摘　要：信息技術(shù)與現(xiàn)代生活及生產(chǎn)互相交融、不可分割，各國(guó)都把信息化作為本國(guó)重要的發(fā)展方向，依托信息化建設(shè)提高資源協(xié)作效率，推動(dòng)技術(shù)創(chuàng)新，提高綜合國(guó)力。在此背景下，云計(jì)算作為信息化基石，其安全性異常重要。由于傳統(tǒng)的安全防護(hù)體系不再適用于云計(jì)算安全建設(shè)，因此，依據(jù)滑動(dòng)標(biāo)尺模型，結(jié)合等級(jí)保護(hù)制度，以軟件定義安全、分層防御、區(qū)域自治、全面納管的思想，從云環(huán)境識(shí)別、邊界安全設(shè)計(jì)、云內(nèi)安全設(shè)計(jì)、特權(quán)管理、安全管控 5 個(gè)方面對(duì)今后云計(jì)算安全防護(hù)提出理論指導(dǎo)。

內(nèi)容目錄：

1　云計(jì)算平臺(tái)面臨的安全挑戰(zhàn)
1.1　新興風(fēng)險(xiǎn)和傳統(tǒng)風(fēng)險(xiǎn)會(huì)在云計(jì)算長(zhǎng)時(shí)間演進(jìn)下持續(xù)并存
1.2　用戶需進(jìn)一步提高對(duì)云計(jì)算平臺(tái)的全面系統(tǒng)性安全建設(shè)認(rèn)知
1.3　云計(jì)算安全日益嚴(yán)峻，面臨更大的安全挑戰(zhàn)
2　各行業(yè)在云計(jì)算安全建設(shè)上的誤區(qū)
2.1　缺乏整體視角構(gòu)建云上安全，安全及運(yùn)營(yíng)存在割裂
2.2　缺乏云內(nèi)外安全態(tài)勢(shì)，安全需要統(tǒng)管、統(tǒng)知
3　面向云計(jì)算安全防護(hù)建設(shè)的方法和要點(diǎn)
3.1　概念闡釋
3.2　云安全建設(shè)思想
3.3　總體設(shè)計(jì)方式
3.4　云安全建設(shè)要點(diǎn)
4　建設(shè)成效
4.1　全面防護(hù)云計(jì)算平臺(tái)，有效提供云上安全防護(hù)需求
4.2　云安全能力與云業(yè)務(wù)緊密結(jié)合，使云上業(yè)務(wù)服務(wù)更加安全
4.3　云安全能力與整體業(yè)務(wù)流程相結(jié)合，實(shí)現(xiàn)云上一體化的安全防護(hù)
5　結(jié)　語

互聯(lián)網(wǎng)與人類生產(chǎn)生活不斷地進(jìn)行交匯融合，世界各國(guó)都把推進(jìn)國(guó)家數(shù)字化作為實(shí)現(xiàn)創(chuàng)新發(fā)展、提高綜合國(guó)力的重要方向。時(shí)至今日，席卷全球的數(shù)字化浪潮已對(duì)各國(guó)經(jīng)濟(jì)發(fā)展、社會(huì)治理、人民生活產(chǎn)生了重大影響。數(shù)字化算力的高速發(fā)展促使新的技術(shù)應(yīng)用概念被不斷提出，如智慧政務(wù)、智慧城市、智慧醫(yī)療、智慧交通等，這些新的互聯(lián)網(wǎng) + 概念的提出無疑是來自云計(jì)算的全面深入應(yīng)用，讓當(dāng)前社會(huì)的生產(chǎn)效率大幅提升。傳統(tǒng)網(wǎng)絡(luò)信息架構(gòu)提供的傳統(tǒng)算力與云計(jì)算平臺(tái)提供的全新算力，在技術(shù)采用、建設(shè)理念和管理方式等方面存在巨大差異，傳統(tǒng)的安全防護(hù)體系已不再適用于承擔(dān)如今云化進(jìn)程中的安全防護(hù)任務(wù)。

1 云計(jì)算平臺(tái)面臨的安全挑戰(zhàn)

