SANGFOR-安全資源池-2018初級(jí)能力成長-安全資源池政務(wù)云云安全背景知識(shí)2

安全資源池政務(wù)云云安全背景篇課程目標(biāo)能夠熟練掌握政務(wù)云的背景、建設(shè)痛點(diǎn)并能夠熟練運(yùn)用；能夠掌握政務(wù)云安全問題產(chǎn)生的背景、痛點(diǎn)并熟練運(yùn)用；能夠簡單了解政務(wù)云主流競(jìng)爭對(duì)手，并能夠簡單運(yùn)用；銷售經(jīng)理能夠在用戶處獨(dú)立完成前期項(xiàng)目溝通；政務(wù)云面臨的問題政務(wù)云安全訴求的來源政務(wù)云主流廠商政務(wù)云面臨的問題建設(shè)模式多樣云安全問題突出運(yùn)營方式轉(zhuǎn)變參與角色眾多政務(wù)云建設(shè)模式多樣建設(shè)方式上成熟發(fā)達(dá)省級(jí)政務(wù)云，如北京、浙江、四川等均為兩個(gè)不同云服務(wù)商分建兩朵，形成競(jìng)爭關(guān)系；并設(shè)置獨(dú)立的監(jiān)管/監(jiān)理角色，引入專業(yè)技術(shù)公司作為主管單位的技術(shù)力量支撐。如北京模式。地市級(jí)政務(wù)云，絕大多數(shù)只招標(biāo)一家云服務(wù)商進(jìn)行建設(shè)。投運(yùn)流程上省級(jí)分建兩朵的模式下，各委辦局有較大的自主選擇權(quán)；常常由租戶申請(qǐng)預(yù)算，靈活購買兩家云服務(wù)。地市級(jí)常由經(jīng)信委、信息中心等主管單位，進(jìn)行統(tǒng)一云服務(wù)購買。云安全是政務(wù)云的突出問題針對(duì)傳統(tǒng)信息系統(tǒng)和物理網(wǎng)絡(luò)的邊界防御、入侵檢測(cè)、應(yīng)用安全保護(hù)等技術(shù)仍然有用；但針對(duì)云平臺(tái)hypervisor層的漏洞發(fā)現(xiàn)、虛擬機(jī)逃逸和宿主機(jī)加固，以及虛擬化網(wǎng)絡(luò)安全、鏡像和云管平臺(tái)的安全保護(hù)等方面缺乏有效手段；分布式防火墻+微隔離技術(shù)，可以一定程度上解決虛擬機(jī)間隔離、防御問題，但在多租戶的政務(wù)云場(chǎng)景下又面臨搶占宿主機(jī)資源、責(zé)權(quán)難明晰和自服務(wù)運(yùn)維困難的問題，難以落地。運(yùn)營方式的轉(zhuǎn)變、參與角色眾多主管單位：即當(dāng)?shù)卣?wù)云建設(shè)的政府牽頭單位，如經(jīng)信委等；項(xiàng)目建設(shè)前期，主要負(fù)責(zé)對(duì)云服務(wù)商進(jìn)行遴選，以及后續(xù)的監(jiān)督、考核、指導(dǎo)管理；并負(fù)責(zé)協(xié)調(diào)、組織和監(jiān)督租戶遷移上云。監(jiān)管服務(wù)商：作為主管單位監(jiān)督職責(zé)的延伸，為主管單位提供監(jiān)管技術(shù)支撐；常見于成熟省、直轄市的省級(jí)政務(wù)云。云服務(wù)商：負(fù)責(zé)為當(dāng)?shù)卣顿Y、專門建設(shè)政務(wù)云平臺(tái)，提供計(jì)算、存儲(chǔ)等云服務(wù)，通過提供服務(wù)回收投資、獲得經(jīng)濟(jì)效益；在成熟、發(fā)達(dá)省份的省級(jí)政務(wù)云項(xiàng)目中常會(huì)入圍兩家，分建兩朵、形成競(jìng)爭。安全服務(wù)方：作為云服務(wù)商的能力延伸，為使用單位（租戶，委辦廳局）提供安全服務(wù)；當(dāng)前大多數(shù)政務(wù)云都處于缺乏、缺失狀態(tài)，偶見于投運(yùn)早、業(yè)務(wù)遷移多的省級(jí)政務(wù)云。使用單位：即租戶，委辦廳局；通過購買云服務(wù)商、安全服務(wù)方的服務(wù)實(shí)現(xiàn)業(yè)務(wù)云化，并對(duì)服務(wù)進(jìn)行績效評(píng)價(jià)。政務(wù)云面臨的問題政務(wù)云安全訴求的來源政務(wù)云主流廠商通過典型區(qū)域看政務(wù)云安全挑戰(zhàn)北京市政務(wù)云由北京市經(jīng)信委統(tǒng)籌，事業(yè)單位主要提供網(wǎng)絡(luò)、計(jì)算、存儲(chǔ)、帶寬等服務(wù)通過北京案例，政務(wù)云建設(shè)過程中的安全建設(shè)北京市級(jí)政務(wù)云體制建設(shè)角色眾多，責(zé)任明確云服務(wù)商經(jīng)信委云安全監(jiān)管商公服中心使用單位北京市級(jí)政務(wù)云體制建設(shè)經(jīng)信委/發(fā)改委/電子政務(wù)外網(wǎng)信息中心等公共服務(wù)中心云服務(wù)商使用單位監(jiān)管服務(wù)商直接領(lǐng)導(dǎo)監(jiān)管報(bào)告安全應(yīng)急輔助監(jiān)督、考核物理安全管理指導(dǎo)、組織實(shí)施績效評(píng)價(jià)遴選監(jiān)督管理協(xié)調(diào)監(jiān)測(cè)監(jiān)督使用、運(yùn)行監(jiān)測(cè)安全檢查、邊界安全監(jiān)測(cè)規(guī)劃、遷移；績效評(píng)價(jià)邊界安全監(jiān)測(cè)云對(duì)接其他云政務(wù)云建設(shè)、運(yùn)維云自身的安全保障安全資源池責(zé)任明確《北京市市級(jí)政務(wù)云管理辦法（試行）》（京經(jīng)信委函〔2016〕4號(hào)）12北京市市級(jí)政務(wù)云的安全需求采用何種安全方案，每種安全方案的實(shí)現(xiàn)方式產(chǎn)品生態(tài)、服務(wù)商生態(tài)如何在政務(wù)云中和諧共存產(chǎn)品的整合問題（成本問題，兼容問題）如何滿足各方利益訴求

