電信企業(yè)云平臺信息安全防護體系架構(gòu)研究

［黃星輝 米洪偉 劉利男］

1 引言

隨著移動通信和大數(shù)據(jù)的快速發(fā)展，電信企業(yè)的數(shù)據(jù)價值已經(jīng)成為業(yè)界關(guān)注的焦點，與此同時，數(shù)據(jù)的安全威脅也與日俱增。雖然《網(wǎng)絡(luò)安全法》出臺了信息安全等級保護2.0，但在落地實施方面仍然需要諸多技術(shù)和管理的支持，本文從電信企業(yè)的現(xiàn)狀出發(fā)，針對大數(shù)據(jù)云計算技術(shù)架構(gòu)所帶來的新的信息安全問題，在分析現(xiàn)有的等級保護2.0 基礎(chǔ)上，結(jié)合電信企業(yè)云平臺的特點和面臨的新威脅，提出一種縱深、多層次保護的安全防護體系?；A(chǔ)信息安全從云基礎(chǔ)設(shè)施、數(shù)據(jù)和終端的私密性和完整性出發(fā)，采用數(shù)據(jù)加密和鏡像加密的技術(shù)保證基礎(chǔ)信息安全；接入安全層采用網(wǎng)絡(luò)防護、可信接入、API 安全使用、代碼安全驗證技術(shù)保證邊界安全；數(shù)據(jù)存儲安全層采用租戶隔離、數(shù)據(jù)檢索、數(shù)據(jù)傳輸安全、數(shù)據(jù)隔離技術(shù)實現(xiàn)大量用戶的軟硬件共享和存儲的安全；數(shù)據(jù)分析采用序列分析、數(shù)據(jù)關(guān)聯(lián)分析、惡意代碼分析和統(tǒng)計分析等技術(shù)，為安全防護系統(tǒng)的入侵風險評估、安全檢測、故障定位和用戶操作審計提供技術(shù)手段；應(yīng)用安全從身份鑒別、第三方授權(quán)、AOP 切面注入技術(shù)和應(yīng)用隔離沙箱技術(shù)實現(xiàn)用戶應(yīng)用隔離和用戶訪問的細粒度控制；預(yù)警監(jiān)視采用分布式日志收集、API 監(jiān)控、安全審計、事件研判和實時預(yù)警技術(shù)實現(xiàn)全方位預(yù)警監(jiān)視；應(yīng)急響應(yīng)則采取有效的安全措施對潛在安全威脅進行定位和處理。基于上述縱深、多層次保護的安全防護體系的研究，旨在探索信息安全等級保護環(huán)境下電信企業(yè)安全防護體系，應(yīng)對新形勢的網(wǎng)絡(luò)安全新挑戰(zhàn)。

2 電信企業(yè)云平臺安全挑戰(zhàn)

2.1 虛擬化帶來云平臺安全挑戰(zhàn)

云平臺主要依賴從底層硬件進行抽象的虛擬化技術(shù)，實現(xiàn)多租戶使用同一個應(yīng)用環(huán)境和運算環(huán)境。通常來說，云平臺面臨的安全風險包括：消費者租用虛擬機安裝惡意用戶操作系統(tǒng)，攻擊虛擬機狀態(tài)文件、蠕蟲攻擊、拒絕服務(wù)攻擊、虛擬機檢查點攻擊以及虛擬機鏡像蔓延等。對于上述的安全風險，電信運營商通常采用安裝反病毒軟件、防火墻代理、入侵檢測系統(tǒng)等對抗大部分的攻擊行為，重在對通信安全防護和阻止外部攻擊，對內(nèi)部隔離的防護力度則相當薄弱。

2.2 第三方庫和開源軟件帶來安全挑戰(zhàn)

大多數(shù)云平臺是基于第三方庫和開源軟件進行搭建的，而云平臺的安全性容易受到第三方庫和開源軟件安全漏洞的影響。目前針對Xen、Hadoop、Openstack、JVM等的安全防護技術(shù)得到加固，無法解決開放式服務(wù)場景面臨的安全問題。因此，云平臺安全防護要以支持云用戶靈活配置和功能擴展為前提，制定多層次深防御的安全防護技術(shù)，形成更細顆粒度的訪問控制、更細粒度的用戶應(yīng)用隔離沙箱、支持多種需求的日志收集、更深層次的用戶鏡像加密操作支持等防護手段。

3 基于信息安全等級保護與安全防護架構(gòu)構(gòu)建思路

3.1 信息安全系統(tǒng)等級保護

信息系統(tǒng)安全防護體系由安全技術(shù)體系、安全管理體系以及安全組織及策略管理構(gòu)成[1-4]。而信息安全系統(tǒng)等級保護是指根據(jù)信息保護的等級對信息系統(tǒng)進行安全保護和監(jiān)管，依據(jù)對象的等級，侵害的客體以及侵害程度，分等級對信息安全事件進行對應(yīng)的處置和監(jiān)管。

