朱斌

摘 要：近年來，新技術(shù)新科技不斷涌現(xiàn)，例如5G、區(qū)塊鏈、AI等。當(dāng)然，其他很多技術(shù)也在不斷快速增長中，像本文所講的云技術(shù)。云計(jì)算市場(chǎng)增長極為迅速，行業(yè)應(yīng)用也不斷深化，各大云服務(wù)商正不斷加快云計(jì)算的建設(shè)和布局，很多企業(yè)已開始有了自己的公有云、私有云、混合云。云計(jì)算關(guān)鍵技術(shù)的快速迭代與更新，推動(dòng)著云技術(shù)架構(gòu)和應(yīng)用模式的發(fā)展，同時(shí)伴隨著大量新的安全問題產(chǎn)生，推進(jìn)了安全運(yùn)維方法、模式在不斷演進(jìn)。論文研究了云計(jì)算背景下的安全問題，提出了云安全基本技術(shù)防護(hù)要點(diǎn)。

關(guān)鍵詞：云計(jì)算；安全形勢(shì)；運(yùn)維管理思路

中圖分類號(hào)：TN918 文獻(xiàn)標(biāo)識(shí)碼：A

1 引言

云計(jì)算是繼20世紀(jì)80年代大型計(jì)算機(jī)到客戶端-服務(wù)器大轉(zhuǎn)變之后的又一種巨變。云計(jì)算是分布式計(jì)算、并行計(jì)算、效用計(jì)算、網(wǎng)絡(luò)存儲(chǔ)、虛擬化、負(fù)載均衡、熱備份冗余等傳統(tǒng)計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)發(fā)展融合的產(chǎn)物。

云計(jì)算在全球市場(chǎng)規(guī)模穩(wěn)定增長，從2017年主要以LaaS、PaaS、SaaS公有云服務(wù)模式為主。據(jù)Gartner公司統(tǒng)計(jì)，2017年已經(jīng)達(dá)到1110億美元，預(yù)計(jì)2021年市場(chǎng)將到達(dá)2461億美元，年復(fù)合增長率約19%。

同時(shí)，云計(jì)算的底層技術(shù)架構(gòu)不斷演變，多云形態(tài)已逐漸成為主流應(yīng)用模式，由此可看出云計(jì)算的規(guī)模是呈倍數(shù)增長的。另一方面，新的和以往的安全問題不斷交織，給云安全運(yùn)維人員帶來了很大的工作量以及巨大的壓力。

2 云計(jì)算的安全形勢(shì)

2.1 云計(jì)算底層技術(shù)架構(gòu)與多云模式

近年來，由于云技術(shù)發(fā)展迅速，關(guān)鍵技術(shù)也快速迭代，例如高性能計(jì)算、容器、微服務(wù)架構(gòu)。也因此這些技術(shù)的融合和業(yè)務(wù)應(yīng)用的不斷深化，出現(xiàn)了很多類似云網(wǎng)融合、物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)、AI（人工智能）等應(yīng)用的有機(jī)結(jié)合。

目前，企業(yè)中需要多種云環(huán)境并存，以適應(yīng)業(yè)務(wù)發(fā)展趨勢(shì)。從基礎(chǔ)架構(gòu)為核心到應(yīng)用為核心的轉(zhuǎn)變，結(jié)合公有云的彈性和私有云的私密性，尋求最佳性能和安全可靠間的平衡。

