網(wǎng)絡(luò )安全等級保護基本要求之云擴展要求
網(wǎng)絡(luò )安全等級保護基本要求
云計算安全擴展要求
等級保護對象形態(tài)的不同，面臨的威脅與風(fēng)險也不同，安全防護需求也存在一定的差異。便于對等級保護對象共性和個(gè)性化的保護，網(wǎng)絡(luò )安全等級保護基本要求分為通用要求和擴展要求。
云計算擴展要求覆蓋安全物理環(huán)境、安全通信網(wǎng)絡(luò )、安全區域邊界、安全計算環(huán)境、安全管理中心以及云計算安全管理方面。
01
安全物理環(huán)境
基礎設施位置
應保證云計算基礎設施位于中國境內。
云服務(wù)商為云服務(wù)客戶(hù)提供的云計算基礎設施服務(wù)所涉及的硬件設備、數據中心均位于中國境內。
02
安全通信網(wǎng)絡(luò )
網(wǎng)絡(luò )架構
a)應保證云計算平臺不承載高于其安全保護等級的業(yè)務(wù)應用系統；
b)應實(shí)現不同云服務(wù)客戶(hù)虛擬網(wǎng)絡(luò )之間的隔離；
c)應具有根據云服務(wù)客戶(hù)業(yè)務(wù)需求提供通信傳輸、邊界防護、入侵防范等安全機制的能力； d)應具有根據云服務(wù)客戶(hù)業(yè)務(wù)需求自主設置安全策略的能力，包括定義訪(fǎng)問(wèn)路徑、選擇安全組件、配置安全策略；
e)應提供開(kāi)放接口或開(kāi)放性安全服務(wù)，允許云服務(wù)客戶(hù)接入第三方安全產(chǎn)品或在云計算平臺選擇第三方安全服務(wù)；
云服務(wù)商對云計算平臺確定安全防護等級，在明確云計算平臺安全防護等級的情況下，不允許在云平臺上部署高于其安全保護等級的業(yè)務(wù)應用系統，如云平臺安全保護等級為第三級，此時(shí)云平臺只能承載3級及3級以下系統，不能承載4級及以上系統。
云上部署眾多的業(yè)務(wù)系統，為保證業(yè)務(wù)系統的安全性，首先確保不同用戶(hù)間的網(wǎng)絡(luò )是隔離的，如常見(jiàn)的專(zhuān)有網(wǎng)絡(luò )VPC；為保證云上業(yè)務(wù)應用系統的安全、有效的運行，云平臺在為云服務(wù)客戶(hù)提供基礎服務(wù)（網(wǎng)絡(luò )、計算、存儲）的同時(shí)，需為云服務(wù)客戶(hù)提供網(wǎng)絡(luò )通信服務(wù)和安全防護手段，如云防火墻、流量監控、入侵檢測、防病毒等，且允許用戶(hù)根據業(yè)務(wù)需求自主設置訪(fǎng)問(wèn)控制策略，保證用戶(hù)的自主選擇性；為進(jìn)一步提升云上業(yè)務(wù)系統的安全性，云服務(wù)商應支持云服務(wù)客戶(hù)根據需求選擇第三方安全產(chǎn)品的接入，以提升業(yè)務(wù)系統的安全防護措施。
03
安全區域邊界
訪(fǎng)問(wèn)控制
a)應在虛擬化網(wǎng)絡(luò )邊界部署訪(fǎng)問(wèn)控制機制，并設置訪(fǎng)問(wèn)控制規則；
b)應在不同等級的網(wǎng)絡(luò )區域邊界部署訪(fǎng)問(wèn)控制機制，設置訪(fǎng)問(wèn)控制規則。
