電信運營商私有云資源池的安全風(fēng)險和防護途徑

摘要：為了進一步推動運營商私有云資源池業(yè)務(wù)發(fā)展進程，要明確資源池分層架構(gòu)，配合私有云系統(tǒng)部署方案，集中解決運行中的安全風(fēng)險問題，從而借助網(wǎng)絡(luò)隔離、權(quán)限管控、日常安全檢查、審計、殘留數(shù)據(jù)清理等環(huán)節(jié)提升電信運營商私有云資源池安全防護水平，為信息安全、業(yè)務(wù)安全的全面發(fā)展提供保障。

關(guān)鍵詞：運營商;私有云資源池;安全風(fēng)險;防護措施

一、引言

伴隨著數(shù)據(jù)業(yè)務(wù)體系的不斷發(fā)展，運營商也面臨著5G技術(shù)體系下業(yè)務(wù)和架構(gòu)的轉(zhuǎn)型挑戰(zhàn)，為了更好地滿足新業(yè)務(wù)發(fā)展需求，要搭建更加科學(xué)的數(shù)字化業(yè)務(wù)整合平臺，發(fā)揮私有云資源池的應(yīng)用優(yōu)勢，促進運營商綜合競爭力的全面進步。

二、私有云資源池的定義

私有云資源池指的是企業(yè)利用自身的IT機構(gòu)，或者是云提供商構(gòu)建的云平臺，將其部署在企業(yè)數(shù)據(jù)中心防火墻內(nèi)，或者是主機托管場所，實現(xiàn)專有資源控制。私有云平臺、私有云服務(wù)以及私有云管理平臺是主要組成元素。基于此，運營商都會完善并且經(jīng)營獨立的私有云資源池，以確保相關(guān)服務(wù)的安全性和實效性。

三、云資源池分層發(fā)展思路

第一，業(yè)務(wù)應(yīng)用層，主要是推動業(yè)務(wù)應(yīng)用云化改造工作進程，將建設(shè)客戶為中心的服務(wù)型運營業(yè)務(wù)平臺以及大數(shù)據(jù)分析模式作為核心業(yè)務(wù)內(nèi)容。第二，平臺能力層，主要是構(gòu)建基于軟件訪問和企業(yè)級能力開放的應(yīng)用框架體系，確保PaaS層能力得以拓展。第三，基礎(chǔ)設(shè)施層，主要是構(gòu)建異構(gòu)云資源池，有效提升服務(wù)器等基礎(chǔ)設(shè)施的云化水平，確保基礎(chǔ)設(shè)施資源供給管理工作有序落實。第四，運營管理層，將資源運營管理作為業(yè)務(wù)要點，確保管理模式和端到端自動化運維管理平臺運行的穩(wěn)定性[1]。第五，機房配套層，對功能區(qū)域和設(shè)備布局予以實時性規(guī)劃管理，保證運行安全性、環(huán)保節(jié)能性。

四、云資源池安全風(fēng)險分析

（一）安全優(yōu)勢

第一，要想從根本上保證云資源池安全水平，運營商在私有云資源池建設(shè)的過程中就會配置完整的安全設(shè)備和處理模式，依據(jù)業(yè)務(wù)系統(tǒng)的實時性需求還能提供監(jiān)測和防護服務(wù)，以維持管理規(guī)范性和安全性。相較于傳統(tǒng)業(yè)務(wù)體系中煙囪式架構(gòu)控制體系，云資源池安全管理要獨立設(shè)置安全設(shè)備，并且業(yè)務(wù)系統(tǒng)分攤的成本也能有所降低，為安全設(shè)備控制體系的建立提供了保障。

第二，私有云資源池利用云管理品牌集中管理機制，能有效提升資源的實時性控制效果，并且配合完整地云端管理，能大大避免無人管理或者是無人調(diào)取分析的流離資產(chǎn)，減少資源浪費的基礎(chǔ)上，還能保證資源池應(yīng)用控制的規(guī)范性。與此同時，云資源池集中管理提升了資產(chǎn)監(jiān)督控制的規(guī)范性，相較于傳統(tǒng)流利資產(chǎn)管理模式其安全性更高。

（二）安全風(fēng)險

在云資源池安全管理工作中，依舊存在風(fēng)險問題。

首先，私有云資源池本身就是在傳統(tǒng)架構(gòu)基礎(chǔ)上建立的，其應(yīng)用過程難免會留存?zhèn)鹘y(tǒng)架構(gòu)中各個層級的共性問題，尤其是物理安全問題、主機問題等，基礎(chǔ)設(shè)施安全若是不能得到有效的關(guān)注和管控，也會對應(yīng)用安全性產(chǎn)生影響[4]。

