摘　要：信息技術(shù)與現(xiàn)代生活及生產(chǎn)互相交融、不可分割，各國都把信息化作為本國重要的發(fā)展方向，依托信息化建設(shè)提高資源協(xié)作效率，推動技術(shù)創(chuàng)新，提高綜合國力。在此背景下，云計算作為信息化基石，其安全性異常重要。由于傳統(tǒng)的安全防護(hù)體系不再適用于云計算安全建設(shè)，因此，依據(jù)滑動標(biāo)尺模型，結(jié)合等級保護(hù)制度，以軟件定義安全、分層防御、區(qū)域自治、全面納管的思想，從云環(huán)境識別、邊界安全設(shè)計、云內(nèi)安全設(shè)計、特權(quán)管理、安全管控 5 個方面對今后云計算安全防護(hù)提出理論指導(dǎo)。

內(nèi)容目錄：

1　云計算平臺面臨的安全挑戰(zhàn)

1.1　新興風(fēng)險和傳統(tǒng)風(fēng)險會在云計算長時間演進(jìn)下持續(xù)并存
1.2　用戶需進(jìn)一步提高對云計算平臺的全面系統(tǒng)性安全建設(shè)認(rèn)知
1.3　云計算安全日益嚴(yán)峻，面臨更大的安全挑戰(zhàn)
2　各行業(yè)在云計算安全建設(shè)上的誤區(qū)
2.1　缺乏整體視角構(gòu)建云上安全，安全及運(yùn)營存在割裂
2.2　缺乏云內(nèi)外安全態(tài)勢，安全需要統(tǒng)管、統(tǒng)知
3　面向云計算安全防護(hù)建設(shè)的方法和要點(diǎn)
3.1　概念闡釋
3.2　云安全建設(shè)思想
3.3　總體設(shè)計方式
3.4　云安全建設(shè)要點(diǎn)
4　建設(shè)成效
4.1　全面防護(hù)云計算平臺，有效提供云上安全防護(hù)需求
4.2　云安全能力與云業(yè)務(wù)緊密結(jié)合，使云上業(yè)務(wù)服務(wù)更加安全
4.3　云安全能力與整體業(yè)務(wù)流程相結(jié)合，實(shí)現(xiàn)云上一體化的安全防護(hù)
5　結(jié)　語

互聯(lián)網(wǎng)與人類生產(chǎn)生活不斷地進(jìn)行交匯融合，世界各國都把推進(jìn)國家數(shù)字化作為實(shí)現(xiàn)創(chuàng)新發(fā)展、提高綜合國力的重要方向。時至今日，席卷全球的數(shù)字化浪潮已對各國經(jīng)濟(jì)發(fā)展、社會治理、人民生活產(chǎn)生了重大影響。數(shù)字化算力的高速發(fā)展促使新的技術(shù)應(yīng)用概念被不斷提出，如智慧政務(wù)、智慧城市、智慧醫(yī)療、智慧交通等，這些新的互聯(lián)網(wǎng) + 概念的提出無疑是來自云計算的全面深入應(yīng)用，讓當(dāng)前社會的生產(chǎn)效率大幅提升。傳統(tǒng)網(wǎng)絡(luò)信息架構(gòu)提供的傳統(tǒng)算力與云計算平臺提供的全新算力，在技術(shù)采用、建設(shè)理念和管理方式等方面存在巨大差異，傳統(tǒng)的安全防護(hù)體系已不再適用于承擔(dān)如今云化進(jìn)程中的安全防護(hù)任務(wù)。

1云計算平臺面臨的安全挑戰(zhàn)

1.1　新興風(fēng)險和傳統(tǒng)風(fēng)險會在云計算長時間演進(jìn)下持續(xù)并存

云計算將傳統(tǒng)的算力供應(yīng)方式進(jìn)行了顛覆式的改變，高效、彈性、按需貫穿了整個云計算的使命核心，但資源的使用方式本質(zhì)上并沒有發(fā)生變化，如業(yè)務(wù)形態(tài)、運(yùn)行環(huán)境等，繼承了傳統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)下業(yè)務(wù)運(yùn)行方式。因此，云數(shù)據(jù)中心同樣沒有將傳統(tǒng)數(shù)據(jù)中心“一刀切”式地全部摒棄，這進(jìn)一步說明了傳統(tǒng)數(shù)據(jù)中心向云數(shù)據(jù)中心演變不是一蹴而就的。安全體系也是如此，它需要有效應(yīng)對傳統(tǒng)風(fēng)險與新興風(fēng)險長期并存的局面。