虛擬化是云計算的一大特性，網(wǎng)絡(luò )虛擬化在幫助用戶(hù)節省資源利用的同時(shí)，應保證不同用戶(hù)虛擬網(wǎng)絡(luò )的安全，如虛擬網(wǎng)邊界安全防護，在虛擬網(wǎng)絡(luò )邊界配置恰當的訪(fǎng)問(wèn)控制策略，有效避免非法訪(fǎng)問(wèn)，越權訪(fǎng)問(wèn)；基于傳統系統的分區分域的安全防護思想，在虛擬網(wǎng)絡(luò )中劃分不同的安全防護區域，并在不同的區域邊界配置訪(fǎng)問(wèn)控制規則，如在VPC中，基于A(yíng)CL規則劃分邏輯區域，并制定恰當的訪(fǎng)問(wèn)控制規則。
入侵防范
a)應能檢測到云服務(wù)客戶(hù)發(fā)起的網(wǎng)絡(luò )攻擊行為，并能記錄攻擊類(lèi)型、攻擊時(shí)間、攻擊流量等；
b)應能檢測到對虛擬網(wǎng)絡(luò )節點(diǎn)的網(wǎng)絡(luò )攻擊行為，并能記錄攻擊類(lèi)型、攻擊時(shí)間、攻擊流量等；
c)應能檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量；
d)應在檢測到網(wǎng)絡(luò )攻擊行為、異常流量情況時(shí)進(jìn)行告警。
通用的安全邊界防護只能有效的解決南北向流量安全防護，而云計算環(huán)境下，虛擬網(wǎng)絡(luò )的“無(wú)邊界化”，使得虛擬網(wǎng)中的東西向流量呈快速增長(cháng)勢態(tài)，東西向流量的“不可視化”使得安全防護變得尤為困難。為有效保證虛擬網(wǎng)絡(luò )中流量安全，可對全網(wǎng)流量進(jìn)行集中監測及流量牽引監測、清洗等方式進(jìn)行安全防護。從網(wǎng)絡(luò )安全等級保護的角度出發(fā)，云服務(wù)商應能檢測到云服務(wù)客戶(hù)的非法攻擊，并進(jìn)行攻擊行為收集、異常行為告警等。
安全審計
a)應對云服務(wù)商和云服務(wù)客戶(hù)在遠程管理時(shí)執行的特權命令進(jìn)行審計，至少包括虛擬機刪除、虛擬機重啟；
b)應保證云服務(wù)商對云服務(wù)客戶(hù)系統和數據的操作可被云服務(wù)客戶(hù)審計。
安全審計有助于系統運維方對安全事故的審查和恢復能力，在執行一些重要的操作時(shí)，必須進(jìn)行安全審計，以便出現安全事故時(shí)進(jìn)行恢復和問(wèn)題追溯。云服務(wù)商原則上絕不允許觸碰云服務(wù)客戶(hù)數據，但在一些特殊情形下，又不得不幫助用戶(hù)處理一些疑難問(wèn)題，為確保云服務(wù)商對云服務(wù)客戶(hù)數據操作的安全性，云服務(wù)商應向云服務(wù)客戶(hù)提供相關(guān)的操作審計記錄。
04
安全計算環(huán)境
身份鑒別
當遠程管理云計算平臺中設備時(shí)，管理終端和云計算平臺之間應建立雙向身份驗證機制。
在進(jìn)行遠程管理時(shí)，需進(jìn)行雙向認證，保證接入云平臺的管理終端的有效性、合法性。
訪(fǎng)問(wèn)控制
a)應保證當虛擬機遷移時(shí)，訪(fǎng)問(wèn)控制策略隨其遷移；
b)應允許云服務(wù)客戶(hù)設置不同虛擬機之間的訪(fǎng)問(wèn)控制策略。
虛擬資源的動(dòng)態(tài)擴展，在虛擬機遷移時(shí)，訪(fǎng)問(wèn)控制策略應進(jìn)行同步遷移，云服務(wù)商應支持云服務(wù)客戶(hù)在不同的虛擬機間基于業(yè)務(wù)需求配置訪(fǎng)問(wèn)控制策略。
入侵防范
a)應能檢測虛擬機之間的資源隔離失效，并進(jìn)行告警；
