SDSec安全解决方案技术白皮书

华为 SDSec 安全解决方案技术白皮书

目录

1方案背景 (4)

1.1云安全风险分析 (4)

1.2云计算业务特点与业务需求 (4)

1.3安全需求总结 (5)

1.4方案价值 (5)

2方案概述 (7)

2.1方案架构 (7)

3方案介绍 (9)

3.1网安一体联动方案 (9)

3.1.1方案概述 (9)

3.1.2数据采集 (10)

3.1.3威胁检测 (12)

3.1.3.1流量基线异常检测原理 (12)

3.1.3.2WEB 异常检测原理 (12)

3.1.3.3邮件异常检测原理 (13)

3.1.3.4C&C 异常检测 (13)

3.1.3.5隐蔽通道异常检测原理 (13)

3.1.3.6文件检测原理 (14)

3.1.3.7威胁判定原理 (14)

3.1.3.8云端威胁情报 (14)

3.1.4联动闭环 (15)

3.1.4.1 概念 (15)

3.1.4.2威胁闭环 (15)

3.1.4.2.1主机隔离 (16)

3.1.4.2.2五元组阻断 (16)

3.2本地信誉联动 (17)

3.2.1方案概述 (17)

3.2.2数据收集 (18)

3.2.2.1镜像流量收集 (18)

3.2.2.2还原文件收集 (18)

3.2.3威胁日志上报 (18)

3.2.4本地信誉更新及同步 (19)

3.3安全智能运维 (19)

3.3.1应用策略调优 (19)

3.3.1.3 概述 (19)

3.3.1.4 关键技术方案 (19)

3.3.2应用策略仿真 (20)

3.3.2.1 概述 (20)

3.3.2.2 关键技术方案 (20)

3.4安全服务化 (21)

3.4.1方案概述 (21)

3.4.2方案设计 (22)

3.4.2.1方案架构 (22)

3.4.2.2安全资源池 (23)

3.4.2.3租户级安全服务 (24)

3.4.2.3.3功能概述 (24)

3.4.2.3.4基于EPG 的业务链引流 (27)

3.4.2.3.5东西向安全服务 (29)

3.4.2.3.6南北向安全服务 (30)

4典型应用场景/典型组网 (31)

4.1数据中心典型场景网安一体联动 (31)

4.2基于EPG 的东西向安全防护 (32)

4.3南北向安全服务 (33)

1 方案背景

1.1云安全风险分析

对于云用户来说，安全威胁来自于两方面：

一方面，攻击威胁在不断演进，APT 攻击成为主流。系统越来越大越来越重要。同时，攻击正向未知攻击、协同攻击、自动化快速攻击演进。继续基于传统的“检测、响应”模式很难应对攻击威胁的增长。

通过历史数据可知，攻击是随同系统脆弱性增长的同步增长的。

另一方面，租户使用云计算架构之后，由于云架构自身的复杂性，使得云计算用户比常规系统面临更大的安全复杂性。

1.2云计算业务特点与业务需求

云计算的业务特点就是“服务化”。服务化架构的特点包括：多租户、海量用户、数据共享、无边界计算、业务动态变化、业务模型不受网络拓扑限制等特点。

云计算模式对于安全保障提出了更高的要求。要求安全保障方案，能够适配云计算所代表的按需自服务、资源池化、快速弹性扩展、安全策略自适应业务变化（业务随行）等要求。

由于多租户、多安全设备和云业务的动态变化，管理符合用户业务要求的安全策略非常困难，手工配

置几乎不可接受，传统的云安全策略管理机制在云中几乎不可实施。

以传统安全设备为代表的安全解决方案是无法满足上述要求的。举例来说，在用户部署了虚拟化计算

技术和SDN 网络虚拟化技术之后，网络和计算业务的开通只需要几个小时，而配套的安全技术的部署可能

要好几周甚至几个月。使用传统安全技术保护虚拟化数据中心，会使得安全成为用户业务最大的瓶颈。云

中的“安全服务化”是必备功能。

1.3安全需求总结

云用户对安全的需求分成3 个方面：

1.威胁防御能力：数据中心存在大量核心业务服务器，往往成为恶意攻击者的主要目标。攻击者通过

社会工程学、0day 漏洞等高级攻击技术入侵数据中心，从而窃取或破坏高价值资产。因此需要高级安全防御能力，以应对传统攻击与APT 攻击，保障受保护目标的安全。

2.安全服务化架构能力：安全架构，能够满足云计算业务带来的多租户、资源灵活性、无边界计算、

全流量防护、安全业务随行等要求。如：一套相同的网络基础设施，需要满足不同类型的用户业务需求；

安全业务能够快速上线，满足多租户环境等。

3.策略智能运维：安全策略不断调整，必然导致策略数量不断增加，存在大量冗余、无效的策略，

华为安全策略智能运维主要分为静态分析调优和基于应用的动态分析调优仿真两部分，为管理员优化策略提供了强有力的依据。

1.4方案价值

SDsec 安全解决方案可以为数据中心带来如下价值：

1.实现传统威胁检测与未知威胁防范，保护技术设施和租户的业务安全，满足等级保护的安全要求；

2.动态感知网络变化，实现安全与网络的联动，能够对东西向流量精细隔离控制，抵御大二层威胁

扩张；

3.利用分析器-控制器-执行器安全架构，安全分析器与安全控制器、网络控制器以及网络设备和安全

设备的联动，实现安全威胁的自动闭环，提高威胁响应效率，快速隔离内部威胁，避免威胁扩散；