業務背景
如今，隨著醫院不斷有新的應用系統上線，數據呈指數級增長，原有的系統迫切需要擴容升級。由于醫院內的HIS、PACS?和電子病歷等系統是在不同時期分批建成的，導致各系統的數據處于分散存儲狀態。不僅如此，每個系統所采取的存儲方式與存儲介質也各不相同，隨著上述系統應用規模的不斷擴大，在數據管理方面的問題日益凸顯出來，主要表現為：系統的高可用性、移動醫療的便捷性，醫療影像容量不足，數據調用不便；系統結構相對落后，系統穩定性有待提高；最后，分散存儲的模式，嚴重影響了數據資產的管理效率。
醫院數據中心的每一個設施，包括服務器、存儲和網絡等，都為某一計算峰值而準備，這在導致整體計算資源閑置的同時，也容易產生在某一具體計算上的能力不足，形成投入和產出呈反比的悖論。而通過虛擬化，包括軟件、操作系統、存儲、網絡和管理的虛擬化，則可以把數據中心的計算整合為一個公共的池，讓醫院的計算富有彈性，并最大程度降低服務器、存儲等物理設施以及其他散熱、管理成本，實現節能、自動化、虛擬化、整合及業務連續性。因此，理想的數據中心應該是一個不浪費計算資源，同時可以滿足醫院計算需求，綠色低能耗，且可持續發展的基礎設施。?
云計算模式通過將數據統一存儲在云計算服務器中，加強對核心數據的集中管控，比傳統分布在大量終端上的數據行為更安全。由于數據的集中，使得安全審計、安全評估、安全運維等行為更加簡單易行，同時更容易實現系統容錯、高可用性和冗余及災備恢復。但云計算在帶來方便快捷的同時也帶來新的挑戰。從安全建設原則、安全保護對象和安全建設目標上來講，云安全與傳統的信息安全并無本質的區別。同時，一些傳統的、行之有效的信息安全技術和策略也將會繼續應用在云計算平臺及其終端設備的安全管理與防護上。而云計算作為一種新型的計算模式，其安全建設必然與傳統的信息安全建設存在區別，其安全性也必有其特殊的一面。
安全需求
● 云環境下的合規風險
網安法、CII條例征求意見稿、等保2.0、個人信息安全規范的相繼出臺，為云計算環境下的安全保障指明了方向，云服務的提供者和使用者違反相關法規，將面臨法律處罰。
● 云環境下的管理風險
1) 責任難以界定
在云計算模式下，云計算平臺的管理主體、運營主體、數據安全責任主體三者不同，相互之間的責任難以界定，特別是在云租戶與云服務提供商之間。而不同的服務模式（例如提供SaaS服務的云服務商可能將其服務建立在其他云服務商的PaaS或IaaS 之上）則進一步增加了界定云租戶與云服務商之間責任的難度。
2) 租戶業務風險
在云計算環境，租戶將自己的數據和業務系統遷移到云上，失去對這些數據和業務的直接控制能力，同時云服務商具有訪問、利用或操控租戶數據的能力。云服務商把云計算平臺的安全措施及其狀態視為知識產權和商業秘密，租戶不能有效監管云服務商的內部人員對客戶數據的越權訪問和使用，增加了租戶數據和業務的風險。
3) 數據保護困難
云服務商使用其他第三方的功能組件，使云計算平臺結構復雜性增加，實施有效的數據保護措施更加困難，客戶數據被未授權訪問、篡改、泄露和丟失的風險增大。
4) 數據殘留風險
當客戶退出云計算服務時，云服務商應該完全刪除客戶的數據。但目前，還缺乏有效的機制、標準或工具來驗證云服務商是否實施了完全刪除操作。
● 云環境下的技術挑戰
1) 自適應云安全
云環境下，硬件資源轉變為虛擬化形態，并實現虛擬化資源的自動化部署、按需分配、彈性擴容、動態遷移等功能，安全產品如何適應云環境的業務特點實現自適應安全（自動化部署、按需分配、彈性擴容、策略跟隨、協同響應、安全閉環）是云安全面臨的一大挑戰。
2) 網絡安全威脅
云環境下，惡意人員通過對云平臺的攻擊，對云租戶的業務安全造成威脅：
? 單臺虛擬機被入侵后對其他虛擬機進行的滲透攻擊，并導致病毒在網絡內傳播蔓延
? 虛擬機之間進行的ARP攻擊、嗅探
? 云內網絡帶寬的非法搶占
? 因云平臺管理員賬號被盜導致的從互聯網直接非法訪問云資源
? 東西向安全問題，例如虛擬機之間的端口掃描、暴力破解、入侵攻擊等
3) 主機安全威脅
? 服務器、宿主機、虛擬機的操作系統和數據庫被暴力破解、非法訪問、操作竊聽
? 同一個邏輯卷被多個虛擬機掛載導致邏輯卷上的敏感信息泄露
? 服務器、宿主機、虛擬機的補丁更新不及時導致的漏洞利用以及不安全的配置和非必要端口的開放導致的非法訪問和入侵
? 虛擬機因異常原因產生的資源占用過高而導致宿主機或其它虛擬機的資源不足
4) 應用安全威脅
? 網頁被惡意篡改
? 利用應用系統對外接口，對云平臺發起攻擊
? 云內應用系統健康狀況不透明
5) 數據安全威脅
? 在虛擬環境傳輸的文件或者數據被監聽
? 云用戶從虛擬機逃逸后獲取鏡像文件或其他用戶的隱私數據
? 敏感數據存儲漂移導致的不可控
? 數據安全隔離不嚴格導致惡意用戶可以訪問其他用戶數據
解決方案