b)應能檢測非授權新建虛擬機或者重新啟用虛擬機，并進(jìn)行告
云計算安全擴展要求
等級保護對象形態(tài)的不同，面臨的威脅與風(fēng)險也不同，安全防護需求也存在一定的差異。便于對等級保護對象共性和個(gè)性化的保護，網(wǎng)絡(luò )安全等級保護基本要求分為通用要求和擴展要求。
云計算擴展要求覆蓋安全物理環(huán)境、安全通信網(wǎng)絡(luò )、安全區域邊界、安全計算環(huán)境、安全管理中心以及云計算安全管理方面。
01
安全物理環(huán)境
基礎設施位置
應保證云計算基礎設施位于中國境內。
云服務(wù)商為云服務(wù)客戶(hù)提供的云計算基礎設施服務(wù)所涉及的硬件設備、數據中心均位于中國境內。
02
安全通信網(wǎng)絡(luò )
網(wǎng)絡(luò )架構
a)應保證云計算平臺不承載高于其安全保護等級的業(yè)務(wù)應用系統；
b)應實(shí)現不同云服務(wù)客戶(hù)虛擬網(wǎng)絡(luò )之間的隔離；
c)應具有根據云服務(wù)客戶(hù)業(yè)務(wù)需求提供通信傳輸、邊界防護、入侵防范等安全機制的能力； d)應具有根據云服務(wù)客戶(hù)業(yè)務(wù)需求自主設置安全策略的能力，包括定義訪(fǎng)問(wèn)路徑、選擇安全組件、配置安全策略；
e)應提供開(kāi)放接口或開(kāi)放性安全服務(wù)，允許云服務(wù)客戶(hù)接入第三方安全產(chǎn)品或在云計算平臺選擇第三方安全服務(wù)；
云服務(wù)商對云計算平臺確定安全防護等級，在明確云計算平臺安全防護等級的情況下，不允許在云平臺上部署高于其安全保護等級的業(yè)務(wù)應用系統，如云平臺安全保護等級為第三級，此時(shí)云平臺只能承載3級及3級以下系統，不能承載4級及以上系統。
云上部署眾多的業(yè)務(wù)系統，為保證業(yè)務(wù)系統的安全性，首先確保不同用戶(hù)間的網(wǎng)絡(luò )是隔離的，如常見(jiàn)的專(zhuān)有網(wǎng)絡(luò )VPC；為保證云上業(yè)務(wù)應用系統的安全、有效的運行，云平臺在為云服務(wù)客戶(hù)提供基礎服務(wù)（網(wǎng)絡(luò )、計算、存儲）的同時(shí)，需為云服務(wù)客戶(hù)提供網(wǎng)絡(luò )通信服務(wù)和安全防護手段，如云防火墻、流量監控、入侵檢測、防病毒等，且允許用戶(hù)根據業(yè)務(wù)需求自主設置訪(fǎng)問(wèn)控制策略，保證用戶(hù)的自主選擇性；為進(jìn)一步提升云上業(yè)務(wù)系統的安全性，云服務(wù)商應支持云服務(wù)客戶(hù)根據需求選擇第三方安全產(chǎn)品的接入，以提升業(yè)務(wù)系統的安全防護措施。
03
安全區域邊界
訪(fǎng)問(wèn)控制
a)應在虛擬化網(wǎng)絡(luò )邊界部署訪(fǎng)問(wèn)控制機制，并設置訪(fǎng)問(wèn)控制規則；
b)應在不同等級的網(wǎng)絡(luò )區域邊界部署訪(fǎng)問(wèn)控制機制，設置訪(fǎng)問(wèn)控制規則。
