模塊2：云計(jì)算基礎(chǔ)設(shè)施安全課件

模塊2：云計(jì)算基礎(chǔ)設(shè)施安全1

模塊2：云計(jì)算基礎(chǔ)設(shè)施安全11學(xué)習(xí)目標(biāo)云計(jì)算基礎(chǔ)設(shè)施的組件不同部署模型的安全情況基于虛擬基礎(chǔ)設(shè)施工作的安全優(yōu)點(diǎn)和缺點(diǎn)如何保護(hù)云管理平面的安全不同服務(wù)模型的安全基本知識(shí)2學(xué)習(xí)目標(biāo)云計(jì)算基礎(chǔ)設(shè)施的組件22云基礎(chǔ)設(shè)施安全3云基礎(chǔ)設(shè)施安全33保護(hù)底層基礎(chǔ)設(shè)施4保護(hù)底層基礎(chǔ)設(shè)施44舉例：IaaS如何工作5VMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisor計(jì)算池

管理協(xié)調(diào)存儲(chǔ)池管理協(xié)調(diào)計(jì)算控制器存儲(chǔ)/容量控制器管理網(wǎng)絡(luò)(使用API庫(kù))外部世界舉例：IaaS如何工作5VMVMHypervisorVMVM5公共云vs.私有云6VMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisor計(jì)算池管理協(xié)調(diào)存儲(chǔ)池管理協(xié)調(diào)外部世界在公共云中，你只能控制你購(gòu)買的部分，附加很少的管理能力管理網(wǎng)絡(luò)(使用API庫(kù))計(jì)算控制器存儲(chǔ)/容量控制器公共云vs.私有云6VMVMHypervisorVMVMH6基礎(chǔ)設(shè)施組件8ImageService鏡像服務(wù)IdentityService身份服務(wù)基礎(chǔ)設(shè)施組件8ImageServiceIdentityS7基礎(chǔ)設(shè)施組件案例9ImageServiceIdentityServiceAllofthesecorecomponentsneedtobesecurelyconfigured,patched,hardened,andmaintained.所有核心組件都需要進(jìn)行安全配置、更新補(bǔ)丁、加固和維護(hù)基礎(chǔ)設(shè)施組件案例9ImageServiceIdentity8保護(hù)云基礎(chǔ)設(shè)施10保護(hù)云基礎(chǔ)設(shè)施109加固主機(jī)和服務(wù)加固主機(jī)

所有云仍運(yùn)行在硬件之上，因此關(guān)于數(shù)據(jù)中心安全的所有知識(shí)還都適用，服務(wù)器和服務(wù)需要進(jìn)行適時(shí)的更新，建設(shè)時(shí)需要有冗余的措施，以使得更新數(shù)據(jù)庫(kù)或消息服務(wù)器時(shí)不需要停止云的運(yùn)行加固和隔離主機(jī)上的服務(wù)云運(yùn)行在一組服務(wù)上并將這些服務(wù)整合在一起，每個(gè)服務(wù)都跟其它服務(wù)器一樣需要被保護(hù)。如果攻擊者入侵了云中的任何一個(gè)組件，它們就可能控制你的整個(gè)云系統(tǒng)，因此應(yīng)關(guān)掉不使用的任何功能。

有些云服務(wù)總想以不必要的較高的權(quán)限來(lái)運(yùn)行（比如使用一個(gè)數(shù)據(jù)庫(kù)root帳號(hào)）你需要盡量讓每個(gè)服務(wù)以盡可能低的權(quán)限來(lái)運(yùn)行。11加固主機(jī)和服務(wù)加固主機(jī)1110關(guān)于物理安全云中心的選址：避開地震帶，洪水易侵蝕的地區(qū)，考慮當(dāng)?shù)氐姆缸锫?、政治穩(wěn)定情況、供電等。邊界安全的4D手段：阻止deter、檢測(cè)detect、延緩delay、否決deny機(jī)房的基礎(chǔ)設(shè)施建設(shè)：防火、防水、防盜措施在選擇云服務(wù)前，用戶需要與服務(wù)提供商充分的溝通，了解其在物理安全方面的保障能力，以及改進(jìn)的能力，從而判定是否滿足自身的風(fēng)險(xiǎn)偏好。關(guān)于災(zāi)備與恢復(fù)計(jì)劃：定義恢復(fù)點(diǎn)和恢復(fù)時(shí)間目標(biāo)，選擇運(yùn)服務(wù)時(shí)需要考慮云中心的位置、風(fēng)險(xiǎn)程度，以及恢復(fù)要素的記錄是否與目標(biāo)一致云備份和災(zāi)難恢復(fù)服務(wù)的目標(biāo)是：降低云服務(wù)提供商為客戶付出的基礎(chǔ)設(shè)施、應(yīng)用和總體業(yè)務(wù)過(guò)程的成本11關(guān)于物理安全云中心的選址：避開地震帶，洪水易侵蝕的地區(qū)，考慮11虛擬機(jī)管理程序安全12虛擬機(jī)管理程序安全1212IaaS網(wǎng)絡(luò)13IaaS網(wǎng)絡(luò)1313架構(gòu)安全考慮14架構(gòu)安全考慮1414保護(hù)架構(gòu)15使用信任/可用區(qū)進(jìn)行隔離以滿足安全和合規(guī)要求普通區(qū)安全區(qū)VMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisor網(wǎng)絡(luò)池A網(wǎng)絡(luò)池C網(wǎng)絡(luò)池B存儲(chǔ)池A存儲(chǔ)池C保護(hù)架構(gòu)15使用信任/可用區(qū)進(jìn)行隔離以滿足安全和合規(guī)要求普通15ManagementPlaneSecurity

