概述

　　上一期我們講了安全擴(kuò)展里面的安全物理環(huán)境、安全通信網(wǎng)絡(luò)和安全區(qū)域邊界，這期給大家?guī)?lái)安全計(jì)算環(huán)境、安全管理中心、安全建設(shè)管理和安全運(yùn)維管理部分的內(nèi)容。

　　01

　　安全計(jì)算環(huán)境

　　身份鑒別

　　【云安全計(jì)算環(huán)境中的身份鑒別要求當(dāng)遠(yuǎn)程管理云計(jì)算平臺(tái)中設(shè)備時(shí)，管理終端和云計(jì)算平臺(tái)之間應(yīng)建立雙向身份驗(yàn)證機(jī)制】

　　解讀：

　　云計(jì)算平臺(tái)要對(duì)管理終端身份的合法性進(jìn)行驗(yàn)證，管理終端也要對(duì)所管理設(shè)備身份的合法性進(jìn)行驗(yàn)證。

　　訪問(wèn)控制

　　【應(yīng)保證當(dāng)虛擬機(jī)遷移時(shí)，訪問(wèn)控制策略隨其遷移】

　　解讀：

　　彈性擴(kuò)展是云計(jì)算比較鮮明的特點(diǎn)，由于業(yè)務(wù)的需要，經(jīng)常會(huì)涉及到虛擬機(jī)的新增、刪除以及遷移等情況，這就需要虛擬機(jī)遷移后，云平臺(tái)能夠感知遷移的目標(biāo)物理機(jī)，并通過(guò)策略下發(fā)等方式保持針對(duì)該虛擬機(jī)的訪問(wèn)控制策略不變，也就是訪問(wèn)控制策略隨虛擬機(jī)的遷移而遷移。

　　【應(yīng)允許云服務(wù)客戶設(shè)置不同虛擬機(jī)之間的訪問(wèn)控制策略】

　　解讀：

　　這是對(duì)云平臺(tái)提出的安全能力要求，云平臺(tái)給云服務(wù)客戶提供安全資源，并將所提供安全資源的管理權(quán)限一并分配給客戶。

　　入侵防范

　　【應(yīng)能檢測(cè)虛擬機(jī)之間的資源隔離失效，并進(jìn)行告警】

　　【應(yīng)能檢測(cè)非授權(quán)新建虛擬機(jī)或者重新啟用虛擬機(jī)，并進(jìn)行告警】

　　【應(yīng)能夠檢測(cè)惡意代碼感染及在虛擬機(jī)間蔓延的情況，并進(jìn)行告警】

　　解讀：

　　這里是對(duì)云平臺(tái)及相關(guān)組件提出的要求，虛擬機(jī)資源包括CPU、內(nèi)存和磁盤(pán)等資源，云平臺(tái)或相關(guān)組件能檢測(cè)這些資源之間的隔離措施是否有效，同時(shí)檢測(cè)虛擬機(jī)的使用及惡意代碼在虛擬機(jī)之間的蔓延情況，發(fā)現(xiàn)異常情況時(shí)及時(shí)進(jìn)行告警并處置。

　　鏡像和快照保護(hù)

　　【應(yīng)針對(duì)重要業(yè)務(wù)系統(tǒng)提供加固的操作系統(tǒng)鏡像或操作系統(tǒng)安全加固服務(wù)】

　　解讀：

　　這里要求對(duì)重要業(yè)務(wù)系統(tǒng)提供安全的操作系統(tǒng)，生成加固過(guò)的虛擬機(jī)鏡像，如關(guān)閉不必要的端口、服務(wù)，且進(jìn)行了安全配置的加固。

　　【應(yīng)提供虛擬機(jī)鏡像、快照完整性校驗(yàn)功能，防止虛擬機(jī)鏡像被惡意篡改】

　　解讀：

　　這里要求對(duì)生成的鏡像或快照文件進(jìn)行完整性校驗(yàn)，并具有嚴(yán)格的校驗(yàn)記錄機(jī)制，防止虛擬機(jī)鏡像或快照被惡意篡改。

