云安全中心
云數(shù)據(jù)中心作為教育管理信息系統(tǒng)運(yùn)行的云服務(wù)平臺(tái)，承載和滿足了國(guó)家教育管理公共服務(wù)平臺(tái)的部署和運(yùn)行需求，極大地帶動(dòng)了教育信息化的發(fā)展。
在云數(shù)據(jù)中心和大數(shù)據(jù)計(jì)算環(huán)境下，應(yīng)用系統(tǒng)內(nèi)部、應(yīng)用系統(tǒng)間、各云主機(jī)間，緊密關(guān)聯(lián)且運(yùn)行復(fù)雜。在安全邊界、各系統(tǒng)內(nèi)部，應(yīng)如何開展防護(hù)工作，確保信息化平臺(tái)的安全穩(wěn)定運(yùn)行呢？
需求分析
高校在建設(shè)云數(shù)據(jù)中心時(shí)，在云安全防護(hù)設(shè)計(jì)方面，應(yīng)充分考慮云計(jì)算的特點(diǎn)和要求，基于對(duì)安全威脅的分析，明確各方面的安全需求，充分利用現(xiàn)有的、成熟的安全控制措施，結(jié)合云計(jì)算的特點(diǎn)和最新技術(shù)進(jìn)行綜合考慮和設(shè)計(jì)。
網(wǎng)絡(luò)邊界模糊帶來(lái)的安全風(fēng)險(xiǎn)。在傳統(tǒng)的網(wǎng)絡(luò)邊界防護(hù)中，一般都是按照網(wǎng)絡(luò)中資源重要程度的不同進(jìn)行區(qū)域劃分，不同區(qū)域根據(jù)各自的安全需求，采取相應(yīng)的邊界防護(hù)措施。但在云計(jì)算環(huán)境下，由于大量運(yùn)用虛擬化技術(shù)，資源池化技術(shù)導(dǎo)致云計(jì)算環(huán)境內(nèi)服務(wù)器、存儲(chǔ)設(shè)備和網(wǎng)絡(luò)設(shè)備等硬件基礎(chǔ)設(shè)施被高度整合，多個(gè)系統(tǒng)同時(shí)運(yùn)行在同一個(gè)物理設(shè)備上，傳統(tǒng)的網(wǎng)絡(luò)邊界正在被打破。
數(shù)據(jù)傳輸安全風(fēng)險(xiǎn)。在云計(jì)算環(huán)境下，所有數(shù)據(jù)的處理、存儲(chǔ)均在云端完成，用戶一端只具有較少的計(jì)算處理能力。這就意味著大量的原始數(shù)據(jù)、發(fā)送的處理請(qǐng)求、用戶端展示的內(nèi)容等數(shù)據(jù)，均需嚴(yán)重依賴網(wǎng)絡(luò)進(jìn)行傳輸，這必然會(huì)帶來(lái)數(shù)據(jù)傳輸方面的安全風(fēng)險(xiǎn)。
服務(wù)器安全的風(fēng)險(xiǎn)。在建立新的服務(wù)器節(jié)點(diǎn)時(shí)，通常是將標(biāo)準(zhǔn)虛擬機(jī)模板進(jìn)行復(fù)制操作，得到一個(gè)新的服務(wù)器節(jié)點(diǎn)。這時(shí)標(biāo)準(zhǔn)虛擬機(jī)模板的補(bǔ)丁、安全配置、安全軟件就非常重要，可決定整個(gè)云數(shù)據(jù)中心的安全。任何一個(gè)環(huán)境的問題，都可能導(dǎo)致云平臺(tái)受到入侵的威脅。
數(shù)據(jù)存儲(chǔ)的風(fēng)險(xiǎn)。用戶所有在云端的數(shù)據(jù)是否得到妥善保存，而這些數(shù)據(jù)是否加密，避免運(yùn)維人員隨意訪問。云計(jì)算環(huán)境下的身份鑒別、認(rèn)證管理和訪問控制等安全機(jī)制是否符合業(yè)務(wù)的需求。意外刪除或天災(zāi)都可能會(huì)導(dǎo)致永久性的數(shù)據(jù)丟失。
