等保课件_网络安全等级保护之云计算扩展测评3902.docx

初级等保测评师培训目录一.云计算简介二.云计算等级保护安全技术设计三.重要变化解读U!.测评的解读分享一、云计算简介一种全新网络服务方式，将传统的以桌面为核心的任务处理转变为以网络为核心的任务处理，利用互联网实现自己想要完成的一切处理任务，使网络成为传递服务、计算力和信息的综合媒介，真正实现按需计算、多人协作。一、云计算简介云计算特点超大规模：GOOgIe云计算已经拥有IOO多万台服务器，Amazon>IBM、微软、YahOo等的“云”均拥有几十万台服务器。企业私有云一般拥有数百上千台服务器。按需服务：以按需（IPS）服务的方式根据不同用户的个性化需求推出多层次的服务。云可以象自来水，电，煤气那样计费。高伸缩、高可靠性：基于网络构建的云计算可以快速灵活适应用户不断变化的需要（调整资源）,同时通过网络冗余机制实现高可靠性（分布式计算，分布式存储）。一、云计算简介云计算特点虚拟化：云计算蟠用户在任意位置、使用各种终端获取应用服务。所请求的资源来自“云”，而不是固定的有形的实体。应用在“云”中某处运行，但实际上用户无需了解、也不用担心应用运行的具体位置。高性价比：云计算模式通过物理资源复用，按需购买等方式实现高性价比一、云计算简介云计算服务类型:将软件作为服务Saas(SOftWreJ将平台作为服务PaaSfPIatformasaService)O1将基础设施作为服务Iaas(InfraStrUCtUreasaService)PaaSJ)3SaaS将硬件设备等基础资源封装对资源的抽象层次更进一步，针对性更强，它将某些特成服务供用户使用提供用户应用程序运行环境定应用软件功能封装成服务一、云计算简介客户采购和使用云计算服务的过程规划准备变更服务商一、云计算简介云计算选择象限信息类型敏感信息可采用暂不采用公开信息优先采用般业务重要业务关键业务业务类型一、云计算等级保护安全技术设计云计算资产租户资产虚拟化网络虚拟机业务数据通信线路本地系统对外AP1一个中心、三重防护，云平台资产安全通信网络安全区域边界安全计算环境安全管理中心云操作系统I匹全设备Ii云管平台物理主机|网络控制器存储设备I虚拟机监视器,存储控制器安全管理平台一、云计算等级保护安全技术设计云计算环境安全安全管理平台（M区域划分）礴）监舸°）人（业务应用做据安岑）/tii计算抽象jSJ随件设备安星r网空作入流量监控）修拟机监控）（一虚拟机隔离）司Z-S操作系统"；的1.：)传*加物.G蠹)P耐CAI出款vX-Zg1w赣-）s策略配置物理隔离、电力保障、访问控制、火灾检测、视频监控等一、云计算等级保护安全技术设计云计算等级保护安全技术设计框架用安计算环境安全安全管理中心用户安全用户安全区域边界安全信络全通网安.IaaSPaaSSaaS租户1相广租户1租户n收据安全II应用安全I租户1数据安全租户nN据安全数据安全II数据安全I数据安全I应用安全II应用安全I应用安全I应用安全加牛平台安全网络和主M全I软件y台安全网络和I主机去全软件平台安全软件平台安全网络和主机安全网络和主机安全1服务层安全拟源全虚资安资源独象控制层安全计算资源网络资源存储资源分有式操作系统/虚拟机监视器理源全物资安基础硬件与网络安全物理与环境安全资源层安全安全骨理等级保护要求的变化原来：安全要求改为：安全通用要求和安全扩展要求安全通用要求是不管等级保护对象形态如何必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出了特殊要求，称为安全扩展要求。基本要求章节结构的变化8第三级安全要求1 .安全通用要求2 .云计算安全扩展要求3 .移动互联安全扩展要求4 .物联网安全扩展要求5 .工业控制系统安全扩展要求基本概念什么是云计算安全责任主体？云月艮务商CIoudserviceprovider云计算服务的供应方。注：云服务商管理、运营、支撑云计算的计算基础设施及软件，通过网络交付云计算的资源。云服务客户CIoudserviCecustomer为使用云计算服务同云服务商建立业务关系的参与方。注意：某些情况下云服务商与云服务客户为同一实体机构或自然人。不同服务模式下安全责任变化范围和控制云计算安全责任共担模型IaaSPaaSSaaS云服务提供者云服务客户网络控制操作系统测评的解读分享GB/T22239-2019信息安全技术网络安全等级保护基本要求云计算安全扩展要求安全物理环境一基础设施位置要求：应保证云计算基础设施位于中国境内。条款解读：核查云计算平台建设方案，云计算服务器、存储设备、网络设备、云管理平台、信息系统等运行业务和承载数据的软硬件是否均位于中国境内。（定级是不应包含海外机房）测评的解读分享安全通信网络 网络架构 a）应保证云计算平台不承载高于其安全保护等级的业务用. 条款解读;应核查云计算平台和云计算平台承载的业务应用系统相关定级备案材料，云计算平台安全保护等级要高于其承载的业务应用系统安全保护等级；（定级备案表和定级报告）测评的解读分享安全通信网络 b）应实现不同云服务客户虚拟网络之间的隔离； 解读： 11应核杳云服务客户之间是否采取网络隔离措施；（VPC或云防火墙） 2）应核查云服务客户之间是否设置并启用网络资源隔离策略 3）应测试验证不同云服务客户之间的网络隔离措施是否有效测评的解读分享安全通信网络,VPC:虚拟私有云(Virtua1PrivateC1oud),为弹性云服务器构建隔离的、用户自主配置和管理的虚拟网络环境，提升用户云中资源的安全性，简化用户的网络部署。