概述

　　上一期我們講了安全擴展里面的安全物理環(huán)境、安全通信網(wǎng)絡(luò)和安全區(qū)域邊界，這期給大家?guī)戆踩嬎悱h(huán)境、安全管理中心、安全建設(shè)管理和安全運維管理部分的內(nèi)容。

　　01

　　安全計算環(huán)境

　　身份鑒別

　　【云安全計算環(huán)境中的身份鑒別要求當遠程管理云計算平臺中設(shè)備時，管理終端和云計算平臺之間應(yīng)建立雙向身份驗證機制】

　　解讀：

　　云計算平臺要對管理終端身份的合法性進行驗證，管理終端也要對所管理設(shè)備身份的合法性進行驗證。

　　訪問控制

　　【應(yīng)保證當虛擬機遷移時，訪問控制策略隨其遷移】

　　解讀：

　　彈性擴展是云計算比較鮮明的特點，由于業(yè)務(wù)的需要，經(jīng)常會涉及到虛擬機的新增、刪除以及遷移等情況，這就需要虛擬機遷移后，云平臺能夠感知遷移的目標物理機，并通過策略下發(fā)等方式保持針對該虛擬機的訪問控制策略不變，也就是訪問控制策略隨虛擬機的遷移而遷移。

　　【應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機之間的訪問控制策略】

　　解讀：

　　這是對云平臺提出的安全能力要求，云平臺給云服務(wù)客戶提供安全資源，并將所提供安全資源的管理權(quán)限一并分配給客戶。

　　入侵防范

　　【應(yīng)能檢測虛擬機之間的資源隔離失效，并進行告警】

　　【應(yīng)能檢測非授權(quán)新建虛擬機或者重新啟用虛擬機，并進行告警】

　　【應(yīng)能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，并進行告警】

　　解讀：

　　這里是對云平臺及相關(guān)組件提出的要求，虛擬機資源包括CPU、內(nèi)存和磁盤等資源，云平臺或相關(guān)組件能檢測這些資源之間的隔離措施是否有效，同時檢測虛擬機的使用及惡意代碼在虛擬機之間的蔓延情況，發(fā)現(xiàn)異常情況時及時進行告警并處置。

　　鏡像和快照保護

　　【應(yīng)針對重要業(yè)務(wù)系統(tǒng)提供加固的操作系統(tǒng)鏡像或操作系統(tǒng)安全加固服務(wù)】

　　解讀：

　　這里要求對重要業(yè)務(wù)系統(tǒng)提供安全的操作系統(tǒng)，生成加固過的虛擬機鏡像，如關(guān)閉不必要的端口、服務(wù)，且進行了安全配置的加固。

　　【應(yīng)提供虛擬機鏡像、快照完整性校驗功能，防止虛擬機鏡像被惡意篡改】

　　解讀：

　　這里要求對生成的鏡像或快照文件進行完整性校驗，并具有嚴格的校驗記錄機制，防止虛擬機鏡像或快照被惡意篡改。

　　【應(yīng)采取密碼技術(shù)或其他技術(shù)手段防止虛擬機鏡像、快照中可能存在的敏感資源被非法訪問】

　　解讀：

　　這里要求對虛擬機鏡像或快照中的敏感資源采用加密、訪問控制等技術(shù)手段進行保護，防止非法訪問。

　　數(shù)據(jù)完整性和保密性

　　【應(yīng)確保云服務(wù)客戶數(shù)據(jù)、用戶個人信息等存儲于中國境內(nèi)，如需出境應(yīng)遵循國家相關(guān)規(guī)定】

　　【應(yīng)確保只有在云服務(wù)客戶授權(quán)下，云服務(wù)商或第三方才具有云服務(wù)客戶數(shù)據(jù)的管理權(quán)限】

　　【應(yīng)使用校驗碼或密碼技術(shù)確保虛擬機遷移過程中重要數(shù)據(jù)的完整性，并在檢測到完整性受到破壞時采取必要的恢復(fù)措施】

　　【應(yīng)支持云服務(wù)客戶部署密鑰管理解決方案，保證云服務(wù)客戶自行實現(xiàn)數(shù)據(jù)的加解密過程】

　　解讀：

　　這里首先對客戶數(shù)據(jù)及用戶個人信息存儲的地理位置做了要求，必須存儲于中國境內(nèi)，如需出境應(yīng)遵循國家相關(guān)規(guī)定，目前我們國家正規(guī)化出臺個人信息出境安全評估辦法，保障數(shù)據(jù)跨境流動中的個人信息安全；其次對云服務(wù)商管理客戶數(shù)據(jù)的權(quán)限進行了限定，保障了云服務(wù)客戶對自己業(yè)務(wù)數(shù)據(jù)的所有權(quán)；最后要求通過校驗碼、密碼技術(shù)來保證數(shù)據(jù)在傳輸和使用過程中的完整性和保密性。

