亚洲免费av电影一区二区三区,日韩爱爱视频,51精品视频一区二区三区,91视频爱爱,日韩欧美在线播放视频,中文字幕少妇AV,亚洲电影中文字幕,久久久久亚洲av成人网址,久久综合视频网站,国产在线不卡免费播放

        ?

        云平臺安全監(jiān)管及體系設計*

        2021-09-03 02:05:26溫尚國
        通信技術 2021年8期
        關鍵詞:檢測服務

        崔 陽,尚 旭,金 鑫,王 進,溫尚國

        (中國電子科技集團公司第三十研究所,四川 成都 610041)

        0 引言

        云計算技術自從被提出,就是計算機領域廣泛關注的技術熱點之一,其發(fā)展應用給社會生活各個領域帶來了顯著的影響和變化[1]。云計算技術的廣泛應用改變了傳統(tǒng)的技術體系架構,帶來了虛擬化、動態(tài)可擴展、按需部署、靈活性高、可靠性高、性價比高和可擴展性等技術優(yōu)點。隨著相應產(chǎn)品的應用,云計算技術也改變了信息領域的組織管理模式。然而,云計算技術也帶來了新的安全問題,如偽造身份、惡意軟件、隱私泄露、數(shù)據(jù)竊取、有組織的網(wǎng)絡攻擊等。由于目前該領域尤其缺乏對云計算技術安全的認知和鑒別手段,也缺乏對云計算安全的統(tǒng)一監(jiān)管,無法消除用戶使用云計算技術的安全顧慮,成為影響云計算技術進一步推廣的最大障礙。

        由于云計算技術具有體系架構復雜、虛擬資源與物理資源相結合、多租戶使用和共享等特點,導致部署于網(wǎng)絡邊界的安全防護傳統(tǒng)手段已經(jīng)無法有效應對云環(huán)境的安全風險。解決云計算安全問題,需要突破原有的安全理論界限,從頂層技術的角度出發(fā),結合安全保密現(xiàn)代化的需求,并根據(jù)云計算應用典型系統(tǒng)架構特點,全面梳理云計算各個層次所面對的多種安全威脅和存在的安全問題。本文針對所面臨的安全威脅,根據(jù)云計算環(huán)境分層體系架構特點,結合現(xiàn)有的云安全標準和規(guī)范,研究云計算的安全防護模型,提出基于統(tǒng)一安全的策略,進而設計和構建云安全監(jiān)管體系。

        1 云安全風險分析

        由于云環(huán)境中采用了虛擬化共享技術,使得不同應用之間的資源能夠充分共享,但應用軟件結構更加復雜,應用業(yè)務邏輯層次增加,導致攻擊者可利用的攻擊面增加,也大大增加了。此外,云平臺不同架構層次上,也有著不同的安全風險。

        1.1 云基礎設施安全風險

        云基礎設施包括服務器、交換機、存儲等硬件設備。這些設備可以分類為網(wǎng)絡傳輸設備和計算存儲設備。由于其不同的運行特點,兩者存在不同的安全風險。

        1.1.1 計算存儲設備安全風險

        在云計算環(huán)境中,計算存儲設備是云最基本的基礎設施,是進行計算和存儲數(shù)據(jù)的主要設備,其硬件形式為機架式服務器。在該環(huán)境中,計算存儲設備也面臨著傳統(tǒng)服務器面臨的風險,如存在系統(tǒng)漏洞、非法復制、非法使用權限、數(shù)據(jù)竊取、數(shù)據(jù)丟失、硬件后門等方面的安全風險。

        1.1.2 網(wǎng)絡物理傳輸安全風險

        云平臺的物理傳輸網(wǎng)絡存在外來網(wǎng)絡非法入侵、網(wǎng)絡竊取、數(shù)據(jù)泄露等安全風險,以及網(wǎng)絡設備自身安全性方面的風險,如網(wǎng)絡設備被非法控制、網(wǎng)絡路由被非法劫持等。另外,云平臺傳輸網(wǎng)絡應采取密碼技術保證數(shù)據(jù)傳輸?shù)臋C密性和完整性,防止數(shù)據(jù)被監(jiān)聽泄密。

        1.2 基礎設施服務層安全風險

        虛擬化是云計算特有的技術。引入虛擬化技術的同時,也帶來了傳統(tǒng)系統(tǒng)中未有過的安全風險和威脅。基礎設施服務(Infrastructure as a Service,IaaS)層主要包括虛擬機、云數(shù)據(jù)存儲和傳輸、虛擬化監(jiān)視器、網(wǎng)絡虛擬化和虛擬化管理幾個部分。基礎設施服務層為云平臺提供基礎的運行服務,基礎設施的安全是云平臺安全的基礎。除了傳統(tǒng)的安全威脅以外,虛擬資源的管理和分享也導致了新的安全威脅。

