云计算信息安全等保三级规划方案.docx

1、云计算信息安全等保三级规划方案云计算数据中心（信息安全等级保护规划方案）1云计算带来的安全挑战云计算模式当前已得到业界普遍认同，成为信息技术领域新的发展方向。但是，随着云计算的大量应用，云环境的安全问题也日益突出。在众多对云计算的讨论中，IDC的调查非常具有代表性：“对于云计算面临的安全问题， 75%的用户对云计算安全担忧。”各种调研数据也表明：安全性是用户选择云计算的首要考虑因素。云计算的一个重要特征就是IT资源的大集中，而随着资源的集中，相应的安全风险也呈现集中化的趋势。虽然云计算相对传统计算网络具备一定的安全优势，但数据的大集中会引来不法分子众矢之的更多攻击。因此，做好云的安全防护要从建

2、设云的阶段就开始规划设计，这样才能做到防患于未然。云计算在技术层面上的核心特点是虚拟化技术的运用带来的资源弹性和可扩展性，虚拟机和应用程序随时可能迁移或变更，仅仅依靠传统的基于物理环境拓扑的安全设备已经不能完全解决云计算环境下的安全问题。因此，虚拟化后的云计算系统需要重新构建安全防护体系。所以，在安全云的信息化建设过程中，我们应当正视可能面临的各种安全风险，对网络威胁给予充分的重视。为了云数据中心的安全稳定运行，确保项目的顺利实施，公司具备多年云计算中心构造、运维的经验，根据云数据中心现有的网络特点及安全需求，本着切合实际、保护投资、着眼未来的原则，提出本技术实施方案，以供参考。2整体方案设计

3、按照公司的经验，将从基础设施安全、操作系统安全、云计算环境安全三大部分进行全面分析和设计，为客户打造一套灵活、合理、可靠、合规的安全环境。2.1基础安全设计2.1.1物理安全物理环境安全策略的目的是保护网络中计算机网络通信有一个良好的电磁兼容工作环境，并防止非法用户进入计算机控制室和各种偷窃、破坏活动的发生。2.1.1.1机房选址机房和办公场地选择在具有防震、防风和防雨等能力的建筑内。机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。2.1.1.2机房管理机房出入口安排专人值守，控制、鉴别和记录进入的人员；需进入机房的来访人员须经过申请和审批流程，并限制和监控其活动范围；对机房

4、划分区域进行管理，区域之间设置物理隔离装置，在重要区域前安装过渡区域；重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。2.1.1.3机房环境合理规划设备安装位置，应预留足够的空间作安装、维护及操作之用。房间装修必需使用阻燃材料，耐火等级符合国家相关标准规定。机房门大小应满足系统设备安装时运输需要。机房墙壁及天花板应进行表面处理，防止尘埃脱落，机房应安装防静电活动地板。机房设置防雷保安器，要求防雷接地和机房接地分别安装且相隔一定的距离；机房设置火灾自动消防系统，能够自动检测火情、自动报警并自动灭火；机房及相关的工作房间应采用具有耐火等级的建筑材料；机房应采取区域隔离防火措施，将重要设备与

5、其他设备隔离开；机房需配备空调系统，以保持房间恒湿、恒温的工作环境；机房供电线路上需配置稳压器和过电压防护设备；需提供短期的备用电力供应，满足关键设备在断电情况下的正常运行要求；设置冗余或并行的电力电缆线路为计算机系统供电；铺设线缆要求电源线和通信线缆隔离铺设，避免互相干扰；对关键设备和磁介质实施电磁屏蔽。2.1.1.4设备与介质管理为了防止无关人员和不法分子非法接近网络并使用网络中的主机盗取信息、破坏网络和主机系统、破坏网络中的数据的完整性和可用性，必须采用有效的区域监控、防盗报警系统，阻止非法用户的各种临近攻击。此外，必须制定严格的出入管理制度和环境监控制度，以保障区域监控系统和环境监控系

