關于云等保的解讀
隨著一系列等級保護新標準的順利發(fā)布，網絡安全等級保護也進入到2.0時代。作為新增的等級保護對象，云計算平臺/系統(tǒng)新增安全要求如何？有哪些地方值得重點關注？
今天來為您一一解讀。
一、云安全挑戰(zhàn)
云計算平臺作為信息化建設中的重要系統(tǒng)，具備開放型巨系統(tǒng)的特征，系統(tǒng)組成極為復雜。由此決定著云計算平臺將面臨著各個層面的網絡安全挑戰(zhàn)。
首先，是來自網絡和通訊的安全挑戰(zhàn)。這類攻擊是借助網絡、通訊特性如帶寬、傳輸會話、數據包轉發(fā)等實施的攻擊。例如，直接通過網絡實施DDOS攻擊，通過網絡使用不安全接口實施注入、盜取秘鑰、非法獲取敏感數據、非法篡改數據攻擊，通過網絡實施賬戶劫持以及通過網絡傳輸的APT類攻擊等。
其次，是面向設備和計算的安全挑戰(zhàn)。攻擊者利用云計算設備和平臺性能優(yōu)勢或固有特性實施直接或間接的攻擊，如：身份驗證和憑證被盜取、云計算存儲資源數據殘留、存在漏洞的基礎服務資源被共享使用、云服務被濫用于其他網絡攻擊等。
第三，是面向應用和數據的安全挑戰(zhàn)。應用的目的是處理數據，云計算軟件漏洞、不安全接口、數據庫存儲不受控、黑客攻擊、員工處理數據的異常操作、未被授權的訪問等可造成數據泄露、數據異常銷毀、數據永久丟失等重大損失。
第四，是來自管理、運維的安全挑戰(zhàn)。在云計算管理層面，缺乏盡職調查、數據所有權缺乏保障體系；在運維層面，存在云使用方或云租戶對云計算服務方過度依賴，甚至被云計算服務方鎖定、惡意越權訪問、濫用職權以及誤操作等，存在信息安全隱患的管理和運維，這些對云計算平臺的安全穩(wěn)定帶來巨大風險和隱患。
二、云等保要求總覽
在政府積極引導和企業(yè)戰(zhàn)略布局等推動下，經過近十余年的發(fā)展，云計算已逐漸被市場認可和接受，政務、金融、運營商和工業(yè)等多個行業(yè)的信息系統(tǒng)已經運行在云端。相對于傳統(tǒng)信息系統(tǒng)，云計算平臺/系統(tǒng)如何進行等級保護非常受關注。新等級保護標準的發(fā)布，明確了云計算平臺/系統(tǒng)作為等級保護對象的具體要求，指導云計算平臺/系統(tǒng)的安全建設。
新標準中對于云計算平臺/系統(tǒng)的等級保護，仍然根據“一個中心，三重防護”體系框架，提出了具體的技術要求，以及包含云服務商選擇、供應鏈管理和云計算環(huán)境管理等方面的管理要求。云計算平臺/系統(tǒng)的安全建設或安全整改，需同時根據安全通用要求和安全擴展要求，構建具有相應等級安全防護能力的安全防御體系。
注：安全管理制度、安全管理機構和安全管理人員，云計算平臺/系統(tǒng)無單獨安全擴展要求。
三、云等保組織架構
云計算等級保護的施行由兩部分組成，一部分是組織，另外一部分是施行邏輯。就組織而言，云計算等級保護有完善的指導、規(guī)劃、試測、建設、驗證、審計和持續(xù)優(yōu)化流程組織形式和流程。
等級保護實施流程
四、云等?？蚣?br />
云計算等級保護是整個等保2.0的一部分，它與等級保護的“通用”部分形成一個整體，來約束云計算平臺的等級保護建設，為云計算平臺網絡安全建設設立基線。云計算等級保護框架按照系統(tǒng)組成來劃分，大致可分為面向整個云計算平臺的防護要求和面向云計算負載的防護要求。
云計算安全等級保護是等級保護框架的一部分
