朱斌

摘 要：近年來，新技術新科技不斷涌現(xiàn)，例如5G、區(qū)塊鏈、AI等。當然，其他很多技術也在不斷快速增長中，像本文所講的云技術。云計算市場增長極為迅速，行業(yè)應用也不斷深化，各大云服務商正不斷加快云計算的建設和布局，很多企業(yè)已開始有了自己的公有云、私有云、混合云。云計算關鍵技術的快速迭代與更新，推動著云技術架構和應用模式的發(fā)展，同時伴隨著大量新的安全問題產(chǎn)生，推進了安全運維方法、模式在不斷演進。論文研究了云計算背景下的安全問題，提出了云安全基本技術防護要點。

關鍵詞：云計算；安全形勢；運維管理思路

中圖分類號：TN918 文獻標識碼：A

1 引言

云計算是繼20世紀80年代大型計算機到客戶端-服務器大轉變之后的又一種巨變。云計算是分布式計算、并行計算、效用計算、網(wǎng)絡存儲、虛擬化、負載均衡、熱備份冗余等傳統(tǒng)計算機和網(wǎng)絡技術發(fā)展融合的產(chǎn)物。

云計算在全球市場規(guī)模穩(wěn)定增長，從2017年主要以LaaS、PaaS、SaaS公有云服務模式為主。據(jù)Gartner公司統(tǒng)計，2017年已經(jīng)達到1110億美元，預計2021年市場將到達2461億美元，年復合增長率約19%。

同時，云計算的底層技術架構不斷演變，多云形態(tài)已逐漸成為主流應用模式，由此可看出云計算的規(guī)模是呈倍數(shù)增長的。另一方面，新的和以往的安全問題不斷交織，給云安全運維人員帶來了很大的工作量以及巨大的壓力。

2 云計算的安全形勢

2.1 云計算底層技術架構與多云模式

近年來，由于云技術發(fā)展迅速，關鍵技術也快速迭代，例如高性能計算、容器、微服務架構。也因此這些技術的融合和業(yè)務應用的不斷深化，出現(xiàn)了很多類似云網(wǎng)融合、物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)、AI（人工智能）等應用的有機結合。

目前，企業(yè)中需要多種云環(huán)境并存，以適應業(yè)務發(fā)展趨勢。從基礎架構為核心到應用為核心的轉變，結合公有云的彈性和私有云的私密性，尋求最佳性能和安全可靠間的平衡。

2.2 云計算新舊交加的安全問題

在網(wǎng)絡世界，一邊一直存在著網(wǎng)絡病毒、漏洞入侵事件、內部信息泄露，另一邊隨著云環(huán)境網(wǎng)絡規(guī)?；?shù)據(jù)信息海量化、存儲服務集約化，也暴露出了許多安全問題。例如，國際知名CDN廠商Cloudflare爆出API密鑰安全漏洞，導致客戶信息泄露；微軟公有云存儲故障，導致長達8小時以上業(yè)務影響。新模式下云承載著多類型業(yè)務應用，由于服務的復雜化，引發(fā)了業(yè)務邏輯、認證鑒權、不良信息難管控等問題；還有就是存儲、計算等多層面資源虛擬化，導致出現(xiàn)了數(shù)據(jù)管理權和所有權分離、網(wǎng)絡邊界模糊等問題。

當然，很多企業(yè)由于資金或者便利條件等原因，使用了許多第三方開源的組件和系統(tǒng)，由于云的特性，涉及到海量的敏感信息，往往會由于一節(jié)點被突破，殃及全網(wǎng)的嚴重后果。

3 云計算的安全標準

結合前文中遇到的各種問題，可知云計算的安全形勢十分嚴峻。最初也因沒有一個統(tǒng)一的架構、測評、風險評估等技術和管理上的指南與標準，導致了許多云運維人員仍然采用原有的網(wǎng)絡運維模式，雖然能解決一部分安全問題，但面對一些新的安全問題則束手無策。因此，云安全標準化工作得到了廣泛重視，這里做一個簡要介紹。

云計算安全標準主要分為國際標準和國內標準。

本文側重講述一下云計算相關的國標。從2011年開始，我國企業(yè)和研究機構等廣泛參與到ITU-T SG17 Q8（云計算安全工作組）云計算安全標準的制定工作中，承擔工作組報告人、編輯人工作，發(fā)布X.1601、X.1631等相關標準，主導推進ITU-T云計算安全標準制定，標準架構圖如圖1所示。

在國標方面，有未發(fā)布的信息安全技術網(wǎng)絡安全等級保護相關云計算的國標，例如安全設計技術要求（GB/T 25070.2-XXXX）、安全擴展要求（GB/T 28448.2—20XX）、基本要求（GB/T 22239.2—20XX）等，雖然還未正式發(fā)布，但已基本成型，即可作為參考。

4 加強云計算環(huán)境下的安全運維管理

4.1“三同步”原則

云計算安全也是一個與互聯(lián)網(wǎng)同步發(fā)展的行業(yè)，安全系統(tǒng)要與網(wǎng)絡進行三同步，即一是規(guī)劃同步、二是建設同步、三是運維同步。在之前，很多開發(fā)公司并沒有自己的安全開發(fā)標準，在網(wǎng)絡規(guī)劃或系統(tǒng)集成時并未參考相關標準，形成了“帶病入網(wǎng)”的局面。

而現(xiàn)實的運維狀態(tài)也如此，企業(yè)在引入或者擴建后才考慮到安全問題，往往采用“亡羊補牢”的模式，即先上線運行，再同步實施安全評估，這會導致企業(yè)的人力、物力、財力成本的投入增加。