1.1　新興風(fēng)險(xiǎn)和傳統(tǒng)風(fēng)險(xiǎn)會(huì)在云計(jì)算長(zhǎng)時(shí)間演進(jìn)下持續(xù)并存

云計(jì)算將傳統(tǒng)的算力供應(yīng)方式進(jìn)行了顛覆式的改變，高效、彈性、按需貫穿了整個(gè)云計(jì)算的使命核心，但資源的使用方式本質(zhì)上并沒有發(fā)生變化，如業(yè)務(wù)形態(tài)、運(yùn)行環(huán)境等，繼承了傳統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)下業(yè)務(wù)運(yùn)行方式。因此，云數(shù)據(jù)中心同樣沒有將傳統(tǒng)數(shù)據(jù)中心“一刀切”式地全部摒棄，這進(jìn)一步說明了傳統(tǒng)數(shù)據(jù)中心向云數(shù)據(jù)中心演變不是一蹴而就的。安全體系也是如此，它需要有效應(yīng)對(duì)傳統(tǒng)風(fēng)險(xiǎn)與新興風(fēng)險(xiǎn)長(zhǎng)期并存的局面。

1.2　用戶需進(jìn)一步提高對(duì)云計(jì)算平臺(tái)的全面系統(tǒng)性安全建設(shè)認(rèn)知

云計(jì)算從虛擬化技術(shù)到傳統(tǒng)數(shù)據(jù)中心云化的高速發(fā)展期僅用了約 10 年時(shí)間。此前，大部分用戶采用傳統(tǒng)數(shù)據(jù)中心安全方式進(jìn)行建設(shè)，云化后繼續(xù)沿用了傳統(tǒng)安全防護(hù)經(jīng)驗(yàn)指導(dǎo)云數(shù)據(jù)中心的安全建設(shè)，由于傳統(tǒng)數(shù)據(jù)中心和云技術(shù)中心在 IT 結(jié)構(gòu)、安全運(yùn)營(yíng)方面具有較大差異，因而對(duì)于云計(jì)算安全建設(shè)方法，用戶普遍認(rèn)識(shí)不高。尤其是云計(jì)算具有多層次的網(wǎng)絡(luò)縱深、多種角色的 IT 活動(dòng)、多形態(tài)的服務(wù)特點(diǎn)，這就導(dǎo)致其與現(xiàn)有運(yùn)行業(yè)務(wù)和安全管理脫節(jié)，無法有效地保護(hù)現(xiàn)有云上業(yè)務(wù)安全運(yùn)行。

1.3　云計(jì)算安全日益嚴(yán)峻，面臨更大的安全挑戰(zhàn)

云計(jì)算的出現(xiàn)并沒有改變?cè)械陌踩L(fēng)險(xiǎn)。作為新引入的技術(shù)，云計(jì)算帶來了新的安全暴露面，加上云數(shù)據(jù)中心是應(yīng)用、流量、數(shù)據(jù)的大型集散地，因此云數(shù)據(jù)中心被越來越多的破壞者注意。目前，對(duì)云數(shù)據(jù)中心的攻擊呈現(xiàn)隱匿、動(dòng)態(tài)的特性，常以單點(diǎn)爆破、橫向擴(kuò)散為手段進(jìn)行云上攻擊，因此，當(dāng)以云計(jì)算的彈性、動(dòng)態(tài)等特點(diǎn)為業(yè)務(wù)提供方便時(shí)，對(duì)安全也提出了新考驗(yàn)，導(dǎo)致靜態(tài)的安全體系無法適應(yīng)動(dòng)態(tài)變化的節(jié)奏。

2 各行業(yè)在云計(jì)算安全建設(shè)上的誤區(qū)

