SANGFOR安全資源池初級(jí)能力成長(zhǎng)安全資源池政務(wù)云云安全背景知識(shí)

1、課程目標(biāo)能夠熟練掌握政務(wù)云的背景、建設(shè)痛點(diǎn)并能夠熟練運(yùn)用；能夠熟練掌握政務(wù)云的背景、建設(shè)痛點(diǎn)并能夠熟練運(yùn)用；能夠掌握政務(wù)云安全問(wèn)題產(chǎn)生的背景、痛點(diǎn)并熟練運(yùn)用；能夠掌握政務(wù)云安全問(wèn)題產(chǎn)生的背景、痛點(diǎn)并熟練運(yùn)用；能夠簡(jiǎn)單了解政務(wù)云主流競(jìng)爭(zhēng)對(duì)手，并能夠簡(jiǎn)單運(yùn)用；能夠簡(jiǎn)單了解政務(wù)云主流競(jìng)爭(zhēng)對(duì)手，并能夠簡(jiǎn)單運(yùn)用；銷售經(jīng)理能夠在用戶處獨(dú)立完成前期項(xiàng)目溝通；銷售經(jīng)理能夠在用戶處獨(dú)立完成前期項(xiàng)目溝通；政務(wù)云面臨的問(wèn)題政務(wù)云面臨的問(wèn)題政務(wù)云安全訴求的來(lái)源政務(wù)云安全訴求的來(lái)源政務(wù)云主流廠商政務(wù)云主流廠商政務(wù)云面臨的問(wèn)題政務(wù)云建設(shè)模式多樣建設(shè)方式上建設(shè)方式上成熟發(fā)達(dá)省級(jí)政務(wù)云，如北京、浙江、四川等均為兩個(gè)不同云服務(wù)

2、商分建兩朵，形成競(jìng)爭(zhēng)關(guān)系；并設(shè)置獨(dú)立的監(jiān)成熟發(fā)達(dá)省級(jí)政務(wù)云，如北京、浙江、四川等均為兩個(gè)不同云服務(wù)商分建兩朵，形成競(jìng)爭(zhēng)關(guān)系；并設(shè)置獨(dú)立的監(jiān)管管/監(jiān)理角色，引入專業(yè)技術(shù)公司作為主管單位的技術(shù)力量支撐。如北京模式。監(jiān)理角色，引入專業(yè)技術(shù)公司作為主管單位的技術(shù)力量支撐。如北京模式。地市級(jí)政務(wù)云，絕大多數(shù)只招標(biāo)一家云服務(wù)商進(jìn)行建設(shè)。地市級(jí)政務(wù)云，絕大多數(shù)只招標(biāo)一家云服務(wù)商進(jìn)行建設(shè)。投運(yùn)流程上投運(yùn)流程上省級(jí)分建兩朵的模式下，各委辦局有較大的自主選擇權(quán)；常常由租戶申請(qǐng)預(yù)算，靈活購(gòu)買(mǎi)兩家云服務(wù)。省級(jí)分建兩朵的模式下，各委辦局有較大的自主選擇權(quán)；常常由租戶申請(qǐng)預(yù)算，靈活購(gòu)買(mǎi)兩家云服務(wù)。地市級(jí)常由經(jīng)信委、信息中

3、心等主管單位，進(jìn)行統(tǒng)一云服務(wù)購(gòu)買(mǎi)。地市級(jí)常由經(jīng)信委、信息中心等主管單位，進(jìn)行統(tǒng)一云服務(wù)購(gòu)買(mǎi)。云安全是政務(wù)云的突出問(wèn)題針對(duì)傳統(tǒng)信息系統(tǒng)和物理網(wǎng)絡(luò)的邊界防御、入侵檢測(cè)、應(yīng)用安全保護(hù)等技術(shù)仍然有用；但針對(duì)云平臺(tái)層的漏洞發(fā)現(xiàn)、虛擬機(jī)逃逸和宿主機(jī)加固，以及虛擬化網(wǎng)絡(luò)安全、鏡像和云管平臺(tái)的安全保護(hù)等方面缺乏有效手段；分布式防火墻+微隔離技術(shù)，可以一定程度上解決虛擬機(jī)間隔離、防御問(wèn)題，但在多租戶的政務(wù)云場(chǎng)景下又面臨搶占宿主機(jī)資源、責(zé)權(quán)難明晰和自服務(wù)運(yùn)維困難的問(wèn)題，難以落地。運(yùn)營(yíng)方式的轉(zhuǎn)變、參與角色眾多主管單位：即當(dāng)?shù)卣?wù)云建設(shè)的政府牽頭單位，如經(jīng)信委等；項(xiàng)目建設(shè)前期，主要負(fù)責(zé)對(duì)云服務(wù)商進(jìn)行遴選，以及后續(xù)的監(jiān)