　　【應(yīng)采取密碼技術(shù)或其他技術(shù)手段防止虛擬機(jī)鏡像、快照中可能存在的敏感資源被非法訪問(wèn)】

　　解讀：

　　這里要求對(duì)虛擬機(jī)鏡像或快照中的敏感資源采用加密、訪問(wèn)控制等技術(shù)手段進(jìn)行保護(hù)，防止非法訪問(wèn)。

　　數(shù)據(jù)完整性和保密性

　　【應(yīng)確保云服務(wù)客戶數(shù)據(jù)、用戶個(gè)人信息等存儲(chǔ)于中國(guó)境內(nèi)，如需出境應(yīng)遵循國(guó)家相關(guān)規(guī)定】

　　【應(yīng)確保只有在云服務(wù)客戶授權(quán)下，云服務(wù)商或第三方才具有云服務(wù)客戶數(shù)據(jù)的管理權(quán)限】

　　【應(yīng)使用校驗(yàn)碼或密碼技術(shù)確保虛擬機(jī)遷移過(guò)程中重要數(shù)據(jù)的完整性，并在檢測(cè)到完整性受到破壞時(shí)采取必要的恢復(fù)措施】

　　【應(yīng)支持云服務(wù)客戶部署密鑰管理解決方案，保證云服務(wù)客戶自行實(shí)現(xiàn)數(shù)據(jù)的加解密過(guò)程】

　　解讀：

　　這里首先對(duì)客戶數(shù)據(jù)及用戶個(gè)人信息存儲(chǔ)的地理位置做了要求，必須存儲(chǔ)于中國(guó)境內(nèi)，如需出境應(yīng)遵循國(guó)家相關(guān)規(guī)定，目前我們國(guó)家正規(guī)化出臺(tái)個(gè)人信息出境安全評(píng)估辦法，保障數(shù)據(jù)跨境流動(dòng)中的個(gè)人信息安全；其次對(duì)云服務(wù)商管理客戶數(shù)據(jù)的權(quán)限進(jìn)行了限定，保障了云服務(wù)客戶對(duì)自己業(yè)務(wù)數(shù)據(jù)的所有權(quán)；最后要求通過(guò)校驗(yàn)碼、密碼技術(shù)來(lái)保證數(shù)據(jù)在傳輸和使用過(guò)程中的完整性和保密性。

　　數(shù)據(jù)備份恢復(fù)

　　【應(yīng)提供查詢?cè)品?wù)客戶數(shù)據(jù)及備份存儲(chǔ)位置的能力】

　　解讀：

　　這是對(duì)云計(jì)算平臺(tái)提出的要求，考慮到云計(jì)算環(huán)境下，數(shù)據(jù)的物理存儲(chǔ)位置較為模糊，云平臺(tái)應(yīng)提供查詢數(shù)據(jù)及備份存儲(chǔ)位置的能力。

　　【云服務(wù)商的云存儲(chǔ)服務(wù)應(yīng)保證云服務(wù)客戶數(shù)據(jù)存在若千個(gè)可用的副本，各副本之間的內(nèi)容應(yīng)保持一致】

　　解讀：

　　云平臺(tái)自身也要提供客戶數(shù)據(jù)備份功能，且備份的數(shù)據(jù)不能在同一物理服務(wù)器。

　　【應(yīng)為云服務(wù)客戶將業(yè)務(wù)系統(tǒng)及數(shù)據(jù)遷移到其他云計(jì)算平臺(tái)和本地系統(tǒng)提供技術(shù)手段，并協(xié)助完成遷移過(guò)程】

　　解讀：

　　這條要求目的是使客戶擺脫對(duì)某一云服務(wù)商的依賴，要求云平臺(tái)統(tǒng)一標(biāo)準(zhǔn)和接口，使客戶業(yè)務(wù)和數(shù)據(jù)能夠在不同云服務(wù)商之間或者云平臺(tái)和本地靈活遷移，有效保護(hù)云服務(wù)客戶的權(quán)益。

　　剩余信息保護(hù)

　　【應(yīng)保證虛擬機(jī)所使用的內(nèi)存和存儲(chǔ)空間回收時(shí)得到完全清除】

　　【云服務(wù)客戶刪除業(yè)務(wù)應(yīng)用數(shù)據(jù)時(shí)，云計(jì)算平臺(tái)應(yīng)將云存儲(chǔ)中所有副本刪除】