2.1　缺乏整體視角構(gòu)建云上安全，安全及運(yùn)營(yíng)存在割裂

多數(shù)行業(yè)用戶由于缺乏整體安全防護(hù)視角下的云安全規(guī)劃建設(shè)，導(dǎo)致企業(yè)在安全建設(shè)當(dāng)中存在缺失和不足。例如，云計(jì)算安全建設(shè)往往不能覆蓋安全滑動(dòng)標(biāo)尺模型要求的基礎(chǔ)架構(gòu)安全、縱深防護(hù)安全、主動(dòng)防御、威脅情報(bào)等安全能力；又因歷史原因，企業(yè)的安全建設(shè)、制度建設(shè)往往只關(guān)注傳統(tǒng)網(wǎng)絡(luò)環(huán)境下的業(yè)務(wù)安全保障，而忽略了整個(gè)云化進(jìn)程帶來的與傳統(tǒng)業(yè)務(wù)混合緊密結(jié)合的云數(shù)據(jù)中心，從而衍生出云計(jì)算平臺(tái)多種安全風(fēng)險(xiǎn)。由于云業(yè)務(wù)具有極強(qiáng)的運(yùn)營(yíng)屬性，在面向企業(yè)客戶提供云基礎(chǔ)服務(wù)時(shí)往往需要一起提供安全服務(wù)，但當(dāng)前云計(jì)算安全建設(shè)往往與信息化建設(shè)存在一定的割裂，安全能力無法與云業(yè)務(wù)有效結(jié)合，從而導(dǎo)致安全服務(wù)游離于云基礎(chǔ)服務(wù)之外，安全效果得不到保障。

2.2　缺乏云內(nèi)外安全態(tài)勢(shì)，安全需要統(tǒng)管、統(tǒng)知

云計(jì)算作為信息化基礎(chǔ)設(shè)施，云平臺(tái)本身可以成為一個(gè)完整的生態(tài)環(huán)境，所以企業(yè)需要構(gòu)建對(duì)云上生態(tài)的感知能力，但當(dāng)前建設(shè)情況差強(qiáng)人意，要么云上感知缺失，要么沒有與企業(yè)整體安全態(tài)勢(shì)聯(lián)通，從而無法將云安全情況與企業(yè)安全情況聯(lián)動(dòng)，導(dǎo)致云安全體系保障效果大打折扣，也降低了云數(shù)據(jù)中心的服務(wù)效能。

3 面向云計(jì)算安全防護(hù)建設(shè)的方法和要點(diǎn)

3.1　概念闡釋

所謂云計(jì)算安全防護(hù)，是基于私有云模式，基于基礎(chǔ)設(shè)施即服務(wù)（Infrastructure as a Service，IaaS）、平臺(tái)即服務(wù)（Platform as a Service，PaaS）、基礎(chǔ)設(shè)施即服務(wù)（Infrastructure as a Service，SaaS）層不同云服務(wù)類型，結(jié)合云技術(shù)本身彈性拓展、虛擬化等特點(diǎn)，依據(jù)滑動(dòng)標(biāo)尺模型、等級(jí)保護(hù)要求采用全面覆蓋、深度融合的方式規(guī)劃設(shè)計(jì)云計(jì)算安全能力，利用統(tǒng)一規(guī)劃、同步建設(shè)、同步運(yùn)營(yíng)原則，從工程設(shè)計(jì)角度出發(fā)，多維度地構(gòu)建云計(jì)算平臺(tái)的安全防護(hù)體系 。

3.2　云安全建設(shè)思想

3.2.1　軟件定義安全

軟件定義安全是面向云的數(shù)據(jù)中心安全防護(hù)的基礎(chǔ)。面對(duì)云計(jì)算彈性、動(dòng)態(tài)的特性，通過軟件定義安全，實(shí)現(xiàn)對(duì)原有安全能力的改造創(chuàng)新，將安全能力軟件化、服務(wù)化、資源池化，使其真正適應(yīng)云數(shù)據(jù)中心的變化。

3.2.2　分層防御，區(qū)域自治

與傳統(tǒng)數(shù)據(jù)中心不同，云數(shù)據(jù)中心是多層次、 多 角 色 的。針 對(duì) 云 計(jì) 算 IaaS、PaaS、SaaS不同層次的安全需要，設(shè)計(jì)不同的安全能力進(jìn)行防護(hù)，使得每個(gè)層次能夠獨(dú)立進(jìn)行安全管控和運(yùn)營(yíng)。同時(shí)，整體設(shè)計(jì)云安全中心，對(duì)全局維度的云數(shù)據(jù)中心安全能力進(jìn)行統(tǒng)一監(jiān)控、管理、運(yùn)營(yíng)。

