等保2.0中的云計算安全測評

◎成都安美勤信息技術股份有限公司 代翎云

一、引言

60年代中期，計算機數量較少，基本上為大型機，其服務對象僅為少數特殊的企業或機構，而絕大部分企業無法使用；在80年代，PC機與小型機逐漸普及，企業可通過自行搭建機房，購買硬件設備來完成系統部署，但存在架構不靈活，資源利用性不高等問題；在90年代，企業通過數據中心租用設備來代替自己搭建環境，但當企業業務發展較快、需求變化較快時，仍存在數據中心設備采購周期過長、無法滿足企業需求的問題。

云計算發展歷史

在此基礎上，云計算應運而生，目前已有越來越多企業逐漸將系統遷移到云上，因為云計算平臺能夠快速獲取計算服務、存儲服務，用戶可以按需購買，按量計費，可滿足企業需求。甚至一些技術和資本方面相對成熟的企業已經開始搭建自己的云平臺，并從對內服務逐步擴大為對外提供服務。同時，當前相關政府單位也搭建了多個政務云平臺，逐漸將各類政務系統同一集合到一起，從而實現政務工作的互聯互通，以加強各單位之間的聯系，提高辦事效率。

與傳統的IT架構相比，使用云計算平臺可以實現用戶需要什么服務只需要簡單操作就可獲取，而不需要自身搭建，服務底層的設備不需要用戶自身去維護，這將大大降低運維成本。因此，云計算的發展已成為必然趨勢，但與此同時，云計算的安全防護問題也成為亟需解決的問題。

二、云計算基礎

（一）部署模式

云計算的部署模式主要由以下三種組成：

公有云：通過Internet向多組織用戶提供按需使用的IT資源服務，并按量付費。其典型特點為：多租戶、按需使用、按量付費。

私有云：通過專用網絡向特定組織（通常情況下為單一組織）提供按需交付的IT資源。

混合云：融合了公有云和私有云，企業可選擇將臨時性、按需付費的業務組件部署在公有云中，將主要業務數據、敏感信息等部署在私有云中，增強安全性。

（二）服務方式

云計算服務商提供的服務方式主要有三種，分別為：IAAS（基礎設施即服務），PAAS（平臺即服務）和 SAAS（軟件即服務）。

各類云計算服務商并不會只提供一種服務，由于三種服務模式彼此之間有較多交互的地方，特別位于中間層的PaaS模式，所以很多云計算服務商逐步在自身服務體系中對服務模式進行了擴展和融合，最終實現一站式服務。

IaaS: Infrastructure-as-a-Service(基礎設施即服務)

IaaS公司提供給消費者的服務是對所有計算基礎設施的利用，為不同用戶提供虛擬化環境，提供了計算和存儲功能，具備數據存儲服務、同步服務、管理服務和備份服務等功能。而IaaS模式也是目前云計算模式中占主導地位的模式，目前IaaS占全球云計算細分市場一半以上的規模。中國IaaS市場，阿里云獨占半壁江山，同樣也是一家獨大。

PaaS: Platform-as-a-Service(平臺即服務)

PaaS使得所有開發都在這一層進行，因此可以節省大量時間和資源。PaaS公司在網上提供如虛擬服務器和操作系統的各種開發和分發應用的解決方案。PaaS當前的市場占有率遠遠不如IaaS或SaaS兩種模式，因此對于單純的PaaS服務商來說，如今所面臨的壓力巨大，具有被底層的IaaS或上層的SaaS所取代的風險。但當前云計算行業還尚未完全成熟，PaaS模式會逐步走向融合還是漸漸獨立，現在依然無法下定論。

云計算的服務方式

SaaS: Software-as-a-Service(軟件即服務)

SaaS，也是大眾接觸最多的模式，使用SaaS將不在需要在自己的電腦中額外安裝相應組件。例如通過瀏覽器使用Google、百度等搜索系統，使用E-mail發送，這其實就是SaaS。而當前CRM、ERP、eHR、SCM 等 管 理系統都已經逐步開始SaaS化，究其原因是因為SaaS模式的便利性，它不需要再自行管理維護繁雜的硬件系統及軟件，而是可以直接向軟件提供商租用基于Web或其他結構的軟件就可以使用。

三、測評重點

（一）準備階段

1、前期準備

“準備階段”顧名思義就是對接下來的工作做好準備，除了需要了解傳統測評項目問題外，在準備階段云上項目還應該對以下問題進行確認：

（1）確定測評對象為：云服務商的云平臺或云租戶的應用系統；

（2）確定部署模式為：公有云、私有云或混合云；

（3）確 定 服 務方 式 為：SAAS、PAAS或IAAS；

（4）若測評對象為云租戶的應用系統，還需確定所在云平臺是否已完成相應等級的保護測評工作。

2、系統調研

由于虛擬化等新技術的應用，IaaS/PaaS/SaaS按需服務模式的引入，云計算和傳統信息系統保護對象的區別如下表所示，其中加黑部分為云計算系統所特有的保護對象，在前期調研的過程中，應特別注意以下方面。

表1 云計算和傳統信息系統保護對象區別

（二）現場測評

云計算測評工作的開展首先要明確測評對象是云服務商還是云租戶，因為即使是同一條測評實施內容，針對云服務商與云租戶仍具有不同含義，部分條款僅適用于云服務商，也有部分條款僅適用于云租戶。例如測評實施中：“應檢查云服務商的網絡邊界設備或虛擬化網絡邊界設備，查看安全保障機制、訪問控制規則或訪問控制策略等”，該條僅適用于云服務商，而不適用于云租戶，因此在現場測評階段需要注意區分云計算擴展對云平臺和云租戶的不同要求。