1.2　用戶需進(jìn)一步提高對云計算平臺的全面系統(tǒng)性安全建設(shè)認(rèn)知

云計算從虛擬化技術(shù)到傳統(tǒng)數(shù)據(jù)中心云化的高速發(fā)展期僅用了約 10 年時間。此前，大部分用戶采用傳統(tǒng)數(shù)據(jù)中心安全方式進(jìn)行建設(shè)，云化后繼續(xù)沿用了傳統(tǒng)安全防護(hù)經(jīng)驗(yàn)指導(dǎo)云數(shù)據(jù)中心的安全建設(shè)，由于傳統(tǒng)數(shù)據(jù)中心和云技術(shù)中心在 IT 結(jié)構(gòu)、安全運(yùn)營方面具有較大差異，因而對于云計算安全建設(shè)方法，用戶普遍認(rèn)識不高。尤其是云計算具有多層次的網(wǎng)絡(luò)縱深、多種角色的 IT 活動、多形態(tài)的服務(wù)特點(diǎn)，這就導(dǎo)致其與現(xiàn)有運(yùn)行業(yè)務(wù)和安全管理脫節(jié)，無法有效地保護(hù)現(xiàn)有云上業(yè)務(wù)安全運(yùn)行。

1.3　云計算安全日益嚴(yán)峻，面臨更大的安全挑戰(zhàn)

云計算的出現(xiàn)并沒有改變原有的安全風(fēng)險。作為新引入的技術(shù)，云計算帶來了新的安全暴露面，加上云數(shù)據(jù)中心是應(yīng)用、流量、數(shù)據(jù)的大型集散地，因此云數(shù)據(jù)中心被越來越多的破壞者注意。目前，對云數(shù)據(jù)中心的攻擊呈現(xiàn)隱匿、動態(tài)的特性，常以單點(diǎn)爆破、橫向擴(kuò)散為手段進(jìn)行云上攻擊，因此，當(dāng)以云計算的彈性、動態(tài)等特點(diǎn)為業(yè)務(wù)提供方便時，對安全也提出了新考驗(yàn)，導(dǎo)致靜態(tài)的安全體系無法適應(yīng)動態(tài)變化的節(jié)奏。

2各行業(yè)在云計算安全建設(shè)上的誤區(qū)

2.1　缺乏整體視角構(gòu)建云上安全，安全及運(yùn)營存在割裂

多數(shù)行業(yè)用戶由于缺乏整體安全防護(hù)視角下的云安全規(guī)劃建設(shè)，導(dǎo)致企業(yè)在安全建設(shè)當(dāng)中存在缺失和不足。例如，云計算安全建設(shè)往往不能覆蓋安全滑動標(biāo)尺模型要求的基礎(chǔ)架構(gòu)安全、縱深防護(hù)安全、主動防御、威脅情報等安全能力；又因歷史原因，企業(yè)的安全建設(shè)、制度建設(shè)往往只關(guān)注傳統(tǒng)網(wǎng)絡(luò)環(huán)境下的業(yè)務(wù)安全保障，而忽略了整個云化進(jìn)程帶來的與傳統(tǒng)業(yè)務(wù)混合緊密結(jié)合的云數(shù)據(jù)中心，從而衍生出云計算平臺多種安全風(fēng)險。由于云業(yè)務(wù)具有極強(qiáng)的運(yùn)營屬性，在面向企業(yè)客戶提供云基礎(chǔ)服務(wù)時往往需要一起提供安全服務(wù)，但當(dāng)前云計算安全建設(shè)往往與信息化建設(shè)存在一定的割裂，安全能力無法與云業(yè)務(wù)有效結(jié)合，從而導(dǎo)致安全服務(wù)游離于云基礎(chǔ)服務(wù)之外，安全效果得不到保障。

2.2　缺乏云內(nèi)外安全態(tài)勢，安全需要統(tǒng)管、統(tǒng)知

云計算作為信息化基礎(chǔ)設(shè)施，云平臺本身可以成為一個完整的生態(tài)環(huán)境，所以企業(yè)需要構(gòu)建對云上生態(tài)的感知能力，但當(dāng)前建設(shè)情況差強(qiáng)人意，要么云上感知缺失，要么沒有與企業(yè)整體安全態(tài)勢聯(lián)通，從而無法將云安全情況與企業(yè)安全情況聯(lián)動，導(dǎo)致云安全體系保障效果大打折扣，也降低了云數(shù)據(jù)中心的服務(wù)效能。

