電信運營商私有云資源池的安全風險和防護途徑

摘要：為了進一步推動運營商私有云資源池業務發展進程，要明確資源池分層架構，配合私有云系統部署方案，集中解決運行中的安全風險問題，從而借助網絡隔離、權限管控、日常安全檢查、審計、殘留數據清理等環節提升電信運營商私有云資源池安全防護水平，為信息安全、業務安全的全面發展提供保障。

關鍵詞：運營商;私有云資源池;安全風險;防護措施

一、引言

伴隨著數據業務體系的不斷發展，運營商也面臨著5G技術體系下業務和架構的轉型挑戰，為了更好地滿足新業務發展需求，要搭建更加科學的數字化業務整合平臺，發揮私有云資源池的應用優勢，促進運營商綜合競爭力的全面進步。

二、私有云資源池的定義

私有云資源池指的是企業利用自身的IT機構，或者是云提供商構建的云平臺，將其部署在企業數據中心防火墻內，或者是主機托管場所，實現專有資源控制。私有云平臺、私有云服務以及私有云管理平臺是主要組成元素。基于此，運營商都會完善并且經營獨立的私有云資源池，以確保相關服務的安全性和實效性。

三、云資源池分層發展思路

第一，業務應用層，主要是推動業務應用云化改造工作進程，將建設客戶為中心的服務型運營業務平臺以及大數據分析模式作為核心業務內容。第二，平臺能力層，主要是構建基于軟件訪問和企業級能力開放的應用框架體系，確保PaaS層能力得以拓展。第三，基礎設施層，主要是構建異構云資源池，有效提升服務器等基礎設施的云化水平，確保基礎設施資源供給管理工作有序落實。第四，運營管理層，將資源運營管理作為業務要點，確保管理模式和端到端自動化運維管理平臺運行的穩定性[1]。第五，機房配套層，對功能區域和設備布局予以實時性規劃管理，保證運行安全性、環保節能性。

四、云資源池安全風險分析

（一）安全優勢

第一，要想從根本上保證云資源池安全水平，運營商在私有云資源池建設的過程中就會配置完整的安全設備和處理模式，依據業務系統的實時性需求還能提供監測和防護服務，以維持管理規范性和安全性。相較于傳統業務體系中煙囪式架構控制體系，云資源池安全管理要獨立設置安全設備，并且業務系統分攤的成本也能有所降低，為安全設備控制體系的建立提供了保障。

第二，私有云資源池利用云管理品牌集中管理機制，能有效提升資源的實時性控制效果，并且配合完整地云端管理，能大大避免無人管理或者是無人調取分析的流離資產，減少資源浪費的基礎上，還能保證資源池應用控制的規范性。與此同時，云資源池集中管理提升了資產監督控制的規范性，相較于傳統流利資產管理模式其安全性更高。

（二）安全風險

在云資源池安全管理工作中，依舊存在風險問題。

首先，私有云資源池本身就是在傳統架構基礎上建立的，其應用過程難免會留存傳統架構中各個層級的共性問題，尤其是物理安全問題、主機問題等，基礎設施安全若是不能得到有效的關注和管控，也會對應用安全性產生影響[4]。

其次，私有云資源池自身的安全風險問題，最關鍵的就是資源池本身是將資源進行虛擬化處理，然后提供給不同的業務系統實現共享，在理想情況下，虛擬機-虛擬機、虛擬機-宿主機需要保持相互獨立的運行狀態，配合網絡隔離維持安全性。然而，實際去卻是物理層面存儲、內存等資源均為公用資源，一旦隔離失效必然會對虛擬機安全造成影響，侵擾其他虛擬機，甚至會出現虛擬機逃逸以獲取整個主機權限完成云資源池的侵占[2]。