3.2.3　聚合業(yè)務(wù)，全面納管

將云安全組件結(jié)合到云的各個(gè)信息化層次中，并將云安全能力聚合到云數(shù)據(jù)中心的信息化業(yè)務(wù)中，可以實(shí)現(xiàn)對(duì)云主機(jī)、云網(wǎng)絡(luò)、中間件、數(shù)據(jù)等云資源的全面安全納管，確保安全成為云數(shù)據(jù)中心信息化的組成部分，落實(shí)安全對(duì)云數(shù)據(jù)中心的全面覆蓋和深度融合。

3.3　總體設(shè)計(jì)方式

建設(shè)云計(jì)算平臺(tái)安全體系，要基于云服務(wù)交付安全和基礎(chǔ)云平臺(tái)安全兩大方面開展，借鑒滑動(dòng)標(biāo)尺模型概念、等級(jí)保護(hù)要求，按照基礎(chǔ)架構(gòu)、縱深防御、主動(dòng)防御、威脅情報(bào) 4 個(gè)層級(jí)和安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心 5 個(gè)方面進(jìn)行綜合分析，然后進(jìn)行總體架構(gòu)建設(shè)，從而全面覆蓋云計(jì)算平臺(tái)安全需求，并做到安全深度結(jié)合云平臺(tái)相關(guān)業(yè)務(wù) 。云計(jì)算平臺(tái)能力體系如圖 1 所示。

圖 1　云計(jì)算平臺(tái)能力體系

滑動(dòng)標(biāo)尺模型：該模型是由美國(guó)系統(tǒng)網(wǎng)絡(luò)安全協(xié)會(huì)于 2015 年提出的一種科學(xué)規(guī)劃網(wǎng)絡(luò)安全建設(shè)投入的滑動(dòng)標(biāo)尺模型。該模型將網(wǎng)絡(luò)安全體系建設(shè)過程階段化，按照每個(gè)階段的建設(shè)水平對(duì)安全防護(hù)能力進(jìn)行評(píng)估，從而指導(dǎo)企業(yè)未來在安全防護(hù)能力方面的建設(shè)。目前，該模型的防護(hù)思路在國(guó)內(nèi)一些領(lǐng)先機(jī)構(gòu)的網(wǎng)絡(luò)安全規(guī)劃與建設(shè)中被借鑒與使用。

等級(jí)保護(hù)：《中華人民共和國(guó)網(wǎng)絡(luò)安全法》頒布施行后，等級(jí)保護(hù) 2.0 被提出作為《網(wǎng)絡(luò)安全法》落地執(zhí)行的國(guó)家非涉密信息系統(tǒng)防護(hù)標(biāo)準(zhǔn)。為落實(shí)相關(guān)安全能力，企業(yè)機(jī)構(gòu)應(yīng)該按照如下步驟進(jìn)行云計(jì)算平臺(tái)防護(hù)建設(shè)，安全建設(shè)流程如圖 2 所示。

圖 2　安全建設(shè)流程

步驟 1：云環(huán)境識(shí)別。先識(shí)別云計(jì)算平臺(tái)的IT 環(huán)境、業(yè)務(wù)環(huán)境，包括自身業(yè)務(wù)情況以及關(guān)聯(lián)性，對(duì)外交付云業(yè)務(wù)、云資產(chǎn) IT 業(yè)務(wù)、運(yùn)維管理業(yè)務(wù)等內(nèi)容，確認(rèn)資源（網(wǎng)絡(luò)、存儲(chǔ)）占用情況，保障網(wǎng)絡(luò)健壯性、后期業(yè)務(wù)增長(zhǎng)拓展性及業(yè)務(wù)屬性，從而挑選合適的安全能力。

步驟 2：對(duì)外邊界防護(hù)設(shè)計(jì)。基于步驟 1 的結(jié)論，圍繞云計(jì)算對(duì)外邊界接入點(diǎn)設(shè)計(jì)，基于風(fēng)險(xiǎn)和業(yè)務(wù)需求選擇所需要的接入點(diǎn)安全能力，比如企業(yè)內(nèi)部接入點(diǎn)、互聯(lián)網(wǎng)接入點(diǎn)等。