其次，私有云資源池自身的安全風(fēng)險問題，最關(guān)鍵的就是資源池本身是將資源進行虛擬化處理，然后提供給不同的業(yè)務(wù)系統(tǒng)實現(xiàn)共享，在理想情況下，虛擬機-虛擬機、虛擬機-宿主機需要保持相互獨立的運行狀態(tài)，配合網(wǎng)絡(luò)隔離維持安全性。然而，實際去卻是物理層面存儲、內(nèi)存等資源均為公用資源，一旦隔離失效必然會對虛擬機安全造成影響，侵擾其他虛擬機，甚至?xí)霈F(xiàn)虛擬機逃逸以獲取整個主機權(quán)限完成云資源池的侵占[2]。

五、資源池管理相關(guān)部門職責(zé)分工

資源池能為電信運營提供業(yè)務(wù)支持和網(wǎng)管支持，并且匹配管理信息化應(yīng)用系統(tǒng)，打造集成化、標(biāo)準化的平臺服務(wù)機制，不僅能滿足軟件服務(wù)要求，還能打造網(wǎng)絡(luò)和安全服務(wù)平臺。

因此，結(jié)合業(yè)務(wù)內(nèi)容一般分為以下部門：1.計劃建設(shè)部門;2.私有云維護部門;3.信息安全部門;4.資源需求部門。各部分各司其職，以便于資源池管理工作有序開展。

六、私有云的部署方式

為保證私有云資源池應(yīng)用控制工作的合理性和規(guī)范性，就要結(jié)合其實際應(yīng)用環(huán)境和要求落實對應(yīng)的工作模式，保證部署機制和部署內(nèi)容都能貼合基本的需求，從而為私有云資源池應(yīng)用價值的最優(yōu)化提供支持。在私有云部署工作中，要明確其應(yīng)用架構(gòu)，并按照應(yīng)用系統(tǒng)的具體情況完成部署工作，依據(jù)總體原則，配合運營管理要求、資源測算模型等工作環(huán)節(jié)，維持部署體系的統(tǒng)籌效果，從而保證私有云資源池效率符合預(yù)期。

（一）私有云應(yīng)用架構(gòu)

在網(wǎng)絡(luò)不斷發(fā)展的基礎(chǔ)上，云計算受到了廣泛關(guān)注，其本身是用量付費控制模式，能實現(xiàn)便捷化網(wǎng)絡(luò)服務(wù)，并且能實現(xiàn)計算資源池的配置處理，企業(yè)借助相應(yīng)的資源切換處理方式完成資源應(yīng)用控制，結(jié)合需求進行計算機和存儲設(shè)備的訪問。而在私有云部署處理工作中，要依據(jù)域完成劃分，并配合分層搭建的處理模式，較為常見的劃分內(nèi)容為一級云平臺和省級云平臺，前者能實現(xiàn)實時性管理，并為集團提供總體業(yè)務(wù)管理和運營支持[3]。后者則是對省內(nèi)業(yè)務(wù)和運營予以協(xié)同管理。

（二）應(yīng)用系統(tǒng)部署

結(jié)合應(yīng)用要求和規(guī)范，滿足總體部署原則的基礎(chǔ)上，按照運營管理的規(guī)范內(nèi)容開展具體作業(yè)，從而維持系統(tǒng)部署的科學(xué)效果。

1. 總體原則

（1）業(yè)務(wù)環(huán)境部署原則。主要對峰值和平均業(yè)務(wù)訪問量、業(yè)務(wù)訪問要求等予以管理，確保系統(tǒng)軟件選型和基礎(chǔ)設(shè)施資源需求得以滿足。（2）應(yīng)用架構(gòu)部署原則。結(jié)合應(yīng)用云化特征和獨立部署標(biāo)準對計算機型應(yīng)用和數(shù)據(jù)服務(wù)型應(yīng)用、Web服務(wù)型應(yīng)用等予以差異化控制。（3）部署環(huán)境。綜合分析中間件和數(shù)據(jù)庫，保證資源和特征的對應(yīng)性，充分考量集成方式、資源具體要求等要素。（4）運維部署原則。確保業(yè)務(wù)連續(xù)性保障工作和容災(zāi)應(yīng)急規(guī)劃工作等都能落實到位，匹配云化運維彈性擴展模塊，確保冗余度配置要求符合標(biāo)準。

