华云大咖说：云安全运营管理架构及实践

云计算、大数据、人工智能的飞速发展，给从云到端的安全及个人信息等方面带来极大挑战。数字化时代，由于云计算风险集中，导致大规模安全风险的出现，让网络安全形势更加严峻，企业对云安全也越来越重视。华云数据本期“智汇华云”专栏将为您解读云安全运营管理架构及实践。

云安全是信息化建设中的大型工程，一个可管理、可运营的服务平台是保障云系统安全、持续、有序运转的基石。同时，安全服务能力需要考虑云计算环境的攻击特点，构建网络、主机、应用和数据等立体化的防护手段。

那么，如何构建一个稳定可运营的云安全平台，为企业业务保驾护航?本期华云大咖说将与您分享华云数据云安全运营管理解决方案。

精彩言论

1、不同的组织对云安全有相应的定义，但逻辑上是一致的，是一脉相承的。

云安全联盟CSA标准根据ISO/IEC(国际电工委员会)17789:2014定义的云计算层次框架(资源层、服务层、访问层、用户层和跨层功能)，并结合安全业务特点，定义云计算安全技术要求框架。用户层是用户接口。通过该接口，云服务客户和云服务提供者及其云服务进行交互，执行与客户相关的管理活动，监控云服务。访问层提供对服务层能力进行手动和自动访问的通用接口。这些能力既包含服务能力，也包含管理能力和业务能力。物理层分为物理资源和资源抽象与控制两部分。服务层是对云服务提供者所提供服务的实现，包含和控制实现服务所需的软件组件，并安排通过访问层为用户提供云服务。安全服务即以服务的方式提供的安全能力，云服务提供者可通过提供安全服务协助客户做好客户安全责任范围内的安全防护。

云等保2.0对云计算安全防护的定义是用户通过安全的通信网络以网络直接访问、API接口访问和Web服务访问等方式安全地访问云服务商提供的安全计算环境。安全计算环境包括资源层安全和服务层安全。资源层分为物理资源和虚拟资源，需要明确物理资源安全设计技术要求和虚拟资源安全设计要求。服务层是对云服务商所提供服务的实现，包含实现服务所需的软件组件，根据服务模式不同，云服务商和云服务客户承担的安全责任不同。服务层安全设计需要明确云服务商控制的资源范围内的安全设计技术要求，并且云服务商可以通过提供安全接口和安全服务为云服务客户提供安全技术和安全防护能力。云计算环境的系统管理、安全管理和安全审计由安全管理中心统一管控。结合本框架对不同等级的云计算环境进行安全技术设计，同时通过服务层安全支持对不同等级云服务客户端(业务系统)的安全设计。

2、华云数据云安全设计思路遵循了提升风险预测能力、提升纵深防御能力、提升持续检测能力和提升快速响应能力四大部分。其中，风险预测包含了制定应急预案、安全应急演练、渗透测试与攻防演练、业务/平台安全评估四部分。全面防御包括 按照等保要求设计云平台内部云化防御手段，云平台边界、通信网络防御手段，针对业务与数据提供配套防御手段，以及提供配置权限防御手段。快速相应包括对安全事件研判、对安全事件处置，进行事件分析总结与改进。而持续检测包括按等保要求提供多种实时告警方式，进行安全监测信息与审计集中管理，以及分层、分权、分级进行安全审计。

3、华云数据进行了多层面纵深安全防护：华云云平台底层采用安全的操作系统、中间件和数据库系统，同时对系统内核进行加固。华云云平台底层操作系统，根据系统功能最小化原则进行优化，只安装所需的组件，不安装其它无关组件，降低被攻击风险。配置底层操作系统的服务和端口，禁用不必要的服务，修改必要服务的端口。对系统文件进行有效的保护，防止被篡改和替换。设置操作系统的账号密码策略，配置账号密码强度、账号锁定策略。修改操作系统默认权限值。 开启操作系统安全审计，设置操作系统安全审计策略。集成第三方漏洞扫描和防病毒等技术。

4、在保证平台高可用方面需要很多办法：首先要保证故障自动恢复。计算节点宕机，运行在该节点上的VM会在其他计算节点重新启动;重启系统大约在3分钟以内，服务启动取决于服务本身;所有需要高可用保护的业务云主机。在线迁移是一个内存同步的过程;内存切换过程所产生的延时微小，对用户无感知;适用于计算节点需要维护、或者负载过高，需要将VM迁移至其他计算节点位置的场景。之后，需要丰富的数据可靠技术，包括多副本技术、端到端校验、数据重建恢复以及全冗余架构。此外，还需要保证组件的高可用。

5、在安全防护领域，安全的区域边界的保护非常重要，包括了身份认证、基于角色的访问控制、密钥对访问、Https传输协议。

6、云上租户安全包含了数据安全、应用安全、主机安全和网络安全四部分。其中网络安全是用户非常重视的。为了保障网络安全，可以采用多种方式。租户隔离：确保不同的租户只能访问自身的资源，不可访问其他租户的资源。针对不同租户可以设定资源配额，有效在租户间控制资源使用。安全组：允许或禁止安全组内的云主机对公网或私网的访问。安全组是重要的网络安全隔离手段，用于在云端划分安全域。云防火墙：云防火墙可以统一管理互联网到业务的访问控制策略(南北向)和业务与业务之间的微隔离策略(东西向)。流量隔离：生产网络与非生产网络进行安全隔离，从非生产网络不能直接访问生产网络的任何服务器和网络设备,确保云服务网络无法法访问物理网络。

7、主机安全提供一种全方位服务器安全平台，旨在保护数据中心和云平台免遭数据泄露和业务中断，提供防恶意软件、Web信誉、防火墙、入侵阻止、完整性监控和日志检查，以确保物理、虚拟和云环境中服务器的应用程序以及数据的安全。

8、在保证应用安全方面，会采用系统漏洞扫描、WEB安全漏洞监控，并采用云Web应用防火墙的部署、网页防篡改等方式来进行。

9、保证数据安全，需要进行镜像加固、剩余信息保护、数据保密性、数据备份恢复。运维安全要注重日志记录、平台监控、三权分立以及操作安全管理。