管理平面安全16ManagementPlaneSecurity

管理平面16管理平臺(tái)關(guān)鍵功能虛機(jī)遷移虛機(jī)供應(yīng)啟動(dòng)/停機(jī)配置資源池計(jì)算存儲(chǔ)網(wǎng)絡(luò)（VLAN）安全考慮鑒權(quán)訪問(wèn)控制日志/監(jiān)控管理平面是私有云的關(guān)鍵點(diǎn)，需要進(jìn)行精細(xì)的保護(hù)17管理平臺(tái)關(guān)鍵功能安全考慮1717信任狀管理ResourcestohelpShlomoSwidler-MitchGarnaat-18信任狀管理Resourcestohelp1818云管理中的IAM（身份和訪問(wèn)管理）基于角色的訪問(wèn)控制不同提供商/平臺(tái)管控粒度不同不同產(chǎn)品線管控粒度不同尋找集成外部SSO或者目錄服務(wù)的能力調(diào)研第三方工具19云管理中的IAM（身份和訪問(wèn)管理）基于角色的訪問(wèn)控制19虛擬主機(jī)和網(wǎng)絡(luò)的安全20虛擬主機(jī)和網(wǎng)絡(luò)的安全2020HostSecurity

主機(jī)安全21HostSecurity

主機(jī)安全2121虛擬化考慮不同的hypervisor/虛擬化技術(shù)以及云平臺(tái)的組合包含了不同安全特征和選項(xiàng)集合。在一個(gè)私有云（不論是位于內(nèi)部還是外部）部署中處理虛擬化技術(shù)時(shí)通常需要考慮的一些問(wèn)題:你或你的提供商采用的是什么類型的虛擬化？在提供層次化的安全保護(hù)中使用了何種第三方的安全技術(shù)？虛擬機(jī)中采用了什么安全控制？采用了何種日志審計(jì)手段？服務(wù)合同中是否限定了服務(wù)商應(yīng)提供一定級(jí)別的安全？虛擬機(jī)中的安全機(jī)制是否被用來(lái)提供底層平臺(tái)的監(jiān)控？22虛擬化考慮不同的hypervisor/虛擬化技術(shù)以及云平臺(tái)的22虛擬網(wǎng)絡(luò)23虛擬網(wǎng)絡(luò)與安全虛擬網(wǎng)絡(luò)與物理網(wǎng)絡(luò)面臨的安全問(wèn)題是類似的.虛擬網(wǎng)絡(luò)總是運(yùn)行在物理網(wǎng)絡(luò)之上.虛擬網(wǎng)絡(luò)提供了一種更簡(jiǎn)單的層次棧以構(gòu)建私有云更多的控制是通過(guò)VLAN提供的.虛擬網(wǎng)絡(luò)對(duì)網(wǎng)絡(luò)安全監(jiān)測(cè)和控制帶來(lái)了顯著的變化虛擬網(wǎng)絡(luò)23虛擬網(wǎng)絡(luò)與安全23虛擬網(wǎng)絡(luò)24服務(wù)器1服務(wù)器2物理網(wǎng)絡(luò)VMVMVMVMVMVM虛擬網(wǎng)絡(luò)虛擬網(wǎng)卡?。轿锢砭W(wǎng)卡虛擬網(wǎng)絡(luò)24服務(wù)器1服務(wù)器2物理網(wǎng)絡(luò)VMVMVMVMVMVM24失去網(wǎng)絡(luò)可視性25服務(wù)器1服務(wù)器2物理網(wǎng)絡(luò)VMVMVMVMVMVM虛擬網(wǎng)絡(luò)虛擬化后物理網(wǎng)絡(luò)服務(wù)器1服務(wù)器2虛擬化前失去網(wǎng)絡(luò)可視性25服務(wù)器1服務(wù)器2物理網(wǎng)絡(luò)VMVMVMVMV25虛擬防火墻26虛擬防火墻是作為網(wǎng)絡(luò)服務(wù)或者設(shè)備運(yùn)行的防火墻的一個(gè)虛擬化實(shí)例虛擬防火墻可以以橋模式或者h(yuǎn)ypervisor模式運(yùn)行可以作為一個(gè)設(shè)備部署，也可以安裝到一個(gè)虛擬機(jī)上虛擬防火墻26虛擬防火墻是作為網(wǎng)絡(luò)服務(wù)或者設(shè)備運(yùn)行的防火墻的26物理網(wǎng)絡(luò)Server2虛擬防火墻27Server1VMVMVMVMVMVM橋接虛擬防火墻FW物理網(wǎng)絡(luò)Server2Server1VMVMVMVMVMVMFWFWHypervisor虛擬防火墻物理網(wǎng)絡(luò)Server2虛擬防火墻27Server1VMV27軟件定義網(wǎng)絡(luò)（SDN）提供了一個(gè)分離的控制平面，使得安全保護(hù)更加容易OpenFlow是SDN的一個(gè)例子管理員可實(shí)現(xiàn)遠(yuǎn)程訪問(wèn)控制管理典型情況下采用基于角色的訪問(wèn)控制進(jìn)行訪問(wèn)管理28軟件定義網(wǎng)絡(luò)（SDN）提供了一個(gè)分離的控制平面，使得安全保護(hù)28網(wǎng)絡(luò)安全建議評(píng)估你的hypervisor及云平臺(tái)的監(jiān)控和強(qiáng)制選項(xiàng)識(shí)別存在的差距利用云平臺(tái)特定的改進(jìn)措施或主機(jī)保護(hù)措施進(jìn)行彌補(bǔ)通常來(lái)講，主要需要依靠主機(jī)IPS/IDS/防火墻需要在虛擬網(wǎng)絡(luò)層進(jìn)行監(jiān)控，而不僅監(jiān)控物理網(wǎng)絡(luò)上注意虛擬設(shè)備可能存在的性能問(wèn)題29網(wǎng)絡(luò)安全建議評(píng)估你的hypervisor及云平臺(tái)的監(jiān)控和強(qiáng)制29IAAS安全