        1.2.1 虛擬機安全威脅

        虛擬機面臨傳統(tǒng)主機系統(tǒng)的所有安全風險。具體面臨的安全威脅如下:操作系統(tǒng)和數(shù)據(jù)庫被暴力破解,造成非法訪問;服務器的Web 應用被入侵,遭遇上傳木馬、上傳webshell 等攻擊行為;補丁更新不及時導致的漏洞被利用;不安全的配置和非必要端口的開放導致的非法訪問和入侵。

        1.2.2 云數(shù)據(jù)存儲和傳輸安全風險

        在云計算環(huán)境中,由于存儲虛擬化的引入,物理存儲資源共用和復用,虛擬機的數(shù)據(jù)(磁盤內(nèi)容)以文件的形式存儲在物理的存儲介質上,并通過網(wǎng)絡方式訪問,因此面臨著以下風險:

        (1)數(shù)據(jù)在傳輸過程中受到破壞而無法恢復;

        (2)在虛擬環(huán)境傳輸?shù)奈募蛘邤?shù)據(jù)被監(jiān)聽;

        (3)虛擬機的內(nèi)存和存儲空間被釋放或再分配后被惡意攻擊者竊?。?/p>

        (4)同一個邏輯卷被多個虛擬機掛載導致邏輯卷上的敏感信息泄露;

        (5)云用戶從虛擬機逃逸后獲取鏡像文件或其他用戶的隱私數(shù)據(jù);

        (6)虛擬機遷移、敏感數(shù)據(jù)存儲漂移導致的不可控;

        (7)數(shù)據(jù)安全隔離不嚴格導致惡意用戶可以訪問其他用戶數(shù)據(jù);

        (8)虛擬機鏡像遭到惡意攻擊者篡改或非法讀取。

        1.2.3 虛擬化監(jiān)視器安全風險

        在云計算環(huán)境中,資源是通過虛擬化監(jiān)視器(Hypervisor)等方式對資源進行邏輯切分,其中存在以下安全風險:

        (1)Hypervisor 管理器缺乏身份鑒別,導致非法登錄Hypervisor 后進入虛擬機;

        (2)控制單臺虛擬機后,通過虛擬機漏洞逃逸到Hypervisor,獲得物理主機的控制權限;

        (3)控制單臺虛擬機后,通過Hypervisor 漏洞訪問其他虛擬機;

        (4)缺乏服務質量(Quality of Service,QoS)保證機制,虛擬機因異常原因產(chǎn)生的資源占用過高而導致宿主機或宿主機下的其他虛擬機的資源不足,導致正常業(yè)務異?;虿豢捎茫?/p>

        (5)缺乏針對虛擬機的“監(jiān)、控、防”機制,不能及時發(fā)現(xiàn)攻擊行為,攻擊者攻破虛擬系統(tǒng)后,可以進行任意破壞行為、網(wǎng)絡行為,還可以猜解其他賬戶,并能長期潛伏;

        (6)虛擬機可能因運行環(huán)境異?;蛴布O備異常等原因出錯而影響其他虛擬機;

        (7)Hypervisor 等核心組件缺乏完整性檢測,存在被破壞和篡改的風險;

        (8)抗毀能力不足,核心組件缺乏快速恢復機制,在遭到破壞后,無法快速地恢復。

        1.2.4 網(wǎng)絡虛擬化安全風險

        在云計算模式下,隨著網(wǎng)絡虛擬化的引入、物理網(wǎng)絡資源的共享和傳統(tǒng)邊界的消失會帶來以下安全風險:

        (1)傳統(tǒng)的防火墻、入侵檢測系統(tǒng)(Intrusion Detection System,IDS)、入侵防御系統(tǒng)(Intrusion Prevention System,IPS)等網(wǎng)絡安全設備只能部署在物理網(wǎng)絡的邊界,無法對虛擬機之間的通信進行細粒度訪問控制;

        (2)網(wǎng)絡資源虛擬化后,導致傳統(tǒng)網(wǎng)絡邊界的消失,無法有效地對云環(huán)境流量進行審計、監(jiān)控和管控;

        (3)黑客通過虛擬機向整個虛擬網(wǎng)絡進行滲透攻擊,并在虛擬網(wǎng)絡內(nèi)傳播病毒木馬等惡意軟件,威脅到整個虛擬網(wǎng)絡甚至計算平臺的安全運行;

        (4)虛擬機之間進行的地址解析協(xié)議(Address Resolution Protocol,ARP)攻擊、嗅探;

        (5)虛擬系統(tǒng)在熱遷移過程中數(shù)據(jù)被非法嗅探和讀??;

        (6)云內(nèi)網(wǎng)絡帶寬的非法搶占;

        (7)重要的網(wǎng)段、服務器被非法訪問、端口掃描、入侵攻擊;

        (8)內(nèi)部用戶或內(nèi)部網(wǎng)絡的非法外聯(lián)行為無法檢測和阻斷;

