自云計算的概念產(chǎn)生以來，各類與云相關(guān)的服務(wù)紛紛涌現(xiàn)，隨之而來的就是人們對云安全問題的關(guān)注。目前各個運營商、服務(wù)提供商以及安全廠商所提的云安全解決方案，大都根據(jù)自己企業(yè)對云平臺安全的理解，結(jié)合本企業(yè)專長，專注于某一方面的安全。然而，對于用戶來說云平臺是一個整體，需要構(gòu)建云平臺的整體安全防護體系。
因此，針對云計算中心的安全需求建立信息安全防護體系已經(jīng)是大勢所趨，云安全防護體系的建立，必將使云計算得以更加健康、有序的發(fā)展。
2、云計算的安全問題解析
云計算模式當前已得到業(yè)界普遍認同。成為信息技術(shù)領(lǐng)域新的發(fā)展方向。但是，隨著云計算的大量應(yīng)用。云環(huán)境的安全問題也日益突出。我們?nèi)绻荒芎芎玫亟鉀Q相關(guān)的安全管理問題，云計算就會成為過眼”浮云”。對于云計算面臨的安全問題。88.5%的企業(yè)對此表示擔憂，各種調(diào)研數(shù)據(jù)也表明：安全性是用戶選擇云計算的首要考慮因素。對云安全的概念有多種層面的解讀，本文所指云安全是聚焦于云計算中心的安全問題及其安全防護體系。
2.1云安全與傳統(tǒng)安全技術(shù)的關(guān)系
云計算引入了虛擬化技術(shù)。改變了服務(wù)方式，但并沒有顛覆傳統(tǒng)的安全模式。在云計算環(huán)境下由于虛擬化技術(shù)的引入，需要納入虛擬化安全的防護措施;而在基礎(chǔ)層面上，仍然可依靠成熟的傳統(tǒng)安全技術(shù)來提供安全防護。
云計算安全和傳統(tǒng)安全在安全目標、系統(tǒng)資源類型、基礎(chǔ)安全技術(shù)方面是相同的，而云計算又有其特有的安全問題，主要包括虛擬化安全問題和與云計算分租服務(wù)模式相關(guān)的一些安全問題。大體上，我們可以把云安全看做傳統(tǒng)安全的一個超集，或者換句話說，云安全是傳統(tǒng)安全在云計算環(huán)境下的繼承和發(fā)展。
綜合前面的討論，可以推導(dǎo)出一個基本的認識，云計算的模式是革命性的：虛擬化安全、數(shù)據(jù)安全和隱私保護是云安全的重點和難點。云安全將基于傳統(tǒng)安全技術(shù)獲得發(fā)展。
2.2云計算的安全需求與防護技術(shù)
解決安全問題的出發(fā)點是風(fēng)險分析，CSA云安全聯(lián)盟提出了所謂”七重罪”的云安全重點風(fēng)險域。
Threat 1：Abuse and Nefarious Use of Cloud Computing(計算的濫用、惡用、拒絕服務(wù)攻擊);
Throat 2：Insecure Interfaces and APIs(不安全的接口和API);
Threat 3：Malicious Insiders(惡意的內(nèi)部員工);
Threat4：Shared Technology Issues(共享技術(shù)產(chǎn)生的問題);
Threat 5：Data Loss or Leakage(數(shù)據(jù)泄漏);
Threat 6：Account or Service Hijacking(賬號和服務(wù)劫持);
Threat 7：Unknown Risk Profile(未知的風(fēng)險場景)。
信息的機密性、完整性和可用性被公認為信息安全的三個重要的基本屬性。用戶在使用云計算服務(wù)時也會從這三個方面提出基本的信息安全需求。
機密性安全需求：要求上傳到云端的信息及其處理結(jié)果以及所要求的云計算服務(wù)具有排他性，只能被授權(quán)人訪問或使用，不會被非法泄露。
完整性安全需求：要求與云計算相關(guān)的數(shù)據(jù)或服務(wù)是完備、有效、真實的，不會被非法操縱、破壞、篡改、偽造，并且不可否認或抵賴。
