［黃星輝 米洪偉 劉利男］

1 引言

隨著移動(dòng)通信和大數(shù)據(jù)的快速發(fā)展，電信企業(yè)的數(shù)據(jù)價(jià)值已經(jīng)成為業(yè)界關(guān)注的焦點(diǎn)，與此同時(shí)，數(shù)據(jù)的安全威脅也與日俱增。雖然《網(wǎng)絡(luò)安全法》出臺(tái)了信息安全等級(jí)保護(hù)2.0，但在落地實(shí)施方面仍然需要諸多技術(shù)和管理的支持，本文從電信企業(yè)的現(xiàn)狀出發(fā)，針對(duì)大數(shù)據(jù)云計(jì)算技術(shù)架構(gòu)所帶來(lái)的新的信息安全問(wèn)題，在分析現(xiàn)有的等級(jí)保護(hù)2.0 基礎(chǔ)上，結(jié)合電信企業(yè)云平臺(tái)的特點(diǎn)和面臨的新威脅，提出一種縱深、多層次保護(hù)的安全防護(hù)體系?；A(chǔ)信息安全從云基礎(chǔ)設(shè)施、數(shù)據(jù)和終端的私密性和完整性出發(fā)，采用數(shù)據(jù)加密和鏡像加密的技術(shù)保證基礎(chǔ)信息安全；接入安全層采用網(wǎng)絡(luò)防護(hù)、可信接入、API 安全使用、代碼安全驗(yàn)證技術(shù)保證邊界安全；數(shù)據(jù)存儲(chǔ)安全層采用租戶(hù)隔離、數(shù)據(jù)檢索、數(shù)據(jù)傳輸安全、數(shù)據(jù)隔離技術(shù)實(shí)現(xiàn)大量用戶(hù)的軟硬件共享和存儲(chǔ)的安全；數(shù)據(jù)分析采用序列分析、數(shù)據(jù)關(guān)聯(lián)分析、惡意代碼分析和統(tǒng)計(jì)分析等技術(shù)，為安全防護(hù)系統(tǒng)的入侵風(fēng)險(xiǎn)評(píng)估、安全檢測(cè)、故障定位和用戶(hù)操作審計(jì)提供技術(shù)手段；應(yīng)用安全從身份鑒別、第三方授權(quán)、AOP 切面注入技術(shù)和應(yīng)用隔離沙箱技術(shù)實(shí)現(xiàn)用戶(hù)應(yīng)用隔離和用戶(hù)訪問(wèn)的細(xì)粒度控制；預(yù)警監(jiān)視采用分布式日志收集、API 監(jiān)控、安全審計(jì)、事件研判和實(shí)時(shí)預(yù)警技術(shù)實(shí)現(xiàn)全方位預(yù)警監(jiān)視；應(yīng)急響應(yīng)則采取有效的安全措施對(duì)潛在安全威脅進(jìn)行定位和處理?；谏鲜隹v深、多層次保護(hù)的安全防護(hù)體系的研究，旨在探索信息安全等級(jí)保護(hù)環(huán)境下電信企業(yè)安全防護(hù)體系，應(yīng)對(duì)新形勢(shì)的網(wǎng)絡(luò)安全新挑戰(zhàn)。

2 電信企業(yè)云平臺(tái)安全挑戰(zhàn)

2.1 虛擬化帶來(lái)云平臺(tái)安全挑戰(zhàn)

云平臺(tái)主要依賴(lài)從底層硬件進(jìn)行抽象的虛擬化技術(shù)，實(shí)現(xiàn)多租戶(hù)使用同一個(gè)應(yīng)用環(huán)境和運(yùn)算環(huán)境。通常來(lái)說(shuō)，云平臺(tái)面臨的安全風(fēng)險(xiǎn)包括：消費(fèi)者租用虛擬機(jī)安裝惡意用戶(hù)操作系統(tǒng)，攻擊虛擬機(jī)狀態(tài)文件、蠕蟲(chóng)攻擊、拒絕服務(wù)攻擊、虛擬機(jī)檢查點(diǎn)攻擊以及虛擬機(jī)鏡像蔓延等。對(duì)于上述的安全風(fēng)險(xiǎn)，電信運(yùn)營(yíng)商通常采用安裝反病毒軟件、防火墻代理、入侵檢測(cè)系統(tǒng)等對(duì)抗大部分的攻擊行為，重在對(duì)通信安全防護(hù)和阻止外部攻擊，對(duì)內(nèi)部隔離的防護(hù)力度則相當(dāng)薄弱。