        (9)內(nèi)部用戶之間或者虛擬機之間的端口掃描、暴力破解、入侵攻擊等。

        1.2.5 虛擬化管理方面安全風險

        利用虛擬化管理軟件自身存在安全漏洞,入侵管理平面,對云平臺進行破壞;缺乏統(tǒng)一的、高安全性的認證和鑒權體系,導致云平臺管理員賬號被非法冒用、暴力破解等帶來的安全威脅;管理員權限集中,缺乏審計和回溯機制,導致管理平面的安全風險;管理平面缺乏安全設計,導致對服務器、宿主機、虛擬機等進行操作管理時存在被竊聽和重放的風險;Hypervisor、虛擬系統(tǒng)、云平臺不及時更新或系統(tǒng)漏洞導致的攻擊入侵。

        1.3 平臺服務層安全風險

        平臺服務(Platform as a Service,PaaS)層向應用提供開發(fā)、部署、運行需要的數(shù)據(jù)庫服務、Web服務平臺、消息中間件等云平臺服務。這些平臺服務的安全性和服務數(shù)據(jù)的安全性直接相關,并直接影響云的安全。

        1.3.1 云平臺服務安全風險

        云平臺服務提供的數(shù)據(jù)庫服務、Web 服務平臺、消息中間件等云平臺服務基于統(tǒng)一的模板創(chuàng)建,如果云平臺服務存在安全漏洞,攻擊者就可以利用這個安全漏洞,對云平臺服務開展廣泛攻擊。云平臺服務安全面臨注入攻擊、跨站腳本、可擴展標記語言(eXtensible Markup Language,XML)外部實體漏洞、失效的身份認證、失效的訪問控制、安全配置錯誤、使用含有已知漏洞的組件、不充分的日志和監(jiān)控等安全風險。

        1.3.2 云平臺接口安全風險

        通過云平臺接口實現(xiàn)對云平臺服務的操作和管理,如果接口的安全保護不到位或者接口的傳輸協(xié)議有安全問題就會產(chǎn)生安全風險。云平臺接口安全面臨以下風險:未經(jīng)授權的用戶,進行非法訪問;接口受到分布式拒絕服務(Distributed Denial of Service,DDoS)攻擊,接口可用性遭到破壞;傳輸協(xié)議未加密或加密不充分,導致授權用戶被竊聽,發(fā)生數(shù)據(jù)泄密;傳輸協(xié)議對數(shù)據(jù)完整性保護不足,存在傳輸數(shù)據(jù)被篡改風險,完整性被破壞。

        1.3.3 云平臺數(shù)據(jù)安全風險

        由于應用的數(shù)據(jù)集中存儲在云平臺中,一旦存在安全風險會影響到所有的應用,將造成特別重大的損失,因此要格外注意云平臺的數(shù)據(jù)安全保護。云平臺數(shù)據(jù)服務的安全風險主要有數(shù)據(jù)泄露和數(shù)據(jù)丟失兩方面,數(shù)據(jù)泄露安全風險包括數(shù)據(jù)庫未授權訪問、數(shù)據(jù)庫相關賬戶劫持、不完善的身份驗證邏輯、用戶錯誤配置、不安全的應用程序接口(Application Programming Interface,API)(爬蟲爬?。┑?;數(shù)據(jù)丟失安全風險包括內(nèi)部人員竊取、密碼泄漏、意外刪除文件、惡意軟件破壞、硬件設備故障、非法入侵等。

        1.4 軟件服務層安全風險

        云平臺的軟件服務(Software as a Service,SaaS)層向應用提供軟件服務。這些軟件服務的安全性直接影響云平臺的安全。

        1.4.1 云平臺軟件服務的安全風險

        云平臺軟件服務安全面臨以下風險:軟件服務本身存在安全漏洞,導致受到惡意攻擊,如結構化查詢語言(Structured Query Language,SQL)注入、跨站腳本攻擊等;云平臺軟件服務是基于Web 的網(wǎng)絡管理軟件,Web 應用面臨拒絕服務攻擊、中間人攻擊、惡意軟件注入攻擊等安全風險。

        1.4.2 云平臺軟件服務隔離的安全風險

        云平臺軟件服務在多租戶應用模式下,不同用戶共享統(tǒng)一的計算、網(wǎng)絡、存儲資源,應該實現(xiàn)完全隔離。但如果不能對各個用戶的軟件服務進行隔離,惡意用戶就能直接訪問他人的軟件服務,并且可以改變軟件服務設置,即非授權用戶可能突破隔離屏障,訪問、竊取、篡改其他用戶的數(shù)據(jù)。云平臺軟件服務隔離的主要安全風險有計算資源未隔離、網(wǎng)絡資源未隔離、存儲資源未隔離。

