云计算下的安全探讨
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
内部资料 请勿外泄
云计算下的安全探讨
杭州迪普科技有限公司 邱大坤(CISSP) 2014.06
大纲
2
IT技术的第三次革命
纵观IT发展史，每隔大约12~14年，IT基础架构会发生一次大规模的技术变革。 技术成熟度曲线表明，一个新技术在提出后7－8年，成败就已经基本确定。
云计算逻辑架构及其特征
云计算五个基 本特征
按需自服务
多种网络访 问
资源池化
快速弹性扩 展
服务可计量
云计算存在的安全风险
业务应用服务化，资源随时调度，动态配置，安全策略部署 难以适应虚拟化调整
数据集中、资源集中，安全风险集中
安全监管和法 律法规缺失
虚拟技术打破传统网络和业务边界，安全防护难以着手
数据集中导致数据丢失/泄漏
缺乏监管导致权利滥用
宿主机管理员流量拦截或劫持
安全边界缺失，传统域间防护失效
安全设计方法
安全域2
安全域1
新IT环境
云环境
安全区域1
安全区域2
隔离
虚拟化
广域网
安全域3
安全域4
用户域1
用户域2
传统设计方法以划分安全域为基础，云计算环境下安全域如何划分？
虚机迁移对安全策略自动化提出挑战
安全策略如何适应虚机迁移？
安全设备
安全设备
Rule 1 Rule 2
Rule n
策略号 1
设备ID FW_1
源虚机 192.168.0.1
目的虚机 10.153.1.1
动作 Permit
2
FW_2
192.168.1.1 10.153.2.2 Deny
3
FW_3
192.168.2.1 10.153.2.3 Permit
法律法规依据缺失
等保根据业务划分等级
业务重要性
信息系统所属类型 业务数据类别
业务数据安全性
业务依赖性
信息系统服务范围 业务处理的自动化程度
业务处理连续性
VS
云计算资源共享
从等保定级开始，缺乏法律法规支持！
大纲
12
传统安全模型
云计算安全模型结构分析
应
身份
权限
用
认证
控制
服
数 加密
泄漏 防护
据
云代码审查 云中间件接口安
务
安
全分析
云 计
安
行为
安全
全
鉴别
审计
全 备份
清除
开发环境安全检 测
算
安
虚拟化安全
全
管 理
虚拟化安全设备
虚拟机安全隔离、 漏洞查补、安全配
置
虚拟机安全监测、审 计
监
控 与
基础设施安全
审 计
基础设备安全
系统安全
网络安全
SPIaaaaSS
基本 防护
安 全
冗余 备份
隔离
云端 操作 系统
客户 端安 全
访 攻网安 问 击络全
控 防审检 制 范计测
云安全技术（一）基础设施安全
（1） 基础设备安全： 环境安全：机房选址、防火、防雷、防盗、监控、防静电、防 电磁泄露、访问控制 设备安全：设备自身安全 介质安全：冗余备份、隔离等
（2） 系统安全： 云端操作系统安全 用户端操作系统安全 PerUser-VPN
（3） 网络安全 访问控制 加密与密钥管理 攻击防范 网络审计 安全检测
Per租户VPN
云计算资源池
CA认证 中心
安全综合 网关
Internet VPN1
PE设备
广域网
Internet VPN2
PE设备
通过VPN实现租户与云计算中心 安全加密传输
统一的CA认证中心，确保认证/ 审计
针对每租户单独建立VPN通道， 并可以依托政务网MPLS VPN实 现通道隔离
园区2 租户1
园区2 租户2
云安全技术（二）虚拟化安全
（1） 虚拟化安全设备 N：1虚拟化 1：M虚拟化 N：M虚拟化
（2） 虚拟机安全隔离、漏洞查补、安全配置 镜像加固 配置管理 虚机防护 漏洞查补
（3） 虚拟机监测与审计 三权分立：系统运行管理、安全保护管理和审计管理 法律法规的支持
多合一虚拟化技术
VSM（Virtual Switching Matrix，虚拟交换矩阵） 是一种控制平面虚拟化技术，可将多个机框虚拟成为一个机框 目前少量安全厂商支持将多台安全设备虚拟成为一台逻辑设备
VSM虚拟化
业务平面
控制平面
主引擎
转发平面
备引擎
一分多虚拟化技术
