曹瑞，劉新龍

（北京啟明星辰信息安全技術(shù)有限公司，北京 100193）

云安全解決方案

曹瑞，劉新龍

（北京啟明星辰信息安全技術(shù)有限公司，北京 100193）

云計算技術(shù)實現(xiàn)了信息和服務(wù)資源的共享共用，不同于傳統(tǒng)的安全防護(hù)對象，云平臺的邊界防護(hù)及內(nèi)部虛擬化網(wǎng)絡(luò)的防護(hù)將面臨嚴(yán)重的安全問題。啟明星辰云安全能力整體框架由4大方面構(gòu)成：一是針對云上基礎(chǔ)服務(wù)安全防御、攻擊檢測的云安全保障；二是面向監(jiān)管的云安全監(jiān)管能力建設(shè)以及以此為基礎(chǔ)的云安全服務(wù)體系建設(shè)；三是保障云上核心數(shù)據(jù)安全的云數(shù)據(jù)安全；四是針對企業(yè)云接入終端的云安全接入。

云安全；云安全威脅；云數(shù)據(jù)安全；云安全解決方案；企業(yè)專有云

1 云計算概述

1.1 云計算服務(wù)

云計算服務(wù)是一種新興的計算資源利用方式，其核心業(yè)務(wù)模式是提供服務(wù)。根據(jù)GB/T 31167—2014《信息安全技術(shù)：云計算服務(wù)安全指南》（簡稱安全指南）的定義，在云計算模式下客戶不需要投入大量資金去建設(shè)、運維和管理自己專有的數(shù)據(jù)中心等基礎(chǔ)設(shè)施，只需要為動態(tài)占用的資源付費，即按需購買服務(wù)[1]。

同時，安全指南還提出云計算服務(wù)具有按需自助服務(wù)、泛在接入、資源池化、快速伸縮性以及服務(wù)可計量等主要特征，并提供軟件即服務(wù)（SaaS）、平臺即服務(wù)（PaaS）以及基礎(chǔ)設(shè)施即服務(wù)（IaaS）3種服務(wù)模式。

（1）軟件即服務(wù)：在SaaS模式下，云服務(wù)商向客戶提供的是運行在云基礎(chǔ)設(shè)施之上的應(yīng)用軟件?？蛻舨恍枰徺I、開發(fā)軟件，可利用不同設(shè)備上的客戶端（如Web瀏覽器）或程序接口通過網(wǎng)絡(luò)訪問和使用云服務(wù)商提供的應(yīng)用軟件，如電子郵件系統(tǒng)、協(xié)同辦公系統(tǒng)等。客戶通常不能管理或控制支撐應(yīng)用軟件運行的低層資源，如網(wǎng)絡(luò)、服務(wù)器、操作系統(tǒng)、存儲等，但可對應(yīng)用軟件進(jìn)行有限的配置管理。

（2）平臺即服務(wù)：在PaaS模式下，云服務(wù)商向客戶提供的是運行在云基礎(chǔ)設(shè)施之上的軟件開發(fā)和運行平臺，如標(biāo)準(zhǔn)語言與工具、數(shù)據(jù)訪問、通用接口等，客戶可利用該平臺開發(fā)和部署自己的軟件?？蛻敉ǔ２荒芄芾砘蚩刂浦纹脚_運行所需的低層資源，如網(wǎng)絡(luò)、服務(wù)器、操作系統(tǒng)、存儲等，但可對應(yīng)用的運行環(huán)境進(jìn)行配置，控制自己部署的應(yīng)用。

（3）基礎(chǔ)設(shè)施即服務(wù)：在IaaS模式下，云服務(wù)商向客戶提供虛擬計算機(jī)、存儲、網(wǎng)絡(luò)等計算資源，提供訪問云基礎(chǔ)設(shè)施的服務(wù)接口?？蛻艨稍谶@些資源上部署或運行操作系統(tǒng)、中間件、數(shù)據(jù)庫和應(yīng)用軟件等?？蛻敉ǔ２荒芄芾砘蚩刂圃苹A(chǔ)設(shè)施，但能控制自己部署的操作系統(tǒng)、存儲和應(yīng)用，也能部分控制使用的網(wǎng)絡(luò)組件，如主機(jī)防火墻。

1.2 企業(yè)云技術(shù)架構(gòu)

