◆陳飛 楊秋紅

行業(yè)與應(yīng)用安全

企業(yè)云平臺(tái)安全防護(hù)的探索與實(shí)踐

◆陳飛1楊秋紅2

（1.中國(guó)電子科技集團(tuán)公司第四十一研究所 安徽 233010；2.陸軍裝甲兵學(xué)院 安徽 233000）

基于企業(yè)數(shù)據(jù)的快速增長(zhǎng)、業(yè)務(wù)范圍的日益拓展，借助互聯(lián)網(wǎng)建設(shè)和使用云平臺(tái)已是大勢(shì)所趨，但是企業(yè)云平臺(tái)卻面臨諸多實(shí)際應(yīng)用問(wèn)題，其中安全防護(hù)問(wèn)題就是一個(gè)亟待解決的核心和關(guān)鍵問(wèn)題。本文從企業(yè)云平臺(tái)安全現(xiàn)狀進(jìn)行分析，立足網(wǎng)絡(luò)安全等級(jí)保護(hù)制度及其相關(guān)標(biāo)準(zhǔn)，重點(diǎn)從技術(shù)和管理兩個(gè)方面闡述了安全防護(hù)實(shí)踐，提出了一種云平臺(tái)技術(shù)防護(hù)辦法，對(duì)企業(yè)云平臺(tái)安全防護(hù)工作具有重要借鑒意義。

云平臺(tái)；安全管理中心；安全域

當(dāng)前，信息技術(shù)快速發(fā)展，云計(jì)算技術(shù)更是日新月異。隨著中國(guó)“互聯(lián)網(wǎng)+”戰(zhàn)略的提出和深化，越來(lái)越多的企業(yè)擁抱互聯(lián)網(wǎng)，建設(shè)滿足自身需要的云平臺(tái)，打通了企業(yè)內(nèi)外部壁壘，擴(kuò)展了業(yè)務(wù)范圍，提質(zhì)增效的同時(shí)更好地面向社會(huì)、面向世界實(shí)現(xiàn)企業(yè)可持續(xù)性發(fā)展。但是，企業(yè)云平臺(tái)為企業(yè)帶來(lái)諸多好處的同時(shí)，因其置身互聯(lián)網(wǎng)環(huán)境中，更面臨著嚴(yán)峻的安全問(wèn)題，訪問(wèn)安全、數(shù)據(jù)安全等成為制約其充分發(fā)揮作用的瓶頸。

在互聯(lián)網(wǎng)中雖沒(méi)有絕對(duì)的安全，但可以最大限度減少安全風(fēng)險(xiǎn)，合理規(guī)避風(fēng)險(xiǎn)，有效防范風(fēng)險(xiǎn)。本文立足網(wǎng)絡(luò)安全等級(jí)保護(hù)制度及其相關(guān)標(biāo)準(zhǔn)，結(jié)合工作實(shí)踐，考慮集團(tuán)企業(yè)的業(yè)務(wù)需求，從技術(shù)和管理兩個(gè)方面論述如何開(kāi)展企業(yè)云平臺(tái)安全防護(hù)，以期通過(guò)技術(shù)防護(hù)、管理防護(hù)等手段能夠在云平臺(tái)和互聯(lián)網(wǎng)之間建立堅(jiān)實(shí)屏障，保障云平臺(tái)的安全。

1 企業(yè)云平臺(tái)存在的安全問(wèn)題

企業(yè)在大面積“上云”的同時(shí)，一方面享受了云平臺(tái)帶來(lái)的巨大經(jīng)濟(jì)效益，另一方也在承受著云平臺(tái)帶來(lái)的安全隱患，安全事故層出不窮。據(jù)統(tǒng)計(jì)，在各類型網(wǎng)絡(luò)安全事件中，云平臺(tái)的分布式拒絕服務(wù)攻擊次數(shù)占比超過(guò)50%，國(guó)內(nèi)主流云平臺(tái)承載的惡意程序種類數(shù)量占境內(nèi)互聯(lián)網(wǎng)承載的惡意程序種類數(shù)量的53.7%，各種數(shù)據(jù)表明云平臺(tái)已成為攻擊者的主要攻擊目標(biāo)。觀其現(xiàn)象，究其根源，主要凸顯在以下兩個(gè)方面：