OVC（OS-level Virtual Context） 属于操作系统虚拟化，可以将一台安全设备虚拟成为多台安全设备(虚拟系统) 硬件上，每个虚拟系统拥有独立的主控、业务板卡、端口，以及CPU、内存等资源 软件上，每个虚拟系统拥有独立的控制、转发、业务和管理平面，独立运行进程，互
不干扰 少量安全厂商支持安全资源一分多虚拟化
虚拟系统1
虚拟系统2
虚拟系统3
N:M虚拟化实现业务资源池
…
能力资源池
1:M的一分多虚拟化
虚拟高性能设备
N:1的多合一虚拟化
物理设备
云安全技术（三）数据安全
数据安全是指因信息治理的要求而采取的特定控制措施和技术，可分解成三部分： （1）检测和预防数据在云架构中的迁移：
使用数据活动监测(DAM) 和文件活动监测(FAM)来监控大量内部数据的迁移。 使用 URL 过滤器和数据丢失保护DLP 等技术监控数据向云中迁移的过程
（2）保护数据进入云以及在不同提供者/环境之间的传输
客户端/应用程序加密 链路/网络加密模式 基于代理的加密
（3）保护已在云中的数据
内容发现 基础设施服务加密 （卷存储加密、对象存储加密 ） 平台服务加密 软件服务加密
（4）更多数据安全
数据防丢失保护 数据库和文件活动监测 应用安全 隐私保护 数字版权管理（DRM）
云安全技术（四）服务安全
（1） 身份认证 RSA Token 经由短信或手机的 OTP
策略即服务
智能卡/PKI
生物特性认证等
（2） 权限控制
基于角色的、基于规则的、基于属性的访问、基于声明的，以及基 于授权（ZBAC）的访问控制
（3） 行为鉴别
云计算环境中的行为管理和鉴别不应只管理用户身份。它还应该扩 展到管理云计算应用/服务的身份、这些云计算应用/服务的访问控 制策略、用于这些应用/服务的特权身份
（4） 安全审计
三权分立，审计独立
审计分级，服务提供商与租户不同的审计内容
云安全技术（五）其他安全
其他安全包括 云代码审查、 云中间件接口安全分析、 开发环境安全检测 依赖于第三方权威机构认证和检查
云计算安全技术落地
云安全四个关键点
25
一：安全域划分与自动策略部署
虚拟化前
策略
分析
Switch
Server
虚拟化后
策略
分析
vSwitch
vSwitch
迁移
Server
服务器所有流量均经过网络 服务器与交换机互连端口固定
云计算下的安全探讨
杭州迪普科技有限公司 邱大坤(CISSP) 2014.06
大纲
2
IT技术的第三次革命
纵观IT发展史，每隔大约12~14年，IT基础架构会发生一次大规模的技术变革。 技术成熟度曲线表明，一个新技术在提出后7－8年，成败就已经基本确定。
云计算逻辑架构及其特征
云计算五个基 本特征
按需自服务
多种网络访 问
资源池化
快速弹性扩 展
服务可计量
云计算存在的安全风险
业务应用服务化，资源随时调度，动态配置，安全策略部署 难以适应虚拟化调整
数据集中、资源集中，安全风险集中
安全监管和法 律法规缺失
虚拟技术打破传统网络和业务边界，安全防护难以着手
数据集中导致数据丢失/泄漏
缺乏监管导致权利滥用
宿主机管理员流量拦截或劫持
安全边界缺失，传统域间防护失效
安全设计方法
安全域2
安全域1
新IT环境
云环境
安全区域1
安全区域2
隔离
虚拟化
广域网
安全域3
安全域4
用户域1
用户域2
传统设计方法以划分安全域为基础，云计算环境下安全域如何划分？
虚机迁移对安全策略自动化提出挑战
安全策略如何适应虚机迁移？
安全设备
安全设备
Rule 1 Rule 2
Rule n
策略号 1
设备ID FW_1
源虚机 192.168.0.1
目的虚机 10.153.1.1
动作 Permit
2
FW_2
192.168.1.1 10.153.2.2 Deny
3
FW_3
192.168.2.1 10.153.2.3 Permit
法律法规依据缺失
等保根据业务划分等级
业务重要性
信息系统所属类型 业务数据类别
业务数据安全性
业务依赖性
信息系统服务范围 业务处理的自动化程度
业务处理连续性
VS
云计算资源共享
从等保定级开始，缺乏法律法规支持！
大纲
12
传统安全模型
云计算安全模型结构分析
应
身份
权限
用
认证
控制
服
数 加密
泄漏 防护
据
云代码审查 云中间件接口安
务
安
全分析
云 计
安
行为
安全
全
鉴别
审计
全 备份