企業(yè)專有云（簡稱企業(yè)云）作為一個服務(wù)于企業(yè)的云計算平臺，具備通用云計算平臺所擁有的按需自助服務(wù)、泛在接入、資源池化、快速伸縮性以及服務(wù)可計量等主要特征，并可為各使用單位提供SaaS、PaaS及IaaS 3種服務(wù)模式。其典型的技術(shù)邏輯架構(gòu)可以概括為2縱3橫體系架構(gòu)，即2種體系3個層次：安全防護(hù)體系、管理服務(wù)體系，以及IaaS、PaaS、SaaS（見圖1）。其中，安全防護(hù)體系為基礎(chǔ)設(shè)施層、資源抽象與控制層、管理服務(wù)層提供相應(yīng)的安全防護(hù)及服務(wù)，包括云安全接入、云安全防護(hù)、云數(shù)據(jù)安全、云安全監(jiān)管及云安全服務(wù)等組件；管理服務(wù)體系為整個企業(yè)私有云平臺提供管理和運維服務(wù)，包括資源管理、資源編排、資源監(jiān)控、計費管理、流程管理、用戶管理，以及日志和報表管理等組件，用于滿足企業(yè)私有云平臺的運營管理維護(hù)需求。

1.3 政策法規(guī)和標(biāo)準(zhǔn)

云安全的相關(guān)政策法規(guī)和標(biāo)準(zhǔn)如下：

（1）ISO/IEC 27001—2013《信息技術(shù)：安全技術(shù)：信息安全管理體系要求》；

（2）ISO/IEC 27002—2013《信息技術(shù)：安全技術(shù)：信息安全控制實用規(guī)則》；

（3）GB/T 20984—2007《信息安全技術(shù)：信息安全風(fēng)險評估規(guī)范》；

（4）GB/T 22239—2008《信息安全技術(shù)：信息系統(tǒng)安全等級保護(hù)基本要求》；

（5）《中華人民共和國網(wǎng)絡(luò)安全法（草案）》；

（6）《關(guān)于加強(qiáng)黨政部門云計算服務(wù)網(wǎng)絡(luò)安全管理的意見》（中網(wǎng)辦發(fā)文［2014］14號）；

（7）《國務(wù)院關(guān)于促進(jìn)云計算創(chuàng)新發(fā)展培育信息產(chǎn)業(yè)新業(yè)態(tài)的意見》（國發(fā)［2015］5號）；

（8）GB/T 31167—2014《信息安全技術(shù)云計算服務(wù)安全指南》；

（9）GB/T 31168—2014《信息安全技術(shù)：云計算服務(wù)安全能力要求》。

2 安全威脅分析

圖1 企業(yè)云平臺技術(shù)邏輯架構(gòu)

2.1 企業(yè)云面臨的問題

雖然國內(nèi)企業(yè)云建設(shè)和發(fā)展面臨難得的機(jī)遇，但在具體建設(shè)過程中也存在一些突出問題，特別是信息安全問題。如果不能通過有效手段予以解決，甚至?xí){到國家安全。

與其他云計算環(huán)境一樣，企業(yè)云也面臨著網(wǎng)絡(luò)安全惡意攻擊、破壞、數(shù)據(jù)泄露等安全威脅，特別是在數(shù)據(jù)管理權(quán)與所有權(quán)分離的狀態(tài)下，應(yīng)用和數(shù)據(jù)高度集中，這些問題顯得更加突出，總體包括以下3個方面：

（1）法律法規(guī)和標(biāo)準(zhǔn)不健全。當(dāng)前國內(nèi)缺乏完善的云計算服務(wù)平臺建設(shè)規(guī)范和信息安全管理規(guī)范，傳統(tǒng)的等級保護(hù)制度在云計算環(huán)境中無法完全適用，而健全的云計算安全法律法規(guī)可以從管理上最大限度地降低安全隱患。

（2）虛擬化環(huán)境的安全威脅。從技術(shù)層面上講，云計算與傳統(tǒng)IT環(huán)境最大的區(qū)別在于其虛擬的計算環(huán)境，當(dāng)前國內(nèi)云服務(wù)商的虛擬化核心技術(shù)及安全技術(shù)比較欠缺，新形態(tài)的安全技術(shù)產(chǎn)品還沒有發(fā)展起來。這對于云計算環(huán)境下多用戶間資源的隔離及安全防護(hù)是一個新的挑戰(zhàn)。