步驟 3：云內(nèi)安全能力設(shè)計(jì)。基于步驟 1 識(shí)別到的業(yè)務(wù)結(jié)論，對(duì)網(wǎng)絡(luò)、云工作負(fù)載兩方面著手進(jìn)行設(shè)計(jì)，配合威脅誘捕云內(nèi)異常流量、威脅文件，具備檢測(cè)、發(fā)現(xiàn)、告警、聚合分析、情況判定、威脅聯(lián)合處置，以及云內(nèi)可視、云內(nèi)可管的基本能力。

步驟 4：云特權(quán)操作管控設(shè)計(jì)。云內(nèi)特權(quán)操作是非常值得關(guān)注的，需要圍繞云基礎(chǔ)平臺(tái)特權(quán)、云交付業(yè)務(wù)特權(quán)兩方面進(jìn)行管控：一是分配完權(quán)限后進(jìn)行嚴(yán)格管理，非必要不使用；二是遵守權(quán)限最小原則進(jìn)行權(quán)限分配，過期賬號(hào)、弱口令賬號(hào)及時(shí)清理。

步驟 5：云內(nèi)外整體安全管控設(shè)計(jì)。云內(nèi)外安全打通，納入集中管理平臺(tái)，將步驟 3 的基礎(chǔ)安全能力做到統(tǒng)一管控，同時(shí)，集中開展安全策略、運(yùn)行狀態(tài)、風(fēng)險(xiǎn)處置，將所有安全探針收集到的安全日志進(jìn)行聚合分析、聯(lián)合研判。

3.4　云安全建設(shè)要點(diǎn)

3.4.1　云環(huán)境識(shí)別

識(shí)別云數(shù)據(jù)中心的接入邊界，將其作為云安全邊界防護(hù)的重要信息輸入。一般政企機(jī)構(gòu)的云數(shù)據(jù)中心邊界包括：企業(yè)網(wǎng)（骨干網(wǎng)）接入邊界、互聯(lián)網(wǎng)接入邊界、公有云接入邊界等，部分機(jī)構(gòu)還可能存在專有云接入邊界。

3.4.2　云資源識(shí)別

識(shí)別被保護(hù)的云資源的詳細(xì)屬性信息，將其作為云安全能力設(shè)計(jì)的重要信息，具體屬性包括：虛擬機(jī)資產(chǎn)、虛擬網(wǎng)絡(luò)、中間件、云上應(yīng)用系統(tǒng)、云基礎(chǔ)平臺(tái)硬件、虛擬化軟件及管理組件等。需要識(shí)別相關(guān)云資源的類別、所屬系統(tǒng)、重要程度、部署位置、歸口管理等。

3.4.3　云服務(wù)交付業(yè)務(wù)識(shí)別

識(shí)別政企機(jī)構(gòu)的云服務(wù)交付業(yè)務(wù)是一項(xiàng)重要工作，需明確云服務(wù)交付的業(yè)務(wù)類型是 IaaS、PaaS、SaaS 中的一種或者其組合。針對(duì)每一種業(yè)務(wù)類型，需要明確其內(nèi)部服務(wù)對(duì)象、外部服務(wù)對(duì)象、訪問關(guān)系、申請(qǐng)及管理方式、權(quán)限情況等。尤其是在使用混合云的情況下，要明確其 IT 責(zé)任，以確定安全服務(wù)等級(jí)協(xié)議（Service Level Agreement，SLA）要求。

3.4.4　云運(yùn)維管理業(yè)務(wù)識(shí)別

識(shí)別運(yùn)維管理場(chǎng)景的業(yè)務(wù)包括云內(nèi)運(yùn)維管理、云平臺(tái)運(yùn)維管理。需明確運(yùn)維管理用戶的屬性、訪問方式、權(quán)限設(shè)定、賬號(hào)管理的機(jī)制等內(nèi)容。