五、資源池管理相關部門職責分工

資源池能為電信運營提供業務支持和網管支持，并且匹配管理信息化應用系統，打造集成化、標準化的平臺服務機制，不僅能滿足軟件服務要求，還能打造網絡和安全服務平臺。

因此，結合業務內容一般分為以下部門：1.計劃建設部門;2.私有云維護部門;3.信息安全部門;4.資源需求部門。各部分各司其職，以便于資源池管理工作有序開展。

六、私有云的部署方式

為保證私有云資源池應用控制工作的合理性和規范性，就要結合其實際應用環境和要求落實對應的工作模式，保證部署機制和部署內容都能貼合基本的需求，從而為私有云資源池應用價值的最優化提供支持。在私有云部署工作中，要明確其應用架構，并按照應用系統的具體情況完成部署工作，依據總體原則，配合運營管理要求、資源測算模型等工作環節，維持部署體系的統籌效果，從而保證私有云資源池效率符合預期。

（一）私有云應用架構

在網絡不斷發展的基礎上，云計算受到了廣泛關注，其本身是用量付費控制模式，能實現便捷化網絡服務，并且能實現計算資源池的配置處理，企業借助相應的資源切換處理方式完成資源應用控制，結合需求進行計算機和存儲設備的訪問。而在私有云部署處理工作中，要依據域完成劃分，并配合分層搭建的處理模式，較為常見的劃分內容為一級云平臺和省級云平臺，前者能實現實時性管理，并為集團提供總體業務管理和運營支持[3]。后者則是對省內業務和運營予以協同管理。

（二）應用系統部署

結合應用要求和規范，滿足總體部署原則的基礎上，按照運營管理的規范內容開展具體作業，從而維持系統部署的科學效果。

1. 總體原則

（1）業務環境部署原則。主要對峰值和平均業務訪問量、業務訪問要求等予以管理，確保系統軟件選型和基礎設施資源需求得以滿足。（2）應用架構部署原則。結合應用云化特征和獨立部署標準對計算機型應用和數據服務型應用、Web服務型應用等予以差異化控制。（3）部署環境。綜合分析中間件和數據庫，保證資源和特征的對應性，充分考量集成方式、資源具體要求等要素。（4）運維部署原則。確保業務連續性保障工作和容災應急規劃工作等都能落實到位，匹配云化運維彈性擴展模塊，確保冗余度配置要求符合標準。

2. 運營管理要求

在云化系統指導下，要對資源進行統一規劃，確保監控內容、調度模式、分配方式、調撥要求以及運維管理等工作都能貼合實際需求，真正意義上打造全壽命周期運維管理方案，確保集成化應用部署等工作細則都能按照標準要求有序開展，真正意義上實現物理資源、虛擬資源和集成應用資源的協調統一[5]。

3. 資源測算模型

在私有云資源池部署體系中，要充分重視資源的價值，所謂資源，指的就是系統不同應用在計算處理過程、數據存儲訪問過程以及指令傳達等環節中依賴設施的關鍵技術指標，不僅包括主機CPU、內存數據、I/O，還包括交換機端口等內容，匹配軟件性能工程處理模式，就能打造更加系統且定量的管控機制，減少性能驅動開發造成的影響。為了保證資源測算模型應用的合理性，要落實相應的資源管理辦法（見表1），維持資源控制基礎效果。而在軟件性能工程中，要結合性能基準設定要求完成軟件測試，較為常見的是軟件執行模型和系統資源模型。而系統資源模型要借助計算機資源完成建模和分析工作，能在描述系統需求的同時，打造排隊網絡模型，完成資源測算工作。

七、云資源池安全防護措施

為保證云資源池安全防護效果，要整合具體的防控措施，確保安全設施部署、安全管控流程監督等工作內容都能有序開展。

（一）部署安全設施

1. 主機防護設備

在主機防護設備部署的過程中，要對物理主機和虛擬主機予以協同管理和保護，維持良好的應用狀態，并且搭建入侵檢測防御模塊、漏洞風險檢測模塊、基線配置檢查模塊和弱口令檢測模塊等，及時查殺病毒和惡意程序，從而維持實時性保護和控制的規范性。

2. 堡壘機

在云資源池安全防護體系中，堡壘機能打造業務內容集中認證和賬號綜合授權管理的控制模式，并且，配合集中審計等基礎環節，就能建構統一運維管理體系，及時攔截非法指令或者是違規操作等內容，發揮預警優勢作用，提升部署安全性。