30IAAS安全

3030IaaS安全：期望什么？31IaaS安全：期望什么？3131IaaS安全I(xiàn)aaS與運(yùn)行自己的基礎(chǔ)設(shè)施有何相同之處？又有何不同之處？通常你從提供商處獲得什么？從提供商處又獲得不了什么？在上述限制下構(gòu)建你的安全合規(guī)？身份管理自動(dòng)化處理云中加密的信任狀32IaaS安全I(xiàn)aaS與運(yùn)行自己的基礎(chǔ)設(shè)施有何相同之處？合規(guī)32IaaS有何相同之處？33IaaS有何相同之處？3333IaaS有何不同？34IaaS有何不同？3434服務(wù)提供商提供了什么35服務(wù)提供商提供了什么3535IaaS安全：從哪里開始36IaaS安全：從哪里開始3636總結(jié)－IaaSIaaS與現(xiàn)有的基礎(chǔ)設(shè)施擁有更多的相同點(diǎn)（與不同點(diǎn)相比）最重要的問(wèn)題是弄清你將會(huì)獲得什么（在獲得它們之前）這將告訴你為了提供合理的安全和保護(hù)你需要做什么由于服務(wù)在迅速的變得成熟，將來(lái)會(huì)變得更好37總結(jié)－IaaSIaaS與現(xiàn)有的基礎(chǔ)設(shè)施擁有更多的相同點(diǎn)（與不37Paas安全38Paas安全3838PaaS如何工作（這只是其中之一）3939VMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisor計(jì)算池ManagementandOrchestration存儲(chǔ)池ManagementandOrchestration計(jì)算控制器存儲(chǔ)控制器管理網(wǎng)絡(luò)（使用API庫(kù)）外部世界應(yīng)用平臺(tái)ApplicationApplicationApplicationApplicationPaaS如何工作（這只是其中之一）3939VMVMHyper39PaaS安全40PaaS安全4040總結(jié)－PaaSPaaS與現(xiàn)有的基礎(chǔ)設(shè)施也很相似PaaS安全取決于良好的應(yīng)用設(shè)計(jì)和對(duì)云環(huán)境的深入理解需要知道服務(wù)商允許你做什么以及不允許做什么隨著接口和產(chǎn)品的成熟，PaaS的安全也會(huì)變得更好41總結(jié)－PaaSPaaS與現(xiàn)有的基礎(chǔ)設(shè)施也很相似4141Saas安全42Saas安全4242ExamplesofSaaS