為滿足云上業務系統的安全防護需求，啟明星辰通過打造安全資源池系統來解決相關問題。
安全資源池系統從結構上分為云安全管理平臺、安全資源池以及虛擬安全產品三部分。
云安全管理平臺作為安全資源池系統解決方案的管理層，負責管理安全資源池和虛擬安全產品。
云安全管理平臺根據用戶要求，下發創建安全防護隊列、編排安全能力、規劃安全訪問路徑等指令，安全資源池根據指令完成相關動作、創建虛擬安全產品；云安全管理平臺通過API接口對接云平臺和SDN控制器，針對相應的業務系統、IP等信息，下發引流指令，安全資源池根據該指令傳送業務訪問流到安全防護隊列中；安全資源池作為整套解決方案的控制層，負責根據云安全管理平臺下發的指令，完成對資源池內的所有業務流量進行控制和操作；虛擬安全產品作為安全資源池系統解決方案的執行層，在安全防護隊列中承擔安全節點的角色，對業務訪問流進行訪問控制、安全檢測、訪問審計等。
安全資源池系統是一套針對云上業務系統安全能力建設的承載平臺、操作平臺和管控平臺，通過解耦管理層、控制層和執行層，實現靈活的云上業務系統防護。
方案優勢
云安全管理平臺是基于啟明星辰多年的安全積累基礎之上，采用新一代多核X86高性能硬件平臺和云計算技術、SDN技術研發而成，為用戶提供適合從百兆、千兆、萬兆網絡，以及私有云環境下的威脅發現、威脅展示、威脅分析、威脅處理的專業化威脅發現與管理系統
● 自主產權，可持續發展
云安全管理平臺具有完全自主的知識產權，能夠幫助政府、軍隊、金融、電信、制造業、醫療、教育等企事業國家單位對網絡安全進行更加方便的安全威脅發現、展示、分析與處理。系統設計之初就充分考慮了用戶環境的復雜性、擴展性，以及對安全需求的不斷變化，系統的自主設計將可以快速、可持續發展安全產品的功能與技術，為用戶帶來更多易用、適用、穩定可靠的安全產品。
● 節約成本，快速部署
云安全管理平臺可以將多個安全產品以虛擬機的方式運行在1-N臺硬件設備中，在節約了硬件成本的同時，還節約了多臺硬件消耗的機架租金、電力、制冷、人力維護等運維成本。
系統內置的市場客戶端可以從安全市場獲得各種安全產品虛機映像，通過虛機映像可以快速創建各種虛擬化的安全產品，這個過程通常引擎類只需要1~2分鐘，最多十幾分鐘（數據中心產品受限創建硬盤時間，越大尺寸硬盤時間越長），從而實現了快速部署安全產品。
● 可軟可硬，靈活的商業模式
云安全管理平臺支持部署在定制的工控機硬件上，也支持部署在支持虛擬化的商業服務器硬件上；支持軟硬件一體銷售，也支持用戶自己購買服務器硬件（硬件需要符合系統對硬件的要求），廠商只銷售軟件授權的商業模式。
● 統一管理，提高運維效率
云安全管理平臺具有豐富的管理功能，友好的用戶界面，統一的安全產品管理接口。安全產品出現故障時，可以通過界面登陸虛機串口、重啟虛機、切換網絡等手段，遠程處理故障，不用管理員跑機房操作安全產品調試，極大的提高了網絡安全產品運維的效率。
● 多樣組合，產生協同效應，并滿足合規需求
單一的安全產品是無法滿足高級別的安全合規要求（例如等保），系統支持多個虛擬安全產品并行運行，不同種類的安全產品組合在一起，產生協同效應，不但可以產生出新的安全價值，而且可以更好的高級別的安全合規要求。
● 靈活擴展，持續提升安全能力
云安全管理平臺支持安全產品虛擬化的部署方式，在單機硬件資源允許的條件下，用戶通過創建安全產品虛擬機，快速擴展自己的安全能力；
云安全管理平臺支持分布式系統架構，在單機硬件資源不夠時，可將多臺主機組成硬件資源池，通過在資源池中獲得硬件資源并創建安全產品線虛擬機的方式，近乎無限擴展安全能力。
● 開放架構，納管第三方虛擬化產品
云安全管理平臺采用的虛擬化引擎是KVM，只要是基于KVM的第三方產品虛擬機映像可在系統上運行，例如：32位或64位的Fedora/Centos Linux和各個版本的Windows系統經過測試都可以在系統上很好的運行。
● 安全合規，云環境下的迫切選擇
傳統IT架構滿足等保三級要求時，需要部署防火墻、入侵檢測、數據審計等產品，在云環境下的虛擬機之間東西向流量，無法采用傳統硬件安全設備進行入侵檢測與審計，難以滿足云等保等合規要求，采用系統整體方案后，可以將云中虛擬機的流量導出到安全資源池中進行檢測與審計，配合云中的虛擬防火墻，邊界的防火墻設備，可以滿足云等保等合規相關要求。
● 獨立部署，松耦合且降低業務質量風險
安全產品以虛擬機的方式部署在云中，需要云平臺提供CPU、內存、硬盤、網絡等資源，安全產品虛擬機容易與云中的其他業務虛機搶奪CPU等硬件資源，影響業務虛機的性能。獨立的虛擬化安全資源池，與業務虛機不發生CPU、內存、硬盤等資源的爭搶，這樣的獨立部署架構即減少對云平臺的緊耦合，又有效降低云內部署安全虛擬機方案帶來的業務質量風險。
Copyright ? 啟明星辰 版權所有 京ICP備05032414號 
京公網安備11010802024551號
