業(yè)務(wù)挑戰(zhàn)
近年來，央企通過基礎(chǔ)設(shè)施云平臺(tái)的實(shí)施和推廣，建設(shè)了包括私有云、公有云及專有云在內(nèi)的“一朵云”整體框架，為集團(tuán)化應(yīng)用系統(tǒng)以及集團(tuán)數(shù)據(jù)集中收集和利用提供全面的基礎(chǔ)設(shè)施支撐服務(wù)，為集團(tuán)各級(jí)單位提供先進(jìn)易用、靈活便捷的云計(jì)算服務(wù)。面向云的數(shù)據(jù)中心相比于傳統(tǒng)的數(shù)據(jù)中心，存在一定的安全風(fēng)險(xiǎn)，如云平臺(tái)基礎(chǔ)網(wǎng)絡(luò)被網(wǎng)絡(luò)入侵，租戶層的虛擬系統(tǒng)和應(yīng)用被入侵額破壞，云平臺(tái)的運(yùn)維管理操作違規(guī)等，具體情況如下：
1.云基礎(chǔ)平臺(tái)防護(hù)措施不足。
云基礎(chǔ)平臺(tái)是云計(jì)算的重要系統(tǒng)。云基礎(chǔ)平臺(tái)的物理機(jī)、系統(tǒng)及管理運(yùn)維網(wǎng)絡(luò)與原有的物理集群都處于數(shù)據(jù)中心的物理網(wǎng)絡(luò)結(jié)構(gòu)中?，F(xiàn)有針對(duì)云基礎(chǔ)平臺(tái)的防護(hù)措施尚存在不足，導(dǎo)致云基礎(chǔ)平臺(tái)面臨著網(wǎng)絡(luò)入侵、系統(tǒng)漏洞等威脅，也存在特權(quán)管理運(yùn)維的越權(quán)使用風(fēng)險(xiǎn)。
2.云租戶層缺乏彈性動(dòng)態(tài)的安全能力。
云計(jì)算平臺(tái)新技術(shù)大量運(yùn)用，針對(duì)這些虛擬化、云計(jì)算新技術(shù)的攻擊成為攻擊者熱衷的突破點(diǎn)。云計(jì)算的彈性、動(dòng)態(tài)為業(yè)務(wù)提供方便的同時(shí)，也為安全提出更高的要求。當(dāng)前企業(yè)現(xiàn)有靜態(tài)防護(hù)的安全措施無法跟上這個(gè)變化節(jié)奏，在租戶層缺乏可彈性動(dòng)態(tài)調(diào)整的虛擬防火墻、web應(yīng)用檢測、內(nèi)部流量發(fā)現(xiàn)、云內(nèi)特權(quán)用戶管控等措施，且與云平臺(tái)的自動(dòng)適配較少，安全策略無法動(dòng)態(tài)配置，存在較大缺失。
3.云內(nèi)安全整體狀態(tài)的感知和處置能力不足。
云計(jì)算平臺(tái)增加了大量的內(nèi)部東西流量，且業(yè)務(wù)數(shù)據(jù)進(jìn)行了內(nèi)部的邏輯隔離劃分，導(dǎo)致云內(nèi)的安全威脅、資產(chǎn)態(tài)勢、合規(guī)情況及風(fēng)險(xiǎn)分析都面臨新的挑戰(zhàn)?，F(xiàn)有的物理安全措施無法有效進(jìn)入云內(nèi)，導(dǎo)致云內(nèi)整體安全狀態(tài)的感知、處置等管理能力均存在不足。
4.云計(jì)算平臺(tái)邊界安全防護(hù)不完善。
隨著混合云的使用場景增多，使得云平臺(tái)及數(shù)據(jù)中心的邊界發(fā)生了變化，數(shù)據(jù)中心在原有基礎(chǔ)上增加了公有云接入邊界、專有云邊界，以及云平臺(tái)與傳統(tǒng)物理機(jī)的內(nèi)部邊界等，同時(shí)原有面向企業(yè)用戶的物理邊界也需要進(jìn)行策略和結(jié)構(gòu)調(diào)整。這些邊界缺乏針對(duì)性的措施和策略部署，邊界防火墻、入侵檢測、流量威脅發(fā)現(xiàn)、動(dòng)態(tài)認(rèn)證等安全措施和策略尚不完善。
5.云數(shù)據(jù)中心的特權(quán)管控缺失。
企業(yè)云計(jì)算平臺(tái)及數(shù)據(jù)中心中存在著大量的擁有特權(quán)操作的用戶，如云平臺(tái)管理員、平臺(tái)運(yùn)維人員、云業(yè)務(wù)管理人員、開發(fā)人員等等。這些特權(quán)用戶會(huì)基于其權(quán)限接觸到普通用戶無法接觸的重要、敏感的系統(tǒng)及數(shù)據(jù)。特權(quán)用戶尤其需要進(jìn)行安全管控，以降低來自這些特權(quán)用戶的高風(fēng)險(xiǎn)威脅，而集團(tuán)在這個(gè)層面存在較大缺失。