SaaS舉例43ExamplesofSaaS

SaaS舉例4343SaaS-Whatyoucan(usually)control

SaaS－你（通常）所能控制的44SaaS-Whatyoucan(usually)44SaaS45SaaS4545總結(jié)－SaaS安全SaaS==多租戶的ASP（應(yīng)用服務(wù)提供商）人們更加熟悉的云服務(wù)案例SaaS提供最少的數(shù)據(jù)控制能力控制（以及數(shù)據(jù)保護(hù)責(zé)任）交給服務(wù)提供商46總結(jié)－SaaS安全SaaS==多租戶的ASP（應(yīng)用服務(wù)提供商46總結(jié)理解基礎(chǔ)設(shè)施（云底層的組件）的結(jié)構(gòu)Hypervisor和虛擬網(wǎng)絡(luò)對(duì)安全控制帶來(lái)了部分改變，將更多的安全推到主機(jī)/虛機(jī)實(shí)例中管理平面和API庫(kù)是通向云的鑰匙，必須進(jìn)行高強(qiáng)度的保護(hù)。盡可能多的采取隔離措施保護(hù)密鑰設(shè)施組件，保持它們的長(zhǎng)期安全47總結(jié)理解基礎(chǔ)設(shè)施（云底層的組件）的結(jié)構(gòu)4747練習(xí)題什么類型的安全是防范試圖以物理方式親自進(jìn)入計(jì)算設(shè)施的入侵者或訪問(wèn)者的第一道防線？防火墻網(wǎng)絡(luò)安全財(cái)務(wù)安全邊界安全社會(huì)安全物理安全通常是第一道防線，用于防范授權(quán)和授權(quán)的對(duì)組織物理資產(chǎn)的訪問(wèn)，對(duì)記錄、商業(yè)秘密的竊取，以及工業(yè)間諜和欺詐。TRUEFALSE48練習(xí)題什么類型的安全是防范試圖以物理方式親自進(jìn)入計(jì)算設(shè)施的入48練習(xí)題什么類型的安全是防范試圖以物理方式親自進(jìn)入計(jì)算設(shè)施的入侵者或訪問(wèn)者的第一道防線？防火墻網(wǎng)絡(luò)安全財(cái)務(wù)安全邊界安全社會(huì)安全物理安全通常是第一道防線，用于防范授權(quán)和授權(quán)的對(duì)組織物理資產(chǎn)的訪問(wèn)，對(duì)記錄、商業(yè)秘密的竊取，以及工業(yè)間諜和欺詐。TRUEFALSE49練習(xí)題什么類型的安全是防范試圖以物理方式親自進(jìn)入計(jì)算設(shè)施的入49練習(xí)題下面哪項(xiàng)最可能在數(shù)據(jù)中心里被審計(jì)？一個(gè)在數(shù)據(jù)中心中運(yùn)行且包含被監(jiān)管信息的應(yīng)用個(gè)人信息比如姓名和住址不受監(jiān)管的信息非屬性信息比如性別或種族等，被保存以用于EO報(bào)告用戶名和密碼在哪種環(huán)境下不可能允許客戶自行開展審計(jì)，從而使得數(shù)據(jù)中心運(yùn)營(yíng)商必須為客戶提供審計(jì)變得非常重要？單租戶環(huán)境多應(yīng)用，單租戶環(huán)境多租戶環(huán)境分布式計(jì)算方案遠(yuǎn)距離關(guān)系50練習(xí)題下面哪項(xiàng)最可能在數(shù)據(jù)中心里被審計(jì)？5050練習(xí)題下面哪項(xiàng)最可能在數(shù)據(jù)中心里被審計(jì)？一個(gè)在數(shù)據(jù)中心中運(yùn)行且包含被監(jiān)管信息的應(yīng)用個(gè)人信息比如姓名和住址不受監(jiān)管的信息非屬性信息比如性別或種族等，被保存以用于EO報(bào)告用戶名和密碼在哪種環(huán)境下不可能允許客戶自行開展審計(jì)，從而使得數(shù)據(jù)中心運(yùn)營(yíng)商必須為客戶提供審計(jì)變得非常重要？單租戶環(huán)境多應(yīng)用，單租戶環(huán)境多租戶環(huán)境分布式計(jì)算方案遠(yuǎn)距離關(guān)系51練習(xí)題下面哪項(xiàng)最可能在數(shù)據(jù)中心里被審計(jì)？5151練習(xí)題一個(gè)多租戶數(shù)據(jù)中心如何迅速滿足大多數(shù)客戶的審計(jì)需求？允許客戶自行審計(jì)以便滿足他們自己的需求指定你的數(shù)據(jù)中心僅為非監(jiān)管信息服務(wù)，這樣審計(jì)就不需要了允許任意方不受限制的數(shù)據(jù)審計(jì)，特別是政府的當(dāng)數(shù)據(jù)存儲(chǔ)在一個(gè)第三方數(shù)據(jù)中心時(shí)審計(jì)是不需要的針對(duì)一項(xiàng)規(guī)章和安全標(biāo)準(zhǔn)模板開展審計(jì)并向客戶公布審計(jì)結(jié)果使安全審計(jì)變得嚴(yán)重復(fù)雜化的虛擬機(jī)遷移特征是指什么？不同類別的數(shù)據(jù)在相同物理機(jī)器上可能被混合的問(wèn)題將虛機(jī)從一臺(tái)物理服務(wù)器轉(zhuǎn)移到另一臺(tái)服務(wù)器上但不產(chǎn)生告警或可追蹤的審計(jì)蹤跡的能力性能降低虛機(jī)客戶加固以上都不是52練習(xí)題一個(gè)多租戶數(shù)據(jù)中心如何迅速滿足大多數(shù)客戶的審計(jì)需求？552練習(xí)題一個(gè)多租戶數(shù)據(jù)中心如何迅速滿足大多數(shù)客戶的審計(jì)需求？允許客戶自行審計(jì)以便滿足他們自己的需求指定你的數(shù)據(jù)中心僅為非監(jiān)管信息服務(wù)，這樣審計(jì)就不需要了允許任意方不受限制的數(shù)據(jù)審計(jì)，特別是政府的當(dāng)數(shù)據(jù)存儲(chǔ)在一個(gè)第三方數(shù)據(jù)中心時(shí)審計(jì)是不需要的針對(duì)一項(xiàng)規(guī)章和安全標(biāo)準(zhǔn)模板開展審計(jì)并向客戶公布審計(jì)結(jié)果使安全審計(jì)變得嚴(yán)重復(fù)雜化的虛擬機(jī)遷移特征是指什么？不同類別的數(shù)據(jù)在相同物理機(jī)器上可能被混合的問(wèn)題將虛機(jī)從一臺(tái)物理服務(wù)器轉(zhuǎn)移到另一臺(tái)服務(wù)器上但不產(chǎn)生告警或可追蹤的審計(jì)蹤跡的能力性能降低虛機(jī)客戶加固以上都不是53練習(xí)題一個(gè)多租戶數(shù)據(jù)中心如何迅速滿足大多數(shù)客戶的審計(jì)需求？553練習(xí)題在多租戶云計(jì)算環(huán)境中，在同一個(gè)虛擬環(huán)境中的全部租戶都將：接受最低的安全公分母。接受最高的安全公分母。接受獨(dú)立于虛擬化的安全服務(wù)。在相同的安全邊界中。提供他們自己的安全增強(qiáng)。虛擬機(jī)通信如何能夠繞過(guò)網(wǎng)絡(luò)安全控制措施？大多網(wǎng)絡(luò)安全系統(tǒng)無(wú)法識(shí)別加密的虛機(jī)流量虛擬機(jī)通信會(huì)使用一個(gè)硬件背板虛擬機(jī)管理程序（hypervisors）依賴多網(wǎng)絡(luò)接口虛機(jī)鏡像可能包含繞開防火墻的工具客戶操作系統(tǒng)可以激活秘密模式56練習(xí)題在多租戶云計(jì)算環(huán)境中，在同一個(gè)虛擬環(huán)境中的全部租戶都將54練習(xí)題在多租戶云計(jì)算環(huán)境中，在同一個(gè)虛擬環(huán)境中的全部租戶都將：接受最低的安全公分母。接受最高的安全公分母。接受獨(dú)立于虛擬化的安全服務(wù)。在相同的安全邊界中。提供他們自己的安全增強(qiáng)。虛擬機(jī)通信如何能夠繞過(guò)網(wǎng)絡(luò)安全控制措施？大多網(wǎng)絡(luò)安全系統(tǒng)無(wú)法識(shí)別加密的虛機(jī)流量虛擬機(jī)通信會(huì)使用一個(gè)硬件背板虛擬機(jī)管理程序（hypervisors）依賴多網(wǎng)絡(luò)接口虛機(jī)鏡像可能包含繞開防火墻的工具客戶操作系統(tǒng)可以激活秘密模式57練習(xí)題在多租戶云計(jì)算環(huán)境中，在同一個(gè)虛擬環(huán)境中的全部租戶都將55