云計算系統(tǒng)分級需要綜合等級保護中的安全通用要求和云計算安全兩個模塊的內容，進行定級。云計算等級保護的每個等級依據威脅對目標造成的影響程度，形成有梯度的防護。這些要求被整體劃分為技術要求和管理要求，分別面向云計算平臺系統(tǒng)和云計算平臺管理兩個部分。以三級等保建設為例，其技術要求160多項、管理要求120多項。
對于云計算平臺/系統(tǒng)的等級保護，我們以第三級要求說明有哪些應該重點關注。
五、抓住重點
1.責任共擔要求
云計算平臺/系統(tǒng)通常由設施、硬件、資源抽象控制、虛擬化計算資源、軟件平臺和應用軟件等組成。根據不同服務模式（IaaS、PaaS和SaaS），云服務商和云服務客戶擁有不同控制范圍，其安全責任邊界不同；云服務商和云服務客戶應根據各自安全責任，進行安全防護能力建設?，F實情況是云服務客戶通常認為安全防護應該由云服務商實現，只需把業(yè)務系統(tǒng)遷移至云端即可，這需要引導云服務客戶關注等級保護，并采取相應安全防護，與云服務商一起共同保護云計算平臺/系統(tǒng)。
2.安全通信網絡要求
解讀：
根據控制范圍，云計算定級對象可分為云服務商控制部分（如云計算平臺）和云服務客戶控制部分（如業(yè)務應用系統(tǒng)），應分別進行定級，且云服務商控制部分比云服務客戶控制部分高，云服務商的測評可以被復用。在進行安全建設時，云服務商應該為云服務客戶提供安全產品或服務，然而云計算平臺/系統(tǒng)，尤其是私有云部署方式下，僅提供基礎的安全能力，并不能滿足等級保護要求。這就需要云服務商能夠提供第三方安全產品/服務或允許客戶接入第三方安全產品或服務，并且云服務客戶可以自主設置安全策略。
3.安全區(qū)域邊界
解讀：
今天來為您一一解讀。
一、云安全挑戰(zhàn)
云計算平臺作為信息化建設中的重要系統(tǒng)，具備開放型巨系統(tǒng)的特征，系統(tǒng)組成極為復雜。由此決定著云計算平臺將面臨著各個層面的網絡安全挑戰(zhàn)。
首先，是來自網絡和通訊的安全挑戰(zhàn)。這類攻擊是借助網絡、通訊特性如帶寬、傳輸會話、數據包轉發(fā)等實施的攻擊。例如，直接通過網絡實施DDOS攻擊，通過網絡使用不安全接口實施注入、盜取秘鑰、非法獲取敏感數據、非法篡改數據攻擊，通過網絡實施賬戶劫持以及通過網絡傳輸的APT類攻擊等。
其次，是面向設備和計算的安全挑戰(zhàn)。攻擊者利用云計算設備和平臺性能優(yōu)勢或固有特性實施直接或間接的攻擊，如：身份驗證和憑證被盜取、云計算存儲資源數據殘留、存在漏洞的基礎服務資源被共享使用、云服務被濫用于其他網絡攻擊等。
第三，是面向應用和數據的安全挑戰(zhàn)。應用的目的是處理數據，云計算軟件漏洞、不安全接口、數據庫存儲不受控、黑客攻擊、員工處理數據的異常操作、未被授權的訪問等可造成數據泄露、數據異常銷毀、數據永久丟失等重大損失。
第四，是來自管理、運維的安全挑戰(zhàn)。在云計算管理層面，缺乏盡職調查、數據所有權缺乏保障體系；在運維層面，存在云使用方或云租戶對云計算服務方過度依賴，甚至被云計算服務方鎖定、惡意越權訪問、濫用職權以及誤操作等，存在信息安全隱患的管理和運維，這些對云計算平臺的安全穩(wěn)定帶來巨大風險和隱患。
二、云等保要求總覽
在政府積極引導和企業(yè)戰(zhàn)略布局等推動下，經過近十余年的發(fā)展，云計算已逐漸被市場認可和接受，政務、金融、運營商和工業(yè)等多個行業(yè)的信息系統(tǒng)已經運行在云端。相對于傳統(tǒng)信息系統(tǒng)，云計算平臺/系統(tǒng)如何進行等級保護非常受關注。新等級保護標準的發(fā)布，明確了云計算平臺/系統(tǒng)作為等級保護對象的具體要求，指導云計算平臺/系統(tǒng)的安全建設。
