电子政务云安全的若干思考

管理员
10010011
01101100
多租户模式带来 的数据泄露风险
• 恶意租户可通过共 享资源对其他租户 和云计算基础设施 进行攻击 • 租户间攻击导致的 数据泄露 • 租户共谋攻击导致 的信息泄露
云平台恶意使用带 来的运营安全风险 • 云平台的深度开放 性使攻击者选择多 种途径侵入和控制 云平台 • 云计算资源滥用， DDoS 攻击 • 云计算为非法行为 提供技术基础
安全组件的可信协作等功能，向安全组件提供可信
云可信接入
客户端
度量、可信存储、可信报告等可信服务。可信监管 云边界
访问控制 方对可信云架构的运行进行统一监管。 云边界可信 基础软件 终端安全机制 终端可信 基础软件
硬件平台
物理可信根
硬件平台
物理可信根
硬件平台
物理可信根
云安全管理中心 硬件平台
可信基础软件 物理可信根
• 通过政务网络实现“云和端”的安全可靠传 输通信
• 符合政府信息系统安全监管和安全保障要求
• 为不同政务部门建立多租户的可信服务机制
17
必须构建云时代的新安全体系
控制
发现
可视
云时代安全
基于行为的未知威胁检测 发现、可视、控制安全闭环 应用层安全防护 可视化运维管理
增强型安全
传统安全
平台安全 网络层安全防护
必须动态调整大数据环境下的安全策略
虚拟机动态迁移，对安全 策略的跟随提出要求 虚拟机迁移允许虚拟机从一个机架搬迁到另一个机架 ，那么面向这个虚拟机的安全服务也得跟着迁移过去 ，传统的安全方案很难做到这一点。
重要信息系统对数据安全提出了更高的保护要求
等保要求 基本要求类型 内容
数据完整性（S1/2/3/4）
法人、信用信 二 政府IDC 、 息交换与共享 云表单 子邮箱 五、可信接入技术与机制 研 究 虚 虚 虚 虚 虚 虚 虚 虚 信 拟 拟 拟 拟 拟 拟 拟 -虚拟 任 拟 四、可信隔离机制 机可信迁移技术 机 机 机 机 机 „ 链 机 机 机 传 递 主机服务器硬件平 主机服务器硬件平 六、可信服务验证技术与机 „ 技 台（宿主机） 台（宿主机） 制（管理权限细分的可信云 四、可信隔离机制-可信服务 术
– 枢纽中心、管理中心
• 对于低密度价值的提炼过 程也是吸引攻击的招摇过 程
云计算存在的安全问题
共享技术漏洞引入 的虚拟化安全风险 • 虚拟化系统的各个 功能组件均存在安 全问题 • 虚拟机监控器安全 • 虚拟机管理工具安 全 • 客户操作系统及应 用安全 云服务不可信带来 的信息安全风险 • 云服务方具有超级 用户权限，用户对 不可信的云服务无 防范手段 • 数据存储过程中的 安全问题 • 数据使用中的安全 问题 • 数据删除与重用过 程的安全问题
云安全可信服务 关键技术研究
可信云服务 示范验证
云时代需要构建下一代智能化安全保障体系
侦查 恶意软件 组装 恶意软件 传输 执行攻陷 远程控制 数据发现 数据窃取
攻击准备
攻击过程
攻陷后
云平台安全防护系统
下 一 代智 能 化安全保障体系
4
下一步应攻关研究
云安全可信服务架构 可信服务验证机制
• 基于管理权限细分的可 信云服务技术 • 云服务合同SLA的合规 性检测技术
环境更安全
控制
可视
发现
控制
攻击发生时策略联动，实时减缓风险
可视
从风险到威胁的可视化呈现
安全更简单
运维更高效
22
政务云安全必须创新
基于可信根的云 平台信任链的建 立及传递，构建 云可信服务基础 环境
虚拟机及其迁移 的可信度量、可 信审计
基于管理、配置 权限细粒度多维 分离，保障云服 务可信
适应云环境创新安全部署—安全系统部件化
• 云节点可信元件、可信云架 构 • 云平台信任链建立及传递 • 管理权限细分的可信云服务， 虚拟可信隔离与管理权限细 粒度多维分离 • 虚拟机、迁移可信安全服务 • 云平台主动可信监控，可信 的系统记录及重放功能 • 云平台安全管理中心（安全、 审计、系统管理三权分立）
• IaaS：面向中央部委提供可 信虚拟主机、存储、网络基 础环境 • PaaS：面向部委构建可信云 数据交换平台，实现法人、 信用信息交换与共享 • SaaS：云安全邮件、云表单、 微门户 • 电子政务云服务合同SLA 的 合规性检测技术、标准等验 证
