安全資訊

        等保2.0版本三級整體要求分為10個(gè)部分，其中1-5為基礎設施、技術(shù)產(chǎn)品相關(guān)要求，包括物理環(huán)境、通訊網(wǎng)絡(luò )、區域邊界、計算環(huán)境、管理中心等，此部分主要需要配合測評機構登錄相關(guān)系統和設備查看產(chǎn)品功能、策略配置等形式進(jìn)行測評，本文將重點(diǎn)對這部分內容解讀和提供建設策略建議。6-10為管理規章制度要求，包括管理制度、管理機構、管理人員、建設管理、運維管理等，此部分主要需要以制度文檔、過(guò)程審計記錄等形式提供證明，此部分不在本文中展開(kāi)討論，如有需要會(huì )以文檔形式輔助提供支持。

一、安全物理環(huán)境

機房場(chǎng)地應具備

1，七防護：應防震、防水、防火、防盜（視頻監控）、防雷擊、防靜電、防電磁干擾

2，兩控制：機房具備溫、濕度調節，出入口設置電子門(mén)禁

3，持續供電：冗余的電力電纜線(xiàn)路、備用電力

ER（Extended requirements , 擴展要求）：IDC建設于中國境內

--建設策略：

建議選擇4星級以上標準機房，級別越低，提供的服務(wù)可用性和標準越低，舉個(gè)例子，電信5星機房承諾的故障次數是三年內50%以上服務(wù)器阻斷30分鐘以上故障不超過(guò)1次，2星級承諾的是三年內50%以上服務(wù)器阻斷2個(gè)小時(shí)以上故障不超過(guò)1次，至于2個(gè)小時(shí)以?xún)鹊墓收蠋状尾蛔龀兄Z。對于公有云租戶(hù)來(lái)說(shuō)直接復用公有云物理環(huán)境等保測評結論即可。

二、安全通信網(wǎng)絡(luò )

1，網(wǎng)絡(luò )架構

關(guān)鍵網(wǎng)絡(luò )設備要冗余，處理能力可以滿(mǎn)足業(yè)務(wù)高峰期需求

ER：

a）具備虛擬網(wǎng)絡(luò )拓撲結構圖繪制功能，對虛擬化網(wǎng)絡(luò )資源、網(wǎng)絡(luò )拓撲進(jìn)行實(shí)時(shí)更新；實(shí)現不同租戶(hù)虛擬網(wǎng)絡(luò )隔離；

b）為租戶(hù)提供通信傳輸、邊界防護、入侵防范等安全機制，具備租戶(hù)自主設置安全策略的能力

c）應保證云計算平臺管理流量與云服務(wù)客戶(hù)業(yè)務(wù)流量分離；

d）應提供開(kāi)放接口，允許云服務(wù)客戶(hù)接入第三方安全產(chǎn)品或在云平臺選擇第三方安全服務(wù)

2，通信傳輸

采用校驗碼技術(shù)或加解密技術(shù)保證通信過(guò)程中數據的完整性和保密性

3，可信驗證

對通信設備的核心程序和配置參數具備動(dòng)態(tài)可信驗證方案，關(guān)鍵環(huán)節出現問(wèn)題及時(shí)告警記錄

--建設策略

滿(mǎn)足租戶(hù)流量隔離、自主設置安全策略的要求，輔以邊界防火墻、WAF等設備實(shí)現邊界防護。同時(shí)云平臺系統間采用https協(xié)議交互，保證數據加密傳輸。

三、安全區域邊界

1，邊界防護

能夠對非授權的設備從外到內及從內到外的網(wǎng)絡(luò )行為進(jìn)行限制或檢查

2，訪(fǎng)問(wèn)控制

在網(wǎng)絡(luò )區域邊界設置訪(fǎng)問(wèn)控制規則，默認情況下除允許策略拒絕所有通信，控制粒度為端口級

ER: 在虛擬化網(wǎng)絡(luò )邊界、不同等級的網(wǎng)絡(luò )區域邊界部署訪(fǎng)問(wèn)控制機制，并設置訪(fǎng)問(wèn)控制規則。

3，入侵防范

在關(guān)鍵網(wǎng)絡(luò )節點(diǎn)處檢測、防止或限制從外部或內部發(fā)起的網(wǎng)絡(luò )攻擊行為；具備攻擊行為分析能力；當檢測到攻擊行為時(shí)，記錄攻擊源IP、攻擊類(lèi)型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴重入侵事件時(shí)應提供報警

ER: 應能檢測到云服務(wù)客戶(hù)發(fā)起的網(wǎng)絡(luò )攻擊行為、對虛擬網(wǎng)絡(luò )節點(diǎn)的網(wǎng)絡(luò )攻擊行為，并能記錄攻擊類(lèi)型、攻擊時(shí)間、攻擊流量等；應能檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量并進(jìn)行告警。

