當(dāng)前，云計(jì)算處于高速發(fā)展時(shí)期，云平臺實(shí)現(xiàn)了信息共享、提升了資源利用效率、節(jié)約了成本，但其網(wǎng)絡(luò)安全等級保護(hù)問題不容小覷。2019年5月13日，網(wǎng)絡(luò)安全等級保護(hù)2.0正式發(fā)布，信息安全等級保護(hù)也過渡到了網(wǎng)絡(luò)安全等級保護(hù)。并對云平臺、云上用戶和云上安全產(chǎn)品提出了相應(yīng)的管理要求。

等保2.0在云環(huán)境方面的新要求

在等保2.0中對安全設(shè)計(jì)技術(shù)、等級保護(hù)測評等一系列標(biāo)準(zhǔn)提出新的要求，對新技術(shù)領(lǐng)域（云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動互聯(lián)）等級保護(hù)的標(biāo)準(zhǔn)，提出了全新的工作機(jī)制，進(jìn)一步強(qiáng)化了整體的安全防護(hù)。

1、等保要求的變化。云計(jì)算環(huán)境下網(wǎng)絡(luò)安全等級保護(hù)在基本要求、設(shè)計(jì)要求和測評要求中在原有的“通用要求”基礎(chǔ)上，針對于云計(jì)算平臺這一特定等級保護(hù)對象，增加了云計(jì)算等新領(lǐng)域的個(gè)性安全保護(hù)標(biāo)準(zhǔn)和安全擴(kuò)展要求。

2、定級對象的變化。云平臺下網(wǎng)絡(luò)安全等級保護(hù)中云平臺與承載的系統(tǒng)分別定級。一個(gè)云平臺承載多個(gè)系統(tǒng)，云平臺的定級根據(jù)其承載或?qū)⒁�承載的等級保護(hù)對象的重要內(nèi)容確定其安全保護(hù)等級，云平臺的等級不低于所承載系統(tǒng)的安全保護(hù)等級。對于大型云平臺，云計(jì)算基礎(chǔ)設(shè)施和有關(guān)輔助服務(wù)系統(tǒng)被劃分為不同的定級對象。

3、責(zé)任邊界的變化。云平臺下網(wǎng)絡(luò)安全等級保護(hù)首要的問題是安全責(zé)任邊界問題，其責(zé)任邊界劃分是租戶負(fù)責(zé)租戶的安全，平臺負(fù)責(zé)平臺的安全，責(zé)任劃分標(biāo)準(zhǔn)是通用的、普適性的做法。在實(shí)際工作中，還需要結(jié)合實(shí)際情況，進(jìn)一步明確劃分相關(guān)責(zé)任。

4、等保對象的變化。由于引入了云計(jì)算，所以等保對象中增加了虛擬化網(wǎng)絡(luò)、虛擬機(jī)、云管理平臺等，網(wǎng)絡(luò)安全也演變成了基礎(chǔ)安全與新技術(shù)安全的集合。

數(shù)據(jù)中心云平臺安全面臨的新挑戰(zhàn)

由于等保2.0需求的變化導(dǎo)致等保測評重點(diǎn)關(guān)注內(nèi)容變?yōu)椋簲?shù)據(jù)完整性和保密性、入侵防范（網(wǎng)絡(luò)和通信安全）、集中管控、個(gè)人信息保護(hù)，這就對數(shù)據(jù)中心云平臺的安全提出新的挑戰(zhàn)。

1、虛擬系統(tǒng)的安全風(fēng)險(xiǎn)

云平臺的核心技術(shù)是虛擬技術(shù)，其實(shí)現(xiàn)方法通常為在應(yīng)用層和硬件層之間搭建虛擬層，虛擬層的搭建增加了新的系統(tǒng)安全風(fēng)險(xiǎn)。常見的系統(tǒng)安全風(fēng)險(xiǎn)包括網(wǎng)絡(luò)調(diào)整、虛擬機(jī)脫離物理安全監(jiān)管、虛擬環(huán)境管理系統(tǒng)反攻擊能力薄弱、虛擬機(jī)未及時(shí)更新系統(tǒng)補(bǔ)丁文件、殺毒軟件病毒庫、不同信任級別的虛擬機(jī)應(yīng)用未采取應(yīng)有的隔離措施引起的各種安全風(fēng)險(xiǎn)等等，這對于數(shù)據(jù)中心云平臺下多用戶間資源有效隔離和安全防護(hù)工作是一個(gè)新的挑戰(zhàn)。