（3）數(shù)據(jù)與應(yīng)用集中帶來的風(fēng)險。云計算具備2個核心要素，一是大集中，把數(shù)據(jù)和應(yīng)用集中在云端；另一個是把資源以服務(wù)的形式發(fā)布交付。這種規(guī)模化的效應(yīng)對云計算的可用性和安全性都帶來了極大挑戰(zhàn)，數(shù)據(jù)集中后，如果受到惡意攻擊或破壞，其產(chǎn)生的安全威脅規(guī)模和影響會更深遠(yuǎn)。

2.2 CSA云安全威脅報告

云安全聯(lián)盟（Cloud Security Alliance，CSA）作為業(yè)界權(quán)威組織，致力于在云計算環(huán)境下為業(yè)界提供最佳安全解決方案。其發(fā)布的《云計算關(guān)鍵領(lǐng)域安全指南》在業(yè)界最為熟知，該指南從架構(gòu)、治理和實施3個部分、14個關(guān)鍵域?qū)υ瓢踩M(jìn)行深入闡述。

CSA發(fā)布的2016年“十二大云安全威脅”報告指出云環(huán)境下的安全威脅[2]包括：（1）數(shù)據(jù)泄露；（2）身份驗證和憑證被盜；（3）界面和應(yīng)用程序編程接口（API）安全；（4）系統(tǒng)漏洞問題；（5）賬戶劫持；（6）內(nèi)部惡意人員；（7）高級持續(xù)性威脅（APT）寄生蟲；（8）永久的數(shù)據(jù)丟失；（9）缺乏盡職調(diào)查；（10）云服務(wù)濫用；（11）拒絕服務(wù)攻擊；（12）共享技術(shù)&共享危險。

3 安全需求分析

3.1 云安全保障需求

云計算技術(shù)實現(xiàn)了信息和服務(wù)資源的共享共用，不同于傳統(tǒng)的安全防護(hù)對象，云平臺的邊界防護(hù)及內(nèi)部虛擬化網(wǎng)絡(luò)的防護(hù)將面臨嚴(yán)重的安全問題。因此要保證云環(huán)境的正常運行，需要在云平臺的物理邊界及內(nèi)部虛擬化網(wǎng)絡(luò)中部署訪問控制、攻擊行為感知、網(wǎng)絡(luò)行為感知等安全保障能力，同時輔以能夠?qū)υ骗h(huán)境中重要業(yè)務(wù)系統(tǒng)進(jìn)行脆弱性感知的安全能力，以有效阻擋黑客及不法組織的非法破壞。

3.2 云安全監(jiān)管與服務(wù)需求

云計算獨具特色的服務(wù)提供方式必將帶來新技術(shù)的應(yīng)用，隨著新技術(shù)的產(chǎn)生必將帶來多種安全挑戰(zhàn)。因此要精確掌握并有效呈現(xiàn)現(xiàn)有云上資產(chǎn)、脆弱性狀態(tài)和安全威脅，實現(xiàn)對海量安全數(shù)據(jù)進(jìn)行分析并依托分析結(jié)果進(jìn)行預(yù)判，達(dá)到提前防御和治理的目標(biāo)，因而需要全面圍繞云安全保障體系構(gòu)建云安全服務(wù)的態(tài)勢感知能力。

同時，云環(huán)境新的技術(shù)方式也導(dǎo)致需要專業(yè)對口的安全人員對云環(huán)境網(wǎng)絡(luò)的生態(tài)安全提供針對性的支撐服務(wù)，諸如測試、檢查、維護(hù)、分析、評估等必要的工作內(nèi)容。由安全團(tuán)隊綜合運用態(tài)勢感知系統(tǒng)提供的安全感知、分析能力，才能有效保障云安全體系的正常運行。

3.3 云數(shù)據(jù)安全需求

云平臺的一個關(guān)鍵特征是其服務(wù)通過網(wǎng)絡(luò)提供，所有業(yè)務(wù)數(shù)據(jù)都依托于虛擬化技術(shù)存放在云端。由于云計算是分布式的，并且為提高資源使用效率，用戶之間可能共用計算或存儲資源，導(dǎo)致數(shù)據(jù)在存儲、傳輸?shù)确矫婷媾R嚴(yán)峻的考驗。如果用戶之間安全隔離限制不夠完善或被惡意用戶進(jìn)行攻擊，將導(dǎo)致數(shù)據(jù)安全受到嚴(yán)重威脅。在云計算環(huán)境下，必須確保不對用戶數(shù)據(jù)帶來風(fēng)險的同時，又提供必要的數(shù)據(jù)管理支持，以便協(xié)助監(jiān)管方及用戶對數(shù)據(jù)的存儲和傳輸進(jìn)行安全和準(zhǔn)確的審計，并對數(shù)據(jù)進(jìn)行相關(guān)的敏感性處理。