　　解讀：

　　在云計(jì)算環(huán)境中，存儲(chǔ)客戶數(shù)據(jù)的存儲(chǔ)介質(zhì)由云服務(wù)商控制，客戶不能直接管理和控制存儲(chǔ)介質(zhì)，當(dāng)客戶退出云計(jì)服務(wù)或刪除某個(gè)虛擬機(jī)時(shí)，云服務(wù)商應(yīng)完全清除客戶數(shù)據(jù)，包括備份數(shù)據(jù)和運(yùn)行過(guò)程中產(chǎn)生的客戶相關(guān)的數(shù)據(jù)，進(jìn)行介質(zhì)清理，不可清理的介質(zhì)應(yīng)物理銷(xiāo)毀，保障客戶數(shù)據(jù)的隱私安全。

　　02

　　安全管理中心

　　【應(yīng)能對(duì)物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配】

　　解讀：

　　云計(jì)算環(huán)境的多客戶、多業(yè)務(wù)的特點(diǎn)，決定了其資源的分配及策略的調(diào)整需集中進(jìn)行自動(dòng)化調(diào)度與分配，以減輕運(yùn)維人員的負(fù)擔(dān)。

　　【應(yīng)保證云計(jì)算平臺(tái)管理流量與云服務(wù)客戶業(yè)務(wù)流量分離】

　　解讀：

　　這里要求對(duì)云計(jì)算平臺(tái)上的資源進(jìn)行帶外管理，通過(guò)獨(dú)立于客戶業(yè)務(wù)網(wǎng)絡(luò)之外的專(zhuān)用管理通道對(duì)云計(jì)算平臺(tái)上的資源進(jìn)行管理，以使云平臺(tái)的管理流量與客戶的業(yè)務(wù)流量分離。

　　【應(yīng)根據(jù)云服務(wù)商和云服務(wù)客戶的職責(zé)劃分，收集各自控制部分的審計(jì)數(shù)據(jù)并實(shí)現(xiàn)各自的集中審計(jì)】

　　解讀：

　　這里是對(duì)云計(jì)算平臺(tái)、綜合審計(jì)系統(tǒng)或相關(guān)組件提出的要求，由于審計(jì)數(shù)據(jù)包含了網(wǎng)絡(luò)運(yùn)行過(guò)程中的所有關(guān)鍵信息，因此要求云服務(wù)商與云服務(wù)客戶分別各自收集，并實(shí)現(xiàn)各自的集中審計(jì)，最大限度的保護(hù)審計(jì)數(shù)據(jù)中的敏感信息不會(huì)遭到泄漏。

　　【應(yīng)根據(jù)云服務(wù)商和云服務(wù)客戶的職責(zé)劃分，實(shí)現(xiàn)各自控制部分，包括虛擬化網(wǎng)絡(luò)、虛擬機(jī)、虛擬化安全設(shè)備等的運(yùn)行狀況的集中監(jiān)測(cè)】

　　解讀：

　　云服務(wù)商和云服務(wù)客戶各自負(fù)責(zé)各自控制資源的運(yùn)行狀況集中監(jiān)測(cè)。

　　03

　　安全建設(shè)管理

　　·云服務(wù)商選擇

　　【應(yīng)選擇安全合規(guī)的云服務(wù)商，其所提供的云計(jì)算平臺(tái)應(yīng)為其所承載的業(yè)務(wù)應(yīng)用系統(tǒng)提供相應(yīng)等級(jí)的安全保護(hù)能力】

　　【應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)的各項(xiàng)服務(wù)內(nèi)容和具體技術(shù)指標(biāo)】

　　【應(yīng)在服務(wù)水平協(xié)議中規(guī)定云服務(wù)商的權(quán)限與責(zé)任，包括管理范圍、職責(zé)劃分、訪問(wèn)授權(quán)、隱私保護(hù)、行為準(zhǔn)則、違約責(zé)任等】

　　【應(yīng)在服務(wù)水平協(xié)議中規(guī)定服務(wù)合約到期時(shí)，完整提供云服務(wù)客戶數(shù)據(jù)，并承諾相關(guān)數(shù)據(jù)在云計(jì)算平臺(tái)上清除】