2.2 第三方庫(kù)和開(kāi)源軟件帶來(lái)安全挑戰(zhàn)

大多數(shù)云平臺(tái)是基于第三方庫(kù)和開(kāi)源軟件進(jìn)行搭建的，而云平臺(tái)的安全性容易受到第三方庫(kù)和開(kāi)源軟件安全漏洞的影響。目前針對(duì)Xen、Hadoop、Openstack、JVM等的安全防護(hù)技術(shù)得到加固，無(wú)法解決開(kāi)放式服務(wù)場(chǎng)景面臨的安全問(wèn)題。因此，云平臺(tái)安全防護(hù)要以支持云用戶(hù)靈活配置和功能擴(kuò)展為前提，制定多層次深防御的安全防護(hù)技術(shù)，形成更細(xì)顆粒度的訪問(wèn)控制、更細(xì)粒度的用戶(hù)應(yīng)用隔離沙箱、支持多種需求的日志收集、更深層次的用戶(hù)鏡像加密操作支持等防護(hù)手段。

3 基于信息安全等級(jí)保護(hù)與安全防護(hù)架構(gòu)構(gòu)建思路

3.1 信息安全系統(tǒng)等級(jí)保護(hù)

信息系統(tǒng)安全防護(hù)體系由安全技術(shù)體系、安全管理體系以及安全組織及策略管理構(gòu)成[1-4]。而信息安全系統(tǒng)等級(jí)保護(hù)是指根據(jù)信息保護(hù)的等級(jí)對(duì)信息系統(tǒng)進(jìn)行安全保護(hù)和監(jiān)管，依據(jù)對(duì)象的等級(jí)，侵害的客體以及侵害程度，分等級(jí)對(duì)信息安全事件進(jìn)行對(duì)應(yīng)的處置和監(jiān)管。

信息系統(tǒng)安全等級(jí)保護(hù)的生命周期管理包括定義階段、規(guī)劃設(shè)計(jì)階段、安全實(shí)施及實(shí)現(xiàn)階段、安全運(yùn)行管理階段。

定義階段包括活動(dòng)有：系統(tǒng)調(diào)查和描述、子系統(tǒng)的劃分和分解、子系統(tǒng)邊界的確定、安全等級(jí)確定以及等級(jí)結(jié)果文檔化。

規(guī)劃設(shè)計(jì)階段：等級(jí)化風(fēng)險(xiǎn)評(píng)估、安全總體設(shè)計(jì)、安全建設(shè)規(guī)劃。

安全實(shí)施及實(shí)現(xiàn)階段：安全方案設(shè)計(jì)、安全產(chǎn)品采購(gòu)、安全控制集成、測(cè)試與驗(yàn)收、管理機(jī)構(gòu)的設(shè)置、管理制度的建設(shè)、組織結(jié)構(gòu)及人員管理、安全建設(shè)過(guò)程管理。

安全運(yùn)行管理階段：操控管理、變更管理、安全狀態(tài)監(jiān)測(cè)管理、安全事件風(fēng)險(xiǎn)評(píng)估與應(yīng)急、監(jiān)督監(jiān)測(cè)等。

3.2 安全防護(hù)架構(gòu)構(gòu)建思路

（1）基礎(chǔ)信息安全

基礎(chǔ)信息安全作為安全防護(hù)體系最底層、最基礎(chǔ)的防護(hù)技術(shù)，包括云基礎(chǔ)設(shè)施、應(yīng)用終端、移動(dòng)終端、采集終端等的安全。

（2）安全接入

安全接入作為安全防護(hù)體系第2 層防護(hù)技術(shù)，包括云安全接入和安全接入平臺(tái)的安全。其中云安全接入是電信企業(yè)云平臺(tái)信息安全防護(hù)的重點(diǎn)，包括網(wǎng)絡(luò)安全防護(hù)、可信接入、API 安全使用、代碼安全驗(yàn)證等。

（3）數(shù)據(jù)存儲(chǔ)

