云安全联盟（CSA）提出12大安全风险

为了让企业了解云安全问题，以便他们能够就云安全策略做出明智的决策，云安全联盟(CSA)于2018年1月发布了最新版本的《12大顶级云安全威胁：行业见解报告》，该报告重点聚焦了12个最严重的涉及云计算共享和按需特性方面的威胁。

云计算建设以及使用过程中的安全风险

在云计算的建设以及使用过程中，每个环节都可能导致安全风险，诸如云计算平台安全、管理平台的安全等，可能导致的安全风险可以归结为传统信息安全风险、云计算安全平台风险、用户访问安全风险以及管理安全风险。

☆ 传统信息安全风险

虽然云计算给用户提供了一种新型的计算、网络、存储环境，但是传统的信息安全风险仍是不可忽视的，包括合规安全风险、数据安全风险以及安全管理风险等。

☆ 云计算平台安全风险

虚拟化是目前云计算供应商使用最广泛的技术之一，服务器、存储、网络等虚拟化技术为云计算服务提供了基础技术支持，解决了资源利用率、资源提供的自动扩展等问题，虚拟化技术在提供便利的同时也带来了大量安全风险，比如虚拟化自身的安全漏洞、虚拟机间流量交换等问题。

目前，在主流虚拟化技术(KVM、Xen、VMware等)中虚拟化漏洞广泛存在。Hypervisor（虚拟化管理软件）作为虚拟机的底层一旦存在漏洞，将危及运行其上的所有虚拟机本身，甚至将影响虚拟化以下的宿主机本身的安全。

同时，在云计算环境中，有多种不同的虚拟化管理组件，比如虚拟机监视器、网络策略控制器，存储控制器等等，这些都是实现多租户共享硬件并隔离业务和数据的核心组件，一旦这些虚拟化管理软件类的漏洞被恶意人员所利用，那么租户的安全就无法得到有效保障。

在虚拟化环境下，单台物理服务器上的各虚拟机之间可能存在二层流量交换，而这部分流量对于管理员来说是不可见的。在这种情况下，管理员需要判断虚拟机之间的访问是否符合预定的安全策略，或者需要考虑如何设置策略以便实现对虚拟机之间流量的访问控制。

服务提供商通过接口或者API让客户与云平台进行交互，一些第三方组织基于这些接口为客户提供增值服务，远程访问机制以及Web浏览器的使用也增加了这些接口的漏洞存在并被利用的可能性。

☆ 用户访问安全风险

云环境中，各个云应用属于不同的安全管理域，每个安全域都管理着本地的资源和用户。攻击者可能会假冒合法用户进行一些非法活动，例如窃取用户数据、篡改用户数据等等。

☆ 安全管理体系风险

客户把大部分数据控制权交给了提供商，但服务水平协议中不可能面面俱到地详细指明提供商对各安全问题的承诺。更进一步的，云提供商可能把服务外包给第三方，而后者可能不提供在服务水平协议中指出的问题保证。

由于云中存储大量的用户业务数据、隐私信息或其他有价值信息，因此很容易受到攻击，这些攻击可能来自于窃取服务或数据的恶意攻击者、滥用资源的合法云计算用户或者云计算运营商内部人员，当遇到严重攻击时，云计算系统将可能面临崩溃的危险，无法提供高可靠性的服务。

云计算安全防护理念

启明星辰的安全防护理念从结构上保障云系统及租户的安全，将云计算安全分为云平台安全和云租户安全，云服务商主要负责云平台安全保障，云安全服务商主要负责云租户安全保障，同时云安全服务商协助租户对云服务商进行监督和审计，该异构模式可以保障租户的安全能力最大化。