2. 運營管理要求

在云化系統(tǒng)指導(dǎo)下，要對資源進行統(tǒng)一規(guī)劃，確保監(jiān)控內(nèi)容、調(diào)度模式、分配方式、調(diào)撥要求以及運維管理等工作都能貼合實際需求，真正意義上打造全壽命周期運維管理方案，確保集成化應(yīng)用部署等工作細則都能按照標(biāo)準要求有序開展，真正意義上實現(xiàn)物理資源、虛擬資源和集成應(yīng)用資源的協(xié)調(diào)統(tǒng)一[5]。

3. 資源測算模型

在私有云資源池部署體系中，要充分重視資源的價值，所謂資源，指的就是系統(tǒng)不同應(yīng)用在計算處理過程、數(shù)據(jù)存儲訪問過程以及指令傳達等環(huán)節(jié)中依賴設(shè)施的關(guān)鍵技術(shù)指標(biāo)，不僅包括主機CPU、內(nèi)存數(shù)據(jù)、I/O，還包括交換機端口等內(nèi)容，匹配軟件性能工程處理模式，就能打造更加系統(tǒng)且定量的管控機制，減少性能驅(qū)動開發(fā)造成的影響。為了保證資源測算模型應(yīng)用的合理性，要落實相應(yīng)的資源管理辦法（見表1），維持資源控制基礎(chǔ)效果。而在軟件性能工程中，要結(jié)合性能基準設(shè)定要求完成軟件測試，較為常見的是軟件執(zhí)行模型和系統(tǒng)資源模型。而系統(tǒng)資源模型要借助計算機資源完成建模和分析工作，能在描述系統(tǒng)需求的同時，打造排隊網(wǎng)絡(luò)模型，完成資源測算工作。

七、云資源池安全防護措施

為保證云資源池安全防護效果，要整合具體的防控措施，確保安全設(shè)施部署、安全管控流程監(jiān)督等工作內(nèi)容都能有序開展。

（一）部署安全設(shè)施

1. 主機防護設(shè)備

在主機防護設(shè)備部署的過程中，要對物理主機和虛擬主機予以協(xié)同管理和保護，維持良好的應(yīng)用狀態(tài)，并且搭建入侵檢測防御模塊、漏洞風(fēng)險檢測模塊、基線配置檢查模塊和弱口令檢測模塊等，及時查殺病毒和惡意程序，從而維持實時性保護和控制的規(guī)范性。

2. 堡壘機

在云資源池安全防護體系中，堡壘機能打造業(yè)務(wù)內(nèi)容集中認證和賬號綜合授權(quán)管理的控制模式，并且，配合集中審計等基礎(chǔ)環(huán)節(jié)，就能建構(gòu)統(tǒng)一運維管理體系，及時攔截非法指令或者是違規(guī)操作等內(nèi)容，發(fā)揮預(yù)警優(yōu)勢作用，提升部署安全性。

3. 網(wǎng)站防護設(shè)備

在網(wǎng)絡(luò)應(yīng)用控制體系中，多數(shù)業(yè)務(wù)系統(tǒng)均具備Web網(wǎng)站，配合云資源池部署防護要求建立集中化保護模式，并且配合防火墻的基礎(chǔ)組成單元，減少網(wǎng)站受到攻擊的概率，也能最大程度上避免數(shù)據(jù)被剽竊的可能性。利用相應(yīng)的阻斷處理模式就能有效維持網(wǎng)頁文件的安全性、完整性，甚至在被惡意篡改后及時修復(fù)。

（二）安全管控

1. 網(wǎng)絡(luò)隔離

指的是結(jié)合網(wǎng)絡(luò)應(yīng)用要求部署差異化VLAN以及獨立的虛擬防火墻結(jié)構(gòu)，從而打造獨立的防護控制單元，確保業(yè)務(wù)系統(tǒng)之間能呈現(xiàn)出獨立運行狀態(tài)，而對于需要建立業(yè)務(wù)交互工作的系統(tǒng)則需要在其他應(yīng)用體系內(nèi)完成交接。盡管這種處理機制會浪費一部分網(wǎng)絡(luò)資源，但卻能維持業(yè)務(wù)系統(tǒng)獨立安全性，結(jié)合流量設(shè)置處理方式，在系統(tǒng)出現(xiàn)網(wǎng)絡(luò)風(fēng)暴等異常情況時占據(jù)小部分出口帶寬，為其他系統(tǒng)的綜合處理提供支持。

