政府行業(yè)數(shù)據(jù)安全解決方案
業(yè)務背景
在中國，云計算市場規(guī)模在不斷擴大，三大電信運營商已建成規(guī)?；袠I(yè)云平臺，各省市政務云也已基本完成一期建設，金融、零售、教育、物流、醫(yī)療、制造、傳媒等行業(yè)云也在此趨勢下競相向前發(fā)展，形成了較為良好的發(fā)展態(tài)勢。
然而，資源集中使云平臺更容易成為黑客攻擊的目標，云上的安全問題也更加突出。安全已成為用戶上云的最大阻力。IDC調(diào)研顯示，云計算所面臨的挑戰(zhàn)匯中，安全問題排在首位。2019年RSA大會上，云安全躍居熱詞榜首。
風險與挑戰(zhàn)
云平臺安全合規(guī)風險
根據(jù)等保2.0/GBT 31167等云安全政策要求，云服務商必須滿足安全合規(guī)要求并通過相關安全審查，具備保障用戶數(shù)據(jù)和業(yè)務系統(tǒng)安全的能力。當用戶業(yè)務系統(tǒng)進行等保測評時，首先應關注云平臺是否已經(jīng)測評，如未測評，則無法開展對用戶系統(tǒng)的測評。
云用戶安全需求難以滿足
傳統(tǒng)云平臺安全架構僅能夠?qū)τ脩籼峁┩ㄓ玫陌踩呗?，不能適用于所有用戶。用戶因而不能根據(jù)自身業(yè)務需求選擇和管理安全組件，這將放大用戶業(yè)務系統(tǒng)“上云”后安全責任難以界定等風險，從而對“上云”產(chǎn)生顧慮。另外，不適用的安全策略也會影響用戶業(yè)務系統(tǒng)通過等保測評。
云平臺缺乏安全全局監(jiān)測和快速響應能力
以防御為主的安全方案能夠讓云平臺及用戶具備應對網(wǎng)絡攻擊的能力，但是由于缺乏全局的安全檢測能力，云平臺運營方不得不面對碎片化的安全管理界面，不僅安全運維效率低下，而且加重了運營方的工作強度。最終導致未能及時發(fā)現(xiàn)安全風險。與此同時，由于缺乏快速響應能力導致不能及時處置云平臺中發(fā)生的安全事故，使得攻擊的危害進一步蔓延到其他資產(chǎn)，造成更大的損失。
解決方案
落實平臺自身安全合規(guī)
云平臺自身安全應遵照等保2.0要求，基于云平臺業(yè)務特性，從云平臺邊界安全防護、宿主機及虛擬化安全和云管理平臺安全出發(fā)，在滿足合規(guī)的基礎上，對云平臺提供持續(xù)保護。
為用戶/業(yè)務提供安全能力
為打消用戶上云對安全風險的顧慮，云平臺應能夠為云用戶業(yè)務系統(tǒng)提供池化的安全資源服務，可基于軟件定義的安全資源池、OpenAD等高性能的安全硬件設備和云眼/云盾等安全云服務，供用戶自行選用和配置安全策略。除此以外，針對PaaS/SaaS等云服務模式，云平臺應基于池化安全資源服務和應用自身的訪問控制策略和安全加固措施，共同保障業(yè)務安全。
統(tǒng)一管理，實現(xiàn)安全全局監(jiān)測
通過在安全運營中心構建網(wǎng)絡安全感知平臺，可幫助云平臺運營者實現(xiàn)對云內(nèi)所有安全事件的全局監(jiān)測和統(tǒng)一管理。在各業(yè)務區(qū)部署流量檢測探針，實現(xiàn)對云內(nèi)資產(chǎn)日志及網(wǎng)絡流量的統(tǒng)一采集與分析。當資產(chǎn)的脆弱性風險和網(wǎng)絡攻擊等安全威脅出現(xiàn)時，可在第一時間發(fā)現(xiàn)問題，并于全網(wǎng)海量資產(chǎn)中實現(xiàn)威脅的精確定位。通過平臺的大數(shù)據(jù)分析能力，還原攻擊鏈，對事件進行溯源分析，以便進一步的電子取證, 節(jié)約企事業(yè)單位對通信鏈路的投資成本。
構建安全事件快速響應能力
基于網(wǎng)絡安全感知平臺，通過邊界、端口安全設備與平臺的聯(lián)動工作機制。可實現(xiàn)針對安全事件的快速響應，包括邊界安全網(wǎng)關對可疑IP的一鍵封鎖，終端安全軟件對可疑文件的一鍵隔離/查殺，以及基于安全服務專家對安全事件進一步的分析定位，快速找出威脅根源，及時處置，并針對事件溯源分析，提供修復和加固建議。