应能够检测到鉴别信息和重 要业务数据在传输过程中完 整性受到破坏
数据安全及备份恢复
应采用加密或其他保护措施 实现鉴别信息的存储保密性
数据保密性（S1/23/4）
备份和恢复（A1/2）
应能够对重要信息进行备份 和恢复；
安全的高可靠性是电子政务云必须确保的特性
• 能够面向多个部门的不同类型业务应用提供服务 • 具备为跨部门信息共享和业务协同提供共性应用支撑能力
政务云用户 单位 （所有权）
政务安全电
微门户
政务云运营 单位 （控制权）
服务、SLA合规性检测）
器、存储、网络设备
一 、 研 究 云 安 全 可 信 服 务 架 构
政务网络平台
应研究的关键技术1：云安全可信架构
云可信监管方 虚 拟 机 平 台 VMM 宿主机平台
虚拟可信根管理 宿主机安全机制 宿主机可信基础软件
13
现有安全解决方案存在诸多局限
缺乏适用高性能硬件安全设备
• •
向外引流造成数据中心带宽浪费 扩容跟不上数据中心网络带宽的 速度。
虚拟化软件安全性能不足，难以灵 活扩充, 对多租户管理复杂。 虚拟机往往不能提供高效容错支持
云平台安全设备
• •
存在影响虚拟化平台稳定性的风险 功能少，能提供的业务不够丰富
电子政务云安全的若干思考
宁家骏（国家信息中心） ） 2015年5月10日
提纲
新形势 政务云必须高度重视安全 政务云安全面临的若干新问题 小结
电子政务呼唤云计算
1. 电子政务经过多年发展，已经成为各级政府平稳运转和高效履职不可或缺的 手段，目前正由业务办公的支撑工具，逐步成为促进重大改革措施贯彻实施、 支撑重大问题决策研判、推动重点工作督查落实、提高服务人民群众水平的 有效抓手，是提升政府治理能力必不可少的创新手段。“用10年的时间，走 完了发达国家几十年走过的路程”（周宏仁） 2. 电子政务工作中依然一些突出矛盾和问题：（1）统一规范的国家电子政务网 络尚未形成，信息孤岛大量存在；（2）网络信息安全形势严峻；（3）应用 深度和广度不足，特别是对政府管理创新的支撑作用较弱，对科学决策的支 持水平有限；（4）对社会公众的服务能力较低；（5）新技术的应用不足、 创新发展不够； 3. 当前我国电子政务面临三个根本转变：建设目标从过去注重业务流程电子化， 提高办公效率，转向更加注重电子政务支撑政务部门履行职能，提高政务效 能，有效解决社会问题；建设方式从各自为政、相互封闭，转向跨部门跨区 域的协同互动和资源共享；建设模式从粗放式、离散化转向集约化、整体化 的可持续发展的模式。 4. 云计算的出现和发展正在深刻改变信息化建设模式，给政府信息技术应用和 服务模式的变革创新带来机遇。云计算应用有利于推动我国电子政务集约化、 可持续发展；有利于打破部门信息割据，促进政务信息资源整合与共享；有 利于提升政府在信息化条件下的管理服务能力。
虚拟机 安全机制 虚拟机 可信基础软件
虚 拟 机 平 台
虚拟可信根
可信云架构由云环境中管理中心、宿主机、虚拟机、
虚拟机 安全机制 虚拟机 可信基础软件
云可信终端 云边界设备 云边界和客户端等各节点的可信基础软件组成的分
可信接入机制 可信接入机制 可信接入 布式可信子系统，实现对安全机制的可信保障、各
可信管理应用
28
应研究的关键技术2：可信云安全
安全计算环境
安全区域边界
安全通信网络
云 可 信 监 管 系 统
计算节点n 计算节点2-LIN 计算节点1-WIN 典 型 子 应系 用 支统 撑
体系
云 用 户 终 端
路 由 器
终端可信 基础软 件 用户 可信根
依托可信云架构，根据对系统可 信监控，将经可信改造的云环境各
安全部件池化部署， 业务资源可弹性调整 防护东西向流量
虚拟化安全部件分布式部署在 贴近业务的服务器上
适应虚拟机迁移
政务云必须在下列领域取得突破
构建可信云平台 典型应用场景
• 基于国家电子政务云平台，改造 构建可信云环境 • 大批量高等级可信主机服务器、 高带宽 可信网络交换、高等级 大批量台虚拟机 • 实现所有权、控制权分离，提供 IaaS、PaaS、SaaS可信服务 • 为海量用户提供高可信服务