2、資源高利用風(fēng)險(xiǎn)

虛擬化技術(shù)將物理資源轉(zhuǎn)變?yōu)榭梢赃壿嫻芾淼馁Y源，并打破實(shí)體結(jié)構(gòu)之間的壁壘，使用戶能夠更加合理、充分的利用物理服務(wù)器的處理器、內(nèi)存、網(wǎng)絡(luò)帶寬等資源。但當(dāng)物理服務(wù)器資源被過度利用時(shí)，將會出現(xiàn)硬件設(shè)備負(fù)載過重，運(yùn)行性能下降，甚至硬件故障或系統(tǒng)崩潰等嚴(yán)重情況。當(dāng)某物理服務(wù)器出現(xiàn)嚴(yán)重可靠性問題或重大硬件故障引起宕機(jī)時(shí)，其上運(yùn)行的所有虛擬機(jī)都將停機(jī)，此時(shí)和上述虛擬機(jī)相關(guān)應(yīng)用都將停止運(yùn)行，這相較于傳統(tǒng)IT架構(gòu)中一臺服務(wù)器停機(jī)只導(dǎo)致一個(gè)應(yīng)用中斷所帶來的風(fēng)險(xiǎn)要嚴(yán)重得多。

3、數(shù)據(jù)完整性和保密性風(fēng)險(xiǎn)

云平臺數(shù)據(jù)完整性和保密性也是等保2.0中的重要要求，包括對動態(tài)及靜態(tài)數(shù)據(jù)的隔離、保護(hù)以及殘余數(shù)據(jù)的清除，以確保在整個(gè)傳輸、處理、存儲及消除過程中數(shù)據(jù)資源的保密性、完整性與可用性�？v然整個(gè)保護(hù)過程有訪問管理、防火墻等安全性技術(shù)的支撐，但是由于云計(jì)算架構(gòu)特點(diǎn)使得數(shù)據(jù)仍然存在著各個(gè)不同分散空間，很難保證數(shù)據(jù)在訪問、傳輸過程中不被泄露。倘若沒有較為完善的數(shù)據(jù)保密機(jī)制和相關(guān)的權(quán)限設(shè)置，那么將會提高云平臺中數(shù)據(jù)被訪問和竊取的更大風(fēng)險(xiǎn)。

4、病毒及惡意代碼風(fēng)險(xiǎn)

在數(shù)據(jù)中心云平臺中，虛擬機(jī)均選擇穩(wěn)定、可靠的模板進(jìn)行派生，若模板中存在某種系統(tǒng)漏洞或植入了木馬，則每個(gè)虛擬機(jī)均會存在該漏洞，植入的木馬很可能橫向完成滲透，在破壞系統(tǒng)可用性的同時(shí)，故意造成混亂和脆弱性，降低被發(fā)現(xiàn)的可能。此外，虛擬機(jī)數(shù)據(jù)的集中存儲，以及虛擬機(jī)IP地址的連續(xù)性，均給病毒傳播提供了便利條件。

建議及策略

云平臺背景下的網(wǎng)絡(luò)安全等級保護(hù)必須以等保政策和技術(shù)標(biāo)準(zhǔn)為依據(jù)，結(jié)合需求和技術(shù)現(xiàn)狀，確保云平臺的自主、安全、可信和高效利用是維護(hù)網(wǎng)絡(luò)信息安全，有效利用網(wǎng)絡(luò)空間的核心關(guān)鍵。

1、做好云平臺部署前系統(tǒng)評估

在云平臺部署之前須做好虛擬化技術(shù)應(yīng)用和建設(shè)的調(diào)研、評估等準(zhǔn)備，將部署風(fēng)險(xiǎn)降到最低，確保獲得長遠(yuǎn)效益。具體來說，首先需做好業(yè)務(wù)目標(biāo)評估，使云平臺建設(shè)目標(biāo)與業(yè)務(wù)發(fā)展目標(biāo)一致；其次需做好應(yīng)用環(huán)境評估，重點(diǎn)考慮現(xiàn)有軟件、硬件及網(wǎng)絡(luò)環(huán)境是否滿足虛擬化部署要求；第三做好技術(shù)水平評估，著重關(guān)注技術(shù)人員是否具有較強(qiáng)的業(yè)務(wù)技能，能否高效解決部署過程中出現(xiàn)的相應(yīng)問題。

