阿里云安全白皮書4.0

法律聲明 I 12.安全責任共擔 2 32.2.客戶安全責任 43.安全合規(guī) 6 3.2.個人信息保護 3.3.透明度 4.阿里云基礎設施 5.阿里云安全架構 5.1.5.云平臺內部身份和訪問控制 5.1.6.云平臺安全監(jiān)控和運營 .云平臺側藍軍滲透測試 5.2.用戶基礎安全 5.2.2.容器安全 .入侵檢測 .鏡像掃描 .鏡像簽名 .安全組 .云防火墻 5.3.用戶數(shù)據(jù)安全 5.3.2.全鏈路加密 .存儲加密 .加密計算 .加密服務 435.3.3.密鑰管理 .密鑰輪轉 5.4.用戶應用安全 46 5.4.2.應用配置安全 47 475.4.3.應用保護 5.5.用戶業(yè)務安全 5.5.3.業(yè)務風控 .爬蟲風險管理 .游戲盾 5.6.用戶賬戶安全 5.6.2.訪問授權 5.6.3.賬號管理 5.6.4.操作審計 .堡壘機 5.6.5.應用管理 5.7.用戶安全監(jiān)控和運營 .平臺側操作日志透明化 6.云產(chǎn)品安全 6.2.存儲 6.2.2.文件存儲 .高可用性 .數(shù)據(jù)加密 6.2.3.對象存儲 .訪問控制 .高可用性 .租戶隔離 .訪問日志 .跨域訪問 .服務器端加密 .訪問控制 .日志和監(jiān)控 .租戶隔離 .網(wǎng)絡邊界控制 6.4.數(shù)據(jù)庫 6.4.2.表格存儲 .高可用性 .強一致性 .數(shù)據(jù)加密 6.6.數(shù)據(jù)與智能 6.6.1.大數(shù)據(jù)計算服務 .跨項目空間的資源分享 .集群白名單 .高可用性 .用戶與權限 .開發(fā)/生產(chǎn)權限隔離 .權限管理 .數(shù)據(jù)加密 .敏感數(shù)據(jù)保護 6.6.4.實時計算 .數(shù)據(jù)存儲賬號保護 .數(shù)據(jù)加密 .監(jiān)控審計 6.7.4.性能測試服務 7.2.2.密鑰管理服務 .傳輸安全 .合規(guī)和安全等級 .使用場景 .技術能力 .技術能力 7.5.云上賬戶安全和監(jiān)控 7.5.2.應用身份服務 .產(chǎn)品功能 .只讀日志系統(tǒng) .身份認證 .功能特性 .技術能力 8.云上數(shù)據(jù)安全體系 8.2.數(shù)據(jù)傳輸安全 8.2.3.SSL證書服務 8.3.數(shù)據(jù)處理安全 8.3.2.云產(chǎn)品權限管控 .計算和網(wǎng)絡環(huán)境隔離 8.3.3.數(shù)據(jù)脫敏 8.4.數(shù)據(jù)交換安全 8.4.1.數(shù)據(jù)泄露檢測 8.5.數(shù)據(jù)存儲安全 201 202 8.6.數(shù)據(jù)銷毀安全 8.6.2.數(shù)據(jù)清零 2048.6.3.終止服務后清除 2049.阿里云安全最佳實踐 205 2062.安全責任共擔2.1.阿里云安全責任2.2.客戶安全責任資質簡介全球認可ISO27001信息安全管理體系國際認證是被廣泛采用的全球安全標準，阿里云作為首家在國內審核通過此項認證的云計算服務提供商，從數(shù)據(jù)安全、網(wǎng)絡安全、通信安全、操作安全等各個方面證明阿里云平臺履行的安全職責。ISO27017提供了一套使用云服務的相關信息安全控制指引，包含與ISO/IEC27002相關控制的額外實施指引，以及與云服務特性相關的額外控制以及相應實施指引。ISO27018針對云服務商對云上個人數(shù)據(jù)的安全防護國際標準認證，為云上個人身份信息處理者提供一套守則，以保護公共云中的個人身份信息（PII）不受侵犯，是目前國際上最權威、最嚴格、也是最被廣泛接受和應用的信息安全體系認證。CSASTAR由英國標準協(xié)會（BSI）和國際云安全權威組織云安全聯(lián)盟（CSA）聯(lián)合推出，阿里云作為全球首家獲得CSASTAR云安全金牌認證企業(yè)。