中國(guó)聯(lián)合網(wǎng)絡(luò)通信有限公司江蘇省分公司 張旦融 崔留星

電信運(yùn)營(yíng)商云計(jì)算業(yè)務(wù)的安全解決方案

中國(guó)聯(lián)合網(wǎng)絡(luò)通信有限公司江蘇省分公司 張旦融 崔留星

通過(guò)對(duì)目前主流的云業(yè)務(wù)網(wǎng)絡(luò)架構(gòu)安全分析，組合形成了一種既能最大化發(fā)揮云計(jì)算方便靈活的使用優(yōu)勢(shì)，又能保障云業(yè)務(wù)的安全、穩(wěn)定的應(yīng)用方案。目前已經(jīng)成功的應(yīng)用在多個(gè)行業(yè)大客戶的云業(yè)務(wù)上，取得了良好的效果。

云計(jì)算；安全；方案

建起一整套完善云計(jì)算平臺(tái)需要很高的成本，其復(fù)雜的網(wǎng)絡(luò)架構(gòu)、大量的計(jì)算設(shè)備、彈性的虛擬化操作系統(tǒng)以及相應(yīng)安全設(shè)備，使很多中小企業(yè)對(duì)其望而卻步，無(wú)法享用這種的低成本、高效率的計(jì)算技術(shù)。這也給云計(jì)算企業(yè)租用業(yè)務(wù)帶來(lái)了廣闊商機(jī)。

在實(shí)際的云業(yè)務(wù)推廣中，用戶首先想到的就是云計(jì)算業(yè)務(wù)將大部分的信息化系統(tǒng)，甚至網(wǎng)絡(luò)與設(shè)備都租用電信運(yùn)營(yíng)商的，那么網(wǎng)絡(luò)可靠么？設(shè)備穩(wěn)定么？數(shù)據(jù)安全么？傳輸是否會(huì)泄密？似乎既想享用云計(jì)算業(yè)務(wù)的成本低廉、使用方便，又能確保應(yīng)用和數(shù)據(jù)的安全可靠成為一種矛盾。但隨著云計(jì)算技術(shù)的日趨成熟，這些問(wèn)題目前已經(jīng)有了兩者兼顧的結(jié)局方案。本文就是提供一種基于多個(gè)網(wǎng)絡(luò)層面，結(jié)合多種安全方法的綜合解決方案，從而打消用戶對(duì)租用運(yùn)營(yíng)商云業(yè)務(wù)的擔(dān)心。

1 安全靈活的云業(yè)務(wù)網(wǎng)絡(luò)架構(gòu)方案

目前，電信運(yùn)營(yíng)商結(jié)合自身優(yōu)勢(shì)及用戶需求，主要對(duì)外推出的云計(jì)算業(yè)務(wù)包括云主機(jī)、云存儲(chǔ)、云數(shù)據(jù)中心、云辦公等應(yīng)用。用戶的應(yīng)用場(chǎng)景也主要集中在移動(dòng)或固定場(chǎng)景下的網(wǎng)絡(luò)接入，獲取云計(jì)算平臺(tái)的計(jì)算資源，或通過(guò)云平臺(tái)使用具體某項(xiàng)應(yīng)用，等等。主要的網(wǎng)絡(luò)架構(gòu)包括：用戶接入層，運(yùn)營(yíng)商云平臺(tái)層，用戶應(yīng)用層，等等。如：云存儲(chǔ)。其中，各網(wǎng)絡(luò)架構(gòu)之間的數(shù)據(jù)傳輸可以使用專用網(wǎng)絡(luò)或公用網(wǎng)絡(luò)，網(wǎng)絡(luò)方式可以是有線網(wǎng)絡(luò)，也可以是無(wú)線網(wǎng)絡(luò)。如圖1所示。