同時，云平臺數(shù)據(jù)被高度集中，形成了各種業(yè)務(wù)系統(tǒng)建設(shè)的前提，在使用大數(shù)據(jù)技術(shù)建設(shè)業(yè)務(wù)系統(tǒng)的過程中，新的技術(shù)方式也給數(shù)據(jù)安全帶來了新的挑戰(zhàn)。針對大數(shù)據(jù)技術(shù)不完善的安全策略，身份認(rèn)證及訪問控制機(jī)制等安全薄弱環(huán)節(jié)的，將給入侵者、越權(quán)者帶來可乘之機(jī)。

3.4 云安全接入需求

云環(huán)境可以提供包括計算機(jī)終端和移動智能終端在內(nèi)的多種接入方式，在數(shù)據(jù)整合及共享的前提下，云環(huán)境對接入終端的身份合法性、自身系統(tǒng)安全性、終端合規(guī)性、數(shù)據(jù)安全性等幾方面都需要在云環(huán)境中部署相應(yīng)的軟硬件安全產(chǎn)品，同時對終端本身進(jìn)行加固與防護(hù)，甚至對終端接入APP的發(fā)布渠道進(jìn)行監(jiān)測。

同時，由于云環(huán)境下不可避免的用戶遠(yuǎn)程接入性質(zhì)，在接入傳輸線路的加密能力上也提出更高的要求。

4 云安全能力整體框架

啟明星辰云安全能力整體框架由4大方面構(gòu)成：一是針對云上基礎(chǔ)服務(wù)安全防御、攻擊檢測的云安全保障；二是面向監(jiān)管的云安全監(jiān)管能力建設(shè)以及以此為基礎(chǔ)的云安全服務(wù)體系建設(shè)；三是保障云上核心數(shù)據(jù)安全的云數(shù)據(jù)安全；四是針對企業(yè)云接入終端的云安全接入。云安全能力整體框架見圖2。

圖2 云安全能力整體框架

4.1 云安全保障

云安全保障關(guān)注企業(yè)云平臺在基礎(chǔ)安全保障方面需求的實現(xiàn)，以及安全能力如何與云平臺的結(jié)合。云安全保障能力由3部分組成（見圖3）。

圖3 云安全保障能力

第一部分是企業(yè)云邊界的安全防護(hù)能力，重點關(guān)注對云平臺接入邊界的網(wǎng)絡(luò)流量中攻擊數(shù)據(jù)的控制、檢測；在企業(yè)云出口，關(guān)注惡意代碼、入侵攻擊、信息竊取、拒絕服務(wù)等攻擊行為的發(fā)生，需要針對企業(yè)云上的業(yè)務(wù)系統(tǒng)提供相應(yīng)的防護(hù)能力。

第二部分是針對云上的業(yè)務(wù)防護(hù)，采用啟明星辰軟件定義安全框架來實現(xiàn)云環(huán)境下基礎(chǔ)安全能力的部署，借助虛擬化的優(yōu)勢實現(xiàn)自適應(yīng)的安全體系架構(gòu)，可以實現(xiàn)云上的安全能力根據(jù)業(yè)務(wù)安全需求進(jìn)行動態(tài)調(diào)整，實現(xiàn)更加智能化的安全。軟件定義安全框架由3個組件構(gòu)成：第一個組件是用以驅(qū)動云上數(shù)據(jù)轉(zhuǎn)發(fā)的智慧流平臺，目前已經(jīng)可以采用虛擬導(dǎo)流、軟件定義網(wǎng)絡(luò)（SDN）等方式進(jìn)行流量轉(zhuǎn)發(fā)，進(jìn)行企業(yè)云南北向、東西向流量的靈活調(diào)度，進(jìn)行網(wǎng)絡(luò)流量的分析和控制；第二個組件是安全資源池，啟明星辰Vetrix平臺實現(xiàn)安全設(shè)備的資源管理，Vetrix安全資源平臺由各種物理形態(tài)或虛擬形態(tài)的網(wǎng)絡(luò)安全設(shè)備組成，兼容各廠商的安全系統(tǒng)；第三個組件是管理控制中心，安全資源池內(nèi)的安全系統(tǒng)不再采用單獨部署、各自為政的工作模式，而是由管理中心統(tǒng)一部署、管理、調(diào)度，以實現(xiàn)相應(yīng)的安全功能。安全資源可以按需取用，支持高擴(kuò)展性、高彈性。