3面向云計算安全防護(hù)建設(shè)的方法和要點(diǎn)

3.1　概念闡釋

所謂云計算安全防護(hù)，是基于私有云模式，基于基礎(chǔ)設(shè)施即服務(wù)（Infrastructure as a Service，IaaS）、平臺即服務(wù)（Platform as a Service，PaaS）、基礎(chǔ)設(shè)施即服務(wù)（Infrastructure as a Service，SaaS）層不同云服務(wù)類型，結(jié)合云技術(shù)本身彈性拓展、虛擬化等特點(diǎn)，依據(jù)滑動標(biāo)尺模型、等級保護(hù)要求采用全面覆蓋、深度融合的方式規(guī)劃設(shè)計云計算安全能力，利用統(tǒng)一規(guī)劃、同步建設(shè)、同步運(yùn)營原則，從工程設(shè)計角度出發(fā)，多維度地構(gòu)建云計算平臺的安全防護(hù)體系 。

3.2　云安全建設(shè)思想

3.2.1　軟件定義安全

軟件定義安全是面向云的數(shù)據(jù)中心安全防護(hù)的基礎(chǔ)。面對云計算彈性、動態(tài)的特性，通過軟件定義安全，實(shí)現(xiàn)對原有安全能力的改造創(chuàng)新，將安全能力軟件化、服務(wù)化、資源池化，使其真正適應(yīng)云數(shù)據(jù)中心的變化。

3.2.2　分層防御，區(qū)域自治

與傳統(tǒng)數(shù)據(jù)中心不同，云數(shù)據(jù)中心是多層次、 多 角 色 的。針 對 云 計 算 IaaS、PaaS、SaaS不同層次的安全需要，設(shè)計不同的安全能力進(jìn)行防護(hù)，使得每個層次能夠獨(dú)立進(jìn)行安全管控和運(yùn)營。同時，整體設(shè)計云安全中心，對全局維度的云數(shù)據(jù)中心安全能力進(jìn)行統(tǒng)一監(jiān)控、管理、運(yùn)營。

3.2.3　聚合業(yè)務(wù)，全面納管

將云安全組件結(jié)合到云的各個信息化層次中，并將云安全能力聚合到云數(shù)據(jù)中心的信息化業(yè)務(wù)中，可以實(shí)現(xiàn)對云主機(jī)、云網(wǎng)絡(luò)、中間件、數(shù)據(jù)等云資源的全面安全納管，確保安全成為云數(shù)據(jù)中心信息化的組成部分，落實(shí)安全對云數(shù)據(jù)中心的全面覆蓋和深度融合。

3.3　總體設(shè)計方式

建設(shè)云計算平臺安全體系，要基于云服務(wù)交付安全和基礎(chǔ)云平臺安全兩大方面開展，借鑒滑動標(biāo)尺模型概念、等級保護(hù)要求，按照基礎(chǔ)架構(gòu)、縱深防御、主動防御、威脅情報 4 個層級和安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境、安全管理中心 5 個方面進(jìn)行綜合分析，然后進(jìn)行總體架構(gòu)建設(shè)，從而全面覆蓋云計算平臺安全需求，并做到安全深度結(jié)合云平臺相關(guān)業(yè)務(wù) 。云計算平臺能力體系如圖 1 所示。

圖 1　云計算平臺能力體系

滑動標(biāo)尺模型：該模型是由美國系統(tǒng)網(wǎng)絡(luò)安全協(xié)會于 2015 年提出的一種科學(xué)規(guī)劃網(wǎng)絡(luò)安全建設(shè)投入的滑動標(biāo)尺模型。該模型將網(wǎng)絡(luò)安全體系建設(shè)過程階段化，按照每個階段的建設(shè)水平對安全防護(hù)能力進(jìn)行評估，從而指導(dǎo)企業(yè)未來在安全防護(hù)能力方面的建設(shè)。目前，該模型的防護(hù)思路在國內(nèi)一些領(lǐng)先機(jī)構(gòu)的網(wǎng)絡(luò)安全規(guī)劃與建設(shè)中被借鑒與使用。