3.4.5　協(xié)同識(shí)別

在面向云的數(shù)據(jù)中心安全防護(hù)建設(shè)的過程中，應(yīng)識(shí)別企業(yè)相關(guān)部門的參與，而不僅僅是云安全建設(shè)團(tuán)隊(duì)的參與。一般企業(yè)典型的相關(guān)建設(shè)方至少應(yīng)包括企業(yè)的安全管理部門、安全運(yùn)營(yíng)組、網(wǎng)絡(luò)及系統(tǒng)管理組、應(yīng)用系統(tǒng)開發(fā)組、應(yīng)用系統(tǒng)運(yùn)維組、云平臺(tái)項(xiàng)目組及 IT 服務(wù)中心。同時(shí)，還應(yīng)識(shí)別相關(guān)對(duì)接系統(tǒng)，一般包括身份管理與訪問控制平臺(tái)、安全態(tài)勢(shì)感知平臺(tái)、系統(tǒng)安全平臺(tái)、內(nèi)部威脅感知平臺(tái)、運(yùn)維管理系統(tǒng)、云平臺(tái)管理系統(tǒng)等。

3.4.6　對(duì)外邊界防護(hù)建設(shè)要點(diǎn)

建設(shè)面向企業(yè)內(nèi)網(wǎng)的云數(shù)據(jù)中心安全接入點(diǎn)，在安全接入點(diǎn)對(duì)進(jìn)出云數(shù)據(jù)中心的網(wǎng)絡(luò)流量進(jìn)行網(wǎng)絡(luò)層訪問控制、流量監(jiān)控及威脅檢測(cè)，實(shí)現(xiàn)對(duì)云數(shù)據(jù)中心內(nèi)部邊界的風(fēng)險(xiǎn)收斂及網(wǎng)絡(luò)安全防護(hù)。

建設(shè)面向互聯(lián)網(wǎng)的外部安全接入點(diǎn)，在外部安全接入點(diǎn)對(duì)來自互聯(lián)網(wǎng)的網(wǎng)絡(luò)流量進(jìn)行網(wǎng)絡(luò)層訪問控制、流量監(jiān)控及威脅檢測(cè)，實(shí)現(xiàn)對(duì)云數(shù)據(jù)中心外部邊界的風(fēng)險(xiǎn)收斂及網(wǎng)絡(luò)安全防護(hù)。

建設(shè)面向公有云的公有云安全接入點(diǎn)，對(duì)連接公有云的網(wǎng)絡(luò)流量進(jìn)行網(wǎng)絡(luò)層訪問控制、流量監(jiān)控及威脅檢測(cè)，實(shí)現(xiàn)對(duì)公有云專線接入的風(fēng)險(xiǎn)收斂及網(wǎng)絡(luò)安全防護(hù)。

3.4.7　云內(nèi)安全能力建設(shè)要點(diǎn)

在云邊界建設(shè)共享的、資源可編排的網(wǎng)絡(luò)安全棧，針對(duì)進(jìn)出各應(yīng)用系統(tǒng)區(qū)、專有云區(qū)、非安全系統(tǒng)與安全系統(tǒng)之間的緩沖區(qū)（Demilitarized Zone，DMZ）、系統(tǒng)安全服務(wù)區(qū)的流量提供訪問 控 制、Web 應(yīng) 用 防 護(hù) 系 統(tǒng)（Web Application Firewall，WAF）、內(nèi)網(wǎng)虛擬專用網(wǎng)絡(luò)（Virtual Private Network，VPN）、 應(yīng) 用 安 全 代 理、應(yīng) 用 程 序 編 程 接 口（Application Programming Interface，API）安全代理、負(fù)載均衡、零信任訪問控制等安全服務(wù)，實(shí)現(xiàn)對(duì)云服務(wù)交付層的邊界網(wǎng)絡(luò)訪問控制及應(yīng)用安全防護(hù) 。

在云內(nèi)建設(shè)數(shù)據(jù)中心統(tǒng)一的、資源可編排的系統(tǒng)安全服務(wù)，針對(duì)各應(yīng)用系統(tǒng)區(qū)、DMZ 區(qū)、系統(tǒng)安全服務(wù)區(qū)的系統(tǒng)、容器的安全管理，提供軟件更新、補(bǔ)丁分發(fā)、安全漏洞掃描、配置核查、防病毒、堡壘機(jī)、日志采集等安全服務(wù)，實(shí)現(xiàn)對(duì)云服務(wù)交付層的系統(tǒng)級(jí)安全管理和安全運(yùn)行支撐。

