云计算安全概要
云计算从概念到实体，至今已历经十二个年头。时至今日，云计算早已成为IT领域的“常态”。从2006年Google公司开始提出“云计算”这一IT概念以来，云计算的发展不仅得到了各商业机构和科研院校的大力支持，也得到了世界各国政府的极力助推。以我国为例，近年来，云计算在我国政府推动下迅猛发展，尤其在中国政府将网络安全上升到国家战略层面的背景下，国内IT基础设施已经逐步实现从计算、存储、软件到操作系统和数据库等核心平台的国产化。因此，云计算在我国信息安全的建设过程中将担任更重要的角色。
《中华人民共和国网络安全法》由全国人民代表大会常务委员会于2016年11月7日发布，自2017年6月1日起施行。其中，第二十一条“国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务。”，奠定等级保护制度的重要地位。
云计算安全挑战
云计算平台作为信息化建设中的重要系统，具备开放型巨系统的特征，系统组成极为复杂。由此决定着云计算平台将面临着各个层面的网络安全挑战。
首先，是来自网络和通讯的安全挑战。这类攻击是借助网络、通讯特性如带宽、传输会话、数据包转发等实施的攻击。例如，直接通过网络实施DDOS攻击，通过网络使用不安全接口实施注入、盗取秘钥、非法获取敏感数据、非法篡改数据攻击，通过网络实施账户劫持以及通过网络传输的APT类攻击等。
其次，是面向设备和计算的安全挑战。攻击者利用云计算设备和平台性能优势或固有特性实施直接或间接的攻击，如：身份验证和凭证被盗取、云计算存储资源数据残留、存在漏洞的基础服务资源被共享使用、云服务被滥用于其他网络攻击等。
第三，是面向应用和数据的安全挑战。应用的目的是处理数据，云计算软件漏洞、不安全接口、数据库存储不受控、黑客攻击、员工处理数据的异常操作、未被授权的访问等可造成数据泄露、数据异常销毁、数据永久丢失等重大损失。
第四，是来自管理、运维的安全挑战。在云计算管理层面，缺乏尽职调查、数据所有权缺乏保障体系；在运维层面，存在云使用方或云租户对云计算服务方过度依赖，甚至被云计算服务方锁定、恶意越权访问、滥用职权以及误操作等，存在信息安全隐患的管理和运维，这些对云计算平台的安全稳定带来巨大风险和隐患。
云计算等级保护组织架构
云计算等级保护的施行由两部分组成，一部分是组织，另外一部分是施行逻辑。就组织而言，云计算等级保护有完善的指导、规划、试测、建设、验证、审计和持续优化流程组织形式和流程。
图1 等级保护实施流程
云计算等级保护框架
云计算等级保护是整个等保2.0的一部分，它与等级保护的“通用”部分形成一个整体，来约束云计算平台的等级保护建设，为云计算平台网络安全建设设立基线。云计算等级保护框架按照系统组成来划分，大致可分为面向整个云计算平台的防护要求和面向云计算负载的防护要求。
图2 云计算安全等级保护是等级保护框架的一部分
云计算系统分级需要综合等级保护中的安全通用要求和云计算安全两个模块的内容，进行定级。云计算等级保护的每个等级依据威胁对目标造成的影响程度，形成有梯度的防护。这些要求被整体划分为技术要求和管理要求，分别面向云计算平台系统和云计算平台管理两个部分。以三级等保建设为例，其技术要求160多项、管理要求120多项。
图3 云计算平台等级保护内容框架
云计算等级保护逻辑
云计算等级保护逻辑涵盖技术逻辑、管理逻辑和运行逻辑。技术逻辑和运行逻辑是密不可分的，云计算平台的组成可分为控制平台和云计算基础设备，云计算控制平台目前包含OpenStack、VmwareESX、XenServer、阿里飞天、华为FusionSphere、OpenQRM、OpenNebula等；云计算基础设备包含网络设备、存储设备、计算设备、证书签发设备还有各类系统等。云计算等级保护的重要任务是对云计算平台本身以及其运行环境做网络安全防护。
云安全防护逻辑由技术体系与管理体系两部分组成，其中，安全管理体系包括人员与组织、安全策略、系统安全建设和系统安全运维四部分。安全技术体系包括计算环境安全、接入边界安全、通信网络安全和安全管理中心四部分。安全管理中心支持下的云计算平台安全设计框架如下图所示，该图指出了云计算平台的三层架构和三种主要的安全区域划分方式，以及安全计算环境、安全区域边界（即下图中纵向虚线所示）、安全通信网络（即下图中的双向箭头）在云计算平台中的位置。
图4 云计算等级保护建设逻辑框架
总 结
云平台安全机制是由两个主要方面来保障的，一个是云等保机构的体系架构，另外一个是该体系架构的执行逻辑。这两个方面阐述了面对云计算平台网络安全威胁，应如何制定管理策略和网络安全系统建设。云计算等级保护制度伴随云平台发展与实践，遍布信息安全建设的各个领域，聚焦、深入行业领域将会是云计算等级保护制度重点方向。
参考资料
《计算机信息系统安全保护等级划分准则》GB17859-1999
《信息系统安全等级保护实施指南》
《信息系统安全保护等级定级指南》
《信息系统安全等级保护基本要求》GB/T -22239-2019
《信息系统等级保护安全设计要求》GB/T-25070-2019
《信息系统安全等级保护测评要求》GB/T -28448-2019
《信息系统安全等级保护测评过程指南》GB/T -28449-2018
Copyright © 启明星辰 版权所有 京ICP备05032414号 
京公网安备11010802024551号