ISO9001質量管理體系用于證實組織具有提供滿足用戶要求和適用法規(guī)要求的產(chǎn)品能力的權威認證。ISO20000是國際上首個公認的IT服務管理標準，阿里云是國內首家獲得新版ISO/IEC20000-1:2011認證的云計算服務商，意味著阿里云建立了標準的服務流程，并嚴格執(zhí)行，云平臺服務規(guī)范化，提高效率并降低IT整體風險。ISO22301業(yè)務連續(xù)性管理體系是國際公認能夠衡量企業(yè)服務連續(xù)性能力是否滿足社會責任和客戶承諾的唯一標準，阿里云通過全球首個最新版ISO/IEC22301業(yè)務連續(xù)性國際認證。SOC1/2/3SOC報告是美國注冊會計師協(xié)會創(chuàng)造的一套給服務提供商的報告稱為：服務性機構控制體系鑒證（SOC－ServiceOrganizationControls）報告。SOC報告的目的是給服務提供商選項，方便他們提供更多的相關報告給客戶。權威中央網(wǎng)信辦云服務安全審查阿里云電子政務云平臺成為全國首批通過中央網(wǎng)信辦云計算網(wǎng)絡安全審查（增強級）的云計算服務。公安部網(wǎng)絡安全等級保護2.0阿里云作為全國唯一一個云計算等級保護2.0示范單位，金融云是通過云計算等級保護四級測評的首個云平臺，政務云是通過等保2.0國標測評的首個云平臺。工信部云計算服務能力評估阿里云（公共云和專有云）成為全國首批通過工信部云計算服務能力評估一級（最高級）的云服務商。云計算服務認證阿里云云主機、對象存儲、云數(shù)據(jù)庫、內容分發(fā)等多款產(chǎn)品和服務獲得可信云全國首批云服務認證，對數(shù)據(jù)可銷毀性、數(shù)據(jù)可遷移性、數(shù)據(jù)私密性、數(shù)據(jù)知情權等進行了規(guī)范。大數(shù)據(jù)服務認證阿里云大數(shù)據(jù)產(chǎn)品作為全國首批通過大數(shù)據(jù)系統(tǒng)通用規(guī)范最高等級測評，首批獲得CNAS云產(chǎn)品（數(shù)加）國家實驗室認證，多款產(chǎn)品達到業(yè)界最高大規(guī)模集群能力。安全服務能力認證阿里云系列安全產(chǎn)品作為全國首家云計算安全綜合防御產(chǎn)品獲得公安部銷售許可，并成為多行業(yè)云計算安全產(chǎn)品標準最佳實踐。安全技術支撐阿里云先后榮獲CNCERT網(wǎng)絡安全應急服務支撐單位（國家級）、CNVD（國家信息安全漏洞共享平臺）技術組成員單位、國家網(wǎng)絡與信息安全信息通報中心技術支持單位（多年優(yōu)秀技術支持單位稱號）、國家重大活動網(wǎng)絡安全保衛(wèi)技術支持單位等稱號，成為為國家級安全工作提供技術支撐最多的云服務商。行業(yè)及區(qū)域認可阿里云遵循C5標準，顯示了云計算在控制和安全方面實現(xiàn)最高合規(guī)性的承諾，該標準不僅作為德國市場的基準，也越來越成為整個歐洲機構的基準。德國的客戶可以利用C5審核來滿足嚴格的本地要求，并使用阿里云服務來運行安全的工作負載。C5主要面向專業(yè)云服務提供商，其審計人員和云服務提供商的客戶。它有17個不同的控制要求，云提供商必須遵守或達到定義的最低標準。這是與德國公共部門合作的必要評估，并且越來越多地被私營部門采用。新加坡認證機構CertificationInternational向阿里云頒發(fā)了新加坡多層云安全MTCS最高安全評級T3認證。多層云安全MTCS是由新加坡政府的新加坡資訊通訊發(fā)展管理局（InfocommDevelopmentAuthority，IDA）發(fā)起，新加坡標準、生產(chǎn)力與創(chuàng)新局（SPRINGSingapore）推出的云安全標準。其安全認證分為三個層次，其中第三級為最高、最安全。NESA/ISR國家電子安全局（NationalElectronicSecurityAuthority，簡稱NESA）是阿拉伯聯(lián)合酋長國（UAE）內，負責境內關鍵信息基礎設施以及強化國家網(wǎng)絡安全的政府機關。