即在安全運維的過程中，存在新建、擴建、割接（變更）等狀態(tài)時，應該進行一次全面的風險評估工作，在評估中需做到分層評估（LaaS、PaaS、SaaS）和生命周期的整體評估等。

4.2“五清”思想

鑒于目前企業(yè)對安全運維認知的差異，這里引入了通信行業(yè)對IT運維管理的新思想，幫助相關運維管理人員達到一個思維發(fā)散的目的。

“五清”分別指數(shù)量清、型號清、位置清、策略清、效果清。

（1）數(shù)量清、型號清、位置清，企業(yè)可定時檢測云中的安全設備信息，包括數(shù)量、型號、版本（包括補?。?、位置等。

（2）策略清，企業(yè)定期梳理安全設備策略，按照“最小化”原則梳理策略的合規(guī)性，對Permit語句中的“源地址、目的地址、服務端口”出現(xiàn)兩個Any選項、沒有目標IP、沒有目標端口的訪問策略進行整改，梳理云特有屬性的策略及整改。

（3）效果清，定期完成一次云系統(tǒng)網(wǎng)絡安全設備策略及效果的自評估。

（4）定期開展云網(wǎng)絡運行維護評估，應包含資源統(tǒng)計、使用情況統(tǒng)計、接入情況統(tǒng)計、策略合規(guī)率、告警數(shù)據(jù)統(tǒng)計、故障處置記錄、防護或監(jiān)測的安全事件統(tǒng)計、策略更新記錄、軟件版本更新記錄等，輸出維護報告。

4.3“五反”策略

同樣對于IT安全運維中，“五反”一樣值得借鑒。在國內某運營商中，原先的“五反”是指網(wǎng)站反篡改、流量反攻擊、域名反劫持、短彩反控制、CDN反劫持，當然并不是所有企業(yè)都有相應的配備，但對于運營商行業(yè)是有的。

這里我們變換一下，新“五反”即反篡改、反流量攻擊、反域名劫持、反病毒、反信息泄露。例如，在IaaS層（即基礎設施即服務）應配備相應的安全防護設備以滿足建議五反要求，如IDS、IPS、下一代防火墻、流量清洗、日志溯源系統(tǒng)等。

應用層面還需要考慮有信息防泄密、WAF（應用防火墻）、防毒墻或安全Agent等以實現(xiàn)縱深防御體系。目前，國內已經(jīng)有很多云安全廠商的產(chǎn)品和解決方案或者采用云服務器安全Agent。

4.4 云計算安全管理

安全問題一直以來都是三分技術七分管理，無論技術使用得多么先進，沒有一個好的管理就如同一盤散沙，難以達到一個預期效果。

常見的管理側重點可以概括為幾個方面。

（1）定級備案。云系統(tǒng)需要定級備案，按照行業(yè)或者公安標準進行等保備案。

（2）安全管理結構和人員。如保證云服務方對云用戶業(yè)務數(shù)據(jù)的訪問或使用必須經(jīng)過云用戶的授權，授權必須保留相關記錄。

（3）系統(tǒng)安全建設和管理。測試驗收要驗證或評估所提供的安全措施的有效性；云服務商選擇要符合國家有關規(guī)定；供應鏈管理除了符合國家規(guī)定，還需確保供應鏈安全事件信息或威脅信息能夠及時傳達到云用戶。

（4）監(jiān)控和審計管理。確保云系統(tǒng)的監(jiān)控符合相關政策法規(guī)；確保審計數(shù)據(jù)的真實性和完整性；制定相關策略，對安全措施有效性進行持續(xù)監(jiān)控；應將安全措施有效性的監(jiān)控結果定期提供給相關云用戶。

5 云安全基本技術防護要點簡述

依據(jù)即將發(fā)布的信息系統(tǒng)安全等級保護2.0標準要求，在云安全運維中每年應當進行一次基本防護要點的詳細檢測。檢測要點包括物理和環(huán)境安全、網(wǎng)絡和通信安全、設備和計算安全、應用和數(shù)據(jù)安全。

（1）物理和環(huán)境安全的評估點應涉及云計算服務器、承載云租戶賬戶信息、鑒別信息、系統(tǒng)信息及運行關鍵業(yè)務和數(shù)據(jù)的物理設備等。

（2）網(wǎng)絡和通信安全方面的評估點應涉及網(wǎng)絡架構、訪問控制、遠程訪問、入侵防范、安全審計等。

（3）設備和計算安全的評估點應涉及身份鑒別、資源控制和鏡像和快照保護等。

（4）應用和數(shù)據(jù)安全的評估點應涉及接口安全、數(shù)據(jù)完整性和數(shù)據(jù)備份恢復等。

6 結束語

本文重點講述的是云計算安全運維管理，在針對信息安全方面，三分技術七分管理，只有從管理上提高意識，才能做到技術的落實。

最后，對如何有效地進行云計算安全運維的建議和總結：

（1）滿足《中華人民共和國網(wǎng)絡安全法》的相關條款；

（2）清楚地了解資產(chǎn)的所有屬性，即可以參見“五清”；

（3）對云計算系統(tǒng)風險進行跟蹤管理，參見”三同步”；

（4）運維安全專業(yè)人才培養(yǎng)，用戶安全意識的宣貫；

（5）安全監(jiān)控、防御、溯源等手段的建設和完善，可參考“五反”；

（6）建立有效安全管理機制，管理和技術兩手抓，堅持與時俱進。

參考文獻

[1] 信息安全技術信息系統(tǒng)安全等級保護基本要求[Z].GB/T 22239-2008，2008年6月19日.

[2] 信息安全技術 云計算服務安全指南[Z].GB/T 31167-2014，2014年9月3日.