建設(shè)思路
綠盟科技結(jié)合高校信息化建設(shè)特點(diǎn)，建議圍繞邊界安全防護(hù)、云主機(jī)安全、數(shù)據(jù)安全等幾方面展開建設(shè)。
依據(jù)國(guó)家法律法規(guī)、云安全標(biāo)準(zhǔn)，提出相應(yīng)安全策略與整體技術(shù)防護(hù)措施，包括具體的區(qū)域劃分、云管理平臺(tái)與各云主機(jī)網(wǎng)絡(luò)之間、不同業(yè)務(wù)區(qū)域之間、不同等級(jí)安全區(qū)之間的安全防護(hù)措施，高級(jí)安全能力建設(shè)、網(wǎng)絡(luò)通信安全建設(shè)方案等。
在進(jìn)行實(shí)際建設(shè)時(shí)，應(yīng)遵循“保障云平臺(tái)及其配套設(shè)施”“基于安全域的縱深防護(hù)體系設(shè)計(jì)”“以安全服務(wù)為導(dǎo)向，并符合云計(jì)算的特點(diǎn)” “充分利用現(xiàn)有安全控制措施及最新技術(shù)”“充分利用云計(jì)算等最新技術(shù)”等原則。
建設(shè)方案
對(duì)于數(shù)據(jù)中心的安全防護(hù)，滿足等級(jí)保護(hù)是最基本要求，但是數(shù)據(jù)中心面臨著一個(gè)不斷演變的網(wǎng)絡(luò)威脅環(huán)境，從過去廣泛、漫無(wú)目的的攻擊威脅，在數(shù)年內(nèi)迅速的轉(zhuǎn)化為針對(duì)受害者組織的高級(jí)可持續(xù)威脅（APT），APT攻擊可以避開傳統(tǒng)的基于特征的安全檢測(cè)機(jī)制，例如繞過防火墻、入侵防御系統(tǒng)、防病毒網(wǎng)關(guān)等傳統(tǒng)的安全機(jī)制，還需要開展“縱深防御，層層防范”的安全措施。
第一道防線：事前防護(hù)
包括網(wǎng)絡(luò)出口防護(hù)，安全措施包括流量清洗、訪問控制、入侵防護(hù)。同時(shí)結(jié)合云環(huán)境防護(hù)，安全措施包括防火墻、WAF、防病毒。
第二道防線：事中響應(yīng)
在業(yè)務(wù)系統(tǒng)運(yùn)行過程中開展運(yùn)行監(jiān)控、惡意操作防護(hù)、攻擊鏈行為分析。
第三道防線：事后審計(jì)
安全措施包括運(yùn)維審計(jì)、網(wǎng)絡(luò)安全審計(jì)、數(shù)據(jù)恢復(fù)、入侵溯源、日志分析。利用審計(jì)可以實(shí)現(xiàn)運(yùn)營(yíng)過程的報(bào)表統(tǒng)計(jì)、安全KPI指標(biāo)體系管理、事件溯源等安全措施。
集中安全管理
利用態(tài)勢(shì)感知系統(tǒng)/企業(yè)綜合安全管理平臺(tái)采集安全系統(tǒng)運(yùn)行過程中的日志、數(shù)據(jù)，通過大數(shù)據(jù)分析、挖掘、關(guān)聯(lián)等方式發(fā)現(xiàn)異常行為，并利用集中管理系統(tǒng)對(duì)業(yè)務(wù)系統(tǒng)、數(shù)據(jù)庫(kù)、服務(wù)器、網(wǎng)絡(luò)設(shè)備進(jìn)行集中的運(yùn)行狀態(tài)監(jiān)控。
外部支撐
通過互聯(lián)網(wǎng)網(wǎng)站安全監(jiān)測(cè)、外部安全專家支持獲得外部安全支撐能力，包括網(wǎng)站安全監(jiān)測(cè)、網(wǎng)站云安全防護(hù)、威脅情報(bào)獲取、云端安全掃描、遠(yuǎn)程滲透測(cè)試，安全咨詢等。