建設(shè)云安全資源池，針對(duì)各應(yīng)用系統(tǒng)區(qū)的內(nèi)部網(wǎng)絡(luò)、容器網(wǎng)絡(luò)，提供網(wǎng)絡(luò)訪問控制、應(yīng)用安全代理、API 安全代理、零信任訪問控制等安全服務(wù)，并作為容納承載密碼、數(shù)據(jù)安全、應(yīng)用安全等其他安全組件的資源池 。

基于分層自治的原則，協(xié)同網(wǎng)絡(luò)對(duì)云基礎(chǔ)平臺(tái)按照存儲(chǔ)、計(jì)算、管理的物理網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行劃分隔離、執(zhí)行白名單訪問控制、收縮硬件管理接口、實(shí)施虛擬化系統(tǒng)統(tǒng)一管理，通過平臺(tái)底層的嚴(yán)格控制保障云服務(wù)交付層的靈活應(yīng)用。在管理區(qū)為云基礎(chǔ)平臺(tái)提供補(bǔ)丁分發(fā)、堡壘機(jī)、日志采集等安全能力，實(shí)現(xiàn)對(duì)云基礎(chǔ)平臺(tái)的系統(tǒng)安全管理和安全運(yùn)行支撐。

3.4.8　云特權(quán)操作管控建設(shè)要點(diǎn)

建設(shè)云特權(quán)操作管控系統(tǒng)、平臺(tái)特權(quán)操作管控系統(tǒng)，應(yīng)與統(tǒng)一身份管理平臺(tái)對(duì)接，由統(tǒng)一身份管理平臺(tái)實(shí)現(xiàn)對(duì)云平臺(tái)管理用戶、業(yè)務(wù)管理用戶、應(yīng)用運(yùn)維管理用戶、云數(shù)據(jù)庫管理員等特權(quán)賬號(hào)的管理，并基于屬性的訪問控制模型（Attribute-Based Acces Control，ABAC）開展特權(quán)用戶操作和零信任訪問控制，有效降低資源管控、運(yùn)行維護(hù)等操作的安全風(fēng)險(xiǎn)。

3.4.9　云內(nèi)外整體安全管控建設(shè)要點(diǎn)

建設(shè)云安全管理中心，為網(wǎng)絡(luò)安全棧、系統(tǒng)安全服務(wù)、云安全資源池、云特權(quán)操作管控等提供統(tǒng)一的控制平面，并與云環(huán)境控制平面進(jìn)行集成，支撐對(duì)混合云環(huán)境下的全局安全策略管控。

將云數(shù)據(jù)中心的安全數(shù)據(jù)接入安全態(tài)勢(shì)感知平臺(tái)，并向其開放控制接口，實(shí)現(xiàn)對(duì)云數(shù)據(jù)中心的整體安全監(jiān)控及處置響應(yīng)。

在面向云的數(shù)據(jù)中心安全防護(hù)建設(shè)的過程中，需要打通身份管理與訪問控制平臺(tái)、安全態(tài)勢(shì)感知平臺(tái)、系統(tǒng)安全平臺(tái)、內(nèi)部威脅感知平臺(tái)、運(yùn)維管理系統(tǒng)、云平臺(tái)管理系統(tǒng)的接口互聯(lián)，確保關(guān)鍵的身份數(shù)據(jù)、資產(chǎn)數(shù)據(jù)、風(fēng)險(xiǎn)數(shù)據(jù)得以流轉(zhuǎn)，實(shí)現(xiàn)在面向云數(shù)據(jù)中心的同時(shí)又能夠協(xié)同企業(yè)整體安全防護(hù)體系的體系化運(yùn)作。