模塊2：云計(jì)算基礎(chǔ)設(shè)施安全1

模塊2：云計(jì)算基礎(chǔ)設(shè)施安全156學(xué)習(xí)目標(biāo)云計(jì)算基礎(chǔ)設(shè)施的組件不同部署模型的安全情況基于虛擬基礎(chǔ)設(shè)施工作的安全優(yōu)點(diǎn)和缺點(diǎn)如何保護(hù)云管理平面的安全不同服務(wù)模型的安全基本知識(shí)2學(xué)習(xí)目標(biāo)云計(jì)算基礎(chǔ)設(shè)施的組件257云基礎(chǔ)設(shè)施安全3云基礎(chǔ)設(shè)施安全358保護(hù)底層基礎(chǔ)設(shè)施4保護(hù)底層基礎(chǔ)設(shè)施459舉例：IaaS如何工作5VMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisor計(jì)算池

管理協(xié)調(diào)存儲(chǔ)池管理協(xié)調(diào)計(jì)算控制器存儲(chǔ)/容量控制器管理網(wǎng)絡(luò)(使用API庫(kù))外部世界舉例：IaaS如何工作5VMVMHypervisorVMVM60公共云vs.私有云6VMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisor計(jì)算池管理協(xié)調(diào)存儲(chǔ)池管理協(xié)調(diào)外部世界在公共云中，你只能控制你購(gòu)買的部分，附加很少的管理能力管理網(wǎng)絡(luò)(使用API庫(kù))計(jì)算控制器存儲(chǔ)/容量控制器公共云vs.私有云6VMVMHypervisorVMVMH61基礎(chǔ)設(shè)施組件8ImageService鏡像服務(wù)IdentityService身份服務(wù)基礎(chǔ)設(shè)施組件8ImageServiceIdentityS62基礎(chǔ)設(shè)施組件案例9ImageServiceIdentityServiceAllofthesecorecomponentsneedtobesecurelyconfigured,patched,hardened,andmaintained.所有核心組件都需要進(jìn)行安全配置、更新補(bǔ)丁、加固和維護(hù)基礎(chǔ)設(shè)施組件案例9ImageServiceIdentity63保護(hù)云基礎(chǔ)設(shè)施10保護(hù)云基礎(chǔ)設(shè)施1064加固主機(jī)和服務(wù)加固主機(jī)