2. 權(quán)限管控

為了提升常規(guī)化管理工作的基本水平，要結(jié)合實際應(yīng)用環(huán)境完善權(quán)限管理操作，依據(jù)最小化權(quán)限原則完成云資源池和業(yè)務(wù)系統(tǒng)管理賬號權(quán)限設(shè)置工作，限制維護操作內(nèi)容的同時，確保堡壘機完成輔助處理內(nèi)容，也為雙因子認證模式的落實提供支持，確保靜態(tài)口令、一次性口令、數(shù)字證書以及動態(tài)口令等都能落實到位，維持權(quán)限集中管理的實效性。另外，要將所有資源池操作內(nèi)容均記錄在日志信息中，以保證后續(xù)分析工作的合理性和規(guī)范性，發(fā)現(xiàn)違規(guī)操作或者是非法操作后，提供審計依據(jù)，保持信息安全和業(yè)務(wù)安全性。除此之外，為了權(quán)限管控的基本效率符合業(yè)務(wù)應(yīng)用要求，一般是采取雙人方式進行業(yè)務(wù)安全和信息安全的權(quán)限管理，依據(jù)流程一個人操作、另一個人審批，實現(xiàn)過程化管理的目標(biāo)。

3. 日常安全檢查

在云資源池安全防護工作中，盡管控制體系具備自動防護的作用，但是其依舊存在誤報、漏報等隱患，所以，匹配自動化處理模式建立第三方設(shè)備日常維護方案非常關(guān)鍵，確保源資源池和業(yè)務(wù)系統(tǒng)層面級別檢測工作的實效性，維持檢查的總體效果。一方面，要約束日常檢查的內(nèi)容，主要是針對系統(tǒng)漏洞、基線配置、賬號弱口令等予以集中檢查和分析，了解可能存在的隱患問題。另一方面，要約束檢查范圍，一般是對操作系統(tǒng)、中間件系統(tǒng)以及數(shù)據(jù)庫等予以評估，并且要針對Web網(wǎng)頁開展集中的掃描分析和人工滲透檢查處理，發(fā)現(xiàn)問題后及時整改，打造完整地推進管理機制，減少安全漏洞問題[6]。

4. 殘留數(shù)據(jù)清理

為了保證云資源池安全防護工作落實到位，在云資源池上退網(wǎng)的業(yè)務(wù)系統(tǒng)也要歸類在集中管理框架體系內(nèi)，一般是對原分配存儲設(shè)備予以數(shù)據(jù)的處理，采取永久性刪除的方式，避免數(shù)據(jù)遺漏造成的問題。而對于故障替換的存儲設(shè)備，則一般采取消處理，從根本上減少資料信息外泄的可能性，提升數(shù)據(jù)監(jiān)督管理的綜合水平。

八、電信運營商私有云資源池發(fā)展展望

在電信通信全面發(fā)展的時代背景下，私有云資源池也將向著更加規(guī)范化的方向發(fā)展。一方面，將實現(xiàn)資源的多元整合，實現(xiàn)壁壘破除的目標(biāo)，為企業(yè)級私有云資源池發(fā)展提供保障。另一方面，我國移動未來運營發(fā)展也將實現(xiàn)聯(lián)網(wǎng)統(tǒng)籌的目標(biāo)，建設(shè)高效融合低成本云資源池也將成為未來電信運營最關(guān)鍵的決策。

九、結(jié)束語

總而言之，電信運營商私有云資源池管理工作具有重要的實踐意義，為此，要維持系統(tǒng)云化狀態(tài)的同時，優(yōu)化維護效率，及時發(fā)現(xiàn)存在的風(fēng)險問題并落實相關(guān)處理工作，保證承載業(yè)務(wù)系統(tǒng)的安全性和規(guī)范性，突破技術(shù)壁壘，為資源整合以及資源池發(fā)展提供保障，促進電信運營商資源管理工作可持續(xù)發(fā)展。

作者單位：孫翠鋒" "胡建村" " 中國移動集團公司信息技術(shù)中心

參" 考" 文" 獻

[1]許智. 電信運營商私有云資源池的安全風(fēng)險和防護[J].數(shù)字通信世界，2020（6）：48-49.

[2]謝玉棟. 運營商私有云架構(gòu)設(shè)計及IT系統(tǒng)整合策略淺析[J].商品與質(zhì)量，2016（48）：116.

[3]孫興宇. 上海移動運營商信息安全管控系統(tǒng)的優(yōu)化設(shè)計與實施[D].山東：山東大學(xué)，2018.

[4]蔡金金. 江蘇聯(lián)通政企支撐私有云項目的風(fēng)險管理研究[D]. 江蘇：南京郵電大學(xué)，2018.