6、统的有效运行。对介质进行分类标识，存储在介质库或档案室中。利用光、电等技术设置机房防盗报警系统；对机房设置监控报警系统。2.1.2网络安全2.1.2.1安全域边界隔离技术根据信息系统安全等级保护基本要求，应该在XX单位各安全域的边界处部署防火墙设备，保证跨安全域的访问都通过防火墙进行控制管理。可以对所有流经防火墙的数据包按照严格的安全规则进行过滤，将所有不安全的或不符合安全规则的数据包屏蔽，杜绝越权访问，防止各类非法攻击行为。同时可以和内网安全管理系统、网络入侵检测系统等进行安全联动，为网络创造全面纵深的安全防御体系。部署设计：下一代防火墙部署于互联网出口，串行于网络中。2.1.2.2入侵防范

7、技术根据等级保护基本要求，三级业务系统应该在互联网出口处实现入侵防范功能。入侵防范技术是安全防护体系中重要的一环，它能够及时识别网络中发生的入侵行为并实时报警并且进行有效拦截防护。可与防火墙配合，共同防御来自应用层到网络层的多种攻击类型，建立一整套的安全防护体系，进行多层次、多手段的检测和防护。因此，在互联网出口的下一代防火墙上启用入侵防御模块非常有必要。部署设计：下一代防火墙部署于互联网出口，串行于网络中。2.1.2.3网络防病毒技术根据等级保护基本要求，三级业务系统应该在互联网出口处部署网络层防病毒设备，并保证与主机层防病毒实现病毒库的异构。在最接近病毒发生源安全边界处进行集中防护，对夹杂

8、在网络交换数据中的各类网络病毒进行过滤，可以对网络病毒、蠕虫、混合攻击、端口扫描、间谍软件、P2P软件带宽滥用等各种广义病毒进行全面的拦截。阻止病毒通过网络的快速扩散，将经网络传播的病毒阻挡在外，可以有效防止病毒从其他区域传播到内部其他安全域中。因此，在互联网出口的下一代防火墙上启用防病毒模块非常有必要，可截断病毒通过网络传播的途径，净化网络流量。部署设计：下一代防火墙部署于互联网出口，串行于网络中。2.1.2.4WEB防火墙技术XX单位网站承载了XX等重要职责，暴露在互联网上，随时会面临黑客攻击的危险，如今网络安全环境日益恶化，Web攻击方式多种多样，包括XSS跨站脚本、CGI缓冲区溢出、目

9、录遍历、Cookie假冒等。为了应对Web攻击，WEB防火墙再配合网页防篡改技术，是保障Web服务能够持续可靠的提供服务的最佳选择。因此，在网站服务器之前部署WEB防火墙（WAF设备）非常有必要。部署设计：WAF设备部署于网站服务器之前，串行于网络中。2.1.2.5网页防篡改技术XX单位网站承载了XX等重要职责，暴露在互联网上，随时会面临网页被篡改及黑客攻击的危险。网页防篡改技术通过文件底层驱动技术对Web站点目录提供全方位的保护，防止黑客、病毒等对目录中的网页、电子文档、图片、数据库等任何类型的文件进行非法篡改和破坏。可保护网站安全运行，保障网站业务的正常运营，彻底解决了网站被非法修改的问题

10、。因此，在WAF上启用网页防篡改功能非常有必要。部署设计：WAF设备部署于网站服务器之前，串行于网络中。2.1.2.6流量管理技术根据等级保护基本要求，三级业务系统应该在互联网出口处进行流量控制，保证网络发生拥堵的时候优先保护重要的主机，可以对带宽进行优化，通过限制带宽占用能力强的应用以保护关键应用，通过多种复杂的策略来实现合理的带宽分配，可提升应用服务质量、提升带宽利用价值、优化网络应用、降低网络风险。因此，部署一套专业的流量管理设备非常有必要。部署设计：流量管理系统部署于互联网出口，串行于网络中。2.1.2.7上网行为管理技术根据公安部等级保护基本要求，所有用户访问互联网需要部署上网行为管

11、理系统，并保存3个月的日志。各安全区域边界已经部署了相应的安全设备负责进行区域边界的安全。对于流经各主要边界（重要服务器区域、外部连接边界）需要设置必要的审计机制，进行数据监视并记录各类操作，通过审计分析能够发现跨区域的安全威胁，实时地综合分析出网络中发生的安全事件。一般可采取开启边界安全设备的审计功能模块，根据审计策略进行数据的日志记录与审计。同时审计信息要通过安全管理中心进行统一集中管理，为安全管理中心提供必要的边界安全审计数据，利于管理中心进行全局管控。边界安全审计和主机审计、应用审计、网络审计等一起构成完整的、多层次的审计系统。因此，必须部署一套上网行为管理系统实现对内部用户访问互联网