解決方案
以“國內(nèi)一流、行業(yè)領(lǐng)先”為目標(biāo)建設(shè)滿足央企數(shù)據(jù)中心的綜合安全防護(hù)體系，全面遵循等級(jí)保護(hù)2.0云安全及行業(yè)云安全標(biāo)準(zhǔn)，采用面向云計(jì)算的安全技術(shù)建設(shè)完善云計(jì)算平臺(tái)邊界、云基礎(chǔ)平臺(tái)及云服務(wù)交付的安全措施，感知云內(nèi)整體的安全態(tài)勢，以有效適應(yīng)集團(tuán)自建云、公有云及專有云的混合云應(yīng)用場景，確保云計(jì)算平臺(tái)及數(shù)據(jù)中心的網(wǎng)絡(luò)安全合規(guī)和自主可控，有力支撐數(shù)字化轉(zhuǎn)型和業(yè)務(wù)發(fā)展。
一、安全通信網(wǎng)絡(luò)
1.對(duì)云基礎(chǔ)平臺(tái)進(jìn)行物理網(wǎng)絡(luò)結(jié)構(gòu)優(yōu)化，按照存儲(chǔ)、計(jì)算、管理等網(wǎng)絡(luò)區(qū)域?qū)嵤┚W(wǎng)絡(luò)側(cè)路由隔離。
2.采用云平臺(tái)安全組，結(jié)合VxLAN等技術(shù)，對(duì)云租戶/云內(nèi)各業(yè)務(wù)區(qū)域進(jìn)行網(wǎng)絡(luò)區(qū)域路由隔離，在隔離邊界建設(shè)安全組策略，部署白名單訪問控制等策略。
3.在云內(nèi)建設(shè)云安全管理平臺(tái)及云安全資源池，部署防火墻、應(yīng)用安全代理、API安全代理、零信任訪問控制網(wǎng)關(guān)等安全組件，提供云平臺(tái)的安全接口及第三方服務(wù)接口。
二、網(wǎng)絡(luò)區(qū)域邊界
1.在云基礎(chǔ)平臺(tái)邊界部署物理防火墻，執(zhí)行白名單訪問控制等策略，確保云基礎(chǔ)平臺(tái)網(wǎng)絡(luò)各網(wǎng)絡(luò)區(qū)域的安全隔離與安全互訪。
2.在云基礎(chǔ)平臺(tái)邊界部署入侵檢測和全流量檢測系統(tǒng)，開展網(wǎng)絡(luò)層入侵檢測和威脅檢測，防止網(wǎng)絡(luò)入侵，發(fā)現(xiàn)網(wǎng)絡(luò)層威脅風(fēng)險(xiǎn)。
3.建設(shè)云基礎(chǔ)平臺(tái)安全管理區(qū)，在管理區(qū)內(nèi)建設(shè)堡壘機(jī)、日志采集等安全措施，實(shí)現(xiàn)對(duì)云基礎(chǔ)平臺(tái)系統(tǒng)安全運(yùn)維管理和審計(jì)支撐。
4.利用云安全管理平臺(tái)及安全資源池，在在云邊界建設(shè)一個(gè)面向整個(gè)云內(nèi)區(qū)域的網(wǎng)絡(luò)安全區(qū)域，在該網(wǎng)絡(luò)安全區(qū)部署防火墻、WAF、內(nèi)網(wǎng)VPN、應(yīng)用安全代理、API安全代理、負(fù)載均衡、零信任訪問控制等安全措施。該網(wǎng)絡(luò)安全區(qū)可進(jìn)行資源編排，針對(duì)進(jìn)出云內(nèi)各應(yīng)用系統(tǒng)區(qū)、專有云區(qū)、DMZ區(qū)、系統(tǒng)安全服務(wù)等流量，開展網(wǎng)絡(luò)及應(yīng)用安全層防護(hù)。
5.建設(shè)面向企業(yè)內(nèi)網(wǎng)的云平臺(tái)及數(shù)據(jù)中心安全邊界，在安全邊界建設(shè)部署防火墻、入侵檢測、流量威脅檢測等措施，針對(duì)進(jìn)出云平臺(tái)及數(shù)據(jù)中心的網(wǎng)絡(luò)流量進(jìn)行防護(hù)。
6.建設(shè)面向互聯(lián)網(wǎng)的外部安全邊界，在外部安全邊界建設(shè)部署防火墻、入侵檢測、流量清洗、攻擊誘捕、流量威脅檢測、VPN等措施，針對(duì)來自互聯(lián)網(wǎng)的網(wǎng)絡(luò)流量進(jìn)行防護(hù)。