        1.4.3 云軟件服務身份和訪問管理的安全風險

        云平臺軟件服務在很多方面都需要進行身份和訪問管理,因此將身份和訪問管理集成到云平臺,能為云平臺軟件服務提供統(tǒng)一的管理服務。但身份和訪問管理一方面需要接受傳統(tǒng)攻擊方法的考驗,另一方面也在云平臺環(huán)境下面臨著新的考驗。身份和訪問管理面臨賬戶攻擊和內(nèi)部威脅兩個方面的安全風險。賬戶攻擊是指攻擊者通過某些途徑獲取賬戶信息,這些途徑包括網(wǎng)絡釣魚、軟件漏洞利用、撞庫、密碼猜解、密碼泄露等,然后進行一些惡意的操作或者未授權的活動。內(nèi)部威脅是指內(nèi)部具有訪問權限的內(nèi)部人員也有可能因安全意識缺失、錯誤的軟件/服務配置或者不規(guī)范的軟件使用等原因造成的內(nèi)部安全威脅。

        2 云安全標準規(guī)范

        云計算的安全問題已成為阻礙其發(fā)展的重要因素。為了促進云計算的發(fā)展,規(guī)范提高云平臺的安全性,需要提供統(tǒng)一的云計算安全標準。各國政府機構和國際標準化組織制定了許多云計算安全的標準,這些標準規(guī)范成為了評判云平臺安全性的重要依據(jù)。

        2.1 國外標準規(guī)范

        2.1.1 NIST 安全標準

        針對云計算標準,美國國家標準技術研究院(National Institute of Standards and Technology,NIST)發(fā)布了《SP500-291 云計算標準路線圖》和《SP 500-292 云計算參考架構》,給出了云計算定義模型,如圖1 所示。

        圖1 云計算定義模型

        云計算定義模型定義了云計算的3 種基本服務模式(PaaS、SaaS、IaaS)、4 種部署模式(私有云、社區(qū)云、公有云和混合云)以及5 個基本特征(按需自服務、廣泛的網(wǎng)絡接入、資源池化、快速伸縮、服務可度量)。

        2013 年5 月NIST 發(fā)布了《SP 500-299 NIST 云計算安全參考框架(NCC-SRA)》,指導構建安全云環(huán)境[2],安全參考模型如圖2 所示。

        圖2 NIST 云計算安全參考架構

        2.1.2 CSA 云安全

        云安全聯(lián)盟(Cloud Security Aliance,CSA)發(fā)布的云安全指南為云計算的安全防護構建提供了指導。CSA 的主要成果有《云計算關鍵領域安全指南》《云計算的主要安全威脅報告》《云安全聯(lián)盟的云控制矩陣》《身份管理和訪問控制指南》等[3]。其中,《云計算關鍵領域安全指南v4.0》共14 個域(章節(jié)),第1 域描述了云計算概念和體系,其他13 個領域著重介紹了云計算安全的關注領域,以解決云計算環(huán)境中戰(zhàn)略和戰(zhàn)術安全的“痛點”,可應用于各種云服務和部署模式的組合[4]。這些域分成了兩大類:治理和運行。其中,治理域中要求對云平臺進行合規(guī)化和審計管理。

        2.2 國內(nèi)云安全標準

        隨著云計算安全問題凸顯,云平臺的安全性問題已經(jīng)上升到事關國家安全和民生穩(wěn)定的高度。我國政府也制定了一系列相關法律法規(guī)來規(guī)范和指導云服務商為云平臺應增加相應的安全防護能力,相繼頒布了《信息安全技術 網(wǎng)絡安全等級保護基本要求》(GB/T 22239—2019)、《信息安全技術 云計算服務安全指南》(GB/T 31167—2014)和《信息安全技術 云計算服務安全能力要求》(GB/T 31168—2014)等,是云安全標準的基礎。。

        2.2.1 云計算服務安全指南

        2014 年9 月首批發(fā)布的云計算服務安全方面的國家標準《信息安全技術 云計算服務安全能力要求》(GB/T 31168—2014)和《信息安全技術 云計算服務安全指南》(GB/T 31167—2014),是審查云計算服務網(wǎng)絡安全能力的重要標準。

        《云計算服務安全指南》指導政府部門在云計算服務的生命周期采取相應的安全技術和管理措施,保障數(shù)據(jù)和業(yè)務的安全,安全地使用云計算服務[5]?!对朴嬎惴瞻踩改稀反_定了在云計算服務的使用過程中要注重運行監(jiān)管,即采用云計算服務后,為了確保服務中的數(shù)據(jù)和業(yè)務的運行安全,需要對數(shù)據(jù)和業(yè)務及其采用的云計算平臺進行持續(xù)監(jiān)管[5]?!对朴嬎惴瞻踩改稀吩跇藴手兄赋觯涸朴嬎悱h(huán)境安全需要進行安全監(jiān)管。安全監(jiān)管即要求第三方測評機構在使用前對云計算環(huán)境的安全能力和安全云計算服務網(wǎng)絡進行審查和測評。在服務運行時也要對云服務和云形態(tài)實施安全監(jiān)管。

