fēng)暴等異常情況時(shí)占據(jù)小部分出口帶寬，為其他系統(tǒng)的綜合處理提供支持。

2. 權(quán)限管控

為了提升常規(guī)化管理工作的基本水平，要結(jié)合實(shí)際應(yīng)用環(huán)境完善權(quán)限管理操作，依據(jù)最小化權(quán)限原則完成云資源池和業(yè)務(wù)系統(tǒng)管理賬號(hào)權(quán)限設(shè)置工作，限制維護(hù)操作內(nèi)容的同時(shí)，確保堡壘機(jī)完成輔助處理內(nèi)容，也為雙因子認(rèn)證模式的落實(shí)提供支持，確保靜態(tài)口令、一次性口令、數(shù)字證書(shū)以及動(dòng)態(tài)口令等都能落實(shí)到位，維持權(quán)限集中管理的實(shí)效性。另外，要將所有資源池操作內(nèi)容均記錄在日志信息中，以保證后續(xù)分析工作的合理性和規(guī)范性，發(fā)現(xiàn)違規(guī)操作或者是非法操作后，提供審計(jì)依據(jù)，保持信息安全和業(yè)務(wù)安全性。除此之外，為了權(quán)限管控的基本效率符合業(yè)務(wù)應(yīng)用要求，一般是采取雙人方式進(jìn)行業(yè)務(wù)安全和信息安全的權(quán)限管理，依據(jù)流程一個(gè)人操作、另一個(gè)人審批，實(shí)現(xiàn)過(guò)程化管理的目標(biāo)。

3. 日常安全檢查

在云資源池安全防護(hù)工作中，盡管控制體系具備自動(dòng)防護(hù)的作用，但是其依舊存在誤報(bào)、漏報(bào)等隱患，所以，匹配自動(dòng)化處理模式建立第三方設(shè)備日常維護(hù)方案非常關(guān)鍵，確保源資源池和業(yè)務(wù)系統(tǒng)層面級(jí)別檢測(cè)工作的實(shí)效性，維持檢查的總體效果。一方面，要約束日常檢查的內(nèi)容，主要是針對(duì)系統(tǒng)漏洞、基線配置、賬號(hào)弱口令等予以集中檢查和分析，了解可能存在的隱患問(wèn)題。另一方面，要約束檢查范圍，一般是對(duì)操作系統(tǒng)、中間件系統(tǒng)以及數(shù)據(jù)庫(kù)等予以評(píng)估，并且要針對(duì)Web網(wǎng)頁(yè)開(kāi)展集中的掃描分析和人工滲透檢查處理，發(fā)現(xiàn)問(wèn)題后及時(shí)整改，打造完整地推進(jìn)管理機(jī)制，減少安全漏洞問(wèn)題[6]。

4. 殘留數(shù)據(jù)清理

為了保證云資源池安全防護(hù)工作落實(shí)到位，在云資源池上退網(wǎng)的業(yè)務(wù)系統(tǒng)也要?dú)w類(lèi)在集中管理框架體系內(nèi)，一般是對(duì)原分配存儲(chǔ)設(shè)備予以數(shù)據(jù)的處理，采取永久性刪除的方式，避免數(shù)據(jù)遺漏造成的問(wèn)題。而對(duì)于故障替換的存儲(chǔ)設(shè)備，則一般采取消處理，從根本上減少資料信息外泄的可能性，提升數(shù)據(jù)監(jiān)督管理的綜合水平。

八、電信運(yùn)營(yíng)商私有云資源池發(fā)展展望

在電信通信全面發(fā)展的時(shí)代背景下，私有云資源池也將向著更加規(guī)范化的方向發(fā)展。一方面，將實(shí)現(xiàn)資源的多元整合，實(shí)現(xiàn)壁壘破除的目標(biāo)，為企業(yè)級(jí)私有云資源池發(fā)展提供保障。另一方面，我國(guó)移動(dòng)未來(lái)運(yùn)營(yíng)發(fā)展也將實(shí)現(xiàn)聯(lián)網(wǎng)統(tǒng)籌的目標(biāo)，建設(shè)高效融合低成本云資源池也將成為未來(lái)電信運(yùn)營(yíng)最關(guān)鍵的決策。

九、結(jié)束語(yǔ)

總而言之，電信運(yùn)營(yíng)商私有云資源池管理工作具有重要的實(shí)踐意義，為此，要維持系統(tǒng)云化狀態(tài)的同時(shí)，優(yōu)化維護(hù)效率，及時(shí)發(fā)現(xiàn)存在的風(fēng)險(xiǎn)問(wèn)題并落實(shí)相關(guān)處理工作，保證承載業(yè)務(wù)系統(tǒng)的安全性和規(guī)范性，突破技術(shù)壁壘，為資源整合以及資源池發(fā)展提供保障，促進(jìn)電信運(yùn)營(yíng)商資源管理工作可持續(xù)發(fā)展。

作者單位：孫翠鋒" "胡建村" " 中國(guó)移動(dòng)集團(tuán)公司信息技術(shù)中心

參" 考" 文" 獻(xiàn)

[1]許智. 電信運(yùn)營(yíng)商私有云資源池的安全風(fēng)險(xiǎn)和防護(hù)[J].數(shù)字通信世界，2020（6）：48-49.

[2]謝玉棟. 運(yùn)營(yíng)商私有云架構(gòu)設(shè)計(jì)及IT系統(tǒng)整合策略淺析[J].商品與質(zhì)量，2016（48）：116.

[3]孫興宇. 上海移動(dòng)運(yùn)營(yíng)商信息安全管控系統(tǒng)的優(yōu)化設(shè)計(jì)與實(shí)施[D].山東：山東大學(xué)，2018.

[4]蔡金金. 江蘇聯(lián)通政企支撐私有云項(xiàng)目的風(fēng)險(xiǎn)管理研究[D]. 江蘇：南京郵電大學(xué)，2018.