4、督、考核、指導(dǎo)管理；并負(fù)責(zé)協(xié)調(diào)、組織和監(jiān)督租戶遷移上云。監(jiān)管服務(wù)商：作為主管單位監(jiān)督職責(zé)的延伸，為主管單位提供監(jiān)管技術(shù)支撐；常見(jiàn)于成熟省、直轄市的省級(jí)政務(wù)云。云服務(wù)商：負(fù)責(zé)為當(dāng)?shù)卣顿Y、專門(mén)建設(shè)政務(wù)云平臺(tái)，提供計(jì)算、存儲(chǔ)等云服務(wù)，通過(guò)提供服務(wù)回收投資、獲得經(jīng)濟(jì)效益；在成熟、發(fā)達(dá)省份的省級(jí)政務(wù)云項(xiàng)目中常會(huì)入圍兩家，分建兩朵、形成競(jìng)爭(zhēng)。安全服務(wù)方：作為云服務(wù)商的能力延伸，為使用單位（租戶，委辦廳局）提供安全服務(wù)；當(dāng)前大多數(shù)政務(wù)云都處于缺乏、缺失狀態(tài)，偶見(jiàn)于投運(yùn)早、業(yè)務(wù)遷移多的省級(jí)政務(wù)云。使用單位：即租戶，委辦廳局；通過(guò)購(gòu)買(mǎi)云服務(wù)商、安全服務(wù)方的服務(wù)實(shí)現(xiàn)業(yè)務(wù)云化，并對(duì)服務(wù)進(jìn)行績(jī)效評(píng)價(jià)。政務(wù)云面臨的

5、問(wèn)題政務(wù)云面臨的問(wèn)題政務(wù)云安全訴求的來(lái)源政務(wù)云安全訴求的來(lái)源政務(wù)云主流廠商政務(wù)云主流廠商通過(guò)典型區(qū)域看政務(wù)云安全挑戰(zhàn)北京市政務(wù)云北京市政務(wù)云由北京市經(jīng)信委統(tǒng)籌，事業(yè)單位由北京市經(jīng)信委統(tǒng)籌，事業(yè)單位主要提供網(wǎng)絡(luò)、計(jì)算、存儲(chǔ)、帶寬等服務(wù)主要提供網(wǎng)絡(luò)、計(jì)算、存儲(chǔ)、帶寬等服務(wù)通過(guò)北京案例，政務(wù)云建設(shè)過(guò)程中的安全建設(shè)通過(guò)北京案例，政務(wù)云建設(shè)過(guò)程中的安全建設(shè)北京市級(jí)政務(wù)云體制建設(shè)角色眾多，責(zé)任明確角色眾多，責(zé)任明確云服務(wù)商云服務(wù)商經(jīng)信委經(jīng)信委云安全監(jiān)管商云安全監(jiān)管商公服中心公服中心使用單位使用單位北京市級(jí)政務(wù)云體制建設(shè)經(jīng)信委/發(fā)改委/電子政務(wù)外網(wǎng)信息中心等公共服務(wù)中心云服務(wù)商使用單位監(jiān)管服務(wù)商直接領(lǐng)導(dǎo)監(jiān)管

6、報(bào)告監(jiān)管報(bào)告安全應(yīng)急輔助安全應(yīng)急輔助監(jiān)督、考核監(jiān)督、考核物理安全管理物理安全管理指導(dǎo)、組織實(shí)施績(jī)指導(dǎo)、組織實(shí)施績(jī)效評(píng)價(jià)效評(píng)價(jià)遴選遴選監(jiān)督監(jiān)督管理管理協(xié)調(diào)協(xié)調(diào)監(jiān)測(cè)監(jiān)測(cè)監(jiān)督監(jiān)督使用、運(yùn)行監(jiān)測(cè)使用、運(yùn)行監(jiān)測(cè)安全檢查、邊界安全監(jiān)安全檢查、邊界安全監(jiān)測(cè)測(cè)規(guī)劃、遷移；績(jī)效評(píng)價(jià)規(guī)劃、遷移；績(jī)效評(píng)價(jià)邊界安全監(jiān)測(cè)邊界安全監(jiān)測(cè)云對(duì)接其他云其他云政務(wù)云建設(shè)、運(yùn)維政務(wù)云建設(shè)、運(yùn)維云自身的安全保障云自身的安全保障安全資源池安全資源池責(zé)任明確北京市市級(jí)政務(wù)云管理辦法（試行）北京市市級(jí)政務(wù)云管理辦法（試行）（京經(jīng)信委函（京經(jīng)信委函20164號(hào)）號(hào)）12北京市市級(jí)政務(wù)云的安全需求采用何種安全方案，每種安全方案的實(shí)現(xiàn)方式采用何