數(shù)據(jù)存儲(chǔ)作為安全防護(hù)體系第3 層防護(hù)技術(shù)，包括虛擬化服務(wù)、用戶(hù)數(shù)據(jù)加密、數(shù)據(jù)檢索、數(shù)據(jù)傳輸安全等。

（4）數(shù)據(jù)分析

數(shù)據(jù)分析作為安全防護(hù)體系第4 層防護(hù)技術(shù)，采用大數(shù)據(jù)和人工智能等技術(shù)，實(shí)現(xiàn)數(shù)據(jù)關(guān)聯(lián)分析、序列分析、惡意代碼分析、統(tǒng)計(jì)分析等，實(shí)現(xiàn)安全防護(hù)體系的實(shí)時(shí)分析和歷史分析，為平臺(tái)的分線預(yù)警提供信息化手段。

（5）應(yīng)用安全

應(yīng)用安全作為安全防護(hù)體系第5 層防護(hù)技術(shù)，旨在對(duì)安全防護(hù)分析的結(jié)果展現(xiàn)。包括身份鑒別、應(yīng)用隔離沙箱、AOP 切面注入技術(shù)等，將數(shù)據(jù)分析的結(jié)果采用圖表的方式來(lái)展現(xiàn)，方便運(yùn)維人員對(duì)安全事件進(jìn)行研判。

（6）預(yù)警監(jiān)視

預(yù)警監(jiān)視作為安全防護(hù)體系第6 層防護(hù)技術(shù)，涵蓋安全防護(hù)系統(tǒng)的分布式日志收集、安全審計(jì)、潛在風(fēng)險(xiǎn)預(yù)警和安全事件研判、實(shí)時(shí)預(yù)警。

（7）應(yīng)急響應(yīng)

應(yīng)急預(yù)警作為安全防護(hù)體系第7 層防護(hù)技術(shù)，是該體系最關(guān)鍵的一環(huán)，針對(duì)預(yù)警監(jiān)視的事件研判結(jié)果，采取有效的安全措施對(duì)潛在安全威脅進(jìn)行定位和處理，遏制安全事件的擴(kuò)大化。

4 電信企業(yè)云平臺(tái)安全防護(hù)體系總體架構(gòu)

基于安全防護(hù)架構(gòu)構(gòu)建思路，構(gòu)建多層次的電信企業(yè)安全防護(hù)體系總體架構(gòu)，左側(cè)是基礎(chǔ)信息安全和接入安全；中間為數(shù)據(jù)存儲(chǔ)安全、數(shù)據(jù)分析安全和應(yīng)用安全，涵蓋防護(hù)體系的核心技術(shù)；右邊是預(yù)警監(jiān)視和應(yīng)急響應(yīng)，是安全防護(hù)的時(shí)候響應(yīng)。通過(guò)構(gòu)建七層次的、縱深防御的安全管理防護(hù)體系，實(shí)現(xiàn)事前檢測(cè)、事中防護(hù)、事后響應(yīng)的可信、可控的電信企業(yè)云平臺(tái)安全防護(hù)保障體系，如圖1 所示。

圖1 電信企業(yè)云平臺(tái)安全防護(hù)體系總體架構(gòu)

5 結(jié)束語(yǔ)

本文在信息等級(jí)保護(hù)2.0 的環(huán)境下，從云平臺(tái)安全技術(shù)和管理角度出發(fā)，分析了當(dāng)前的安全防護(hù)技術(shù)。針對(duì)電信企業(yè)云平臺(tái)出現(xiàn)的安全挑戰(zhàn)，在等級(jí)保護(hù)安全要求，提出縱深、多層次保護(hù)的安全防護(hù)體系。該安全防護(hù)體系從7 個(gè)層面的安全防護(hù)實(shí)現(xiàn)更細(xì)粒度監(jiān)控各種服務(wù)行為、更細(xì)粒度地管理用戶(hù)訪問(wèn)服務(wù)資源的級(jí)別、更細(xì)粒度地管理用戶(hù)權(quán)限，從而降低企業(yè)網(wǎng)絡(luò)、數(shù)據(jù)資產(chǎn)、各類(lèi)系統(tǒng)的安全隱患，最大化保證了整個(gè)企業(yè)網(wǎng)絡(luò)和數(shù)據(jù)的安全，保障客戶(hù)的隱私。