3. 網站防護設備

在網絡應用控制體系中，多數業務系統均具備Web網站，配合云資源池部署防護要求建立集中化保護模式，并且配合防火墻的基礎組成單元，減少網站受到攻擊的概率，也能最大程度上避免數據被剽竊的可能性。利用相應的阻斷處理模式就能有效維持網頁文件的安全性、完整性，甚至在被惡意篡改后及時修復。

（二）安全管控

1. 網絡隔離

指的是結合網絡應用要求部署差異化VLAN以及獨立的虛擬防火墻結構，從而打造獨立的防護控制單元，確保業務系統之間能呈現出獨立運行狀態，而對于需要建立業務交互工作的系統則需要在其他應用體系內完成交接。盡管這種處理機制會浪費一部分網絡資源，但卻能維持業務系統獨立安全性，結合流量設置處理方式，在系統出現網絡風暴等異常情況時占據小部分出口帶寬，為其他系統的綜合處理提供支持。

2. 權限管控

為了提升常規化管理工作的基本水平，要結合實際應用環境完善權限管理操作，依據最小化權限原則完成云資源池和業務系統管理賬號權限設置工作，限制維護操作內容的同時，確保堡壘機完成輔助處理內容，也為雙因子認證模式的落實提供支持，確保靜態口令、一次性口令、數字證書以及動態口令等都能落實到位，維持權限集中管理的實效性。另外，要將所有資源池操作內容均記錄在日志信息中，以保證后續分析工作的合理性和規范性，發現違規操作或者是非法操作后，提供審計依據，保持信息安全和業務安全性。除此之外，為了權限管控的基本效率符合業務應用要求，一般是采取雙人方式進行業務安全和信息安全的權限管理，依據流程一個人操作、另一個人審批，實現過程化管理的目標。

3. 日常安全檢查

在云資源池安全防護工作中，盡管控制體系具備自動防護的作用，但是其依舊存在誤報、漏報等隱患，所以，匹配自動化處理模式建立第三方設備日常維護方案非常關鍵，確保源資源池和業務系統層面級別檢測工作的實效性，維持檢查的總體效果。一方面，要約束日常檢查的內容，主要是針對系統漏洞、基線配置、賬號弱口令等予以集中檢查和分析，了解可能存在的隱患問題。另一方面，要約束檢查范圍，一般是對操作系統、中間件系統以及數據庫等予以評估，并且要針對Web網頁開展集中的掃描分析和人工滲透檢查處理，發現問題后及時整改，打造完整地推進管理機制，減少安全漏洞問題[6]。

4. 殘留數據清理

為了保證云資源池安全防護工作落實到位，在云資源池上退網的業務系統也要歸類在集中管理框架體系內，一般是對原分配存儲設備予以數據的處理，采取永久性刪除的方式，避免數據遺漏造成的問題。而對于故障替換的存儲設備，則一般采取消處理，從根本上減少資料信息外泄的可能性，提升數據監督管理的綜合水平。

八、電信運營商私有云資源池發展展望

在電信通信全面發展的時代背景下，私有云資源池也將向著更加規范化的方向發展。一方面，將實現資源的多元整合，實現壁壘破除的目標，為企業級私有云資源池發展提供保障。另一方面，我國移動未來運營發展也將實現聯網統籌的目標，建設高效融合低成本云資源池也將成為未來電信運營最關鍵的決策。

九、結束語

總而言之，電信運營商私有云資源池管理工作具有重要的實踐意義，為此，要維持系統云化狀態的同時，優化維護效率，及時發現存在的風險問題并落實相關處理工作，保證承載業務系統的安全性和規范性，突破技術壁壘，為資源整合以及資源池發展提供保障，促進電信運營商資源管理工作可持續發展。

作者單位：孫翠鋒" "胡建村" " 中國移動集團公司信息技術中心

參" 考" 文" 獻

[1]許智. 電信運營商私有云資源池的安全風險和防護[J].數字通信世界，2020（6）：48-49.

[2]謝玉棟. 運營商私有云架構設計及IT系統整合策略淺析[J].商品與質量，2016（48）：116.

[3]孫興宇. 上海移動運營商信息安全管控系統的優化設計與實施[D].山東：山東大學，2018.

[4]蔡金金. 江蘇聯通政企支撐私有云項目的風險管理研究[D]. 江蘇：南京郵電大學，2018.