1.1 “裸奔”現(xiàn)象屢見(jiàn)不鮮

每戶人家都會(huì)為自己的家配備一把鎖，這是常識(shí)。但是，沒(méi)有安全防護(hù)的企業(yè)云平臺(tái)運(yùn)行在互聯(lián)網(wǎng)上，卻又司空見(jiàn)慣、見(jiàn)怪不怪！這無(wú)異于“裸奔”。大量的云平臺(tái)安全事件表明，“裸奔”成為攻擊重點(diǎn)，因?yàn)楣羲恍枰馁M(fèi)很多資源，所以成為攻擊者的首選?！奥惚肌睅Ыo企業(yè)的損失無(wú)法計(jì)量，數(shù)據(jù)泄露、網(wǎng)絡(luò)攻擊等等都成為企業(yè)不能承受之重。

“裸奔”的原因是多方面的、較為復(fù)雜，一方面是不知道如何不“裸奔”，云平臺(tái)對(duì)于很多企業(yè)來(lái)說(shuō)是陌生的，它相對(duì)傳統(tǒng)的服務(wù)器平臺(tái)有較大差別，它需要的不僅是技防手段的更新?lián)Q代，更需要知識(shí)的更新?lián)Q代；另一方面是明知道“裸奔”卻心存僥幸，安全防護(hù)的投入是需要資金的，對(duì)于一部分企業(yè)來(lái)說(shuō)，安全投入有別于經(jīng)營(yíng)投入，它難以有回報(bào)，讓經(jīng)營(yíng)者產(chǎn)生“打水漂”的錯(cuò)覺(jué)，再加上“數(shù)據(jù)是資產(chǎn)”的意識(shí)不強(qiáng)，會(huì)產(chǎn)生對(duì)安全的無(wú)視，大有“互聯(lián)網(wǎng)這么多數(shù)據(jù)怎會(huì)偏偏就是我中招”的“僥幸心理”。

1.2 “敵人”來(lái)自內(nèi)部

很多事例表明內(nèi)部的“敵人”也是恐怖，形勢(shì)之嚴(yán)峻也是令人側(cè)目，永恒之藍(lán)等勒索病毒的肆虐無(wú)忌就是一個(gè)很好的例子。技防手段建立了、安全策略制定了、管理措施健全了……然而，這些一旦成為擺設(shè)、成為應(yīng)付交差、成為面子工程，內(nèi)部的“敵人”也就出現(xiàn)了，產(chǎn)生的危害無(wú)異于敞開(kāi)大門任由小偷想來(lái)就來(lái)、想走就走。

究其原因也是多方面的，企業(yè)投入不夠、運(yùn)維隊(duì)伍不完整、運(yùn)維技術(shù)不具備、技防手段不掌握、安全策略不配置、管理措施不執(zhí)行……安全防護(hù)是一個(gè)系統(tǒng)工程，它有短板效應(yīng)，千里之堤、毀于蟻穴，絕非危言聳聽(tīng)！

2 企業(yè)云平臺(tái)安全防護(hù)實(shí)踐

基于企業(yè)云平臺(tái)的重要性以及存在的問(wèn)題，按照等保2.0相關(guān)標(biāo)準(zhǔn)和要求，結(jié)合云平臺(tái)的安全防護(hù)工作實(shí)踐，本文重點(diǎn)從技術(shù)防護(hù)實(shí)踐和管理防護(hù)實(shí)踐兩方面進(jìn)行闡述。

2.1 云平臺(tái)安全防護(hù)技術(shù)實(shí)踐

通過(guò)研究GB/T 25070-2019中云計(jì)算等級(jí)保護(hù)安全技術(shù)設(shè)計(jì)框架，結(jié)合業(yè)務(wù)管理實(shí)際，建立了如圖1所示的云平臺(tái)技術(shù)防護(hù)模型，基于該模型建立了企業(yè)云平臺(tái)，為各層級(jí)企業(yè)提供服務(wù)。該模型主要有安全管理中心、各企業(yè)服務(wù)器區(qū)域和用戶區(qū)域等組成，建立了監(jiān)管、預(yù)警、審計(jì)和追溯的有效機(jī)制，最大限度地實(shí)現(xiàn)了資源共享、網(wǎng)絡(luò)獨(dú)立、安全統(tǒng)管等目標(biāo)。

如圖1所示的云平臺(tái)技術(shù)防護(hù)模型主要具有以下特點(diǎn)：

（1）獨(dú)立的網(wǎng)絡(luò)