清除
开发环境安全检 测
算
安
虚拟化安全
全
管 理
虚拟化安全设备
虚拟机安全隔离、 漏洞查补、安全配
置
虚拟机安全监测、审 计
监
控 与
基础设施安全
审 计
基础设备安全
系统安全
网络安全
SPIaaaaSS
基本 防护
安 全
冗余 备份
隔离
云端 操作 系统
客户 端安 全
访 攻网安 问 击络全
控 防审检 制 范计测
云安全技术（一）基础设施安全
（1） 基础设备安全： 环境安全：机房选址、防火、防雷、防盗、监控、防静电、防 电磁泄露、访问控制 设备安全：设备自身安全 介质安全：冗余备份、隔离等
（2） 系统安全： 云端操作系统安全 用户端操作系统安全 PerUser-VPN
（3） 网络安全 访问控制 加密与密钥管理 攻击防范 网络审计 安全检测
Per租户VPN
云计算资源池
CA认证 中心
安全综合 网关
Internet VPN1
PE设备
广域网
Internet VPN2
PE设备
通过VPN实现租户与云计算中心 安全加密传输
统一的CA认证中心，确保认证/ 审计
针对每租户单独建立VPN通道， 并可以依托政务网MPLS VPN实 现通道隔离
园区2 租户1
园区2 租户2
云安全技术（二）虚拟化安全
（1） 虚拟化安全设备 N：1虚拟化 1：M虚拟化 N：M虚拟化
（2） 虚拟机安全隔离、漏洞查补、安全配置 镜像加固 配置管理 虚机防护 漏洞查补
（3） 虚拟机监测与审计 三权分立：系统运行管理、安全保护管理和审计管理 法律法规的支持
多合一虚拟化技术
VSM（Virtual Switching Matrix，虚拟交换矩阵） 是一种控制平面虚拟化技术，可将多个机框虚拟成为一个机框 目前少量安全厂商支持将多台安全设备虚拟成为一台逻辑设备
VSM虚拟化
业务平面
控制平面
主引擎
转发平面
备引擎
一分多虚拟化技术
OVC（OS-level Virtual Context） 属于操作系统虚拟化，可以将一台安全设备虚拟成为多台安全设备(虚拟系统) 硬件上，每个虚拟系统拥有独立的主控、业务板卡、端口，以及CPU、内存等资源 软件上，每个虚拟系统拥有独立的控制、转发、业务和管理平面，独立运行进程，互
不干扰 少量安全厂商支持安全资源一分多虚拟化
虚拟系统1
虚拟系统2
虚拟系统3
N:M虚拟化实现业务资源池
…
能力资源池
1:M的一分多虚拟化
虚拟高性能设备
N:1的多合一虚拟化
物理设备
云安全技术（三）数据安全
数据安全是指因信息治理的要求而采取的特定控制措施和技术，可分解成三部分： （1）检测和预防数据在云架构中的迁移：
使用数据活动监测(DAM) 和文件活动监测(FAM)来监控大量内部数据的迁移。 使用 URL 过滤器和数据丢失保护DLP 等技术监控数据向云中迁移的过程
（2）保护数据进入云以及在不同提供者/环境之间的传输
客户端/应用程序加密 链路/网络加密模式 基于代理的加密
（3）保护已在云中的数据
内容发现 基础设施服务加密 （卷存储加密、对象存储加密 ） 平台服务加密 软件服务加密
（4）更多数据安全
数据防丢失保护 数据库和文件活动监测 应用安全 隐私保护 数字版权管理（DRM）
云安全技术（四）服务安全
（1） 身份认证 RSA Token 经由短信或手机的 OTP
策略即服务
智能卡/PKI
生物特性认证等
（2） 权限控制
基于角色的、基于规则的、基于属性的访问、基于声明的，以及基 于授权（ZBAC）的访问控制
（3） 行为鉴别
云计算环境中的行为管理和鉴别不应只管理用户身份。它还应该扩 展到管理云计算应用/服务的身份、这些云计算应用/服务的访问控 制策略、用于这些应用/服务的特权身份
（4） 安全审计
三权分立，审计独立
审计分级，服务提供商与租户不同的审计内容
云安全技术（五）其他安全
其他安全包括 云代码审查、 云中间件接口安全分析、 开发环境安全检测 依赖于第三方权威机构认证和检查
云计算安全技术落地
云安全四个关键点
25
一：安全域划分与自动策略部署
虚拟化前
策略
分析
Switch
Server
虚拟化后
策略
分析
vSwitch
vSwitch
迁移
Server
服务器所有流量均经过网络 服务器与交换机互连端口固定