信息系統(tǒng)安全等級保護的生命周期管理包括定義階段、規(guī)劃設(shè)計階段、安全實施及實現(xiàn)階段、安全運行管理階段。

定義階段包括活動有：系統(tǒng)調(diào)查和描述、子系統(tǒng)的劃分和分解、子系統(tǒng)邊界的確定、安全等級確定以及等級結(jié)果文檔化。

規(guī)劃設(shè)計階段：等級化風險評估、安全總體設(shè)計、安全建設(shè)規(guī)劃。

安全實施及實現(xiàn)階段：安全方案設(shè)計、安全產(chǎn)品采購、安全控制集成、測試與驗收、管理機構(gòu)的設(shè)置、管理制度的建設(shè)、組織結(jié)構(gòu)及人員管理、安全建設(shè)過程管理。

安全運行管理階段：操控管理、變更管理、安全狀態(tài)監(jiān)測管理、安全事件風險評估與應(yīng)急、監(jiān)督監(jiān)測等。

3.2 安全防護架構(gòu)構(gòu)建思路

（1）基礎(chǔ)信息安全

基礎(chǔ)信息安全作為安全防護體系最底層、最基礎(chǔ)的防護技術(shù)，包括云基礎(chǔ)設(shè)施、應(yīng)用終端、移動終端、采集終端等的安全。

（2）安全接入

安全接入作為安全防護體系第2 層防護技術(shù)，包括云安全接入和安全接入平臺的安全。其中云安全接入是電信企業(yè)云平臺信息安全防護的重點，包括網(wǎng)絡(luò)安全防護、可信接入、API 安全使用、代碼安全驗證等。

（3）數(shù)據(jù)存儲

數(shù)據(jù)存儲作為安全防護體系第3 層防護技術(shù)，包括虛擬化服務(wù)、用戶數(shù)據(jù)加密、數(shù)據(jù)檢索、數(shù)據(jù)傳輸安全等。

（4）數(shù)據(jù)分析

數(shù)據(jù)分析作為安全防護體系第4 層防護技術(shù)，采用大數(shù)據(jù)和人工智能等技術(shù)，實現(xiàn)數(shù)據(jù)關(guān)聯(lián)分析、序列分析、惡意代碼分析、統(tǒng)計分析等，實現(xiàn)安全防護體系的實時分析和歷史分析，為平臺的分線預(yù)警提供信息化手段。

（5）應(yīng)用安全

應(yīng)用安全作為安全防護體系第5 層防護技術(shù)，旨在對安全防護分析的結(jié)果展現(xiàn)。包括身份鑒別、應(yīng)用隔離沙箱、AOP 切面注入技術(shù)等，將數(shù)據(jù)分析的結(jié)果采用圖表的方式來展現(xiàn)，方便運維人員對安全事件進行研判。

（6）預(yù)警監(jiān)視

預(yù)警監(jiān)視作為安全防護體系第6 層防護技術(shù)，涵蓋安全防護系統(tǒng)的分布式日志收集、安全審計、潛在風險預(yù)警和安全事件研判、實時預(yù)警。

（7）應(yīng)急響應(yīng)

應(yīng)急預(yù)警作為安全防護體系第7 層防護技術(shù)，是該體系最關(guān)鍵的一環(huán)，針對預(yù)警監(jiān)視的事件研判結(jié)果，采取有效的安全措施對潛在安全威脅進行定位和處理，遏制安全事件的擴大化。

4 電信企業(yè)云平臺安全防護體系總體架構(gòu)

基于安全防護架構(gòu)構(gòu)建思路，構(gòu)建多層次的電信企業(yè)安全防護體系總體架構(gòu)，左側(cè)是基礎(chǔ)信息安全和接入安全；中間為數(shù)據(jù)存儲安全、數(shù)據(jù)分析安全和應(yīng)用安全，涵蓋防護體系的核心技術(shù)；右邊是預(yù)警監(jiān)視和應(yīng)急響應(yīng)，是安全防護的時候響應(yīng)。通過構(gòu)建七層次的、縱深防御的安全管理防護體系，實現(xiàn)事前檢測、事中防護、事后響應(yīng)的可信、可控的電信企業(yè)云平臺安全防護保障體系，如圖1 所示。

圖1 電信企業(yè)云平臺安全防護體系總體架構(gòu)

5 結(jié)束語

本文在信息等級保護2.0 的環(huán)境下，從云平臺安全技術(shù)和管理角度出發(fā)，分析了當前的安全防護技術(shù)。針對電信企業(yè)云平臺出現(xiàn)的安全挑戰(zhàn)，在等級保護安全要求，提出縱深、多層次保護的安全防護體系。該安全防護體系從7 個層面的安全防護實現(xiàn)更細粒度監(jiān)控各種服務(wù)行為、更細粒度地管理用戶訪問服務(wù)資源的級別、更細粒度地管理用戶權(quán)限，從而降低企業(yè)網(wǎng)絡(luò)、數(shù)據(jù)資產(chǎn)、各類系統(tǒng)的安全隱患，最大化保證了整個企業(yè)網(wǎng)絡(luò)和數(shù)據(jù)的安全，保障客戶的隱私。