可以在VPC中定义安全组、VPN>IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间弹性云服务器的访问规则，加强弹性云服务器的安全保护。测评的解读分享安全通信网络C）应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力;条款解读：- 1）应核查云计算平台是否具备为云服务客户提供通信传输、边界防护、入侵防范等安全防护机制的能力；（VPC、云防火墙、云IDS、云IPS等服务）- 2）应核查上述安全防护机制是否满足云服务客户的业务需求- 0应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略;条款解读：- 1）应核查云计算平台是否支持云服务客户自主定义安全策略,包括定义访问路径、选择安全组件、配置安全策略；（云管理平台、网络管理平台、云防火墙）测评的解读分享安全通信网络e）测评指标：应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务；条款解读：D应核查接口设计文档或开放性服务技术文档是否符合开放性及安全性要求；（云安全市场、相关开放性接口和安全服务及相关文档）-2）应核查云服务客户是否可以接入第三方安全产品或在云计算平台选择第三方安全服务。测评的解读分享安全区域边界一访问控制a）应在虚拟化网络边界部署访问控制机制，并设置访问控制规则；b）应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则。条款解读：1 .应核查是否在虚拟化网络边界（不同租户之间、不同等级网络之间）部署访问控制机制，并设置访问控制规则；（云防火墙、VPC等）；2 .查看访问控制规则和访问控制策略是否有效。测评的解读分享安全区域边界入侵防范a）应能并能记录攻击类型、攻击时间、攻击流量等检测到云服务客户发起的网络攻击行为b）应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；C）应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量；d）测评指标：应在检测到网络攻击行为、异常流量时进行告警；条款解读：应核查是否采取了入侵防范措施对网络入侵行为进行防范；（云安全产品、抗APT攻击系统、网络回溯系统、威胁情报检测系统、抗DDOS攻击系统和入侵保护系统或相关组件）；不止对内，还有对外。设备或组件需要更新至最新特征库O查看平台相关组件报警机制。测评的解读分享安全区域边界,安全审计a）应对云服务商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；b）应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计条款解读：主要查看云平台的安全审计模块或组件（包括服务端和租户端），查看审计的范围、内容、时间、对象、结果等信息，保证云平台的自身事件和云平台对云服务客户的操作均被审计。测评的解读分享安全计算环境身份鉴a）当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制；条款解读：应核查当进行远程管理时是否建立双向身份验证机制；（管理终端和云计算平台，建立连接时是否使用如证书等双向验证机制）测评的解读分享安全计算环境访问控制a）应保证当虚拟机迁移时，访问控制策略随其迁移；b）应允许云服务客户设置不同虚拟机之间的访问控制策略。条款解读：应核查虚拟机迁移时访问控制策略是否随之迁移；（虚拟机迁移记录和相关配置）。应核查云服务客户（租户管理端）是否能够设置不同虚拟机间访问控制策略；（云防火墙，VPOo测评的解读分享安全计算环境入侵防范a）应能检测虚拟机之间的资源隔离失效，并进行告警；b）应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警;C）应能够检测恶意代码感染及在虚拟机间蔓延的情况，进行告警。条款解读：应查平台和云管理平台是否具有并启用相应策略，保证平台整体的资源隔离、防止非授权的看云资源监控异常操作和恶意代码传播（这个需要云客户购买服务方能实现）。测评的解读分享镜像和快照保护安全计算环境a）应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务；条款解读：核查是否对生成的虚拟机镜像进行必要的加固措施，如关闭不必要的端口、服务及进行安全加固配置；（虚拟机镜像文件，提供给租户的虚拟机镜像不能有高风险漏洞，针对不同等级，要有基本的安全策略配置）测评的解读分享安全计算环境镜像和快照保护b）应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改。条款解读：应核查是否对快照功能生成的镜像或快照文件进行完整性校验，是否具有严格的校验记录