第三部分是云上安全保障能力的調(diào)度和展現(xiàn)平臺——CloudSOC云安全管理平臺。CloudSOC主要完成各類云上安全信息如日志、攻擊數(shù)據(jù)、漏洞數(shù)據(jù)、情報數(shù)據(jù)、流量數(shù)據(jù)等內(nèi)容的集中采集，然后采用大數(shù)據(jù)分析技術(shù)，對各類數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析、聚類挖掘，依據(jù)前期設(shè)定的場景規(guī)則，匹配驅(qū)動流平臺和安全資源池的調(diào)度，以實現(xiàn)根據(jù)不同安全場景進(jìn)行安全能力的調(diào)整，實現(xiàn)自適應(yīng)的安全體系架構(gòu)。

4.2 云安全監(jiān)管及服務(wù)

企業(yè)云安全面臨大量新型威脅形態(tài)，攻擊者的攻擊手段、攻擊頻率大大加強(qiáng)，需要建立一套安全監(jiān)測監(jiān)管系統(tǒng)（見圖4），用于實時感知企業(yè)云安全態(tài)勢情況，并基于態(tài)勢感知的結(jié)果，提供云上的安全服務(wù)。

整個監(jiān)管服務(wù)體系分2步實施。

第一步，構(gòu)建企業(yè)云安全監(jiān)管平臺。通過相關(guān)檢測、分析能力的部署，實現(xiàn)對云上安全態(tài)勢的實時分析。在感知內(nèi)容上，主要針對威脅感知、脆弱性與資產(chǎn)感知、威脅情報獲取和使用、流量感知等，通過感知采集的相關(guān)數(shù)據(jù)，使用安全大數(shù)據(jù)分析工具（BDSA）和相關(guān)分析算法，并通過可視化展現(xiàn)將安全態(tài)勢情況進(jìn)行整體描繪與呈現(xiàn)，以驅(qū)動安全服務(wù)等工作的進(jìn)行。

圖4 云安全監(jiān)測監(jiān)管系統(tǒng)

第二步，基于監(jiān)管平臺的監(jiān)測數(shù)據(jù)提供安全服務(wù)（見圖5）。安全服務(wù)內(nèi)容區(qū)別于傳統(tǒng)信息系統(tǒng)的服務(wù)，結(jié)合企業(yè)云業(yè)務(wù)的生命周期特點及云架構(gòu)的特點展開。

圖5 基于監(jiān)管平臺的監(jiān)測數(shù)據(jù)提供安全服務(wù)

檢查測試類服務(wù)內(nèi)容為：基礎(chǔ)IaaS/PaaS平臺的安全周期性安全評估，主要判斷基礎(chǔ)架構(gòu)中如操作系統(tǒng)、數(shù)據(jù)庫中間件等基礎(chǔ)平臺是否存在普遍性的安全漏洞；企業(yè)云上線的安全檢測主要是指業(yè)務(wù)上云或新業(yè)務(wù)發(fā)布時，是否能符合企業(yè)云整體的安全要求，原有的在云下的安全能力是否能正常切換到企業(yè)云上等；在前兩類服務(wù)之外，也融合基于黑盒的滲透測試和白盒的代碼審計等服務(wù)內(nèi)容，服務(wù)項目相互融合，貼合企業(yè)云業(yè)務(wù)特點展開。

保障支撐類服務(wù)主要基于監(jiān)管平臺態(tài)勢感知的實時數(shù)據(jù)，展開響應(yīng)企業(yè)云上的安全監(jiān)管。如，實時針對企業(yè)云安全威脅的分析，境外組織對重要信息系統(tǒng)的攻擊情況分析；重大緊急漏洞的快速響應(yīng)，如影響范圍分析，利用該漏洞的攻擊監(jiān)測等。

合規(guī)評估服務(wù)是針對各類云上安全標(biāo)準(zhǔn)，如國標(biāo)GB/T 31167、GB/T 31168，ISO 27001延伸的CSA STAR，等級保護(hù)云標(biāo)準(zhǔn)等，以及各類地方標(biāo)準(zhǔn)的符合性角度，進(jìn)行企業(yè)云平臺的合規(guī)性評估。