2.2 云計(jì)算新舊交加的安全問題

在網(wǎng)絡(luò)世界，一邊一直存在著網(wǎng)絡(luò)病毒、漏洞入侵事件、內(nèi)部信息泄露，另一邊隨著云環(huán)境網(wǎng)絡(luò)規(guī)?；?、數(shù)據(jù)信息海量化、存儲(chǔ)服務(wù)集約化，也暴露出了許多安全問題。例如，國際知名CDN廠商Cloudflare爆出API密鑰安全漏洞，導(dǎo)致客戶信息泄露；微軟公有云存儲(chǔ)故障，導(dǎo)致長達(dá)8小時(shí)以上業(yè)務(wù)影響。新模式下云承載著多類型業(yè)務(wù)應(yīng)用，由于服務(wù)的復(fù)雜化，引發(fā)了業(yè)務(wù)邏輯、認(rèn)證鑒權(quán)、不良信息難管控等問題；還有就是存儲(chǔ)、計(jì)算等多層面資源虛擬化，導(dǎo)致出現(xiàn)了數(shù)據(jù)管理權(quán)和所有權(quán)分離、網(wǎng)絡(luò)邊界模糊等問題。

當(dāng)然，很多企業(yè)由于資金或者便利條件等原因，使用了許多第三方開源的組件和系統(tǒng)，由于云的特性，涉及到海量的敏感信息，往往會(huì)由于一節(jié)點(diǎn)被突破，殃及全網(wǎng)的嚴(yán)重后果。

3 云計(jì)算的安全標(biāo)準(zhǔn)

結(jié)合前文中遇到的各種問題，可知云計(jì)算的安全形勢(shì)十分嚴(yán)峻。最初也因沒有一個(gè)統(tǒng)一的架構(gòu)、測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估等技術(shù)和管理上的指南與標(biāo)準(zhǔn)，導(dǎo)致了許多云運(yùn)維人員仍然采用原有的網(wǎng)絡(luò)運(yùn)維模式，雖然能解決一部分安全問題，但面對(duì)一些新的安全問題則束手無策。因此，云安全標(biāo)準(zhǔn)化工作得到了廣泛重視，這里做一個(gè)簡要介紹。

云計(jì)算安全標(biāo)準(zhǔn)主要分為國際標(biāo)準(zhǔn)和國內(nèi)標(biāo)準(zhǔn)。

本文側(cè)重講述一下云計(jì)算相關(guān)的國標(biāo)。從2011年開始，我國企業(yè)和研究機(jī)構(gòu)等廣泛參與到ITU-T SG17 Q8（云計(jì)算安全工作組）云計(jì)算安全標(biāo)準(zhǔn)的制定工作中，承擔(dān)工作組報(bào)告人、編輯人工作，發(fā)布X.1601、X.1631等相關(guān)標(biāo)準(zhǔn)，主導(dǎo)推進(jìn)ITU-T云計(jì)算安全標(biāo)準(zhǔn)制定，標(biāo)準(zhǔn)架構(gòu)圖如圖1所示。

在國標(biāo)方面，有未發(fā)布的信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)相關(guān)云計(jì)算的國標(biāo)，例如安全設(shè)計(jì)技術(shù)要求（GB/T 25070.2-XXXX）、安全擴(kuò)展要求（GB/T 28448.2—20XX）、基本要求（GB/T 22239.2—20XX）等，雖然還未正式發(fā)布，但已基本成型，即可作為參考。

4 加強(qiáng)云計(jì)算環(huán)境下的安全運(yùn)維管理

4.1“三同步”原則

云計(jì)算安全也是一個(gè)與互聯(lián)網(wǎng)同步發(fā)展的行業(yè)，安全系統(tǒng)要與網(wǎng)絡(luò)進(jìn)行三同步，即一是規(guī)劃同步、二是建設(shè)同步、三是運(yùn)維同步。在之前，很多開發(fā)公司并沒有自己的安全開發(fā)標(biāo)準(zhǔn)，在網(wǎng)絡(luò)規(guī)劃或系統(tǒng)集成時(shí)并未參考相關(guān)標(biāo)準(zhǔn)，形成了“帶病入網(wǎng)”的局面。

而現(xiàn)實(shí)的運(yùn)維狀態(tài)也如此，企業(yè)在引入或者擴(kuò)建后才考慮到安全問題，往往采用“亡羊補(bǔ)牢”的模式，即先上線運(yùn)行，再同步實(shí)施安全評(píng)估，這會(huì)導(dǎo)致企業(yè)的人力、物力、財(cái)力成本的投入增加。