4，惡意代碼

在關(guān)鍵網(wǎng)絡(luò )節點(diǎn)處對惡意代碼、垃圾郵件檢測和防護，并維護對應的防護機制升級

5，安全審計

在重要網(wǎng)絡(luò )節點(diǎn)對重要的用戶(hù)行為、安全事件進(jìn)行行為記錄，審計記錄應定期備份，留存時(shí)間合規，記錄應至少包含事件日期、用戶(hù)、事件類(lèi)型、是否成功等信息

ER: 應對云服務(wù)商和云服務(wù)客戶(hù)遠程管理時(shí)執行特權命令進(jìn)行審計，至少包括虛擬機刪除、虛擬機重啟；應對云服務(wù)商對云服務(wù)客戶(hù)系統和數據操作可被云服務(wù)客戶(hù)審計

6，可信驗證

對核心程序和配置參數具備動(dòng)態(tài)可信驗證方案，關(guān)鍵環(huán)節出現問(wèn)題及時(shí)告警記錄

--建設策略

1.推薦邊界防火墻，對進(jìn)出安全區域邊界的訪(fǎng)問(wèn)鏈接進(jìn)行控制，阻斷非授權訪(fǎng)問(wèn)；推薦堡壘機對遠程執行的命令進(jìn)行審計回放，對高危命令進(jìn)行阻斷；

2.推薦VPN、證書(shū)管理服務(wù)，采取加密措施，防止數據在傳輸過(guò)程中遇到破壞；推薦VPC網(wǎng)絡(luò )在租戶(hù)數據傳輸過(guò)程中進(jìn)行vxlan封裝實(shí)現租戶(hù)隔離，保證數據完整性和保密性。

3.推薦DDoS高防，云WAF服務(wù)，針對日漸增多的DDoS、Web攻擊進(jìn)行防御，精準有效地實(shí)現對流量型攻擊和應用層攻擊的全面防護

4，推薦日志審計服務(wù)對用戶(hù)行為日志統一采集、存儲、查詢(xún)、分析、告警

5，推薦云平臺在保證關(guān)鍵網(wǎng)絡(luò )設備架構冗余的同時(shí)，支持劃分特定管理區域，對安全資源池設備集中管控、監控、告警，另外金山云自研的肉雞發(fā)現與防御系統可以有效識別肉雞對內外部網(wǎng)絡(luò )攻擊行為并自動(dòng)進(jìn)行限速、告警處理。

四、安全計算環(huán)境

1，身份鑒別

用戶(hù)密碼策略具有復雜度要求并定期更換檢測機制、限制非法登錄次數，身份鑒別技術(shù)采用兩種或兩種以上組合，其中一種至少包含如動(dòng)態(tài)口令、密碼技術(shù)、指紋識別等。

ER: 當遠程管理云計算平臺中設備時(shí)，管理終端和云計算平臺之間應建立雙向身份驗證機制

2，訪(fǎng)問(wèn)控制

應進(jìn)行角色劃分，對登錄的用戶(hù)分配賬戶(hù)和默認最小權限；及時(shí)刪除或停用過(guò)期賬戶(hù)；對敏感信息設置安全標記并可控制對有安全標記資源的訪(fǎng)問(wèn)

ER:

a) 應保證當虛擬機遷移時(shí)，訪(fǎng)問(wèn)控制策略隨其遷移

b) 應允許云服務(wù)客戶(hù)設置不同虛擬機之間的訪(fǎng)問(wèn)控制策略

3，安全審計

啟動(dòng)安全審計功能，覆蓋到每個(gè)用戶(hù)，對重要的用戶(hù)行為和安全事件進(jìn)行審計；對審計記錄進(jìn)行定期備份，審計記錄存留時(shí)間合規；對審計程序有保護手段，防止未經(jīng)授權的中斷

4，入侵防范

能發(fā)現可能存在的漏洞，并及時(shí)修補漏洞；遵循最小安裝原則，應關(guān)閉不需要的系統服務(wù)、高危端口；

能夠檢測到對重要節點(diǎn)進(jìn)行入侵的行為，并在發(fā)生嚴重入侵事件時(shí)提供報警

ER: 能夠檢測虛擬機之間的資源隔離失效、非授權新建虛擬機、惡意代碼感染在虛擬機間蔓延等情況，并進(jìn)行告警

5，惡意代碼防范

能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，并提出告警

6，可信驗證

對核心程序和配置參數具備動(dòng)態(tài)可信驗證方案，關(guān)鍵環(huán)節出現問(wèn)題及時(shí)告警記錄

7，數據完整性

應采用校驗碼技術(shù)或密碼技術(shù)保證重要數據在傳輸過(guò)程和存儲過(guò)程中的完整性， 包括但不限于鑒別數據、重要業(yè)務(wù)數據、重要審計數據、重要配置數據、重要視頻數據和重要個(gè)人信息等；