        2.2.2 等保2.0

        為了適應新技術、新應用情況下信息安全等級保護工作的開展,國家安標委組織進行修訂,發(fā)布了《信息安全技術 網(wǎng)絡安全等級保護基本要求》(GB/T 22239—2019),也被稱為等保2.0。該標準針對云計算、大數(shù)據(jù)、移動互聯(lián)、物聯(lián)網(wǎng)工業(yè)控制等新技術、新應用領域提出等保擴展安全要求[6]。

        等保2.0 標準中將安全技術要求重新劃分為4個層面:物理和環(huán)境安全、網(wǎng)絡和通信安全、設備和計算安全、應用和數(shù)據(jù)安全[7]。在網(wǎng)絡和通信安全方面要求安全審計,云服務方和云租戶分別收集各自的審計數(shù)據(jù),并根據(jù)職責劃分提供審計接口,實現(xiàn)集中審計。在設備和計算安全方面,云服務方負責基礎設置的安全審計,云租戶提供計算服務中的安全審計,審計要求提供數(shù)據(jù)接口實現(xiàn)集中審計。在應用和數(shù)據(jù)安全方面,和上面的類似,要求根據(jù)職責劃分,提供各自的審計接口實現(xiàn)集中審計??梢姷缺?.0 標準對于安全審計在各個層面都進行了要求,云的安全數(shù)據(jù)需要集中收集和審計,從而對云安全進行監(jiān)管。

        3 云平臺安全體系

        3.1 設計思路

        前面從云的分層架構角度對云上各層面臨的安全風險進行了詳細的梳理和闡述,同時對應對這些安全風險需要構建的安全能力提出了具體的要求。本節(jié)將針對風險和安全能力需求,從基礎設施安全、IaaS、PaaS、SaaS、云安全管理和云安全監(jiān)管多維度構建云平臺安全的技術框架,解決前面的安全風險問題。

        3.2 體系框架

        從云平臺安全技術體系的角度,將云平臺安全劃分為基礎設施安全、IaaS 安全、PaaS 安全、SaaS 安全、云安全管理和云安全監(jiān)管6 個層面,如圖3 所示。

        圖3 云平臺安全技術框架

        基礎設施安全方面,除了對于服務器、交換機、存儲等硬件設備的傳統(tǒng)安全防護以外,還包括針對虛擬化監(jiān)視器的安全保護技術,包括組件防篡改、虛機隔離、內(nèi)存隔離、虛擬機監(jiān)視程序(Virtual Machine Monitor,VMM)元數(shù)據(jù)保護等。

        IaaS 層安全方面,主要包括虛擬機安全、虛擬網(wǎng)絡安全以及虛擬存儲安全3 方面。虛擬機安全包括虛擬機中的端口管控、外設安全、防病毒、漏洞掃描以及入侵檢測等。虛擬網(wǎng)絡安全包括云平臺上東西向的網(wǎng)絡防護,包括流量審計、訪問控制、入侵檢測與防護、防ARP 攻擊以及帶寬流量管理等。虛擬存儲安全包括虛機磁盤、鏡像、快照的存儲加密、完整性保護、遷移加密和傳輸加密。

        PaaS 層安全方面,主要包括PaaS 的服務安全、接口安全以及數(shù)據(jù)安全3 個方面。服務安全,包括服務的訪問控制、身份認證、Web 應用防護、合規(guī)配置、操作審計等。接口安全包括接入認證鑒權、傳輸加密、傳輸數(shù)據(jù)完整性、DDoS 防護等。數(shù)據(jù)安全包括數(shù)據(jù)的訪問審計、認證鑒權、數(shù)據(jù)分類、數(shù)據(jù)安全保護等。

        SaaS 層安全方面主要涉及防護應用安全,包括應用身份認證、應用訪問控制、Web 應用防護應用數(shù)據(jù)加密以及應用行為審計等。

        云安全管理方面,云上安全防護與傳統(tǒng)安全防護主要的區(qū)別在于防護邊界的消失和云上資源的動態(tài)變化。云安全服務的服務鏈編排,包括資源編排、服務生命周期管理等;云安全服務的彈性伸縮包括服務高可用、服務橫向伸縮以及服務負載均衡等。此外,云安全管理還包括統(tǒng)一的云安全態(tài)勢、云安全操作、日志審計。