2、強(qiáng)化安全管理技術(shù)策略

在云平臺部署過程中，要從管理策略的角度防范風(fēng)險(xiǎn)。在管理措施方面，須嚴(yán)格遵守信息系統(tǒng)安全管理規(guī)范，虛擬服務(wù)器的審計(jì)策略和安全防護(hù)策略須與物理服務(wù)器一致，定期備份監(jiān)控主機(jī)和虛擬服務(wù)器上的安全日志和事件日志；在用戶權(quán)限管理方面，必須遵循最低權(quán)限原則，管理人員權(quán)限須與其工作職責(zé)匹配，禁止共享賬號；在監(jiān)督管理方面，云平臺中采用的虛擬化監(jiān)控工具必須能夠檢測到虛擬機(jī)各類異�，F(xiàn)象以及未經(jīng)授權(quán)行為，虛擬機(jī)數(shù)量必須嚴(yán)格處于監(jiān)控之下，努力減少入侵攻擊面。

3、提高數(shù)據(jù)的安全性和保密性

在網(wǎng)絡(luò)數(shù)據(jù)存儲過程中進(jìn)行加密處理是保障數(shù)據(jù)安全性和保密性的有效方式。一方面， 選擇信譽(yù)度高的云服務(wù)提供商，確保服務(wù)提供商能夠?qū)ψ陨硇袨樨?fù)責(zé)，擁有專業(yè)的技術(shù)團(tuán)隊(duì)，減少信息數(shù)據(jù)泄露，降低用戶信息泄露的風(fēng)險(xiǎn)。另一方面， 要采用加密技術(shù)高、破解難度大的主流加密技術(shù)和程序如pgp、truecrypt、hushmail來應(yīng)對安全和保密風(fēng)險(xiǎn)。同時(shí)采用vontu、websense等過濾器用于數(shù)據(jù)監(jiān)控，阻攔敏感數(shù)據(jù)。

4、強(qiáng)化云平臺安全技術(shù)措施

安全技術(shù)是安全控制的重要手段，安全技術(shù)措施主要包括控制虛擬機(jī)蔓延、隔離虛擬機(jī)以及常規(guī)性安全防護(hù)等措施。在技術(shù)安全防護(hù)上一是 必須對虛擬機(jī)進(jìn)行嚴(yán)格審核、監(jiān)控和追蹤，防止虛擬機(jī)失控蔓延；二是 為確保虛擬化平臺通信安全，必須通過劃分vlan對虛擬機(jī)進(jìn)行邏輯隔離，在業(yè)務(wù)、管理、測試業(yè)務(wù)應(yīng)用中通過虛擬網(wǎng)實(shí)現(xiàn)隔離；三是 常規(guī)性安全防護(hù)須嚴(yán)格遵守信息系統(tǒng)安全管理規(guī)范，部署防病毒軟件，及時(shí)安裝操作系統(tǒng)補(bǔ)�。凰氖� 強(qiáng)化虛擬機(jī)外置設(shè)備（如U盤、光驅(qū)等）管理，切斷病毒的傳入渠道，掛起或者關(guān)掉暫不使用的虛擬機(jī)。

數(shù)據(jù)中心云平臺防護(hù)體系應(yīng)當(dāng)依據(jù)網(wǎng)絡(luò)安全等級保護(hù)的思想，以數(shù)據(jù)中心云平臺的安全需求出發(fā)，用技術(shù)和管理充分保護(hù)數(shù)據(jù)中心云平臺信息安全，從全生命周期確保數(shù)據(jù)中心云平臺的安全建設(shè)符合等保要求，將安全理念貫穿數(shù)據(jù)中心云平臺建設(shè)、整改、測評、運(yùn)維全過程，做到等保成果的可視化，安全工作的持久化。