可用性安全需求：要求網(wǎng)絡(luò)、數(shù)據(jù)和服務(wù)具有連續(xù)性、準時性，不會中斷或延遲，以確保云計算服務(wù)在任何需要的時候能夠為授權(quán)使用者正常使用。
根據(jù)云計算中心的安全需求，我們會相應(yīng)得到一個安全防護技術(shù)的層次結(jié)構(gòu)：底層是基礎(chǔ)設(shè)施安全，包括基礎(chǔ)平臺安全、虛擬化安全和安全管理;中間是數(shù)據(jù)安全。上層是安全服務(wù)層面，外圍還包括安全接入相關(guān)的防護技術(shù)。
3、等級保護背景下的云安全體系
3.1等級保護標準與云安全
自1994年國務(wù)院147號令開始，信息安全等級保護體系歷經(jīng)近20年的發(fā)展，從政策法規(guī)、國家標準、到測評管理都建立了完備的體系，自2010年以來，在公安部的領(lǐng)導(dǎo)下，信息安全等級保護落地實施開展得如火如荼，信息安全等級保護已經(jīng)成為我國信息化建設(shè)的重要安全指導(dǎo)方針。
盡管引入了虛擬化等新興技術(shù)，運營模式也從出租機房進化到出租虛擬資源、乃至出租服務(wù);但從其本質(zhì)上看，云計算中心仍然是一類信息系統(tǒng)，需要依照其重要性不同分等級進行保護。云計算中心的安全工作必須依照等級保護的要求來建設(shè)運維，此外，云安全還需要考慮虛擬化等新的技術(shù)和運營方式所帶來的安全問題。因此，云計算中心防護體系應(yīng)當是以等級保護為指導(dǎo)思想，從云計算中心的安全需求出發(fā)。從技術(shù)和管理兩個層面全方位保護云計算中心的信息安全：全生命周期保證云計算中心的安全建設(shè)符合等保要求：將安全理念貫穿云計算中心建設(shè)、整改、測評、運維全過程。建設(shè)目標是要滿足不同用戶不同等保級別的安全要求。做到等保成果的可視化，做到安全工作的持久化。
3.2云計算中心的安全框架
一個云計算中心的安全防護體系的構(gòu)建。應(yīng)以等級保護為系統(tǒng)指導(dǎo)思想，能夠充分滿足云計算中心的安全需求為目標。根據(jù)前面的研究，我們提出一個云計算中心的安全框架，包括傳統(tǒng)安全技術(shù)、云安全技術(shù)和安全運維管理三個層面的安全防護。
云安全框架以云安全管理平臺為中心，綜合安全技術(shù)和管理運維兩個方面的手段確保系統(tǒng)的整體安全。在安全技術(shù)方面，除了傳統(tǒng)的物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全、備份恢復(fù)等保障措施，還需要通過虛擬化安全防護技術(shù)和云安全服務(wù)來應(yīng)對云計算的新特征所帶來的安全要求。
3.3云安全防護體系架構(gòu)
在實際的云安全防護體系建設(shè)中。首先要在網(wǎng)絡(luò)和主機等傳統(tǒng)的安全設(shè)備層面建立基礎(chǔ)信息系統(tǒng)安全防護系統(tǒng)。基礎(chǔ)信息安全防護體系是以等級保護標準為指導(dǎo)進行構(gòu)建，符合等級保護標準對相應(yīng)安全級別的基本安全要求。
在此基礎(chǔ)上，通過SOC安全集中管理系統(tǒng)、虛擬安全組件、SMC安全運維管理系統(tǒng)和等保合規(guī)管理系統(tǒng)四個安全子系統(tǒng)共同組成云安全管理中心。通過實體的安全技術(shù)和虛擬化安全防護技術(shù)的協(xié)同工作，為云計算中心提供從實體設(shè)備到虛擬化系統(tǒng)的全面深度安全防護，同時通過專業(yè)的SLC等保合規(guī)管理系統(tǒng)來確保云安全體系對于等級保護標準的合規(guī)性。
京公網(wǎng)安備 11010502049343號