7.建設(shè)面向公有云的公有云安全邊界，在公有云安全邊界建設(shè)部署防火墻、入侵檢測、流量威脅檢測、VPN等措施，針對(duì)連接公有云的網(wǎng)絡(luò)流量進(jìn)行防護(hù)。
三、安全計(jì)算環(huán)境
1.在云平臺(tái)安全管理區(qū)部署配置核查、基線掃描、補(bǔ)丁分發(fā)、等安全措施，實(shí)現(xiàn)對(duì)云基礎(chǔ)平臺(tái)系統(tǒng)安全管理和安全運(yùn)行的支撐。結(jié)合云平臺(tái)管理功能，使用安全管理區(qū)的安全系統(tǒng)對(duì)鏡像和快照進(jìn)行安全加固和保護(hù)，做好訪問控制。
2.在云內(nèi)建設(shè)一個(gè)面向整個(gè)云內(nèi)區(qū)域的系統(tǒng)安全區(qū)域，在該區(qū)域部署軟件更新/補(bǔ)丁分發(fā)、安全漏洞掃描、配置核查、防病毒、堡壘機(jī)、日志采集等安全措施。該系統(tǒng)安全區(qū)可進(jìn)行資源可編排，針對(duì)各應(yīng)用系統(tǒng)區(qū)、DMZ區(qū)、系統(tǒng)安全服務(wù)區(qū)等系統(tǒng)、容器，開展系統(tǒng)安全加固、管理和安全運(yùn)行支撐。
3.建設(shè)平臺(tái)特權(quán)操作管控系統(tǒng)，采用零信任機(jī)制開展特權(quán)用戶操作管控，有效管控和降低資源管控、運(yùn)行維護(hù)等操作的安全風(fēng)險(xiǎn)。
建設(shè)云特權(quán)操作管控系統(tǒng)，采用零信任機(jī)制開展云內(nèi)特權(quán)用戶操作管控，有效管控和降低資源管控、運(yùn)行維護(hù)等操作的安全風(fēng)險(xiǎn)。
四、安全管理中心
1.使用安全管理平臺(tái)覆蓋云內(nèi)的資產(chǎn)，開展漏洞、配置及安全事件的發(fā)現(xiàn)和處置，將云內(nèi)安全與整體安全打通。
2.建設(shè)云安全中心，支撐對(duì)混合云環(huán)境下的全局安全策略管控，掌控云安全的態(tài)勢、威脅及合規(guī)變化情況。將云平臺(tái)的內(nèi)部安全數(shù)據(jù)接入安全態(tài)勢感知平臺(tái)，實(shí)現(xiàn)對(duì)云平臺(tái)及數(shù)據(jù)中心的整體安全監(jiān)控及處置響應(yīng)。
客戶價(jià)值
1.云基礎(chǔ)平臺(tái)的防護(hù)增強(qiáng)。
2.采取面向云計(jì)算技術(shù)的安全措施來滿足云租戶層的彈性動(dòng)態(tài)安全需求。
3.提升云內(nèi)安全整體狀態(tài)的感知和處置能力。
4.完善云計(jì)算平臺(tái)邊界的安全防護(hù)。
5.加強(qiáng)云數(shù)據(jù)中心的特權(quán)管控。
方案優(yōu)勢
1.滿足云計(jì)算平臺(tái)等級(jí)保護(hù)2.0為基礎(chǔ)，面向云基礎(chǔ)平臺(tái)的安全通信網(wǎng)絡(luò)和網(wǎng)絡(luò)區(qū)域邊界，建設(shè)云平臺(tái)物理層及云內(nèi)租戶的網(wǎng)絡(luò)安全防御措施；面向云計(jì)算環(huán)境安全領(lǐng)域，進(jìn)行云基礎(chǔ)平臺(tái)系統(tǒng)的加固及安全運(yùn)維，在云租戶環(huán)境中建設(shè)云安全資源的統(tǒng)一管理平臺(tái)及安全資源池，提供云內(nèi)網(wǎng)絡(luò)的縱深防御措施，提供云內(nèi)主機(jī)、容器、應(yīng)用的安全加固和訪問控制措施。
2.全面梳理集團(tuán)混合云結(jié)構(gòu)的云平臺(tái)及數(shù)據(jù)中心各類邊界，圍繞云平臺(tái)及數(shù)據(jù)中心形成企業(yè)內(nèi)網(wǎng)接入邊界、互聯(lián)網(wǎng)接入邊界、公有云接入邊界及專有云接入邊界，建設(shè)完善各接入邊界的防火墻、入侵檢測、VPN、全流量威脅檢測等網(wǎng)絡(luò)縱深防御措施；管理云內(nèi)特權(quán)用戶，建立云安全中心對(duì)接集團(tuán)態(tài)勢感知平臺(tái)。