Symanec云安全解决方案.docx
《Symanec云安全解决方案.docx》由会员分享，可在线阅读，更多相关《Symanec云安全解决方案.docx（24页珍藏版）》请在冰豆网上搜索。
Symanec云安全解决方案
云计算系统安全规划与要求
文档信息
属性
内容
文档名称：
Symantec云安全解决方案
文档编号：
文档版本：
0.1
版本日期：
2011/06/22
文档状态：
制作人：
祝晓光
审阅人：
版本变更记录
版本
修订日期
修订人
描述
0.1
2011/06/22
祝晓光
初始版本
1概述
云计算（或云）是一个演化中的词汇，它描述了很多现有的计算技术和方法朝各种不同方向的发展。
云将应用和信息资源与底层的用以交付它们的基础设施和机制分开。
云强化了协作、敏捷、扩展性、可用性，以及通过优化的、更有效率的计算来降低成本的潜能。
更具体地说，云描述了由“资源池”化的计算、网络、信息和存储等组成的服务、应用、信息和基础设施等的使用。
这些组件可以迅速策划、置备、部署和退役，并且可以迅速扩充或缩减，提供按需的、效用计算类似的分配和消费模式。
云架构对安全架构的影响，可以被映射到某个安全、可操作控制、风险评估和管理框架等诸多要素的补偿模型中去，进而符合合规性标准。
云计算系统设备作为云计算平台的管理设备，在功能方面，首先需要具备对后台多种资源的管理功能，根据业务需要定制不同资源组合的服务，通过资源的自动部署和灵活调度，提供给用户使用。
平台管理员和用户通过服务门户完成云计算平台的管理功能和服务的申请流程。
同时，管理设备需要对在云计算平台的健康状态进行监控，满足日常运维的需要。
云安全技术和设备为云计算系统对外提供可靠的、实时的、精确的信息与服务给予充分的保障
2云计算模型与安全
云服务的交付可以分为三种模式以及不同的衍生组合。
这三种基本类型经常被称为“SPI”模型，其中SPI分别代表软件、平台和基础设施（作为服务）。
它们的定义如下：
●云软件作为服务（SaaS）.提供给用户的能力是使用服务商运行在云基础设施之上的应用。
用户使用各种客户端设备通过“瘦”客户界面（例如浏览器）等来访问应用（例如基于浏览器的邮件）。
用户并不管理或控制底层的云基础设施，例如网络、服务器、操作系统、存储、甚至其中单个的应用能力，除非是某些有限用户的特殊应用配置项。
●云平台作为服务（PaaS）.提供给用户的能力是在云基础设施之上部署用户创建或采购的应用，这些应用使用服务商支持的编程语言或工具开发，用户并不管理或控制底层的云基础设施，包括网络、服务器、操作系统、或存储等，但是可以控制部署的应用，以及应用主机的某个环境配置。
●云基础设施作为服务（IaaS）.提供给用户的能力是云供应了处理、存储、网络，以及其它基础性的计算资源，以供用户部署或运行自己任意的软件，包括操作系统或应用。
用户并不管理或控制底层的云基础设施，但是拥有对操作系统、存储和部署的应用的控制，以及一些网络组件的有限控制（例如主机防火墙等）。
NIST给云计算定义了五个关键特征、三个服务模型、四个部署模型。
如下图所示：
IaaS是所有云服务的基础，PaaS建立在IaaS之上，而SaaS又建立在PaaS之上，参见云参考模型的图示。
如同云服务能力是继承的那样，信息安全风险和问题也是继承的。
云参考模型对于将真实服务和某个架构框架联系在一起，进而理解需进行安全分析的资源和服务是非常重要的。
IaaS涵盖了从机房设备到其中的硬件平台等所有的基础设施资源层面，它包括了将资源抽象化（或相反）的能力，并交付连接到这些资源的物理或逻辑网络连接，终极状态是IaaS提供商提供一组API，允许用户与基础设施进行管理和其它形式的交互。
PaaS位于IaaS之上，又增加了一个层面用以与应用开发框架、中间件能力以及数据库、消息和队列等功能集成。