4.3 云數(shù)據(jù)安全

云數(shù)據(jù)安全主要考慮云上數(shù)據(jù)安全問題。企業(yè)云上數(shù)據(jù)可以分為結(jié)構(gòu)化數(shù)據(jù)、非結(jié)構(gòu)化數(shù)據(jù)形態(tài)，以及企業(yè)大數(shù)據(jù)平臺內(nèi)的混合型數(shù)據(jù)。云數(shù)據(jù)安全框架見圖6。

圖6 云數(shù)據(jù)安全框架

結(jié)構(gòu)化數(shù)據(jù)主要是指企業(yè)云上各企業(yè)門戶網(wǎng)站數(shù)據(jù)、各企業(yè)服務(wù)平臺、企業(yè)OA系統(tǒng)以及其他業(yè)務(wù)平臺的關(guān)系型數(shù)據(jù)庫中的結(jié)構(gòu)化數(shù)據(jù)，主要威脅為攻擊者針對業(yè)務(wù)平臺或暴露在外的數(shù)據(jù)管理接口上的攻擊，直接導(dǎo)致數(shù)據(jù)失竊；另外還存在運維過程中運維人員直接對數(shù)據(jù)庫的操作風(fēng)險。

非結(jié)構(gòu)化數(shù)據(jù)存在2種數(shù)據(jù)泄露途徑：一是內(nèi)部人員直接數(shù)據(jù)外發(fā)，二是攻擊者直接獲取系統(tǒng)控制權(quán)限后的數(shù)據(jù)竊取。

針對大數(shù)據(jù)平臺，主要面臨的風(fēng)險是數(shù)據(jù)平臺上各組件的認(rèn)證過程中存在越權(quán)、非授權(quán)訪問的問題，導(dǎo)致直接獲取大數(shù)據(jù)平臺中的相關(guān)數(shù)據(jù)。

針對結(jié)構(gòu)化數(shù)據(jù)的防護(hù)主要從應(yīng)用防護(hù)角度展開，針對云上業(yè)務(wù)平臺的應(yīng)用界面攻擊（如注入、針對數(shù)據(jù)庫接口的攻擊），防護(hù)能力由上述云安全保障部分防御能力來完成，主要涉及入侵防御系統(tǒng)或Web應(yīng)用安全網(wǎng)關(guān)。

針對非結(jié)構(gòu)化數(shù)據(jù)，如企業(yè)云平臺上存在的文件、圖表等非結(jié)構(gòu)化數(shù)據(jù)，可以使用數(shù)據(jù)防泄漏（DLP）方案應(yīng)對。在企業(yè)云平臺上需要特別針對網(wǎng)絡(luò)流量及郵件數(shù)據(jù)進(jìn)行數(shù)據(jù)防泄密監(jiān)控。

面對認(rèn)證、授權(quán)、審計3個大數(shù)據(jù)安全核心問題，大數(shù)據(jù)安全管理系統(tǒng)面向大數(shù)據(jù)基礎(chǔ)平臺，兼容各主流大數(shù)據(jù)平臺的版本。為不同角色用戶提供快捷服務(wù)的門戶系統(tǒng)，其核心的基礎(chǔ)就是用戶身份的管控，包括用戶管理、機(jī)構(gòu)管理、角色管理、權(quán)限管理、操作行為管控、統(tǒng)一用戶信息管理等部分，即通常所說的3個統(tǒng)一：統(tǒng)一認(rèn)證管理、統(tǒng)一授權(quán)管理和統(tǒng)一安全審計。

企業(yè)云平臺建設(shè)過程中通常會涉及不同級別的網(wǎng)絡(luò)間的數(shù)據(jù)交換，如互聯(lián)網(wǎng)區(qū)域和企業(yè)外網(wǎng)區(qū)域，采用數(shù)據(jù)交換平臺，可以實現(xiàn)異構(gòu)數(shù)據(jù)間的安全可信交換。

另外，針對于敏感數(shù)據(jù)，如公民的身份證、住址、電話和其他個人信息等，在企業(yè)云各平臺使用過程中要做到數(shù)據(jù)的按需求傳遞，如有些場景下并不需要完整字段的數(shù)據(jù)，可以采用數(shù)據(jù)庫脫敏技術(shù)對數(shù)據(jù)漂白，如采用模糊、替換、轉(zhuǎn)義等方式進(jìn)行數(shù)據(jù)脫敏。