4 建設(shè)成效

4.1　全面防護(hù)云計(jì)算平臺(tái)，有效提供云上安全防護(hù)需求

通過開展面向云計(jì)算平臺(tái)的安全防護(hù)建設(shè)，可以構(gòu)建全面覆蓋云計(jì)算平臺(tái)的各類場(chǎng)景需求的云安全能力，能夠滿足云計(jì)算平臺(tái)的接入邊界安全防護(hù)，保障云計(jì)算平臺(tái)自身安全運(yùn)行，構(gòu)建云服務(wù)交付層的、面向企業(yè)用戶的安全服務(wù)能力，確保云計(jì)算平臺(tái)的開發(fā)、運(yùn)維等特權(quán)操作安全，從而實(shí)現(xiàn)云計(jì)算平臺(tái)安全防護(hù)的全面性。

4.2　云安全能力與云業(yè)務(wù)緊密結(jié)合，使云上業(yè)務(wù)服務(wù)更加安全

通過開展面向云計(jì)算平臺(tái)的安全防護(hù)建設(shè)，可以將云安全能力嵌入云業(yè)務(wù)流程中。在云資源及云業(yè)務(wù)的產(chǎn)生、使用、更改、存儲(chǔ)、注銷等環(huán)節(jié)同步進(jìn)行安全管理，將安全能力變成云運(yùn)營(yíng)業(yè)務(wù)的一部分，在企業(yè)開展云服務(wù)業(yè)務(wù)的同時(shí)同步交付云安全服務(wù)。

4.3　云安全能力與整體業(yè)務(wù)流程相結(jié)合，實(shí)現(xiàn)云上一體化的安全防護(hù)

通過開展面向云計(jì)算平臺(tái)的安全防護(hù)建設(shè)，以滑動(dòng)標(biāo)尺為依據(jù)，在云上構(gòu)建安全合規(guī)及態(tài)勢(shì)感知能力，并體系化地實(shí)現(xiàn)與企業(yè)級(jí)的態(tài)勢(shì)感知平臺(tái)、身份平臺(tái)、密碼平臺(tái)的互聯(lián)互通，確保云安全防護(hù)不是一個(gè)獨(dú)立、割裂的區(qū)域，而是企業(yè)整體安全體系的一環(huán)，并為數(shù)據(jù)安全、應(yīng)用安全等領(lǐng)域提供承載環(huán)境和執(zhí)行點(diǎn)，真正發(fā)揮體系化安全防護(hù)的效力。

5 結(jié)　語

本文通過對(duì)云計(jì)算平臺(tái)安全風(fēng)險(xiǎn)以及各行業(yè)在云安全建設(shè)中出現(xiàn)的建設(shè)誤區(qū)安全問題的研究，建議在建設(shè)云安全時(shí)做到統(tǒng)一規(guī)劃、同步建設(shè)、同步運(yùn)營(yíng)，以軟件定義安全，通過云特性的安全來提供安全服務(wù)，按照分層防御、區(qū)域自治、統(tǒng)一納管的原則，結(jié)合滑動(dòng)標(biāo)尺架構(gòu)和等級(jí)保護(hù)制度來構(gòu)建云計(jì)算平臺(tái)各類場(chǎng)景需求的云安全能力，在滿足云計(jì)算平臺(tái)接入邊界安全防護(hù)的同時(shí)，保障云平臺(tái)自身安全運(yùn)行，構(gòu)建云服務(wù)、云基礎(chǔ)平臺(tái)層面向用戶的安全服務(wù)能力，確保云數(shù)據(jù)的開發(fā)、運(yùn)維等特權(quán)安全，全面實(shí)現(xiàn)云計(jì)算平臺(tái)安全防護(hù)。

引用格式：曹海杰 . 一種基于等保和滑動(dòng)標(biāo)尺模型的云安全系統(tǒng)性建設(shè)方法 [J]. 信息安全與通信保密 ,2023(9):79-86.
作者簡(jiǎn)介 >>>
曹海杰，男，學(xué)士，云計(jì)算解決方案專家，主要研究方向?yàn)樵朴?jì)算、信息安全、網(wǎng)絡(luò)通信。
選自《信息安全與通信保密》2023年第9期（為便于排版，已省去原文參考文獻(xiàn)）
重要聲明：本文來自信息安全與通信保密雜志社，經(jīng)授權(quán)轉(zhuǎn)載，版權(quán)歸原作者所有，不代表銳成觀點(diǎn)，轉(zhuǎn)載的目的在于傳遞更多知識(shí)和信息。