虛擬化是云計算的一大特性，網(wǎng)絡(luò )虛擬化在幫助用戶(hù)節省資源利用的同時(shí)，應保證不同用戶(hù)虛擬網(wǎng)絡(luò )的安全，如虛擬網(wǎng)邊界安全防護，在虛擬網(wǎng)絡(luò )邊界配置恰當的訪(fǎng)問(wèn)控制策略，有效避免非法訪(fǎng)問(wèn)，越權訪(fǎng)問(wèn)；基于傳統系統的分區分域的安全防護思想，在虛擬網(wǎng)絡(luò )中劃分不同的安全防護區域，并在不同的區域邊界配置訪(fǎng)問(wèn)控制規則，如在VPC中，基于A(yíng)CL規則劃分邏輯區域，并制定恰當的訪(fǎng)問(wèn)控制規則。
入侵防范
a)應能檢測到云服務(wù)客戶(hù)發(fā)起的網(wǎng)絡(luò )攻擊行為，并能記錄攻擊類(lèi)型、攻擊時(shí)間、攻擊流量等；
b)應能檢測到對虛擬網(wǎng)絡(luò )節點(diǎn)的網(wǎng)絡(luò )攻擊行為，并能記錄攻擊類(lèi)型、攻擊時(shí)間、攻擊流量等；
c)應能檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量；
d)應在檢測到網(wǎng)絡(luò )攻擊行為、異常流量情況時(shí)進(jìn)行告警。
通用的安全邊界防護只能有效的解決南北向流量安全防護，而云計算環(huán)境下，虛擬網(wǎng)絡(luò )的“無(wú)邊界化”，使得虛擬網(wǎng)中的東西向流量呈快速增長(cháng)勢態(tài)，東西向流量的“不可視化”使得安全防護變得尤為困難。為有效保證虛擬網(wǎng)絡(luò )中流量安全，可對全網(wǎng)流量進(jìn)行集中監測及流量牽引監測、清洗等方式進(jìn)行安全防護。從網(wǎng)絡(luò )安全等級保護的角度出發(fā)，云服務(wù)商應能檢測到云服務(wù)客戶(hù)的非法攻擊，并進(jìn)行攻擊行為收集、異常行為告警等。
安全審計
a)應對云服務(wù)商和云服務(wù)客戶(hù)在遠程管理時(shí)執行的特權命令進(jìn)行審計，至少包括虛擬機刪除、虛擬機重啟；
b)應保證云服務(wù)商對云服務(wù)客戶(hù)系統和數據的操作可被云服務(wù)客戶(hù)審計。
安全審計有助于系統運維方對安全事故的審查和恢復能力，在執行一些重要的操作時(shí)，必須進(jìn)行安全審計，以便出現安全事故時(shí)進(jìn)行恢復和問(wèn)題追溯。云服務(wù)商原則上絕不允許觸碰云服務(wù)客戶(hù)數據，但在一些特殊情形下，又不得不幫助用戶(hù)處理一些疑難問(wèn)題，為確保云服務(wù)商對云服務(wù)客戶(hù)數據操作的安全性，云服務(wù)商應向云服務(wù)客戶(hù)提供相關(guān)的操作審計記錄。
04
安全計算環(huán)境
身份鑒別
當遠程管理云計算平臺中設備時(shí)，管理終端和云計算平臺之間應建立雙向身份驗證機制。
在進(jìn)行遠程管理時(shí)，需進(jìn)行雙向認證，保證接入云平臺的管理終端的有效性、合法性。
訪(fǎng)問(wèn)控制
a)應保證當虛擬機遷移時(shí)，訪(fǎng)問(wèn)控制策略隨其遷移；
b)應允許云服務(wù)客戶(hù)設置不同虛擬機之間的訪(fǎng)問(wèn)控制策略。
虛擬資源的動(dòng)態(tài)擴展，在虛擬機遷移時(shí)，訪(fǎng)問(wèn)控制策略應進(jìn)行同步遷移，云服務(wù)商應支持云服務(wù)客戶(hù)在不同的虛擬機間基于業(yè)務(wù)需求配置訪(fǎng)問(wèn)控制策略。
入侵防范
a)應能檢測虛擬機之間的資源隔離失效，并進(jìn)行告警；
b)應能檢測非授權新建虛擬機或者重新啟用虛擬機，并進(jìn)行告