采用上述的網(wǎng)絡(luò)架構(gòu)本身就是一種安全上的提升。這比僅包括接入層和云平臺(tái)層的二層架構(gòu)多了一種應(yīng)用安全的保障，也多了很多靈活性。如初期云業(yè)務(wù)可以只包含接入層和平臺(tái)層，這種將很多應(yīng)用和云平臺(tái)和在一起的方法雖然簡(jiǎn)單，但如果云平臺(tái)一旦出了問(wèn)題，很多應(yīng)用及數(shù)據(jù)也相應(yīng)得不到保障。而且，很多用戶級(jí)的應(yīng)用可能還是需要在自身的網(wǎng)絡(luò)系統(tǒng)中，如很多金融、醫(yī)療機(jī)構(gòu)等等。不可能將所有的數(shù)據(jù)全部放在運(yùn)營(yíng)商機(jī)房，這樣本身就不安全，針對(duì)于應(yīng)用的增加也不靈活。而采用平臺(tái)層與應(yīng)用層分離的方法就解決了上述問(wèn)題。既方便用戶的應(yīng)用靈活部署，又能夠比傳統(tǒng)的私有云具備一定的靈活性。

2 接入層的安全

一般來(lái)說(shuō)，用戶最擔(dān)心的是云平臺(tái)的安全。覺(jué)得云計(jì)算平臺(tái)在運(yùn)營(yíng)商側(cè)，看不到也摸不著，一旦出現(xiàn)問(wèn)題，輕則業(yè)務(wù)無(wú)法使用，嚴(yán)重的還會(huì)影響用戶自身的應(yīng)用安全。但真實(shí)的情況恰恰相反，運(yùn)營(yíng)商側(cè)的云平臺(tái)使用的都是成熟的大型云操作系統(tǒng)，包括多種冗余與備份方案，還有基于運(yùn)營(yíng)商級(jí)別的各項(xiàng)安全設(shè)備，可以很好地降低絕大多數(shù)的攻擊及其他系統(tǒng)風(fēng)險(xiǎn)。而目前絕大多數(shù)的不安全因素都來(lái)自與接入層面，他相當(dāng)于整個(gè)系統(tǒng)的第一道門。所以接入層的安全至關(guān)重要。

接入層安全主要包括兩個(gè)方面，接入層設(shè)備和傳輸網(wǎng)絡(luò)。常用的接入層設(shè)備包括PC（個(gè)人計(jì)算機(jī)），平板電腦及智能手機(jī)，特別是后兩者，隨著移動(dòng)移動(dòng)互聯(lián)網(wǎng)的飛速發(fā)展，基于后兩者的云計(jì)算應(yīng)用逐步占了主流。而且無(wú)拘無(wú)束的使用計(jì)算資源也是云計(jì)算快速普及的主要原因。但這無(wú)疑會(huì)大大增加整個(gè)云業(yè)務(wù)受攻擊的幾率。相比與PC，平板電腦及智能手機(jī)帶來(lái)的威脅不僅僅是使用頻次的增加，更多的是移動(dòng)設(shè)備的難以管理性。PC因?yàn)榇蠖嗍瞧髽I(yè)配備而且更新期較長(zhǎng)，所以很容易統(tǒng)一硬件，統(tǒng)一軟件。而移動(dòng)設(shè)備大多是用戶自帶，而且更新期較短，經(jīng)常不到一年就更換了一大半，操作系統(tǒng)也包括很多版本。很難統(tǒng)一軟硬件版本。在這里就需要一方面繼續(xù)做好PC端的管理同時(shí)，還需要對(duì)移動(dòng)設(shè)備進(jìn)行很好的管理。目前比較成熟的可行方案主要是引入MDM（移動(dòng)設(shè)備管理）系統(tǒng)。他可以很好為用戶提供統(tǒng)一管理移動(dòng)設(shè)備方案，包括接入的應(yīng)用、終端的認(rèn)證、終端的設(shè)置、終端的網(wǎng)絡(luò)及攝像頭等一系列軟硬件方面等等。

