云安全中心
云數據中心作為教育管理信息系統運行的云服務(wù)平臺，承載和滿(mǎn)足了國家教育管理公共服務(wù)平臺的部署和運行需求，極大地帶動(dòng)了教育信息化的發(fā)展。
在云數據中心和大數據計算環(huán)境下，應用系統內部、應用系統間、各云主機間，緊密關(guān)聯(lián)且運行復雜。在安全邊界、各系統內部，應如何開(kāi)展防護工作，確保信息化平臺的安全穩定運行呢？
需求分析
高校在建設云數據中心時(shí)，在云安全防護設計方面，應充分考慮云計算的特點(diǎn)和要求，基于對安全威脅的分析，明確各方面的安全需求，充分利用現有的、成熟的安全控制措施，結合云計算的特點(diǎn)和最新技術(shù)進(jìn)行綜合考慮和設計。
網(wǎng)絡(luò )邊界模糊帶來(lái)的安全風(fēng)險。在傳統的網(wǎng)絡(luò )邊界防護中，一般都是按照網(wǎng)絡(luò )中資源重要程度的不同進(jìn)行區域劃分，不同區域根據各自的安全需求，采取相應的邊界防護措施。但在云計算環(huán)境下，由于大量運用虛擬化技術(shù)，資源池化技術(shù)導致云計算環(huán)境內服務(wù)器、存儲設備和網(wǎng)絡(luò )設備等硬件基礎設施被高度整合，多個(gè)系統同時(shí)運行在同一個(gè)物理設備上，傳統的網(wǎng)絡(luò )邊界正在被打破。
數據傳輸安全風(fēng)險。在云計算環(huán)境下，所有數據的處理、存儲均在云端完成，用戶(hù)一端只具有較少的計算處理能力。這就意味著(zhù)大量的原始數據、發(fā)送的處理請求、用戶(hù)端展示的內容等數據，均需嚴重依賴(lài)網(wǎng)絡(luò )進(jìn)行傳輸，這必然會(huì )帶來(lái)數據傳輸方面的安全風(fēng)險。
服務(wù)器安全的風(fēng)險。在建立新的服務(wù)器節點(diǎn)時(shí)，通常是將標準虛擬機模板進(jìn)行復制操作，得到一個(gè)新的服務(wù)器節點(diǎn)。這時(shí)標準虛擬機模板的補丁、安全配置、安全軟件就非常重要，可決定整個(gè)云數據中心的安全。任何一個(gè)環(huán)境的問(wèn)題，都可能導致云平臺受到入侵的威脅。
數據存儲的風(fēng)險。用戶(hù)所有在云端的數據是否得到妥善保存，而這些數據是否加密，避免運維人員隨意訪(fǎng)問(wèn)。云計算環(huán)境下的身份鑒別、認證管理和訪(fǎng)問(wèn)控制等安全機制是否符合業(yè)務(wù)的需求。意外刪除或天災都可能會(huì )導致永久性的數據丟失。
建設思路
綠盟科技結合高校信息化建設特點(diǎn)，建議圍繞邊界安全防護、云主機安全、數據安全等幾方面展開(kāi)建設。
依據國家法律法規、云安全標準，提出相應安全策略與整體技術(shù)防護措施，包括具體的區域劃分、云管理平臺與各云主機網(wǎng)絡(luò )之間、不同業(yè)務(wù)區域之間、不同等級安全區之間的安全防護措施，高級安全能力建設、網(wǎng)絡(luò )通信安全建設方案等。
在進(jìn)行實(shí)際建設時(shí)，應遵循“保障云平臺及其配套設施”“基于安全域的縱深防護體系設計”“以安全服務(wù)為導向，并符合云計算的特點(diǎn)” “充分利用現有安全控制措施及最新技術(shù)”“充分利用云計算等最新技術(shù)”等原則。
建設方案
對于數據中心的安全防護，滿(mǎn)足等級保護是最基本要求，但是數據中心面臨著(zhù)一個(gè)不斷演變的網(wǎng)絡(luò )威脅環(huán)境，從過(guò)去廣泛、漫無(wú)目的的攻擊威脅，在數年內迅速的轉化為針對受害者組織的高級可持續威脅（APT），APT攻擊可以避開(kāi)傳統的基于特征的安全檢測機制，例如繞過(guò)防火墻、入侵防御系統、防病毒網(wǎng)關(guān)等傳統的安全機制，還需要開(kāi)展“縱深防御，層層防范”的安全措施。
第一道防線(xiàn)：事前防護
包括網(wǎng)絡(luò )出口防護，安全措施包括流量清洗、訪(fǎng)問(wèn)控制、入侵防護。同時(shí)結合云環(huán)境防護，安全措施包括防火墻、WAF、防病毒。
第二道防線(xiàn)：事中響應
在業(yè)務(wù)系統運行過(guò)程中開(kāi)展運行監控、惡意操作防護、攻擊鏈行為分析。
第三道防線(xiàn)：事后審計
安全措施包括運維審計、網(wǎng)絡(luò )安全審計、數據恢復、入侵溯源、日志分析。利用審計可以實(shí)現運營(yíng)過(guò)程的報表統計、安全KPI指標體系管理、事件溯源等安全措施。
集中安全管理
利用態(tài)勢感知系統/企業(yè)綜合安全管理平臺采集安全系統運行過(guò)程中的日志、數據，通過(guò)大數據分析、挖掘、關(guān)聯(lián)等方式發(fā)現異常行為，并利用集中管理系統對業(yè)務(wù)系統、數據庫、服務(wù)器、網(wǎng)絡(luò )設備進(jìn)行集中的運行狀態(tài)監控。
外部支撐
通過(guò)互聯(lián)網(wǎng)網(wǎng)站安全監測、外部安全專(zhuān)家支持獲得外部安全支撐能力，包括網(wǎng)站安全監測、網(wǎng)站云安全防護、威脅情報獲取、云端安全掃描、遠程滲透測試，安全咨詢(xún)等。