核心關(guān)鍵

云計(jì)算在當(dāng)前雖然應(yīng)用廣泛，但是作為一個(gè)新技術(shù)，不可避免的存在諸多脆弱性，一旦被利用可能形成不可估量的安全事件。主要風(fēng)險(xiǎn)1.一臺(tái)主機(jī)上可能承載多個(gè)不同的租戶、不同的系統(tǒng)，運(yùn)維管理復(fù)雜，流量不可視，風(fēng)險(xiǎn)難管理2.新技術(shù)的應(yīng)用帶來新的安全風(fēng)險(xiǎn)，如虛擬化層的漏洞等3.所有雞蛋放在一個(gè)籃子里，受攻擊面增大，同時(shí)平臺(tái)方責(zé)任更重政務(wù)云新技術(shù)引入的安全問題政務(wù)云面臨的問題政務(wù)云安全訴求的來源政務(wù)云主流廠商主流的云上方案硬件一虛多防火墻軟件類安全SDN安全類無代理殺毒主流的云上方案–硬件一虛多主流廠商及代表型號(hào)：華三M9000系列、華為USG9000系列、迪普DPX系列方案簡述：通過硬件網(wǎng)關(guān)設(shè)備上的虛擬化技術(shù)提供虛擬防火墻、VPN等安全組件，多見于云平臺(tái)廠商的打包方案中，作為邊界網(wǎng)關(guān)解決租戶間的訪問控制。方案優(yōu)劣：一虛多功能在某種程度上來說是一種成本較低同時(shí)實(shí)現(xiàn)平臺(tái)基本安全策略的方案，該方案也存在致命的弊端，包括功能比較簡單如waf、網(wǎng)頁防篡改、網(wǎng)絡(luò)審計(jì)等租戶實(shí)際需要等保要求的安全策略都無法滿足。同時(shí)，由于硬件平臺(tái)的性能限制，隨著平臺(tái)業(yè)務(wù)增加、業(yè)務(wù)流量增大該方案無法支持平滑擴(kuò)容隨需所取。主流的云上方案–軟件NFV主流廠商及代表產(chǎn)品：基于阿里云的深信服vaf、vssl、基于華為、華三云的安全鏡像方案簡述：通過和云平臺(tái)耦合的方式，兼容云平臺(tái)提供安全鏡像，實(shí)現(xiàn)對(duì)租戶的安全策略。方案優(yōu)劣：對(duì)平臺(tái)的兼容性要求極高，比如深信服目前NFV方案僅適配了自家產(chǎn)品和阿里云，另外多產(chǎn)品也很難形成統(tǒng)一的管理、配置復(fù)雜。主流的云上方案–

SDN主流廠商及代表產(chǎn)品：云平臺(tái)廠商（h3c、華為）、啟明、綠盟方案簡述：主要使用vxlan技術(shù)，通過設(shè)備（如防火墻）接口調(diào)用來生成策略，可以理解為在統(tǒng)一的協(xié)議中通過控制器引流建立租戶對(duì)應(yīng)的vrf、網(wǎng)關(guān)等配置，從而完成自動(dòng)化交付。方案優(yōu)劣：SDN缺少落地，目前沒有看到落地應(yīng)用很好的案例；運(yùn)維復(fù)雜特別是排錯(cuò)很復(fù)雜，對(duì)運(yùn)維技術(shù)挑戰(zhàn)較大；SDN安全需要協(xié)調(diào)多家硬件設(shè)備廠商配合，難以落地。主流的云上方案–無代理殺毒主流廠商及代表產(chǎn)品：基于平臺(tái)做深度定制的安全組件，常見針對(duì)vmware平臺(tái)、h3c

cas平臺(tái)、華為fusion平臺(tái)定制的deep

security產(chǎn)品。常見亞信、360等廠商。方案簡述：針對(duì)平臺(tái)深度定制的平臺(tái)安全