CSA云计算安全技术要求-IaaS-安全技术要求-表格版.docVIP

CSA云计算安全技术要求-IaaS 安全技术要求 控制域 基本要求 增强要求 访问层安全 网络访问安全 a) 应支持保护用户访问云计算中的资源时通信消息的完整性和机密性的能力； b) 应支持用户访问云计算中的资源前通过用户鉴别和鉴权的能力； / API访问安全 a) 应支持服务API调用前进行用户鉴别和鉴权的能力； b) 应支持涉及租户资源操作的服务API调用前验证租户凭证的能力； c) 应支持用户调用服务API的访问控制能力； d) 应支持服务API接口的防范重放、代码注入、DoS/DDoS等攻击的能力； e) 应支持服务API接口安全传输能力； f) 应支持服务API接口过载保护能力，要求实现不同服务等级用户间业务的公平性和系统整体处理能力的最大化； g) 应支持服务API的调用日志记录能力。 / Web访问安全 a) 应支持Web代码安全机制的能力，包括对输入输出进行有效性检查，以及采取防范认证漏洞、权限漏洞、会话漏洞、Web服务漏洞、注入漏洞等代码漏洞的措施； b) 应支持对用户通过Web访问资源进行访问控制的能力； c) 应支持Web远程访问安全传输的能力。 / 资源层安全 物理资源安全 物理与环境安全 参考业界最佳实践 基础硬件安全 a) 应支持物理主机外设管理的能力； b) 应支持硬件部分损坏情况下数据恢复的能力。 a) 应支持检测服务器或存储设备硬件发生变更并予以提示的能力 网络安全 网络架构安全 a) 应支持绘制与当前运行情况相符的网络拓扑结构图，支持对网络拓扑进行实时更新和集中监控的能力； b) 应支持划分为不同的网络区域，并且不同区域之间实现逻辑隔离能力； c) 应支持云计算平台管理网络与业务网络逻辑隔离的能力； d) 应支持云计算平台业务网络和管理网络与租户私有网络逻辑隔离能力； e) 应支持云计算平台业务网络和管理网络与租户业务承载网络逻辑隔离的能力； f) 应支持租户业务承载网络与租户私有网络逻辑隔离的能力； g) 应支持网络设备（包括虚拟化网络设备）和安全设备业务处理能力弹性扩展能力； h) 应支持高可用性部署，在一个区域出现故障（包括自然灾害和系统故障）时，自动将业务转离受影响区域的能力。 a) 应支持指定带宽分配优先级别的能力； b) 应支持虚拟化网络边界的访问控制； c) 应支持区域边界的双向访问控制，控制从内往外和从外往内流量的能力。 网络边界安全 a) 应支持对进出云计算平台业务网络和管理网络的信息进行过滤的能力； b) 应支持对云计算平台管理网络最大流量及单用户网络连接数的限制能力； c) 应支持对云计算平台管理员访问管理网络的访问控制能力； d) 应支持对云计算平台业务网络和管理网络的非法连接检测及阻断能力；(注：非法连接包括从外部网络非法连接到内部网络，以及从内部网络非法连接到外部网络两种情况) e) 应支持对网络边界管理设备受控接口ACL策略支持自动化更新能力； f) 应支持对恶意虚拟机的隔离能力，支持阻断恶意虚拟机与外部网络以及和其他虚拟机的通信能力； g) 应支持对云计算平台DDoS攻击防护的能力； h) 应支持对Web应用漏洞进行检测和防护的能力； i) 应支持网络边界流量监控、攻击和入侵行为检测的能力； j) 应支持对恶意代码进行检测和处置的能力； k) 应支持在不同安全等级的区域之间通信时采用安全传输的能力。 a) 应支持接入第三方安全产品或服务进行不同网络区域之间、租户网络之间的网络安全防护能力； b) 应支持对云计算平台内部虚拟机发起的攻击检测与防护能力，检测出发起攻击的虚拟机，并能记录攻击类型、攻击时间、攻击流量等。(注：内部虚拟机发起的攻击，包括对云计算平台业务网络、管理网络、租户业务承载网络、其他租户私有网络、外部网络等发起的攻击) 网络授权及审计 a) 应支持对网络设备(包括虚拟化网络设备）的管理员登录地址进行限制的能力； b) 应支持登录网络设备（包括虚拟化网络设备）失败处理的能力； c) 应支持网络设备(包括虚拟化网络设备）管理员登录采用两种或两种以上组合的鉴别技术来进行身份鉴别能力； d) 应支持对网络设备(包括虚拟化网络设备)远程管理时采用安全传输能力； e) 应支持对网络设备(包括虚拟化网络设备)远程管理时特权命令进行限制的能力； f) 应支持对网络设备(包括虚拟化网络设备)管理员权限最小化的能力； g) 应支持对网络设备(包括虚拟化网络设备)管理员登录时用户标识唯一能力； h) 应支持区域边界处的网络设备(包括虚拟化网络设备)和安全设备的日志记录、审计报表能力 / 虚拟资源安全 资源管理平台安全 计算资源管理