云計算關(guān)鍵領(lǐng)域安全指南-PPT課件

1、CISRG & SECURITY DEPARTMENT OF NEUSOFT云計算關(guān)鍵領(lǐng)域安全指南云計算安全的關(guān)注域云計算安全治理域運(yùn)行域ISO38500ISO17799ISO27002（？）TOPIC云計算安全運(yùn)行域的具體實(shí)現(xiàn)云計算體系中的安全關(guān)注點(diǎn)如何劃分云計算體系中的安全域如何構(gòu)建云計算安全的技術(shù)體系如何建設(shè)云計算安全中的應(yīng)急響應(yīng)機(jī)制PART I一個標(biāo)準(zhǔn)的云計算體系安全解析云計算中的安全關(guān)注點(diǎn)（1）首要關(guān)注點(diǎn)：數(shù)據(jù)安全云計算系統(tǒng)的核心業(yè)務(wù)：為用戶提供云計算與云存儲服務(wù)用戶關(guān)心自身數(shù)據(jù)流轉(zhuǎn)全過程的安全性：數(shù)據(jù)上傳數(shù)據(jù)處理數(shù)據(jù)處理數(shù)據(jù)存儲數(shù)據(jù)下載云計算中的安全關(guān)注點(diǎn)（2）服務(wù)商關(guān)注點(diǎn)：系統(tǒng)運(yùn)

2、維安全服務(wù)商核心工作：確保客戶數(shù)據(jù)安全與自身業(yè)務(wù)連續(xù)性Confidentiality保密性Availability可用性Integrity完整性典型云計算體系拓?fù)鋱D用戶數(shù)據(jù)的流轉(zhuǎn)過程1.數(shù)據(jù)生成3.數(shù)據(jù)緩存2.數(shù)據(jù)傳輸4.數(shù)據(jù)處理5.數(shù)據(jù)存儲保障業(yè)務(wù)連續(xù)性的關(guān)鍵節(jié)點(diǎn)存儲保障鏈路保障業(yè)務(wù)保障管理保障PART 2云計算體系中的安全域劃分由云的服務(wù)類型劃分安全域云計算服務(wù)群云存儲存儲介質(zhì)群存儲控制群云計算運(yùn)算服務(wù)器群運(yùn)算控制群云計算體系安全域的簡單劃分存儲區(qū)域運(yùn)算區(qū)域核心安全域業(yè)務(wù)支撐域網(wǎng)絡(luò)節(jié)點(diǎn)鏈路通信運(yùn)維保障域運(yùn)維系統(tǒng)云計算體系的重新表述PART 3構(gòu)建云計算安全的技術(shù)體系云安全與傳統(tǒng)安全的區(qū)別缺

3、乏透明度業(yè)務(wù)不透明業(yè)務(wù)流程不透明管理機(jī)制不透明數(shù)據(jù)狀況不透明數(shù)據(jù)流轉(zhuǎn)過程不透明正常業(yè)務(wù)的基本保障客戶選擇的理由客戶驅(qū)動決定核心技術(shù)完整性保密性可用性數(shù)據(jù)容災(zāi)備份技術(shù)加密與身份控制識別技術(shù)數(shù)據(jù)容災(zāi)備份技術(shù)數(shù)據(jù)容災(zāi)備份的本質(zhì)是數(shù)據(jù)冗余通信鏈路的冗余架設(shè)。（線路、節(jié)點(diǎn)全部冗余）數(shù)據(jù)存儲設(shè)備自身的冗余機(jī)制。（Raid）數(shù)據(jù)存儲體系設(shè)計中的冗余機(jī)制。（增量或異地備份）加密與身份識別控制數(shù)據(jù)加密與身份識別貫穿用戶業(yè)務(wù)的全過程用戶在上傳數(shù)據(jù)前即自行加密，上傳加密數(shù)據(jù)。傳輸過程中使用VPN進(jìn)行加密傳輸，防止嗅探。數(shù)據(jù)存儲過程中進(jìn)行加密存儲。備份數(shù)據(jù)應(yīng)以密文形式原樣備份。通過為用戶頒發(fā)數(shù)字證書進(jìn)行身份識別，且該

4、電子簽名應(yīng)與其擁有的數(shù)據(jù)嚴(yán)格綁定并控制其權(quán)限。云安全技術(shù)體系的實(shí)踐構(gòu)架PART 4云安全中的應(yīng)急響應(yīng)機(jī)制事件應(yīng)急響應(yīng)的分類安全事件響應(yīng)設(shè)備自動響應(yīng)事件告警處理事件自動干涉人員應(yīng)急響應(yīng)現(xiàn)場/遠(yuǎn)程手動處理設(shè)備自動應(yīng)急響應(yīng)體系（1）防火墻與IDS聯(lián)動形成的簡單自動防御響應(yīng)UTM/IPS內(nèi)置防御規(guī)則的簡單自動防御響應(yīng)中間件系統(tǒng)及抗DDOS系統(tǒng)對異常并發(fā)連接的簡單響應(yīng)機(jī)制設(shè)備自動應(yīng)急響應(yīng)體系（2）設(shè)備自動應(yīng)急響應(yīng)體系（3）SOC在云安全體系中的應(yīng)用在互聯(lián)網(wǎng)環(huán)境中，支持云安全技術(shù)的網(wǎng)關(guān)設(shè)備可以通過SOC進(jìn)行遠(yuǎn)程聯(lián)動。利用云計算環(huán)境資源，進(jìn)行更加高效的安全日志關(guān)聯(lián)分析與存儲，得出更加準(zhǔn)確的安全事件告警與響應(yīng)

5、。結(jié)合事件管理與工單派發(fā)系統(tǒng)與人員手動響應(yīng)機(jī)制進(jìn)行關(guān)聯(lián)。設(shè)備自動應(yīng)急響應(yīng)體系（4）利用關(guān)聯(lián)分析完成準(zhǔn)確響應(yīng)1、何謂關(guān)聯(lián)分析 是指利用算法去判斷一系列報警事件是否源于同一個攻擊行為并完成攻擊場景的重構(gòu)。這種攻擊行為具有單一的攻擊意圖，可以包括單個簡單的攻擊行為和由一系列攻擊步驟組成的復(fù)雜的攻擊行為，也被命名為攻擊場景。其中關(guān)聯(lián)分析是整個網(wǎng)絡(luò)報警處理的核心，利用關(guān)聯(lián)分析技術(shù)處理安全設(shè)備所產(chǎn)生的報警事件現(xiàn)在是安全管理研究中的一個熱點(diǎn)問題。在實(shí)際網(wǎng)絡(luò)環(huán)境下，攻擊者在實(shí)施攻擊的過程中，其掃描行為、口令試探行為、訪問文件行為、會話、流量往往會在不同的安全工具上留下相應(yīng)的特征。關(guān)聯(lián)分析正是要依靠下轄的IDS節(jié)點(diǎn)、VPN網(wǎng)關(guān)、防火墻、路由器等安全設(shè)備提供的這