云安全方案框架圖
方案實現(xiàn)
基于核心交換設備、虛擬防火墻、EDR和下一代防火墻構建云管理平面與業(yè)務平面、虛擬機與宿主機、不同安全級別的等保業(yè)務區(qū)、不同用戶的虛擬網(wǎng)絡VPC以及虛擬機微隔離五個層面的網(wǎng)絡隔離?；谙乱淮阑饓Α媒桓?、上網(wǎng)行為管理等構建邊界立體防御體系，VPN網(wǎng)關構建安全接入平臺，堡壘機、日志審計保障云管理平臺運維安全。云平臺基于上述安全設備形成滿足等保2.0技術要求的安全合規(guī)體系。
基于云安全資源池、OpenAD和云眼/云盾，構建池化的安全資源服務，供用戶使用，包括負載均衡、下一代防火墻、堡壘機、日志審計等組件，用戶可根據(jù)業(yè)務需求進行安全自管理?；诎踩兄脚_和流量探針，構建安全監(jiān)測預警體系，實現(xiàn)云安全全局監(jiān)測和統(tǒng)一管控。另外，安全服務專家可聯(lián)動安全感知平臺的現(xiàn)有分析結果，協(xié)助安全運維人員實現(xiàn)對安全事件的及時處置。
方案優(yōu)勢
智能聯(lián)動
構建從云內(nèi)到云外，從安全設備到安全服務的多層次聯(lián)動機制。在云內(nèi)，構建安全資源池管理平臺與虛擬安全組件之間的聯(lián)動機制，發(fā)揮一體化優(yōu)勢，基于虛擬安全組件實現(xiàn)云內(nèi)安全無死角監(jiān)測，管理平臺對所有監(jiān)測數(shù)據(jù)進行智能分析，能夠及時有效地發(fā)現(xiàn)外部攻擊行為和云內(nèi)失陷虛機，并通過可視化報表將分析結果和處置建議發(fā)送給云服務用戶，方便用戶申請相應的安全組件，變更組件規(guī)格，修改配置策略等。在云外，構建安全資源池與態(tài)勢感知平臺之間的“云-網(wǎng)-端”聯(lián)動體系，實現(xiàn)一鍵處置。除了安全設備之間的智能聯(lián)動，安全設備與安全人工服務之間自動化、流程化的聯(lián)動也已打通，形成了針對云環(huán)境的體系化安全運營管理平臺，從而真正的實現(xiàn)安全閉環(huán)。
快速響應
結合安全設備之間、安全設備和安全人工服務之間的智能聯(lián)動，可構建安全事件快速響應機制。與傳統(tǒng)的應急響應流程相比，聯(lián)動快速響應不僅能夠縮短安全事件的處置時間，避免事件危害的進一步擴散，而且還能提升安全設備的利用效率。除此以外，依托人機共智的快速響應機制，在規(guī)避風險的基礎上，還能實現(xiàn)攻擊事件的溯源分析，并給出針對性的安全加固建議，防止同類事件再次發(fā)生。
智能聯(lián)動
構建從云內(nèi)到云外，從安全設備到安全服務的多層次聯(lián)動機制。在云內(nèi)，構建安全資源池管理平臺與虛擬安全組件之間的聯(lián)動機制，發(fā)揮一體化優(yōu)勢，基于虛擬安全組件實現(xiàn)云內(nèi)安全無死角監(jiān)測，管理平臺對所有監(jiān)測數(shù)據(jù)進行智能分析，能夠及時有效地發(fā)現(xiàn)外部攻擊行為和云內(nèi)失陷虛機，并通過可視化報表將分析結果和處置建議發(fā)送給云服務用戶，方便用戶申請相應的安全組件，變更組件規(guī)格，修改配置策略等。在云外，構建安全資源池與態(tài)勢感知平臺之間的“云-網(wǎng)-端”聯(lián)動體系，實現(xiàn)一鍵處置。除了安全設備之間的智能聯(lián)動，安全設備與安全人工服務之間自動化、流程化的聯(lián)動也已打通，形成了針對云環(huán)境的體系化安全運營管理平臺，從而真正的實現(xiàn)安全閉環(huán)。
掃一掃，關注我們公眾號