云平臺(tái)按照管理區(qū)域不同，以互聯(lián)網(wǎng)出入口為邊界，建立云平臺(tái)內(nèi)部網(wǎng)絡(luò)，實(shí)現(xiàn)與互聯(lián)網(wǎng)邏輯隔離，控制內(nèi)部網(wǎng)絡(luò)訪問(wèn)互聯(lián)網(wǎng)絡(luò)、互聯(lián)網(wǎng)絡(luò)訪問(wèn)內(nèi)部網(wǎng)絡(luò)，一定程度上實(shí)現(xiàn)云平臺(tái)內(nèi)部網(wǎng)絡(luò)獨(dú)立。同時(shí)，內(nèi)部網(wǎng)絡(luò)可以達(dá)到萬(wàn)兆，有效規(guī)避互聯(lián)網(wǎng)帶寬的占用及限制。

（2）劃分安全域和VLAN

云平臺(tái)內(nèi)部網(wǎng)絡(luò)按照不同的企業(yè)用戶、不同的職能劃分VLAN，建立安全域，明確劃分安全域邊界，實(shí)施邊界防護(hù)，控制VLAN間的訪問(wèn)和數(shù)據(jù)流向，各企業(yè)之間數(shù)據(jù)相互隔離，在可控狀態(tài)下實(shí)現(xiàn)共享。同時(shí)，各企業(yè)服務(wù)器能夠與安全管理中心各安全系統(tǒng)進(jìn)行通信，實(shí)現(xiàn)安全管控。

（3）建立統(tǒng)一的安全管理中心

云平臺(tái)中建立安全管理中心，對(duì)服務(wù)器安全、網(wǎng)絡(luò)安全和訪問(wèn)安全實(shí)施統(tǒng)一管理，實(shí)現(xiàn)監(jiān)管、預(yù)警、審計(jì)和追溯。通過(guò)負(fù)載均衡配置對(duì)互聯(lián)網(wǎng)帶寬進(jìn)行按需分配，通過(guò)對(duì)防火墻等配置實(shí)現(xiàn)服務(wù)器指定端口、IP的訪問(wèn)，保障性能和安全。同時(shí)，所有的服務(wù)器及設(shè)備的管理均通過(guò)堡壘機(jī)實(shí)施，實(shí)現(xiàn)了權(quán)限最小化單元，以及行為可控，對(duì)于重要變更，更會(huì)通知相關(guān)管理員授權(quán)實(shí)施，確保安全有效。

（4）設(shè)立唯一的、可控的互聯(lián)網(wǎng)出入口

云平臺(tái)中安全管理中心、各企業(yè)服務(wù)器區(qū)域中對(duì)互聯(lián)網(wǎng)的訪問(wèn)均是可管可控，原則上只有企業(yè)服務(wù)器區(qū)域中應(yīng)用服務(wù)器通過(guò)指定端口、IP對(duì)互聯(lián)網(wǎng)提供服務(wù)，安全管理中心中各安全系統(tǒng)根據(jù)升級(jí)和功能需要定期定時(shí)訪問(wèn)互聯(lián)網(wǎng)，使整個(gè)云平臺(tái)對(duì)互聯(lián)網(wǎng)的訪問(wèn)和提供服務(wù)口是唯一并且可控的。

（5）實(shí)施“應(yīng)用-文件-數(shù)據(jù)”分離的部署方式

通過(guò)對(duì)信息系統(tǒng)的構(gòu)成分析，將信息系統(tǒng)分為應(yīng)用、文件和數(shù)據(jù)三部分，分別部署在三類服務(wù)器，通過(guò)指定端口、IP基于萬(wàn)兆網(wǎng)絡(luò)進(jìn)行通信。信息系統(tǒng)中文件和數(shù)據(jù)是至關(guān)重要的，相比而言應(yīng)用的重要性和被攻擊損失相對(duì)較小，信息系統(tǒng)中僅通過(guò)應(yīng)用服務(wù)器對(duì)互聯(lián)網(wǎng)提供服務(wù)，互聯(lián)網(wǎng)不能直接訪問(wèn)文件和數(shù)據(jù)服務(wù)器，減少互聯(lián)網(wǎng)暴露面的同時(shí)很大程度上保障了信息系統(tǒng)數(shù)據(jù)資產(chǎn)安全。

圖1 云平臺(tái)技術(shù)防護(hù)模型

2.2 企業(yè)云平臺(tái)安全防護(hù)管理實(shí)踐

三分靠軟件，七分靠管理。管理的好與壞、粗與精，直接影響云平臺(tái)安全防護(hù)的質(zhì)量。在具體的管理實(shí)踐中，形成了“上中下”三層管理機(jī)構(gòu)和制度、策略、規(guī)程三級(jí)管理要求，相互聯(lián)動(dòng)建立了長(zhǎng)效的工作機(jī)制，有效地保證管理落地，很好地保障了云平臺(tái)安全防護(hù)工作。主要包括以下三個(gè)方面實(shí)踐經(jīng)驗(yàn)：

