云計算安全概要
云計算從概念到實體，至今已歷經十二個年頭。時至今日，云計算早已成為IT領域的“常態”。從2006年Google公司開始提出“云計算”這一IT概念以來，云計算的發展不僅得到了各商業機構和科研院校的大力支持，也得到了世界各國政府的極力助推。以我國為例，近年來，云計算在我國政府推動下迅猛發展，尤其在中國政府將網絡安全上升到國家戰略層面的背景下，國內IT基礎設施已經逐步實現從計算、存儲、軟件到操作系統和數據庫等核心平臺的國產化。因此，云計算在我國信息安全的建設過程中將擔任更重要的角色。
《中華人民共和國網絡安全法》由全國人民代表大會常務委員會于2016年11月7日發布，自2017年6月1日起施行。其中，第二十一條“國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，履行下列安全保護義務?！?，奠定等級保護制度的重要地位。
云計算安全挑戰
云計算平臺作為信息化建設中的重要系統，具備開放型巨系統的特征，系統組成極為復雜。由此決定著云計算平臺將面臨著各個層面的網絡安全挑戰。
首先，是來自網絡和通訊的安全挑戰。這類攻擊是借助網絡、通訊特性如帶寬、傳輸會話、數據包轉發等實施的攻擊。例如，直接通過網絡實施DDOS攻擊，通過網絡使用不安全接口實施注入、盜取秘鑰、非法獲取敏感數據、非法篡改數據攻擊，通過網絡實施賬戶劫持以及通過網絡傳輸的APT類攻擊等。
其次，是面向設備和計算的安全挑戰。攻擊者利用云計算設備和平臺性能優勢或固有特性實施直接或間接的攻擊，如：身份驗證和憑證被盜取、云計算存儲資源數據殘留、存在漏洞的基礎服務資源被共享使用、云服務被濫用于其他網絡攻擊等。
第三，是面向應用和數據的安全挑戰。應用的目的是處理數據，云計算軟件漏洞、不安全接口、數據庫存儲不受控、黑客攻擊、員工處理數據的異常操作、未被授權的訪問等可造成數據泄露、數據異常銷毀、數據永久丟失等重大損失。
第四，是來自管理、運維的安全挑戰。在云計算管理層面，缺乏盡職調查、數據所有權缺乏保障體系；在運維層面，存在云使用方或云租戶對云計算服務方過度依賴，甚至被云計算服務方鎖定、惡意越權訪問、濫用職權以及誤操作等，存在信息安全隱患的管理和運維，這些對云計算平臺的安全穩定帶來巨大風險和隱患。
云計算等級保護組織架構
云計算等級保護的施行由兩部分組成，一部分是組織，另外一部分是施行邏輯。就組織而言，云計算等級保護有完善的指導、規劃、試測、建設、驗證、審計和持續優化流程組織形式和流程。
圖1 等級保護實施流程
云計算等級保護框架
云計算等級保護是整個等保2.0的一部分，它與等級保護的“通用”部分形成一個整體，來約束云計算平臺的等級保護建設，為云計算平臺網絡安全建設設立基線。云計算等級保護框架按照系統組成來劃分，大致可分為面向整個云計算平臺的防護要求和面向云計算負載的防護要求。
圖2 云計算安全等級保護是等級保護框架的一部分
云計算系統分級需要綜合等級保護中的安全通用要求和云計算安全兩個模塊的內容，進行定級。云計算等級保護的每個等級依據威脅對目標造成的影響程度，形成有梯度的防護。這些要求被整體劃分為技術要求和管理要求，分別面向云計算平臺系統和云計算平臺管理兩個部分。以三級等保建設為例，其技術要求160多項、管理要求120多項。
圖3 云計算平臺等級保護內容框架
云計算等級保護邏輯
云計算等級保護邏輯涵蓋技術邏輯、管理邏輯和運行邏輯。技術邏輯和運行邏輯是密不可分的，云計算平臺的組成可分為控制平臺和云計算基礎設備，云計算控制平臺目前包含OpenStack、VmwareESX、XenServer、阿里飛天、華為FusionSphere、OpenQRM、OpenNebula等；云計算基礎設備包含網絡設備、存儲設備、計算設備、證書簽發設備還有各類系統等。云計算等級保護的重要任務是對云計算平臺本身以及其運行環境做網絡安全防護。
云安全防護邏輯由技術體系與管理體系兩部分組成，其中，安全管理體系包括人員與組織、安全策略、系統安全建設和系統安全運維四部分。安全技術體系包括計算環境安全、接入邊界安全、通信網絡安全和安全管理中心四部分。安全管理中心支持下的云計算平臺安全設計框架如下圖所示，該圖指出了云計算平臺的三層架構和三種主要的安全區域劃分方式，以及安全計算環境、安全區域邊界（即下圖中縱向虛線所示）、安全通信網絡（即下圖中的雙向箭頭）在云計算平臺中的位置。
圖4 云計算等級保護建設邏輯框架
總 結
云平臺安全機制是由兩個主要方面來保障的，一個是云等保機構的體系架構，另外一個是該體系架構的執行邏輯。這兩個方面闡述了面對云計算平臺網絡安全威脅，應如何制定管理策略和網絡安全系統建設。云計算等級保護制度伴隨云平臺發展與實踐，遍布信息安全建設的各個領域，聚焦、深入行業領域將會是云計算等級保護制度重點方向。
參考資料
《計算機信息系統安全保護等級劃分準則》GB17859-1999
《信息系統安全等級保護實施指南》
《信息系統安全保護等級定級指南》
《信息系統安全等級保護基本要求》GB/T -22239-2019
《信息系統等級保護安全設計要求》GB/T-25070-2019
《信息系統安全等級保護測評要求》GB/T -28448-2019
《信息系統安全等級保護測評過程指南》GB/T -28449-2018
Copyright ? 啟明星辰 版權所有 京ICP備05032414號 
京公網安備11010802024551號
