云安全解決方案

前言：隨著云計算技術的不斷完善和發展，云計算已經得到了廣泛的認可和接收，許多組織已經或即將進行云計算系統建設。同時，以信息/服務為中心的模式深入人心，大量的應用正如雨后春筍般出現，組織也開始將傳統的應用向云中遷移。同時，云計算技術仍處于不斷發展和演進，系統更加開放和易用，功能更加強大和豐富，接口更加規范和開放。例如軟件定義網絡（簡稱SDN）技術、NFV（網絡功能虛擬化）等新技術。這必將推動云計算技術的更加普及和完善。    云計算技術給傳統的IT基礎設施、應用、數據以及IT運營管理都帶來了革命性改變，對于安全管理來說，既是挑戰，也是機遇。首先，作為新技術，云計算引入了新的威脅和風險，進而也影響和打破了傳統的信息安全保障體系設計、實現方法和運維管理體系，如網絡與信息系統的安全邊界的劃分和防護、安全控制措施選擇和部署、安全評估和審計、安全監測和安全運維等方面；其次，云計算的資源彈性、按需調配、高可靠性及資源集中化等都間接增強或有利于安全防護，同時也給安全措施改進和升級、安全應用設計和實現、安全運維和管理等帶來了問題和挑戰，也推進了安全服務內容、實現機制和交付方式的創新和發展。    根據調研數據，信息安全風險是客戶采用云計算所考慮重大問題之一，且國家和行業安全監管愈加嚴格，安全已經成為組織規劃、設計、建設和使用云計算系統而急需解決的重大問題之一，尤其是不斷出現的與云計算系統相關事件讓組織更加擔心自身的云計算系統安全保障問題。    本方案基于綠盟科技長期對云計算安全的探索和研究，結合綠盟科技近期云計算安全建設經驗，提出了云計算安全保障框架和方法。 

一 云計算典型體系結構

云計算主要是通過網絡，將IT以抽象化的方式交付給客戶，為基于IT的服務交付模式帶來了巨大變革。云計算的一些獨特優勢，使其廣為接受，包括：大規模資源池化、資源彈性、按需分配、自動化部署、高可靠性、高運營效率及技術和IT的高透明度。  云計算平臺的實現主要包括兩個方式：虛擬化構成的云和應用程序/服務器構成的云，其中后者的安全防護與傳統方式基本相同，不再贅言，這里主要對虛擬化構成的云進行討論。  目前，計算虛擬化已經成熟，并為組織所廣泛采用，如VMware vSphere、Citrix Xen等。另外，一些用戶開始嘗試采用SDN、NFV等新型技術，旨在通過軟件控制方式解決現網中遇到的存儲、網絡不能自動部署和分權分域管理問題。

云計算系統分類

根據NIST發布的相關規范，云計算系統按照部署方法可分為私有云、公有云、社區云、混合云。為了便于說明，以下內容將主要以私有云為例進行說明。  云計算系統所采用虛擬化技術的不同，對安全防護設計和部署具有一定影響。根據有無才采用SDN、NFV技術，可分為兩類：原生虛擬化系統和基于SDN技術的虛擬化系統。如無特別說明，下述描述均指原生虛擬化系統。

云計算系統典型物理架構

下圖給出了一個典型的云計算系統的典型架構

圖一.1云典型架構

云計算系統通常具有以下特征：

·  核心交換機一般采用高性能數據中心級交換機搭建，支持虛擬化技術，并提供Internet、內部網絡、外部專用網絡的接入。通過匯聚交換機（支持虛擬化）提供x86服務器、小型機等服務器的接入。

·  與互聯網相關，可以提供VPN接入，外發訪問，以及公眾用戶對云的訪問。

·  與內部網絡相同，可以提供內部用戶對云的訪問，以及和內部其他系統進行信息交互。

·  都有大量的刀片式服務器，并通過虛擬化軟件，實現對計算資源的抽象和池化。

·  具有SAN、NAS存儲系統。具有獨立的存儲網絡。

·  具有獨立的綜合管理平臺，實現對云的運營管理。

·  具有帶外網管系統，實現對整個云的運維管理。

云計算系統邏輯結構

云計算系統一般都包括三個層次兩個平臺：基礎設施即服務(IaaS)、平臺即服務（PaaS）、云軟件即服務（SaaS）、云管理平臺和運維管理平臺。如下圖所示：

圖一.2云典型邏輯結構

簡單說明如下：

·  基礎設施即服務層（IaaS）：包括了各種服務器、存儲、網絡設備、鏈路等各種物理資源，以及虛擬化管理程序和對外提供服務的接口?？梢曰诖藢訉ν馓峁┨摂M主機服務；