　　【應(yīng)與選定的云服務(wù)商簽署保密協(xié)議，要求其不得泄露云服務(wù)客戶數(shù)據(jù)】

　　解讀：

　　合規(guī)的云服務(wù)商是指通過(guò)權(quán)威機(jī)構(gòu)安全審查的云服務(wù)商，客戶在將業(yè)務(wù)部署或遷移至云計(jì)算平臺(tái)之前，應(yīng)對(duì)云服務(wù)商的資質(zhì)進(jìn)行審核，并確保其云平臺(tái)的安全保護(hù)級(jí)別不低于客戶業(yè)務(wù)系統(tǒng)的安全保護(hù)級(jí)別；同時(shí)由于目前缺乏有效的機(jī)制、標(biāo)準(zhǔn)或工具來(lái)對(duì)云服務(wù)商的各項(xiàng)數(shù)據(jù)與業(yè)務(wù)相關(guān)的安全責(zé)任進(jìn)行檢查和約束，所以客戶要與云服務(wù)商簽署服務(wù)水平協(xié)議、保密協(xié)議等，明晰云服務(wù)商的安全職責(zé)、行為準(zhǔn)則以及違約責(zé)任等。

　　·供應(yīng)鏈選擇

　　【應(yīng)確保供應(yīng)商的選擇符合國(guó)家有關(guān)規(guī)定】

　　【應(yīng)將供應(yīng)鏈安全事件信息或安全威脅信息及時(shí)傳達(dá)到云服務(wù)客戶】

　　【應(yīng)將供應(yīng)商的重要變更及時(shí)傳達(dá)到云服務(wù)客戶，并評(píng)估變更帶來(lái)的安全風(fēng)險(xiǎn)，采取措施對(duì)風(fēng)險(xiǎn)進(jìn)行控制】

　　解讀：

　　云計(jì)算環(huán)境是一個(gè)較為復(fù)雜的環(huán)境，涉及許多廠商的產(chǎn)品和組件，因此云服務(wù)商在對(duì)其云平臺(tái)進(jìn)行開(kāi)發(fā)和相關(guān)產(chǎn)品和組件的采購(gòu)時(shí)，要充分考慮安全需求，對(duì)產(chǎn)品和供應(yīng)商的相關(guān)資質(zhì)進(jìn)行審核，對(duì)供應(yīng)商提出相應(yīng)的安全要求，確保供應(yīng)商采取了必要的安全措施，云服務(wù)商還應(yīng)要求供應(yīng)商提供其產(chǎn)品和組件安全事件信息或安全威脅信息以及有關(guān)安全措施的文檔信息，并及時(shí)傳達(dá)到云服務(wù)客戶，供應(yīng)關(guān)系變更時(shí)，云服務(wù)商應(yīng)將變更信息、變更帶來(lái)的風(fēng)險(xiǎn)評(píng)估及采取的風(fēng)險(xiǎn)控制及時(shí)告知客戶。

　　04

　　安全運(yùn)維管理

　　安全運(yùn)維中的云計(jì)算環(huán)境管理要求云計(jì)算平臺(tái)的運(yùn)維地點(diǎn)應(yīng)位于中國(guó)境內(nèi)，境外對(duì)境內(nèi)云計(jì)算平臺(tái)實(shí)施運(yùn)維操作應(yīng)遵循國(guó)家相關(guān)規(guī)定。

　　總結(jié)

　　等保2.0云計(jì)算安全擴(kuò)展要求中的安全管理中心、安全建設(shè)管理和安全運(yùn)維管理，云計(jì)算安全擴(kuò)展要求中的內(nèi)容需要大家注意的是，云計(jì)算安全擴(kuò)展要求是滿足通用安全要求的基礎(chǔ)上，針對(duì)云計(jì)算的特點(diǎn)提出特殊保護(hù)要求。

　　CIIP-A（云計(jì)算安全）的知識(shí)體系是以等級(jí)保護(hù)相關(guān)政策法規(guī)為指導(dǎo)，以重要信息系統(tǒng)保障為核心，基于等級(jí)保護(hù)相關(guān)崗位技能需求，以等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)體系為主線，根據(jù)云計(jì)算安全崗位的工作任務(wù)特點(diǎn)而系統(tǒng)化的梳理而成。

　　想要學(xué)些更多云計(jì)算安全知識(shí)的同學(xué)，可以點(diǎn)擊文末“閱讀原文”。