PaaS允许开发者在平台之上开发应用，开发的编程语言和工具由PaaS支持提供。
SaaS位于底层的IaaS和PaaS之上。
SaaS能够提供独立的运行环境，用以交付完整的用户体验，包括内容、展现、应用和管理能力。
因此，必须清楚，在三个模型中，集成的特色功能、复杂性与开放性（可增强性）以及安全等方面会有一些明显的折中。
三种云部署模型之间的折中包括：
●一般来说，SaaS会在产品中提供最为集成化的功能，最小的用户可扩展性，相对来说较高的集成化的安全（至少提供商承担安全的职责）。
●PaaS提供的是开发者在平台之上开发自己应用的能力。
因此它倾向于提供比
●SaaS更多的可扩展性，其代价是SaaS那些已经用户可用的特色功能。
这种折中也会延伸到安全特色和能力上，虽然内置的安全能力不够完备，但是用户却拥有更多的灵活性去实现额外的安全。
●IaaS几乎不提供那些和应用类似的特色功能，但却有极大地“可扩展性”。
这一般是指IaaS在除了保护基础设施自身之外的安全保护能力和功能更少。
IaaS模型要求云用户自己管理和安全保护操作系统、应用和内容。
3云安全建设依据与参照
云安全联盟CSA是在2009年的RSA大会上宣布成立的。
自成立后，CSA迅速获得了业界的广泛认可。
现在和ISACA、OWASP等业界组织建立了合作关系，很多国际领袖公司成为其企业成员。
企业成员涵盖了国际领先的电信运营商、IT和网络设备厂商、网络安全厂商、云计算提供商等。
云安全联盟发布的云安全指南及其开发成为云计算领域令人瞩目的安全活
动。
2009年12月17日，云安全联盟发布了新版的《云安全指南》v2.1，代表着云计算和安全业界对于云计算及其安全保护的认识的一次重要升级。
本方案将以CSA《云计算关键领域安全指南》V2.1为主，并参考业内云安全建设的最佳实践来阐述云安全建设的重点和方法。
4云平台安全框架原则
5云安全建设重点
5.1云安全面临的主要威胁
根据云安全联盟的调查结果，云安全面临的主要威胁有：
●云资源的滥用和盗用
●数据丢失/数据泄漏
●恶意内部人士
●账户服务或流量劫持
●共享技术潜在风险
●不安全的API
●未知风险预测
安全防护包括如下方面：
●物理安全：
数据中心进出应有安全管控，并留存记录备查
●网络安全：
数据中心内部网络应该妥善隔离，数据传输必须加密
●身份验证：
建议采用双重身份验证
●权限管理：
不同用户间的数据应完全隔离，同一用户数据须有完善权限管控
●密钥管理：
密钥管理服务器应强化安全防护，且必须考量密钥回复机制
●系统安全：
必须建立安全防护措施保护系统安全，并定期进行漏洞扫描
●日志记录：
所有操作均应留存日志记录
●灾备管理：
数据中心应建立完善的灾备管理体系
●内控流程：
数据中心内部应有明确的控管流程，并定期进行内外部审计
●合约管理：
服务水平协议应明订安全需求与赔偿条款
5.2云安全建设的关键领域
5.2.1云安全治理域
5.2.1.1治理和企业风险管理
定义与目标
在云计算中，有效地治理和企业风险管理是从良好开发的信息安全治理过程得到的，是组织全面企业风险治理的关注点。
良好开发的信息安全治理过程会使信息安全管理程序一直可依据业务伸缩、可在组织内重复、可测量、可持续、可防御、可持续改进且具有成本效益。
云计算中的治理和企业风险管理的基本问题关系到识别和实施适当的组织架构、流程及控制来维持有效的信息安全治理、风险管理及合规性。
应确保在任何云部署模型中，都有适当的信息安全贯穿于信息供应链，包括云计算服务的供应商和用户，及其支持的第三方供应商。
关键性挑战
●基于风险评估的信息安全控制
●信息安全管理有效性指标测量
●可证明的服务水平协议（SLA）
●风险评估和管理方法
●适当的风险控制技术
功能需求
