云計算安全運維管理研究

朱斌

摘 要：近年來，新技術新科技不斷涌現，例如5G、區塊鏈、AI等。當然，其他很多技術也在不斷快速增長中，像本文所講的云技術。云計算市場增長極為迅速，行業應用也不斷深化，各大云服務商正不斷加快云計算的建設和布局，很多企業已開始有了自己的公有云、私有云、混合云。云計算關鍵技術的快速迭代與更新，推動著云技術架構和應用模式的發展，同時伴隨著大量新的安全問題產生，推進了安全運維方法、模式在不斷演進。論文研究了云計算背景下的安全問題，提出了云安全基本技術防護要點。

關鍵詞：云計算；安全形勢；運維管理思路

中圖分類號：TN918 文獻標識碼：A

1 引言

云計算是繼20世紀80年代大型計算機到客戶端-服務器大轉變之后的又一種巨變。云計算是分布式計算、并行計算、效用計算、網絡存儲、虛擬化、負載均衡、熱備份冗余等傳統計算機和網絡技術發展融合的產物。

云計算在全球市場規模穩定增長，從2017年主要以LaaS、PaaS、SaaS公有云服務模式為主。據Gartner公司統計，2017年已經達到1110億美元，預計2021年市場將到達2461億美元，年復合增長率約19%。

同時，云計算的底層技術架構不斷演變，多云形態已逐漸成為主流應用模式，由此可看出云計算的規模是呈倍數增長的。另一方面，新的和以往的安全問題不斷交織，給云安全運維人員帶來了很大的工作量以及巨大的壓力。

2 云計算的安全形勢

2.1 云計算底層技術架構與多云模式

近年來，由于云技術發展迅速，關鍵技術也快速迭代，例如高性能計算、容器、微服務架構。也因此這些技術的融合和業務應用的不斷深化，出現了很多類似云網融合、物聯網、工業互聯網、AI（人工智能）等應用的有機結合。

目前，企業中需要多種云環境并存，以適應業務發展趨勢。從基礎架構為核心到應用為核心的轉變，結合公有云的彈性和私有云的私密性，尋求最佳性能和安全可靠間的平衡。

2.2 云計算新舊交加的安全問題

在網絡世界，一邊一直存在著網絡病毒、漏洞入侵事件、內部信息泄露，另一邊隨著云環境網絡規模化、數據信息海量化、存儲服務集約化，也暴露出了許多安全問題。例如，國際知名CDN廠商Cloudflare爆出API密鑰安全漏洞，導致客戶信息泄露；微軟公有云存儲故障，導致長達8小時以上業務影響。新模式下云承載著多類型業務應用，由于服務的復雜化，引發了業務邏輯、認證鑒權、不良信息難管控等問題；還有就是存儲、計算等多層面資源虛擬化，導致出現了數據管理權和所有權分離、網絡邊界模糊等問題。

當然，很多企業由于資金或者便利條件等原因，使用了許多第三方開源的組件和系統，由于云的特性，涉及到海量的敏感信息，往往會由于一節點被突破，殃及全網的嚴重后果。

3 云計算的安全標準

結合前文中遇到的各種問題，可知云計算的安全形勢十分嚴峻。最初也因沒有一個統一的架構、測評、風險評估等技術和管理上的指南與標準，導致了許多云運維人員仍然采用原有的網絡運維模式，雖然能解決一部分安全問題，但面對一些新的安全問題則束手無策。因此，云安全標準化工作得到了廣泛重視，這里做一個簡要介紹。

云計算安全標準主要分為國際標準和國內標準。

本文側重講述一下云計算相關的國標。從2011年開始，我國企業和研究機構等廣泛參與到ITU-T SG17 Q8（云計算安全工作組）云計算安全標準的制定工作中，承擔工作組報告人、編輯人工作，發布X.1601、X.1631等相關標準，主導推進ITU-T云計算安全標準制定，標準架構圖如圖1所示。

在國標方面，有未發布的信息安全技術網絡安全等級保護相關云計算的國標，例如安全設計技術要求（GB/T 25070.2-XXXX）、安全擴展要求（GB/T 28448.2—20XX）、基本要求（GB/T 22239.2—20XX）等，雖然還未正式發布，但已基本成型，即可作為參考。

4 加強云計算環境下的安全運維管理

4.1“三同步”原則

云計算安全也是一個與互聯網同步發展的行業，安全系統要與網絡進行三同步，即一是規劃同步、二是建設同步、三是運維同步。在之前，很多開發公司并沒有自己的安全開發標準，在網絡規劃或系統集成時并未參考相關標準，形成了“帶病入網”的局面。

而現實的運維狀態也如此，企業在引入或者擴建后才考慮到安全問題，往往采用“亡羊補牢”的模式，即先上線運行，再同步實施安全評估，這會導致企業的人力、物力、財力成本的投入增加。