等級保護(hù)：《中華人民共和國網(wǎng)絡(luò)安全法》頒布施行后，等級保護(hù) 2.0 被提出作為《網(wǎng)絡(luò)安全法》落地執(zhí)行的國家非涉密信息系統(tǒng)防護(hù)標(biāo)準(zhǔn)。為落實(shí)相關(guān)安全能力，企業(yè)機(jī)構(gòu)應(yīng)該按照如下步驟進(jìn)行云計算平臺防護(hù)建設(shè)，安全建設(shè)流程如圖 2 所示。

圖 2　安全建設(shè)流程

步驟 1：云環(huán)境識別。先識別云計算平臺的IT 環(huán)境、業(yè)務(wù)環(huán)境，包括自身業(yè)務(wù)情況以及關(guān)聯(lián)性，對外交付云業(yè)務(wù)、云資產(chǎn) IT 業(yè)務(wù)、運(yùn)維管理業(yè)務(wù)等內(nèi)容，確認(rèn)資源（網(wǎng)絡(luò)、存儲）占用情況，保障網(wǎng)絡(luò)健壯性、后期業(yè)務(wù)增長拓展性及業(yè)務(wù)屬性，從而挑選合適的安全能力。

步驟 2：對外邊界防護(hù)設(shè)計?；诓襟E 1 的結(jié)論，圍繞云計算對外邊界接入點(diǎn)設(shè)計，基于風(fēng)險和業(yè)務(wù)需求選擇所需要的接入點(diǎn)安全能力，比如企業(yè)內(nèi)部接入點(diǎn)、互聯(lián)網(wǎng)接入點(diǎn)等。

步驟 3：云內(nèi)安全能力設(shè)計。基于步驟 1 識別到的業(yè)務(wù)結(jié)論，對網(wǎng)絡(luò)、云工作負(fù)載兩方面著手進(jìn)行設(shè)計，配合威脅誘捕云內(nèi)異常流量、威脅文件，具備檢測、發(fā)現(xiàn)、告警、聚合分析、情況判定、威脅聯(lián)合處置，以及云內(nèi)可視、云內(nèi)可管的基本能力。

步驟 4：云特權(quán)操作管控設(shè)計。云內(nèi)特權(quán)操作是非常值得關(guān)注的，需要圍繞云基礎(chǔ)平臺特權(quán)、云交付業(yè)務(wù)特權(quán)兩方面進(jìn)行管控：一是分配完權(quán)限后進(jìn)行嚴(yán)格管理，非必要不使用；二是遵守權(quán)限最小原則進(jìn)行權(quán)限分配，過期賬號、弱口令賬號及時清理。

步驟 5：云內(nèi)外整體安全管控設(shè)計。云內(nèi)外安全打通，納入集中管理平臺，將步驟 3 的基礎(chǔ)安全能力做到統(tǒng)一管控，同時，集中開展安全策略、運(yùn)行狀態(tài)、風(fēng)險處置，將所有安全探針收集到的安全日志進(jìn)行聚合分析、聯(lián)合研判。

步驟 1：云環(huán)境識別。先識別云計算平臺的IT 環(huán)境、業(yè)務(wù)環(huán)境，包括自身業(yè)務(wù)情況以及關(guān)聯(lián)性，對外交付云業(yè)務(wù)、云資產(chǎn) IT 業(yè)務(wù)、運(yùn)維管理業(yè)務(wù)等內(nèi)容，確認(rèn)資源（網(wǎng)絡(luò)、存儲）占用情況，保障網(wǎng)絡(luò)健壯性、后期業(yè)務(wù)增長拓展性及業(yè)務(wù)屬性，從而挑選合適的安全能力。

步驟 2：對外邊界防護(hù)設(shè)計?；诓襟E 1 的結(jié)論，圍繞云計算對外邊界接入點(diǎn)設(shè)計，基于風(fēng)險和業(yè)務(wù)需求選擇所需要的接入點(diǎn)安全能力，比如企業(yè)內(nèi)部接入點(diǎn)、互聯(lián)網(wǎng)接入點(diǎn)等。

步驟 3：云內(nèi)安全能力設(shè)計?；诓襟E 1 識別到的業(yè)務(wù)結(jié)論，對網(wǎng)絡(luò)、云工作負(fù)載兩方面著手進(jìn)行設(shè)計，配合威脅誘捕云內(nèi)異常流量、威脅文件，具備檢測、發(fā)現(xiàn)、告警、聚合分析、情況判定、威脅聯(lián)合處置，以及云內(nèi)可視、云內(nèi)可管的基本能力。