8，數據保密性

應采用密碼技術(shù)保證重要數據在傳輸過(guò)程和存儲過(guò)程中的保密性，包括但不限于鑒別數據、重要業(yè)務(wù)數據和重要個(gè)人信息等

ER:

a) 應確保只有在云服務(wù)客戶(hù)授權下，云服務(wù)商或第三方才具有云服務(wù)客戶(hù)數據的管理權限

b) 應使用校驗碼或密碼技術(shù)確保虛擬機遷移過(guò)程中重要數據的完整性，并在檢測到完整性受到破壞時(shí)采取必要的恢復措施

c) 應支持云服務(wù)客戶(hù)部署密鑰管理解決方案，保證云服務(wù)客戶(hù)自行實(shí)現數據的加解密過(guò)程

9，數據備份恢復

應提供重要數據的本地數據備份與恢復功能；應提供異地實(shí)時(shí)備份功能；應提供重要數據處理系統的熱冗余，保證系統的高可用性

ER:

a) 云服務(wù)客戶(hù)應在本地保存其業(yè)務(wù)數據的備份

b) 應提供查詢(xún)云服務(wù)客戶(hù)數據及備份存儲位置的能力

c) 云服務(wù)商的云存儲服務(wù)應保證云服務(wù)客戶(hù)數據存在若干個(gè)可用的副本，各副本之間的內容應保持一致

d) 應為云服務(wù)客戶(hù)將業(yè)務(wù)系統及數據遷移到其他云計算平臺和本地系統提供技術(shù)手段，并協(xié)助完成遷移過(guò)程。

10，剩余信息保護

應保證存有敏感數據和鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除

ER: 

a) 應保證虛擬機所使用的內存和存儲空間回收時(shí)得到完全清除

b) 云服務(wù)客戶(hù)刪除業(yè)務(wù)應用數據時(shí)，云計算平臺應將云存儲中所有副本刪除

11，個(gè)人信息保護

應采集和保存業(yè)務(wù)必需的用戶(hù)個(gè)人信息；應禁止未授權訪(fǎng)問(wèn)和非法使用用戶(hù)個(gè)人信息

ER: 鏡像和快照保護

a) 應針對重要業(yè)務(wù)系統提供加固的操作系統鏡像或操作系統安全加固服務(wù)

b) 應提供虛擬機鏡像、快照完整性校驗功能，防止虛擬機鏡像被惡意篡改

c) 應采取密碼技術(shù)或其他技術(shù)手段防止虛擬機鏡像、快照中可能存在的敏感資源非法訪(fǎng)問(wèn)

--建設策略

1，云平臺相關(guān)包括租戶(hù)、運維、運營(yíng)等系統設計應考慮至少2種身份認證機制，包括密碼、動(dòng)態(tài)口令等，用戶(hù)密碼長(cháng)度、復雜度、更換周期等應符合標準要求，用戶(hù)信息應加密存儲；平臺用戶(hù)應具備角色管理模塊，不同角色授予最小權限；重要的用戶(hù)行為應具備審計功能；

2，推薦安全客戶(hù)端產(chǎn)品通過(guò)植入主機系統提供入侵防范、惡意代碼檢測、防病毒等功能；

3，云平臺提供遷移功能，支持業(yè)務(wù)系統遷移到其他平臺；提供重要數據異地實(shí)時(shí)備份和恢復功能；提供鏡像、快照功能并具備完整性校驗，當租戶(hù)刪除業(yè)務(wù)數據時(shí)，對應存儲空間的所有副本數據完全刪除；提供租戶(hù)側自助密鑰管理解決方案如AK/SK等。

4，云平臺對相關(guān)組件、服務(wù)如openssh、mysql、apache、php等遵循最小安全原則，對已知漏洞具備發(fā)現和預先修補能力。

五、安全管理中心

1，集中管控

劃分特定管理區域，對安全設備或組件集中管控；對審計數據集中匯總和分析；對安全策略、惡意代碼、補丁升級相關(guān)事項集中管理；對網(wǎng)絡(luò )、服務(wù)器、安全設備集中監控并對發(fā)生的安全事件進(jìn)行識別、分析和報警。

ER:

a) 應能對物理資源和虛擬資源按照策略做統一管理調度與分配

b) 應保證云計算平臺管理流量與云服務(wù)客戶(hù)業(yè)務(wù)流量分離

c) 應根據云服務(wù)商和云服務(wù)客戶(hù)的職責劃分，收集各自控制部分的審計數據并實(shí)現各自的集中審計

d) 應根據云服務(wù)商和云服務(wù)客戶(hù)的職責劃分，實(shí)現各自控制部分，包括虛擬化網(wǎng)絡(luò )、虛擬機、虛擬化安全設備等的運行狀況的集中監測

--建設策略

推薦云平臺基于公有云同源架構分別提供云服務(wù)商側視角的underlay和租戶(hù)側視角的overlay的資源監控、審計數據、資源調度和流量分離方案。