集中管理和全局安 全控制
安全部件部署在每个计算节点 上，与计算虚拟化相融合，可 监控虚拟机的所有流量。 数据中心管理员可通过安全部 件对所有租户的虚拟防火墙进 行集中管理，极大减少管理工 作量。 安全部件以资源池形态存在， 完全可以随着安全业务的带宽 需求而动态增加和缩减 与云管理平台集成，能够获取 到虚拟机动态迁移的信息，安 全策略可动态调整跟随
云计算导致数据中心发生质变
IT资源被 基础设施 东西向流量 虚拟机 虚拟化 即是服务 占据主导 动态迁 移
大数据云化管理导致网络边界模糊
物理网络边界的消失，使 得传统物理安全设备无处 安身
计算资源和网络完全虚拟化和分布式，使租户网络的物理边消失，因 此传统物理安全设备也就无法找到部署的位置。
大数据虚拟化安全管理难度增加
傀儡机 傀儡机 傀儡机 傀儡机 傀儡机
解决政务云计算的安全问题，不容忽视
云时代大数据安全防护的两大难点
控制
发现
可视
如何开发和维护未知威胁检测引擎 识别潜入的未知恶意软件
如何开发和维护异常行为检测引擎 发现隐蔽型网络攻击
基于行为检测，发现未知威胁
7
政务云平台安全建设存在问题不容忽视
• 成熟度有待验证，现有业务云化迁移的信心不足 • 尚未建立起较完备的安全保障技术机制，致使用户普遍担心使 用安全和数据安全 • 大多停留在基础设施共用层次，缺乏平台级服务功能 • 标准规范滞后，缺乏引导，不利于统一和整合 • 自主可控性不足，系统总体安全存在重大隐忧
大量的租户，不同的安全 需求，给安全管理带来巨 大挑战
租户的数量越多，安全需求就越多种多样，如果数据中心管理员对每 个租户的安全业务都需要维护管理，工作量无法想象。
大数据要求架构云化将带来新的安全威胁
传统威胁
主机安全威胁：主机操作系统漏洞利用 网络安全威胁：拒绝服务攻击 应用安全威胁：Web安全威胁
ห้องสมุดไป่ตู้21
云计算和大数据要求安全保障系统必须具备如下特点
高度动态和 分布式部署
高性能和弹 性可扩展
管理简单且 灵活
云存储和大数据安全仍然离不开三要素
日志审计
安全存储 安全传输 安全使用：认证授权
集中 存储
加密存 储
加密 传输
认证 授权
日志审计
云计算和大数据系统必须满足全新的安全体验
发现
基于行为，识别未知威胁
引入威胁
虚拟化自身的安全威胁：
Hypervisor脆弱性
虚拟化引入的安全威胁：虚拟机及虚拟网络管理 多租户引入的安全威胁：多租户接入及数据存储
安全防护
Networks
HW
VMM （OS）
VM
OS
App
vNetworks
大数据带来攻击的变化
有些攻击变难了 • 大数据常常意味着数据及 其承载系统的分布式和鲁 棒性 • 单个数据和系统的价值相 对降低 • 空间和时间的大跨度，价 值的稀疏，使得寻找价值 攻击点更不容易 有些攻击变容易了 • 微观攻击被掩盖在大XX下 面 • 完全的去中心化很难，只 要存在中心就可能成为被 攻击的穴道
应 用 层 用 户 操 作 系 统 层
虚拟平台的信任链 传递技术
主动可信监控机制 可信接入机制
• 云提供商和租户互可信 的系统记录和重放技术 • 基于可验证计算的云计 算可信性检测和验证
可信隔离机制
• 虚拟机可信迁移技术 • 可信服务器、存储、网络 设备
细化设计高可信政务云框架
云服务监管
单位 （主管权）
三、主动可信监控机制以 及可信记录和重放技术
2
政务云应用大势所趋
经济管 理机构
社会与 公众
社会管 理机构
经济建 设机构
云 服 务 对 象 云 服 务
云计算中心
党委人大 政协机构
电子政务公共云平台
云服务平台 云交换平台
基础设施 共享服务
业务流程 协同服务
信息资源 共享服务
4
云计算和大数据时代的大烦恼—信息安全
大数据时代的到来对云计算提出了更大的需求, 也带来了宝贵的资源,随着数据价值的提升,各种 势力包括非法之徒特别是敌对势力的关注和窃取 意图,他们妄图通过绕过传统的的安全防护系统 、预警系统直接进入数据层，一些APT攻击很难 用传统防护手段加以防护