1、資源隔離

云計算運用了虛擬化等技術，將資源量化進行重新分配并交付給用戶，但這在帶來方便的同時也增加了內部風險，類似Intel處理器Meltdown及Spectre等類似漏洞對云平臺的危害非常大，因此資源的有效隔離顯得尤為重要，擴展標準中對于云計算環境下資源隔離的要求總結如下：

（1）應對虛擬機逃逸行為進行檢測和告警；

（2）禁止虛擬實例直接訪問宿主機上的物理硬件；

（3）不同虛擬機之間的虛擬CPU指令、內存空間應隔離；

（4）應根據云租戶業務系統的安全等級劃分網絡安全區域并設置區域間訪問控制規則；

（5）應保證云平臺管理流量與云租戶業務流量分離；

（6）應保證虛擬機僅能遷移至相同安全保護等級的資源池。

2、訪問控制

針對于云計算，訪問控制涉及了安全區域邊界、安全計算環境等多個層面，其重點主要在于云平臺管理方和云租戶方的權限分離方面，可以總結為以下4個要點：

（1）依據訪問控制策略控制虛擬機之間訪問；

（2）實現云平臺管理用戶權限分離機制，為網絡管理員、系統管理員建立不同賬戶并分配相應的權限；

（3）確保只有在云租戶授權下，云服務方或第三方才具有云租戶數據的管理權限；

（4）云計算平臺應提供開放接口或開放性安全服務，允許云租戶接入第三方安全產品或在云平臺選擇第三方安全服務。

3、數據安全

由于云租戶的數據存儲在云平臺中，等保2.0對數據的感知、遷移及數據保密性、可用性、完整性都有更高層次的要求，數據安全需要云平臺和云租戶方共同來承擔，其區別于通用要求的有如下幾點：

（1）用戶可感知：應提供查詢云租戶數據及備份存儲位置的方式；

（2）用戶可遷移：應保證云租戶業務及數據能移植到其他云平臺或者遷移到本地信息系統；

（3）虛擬機安全：確保虛擬機遷移過程中的完整性保護和信息防泄漏；

實驗組35人（92.11%）對教學模式滿意，與對照組27人（72.97%）相比，差異有統計學意義（P＜0.05）。實驗組36人（94.74%）認為所接受的教學能激發學習興趣，與對照組29人（78.38%）相比，差異有統計學意義（P＜0.05）（見表3）。

（4）鏡像安全：對虛擬機鏡像文件進行完整性保護，可檢測到非授權修改；

（5）快照安全：對虛擬機快照文件進行保密性保護。

4、安全管理

在安全管理層面，除云平臺等級應不低于應用系統的安全保護等級外，對于云租戶和云服務商之間的合同協議也應該有更加嚴格的規定，主要包括以下兩點：

（1）應以書面方式約定云服務商的權限與責任，包括管理范圍、職責劃分、訪問授權、隱私保護、行為準則、違約責任等；

（2）簽訂服務水平協議和保密協議，并可提供相關證明。

四、安全防護重點

在實際應用中，不同單位所需的模式不同，部署的方式和架構也有所不同，這導致面臨的安全問題和自身安全需求也千差萬別，而常見模式已經面臨的安全問題可以分為以下幾類：

（一）All in one 模式

All in one模式的特點為企業應用較為簡單，業務需求不高，可部署在單一云服務器ECS上。其所面臨的問題有以下幾點：

1、登錄安全：防止黑客通過暴力破解等登錄ECS；

2、賬號授權管理：不同用戶登錄ECS，分配不同權限；

3、服務器安全漏洞：服務器本身是否存在漏洞，是否及時打補丁；

4、應用訪問攻擊：web端的用戶攻擊，如SQL注入、XSS；

5、數據備份加密：針對云服務器ECS數據進行加密存儲，快照，防止被黑客竊取。

網絡攻擊風險：防止DDOS攻擊，保證可用性。

（二）應用與數據分離模式

應用與數據分離模式的主要特點為在云服務器ESC上部署應用，數據存儲在云數據庫RDS上。其所面臨的問題有以下幾點：

1、數據傳輸安全：保證ECS與RDS間數據傳輸過程中的保密性與完整性；

2、網絡通信安全：保證ECS與RDS間網絡通信不中斷；

3、數據庫訪問白名單授權：防止黑客IP訪問數據庫；

4、數據庫備份容災：對數據進行備份，保證及時恢復。

（三）應用集群部署

應用集群部署的主要特點為部署負載均衡SLB，后端部署ESC集群，解決系統前端壓力，提高可用性。其所面臨的問題有以下幾點：

1、服務器訪問授權：僅授權SLB對ESC進行訪問，提升前端訪問ECS的安全性；

2、服務器安全區域隔離：防止黑客通過一臺ECS作為跳板入侵其他ECS；

3、負載均衡加密訪問：加密證書上傳至SLB，保證加密訪問每個ECS。

（四）動靜資源分離

動靜字源分離的主要特點為對非結構化直接存入云存儲OSS，降低系統存儲壓力。其所面臨的問題有以下幾點：

1、云存儲數據備份和加密：對云存儲中數據進行備份，保證數據不丟失，對云存儲中數據進行加密存儲，防止被黑客竊??；

2、云存儲數據容災：防止云存儲服務不可用而導致數據丟失。