12、的行为进行监控、日志进行记录。部署设计：上网行为管理系统部署于互联网出口，串行于网络中。2.1.2.8网络安全审计针对用户访问业务系统带给我们的困扰以及诸多的安全隐患，需要通过网络安全审计系统利用实时跟踪分析技术，从发起者、访问时间、访问对象、访问方法、使用频率各个角度，提供丰富的统计分析报告，来帮助用户在统一管理互联网访问日志的同时，及时发现安全隐患，协助优化网络资源的使用。网络安全审计系统针对互联网行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供互联网的有效监督，预防、制止数据泄密。满足用户对互联网行为审计备案及安全保护措施的要求，提供完整的上网记录，便于

13、信息追踪、系统安全管理和风险防范。根据公安部等级保护基本要求，所有信息系统都需要部署网络审计系统，并保存3个月的日志。因此，必须部署一套网络审计系统对全网行为进行监控、日志进行记录。部署设计：网络审计系统旁路部署在核心交换上，实现全网的网络行为的统一审计，收集网络设备、安全设备、主机系统等设备的运行状况、网络流量、用户行为等日志信息，并对收集到的日志信息进行分类和关联分析，并可根据审计人员的操作要求生成统计报表，方便查询和生成报告，为网络事件追溯提供证据。2.1.3主机安全2.1.3.1主机安全加固操作系统作为计算机系统的基础软件是用来管理计算机资源的，它直接利用计算机硬件并为用户提供使用和编

14、程接口。各种应用软件均建立在操作系统提供的系统软件平台之上，上层的应用软件要想获得运行的高可用性和信息的完整性、机密性，必须依赖于操作系统提供的系统软件基础。在网络环境中，网络系统的安全性依赖于网络中各主机系统的安全性，而主机系统的安全性正是由其操作系统的安全性所决定的，没有安全的操作系统的支持，网络安全也毫无根基可言。所以，操作系统安全是计算机网络系统安全的基础。而服务器及其上的业务数据又是被攻击的最终目标。因此，部署操主机安全加固产品，对操作系统进行加固，加强对关键服务器的安全控制，是增强系统总体安全性和核心一环。通过安装在服务器的安全内核保护服务器，它在操作系统的安全功能之上提供了一个安

15、全保护层。通过截取系统调用实现对文件系统的访问控制，以加强操作系统安全性。可实现：加强认证，采用证书的方式来提高认证和授权的级别和强度对操作系统本身的加固，防止缓冲区溢出等攻击保护系统进程稳定运行，确保正常服务的提供对注册表进行保护，禁止非授权修改独特的授权模式，非授权程序无法运行系统用户的权限分离，尤其是超级用户系统资源如文件、目录等强访问控制，扩展操作系统本身的访问属性，并进一步对访问的时间、来源进行控制部署设计：在每台服务器上安全部署主机安全加固软件，使服务器环境有一个安全的环境，使业务系统能够安全、正常的运行。2.1.3.2运维堡垒主机对运维的管理现状进行分析，我们认为造成这种不安全现

16、状的原因是多方面的，总结起来主要有以下几点：各IT系统独立的帐户管理体系造成身份管理的换乱，而身份的唯一性又恰恰是认证、授权、审计的依据和前提，因此身份的混乱实际上造成设备访问的混乱。各IT系统独立管理，风险分散在各系统中，各个击破困难大，这种管理方式造成了业务管理和安全之间的失衡。核心服务器或设备的物理安全和临机访问安全通过门禁系统和录像系统得以较好的解决，但是对他们的网络访问缺少控制或欠缺控制力度，在帐号、密码、认证、授权、审计等各方面缺乏有效的集中管理技术手段。目前，XX单位使用数量众多的网络设备、服务器主机来提供基础网络服务、运行关键业务、数据库应用、ERP和协同工作群件等服务。由于设备和服务器众多，系统管理员压力太大