启明星辰针对云安全风险提供六大云安全能力抵御各类风险与威胁，云安全交付模式满足云平台安全和租户个性化安全，同时满足合规要求；

云架构安全即云自身物理环境安全及虚拟环境安全，云架构安全能力是云平台整体解决方案基础；

● 云边界安全包括物理网络边界与云内区域边界；

● 云租户安全帮助保障云内业务安全运行，对租户云上业务系统提供有效防护；

● 数据安全是云上业务安全系统的核心，提供数据在云环境下全生命周期安全防护能力；

● 云安全管理平台通过统一安全运营中心管理多地多租户的安全资源，对云中安全事件和安全风险进行智能分析，感知云内威胁并发现未知威胁，多维度分析结果动态关联各项安全能力；

● 云安全服务基于专业化安全分析团队和自动化工具，可为云租户提供云上等保合规咨询、安全检测、安全分析、安全响应及其他应急服务。

云计算安全防护方案

云安全方案架构

在云计算的架构下，云计算开放网络和业务共享场景更加复杂多变，安全性方面的挑战更加严峻，一些新型的安全问题变得比较突出，如多个虚拟机租户间并行业务的安全运行，海量数据的安全存储等。启明星辰云安全防护的主要对象分为：云平台、云租户、云上业务系统等，以此满足客户的个性化安全需求。

云安全方案建设

参考等保2.0标准规范基本要求及云计算扩展要求，启明星辰提出了从组织建设、制度流程、技术工具、人员能力四个维度出发，重点实现和评估云安全等级保护能力。

☆ 南北向防护介绍

在云平台出口，部署防火墙与抗DDOS等边界防护产品，实现对南北向流量的拒绝服务攻击防护、访问控制、入侵检测、入侵防御、WAF、防病毒、VPN和边界隔离等安全防护。

在核心交换机旁，部署面向多租户的安全资源池。安全资源池容纳了专业而强大的安全产品，实现对南北向流量的防护、检测与审计，也可同时对云租户、云上业务系统进行防护。

☆ 东西向防护介绍

通过在核心交换机上设置策略路由，将东西流量牵引到安全资源池进行访问控制和安全防护；

在租户间使用虚拟防火墙、虚拟IPS等虚拟安全产品建立完善的软件定义安全防护链实现租户间东西向的安全防护；

同时，可对租户云安全资源池中的安全产品进行深度分析与联动，实现整体闭环体系。

云安全管理平台

云安全管理平台可分别提供面向租户的云租户安全门户和面向云安全管理员的安全管理门户。相对传统的网络架构，云环境在技术架构、管理架构、服务架构包括安全边界方面都有很大的变化，对安全综合监控管理也带来了新的挑战和要求。云安全管理平台将综合云计算的特点，从双视角出发，构建全方位防护体系，将安全能力统一管理，建立可视化运维及监控响应体系，满足云计算等级保护要求，实现云安全的集中监测、运维管理、安全服务等能力。

云计算安全实践案例

典型拓扑

用户价值

☆ 平台高效运行、有效提升资源利用率

通过在服务器上部署启明安全资源池，实现计算资源、存储资源、网络资源池化，改变原有的 “单机单用”部署模式，可以做到按需分配资源、按需部署安全服务，大大提升了资源使用率。

☆ 统一云管平台管理，实现便捷、高效运维管理 

通过启明云安全资源池管理平台软件实现对虚拟资源、各安全服务统一监控和管理，借助订单时流程实现一键式部署安全服务、自动化运维手段 ，大大降低运维管理难度，很好保证运维效率。

☆ 分布式部署、灵活扩展，持续提升安全能力 

通过虚拟化资源池实现，后期业务扩展和安全扩容，只需要增加硬件服务器及资源池相关授权即可实现快速安全能力横向扩展。

☆ 立体式的安全防护，产生协同效应，并满足合规需求 

划分业务区域及边界，进行全方位的安全防护，让业务边界清晰，业务安全得到保障，满足信息化建设需要，保证企业利益。多个虚拟安全产品并行运行，不同种类的安全产品组合在一起，产生协同效应，不但可以产生出新的安全价值，而且可以更好的高级别的安全合规要求。 

典型案例

● 联通产创云114挂号系统
● 新疆电信
● 白银联通
● 国家药监局
● 国家海洋卫星中心
● 贵州农商银行数据中心
● 西安工程大学教育云
● 四川政务云