另一方面是接入層的網(wǎng)絡(luò)安全。無(wú)論是有線還是無(wú)線，PC還是移動(dòng)終端，目前運(yùn)營(yíng)商云應(yīng)用都可以提供公用網(wǎng)絡(luò)和專用網(wǎng)絡(luò)二種方式。專用網(wǎng)絡(luò)無(wú)疑是提供了更好的安全性，當(dāng)然也要犧牲掉一些方便性。這就需要用戶根據(jù)不同的資費(fèi)、不同的應(yīng)用自行把握。一般來(lái)說(shuō)，我們建議一些核心的、私密的應(yīng)用，如OA（辦公自動(dòng)化）、財(cái)務(wù)等應(yīng)用，建議盡可能采取VPN（虛擬專用網(wǎng)），移動(dòng)接入可采取APN（接入點(diǎn)名稱）加入，其他常用的應(yīng)用在確保設(shè)備安全管理的基礎(chǔ)上，使用公用網(wǎng)絡(luò)即可。

3 云平臺(tái)的安全

云平臺(tái)是整個(gè)云業(yè)務(wù)的核心，也是運(yùn)營(yíng)商重點(diǎn)關(guān)注的方向。運(yùn)營(yíng)商有條件使用已有的網(wǎng)絡(luò)條件，再結(jié)合云平臺(tái)特性，可以構(gòu)建起完整的安全架構(gòu)，避免出現(xiàn)安全真空，強(qiáng)化了網(wǎng)絡(luò)隔離和虛擬化隔離。此安全架構(gòu)層面主要采用了分層和縱深防御的思想。

分層防御（layered defense）：分層防御旨在采用多種方法，在網(wǎng)絡(luò)中多個(gè)區(qū)域執(zhí)行安全性策略，從而確保網(wǎng)絡(luò)中沒(méi)有單點(diǎn)安全故障發(fā)生。

縱深防御（defense in depth）：縱深防御思想使用多重防御策略來(lái)管理風(fēng)險(xiǎn)，以便在一層防御不夠時(shí)，另一層防御將會(huì)阻止完全的破壞。

云平臺(tái)的安全框架從分層、縱深防御思想出發(fā)，根據(jù)網(wǎng)絡(luò)層次分為物理、主機(jī)/虛擬化、網(wǎng)絡(luò)、業(yè)務(wù)和數(shù)據(jù)、管理維護(hù)等幾個(gè)層面，同時(shí)整體上考慮滿足合規(guī)性等需求，用來(lái)指導(dǎo)整個(gè)云平臺(tái)的安全系統(tǒng)的部署，如圖2所示。

從圖2可以看出，使用運(yùn)營(yíng)商的云平臺(tái)，不僅僅可以共享使用高可靠的、高安全的對(duì)云計(jì)算系統(tǒng)與硬件服務(wù)器，而且還能共享使用運(yùn)營(yíng)商的對(duì)于其平臺(tái)周圍網(wǎng)絡(luò)的安全設(shè)備。如基于網(wǎng)絡(luò)的：采取防止DDOS（分布式拒絕服務(wù)）攻擊，流量清洗，高規(guī)格的防火墻；雙備份、熱切換的網(wǎng)絡(luò)設(shè)備；基于云平臺(tái)設(shè)備的：多負(fù)載、高可靠的服務(wù)器；大容量，多冗余的存儲(chǔ)架構(gòu)。這也是相比其他中小企業(yè)的云平臺(tái)的巨大優(yōu)勢(shì)。