新標準中對于云計算平臺/系統(tǒng)的等級保護，仍然根據“一個中心，三重防護”體系框架，提出了具體的技術要求，以及包含云服務商選擇、供應鏈管理和云計算環(huán)境管理等方面的管理要求。云計算平臺/系統(tǒng)的安全建設或安全整改，需同時根據安全通用要求和安全擴展要求，構建具有相應等級安全防護能力的安全防御體系。
注：安全管理制度、安全管理機構和安全管理人員，云計算平臺/系統(tǒng)無單獨安全擴展要求。
三、云等保組織架構
云計算等級保護的施行由兩部分組成，一部分是組織，另外一部分是施行邏輯。就組織而言，云計算等級保護有完善的指導、規(guī)劃、試測、建設、驗證、審計和持續(xù)優(yōu)化流程組織形式和流程。
等級保護實施流程
四、云等?？蚣?br />
云計算等級保護是整個等保2.0的一部分，它與等級保護的“通用”部分形成一個整體，來約束云計算平臺的等級保護建設，為云計算平臺網絡安全建設設立基線。云計算等級保護框架按照系統(tǒng)組成來劃分，大致可分為面向整個云計算平臺的防護要求和面向云計算負載的防護要求。
云計算安全等級保護是等級保護框架的一部分
云計算系統(tǒng)分級需要綜合等級保護中的安全通用要求和云計算安全兩個模塊的內容，進行定級。云計算等級保護的每個等級依據威脅對目標造成的影響程度，形成有梯度的防護。這些要求被整體劃分為技術要求和管理要求，分別面向云計算平臺系統(tǒng)和云計算平臺管理兩個部分。以三級等保建設為例，其技術要求160多項、管理要求120多項。
對于云計算平臺/系統(tǒng)的等級保護，我們以第三級要求說明有哪些應該重點關注。
五、抓住重點
1.責任共擔要求
云計算平臺/系統(tǒng)通常由設施、硬件、資源抽象控制、虛擬化計算資源、軟件平臺和應用軟件等組成。根據不同服務模式（IaaS、PaaS和SaaS），云服務商和云服務客戶擁有不同控制范圍，其安全責任邊界不同；云服務商和云服務客戶應根據各自安全責任，進行安全防護能力建設?，F實情況是云服務客戶通常認為安全防護應該由云服務商實現，只需把業(yè)務系統(tǒng)遷移至云端即可，這需要引導云服務客戶關注等級保護，并采取相應安全防護，與云服務商一起共同保護云計算平臺/系統(tǒng)。
2.安全通信網絡要求
解讀：
根據控制范圍，云計算定級對象可分為云服務商控制部分（如云計算平臺）和云服務客戶控制部分（如業(yè)務應用系統(tǒng)），應分別進行定級，且云服務商控制部分比云服務客戶控制部分高，云服務商的測評可以被復用。在進行安全建設時，云服務商應該為云服務客戶提供安全產品或服務，然而云計算平臺/系統(tǒng)，尤其是私有云部署方式下，僅提供基礎的安全能力，并不能滿足等級保護要求。這就需要云服務商能夠提供第三方安全產品/服務或允許客戶接入第三方安全產品或服務，并且云服務客戶可以自主設置安全策略。
3.安全區(qū)域邊界
解讀：
相較于傳統(tǒng)信息系統(tǒng)，云計算平臺/系統(tǒng)新增了一些組件，如宿主機、虛擬機和虛擬化網絡等。所以在做安全區(qū)域邊界設計時，除了關注物理區(qū)域邊界和物理網絡節(jié)點外，還應該關注虛擬化網絡邊界和虛擬網絡節(jié)點，以及虛擬機與物理機、虛擬機與虛擬機間網絡流量，一方面做好物理網絡的訪問控制和入侵防范等，另一方面利用云計算平臺/系統(tǒng)的安全能力或第三方安全產品/服務，做好虛擬區(qū)域邊界的訪問控制和入侵防范等。
安徽靈狐科技作為等級保護專業(yè)服務提供商，專注您的線上云等保，詳情請咨詢400電話，一站式解決方案。