        云安全監(jiān)管將對云平臺、云服務、云應用、云安全服務進行全方面的安全監(jiān)管。如Gartner 等研究機構對云上安全防護提出了“自適應”的云安全架構要求。對云安全管理來說要實現(xiàn)“自適應”的云安全架構,必須實現(xiàn)云安全策略的自適應,包括統(tǒng)一獲取云安全服務的安全策略、安全策略自適應調整、安全策略統(tǒng)一合規(guī)檢查等。云安全狀態(tài)檢查,包括對云組件、云網(wǎng)絡和云資產(chǎn)進行安全檢查,檢測安全狀態(tài)是否滿足安全要求,提出改善建議。云安全合規(guī)性檢查,是對云平臺和云服務是否符合相關安全標準和規(guī)范進行檢查,分析其安全狀態(tài),通過自定義合規(guī)策略實現(xiàn)安全基線檢查。

        4 云安全監(jiān)管體系設計

        4.1 體系概述

        第3 節(jié)從云平臺的基礎設施安全、IaaS 安全、PaaS 安全、SaaS 安全、云安全管理和云安全監(jiān)管6個層面構建了云平臺的安全體系。下面針對云安全監(jiān)管系統(tǒng)的設計具體如下文所述。

        基于云安全監(jiān)管系統(tǒng)構建一套統(tǒng)一的云安全監(jiān)測和管理體制,為管理員提供統(tǒng)一的云安全監(jiān)管界面,并為部署在云平臺中的虛擬機提供安全合規(guī)性檢測、網(wǎng)絡連通性監(jiān)測、網(wǎng)絡流量流向監(jiān)測、網(wǎng)絡流量抓包分析等功能,實現(xiàn)云上安全策略有效性分析。云安全監(jiān)管系統(tǒng)采用有代理+無代理雙監(jiān)控模式,提供虛擬網(wǎng)絡安全有效性監(jiān)測、虛擬網(wǎng)絡流量監(jiān)控、通信關系可見、云上抓包等能力,為用戶清晰展示云內(nèi)的網(wǎng)絡訪問關系,便于及時驗證網(wǎng)絡安全防護策略配置的有效性,為優(yōu)化網(wǎng)絡策略配置提供有力支撐,實現(xiàn)云上安全的“可看可查”。

        云安全監(jiān)管系統(tǒng)圍繞云環(huán)境配置合規(guī)性、組件可信性、系統(tǒng)脆弱性、網(wǎng)絡連通性、策略合理性、隔離有效性等多個安全維度,應對云環(huán)境接入訪問和云平臺安全防護的安全防護風險,實現(xiàn)對云安全的“可看可查”和“可管可控”。該系統(tǒng)還能夠實現(xiàn)云內(nèi)各虛擬機之間網(wǎng)絡連通性監(jiān)測,便于驗證網(wǎng)絡訪問控制策略的有效性;能夠實時監(jiān)測云內(nèi)流量分布情況,觀察動向流量走向,便于優(yōu)化網(wǎng)絡策略配置;能夠提供云上抓包工具,可通過監(jiān)管平臺抓取任意節(jié)點之間的數(shù)據(jù)包,快速定位分析問題。

        云安全監(jiān)管系統(tǒng)根據(jù)統(tǒng)一的接口規(guī)范,通過主動式調用云平臺接口獲取的信息和被動式接收云平臺上報的信息,同時基于統(tǒng)一的云安全監(jiān)管模型對不同云平臺進行綜合監(jiān)管和智能評估。

        云安全監(jiān)管系統(tǒng)從多個維度全方位監(jiān)測和考察云環(huán)境安全性,主要包含配置合規(guī)性、組件完整性、身份可信性、系統(tǒng)脆弱性、網(wǎng)絡連通性、策略合理性、隔離有效性。配置合規(guī)性檢查宿主機、云平臺、虛擬機和容器配置是否合規(guī)。策略合理性驗證云平臺安全域、安全組和泛終端主機安全防護策略的設置是否合理。組件完整性校驗云平臺各組件是否符合完整性的要求;身份可信性考核云平臺中虛擬資產(chǎn)身份標識、認證、鑒權和訪問控制是否符合云平臺身份驗證要求。系統(tǒng)脆弱性掃描宿主機、云平臺、虛擬機和容器是否存在安全風險。網(wǎng)絡連通性發(fā)現(xiàn)云平臺虛擬機和容器中服務開放端口間的通信關系。隔離有效性評估云平臺安全域、安全組和泛終端主機安全防護策略的設置是否生效。

        云安全監(jiān)管系統(tǒng)通過綜合評分評估云環(huán)境安全性,并為云安全管理員提供合理、有效的安全加固方案和措施。

        4.2 體系功能組成

        云安全監(jiān)管系統(tǒng)由管理端和代理端組成。云安全監(jiān)管系統(tǒng)為軟件形態(tài),部署于獨立的服務器或虛擬機。管理端為云平臺提供安全監(jiān)管功能,提供云平臺數(shù)據(jù)采集、分析、處理及展示能力。代理端以輕量客戶端形式部署于虛擬機和宿主機內(nèi)部,提供虛擬機和宿主機的數(shù)據(jù)采集、策略驗證執(zhí)行、網(wǎng)絡抓包、脆弱性掃描等能力,具體功能組成如圖4所示。