阿里云已依循該機關所制定的一系列信息安全指引，并完成P1級別的第三方合規(guī)審計。信息安全規(guī)范（InformationSecurityRegulation，簡稱ISR）是由迪拜當?shù)卣贫?，此?guī)范與國際標準ISO27001相似，囊括了數(shù)個信息安全領域，并依照迪拜政府的需求納入特別適用于當?shù)氐男畔踩笠?guī)范。阿里云已由合格的第三方完成合規(guī)審計，確認阿里云遵循ISR相應的規(guī)范與具體要求。PCI-DSS是一項重要的支付卡業(yè)務質素認證，評測支付卡數(shù)據(jù)的安全性，包括信用卡號、CVV2號等，同時關注賬號或密碼傳輸與儲存的安全性，阿里云是全國首家通過PCI-DSS安全認證的云計算服務商。阿里云完成了對象存儲服務OSS解決方案能力相關的評估，以滿足美國證券交易委員會（SEC）規(guī)則17a-4(f)和金融業(yè)監(jiān)管局（FINRA）頒布的經(jīng)紀人經(jīng)銷商媒體要求規(guī)則4511。通過這項評估阿里云能夠服務更多國際金融行業(yè)客戶，因為這些要求被更廣泛的被很多美國以外的國家所采用，作為一個產(chǎn)品的金融要求支持能力衡量的一部分。阿里云國際站通過TRUSTe企業(yè)隱私認證，標志著阿里云采集、使用、管理和銷毀個人信息的合規(guī)性。阿里云支持HIPAA的業(yè)務伙伴協(xié)議以滿足客戶的需求，遵守美國健康保險可攜性和責任法案，以保護健康信息的隱私和安全。阿里云遵守美國電影協(xié)會(MPAA)的最佳實踐指引。阿里云通過第三方評估，確保遵守新加坡個人信息保護要求。TrustedCloud會員阿里云成為德國聯(lián)邦經(jīng)濟和能源部推動的TrustedCloud會員并得到TrustedCloud的認證。Conduct阿里云作為歐盟云守則（EUCloudCodeofConduct）的創(chuàng)始會員和大會成員，積極參與制定為符合GDPRArticle40要求下的歐盟云服務的云守則創(chuàng)始會員守則，與歐盟數(shù)據(jù)保護部門進行建設性的合作，以確保他們對GDPR的期望和未來指導在撰寫守則的同時得到考慮。阿里云致力于為整個阿里云生態(tài)系統(tǒng)保持高水準的數(shù)據(jù)保護，并為整個科技行業(yè)的健康發(fā)展做出貢獻。阿里云支持提高云計算行業(yè)透明度，并幫助云客戶了解云服務提供商如何解決數(shù)據(jù)保護問題。3.1.監(jiān)管合規(guī)3.2.個人信息保護3.3.透明度地域可用區(qū)數(shù)量中國大陸華北12華北28華北32華北52華東18華東26華南15西南11其它國家和地區(qū)中國香港2亞太東南13亞太東南22亞太東南32亞太東南52亞太南部12亞太東北12美國東部12美國西部12歐洲中部12英國（倫敦）2中東東部115.1.云平臺安全5.1.1.物理安全.機房容災.人員管理賬號管理和身份認證.運維審計.數(shù)據(jù)銷毀.網(wǎng)絡隔離5.1.2.硬件安全.硬件固件安全.加密計算.可信計算5.1.3.虛擬化安全.租戶隔離.安全加固.逃逸檢測.補丁熱修復.數(shù)據(jù)清零5.1.4.云產(chǎn)品安全5.1.5.云平臺內部身份和訪問控制.身份管理.密碼管理.權限管理5.1.6.云平臺安全監(jiān)控和運營.云產(chǎn)品安全生命周期（SPLC）.云平臺安全監(jiān)控.云平臺側藍軍滲透測試.云平臺安全應急響應.變更管理5.2.用戶基礎安全5.2.1.主機安全.入侵檢測.病毒檢測.漏洞管理.OS和鏡像加固.宕機遷移5.2.2.容器安全.安全沙箱容器.入侵檢測.鏡像掃描.鏡像簽名5.2.3.網(wǎng)絡安全.VPC.安全組.云防火墻.DDoS防御5.3.用戶數(shù)據(jù)安全5.3.1.數(shù)據(jù)保護.數(shù)據(jù)分類.數(shù)據(jù)脫敏.