步驟 4：云特權(quán)操作管控設(shè)計。云內(nèi)特權(quán)操作是非常值得關(guān)注的，需要圍繞云基礎(chǔ)平臺特權(quán)、云交付業(yè)務(wù)特權(quán)兩方面進(jìn)行管控：一是分配完權(quán)限后進(jìn)行嚴(yán)格管理，非必要不使用；二是遵守權(quán)限最小原則進(jìn)行權(quán)限分配，過期賬號、弱口令賬號及時清理。

步驟 5：云內(nèi)外整體安全管控設(shè)計。云內(nèi)外安全打通，納入集中管理平臺，將步驟 3 的基礎(chǔ)安全能力做到統(tǒng)一管控，同時，集中開展安全策略、運(yùn)行狀態(tài)、風(fēng)險處置，將所有安全探針收集到的安全日志進(jìn)行聚合分析、聯(lián)合研判。

4建設(shè)成效

4.1　全面防護(hù)云計算平臺，有效提供云上安全防護(hù)需求

通過開展面向云計算平臺的安全防護(hù)建設(shè)，可以構(gòu)建全面覆蓋云計算平臺的各類場景需求的云安全能力，能夠滿足云計算平臺的接入邊界安全防護(hù)，保障云計算平臺自身安全運(yùn)行，構(gòu)建云服務(wù)交付層的、面向企業(yè)用戶的安全服務(wù)能力，確保云計算平臺的開發(fā)、運(yùn)維等特權(quán)操作安全，從而實(shí)現(xiàn)云計算平臺安全防護(hù)的全面性。

4.2　云安全能力與云業(yè)務(wù)緊密結(jié)合，使云上業(yè)務(wù)服務(wù)更加安全

通過開展面向云計算平臺的安全防護(hù)建設(shè)，可以將云安全能力嵌入云業(yè)務(wù)流程中。在云資源及云業(yè)務(wù)的產(chǎn)生、使用、更改、存儲、注銷等環(huán)節(jié)同步進(jìn)行安全管理，將安全能力變成云運(yùn)營業(yè)務(wù)的一部分，在企業(yè)開展云服務(wù)業(yè)務(wù)的同時同步交付云安全服務(wù)。

4.3　云安全能力與整體業(yè)務(wù)流程相結(jié)合，實(shí)現(xiàn)云上一體化的安全防護(hù)

通過開展面向云計算平臺的安全防護(hù)建設(shè)，以滑動標(biāo)尺為依據(jù)，在云上構(gòu)建安全合規(guī)及態(tài)勢感知能力，并體系化地實(shí)現(xiàn)與企業(yè)級的態(tài)勢感知平臺、身份平臺、密碼平臺的互聯(lián)互通，確保云安全防護(hù)不是一個獨(dú)立、割裂的區(qū)域，而是企業(yè)整體安全體系的一環(huán)，并為數(shù)據(jù)安全、應(yīng)用安全等領(lǐng)域提供承載環(huán)境和執(zhí)行點(diǎn)，真正發(fā)揮體系化安全防護(hù)的效力。

5結(jié)　語

本文通過對云計算平臺安全風(fēng)險以及各行業(yè)在云安全建設(shè)中出現(xiàn)的建設(shè)誤區(qū)安全問題的研究，建議在建設(shè)云安全時做到統(tǒng)一規(guī)劃、同步建設(shè)、同步運(yùn)營，以軟件定義安全，通過云特性的安全來提供安全服務(wù)，按照分層防御、區(qū)域自治、統(tǒng)一納管的原則，結(jié)合滑動標(biāo)尺架構(gòu)和等級保護(hù)制度來構(gòu)建云計算平臺各類場景需求的云安全能力，在滿足云計算平臺接入邊界安全防護(hù)的同時，保障云平臺自身安全運(yùn)行，構(gòu)建云服務(wù)、云基礎(chǔ)平臺層面向用戶的安全服務(wù)能力，確保云數(shù)據(jù)的開發(fā)、運(yùn)維等特權(quán)安全，全面實(shí)現(xiàn)云計算平臺安全防護(hù)。

作者：曹海杰

選自《信息安全與通信保密》2023年第9期