某省政府云安全资源池建设案例.docxVIP

某省政务云安全资源池建设案例 案例背景 某省政务云是为加强电子政务的开展，专门建立的政府私有云。建立政务云对于电子政务的办公效率、政务服务水平都具有十分重大的意义。云计算技术的应用赋予了应用灵活性、扩展性、快速交付的能力，但同时也给安全策略的部署与管理带来巨大的挑战，包括法律法规标准不健全、应用本身存在严重的安全漏洞等，尤其是当海量的政务业务系统迁移到政务云中时，云上安全更显得尤为重要。如果由于系统存在的安全漏洞被黑客利用时，会严重阻碍电子政务云的发展，影响政务网站的公信力。 需求分析 云计算、虚拟化技术的应用给政务网的业务能力带来了革命性的变化，整个业务系统上线、交付、扩容变得非常简单。但云计算技术同样也给信息安全公司带来了挑战，包括： ?网络安全边界变得模糊 传统数据中心安全业务部署模型 传统数据中心业务采用分区、分层部署的模型，每一个业务分区/分层间存在物理网络边界，安全设备通常以物理形态部署在不同的分区/分层边界处进行安全管控。 ? ?云数据中心逻辑拓扑 云数据中心所有计算资源共享同一套物理网络，不同业务分区通过逻辑网络（VLAN或VxLAN）进行隔离，业务计算资源（VM）可根据需求动态迁移、伸缩，业务分区间网络边界变得模糊，传统基于物理边界进行安全策略部署的模式已不再适用。 ?流量监控变得异常困难 云数据中心计算资源采用虚拟化技术部署，为提高数据交换效率，同一台物理服务器内部不同虚拟机（VM）间互访的流量通常通过内置的vSwitch直接进行交换转发，传统基于物里网络设备进行流量监控的方法无法监控到同一台服务器内部虚拟机间的流量。 ?虚拟机迁移，如何实现安全策略动态跟随 虚拟机（VM）动态迁移技术可让虚拟机在不关机且持续提供服务的前提下从一台理服务器迁移到另一台物理服务器，在计算资源重新规划调整的情况下可保证业务的连续运行与数据的一致性，在云数据中心的运维过程中得到普遍的应用。虚拟机迁移前后所在的网络位置可能产生变化，如何保证虚拟机迁移后对应的网络安全策略跟随虚机动态生效是云数据中心安全资源策略部署时所必须考虑的问题。 ?安全能力需要按需交付 资源动态按需交付是云数据中心的基础需求，同网络、计算、存储资源一样，云数据中心安全资源也需要能够根据应用部署的需求按需灵活交付。传统基于物理拓扑路径部署独立安全设备的模式存在安全能力无法动态复用、物理安全设备容易成为性能瓶颈的问题，已无法满足云数据中心围绕应用需求动态弹性交付安全资源的需求，安全资源的虚拟化与安全业务部署的物理解耦技术成为云数据中心安全策略部署的关键需求。 ?安全责任边界变得模糊了 以租代建模式不仅可以减少用户直接投资，降低建设、运行成本，灵活满足业务发展对IT基础设施的需求，而且在云服务提供商专业技术运营团队的支持下，业务运行稳定性和可靠性可以得到有效的保障，已被越来越多的客户所认可采纳。安全问题是用户在业务上云规划时所关注的首要问题，厘清安全管理边界，明确双方安全管理职责与协调机制，确保各自职责范围内的安全技术与管理措施得到有效的执行，这些是云服务提供商和租用云服务的客户所需要共同考虑的问题。安全管理边界的明晰，不仅可以确保云数据中心承载租户业务的安全运行，而且在安全事件处理时可以有效整合双方资源，快速定位解决存在的安全问题，避免事后责任追查与归属时的推诿问题。 ?云上依然要遵从等级保护 等级保护作为我国信息安全保障工作的基本制度，同时也是一系列基本标准、技术标准的集合，通过规范化的技术措施与安全评估有效保证了业务系统的安全性，在政务、医疗、教育、金融、能源等领域得到有效的推行。在业务系统上云时，如何保证迁移到云上的业务系统仍然能够满足等保合规要求是政务云关注的重点。由于云计算技术在我国的应用还处于发展阶段，云数据中心应用的虚拟化、SDN等新兴技术引入了新的风险点，相关技术仍在不断地发展变化，云安全等保相关标准还在补充完善，云数据中心安全建设需要紧密跟踪云等保相关标准工作的进展，确保云平台及云上承载的业务系统全面符合等保合规要求。 解决方案 安全体系架构介绍 本案例安全防护设计充分考虑了云计算的特点与需求，基于对安全威胁的分析明确安全需求，充分利用现有成熟的安全控制措施，结合云计算的特点和最新技术进行综合考虑，以满足风险管理及合规性要求，保障和促进云计算业务的发展。 ?某省政务云安全体系架构 某省政务云安全资源池架构 本案例政务云数据中心安全规划与建设主要关注下面几个部分： ??云平台基础设施安全 云平台涵盖构建云数据中心的网络设备、安全设备、计算资源、存储资源以及对应的管理设施（Portal门户、OpenStack、网络管理、安全管理、SDN控制器等），云平台一旦被攻破，其上承载的所有应用安全都将受到威胁，云平台作为一个整体需要部署对应的安全设施