·  平臺即服務層（PaaS）：包括了各種系統、平臺、應用軟件，可以提供應用軟件的開發、測試、部署和運營環境；

·  軟件即服務（SaaS）：包括各一系列的應用軟件，以及提供各客戶/用戶使用的交互展示程序?？梢酝ㄟ^網絡向用戶交付相應的應用服務；

·  云管理平臺：負責云計算服務的運營，并對云計算資源池系統及其中的各類資源進行集中管理，主要功能包括云服務開通、用戶管理、計價管理等功能。通常云管理平臺通過與資源池系統之間的資源管理接口下發資源管理指令，并通過網管接口向云維管理平臺（網管系統）提供資源池系統內各類設備的管理和監控信息；

·  運維管理平臺：實現對虛擬設備、系統、網絡的技術維護和管理工作，包括容量、配置和事件管理等功能。一般通過帶外網絡與各種資源進行互聯

二 云計算安全威脅和需求分析

云計算模式通過將數據統一存儲在云計算服務器中，加強對核心數據的集中管控，比傳統分布在大量終端上的數據行為更安全。由于數據的集中，使得安全審計、安全評估、安全運維等行為更加簡單易行，同時更容易實現系統容錯、高可用性和冗余及災備恢復。但云計算在帶來方便快捷的同時也帶來新的挑戰。

安全威脅分析

CSA在2013年的報告中列出了九大安全威脅。依排序分別為1.數據泄露 2.數據丟失 3.帳戶劫持 4.不安全的接口（API） 5.拒絕服務攻擊（DDoS） 6.內部人員的惡意操作 7.云計算服務的濫用 8.云服務規劃不合理 9.共享技術的漏洞問題。把云計算環境下的安全威脅細化，并按云計算環境下等級保護的基本要求進行對應，可得到如下的云計算環境下的具體安全威脅：

·網絡安全部分

·業務高峰時段或遭遇DDoS攻擊時的大流量導致網絡擁堵或網絡癱瘓

·重要網段暴露導致來自外部的非法訪問和入侵

·單臺虛擬機被入侵后對整片虛擬機進行的滲透攻擊，并導致病毒等惡意行為在網絡內傳播蔓延

·  虛擬機之間進行的ARP攻擊、嗅探

·  云內網絡帶寬的非法搶占

·  重要的網段、服務器被非法訪問、端口掃描、入侵攻擊

·  云平臺管理員因賬號被盜等原因導致的從互聯網直接非法訪問云資源

·  虛擬化網絡環境中流量的審計和監控

·  內部用戶或內部網絡的非法外聯行為的檢查和阻斷

·  內部用戶之間或者虛擬機之間的端口掃描、暴力破解、入侵攻擊等行為

·主機安全部分：

·  服務器、宿主機、虛擬機的操作系統和數據庫被暴力破解、非法訪問的行為

·  對服務器、宿主機、虛擬機等進行操作管理時被竊聽

·   同一個邏輯卷被多個虛擬機掛載導致邏輯卷上的敏感信息泄露

·  對服務器的Web應用入侵、上傳木馬、上傳webshell等攻擊行為

·   服務器、宿主機、虛擬機的補丁更新不及時導致的漏洞利用以及不安全的配置和非必要端口的開放導致的非法訪問和入侵

·  虛擬機因異常原因產生的資源占用過高而導致宿主機或宿主機下的其它虛擬機的資源不足

·資源抽象安全部分

·  虛擬機之間的資源爭搶或資源不足導致的正常業務異?；虿豢捎?

·  虛擬資源不足導致非重要業務正常運作但重要業務受損

·  缺乏身份鑒別導致的非法登錄hypervisor后進入虛擬機

·  通過虛擬機漏洞逃逸到hypervisor，獲得物理主機的控制權限

·  攻破虛擬系統后進行任易破壞行為、網絡行為、對其它賬戶的猜解，和長期潛伏 ? 通過hypervisor漏洞訪問其它虛擬機

·  虛擬機的內存和存儲空間被釋放或再分配后被惡意攻擊者竊取

·  虛擬機和備份信息在遷移或刪除后被竊取

·  hypervisor、虛擬系統、云平臺不及時更新或系統漏洞導致的攻擊入侵 ? 虛擬機可能因運行環境異常或硬件設備異常等原因出錯而影響其他虛擬機

·  無虛擬機快照導致系統出現問題后無法及時恢復

·  虛擬機鏡像遭到惡意攻擊者篡改或非法讀取

·數據安全及備份恢復

·  數據在傳輸過程中受到破壞而無法恢復

·  在虛擬環境傳輸的文件或者數據被監聽

·  云用戶從虛擬機逃逸后獲取鏡像文件或其他用戶的隱私數據

·  因各種原因或故障導致的數據不可用

·  敏感數據存儲漂移導致的不可控

·  數據安全隔離不嚴格導致惡意用戶可以訪問其他用戶數據

為了保障云平臺的安全，必須有有效的抵御或消減這些威脅，或者采取補償性的措施降低這些威脅造成的潛在損失。當然，從安全保障的角度講，還需要兼顧其他方面的安全需求。