數(shù)據(jù)防泄露.數(shù)據(jù)完整性.數(shù)據(jù)高可用5.3.2.全鏈路加密.傳輸加密.存儲加密阿里云提供云產(chǎn)品落盤存儲加密能力給用戶，并統(tǒng)一使用阿里云密鑰管理服務（Key.加密計算.加密服務.SSL證書服務5.3.3.密鑰管理.托管HSM.自選密鑰.密鑰輪轉5.4.用戶應用安全5.4.1.應用環(huán)境安全.漏洞掃描.代碼托管.代碼審計.安全加固5.4.2.應用配置安全.ACM配置加密5.4.3.應用保護.WAF5.5.用戶業(yè)務安全5.5.1.身份驗證.實人認證5.5.2.內容檢測.內容安全5.5.3.業(yè)務風控.風險識別.爬蟲風險管理端共享海量的威脅情報做到對爬蟲類攻擊的快速響應。同時無需改動用戶服務端代碼，通過.游戲盾5.6.用戶賬戶安全5.6.1.身份認證身份認證是指通過憑證信息認證用戶的真實身份。它通常是指通過登錄密碼或訪問密鑰.賬號密碼認證.AccessKey（AK）認證.STS認證.MFA認證.SSO認證.SSH密鑰對5.6.2.訪問授權.RAM5.6.3.賬號管理.阿里云賬號.RAM用戶.RAM角色.ResourceDirectory（多賬號管理）5.6.4.操作審計.ActionTrail.堡壘機5.6.5.應用管理.應用身份服務5.7.用戶安全監(jiān)控和運營5.7.1.威脅檢測和響應.云安全中心.應急響應5.7.2.配置檢查.配置審計.云安全中心5.7.3.日志審計.日志監(jiān)控.平臺側操作日志透明化5.7.4.安全測試.滲透測試.安全眾測5.7.5.安全咨詢.安全管家.等保咨詢.PCI-DSS合規(guī)咨詢6.1.彈性計算6.1.1.云服務器ECS.租戶隔離加密為租戶提供了一種簡單的安全的加密手段，能夠對租戶的磁盤進行對稱加密交換機端口，其他虛擬機看不到這個報文。在阿里云的實現(xiàn)方式下，運行在混雜.安全組防火墻功能對比普通安全組企業(yè)安全組是否支持所有實例規(guī)格是否，實例規(guī)格必須同時支持IPv6功能是否支持專有網(wǎng)絡VPC是是是否支持經(jīng)典網(wǎng)絡是否是否支持設置規(guī)則優(yōu)先級是否是否支持授權給其他安全組是否是否支持手動設置允許訪問的安全是是組規(guī)則是否支持手動設置拒絕訪問的安全組規(guī)則是否，企業(yè)安全組默認拒絕任何訪問請求支持的彈性網(wǎng)卡數(shù)量受安全組內ECS實例數(shù)量限制是否支持綁定彈性網(wǎng)卡到任意實例規(guī)格是，但實例網(wǎng)絡類型必須是專有否，實例規(guī)格必須同時支持IPv6功能能容納的私網(wǎng)IP地址數(shù)量無限量.SSH密鑰對.防IP/MAC/ARP欺騙.高可用性數(shù)據(jù)高可靠性故障自動遷移恢復.快照與鏡像.安全鏡像.加密鏡像.補丁熱修復0.RAM和STS支持如果某開發(fā)人員的工作職責發(fā)生轉變，成為一名系統(tǒng)管理人員，用戶可以方便的將其從1.實例角色6.1.2.彈性裸金屬服務器（神龍）.用戶獨占計算資源.加密計算6.1.3.彈性伸縮.身份認證.RAM和STS支持6.1.4.資源編排.RAM和STS支持6.1.5.容器服務.RAM和STS支持.支持集群內資源的RBAC授權管理主賬號或集群管理員可以通過容器服務授權管理功能配置子賬號在指定集群內調用受限等預置角色簡化了集群內資源的授權管理，同時支持用戶自定義的集群角色綁定，.審計支持.集群安全加固k.容器Runtime安全監(jiān)控.安全沙箱容器支持6.2.存儲6.2.1.塊存儲.數(shù)據(jù)加密.高可用性6.2.2.文件存儲.訪問控制.RAM支持.高可用性.NFS數(shù)據(jù)傳輸加密文件中添加相關參數(shù)完成。使用NFS傳輸加密客戶端進行TLS掛載時，工具會啟動一個.數(shù)據(jù)加密6.2.3.對象存儲.身份認證.訪問控制.RAM和STS支持.高可用性.租戶隔離.訪問日志.防盜鏈