即在安全運維的過程中，存在新建、擴建、割接（變更）等狀態時，應該進行一次全面的風險評估工作，在評估中需做到分層評估（LaaS、PaaS、SaaS）和生命周期的整體評估等。

4.2“五清”思想

鑒于目前企業對安全運維認知的差異，這里引入了通信行業對IT運維管理的新思想，幫助相關運維管理人員達到一個思維發散的目的。

“五清”分別指數量清、型號清、位置清、策略清、效果清。

（1）數量清、型號清、位置清，企業可定時檢測云中的安全設備信息，包括數量、型號、版本（包括補丁）、位置等。

（2）策略清，企業定期梳理安全設備策略，按照“最小化”原則梳理策略的合規性，對Permit語句中的“源地址、目的地址、服務端口”出現兩個Any選項、沒有目標IP、沒有目標端口的訪問策略進行整改，梳理云特有屬性的策略及整改。

（3）效果清，定期完成一次云系統網絡安全設備策略及效果的自評估。

（4）定期開展云網絡運行維護評估，應包含資源統計、使用情況統計、接入情況統計、策略合規率、告警數據統計、故障處置記錄、防護或監測的安全事件統計、策略更新記錄、軟件版本更新記錄等，輸出維護報告。

4.3“五反”策略

同樣對于IT安全運維中，“五反”一樣值得借鑒。在國內某運營商中，原先的“五反”是指網站反篡改、流量反攻擊、域名反劫持、短彩反控制、CDN反劫持，當然并不是所有企業都有相應的配備，但對于運營商行業是有的。

這里我們變換一下，新“五反”即反篡改、反流量攻擊、反域名劫持、反病毒、反信息泄露。例如，在IaaS層（即基礎設施即服務）應配備相應的安全防護設備以滿足建議五反要求，如IDS、IPS、下一代防火墻、流量清洗、日志溯源系統等。

應用層面還需要考慮有信息防泄密、WAF（應用防火墻）、防毒墻或安全Agent等以實現縱深防御體系。目前，國內已經有很多云安全廠商的產品和解決方案或者采用云服務器安全Agent。

4.4 云計算安全管理

安全問題一直以來都是三分技術七分管理，無論技術使用得多么先進，沒有一個好的管理就如同一盤散沙，難以達到一個預期效果。

常見的管理側重點可以概括為幾個方面。

（1）定級備案。云系統需要定級備案，按照行業或者公安標準進行等保備案。

（2）安全管理結構和人員。如保證云服務方對云用戶業務數據的訪問或使用必須經過云用戶的授權，授權必須保留相關記錄。

（3）系統安全建設和管理。測試驗收要驗證或評估所提供的安全措施的有效性；云服務商選擇要符合國家有關規定；供應鏈管理除了符合國家規定，還需確保供應鏈安全事件信息或威脅信息能夠及時傳達到云用戶。

（4）監控和審計管理。確保云系統的監控符合相關政策法規；確保審計數據的真實性和完整性；制定相關策略，對安全措施有效性進行持續監控；應將安全措施有效性的監控結果定期提供給相關云用戶。

5 云安全基本技術防護要點簡述

依據即將發布的信息系統安全等級保護2.0標準要求，在云安全運維中每年應當進行一次基本防護要點的詳細檢測。檢測要點包括物理和環境安全、網絡和通信安全、設備和計算安全、應用和數據安全。

（1）物理和環境安全的評估點應涉及云計算服務器、承載云租戶賬戶信息、鑒別信息、系統信息及運行關鍵業務和數據的物理設備等。

（2）網絡和通信安全方面的評估點應涉及網絡架構、訪問控制、遠程訪問、入侵防范、安全審計等。

（3）設備和計算安全的評估點應涉及身份鑒別、資源控制和鏡像和快照保護等。

（4）應用和數據安全的評估點應涉及接口安全、數據完整性和數據備份恢復等。

6 結束語

本文重點講述的是云計算安全運維管理，在針對信息安全方面，三分技術七分管理，只有從管理上提高意識，才能做到技術的落實。

最后，對如何有效地進行云計算安全運維的建議和總結：

（1）滿足《中華人民共和國網絡安全法》的相關條款；

（2）清楚地了解資產的所有屬性，即可以參見“五清”；

（3）對云計算系統風險進行跟蹤管理，參見”三同步”；

（4）運維安全專業人才培養，用戶安全意識的宣貫；

（5）安全監控、防御、溯源等手段的建設和完善，可參考“五反”；

（6）建立有效安全管理機制，管理和技術兩手抓，堅持與時俱進。

參考文獻

[1] 信息安全技術信息系統安全等級保護基本要求[Z].GB/T 22239-2008，2008年6月19日.

[2] 信息安全技術 云計算服務安全指南[Z].GB/T 31167-2014，2014年9月3日.