云安全管理方案.docxVIP

云安全管理方案 信息安全等级保护第三级 等保三级要求 本方案中提供的云计算安全等级保护三级要求，是《信息安全技术 信息安全等级保护 第二分册 云计算安全技术要求》中的内容，不包含《信息安全技术 信息安全等级保护 第一分册 基本要求》中的内容。 《信息安全技术 信息安全等级保护 第二分册 云计算安全技术要求》是针对当前云计算特点对《信息安全技术 信息安全等级保护 第一分册 基本要求》的补充内容，所以，在整个政务云安全建设中，需要同时参考《信息安全技术 信息安全等级保护 第一分册 基本要求》和《信息安全技术 信息安全等级保护 第二分册 云计算安全技术要求》两部分内容。 以下将以网络安全技术要求等保三级具体内容举例： 网络安全技术要求（将第一份和第二分册的内容合并后的内容，未加粗字体内容是第一分册内容，加粗字体内容是第二分册内容）： 2.7.1.1.结构安全： 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址； 应避免将重要网络区域部署在网络边界处且直接连接外部信息系统； 应保证重要网络区域与其他网络区域之间采取可靠的技术隔离手段； 应可按照业务服务的重要程度分配带宽，保证在网络发生拥堵的时候优先保障重要业务。 应实现不同云租户之间网络资源的隔离，并避免网络资源的过量占用； 应绘制与当前运行情况相符的虚拟网络拓扑结构图，并能对虚拟网络资源、网络拓扑进行实时更新和集中监控； 应保证虚拟机只能接收到目的地址包括自己地址的报文； 应保证云平台管理流量与云租户业务流量分离； 应能识别、监控虚拟机之间、虚拟机与物理机之间、虚拟机与宿主机之间的流量； 应提供开放接口，允许接入第三方安全产品，实现云租户的网络之间、安全区域之间、虚拟机之间的网络安全防护； 应根据云租户的业务需求定义安全访问路径。 2.7.1.2.边界防护： 应明确系统边界，保证跨越边界的访问和数据流通过边界防护设备提供的受控接口进行通信； 应能够对非授权设备私自联到内部网络的行为进行检查，并对其进行有效阻断； 应能够对内部网络用户私自联到外部网络的行为进行检查，并对其进行有效阻断。 2.7.1.3.访问控制： 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信； 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化； 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出； 应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级； 应在关键网络节点处对进出网络的信息内容进行过滤，实现对应用的访问控制。 应在虚拟网络边界部署访问控制设备，并设置访问控制规则； 应依据安全策略控制虚拟机间的访问。 2.7.1.4.远程访问： 应限制具有远程访问的用户数量，按照远程访问控制规则控制用户对系统的远程访问； 应保证远程访问会话通信的机密性和完整性； 应提供在规定的时间内迅速断开或禁用远程访问系统的能力。 应实时监视云服务远程连接，并在发现未授权连接时，采取恰当的应对措施； 应对远程执行特权命令进行限制，采取严格的保护措施并进行审计； 当进行远程管理时，管理终端和云平台边界设备之间应建立双向身份验证机制。 2.7.1.5.入侵防范： 应在关键网络节点处检测、防止或限制从外部发起的以下网络攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。 应在关键网络节点处检测和限制从内部发起的以下网络攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。 应采取技术措施对网络行为进行分析，实现对网络攻击特别是未知的新型网络攻击的检测和分析。 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事 应能检测到云租户对外的攻击行为，并能记录攻击类型、攻击时间、攻击流量； 应具备对异常流量的识别、监控和处理能力； 应对发布到互联网的有害信息进行实时监测和告警。 2.7.1.6.恶意代码防范 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新； 应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。 2.7.1.7.安全审计 应启用设备安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。 应提供对审计数据进行查询、统计、分析的功能或工具，定期对审计数据进行分析； 审计记录产生时的时间应由系统范围内唯一确定的时钟