即在安全運(yùn)維的過程中，存在新建、擴(kuò)建、割接（變更）等狀態(tài)時(shí)，應(yīng)該進(jìn)行一次全面的風(fēng)險(xiǎn)評(píng)估工作，在評(píng)估中需做到分層評(píng)估（LaaS、PaaS、SaaS）和生命周期的整體評(píng)估等。

4.2“五清”思想

鑒于目前企業(yè)對(duì)安全運(yùn)維認(rèn)知的差異，這里引入了通信行業(yè)對(duì)IT運(yùn)維管理的新思想，幫助相關(guān)運(yùn)維管理人員達(dá)到一個(gè)思維發(fā)散的目的。

“五清”分別指數(shù)量清、型號(hào)清、位置清、策略清、效果清。

（1）數(shù)量清、型號(hào)清、位置清，企業(yè)可定時(shí)檢測(cè)云中的安全設(shè)備信息，包括數(shù)量、型號(hào)、版本（包括補(bǔ)丁）、位置等。

（2）策略清，企業(yè)定期梳理安全設(shè)備策略，按照“最小化”原則梳理策略的合規(guī)性，對(duì)Permit語句中的“源地址、目的地址、服務(wù)端口”出現(xiàn)兩個(gè)Any選項(xiàng)、沒有目標(biāo)IP、沒有目標(biāo)端口的訪問策略進(jìn)行整改，梳理云特有屬性的策略及整改。

（3）效果清，定期完成一次云系統(tǒng)網(wǎng)絡(luò)安全設(shè)備策略及效果的自評(píng)估。

（4）定期開展云網(wǎng)絡(luò)運(yùn)行維護(hù)評(píng)估，應(yīng)包含資源統(tǒng)計(jì)、使用情況統(tǒng)計(jì)、接入情況統(tǒng)計(jì)、策略合規(guī)率、告警數(shù)據(jù)統(tǒng)計(jì)、故障處置記錄、防護(hù)或監(jiān)測(cè)的安全事件統(tǒng)計(jì)、策略更新記錄、軟件版本更新記錄等，輸出維護(hù)報(bào)告。

4.3“五反”策略

同樣對(duì)于IT安全運(yùn)維中，“五反”一樣值得借鑒。在國內(nèi)某運(yùn)營商中，原先的“五反”是指網(wǎng)站反篡改、流量反攻擊、域名反劫持、短彩反控制、CDN反劫持，當(dāng)然并不是所有企業(yè)都有相應(yīng)的配備，但對(duì)于運(yùn)營商行業(yè)是有的。

這里我們變換一下，新“五反”即反篡改、反流量攻擊、反域名劫持、反病毒、反信息泄露。例如，在IaaS層（即基礎(chǔ)設(shè)施即服務(wù)）應(yīng)配備相應(yīng)的安全防護(hù)設(shè)備以滿足建議五反要求，如IDS、IPS、下一代防火墻、流量清洗、日志溯源系統(tǒng)等。

應(yīng)用層面還需要考慮有信息防泄密、WAF（應(yīng)用防火墻）、防毒墻或安全Agent等以實(shí)現(xiàn)縱深防御體系。目前，國內(nèi)已經(jīng)有很多云安全廠商的產(chǎn)品和解決方案或者采用云服務(wù)器安全Agent。

4.4 云計(jì)算安全管理

安全問題一直以來都是三分技術(shù)七分管理，無論技術(shù)使用得多么先進(jìn)，沒有一個(gè)好的管理就如同一盤散沙，難以達(dá)到一個(gè)預(yù)期效果。