        圖4 云安全監(jiān)管系統(tǒng)功能組成

        4.2.1 管理端

        管理端實現(xiàn)虛擬資產(chǎn)發(fā)現(xiàn)、虛擬網(wǎng)絡拓撲展示、網(wǎng)絡通信可見、網(wǎng)絡安全有效性監(jiān)測、云上抓包、虛擬機運行狀態(tài)監(jiān)控、合規(guī)性檢測、組件完整性檢測、身份可信鑒別、安全風險檢測、策略有效性檢測以及安全狀態(tài)分析等能力。

        (1)虛擬資產(chǎn)發(fā)現(xiàn):采集虛擬機CPU、內(nèi)存、存儲配置、IP 地址、MAC 地址,操作系統(tǒng)類型等基礎信息。

        (2)虛擬網(wǎng)絡拓撲展示:云內(nèi)虛擬機和虛擬網(wǎng)絡,繪制虛擬網(wǎng)絡拓撲圖。

        (3)網(wǎng)絡通信可見:據(jù)實際網(wǎng)絡流量,自動繪制云內(nèi)各虛擬主機與外部的通信關系。

        (4)網(wǎng)絡安全有效性監(jiān)測:實現(xiàn)云內(nèi)網(wǎng)絡安全隔離有效性檢查,自動發(fā)現(xiàn)虛擬機內(nèi)部的服務及監(jiān)聽端口,支持一鍵監(jiān)測云內(nèi)所有服務/端口之間的連通性,且能夠導出監(jiān)測結果。

        (5)云上抓包:提供在線抓包工具,便于快速定位和分析問題。

        (6)虛擬機運行狀態(tài)監(jiān)控:監(jiān)控虛擬主機管控客戶端運行狀態(tài)和系統(tǒng)CPU、內(nèi)存、磁盤IO 等運行狀態(tài)。

        (7)合規(guī)性檢測:根據(jù)預先制定的安全規(guī)則或用戶自定義的安全規(guī)則對云平臺進行全方位的檢測,檢測是否符合安全規(guī)則,并給出檢測報告,提供修改建議和意見。

        (8)組件完整性檢測:檢測云平臺系統(tǒng)的運行組件是否完整、是否被非法修改或篡改。

        (9)身份可信鑒別:檢驗云用戶、云租戶、云計算節(jié)點、云服務組件、虛擬實體等進行身份認證,是否滿足云平臺身份認證標準的要求,是否采用生物特征、密碼標識、用戶口令等多因子驗證方法。

        (10)安全風險檢測:掃描云平臺和虛擬機運行的系統(tǒng)和軟件是否存在安全風險,并提示用戶修補。

        (11)策略有效性檢測:收集和整理云平臺及相關安全組件的安全,檢驗這些策略對云平臺是否生效、是否有沖突、是否對防護對象有缺失。

        (12)安全狀態(tài)分析:通過檢測結果,分析云平臺的安全狀態(tài),形成檢測報告并給出安全建議。

        4.2.2 代理端

        代理端實現(xiàn)安全策略驗證、基礎數(shù)據(jù)采集、網(wǎng)絡抓包、脆弱性掃描等能力。

        4.3 功能模塊設計

        云安全監(jiān)管系統(tǒng)分為管理端和代理端兩部分,通過部署在虛擬機中的代理端,獲取虛擬機數(shù)據(jù)采集模塊周期性,采集虛擬機內(nèi)部的基礎數(shù)據(jù)。這些數(shù)據(jù)包括CPU、內(nèi)存、存儲等虛擬機資源運行狀態(tài)以及虛擬機內(nèi)部運行的服務及監(jiān)聽端口等。數(shù)據(jù)通過消息通信模塊發(fā)送至管理端,檢測虛擬機中的網(wǎng)絡流量,檢測通信關系和行為,評估云平臺網(wǎng)絡風險。云安全監(jiān)管系統(tǒng)管理端為云平臺提供安全監(jiān)管功能,通過與云平臺接口和代理采集的數(shù)據(jù),對云平臺數(shù)據(jù)進行采集、分析、處理及展示。云安全監(jiān)管服務端由云安全合規(guī)檢測服務、云安全數(shù)據(jù)分析服務、云安全管控服務、數(shù)據(jù)存儲服務、數(shù)據(jù)采集服務以及用戶交互服務組成,各服務組件關系如圖5 所示。

        圖5 云安全監(jiān)管系統(tǒng)技術結構

        4.3.1 云安全合規(guī)性監(jiān)測服務

        依據(jù)等保2.0 條例、GJB5612 條例等安全保密要求,對云平臺提供云配置合規(guī)性、云組件完整性、云身份可靠性、云網(wǎng)絡連通性、云策略合理性、云脆弱性、云隔離有效性等安全層面控制點進行檢測,將檢測邏輯規(guī)則化,并形成標準規(guī)則格式下發(fā)到規(guī)則引擎。規(guī)則引擎解析控制點檢測規(guī)則,通過調用云平臺遠程接口和代理接口,完成控制點檢測并形成檢測結論和檢測意見。