　　數(shù)據(jù)備份恢復(fù)

　　【應(yīng)提供查詢云服務(wù)客戶數(shù)據(jù)及備份存儲位置的能力】

　　解讀：

　　這是對云計算平臺提出的要求，考慮到云計算環(huán)境下，數(shù)據(jù)的物理存儲位置較為模糊，云平臺應(yīng)提供查詢數(shù)據(jù)及備份存儲位置的能力。

　　【云服務(wù)商的云存儲服務(wù)應(yīng)保證云服務(wù)客戶數(shù)據(jù)存在若千個可用的副本，各副本之間的內(nèi)容應(yīng)保持一致】

　　解讀：

　　云平臺自身也要提供客戶數(shù)據(jù)備份功能，且備份的數(shù)據(jù)不能在同一物理服務(wù)器。

　　【應(yīng)為云服務(wù)客戶將業(yè)務(wù)系統(tǒng)及數(shù)據(jù)遷移到其他云計算平臺和本地系統(tǒng)提供技術(shù)手段，并協(xié)助完成遷移過程】

　　解讀：

　　這條要求目的是使客戶擺脫對某一云服務(wù)商的依賴，要求云平臺統(tǒng)一標準和接口，使客戶業(yè)務(wù)和數(shù)據(jù)能夠在不同云服務(wù)商之間或者云平臺和本地靈活遷移，有效保護云服務(wù)客戶的權(quán)益。

　　剩余信息保護

　　【應(yīng)保證虛擬機所使用的內(nèi)存和存儲空間回收時得到完全清除】

　　【云服務(wù)客戶刪除業(yè)務(wù)應(yīng)用數(shù)據(jù)時，云計算平臺應(yīng)將云存儲中所有副本刪除】

　　解讀：

　　在云計算環(huán)境中，存儲客戶數(shù)據(jù)的存儲介質(zhì)由云服務(wù)商控制，客戶不能直接管理和控制存儲介質(zhì)，當客戶退出云計服務(wù)或刪除某個虛擬機時，云服務(wù)商應(yīng)完全清除客戶數(shù)據(jù)，包括備份數(shù)據(jù)和運行過程中產(chǎn)生的客戶相關(guān)的數(shù)據(jù)，進行介質(zhì)清理，不可清理的介質(zhì)應(yīng)物理銷毀，保障客戶數(shù)據(jù)的隱私安全。

　　02

　　安全管理中心

　　【應(yīng)能對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配】

　　解讀：

　　云計算環(huán)境的多客戶、多業(yè)務(wù)的特點，決定了其資源的分配及策略的調(diào)整需集中進行自動化調(diào)度與分配，以減輕運維人員的負擔。

　　【應(yīng)保證云計算平臺管理流量與云服務(wù)客戶業(yè)務(wù)流量分離】

　　解讀：

　　這里要求對云計算平臺上的資源進行帶外管理，通過獨立于客戶業(yè)務(wù)網(wǎng)絡(luò)之外的專用管理通道對云計算平臺上的資源進行管理，以使云平臺的管理流量與客戶的業(yè)務(wù)流量分離。

　　【應(yīng)根據(jù)云服務(wù)商和云服務(wù)客戶的職責劃分，收集各自控制部分的審計數(shù)據(jù)并實現(xiàn)各自的集中審計】

　　解讀：

　　這里是對云計算平臺、綜合審計系統(tǒng)或相關(guān)組件提出的要求，由于審計數(shù)據(jù)包含了網(wǎng)絡(luò)運行過程中的所有關(guān)鍵信息，因此要求云服務(wù)商與云服務(wù)客戶分別各自收集，并實現(xiàn)各自的集中審計，最大限度的保護審計數(shù)據(jù)中的敏感信息不會遭到泄漏。

　　【應(yīng)根據(jù)云服務(wù)商和云服務(wù)客戶的職責劃分，實現(xiàn)各自控制部分，包括虛擬化網(wǎng)絡(luò)、虛擬機、虛擬化安全設(shè)備等的運行狀況的集中監(jiān)測】