●具备ISO17799、SOX、CIS、SANS20等业内最佳实践的安全风险管理及合规性检查模板，可基于该模板定制、细化适合用户自己的内容
●提供安全风险对应的解决方案，具有广泛的漏洞库、知识库内容
●系统之间的通信使用128位的DES-X加密算法及高级Diffie-Helman密钥交换算法保证组件的通信安全
●提供ODBC接口可将安全风险数据导入用户定制的数据库文件中，如：
WORD、EXCEL、FoxPro、ACCESS、VisualFoxProDatabase
●支持的操作系统平台的安全风险评估包括但不限于：
WIN2000/NT，AIX，HP-UX，SOLARIS，IRIX，LINUX，TRUE64/OSF1，Sequent，NetWare，VMS,，AS400，AT&T/NCR等
●支持的数据库安全风险评估包括但不限于：
Oracle，DB2，SYBASE，SQL等
5.2.1.2法律与电子证据发现
定义与目标
云计算相关的法律问题的完整分析应该考虑功能、司法和合同这几方面的问题，包括：
●功能方面主要包括确定云计算中的功能和服务，杜绝因此产生参与者和利益相关者（stakeholder）的法律问题
●司法方面主要包括政府管理法案和制度对于云计算服务、利益相关者和数据资产的影响
●合同方面主要包括合同的结构、条件和环境，以及云计算环境中的Stakeholder解决和管理法律和安全问题的实施办法
实施安全策略以满足当地法规对跨边界数据流合规要求的先决条件，是了解云服务提供商数据存贮的地点；作为个人数据或企业知识产权资产的保管者，采用云计算服务的企业应该保证该数据以原始的、可认证的格式保存所有者信息。
关键性挑战
●非结构化数据的归档、搜索、电子证据发现
●频繁流动的员工使企业信息外流
●法律法规对电子信息保存要求
●邮件系统迁移对归档数据产生的影响
功能需求
●统一的归档平台，支持邮件系统、文件服务器、即时通讯软件、Sharepoint等消息平台的归档
●支持主流邮件系统如：
Exchange2003、Exchange2007、IBMLotusDomino等
●硬件存储无关性；支持主流存储厂商的存储设备，可以把DAS、SAN和NAS存储选件用作归档存储
●支持单实例存储
●灵活的邮件迁移策略，需要图形化的手段而非脚本语言实现简化管理。
●归档压缩存储，存储归档文件的时候，文件是经过压缩的。
压缩比例不低于60%，从而节省近一半的存储资源
●支持用户邮箱归档和日志归档，实现无限容量邮箱的功能，可作为邮件安全审计平台
5.2.1.3合规与审计
定义与目标
在云计算平台中各层面的安全性审计与安全合规性管理的要求尤为重要，该部分功能是云平台的各层面安全已经具备一定的日志和专项审计功能基础上，达到统一、集中的安全审计管理和安全合规性管理功能。
包括：
安全监控管理、安全合规管理的内容。
需要理解如下几点：
●使用特定云服务时的监管法规适用性
●云提供商和消费者在合规责任上的区别
●云提供商提供合规所需资料的能力
●云消费者需要协助云提供商缩小和审计者/评估者之间的差异
关键性挑战
●基于SAS70TYPEII的审计和安全控制
●ISO/IEC27001/27002认证和标准
●合规证据的收集与存储
●合规对基础架构和流程的影响
●合规对数据安全的影响
●满足各种当前和未来的合规需求
功能需求
●在云平台环境下，系统自身的安全监控除需支持通用主机系统的运行状态监控、日志审计监控、安全配置监控外，还应支持对于虚拟层的上述监控；
●可依赖虚拟层相关产品提供的监控数据，纳入该平台的统一分析和管理；
●支持云平台环境下，各类安全设备、系统的安全事件、安全日志的统一监控和管理。
包括但不限于：
防火墙安全事件、IDS安全事件、漏洞扫描系统报告、防病毒系统病毒事件等。
●应广泛支持云平台环境下的各类安全系统，形成统一的安全数据采集。
●平台支持对于安全事
升级会员 