（1）建立“上中下”三層管理機(jī)構(gòu)

“上中下”三層主要是指主要領(lǐng)導(dǎo)層、業(yè)務(wù)分管領(lǐng)導(dǎo)層、運(yùn)維管理員層，構(gòu)建三層機(jī)構(gòu)，形成安全防護(hù)決策依托、工作依據(jù)和組織保障。安全防護(hù)是犧牲工作效率的，二者不可兼得，所以在推進(jìn)過(guò)程中存在阻力是必然的。如何順利及時(shí)有效地開(kāi)展，“一把手”的重視和參與是必不可少的。主要領(lǐng)導(dǎo)重視了，業(yè)務(wù)分管領(lǐng)導(dǎo)才能更及時(shí)有效地推進(jìn)相關(guān)業(yè)務(wù)，運(yùn)維管理員也才能更好地更順利地實(shí)施具體工作。

（2）制定制度、策略、規(guī)程三級(jí)管理要求

制度是從宏觀層面對(duì)安全防護(hù)工作進(jìn)行規(guī)定和要求、對(duì)資源配置進(jìn)行調(diào)整和配給、對(duì)崗位職責(zé)進(jìn)行確定和落實(shí)；策略是安全防護(hù)的配置內(nèi)容要求和需要達(dá)到的安全狀態(tài)；規(guī)程是從操作、執(zhí)行和行為層面對(duì)運(yùn)維管理員進(jìn)行規(guī)范。三者層層遞進(jìn)、相輔相成、不可或缺，與主要領(lǐng)導(dǎo)層、業(yè)務(wù)分管領(lǐng)導(dǎo)層和運(yùn)維管理員層一一對(duì)應(yīng)，使得安全防護(hù)工作有“法”可依、有“法”必依、執(zhí)“法”必嚴(yán)、違“法”必究。

（3）強(qiáng)化運(yùn)維隊(duì)伍的建設(shè)

一支高素質(zhì)的運(yùn)維隊(duì)伍是做好安全防護(hù)的必備條件，做好運(yùn)維隊(duì)伍建設(shè)是安全防護(hù)工作的重要一環(huán)。為云平臺(tái)、各企業(yè)服務(wù)器區(qū)域配置管理員隊(duì)伍，實(shí)現(xiàn)運(yùn)維隊(duì)伍分級(jí)管理，實(shí)施“放、管、服”，使云平臺(tái)都有人員參與運(yùn)維、負(fù)責(zé)運(yùn)維。為云平臺(tái)配備一級(jí)管理員，設(shè)置系統(tǒng)管理員、安全管理員和安全審計(jì)員；為各企業(yè)服務(wù)器區(qū)域配備二級(jí)管理員，設(shè)置系統(tǒng)管理員和安全審計(jì)員。按照不同的技術(shù)要求配備不同層次人才，做到云平臺(tái)的每個(gè)角落、每個(gè)功能模塊、每個(gè)安全區(qū)域都有崗有人、責(zé)任到人，做到安全共管、層層壓實(shí)。

3 結(jié)束語(yǔ)

本文通過(guò)對(duì)企業(yè)云平臺(tái)安全問(wèn)題現(xiàn)狀的分析，并以此為導(dǎo)向，立足網(wǎng)絡(luò)安全等級(jí)保護(hù)制度及其相關(guān)標(biāo)準(zhǔn)，結(jié)合云平臺(tái)安全防護(hù)工作實(shí)踐，從技術(shù)角度提出了一種可行的云平臺(tái)技術(shù)防護(hù)模型，并從管理角度給出了實(shí)踐經(jīng)驗(yàn)?；诖?，技術(shù)和管理雙管齊下，有效開(kāi)展企業(yè)云平臺(tái)安全防護(hù)。

[1]陳益，白鷗，石銳. 試析中小網(wǎng)站入云安全防護(hù)可行性[J].信息安全等級(jí)保護(hù)技術(shù)大會(huì)優(yōu)秀論文，2016增刊：22-25.

[2]信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求[EB/OL]，2019-05-10.

[3]李超. 信息系統(tǒng)安全等級(jí)保護(hù)實(shí)務(wù)[M]. 科學(xué)出版社， 2013.