　　解讀：

　　云服務(wù)商和云服務(wù)客戶各自負責各自控制資源的運行狀況集中監(jiān)測。

　　03

　　安全建設(shè)管理

　　·云服務(wù)商選擇

　　【應(yīng)選擇安全合規(guī)的云服務(wù)商，其所提供的云計算平臺應(yīng)為其所承載的業(yè)務(wù)應(yīng)用系統(tǒng)提供相應(yīng)等級的安全保護能力】

　　【應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)的各項服務(wù)內(nèi)容和具體技術(shù)指標】

　　【應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)商的權(quán)限與責任，包括管理范圍、職責劃分、訪問授權(quán)、隱私保護、行為準則、違約責任等】

　　【應(yīng)在服務(wù)水平協(xié)議中規(guī)定服務(wù)合約到期時，完整提供云服務(wù)客戶數(shù)據(jù)，并承諾相關(guān)數(shù)據(jù)在云計算平臺上清除】

　　【應(yīng)與選定的云服務(wù)商簽署保密協(xié)議，要求其不得泄露云服務(wù)客戶數(shù)據(jù)】

　　解讀：

　　合規(guī)的云服務(wù)商是指通過權(quán)威機構(gòu)安全審查的云服務(wù)商，客戶在將業(yè)務(wù)部署或遷移至云計算平臺之前，應(yīng)對云服務(wù)商的資質(zhì)進行審核，并確保其云平臺的安全保護級別不低于客戶業(yè)務(wù)系統(tǒng)的安全保護級別；同時由于目前缺乏有效的機制、標準或工具來對云服務(wù)商的各項數(shù)據(jù)與業(yè)務(wù)相關(guān)的安全責任進行檢查和約束，所以客戶要與云服務(wù)商簽署服務(wù)水平協(xié)議、保密協(xié)議等，明晰云服務(wù)商的安全職責、行為準則以及違約責任等。

　　·供應(yīng)鏈選擇

　　【應(yīng)確保供應(yīng)商的選擇符合國家有關(guān)規(guī)定】

　　【應(yīng)將供應(yīng)鏈安全事件信息或安全威脅信息及時傳達到云服務(wù)客戶】

　　【應(yīng)將供應(yīng)商的重要變更及時傳達到云服務(wù)客戶，并評估變更帶來的安全風險，采取措施對風險進行控制】

　　解讀：

　　云計算環(huán)境是一個較為復(fù)雜的環(huán)境，涉及許多廠商的產(chǎn)品和組件，因此云服務(wù)商在對其云平臺進行開發(fā)和相關(guān)產(chǎn)品和組件的采購時，要充分考慮安全需求，對產(chǎn)品和供應(yīng)商的相關(guān)資質(zhì)進行審核，對供應(yīng)商提出相應(yīng)的安全要求，確保供應(yīng)商采取了必要的安全措施，云服務(wù)商還應(yīng)要求供應(yīng)商提供其產(chǎn)品和組件安全事件信息或安全威脅信息以及有關(guān)安全措施的文檔信息，并及時傳達到云服務(wù)客戶，供應(yīng)關(guān)系變更時，云服務(wù)商應(yīng)將變更信息、變更帶來的風險評估及采取的風險控制及時告知客戶。

　　04

　　安全運維管理

　　安全運維中的云計算環(huán)境管理要求云計算平臺的運維地點應(yīng)位于中國境內(nèi)，境外對境內(nèi)云計算平臺實施運維操作應(yīng)遵循國家相關(guān)規(guī)定。

　　總結(jié)

　　等保2.0云計算安全擴展要求中的安全管理中心、安全建設(shè)管理和安全運維管理，云計算安全擴展要求中的內(nèi)容需要大家注意的是，云計算安全擴展要求是滿足通用安全要求的基礎(chǔ)上，針對云計算的特點提出特殊保護要求。

　　CIIP-A（云計算安全）的知識體系是以等級保護相關(guān)政策法規(guī)為指導(dǎo)，以重要信息系統(tǒng)保障為核心，基于等級保護相關(guān)崗位技能需求，以等級保護相關(guān)標準體系為主線，根據(jù)云計算安全崗位的工作任務(wù)特點而系統(tǒng)化的梳理而成。

　　想要學(xué)些更多云計算安全知識的同學(xué)，可以點擊文末“閱讀原文”。