4 應(yīng)用層的安全

采用平臺(tái)與應(yīng)用的安全分層設(shè)計(jì)，雖然增加了整個(gè)云業(yè)務(wù)系統(tǒng)的復(fù)雜程度，但對(duì)于用戶來(lái)說(shuō)，卻可以提升更高的靈活性。用戶甚至可以通過(guò)專網(wǎng)或IPsec VPN把企業(yè)內(nèi)網(wǎng)和云計(jì)算中心的企業(yè)數(shù)據(jù)和應(yīng)用無(wú)縫對(duì)接。在網(wǎng)絡(luò)規(guī)劃上，運(yùn)營(yíng)商的云平臺(tái)的企業(yè)數(shù)據(jù)和應(yīng)用，可以由企業(yè)統(tǒng)一規(guī)劃內(nèi)網(wǎng)的IP地址。因此，從企業(yè)內(nèi)網(wǎng)用戶來(lái)看，訪問(wèn)云計(jì)算中心企業(yè)的數(shù)據(jù)和應(yīng)用就如同訪問(wèn)企業(yè)內(nèi)網(wǎng)一樣。而企業(yè)出差員工可以通過(guò)靈活的SSL（安全套接層）VPN連接安全的接入云計(jì)算中心，實(shí)現(xiàn)移動(dòng)辦公。這樣就及時(shí)充分發(fā)揮用戶私有云系統(tǒng)的業(yè)務(wù)靈活性、私密性，又可以享用運(yùn)營(yíng)商公有云系統(tǒng)的訪問(wèn)的便捷性、安全性。采用這種架構(gòu)的網(wǎng)絡(luò)結(jié)構(gòu)如圖3所示。

這種網(wǎng)絡(luò)架構(gòu)也可以大大打消用戶擔(dān)心關(guān)鍵數(shù)據(jù)存在運(yùn)營(yíng)商的疑慮。運(yùn)營(yíng)商的云平臺(tái)只是起到虛擬化應(yīng)用的接入與管理，提供虛擬桌面的操作，而核心數(shù)據(jù)及關(guān)鍵應(yīng)用可以通過(guò)專線連接，仍然保留在用戶內(nèi)部。這種方案目前已經(jīng)成功地應(yīng)用在金融和醫(yī)療行業(yè)，得到了用戶的高度的認(rèn)可。

5 多種安全方式的組合與管理制度

云計(jì)算帶來(lái)了成本降低、效率提高等一系列好處的同時(shí)，由于計(jì)算、存儲(chǔ)的集中，對(duì)管理維護(hù)提出了更高的安全要求，以保障上述所有基礎(chǔ)設(shè)施的安全運(yùn)行。

運(yùn)營(yíng)商還有豐富的安全管理經(jīng)驗(yàn)，這也是整個(gè)平臺(tái)安全體系中重要的一環(huán)。由于計(jì)算、存儲(chǔ)的集中，對(duì)管理維護(hù)提出了更高的安全要求，以保障基礎(chǔ)設(shè)施的安全運(yùn)行。對(duì)于賬號(hào)的管理，對(duì)于操作日志的記錄，對(duì)于告警系統(tǒng)的實(shí)時(shí)監(jiān)控?？傊?，好的安全體系中除了設(shè)備，安全管理規(guī)范也是至關(guān)重要。做到將上述安全結(jié)合起來(lái)，在加上與用戶系統(tǒng)一起配合，就可以構(gòu)建起一個(gè)穩(wěn)定、安全的云應(yīng)用業(yè)務(wù)。如圖4所示，在用戶，平臺(tái)接入，客戶系統(tǒng)，系統(tǒng)管理4個(gè)層面，構(gòu)建終端、接入審核、數(shù)據(jù)傳輸、網(wǎng)絡(luò)安全、云平臺(tái)安全多種防護(hù)體系。從而徹底打消用戶對(duì)于使用運(yùn)營(yíng)商的云業(yè)務(wù)安全的疑慮。

綜上所述，真正組建一個(gè)安全、高效的云業(yè)務(wù)體系，關(guān)鍵是需要將上述整個(gè)安全架構(gòu)組合起來(lái)，同時(shí)在加上運(yùn)營(yíng)商的管理經(jīng)驗(yàn)，用戶的緊密配合，形成一種與之相匹配的安全管理規(guī)范，從而既能發(fā)揮出云計(jì)算最大的性能優(yōu)勢(shì)，又能確保安全，達(dá)到魚和熊掌的兼得。