所有云仍運(yùn)行在硬件之上，因此關(guān)于數(shù)據(jù)中心安全的所有知識(shí)還都適用，服務(wù)器和服務(wù)需要進(jìn)行適時(shí)的更新，建設(shè)時(shí)需要有冗余的措施，以使得更新數(shù)據(jù)庫(kù)或消息服務(wù)器時(shí)不需要停止云的運(yùn)行加固和隔離主機(jī)上的服務(wù)云運(yùn)行在一組服務(wù)上并將這些服務(wù)整合在一起，每個(gè)服務(wù)都跟其它服務(wù)器一樣需要被保護(hù)。如果攻擊者入侵了云中的任何一個(gè)組件，它們就可能控制你的整個(gè)云系統(tǒng)，因此應(yīng)關(guān)掉不使用的任何功能。

有些云服務(wù)總想以不必要的較高的權(quán)限來(lái)運(yùn)行（比如使用一個(gè)數(shù)據(jù)庫(kù)root帳號(hào)）你需要盡量讓每個(gè)服務(wù)以盡可能低的權(quán)限來(lái)運(yùn)行。11加固主機(jī)和服務(wù)加固主機(jī)1165關(guān)于物理安全云中心的選址：避開地震帶，洪水易侵蝕的地區(qū)，考慮當(dāng)?shù)氐姆缸锫?、政治穩(wěn)定情況、供電等。邊界安全的4D手段：阻止deter、檢測(cè)detect、延緩delay、否決deny機(jī)房的基礎(chǔ)設(shè)施建設(shè)：防火、防水、防盜措施在選擇云服務(wù)前，用戶需要與服務(wù)提供商充分的溝通，了解其在物理安全方面的保障能力，以及改進(jìn)的能力，從而判定是否滿足自身的風(fēng)險(xiǎn)偏好。關(guān)于災(zāi)備與恢復(fù)計(jì)劃：定義恢復(fù)點(diǎn)和恢復(fù)時(shí)間目標(biāo)，選擇運(yùn)服務(wù)時(shí)需要考慮云中心的位置、風(fēng)險(xiǎn)程度，以及恢復(fù)要素的記錄是否與目標(biāo)一致云備份和災(zāi)難恢復(fù)服務(wù)的目標(biāo)是：降低云服務(wù)提供商為客戶付出的基礎(chǔ)設(shè)施、應(yīng)用和總體業(yè)務(wù)過(guò)程的成本11關(guān)于物理安全云中心的選址：避開地震帶，洪水易侵蝕的地區(qū)，考慮66虛擬機(jī)管理程序安全12虛擬機(jī)管理程序安全1267IaaS網(wǎng)絡(luò)13IaaS網(wǎng)絡(luò)1368架構(gòu)安全考慮14架構(gòu)安全考慮1469保護(hù)架構(gòu)15使用信任/可用區(qū)進(jìn)行隔離以滿足安全和合規(guī)要求普通區(qū)安全區(qū)VMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisor網(wǎng)絡(luò)池A網(wǎng)絡(luò)池C網(wǎng)絡(luò)池B存儲(chǔ)池A存儲(chǔ)池C保護(hù)架構(gòu)15使用信任/可用區(qū)進(jìn)行隔離以滿足安全和合規(guī)要求普通70ManagementPlaneSecurity

管理平面安全16ManagementPlaneSecurity

管理平面71管理平臺(tái)關(guān)鍵功能虛機(jī)遷移虛機(jī)供應(yīng)啟動(dòng)/停機(jī)配置資源池計(jì)算存儲(chǔ)網(wǎng)絡(luò)（VLAN）安全考慮鑒權(quán)訪問(wèn)控制日志/監(jiān)控管理平面是私有云的關(guān)鍵點(diǎn)，需要進(jìn)行精細(xì)的保護(hù)17管理平臺(tái)關(guān)鍵功能安全考慮1772信任狀管理ResourcestohelpShlomoSwidler-MitchGarnaat-18信任狀管理Resourcestohelp1873云管理中的IAM（身份和訪問(wèn)管理）基于角色的訪問(wèn)控制不同提供商/平臺(tái)管控粒度不同不同產(chǎn)品線管控粒度不同尋找集成外部SSO或者目錄服務(wù)的能力調(diào)研第三方工具19云管理中的IAM（身份和訪問(wèn)管理）基于角色的訪問(wèn)控制74虛擬主機(jī)和網(wǎng)絡(luò)的安全20虛擬主機(jī)和網(wǎng)絡(luò)的安全2075HostSecurity