7、種安全方案，每種安全方案的實(shí)現(xiàn)方式產(chǎn)品生態(tài)、服務(wù)商生態(tài)如何在政務(wù)云中和諧共存產(chǎn)品生態(tài)、服務(wù)商生態(tài)如何在政務(wù)云中和諧共存產(chǎn)品的整合問(wèn)題（成本問(wèn)題，兼容問(wèn)題）產(chǎn)品的整合問(wèn)題（成本問(wèn)題，兼容問(wèn)題）如何滿足各方利益訴求如何滿足各方利益訴求 核心關(guān)鍵核心關(guān)鍵 云計(jì)算在當(dāng)前雖然應(yīng)用廣泛，但是作為一個(gè)新技術(shù)，不可避免的存在諸多脆弱性，一旦被利用可能形成不可估量的安全事件。云計(jì)算在當(dāng)前雖然應(yīng)用廣泛，但是作為一個(gè)新技術(shù)，不可避免的存在諸多脆弱性，一旦被利用可能形成不可估量的安全事件。主要風(fēng)險(xiǎn)主要風(fēng)險(xiǎn)1.一臺(tái)主機(jī)上可能承載多個(gè)不同的租戶、不同的系統(tǒng)，運(yùn)維管理復(fù)雜，流量不可視，風(fēng)險(xiǎn)難管理一臺(tái)主機(jī)上可能承載多個(gè)不同的

8、租戶、不同的系統(tǒng)，運(yùn)維管理復(fù)雜，流量不可視，風(fēng)險(xiǎn)難管理2.新技術(shù)的應(yīng)用帶來(lái)新的安全風(fēng)險(xiǎn)，如虛擬化層的漏洞等新技術(shù)的應(yīng)用帶來(lái)新的安全風(fēng)險(xiǎn)，如虛擬化層的漏洞等3.所有雞蛋放在一個(gè)籃子里，受攻擊面增大，同時(shí)平臺(tái)方責(zé)任更重所有雞蛋放在一個(gè)籃子里，受攻擊面增大，同時(shí)平臺(tái)方責(zé)任更重政務(wù)云新技術(shù)引入的安全問(wèn)題政務(wù)云面臨的問(wèn)題政務(wù)云面臨的問(wèn)題政務(wù)云安全訴求的來(lái)源政務(wù)云安全訴求的來(lái)源政務(wù)云主流廠商政務(wù)云主流廠商主流的云上方案主流的云上方案硬件一虛多防火墻硬件一虛多防火墻軟件類安全軟件類安全SDN安全類安全類無(wú)代理殺毒無(wú)代理殺毒主流的云上方案主流的云上方案 硬件一虛多硬件一虛多主流廠商及代表型號(hào)：華三M9000系

9、列、華為9000系列、迪普 系列方案簡(jiǎn)述：通過(guò)硬件網(wǎng)關(guān)設(shè)備上的虛擬化技術(shù)提供虛擬防火墻、等安全組件，多見(jiàn)于云平臺(tái)廠商的打包方案中，作為邊界網(wǎng)關(guān)解決租戶間的訪問(wèn)控制。方案優(yōu)劣：一虛多功能在某種程度上來(lái)說(shuō)是一種成本較低同時(shí)實(shí)現(xiàn)平臺(tái)基本安全策略的方案，該方案也存在致命的弊端，包括功能比較簡(jiǎn)單 如、網(wǎng)頁(yè)防篡改、網(wǎng)絡(luò)審計(jì)等租戶實(shí)際需要 等保要求的安全策略都無(wú)法滿足。同時(shí)，由于硬件平臺(tái)的性能限制，隨著平臺(tái)業(yè)務(wù)增加、業(yè)務(wù)流量增大 該方案無(wú)法支持平滑擴(kuò)容 隨需所取。主流的云上方案主流的云上方案 軟件軟件主流廠商及代表產(chǎn)品：基于阿里云的深信服、基于華為、華三云的安全鏡像方案簡(jiǎn)述：通過(guò)和云平臺(tái)耦合的方式，兼容云平

10、臺(tái)提供安全鏡像，實(shí)現(xiàn)對(duì)租戶的安全策略。方案優(yōu)劣：對(duì)平臺(tái)的兼容性要求極高，比如深信服目前 方案僅適配了自家產(chǎn)品和阿里云，另外多產(chǎn)品也很難形成統(tǒng)一的管理、配置復(fù)雜。主流的云上方案主流的云上方案 主流廠商及代表產(chǎn)品：云平臺(tái)廠商（h3c、華為）、啟明、綠盟方案簡(jiǎn)述：主要使用技術(shù)，通過(guò)設(shè)備（如防火墻）接口調(diào)用來(lái)生成策略，可以理解為在統(tǒng)一的協(xié)議中通過(guò)控制器引流建立租戶對(duì)應(yīng)的、網(wǎng)關(guān)等配置，從而完成自動(dòng)化交付。方案優(yōu)劣： 缺少落地，目前沒(méi)有看到落地應(yīng)用很好的案例；運(yùn)維復(fù)雜特別是排錯(cuò)很復(fù)雜，對(duì)運(yùn)維技術(shù)挑戰(zhàn)較大； 安全需要協(xié)調(diào)多家硬件設(shè)備廠商配合，難以落地。主流的云上方案主流的云上方案 無(wú)代理殺毒無(wú)代理殺毒主流廠商及代表產(chǎn)品：基于平臺(tái)做深度定制的安全組件，常見(jiàn)針對(duì)vmware平臺(tái)、h3c cas平臺(tái)、華為fusion平臺(tái)定制的deep security產(chǎn)品。常見(jiàn)亞信、360等廠商。方案簡(jiǎn)