        4.3.2 云安全數(shù)據(jù)分析服務

        云安全數(shù)據(jù)分析服務對采集層獲取的動靜態(tài)數(shù)據(jù)進行處理、統(tǒng)計、分析以及關聯(lián)操作,并將分析、評估結果存放至關系型數(shù)據(jù)庫,為云平臺的安全分析、評估和評分提供支撐。

        4.3.3 數(shù)據(jù)處理服務

        數(shù)據(jù)采集服務將收集的多云資產(chǎn)數(shù)據(jù)進行統(tǒng)一建模,依次進行校驗、規(guī)整、聚合入庫。云資產(chǎn)、虛擬機基礎配置、虛擬機運行狀態(tài)等靜態(tài)數(shù)據(jù)將存入關系型數(shù)據(jù)庫,動態(tài)數(shù)據(jù),如網(wǎng)絡通信數(shù)據(jù)流量,存入時序數(shù)據(jù)庫。

        4.3.4 數(shù)據(jù)采集服務

        數(shù)據(jù)采集中心通過雙路模式采集云環(huán)境中數(shù)據(jù);通過調用云軟件開發(fā)工具包(Software Development Kit,SDK)提供的遠程接口,收集云環(huán)境資產(chǎn)數(shù)據(jù),包括云資產(chǎn)的網(wǎng)絡、存儲、配置、運行狀態(tài)等信息;通過代理端數(shù)據(jù)采集虛擬機和宿主機基礎數(shù)據(jù)、運行數(shù)據(jù)等。

        4.3.5 用戶交互服務

        用戶交互服務為用戶提供Web 管理界面,實現(xiàn)云資產(chǎn)查看、合規(guī)檢測管理、數(shù)據(jù)分析管理、系統(tǒng)管理等功能的操作界面。管理界面功能操作簡單,操作易懂易用,數(shù)據(jù)呈現(xiàn)清晰。

        5 結語

        安全性問題已成為阻礙云計算技術進一步應用和推廣的最大障礙。云安全監(jiān)管系統(tǒng)能改變云平臺對安全風險缺乏感知、分析和評估手段的現(xiàn)狀,打破云平臺安全的“黑盒”情況。本文設計基于對云平臺網(wǎng)絡流量、安全策略和安全數(shù)據(jù)的匯總分析,并與安全管理系統(tǒng)等現(xiàn)有安全信息系統(tǒng)聯(lián)動,能夠對云平臺的配置合規(guī)性、組件完整性、身份可信性、系統(tǒng)脆弱性、策略有效性進行評估,實現(xiàn)對云平臺安全的“可看可查”和“可管可控”,提升云平臺安全防御能力。

        猜你喜歡
        檢測服務
        “不等式”檢測題
        “一元一次不等式”檢測題
        “一元一次不等式組”檢測題
        “幾何圖形”檢測題
        “角”檢測題
        服務在身邊 健康每一天
        服務在身邊 健康每一天
        服務在身邊 健康每一天
        服務在身邊 健康每一天
        服務在身邊 健康每一天
        在线视频夫妻内射| 性色av手机在线观看| 男人的天堂av你懂得| 日本添下边视频全过程| 国产特级毛片aaaaaa| 亚洲无码一二专区| 亚洲中文字幕高清视频| 中文字幕一区二区三区的| 一区二区三区国产| 国产精品18禁久久久久久久久| av网址不卡免费在线观看| 日本不卡的一区二区三区中文字幕| 麻豆一区二区三区蜜桃免费| 波多野结衣有码| 99熟妇人妻精品一区五一看片| 日韩av毛片在线观看| 国产成人a人亚洲精品无码| 欧洲美熟女乱又伦av影片| 性生交片免费无码看人| 无遮高潮国产免费观看| 胳膊肘上有白色的小疙瘩| 天堂av网手机线上天堂| 99爱在线精品免费观看| 国产自精品| 综合图区亚洲偷自拍熟女| 国产专区国产精品国产三级| 色视频线观看在线网站| 亚洲饱满人妻视频| 亚洲黄色一插一抽动态图在线看| 在线播放av不卡国产日韩| 黑人巨大av在线播放无码 | 亚洲综合色婷婷久久| 侵犯了美丽丰满人妻中文字幕| 久久97久久97精品免视看| 久久福利青草精品免费| 成人精品国产亚洲av久久| 国产精品人成在线观看免费| 免费精品一区二区三区第35| av草草久久久久久久久久久 | 亚洲色图专区在线视频| 亚洲熟妇色自偷自拍另类|