主機(jī)安全21HostSecurity

主機(jī)安全2176虛擬化考慮不同的hypervisor/虛擬化技術(shù)以及云平臺(tái)的組合包含了不同安全特征和選項(xiàng)集合。在一個(gè)私有云（不論是位于內(nèi)部還是外部）部署中處理虛擬化技術(shù)時(shí)通常需要考慮的一些問(wèn)題:你或你的提供商采用的是什么類型的虛擬化？在提供層次化的安全保護(hù)中使用了何種第三方的安全技術(shù)？虛擬機(jī)中采用了什么安全控制？采用了何種日志審計(jì)手段？服務(wù)合同中是否限定了服務(wù)商應(yīng)提供一定級(jí)別的安全？虛擬機(jī)中的安全機(jī)制是否被用來(lái)提供底層平臺(tái)的監(jiān)控？22虛擬化考慮不同的hypervisor/虛擬化技術(shù)以及云平臺(tái)的77虛擬網(wǎng)絡(luò)23虛擬網(wǎng)絡(luò)與安全虛擬網(wǎng)絡(luò)與物理網(wǎng)絡(luò)面臨的安全問(wèn)題是類似的.虛擬網(wǎng)絡(luò)總是運(yùn)行在物理網(wǎng)絡(luò)之上.虛擬網(wǎng)絡(luò)提供了一種更簡(jiǎn)單的層次棧以構(gòu)建私有云更多的控制是通過(guò)VLAN提供的.虛擬網(wǎng)絡(luò)對(duì)網(wǎng)絡(luò)安全監(jiān)測(cè)和控制帶來(lái)了顯著的變化虛擬網(wǎng)絡(luò)23虛擬網(wǎng)絡(luò)與安全78虛擬網(wǎng)絡(luò)24服務(wù)器1服務(wù)器2物理網(wǎng)絡(luò)VMVMVMVMVMVM虛擬網(wǎng)絡(luò)虛擬網(wǎng)卡！＝物理網(wǎng)卡虛擬網(wǎng)絡(luò)24服務(wù)器1服務(wù)器2物理網(wǎng)絡(luò)VMVMVMVMVMVM79失去網(wǎng)絡(luò)可視性25服務(wù)器1服務(wù)器2物理網(wǎng)絡(luò)VMVMVMVMVMVM虛擬網(wǎng)絡(luò)虛擬化后物理網(wǎng)絡(luò)服務(wù)器1服務(wù)器2虛擬化前失去網(wǎng)絡(luò)可視性25服務(wù)器1服務(wù)器2物理網(wǎng)絡(luò)VMVMVMVMV80虛擬防火墻26虛擬防火墻是作為網(wǎng)絡(luò)服務(wù)或者設(shè)備運(yùn)行的防火墻的一個(gè)虛擬化實(shí)例虛擬防火墻可以以橋模式或者h(yuǎn)ypervisor模式運(yùn)行可以作為一個(gè)設(shè)備部署，也可以安裝到一個(gè)虛擬機(jī)上虛擬防火墻26虛擬防火墻是作為網(wǎng)絡(luò)服務(wù)或者設(shè)備運(yùn)行的防火墻的81物理網(wǎng)絡(luò)Server2虛擬防火墻27Server1VMVMVMVMVMVM橋接虛擬防火墻FW物理網(wǎng)絡(luò)Server2Server1VMVMVMVMVMVMFWFWHypervisor虛擬防火墻物理網(wǎng)絡(luò)Server2虛擬防火墻27Server1VMV82軟件定義網(wǎng)絡(luò)（SDN）提供了一個(gè)分離的控制平面，使得安全保護(hù)更加容易OpenFlow是SDN的一個(gè)例子管理員可實(shí)現(xiàn)遠(yuǎn)程訪問(wèn)控制管理典型情況下采用基于角色的訪問(wèn)控制進(jìn)行訪問(wèn)管理28軟件定義網(wǎng)絡(luò)（SDN）提供了一個(gè)分離的控制平面，使得安全保護(hù)83網(wǎng)絡(luò)安全建議評(píng)估你的hypervisor及云平臺(tái)的監(jiān)控和強(qiáng)制選項(xiàng)識(shí)別存在的差距利用云平臺(tái)特定的改進(jìn)措施或主機(jī)保護(hù)措施進(jìn)行彌補(bǔ)通常來(lái)講，主要需要依靠主機(jī)IPS/IDS/防火墻需要在虛擬網(wǎng)絡(luò)層進(jìn)行監(jiān)控，而不僅監(jiān)控物理網(wǎng)絡(luò)上注意虛擬設(shè)備可能存在的性能問(wèn)題29網(wǎng)絡(luò)安全建議評(píng)估你的hypervisor及云平臺(tái)的監(jiān)控和強(qiáng)制84IAAS安全