常見的管理側(cè)重點(diǎn)可以概括為幾個(gè)方面。

（1）定級(jí)備案。云系統(tǒng)需要定級(jí)備案，按照行業(yè)或者公安標(biāo)準(zhǔn)進(jìn)行等保備案。

（2）安全管理結(jié)構(gòu)和人員。如保證云服務(wù)方對(duì)云用戶業(yè)務(wù)數(shù)據(jù)的訪問或使用必須經(jīng)過云用戶的授權(quán)，授權(quán)必須保留相關(guān)記錄。

（3）系統(tǒng)安全建設(shè)和管理。測(cè)試驗(yàn)收要驗(yàn)證或評(píng)估所提供的安全措施的有效性；云服務(wù)商選擇要符合國家有關(guān)規(guī)定；供應(yīng)鏈管理除了符合國家規(guī)定，還需確保供應(yīng)鏈安全事件信息或威脅信息能夠及時(shí)傳達(dá)到云用戶。

（4）監(jiān)控和審計(jì)管理。確保云系統(tǒng)的監(jiān)控符合相關(guān)政策法規(guī)；確保審計(jì)數(shù)據(jù)的真實(shí)性和完整性；制定相關(guān)策略，對(duì)安全措施有效性進(jìn)行持續(xù)監(jiān)控；應(yīng)將安全措施有效性的監(jiān)控結(jié)果定期提供給相關(guān)云用戶。

5 云安全基本技術(shù)防護(hù)要點(diǎn)簡述

依據(jù)即將發(fā)布的信息系統(tǒng)安全等級(jí)保護(hù)2.0標(biāo)準(zhǔn)要求，在云安全運(yùn)維中每年應(yīng)當(dāng)進(jìn)行一次基本防護(hù)要點(diǎn)的詳細(xì)檢測(cè)。檢測(cè)要點(diǎn)包括物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全。

（1）物理和環(huán)境安全的評(píng)估點(diǎn)應(yīng)涉及云計(jì)算服務(wù)器、承載云租戶賬戶信息、鑒別信息、系統(tǒng)信息及運(yùn)行關(guān)鍵業(yè)務(wù)和數(shù)據(jù)的物理設(shè)備等。

（2）網(wǎng)絡(luò)和通信安全方面的評(píng)估點(diǎn)應(yīng)涉及網(wǎng)絡(luò)架構(gòu)、訪問控制、遠(yuǎn)程訪問、入侵防范、安全審計(jì)等。

（3）設(shè)備和計(jì)算安全的評(píng)估點(diǎn)應(yīng)涉及身份鑒別、資源控制和鏡像和快照保護(hù)等。

（4）應(yīng)用和數(shù)據(jù)安全的評(píng)估點(diǎn)應(yīng)涉及接口安全、數(shù)據(jù)完整性和數(shù)據(jù)備份恢復(fù)等。

6 結(jié)束語

本文重點(diǎn)講述的是云計(jì)算安全運(yùn)維管理，在針對(duì)信息安全方面，三分技術(shù)七分管理，只有從管理上提高意識(shí)，才能做到技術(shù)的落實(shí)。

最后，對(duì)如何有效地進(jìn)行云計(jì)算安全運(yùn)維的建議和總結(jié)：

（1）滿足《中華人民共和國網(wǎng)絡(luò)安全法》的相關(guān)條款；

（2）清楚地了解資產(chǎn)的所有屬性，即可以參見“五清”；

（3）對(duì)云計(jì)算系統(tǒng)風(fēng)險(xiǎn)進(jìn)行跟蹤管理，參見”三同步”；

（4）運(yùn)維安全專業(yè)人才培養(yǎng)，用戶安全意識(shí)的宣貫；

（5）安全監(jiān)控、防御、溯源等手段的建設(shè)和完善，可參考“五反”；

（6）建立有效安全管理機(jī)制，管理和技術(shù)兩手抓，堅(jiān)持與時(shí)俱進(jìn)。

參考文獻(xiàn)

[1] 信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求[Z].GB/T 22239-2008，2008年6月19日.

[2] 信息安全技術(shù) 云計(jì)算服務(wù)安全指南[Z].GB/T 31167-2014，2014年9月3日.