各業(yè)務(wù)平臺的非授權(quán)或越權(quán)使用，也是數(shù)據(jù)泄露的重要途徑，可以通過系統(tǒng)日志、網(wǎng)絡(luò)日志、業(yè)務(wù)日志、運維審計（堡壘機(jī)）等方式采集各類業(yè)務(wù)操作數(shù)據(jù)，基于業(yè)務(wù)操作數(shù)據(jù)的分析，可以發(fā)現(xiàn)企業(yè)云上違規(guī)操作、惡意操作行為，從業(yè)務(wù)審計自身的角度解決數(shù)據(jù)安全的問題。

云數(shù)據(jù)安全還需要采用安全評估的方法，針對云上業(yè)務(wù)的互訪關(guān)系、數(shù)據(jù)的分類分級等進(jìn)行評估，找出各類數(shù)據(jù)傳遞過程中可能存在的安全威脅，再使用前面提到的各類安全技術(shù)措施，采用適當(dāng)?shù)陌踩呗?，才能達(dá)到有效數(shù)據(jù)安全防護(hù)能力的落地。

4.4 云安全接入

企業(yè)云上主要承載各類企業(yè)業(yè)務(wù)應(yīng)用，以上針對數(shù)據(jù)、監(jiān)管、保障的防護(hù)方案主要針對云上的業(yè)務(wù)安全需求展開。企業(yè)云的使用除了互聯(lián)網(wǎng)區(qū)域的對公業(yè)務(wù)外，還有很多應(yīng)用是針對于政府工作人員，使用企業(yè)終端的接入進(jìn)行業(yè)務(wù)操作和數(shù)據(jù)傳遞，在這個過程中，如果對于接入的終端控制不嚴(yán)格，會導(dǎo)致惡意代碼對企業(yè)應(yīng)用的影響、敏感數(shù)據(jù)非受控傳輸?shù)?。云安全接入框架見圖7。

圖7 云安全接入框架

云安全接入主要包含3方面內(nèi)容：

（1）針對移動端的安全主要涉及企業(yè)應(yīng)用移動終端的管控，如移動執(zhí)法、移動辦公的手機(jī)和平板電腦等，采用企業(yè)移動管理（EMM）方案，對移動端進(jìn)行統(tǒng)一的設(shè)備管理、應(yīng)用管理，以及文件的數(shù)據(jù)落地管理，保障移動端的應(yīng)用、數(shù)據(jù)的安全可控。

（2）針對桌面操作終端，主要實現(xiàn)對終端層面的惡意代碼防護(hù)、終端DLP、終端行為管理等能力，保證接入企業(yè)云的桌面終端的安全可控。

（3）無論是移動端或桌面端，需要采用統(tǒng)一的認(rèn)證、可靠的方式，限定非認(rèn)證的終端不允許接入云端。同時，對于終端到企業(yè)云的數(shù)據(jù)連接，采用有效的加密通信過程。

[1] GB/T 31167—2014 信息安全技術(shù)：云計算服務(wù)安全指南[S].

[2] CSA. The Treacherous 12 Cloud Computing Top Threats in 2016[R]，2016.

責(zé)任編輯 盧敏

A Solution to Cloud Security

CAO Rui，LIU Xinlong
（Venustech，Beijing 100193，China）

The cloud computing technology makes information and service resources sharable. Unlike traditional safeguarding object, the cloud platform will face severe security issues in terms of boundary protection and safeguard of inside virtualization network. The overall framework of Venustech cloud security ability consists of four aspects: f rstly, the cloud security safeguard targeting security defense and attack detection of fundamental cloud services; secondly, construction of cloud security supervision ability and of cloud security service system on this basis; thirdly, security of cloud data which safeguard the core data of the cloud; fourthly, the cloud security access for the enterprise cloud.

cloud security；cloud security threat；cloud data security；a solution to cloud security；enterprise-dedicated cloud

TP391；U298

A

1001-683X（2017）02-0077-07

10.19549/j.issn.1001-683x.2017.02.077

2017-01-05

曹瑞（1978—），男，高級工程師。E-mail：caorui@venustech.com.cn

劉新龍（1976—），男，高級工程師。E-mail：13910912512@139.com

“中國畫火車第一人”王忠良先生火車鋼筆畫系列作品——“MG”型蒸汽機(jī)車