30IAAS安全

3085IaaS安全：期望什么？31IaaS安全：期望什么？3186IaaS安全I(xiàn)aaS與運(yùn)行自己的基礎(chǔ)設(shè)施有何相同之處？又有何不同之處？通常你從提供商處獲得什么？從提供商處又獲得不了什么？在上述限制下構(gòu)建你的安全合規(guī)？身份管理自動(dòng)化處理云中加密的信任狀32IaaS安全I(xiàn)aaS與運(yùn)行自己的基礎(chǔ)設(shè)施有何相同之處？合規(guī)87IaaS有何相同之處？33IaaS有何相同之處？3388IaaS有何不同？34IaaS有何不同？3489服務(wù)提供商提供了什么35服務(wù)提供商提供了什么3590IaaS安全：從哪里開始36IaaS安全：從哪里開始3691總結(jié)－IaaSIaaS與現(xiàn)有的基礎(chǔ)設(shè)施擁有更多的相同點(diǎn)（與不同點(diǎn)相比）最重要的問(wèn)題是弄清你將會(huì)獲得什么（在獲得它們之前）這將告訴你為了提供合理的安全和保護(hù)你需要做什么由于服務(wù)在迅速的變得成熟，將來(lái)會(huì)變得更好37總結(jié)－IaaSIaaS與現(xiàn)有的基礎(chǔ)設(shè)施擁有更多的相同點(diǎn)（與不92Paas安全38Paas安全3893PaaS如何工作（這只是其中之一）3939VMVMHypervisorVMVMHypervisorVMVMHypervisorVMVMHypervisor計(jì)算池ManagementandOrchestration存儲(chǔ)池ManagementandOrchestration計(jì)算控制器存儲(chǔ)控制器管理網(wǎng)絡(luò)（使用API庫(kù)）外部世界應(yīng)用平臺(tái)ApplicationApplicationApplicationApplicationPaaS如何工作（這只是其中之一）3939VMVMHyper94PaaS安全40PaaS安全4095總結(jié)－PaaSPaaS與現(xiàn)有的基礎(chǔ)設(shè)施也很相似PaaS安全取決于良好的應(yīng)用設(shè)計(jì)和對(duì)云環(huán)境的深入理解需要知道服務(wù)商允許你做什么以及不允許做什么隨著接口和產(chǎn)品的成熟，PaaS的安全也會(huì)變得更好41總結(jié)－PaaSPaaS與現(xiàn)有的基礎(chǔ)設(shè)施也很相似4196Saas安全42Saas安全4297ExamplesofSaaS

SaaS舉例43ExamplesofSaaS

SaaS舉例4398SaaS-Whatyoucan(usually)control

SaaS－你（通常）所能控制的44SaaS-Whatyoucan(usually)99SaaS45SaaS45100總結(jié)－SaaS安全SaaS==多租戶的ASP（應(yīng)用服務(wù)提供商）人們更加熟悉的云服務(wù)案例SaaS提供最少的數(shù)據(jù)控制能力控制（以及數(shù)據(jù)保護(hù)責(zé)任）交給服務(wù)提供商46總結(jié)－SaaS安全SaaS==多租戶的ASP（應(yīng)用服務(wù)提供商101總結(jié)理解基礎(chǔ)設(shè)施（云底層的組件）的結(jié)構(gòu)Hypervisor和虛擬網(wǎng)絡(luò)對(duì)安全控制帶來(lái)了部分改變，將更多的安全推到主機(jī)/虛機(jī)實(shí)例中管理平面和API庫(kù)是通向云的鑰匙，必須進(jìn)行高強(qiáng)度的保護(hù)。盡可能多的采取隔離措施保護(hù)密鑰設(shè)施組件，保持它們的長(zhǎng)期安全47總結(jié)理解基礎(chǔ)設(shè)施（云底層的組件）的結(jié)構(gòu)47102練習(xí)題什么類型的安全是防范試圖以物理方式親自進(jìn)入計(jì)算設(shè)施的入侵者或訪問(wèn)者的第一道防線？防火墻網(wǎng)絡(luò)安全財(cái)務(wù)安全邊界安全社會(huì)安全物理安全通常是第一道防線，用于防范授權(quán)和授權(quán)的對(duì)組織物理資產(chǎn)的訪問(wèn)，對(duì)記錄、商業(yè)秘密的竊取，以及工業(yè)間諜和欺詐。TRUEFALSE48練習(xí)題什么類型的安全是防范試圖以物理方式親自進(jìn)入計(jì)算設(shè)施的入103練習(xí)題什么類型的安全是防范試圖以物理方式親自進(jìn)入計(jì)算設(shè)施的入侵者或訪問(wèn)者的第一道防線？防火墻網(wǎng)絡(luò)安全財(cái)務(wù)安全邊界安全社會(huì)安全物理安全通常是第一道防線，用于防范授權(quán)和授權(quán)的對(duì)組織物理資產(chǎn)的訪問(wèn)，對(duì)記錄、商業(yè)秘密的竊取，以及工業(yè)間諜和欺詐。TRUEFALSE49練習(xí)題什么類型的安全是防范試圖以物理方式親自進(jìn)入計(jì)算設(shè)施的入104練習(xí)題下面哪項(xiàng)最可能在數(shù)據(jù)中心里被審計(jì)？一個(gè)在數(shù)據(jù)中心中運(yùn)行且包含被監(jiān)管信息的應(yīng)用個(gè)人信息比如姓名和住址不受監(jiān)管的信息非屬性信息比如性別或種族等，被保存以用于EO報(bào)告用戶名和密碼在哪種環(huán)境下不可能允許客戶自行開展審計(jì)，從而使得數(shù)據(jù)中心運(yùn)營(yíng)商必須為客戶提供審計(jì)變得非常重要？單租戶環(huán)境多應(yīng)用，單租戶環(huán)境多租戶環(huán)境分布式計(jì)算方案遠(yuǎn)距離關(guān)系50練習(xí)題下