云安全核心技术

一、云安全发展趋势

云计算的出现和发展正在深刻地改变着信息化建设模式，给技术应用和服务模式的变革创新带来了机遇。云计算产业被认为是继大型计算机、个人计算机、互联网之后的第四次IT产业革命。随着云计算技术的逐步成熟，国内外相继采用云计算技术以降低IT基础设施的投资规模，提高资源利用率。

云计算在带来便利的同时，也带来了新的安全技术风险、政策风险和安全合规风险。

Apache Log4j 漏洞频发“全球近一半企业受影响”“每小时攻击上万名玩家”堪比核弹级的高危Bug席卷了整个云计算圈也引起了政府部门的高度重视Gartner预测到今年年底，公有云的部署数量将超过私有数据中心的工作负载。

伴随着这一增长，企业迫切需要改善对网络、云服务和云原生应用的安全访问。云优先战略现在已十分普遍，甚至在不愿承担风险的企业也是如此。但由于缺乏确保安全云计算部署所必需的技能和工具，因此执行仍然受到阻碍。

《中华人民共和国网络安全法》的正式实施使网络安全已提升到法律层面，等级保护2.0标准的发布也意味着云计算被纳入等级保护标准要求的范畴。如何设计云计算安全架构、保障云计算平台安全合规、有效提升安全防护能力是当前迫切需要研究的重要课题。

云安全是信息安全技术和服务市场中增长速度最快的细分市场，2021年云安全技术成熟度曲线能够帮助企业机构实现可控、合规、经济的云战略。

Gartner技术成熟度曲线中的安全技术

• 安全访问服务边缘（SASE）

SASE以服务形式提供，它能够基于设备或实体身份，结合实时上下文以及安全和合规策略实现系统访问。SASE提供多种融合网络和安全功能，例如SD-WAN和零信任网络访问（ZTNA）。它还支持分支机构、远程工作人员和本地的一般网络安全。SASE主要通过云交付模式大幅简化关键网络和网络安全服务的交付和操作，提高敏捷性、韧性和安全。

• 安全服务边缘（SSE）

SSE保证网络、云服务和私人应用的访问安全。其功能包括访问控制、威胁保护、数据安全、安全监控和可接受的使用控制，所有这些功能都通过基于网络和API的集成来执行。SSE技术使企业机构能够随时随地支持工作者，使用以云为中心的方法来执行安全策略。企业机构可直接通过它将多种不同的安全功能进行集成，从而降低复杂性并改善用户体验。

• SaaS安全态势管理（SSPM）

SSPM工具持续评估安全风险并管理SaaS应用安全态势。其核心功能包括报告本地SaaS安全设置的配置、管理身份权限并提出能够减少风险的配置改进建议。虽然大多数企业机构使用数以百计的SaaS应用，但他们也依赖一个共同的选择来进行关键业务操作。云访问安全代理在SaaS层提供敏感数据和访问保护，但对高级攻击和复杂的配置错误却视而不见。SSPM工具通过持续扫描和消除配置错误来降低风险，而配置错误是最常见的云安全故障。

• 云原生应用保护平台（CNAPP）

CNAPP是今年新加入Gartner技术成熟度曲线的技术。它是一套用于帮助保障和保护跨开发和生产云原生应用的集成安全和合规功能。CNAPP集成了多个云原生安全工具和数据源，包括容器扫描、云安全态势管理、基础设施即代码扫描、云基础设施授权管理和运行时云工作负载保护平台。为了确保云原生应用的安全，企业机构需要使用来自多家厂商的多种安全测试和保护工具。这会拖慢开发人员的速度并使风险可见性变得分散。CNAPP使企业机构只需使用一款集成产品就能保护云原生应用的整个生命周期。

二、云计算安全风险

云计算面临的主要安全问题与风险包括以下几点：

（1）传统安全风险

云计算不论采用哪种服务模式和部署模式，从本质上说，也只是信息系统的一种新的表现形式，因此传统的安全问题与风险在云计算环境中依然存在。

（2）新技术安全风险

云计算的虚拟化技术、软件定义网络（SDN）导致云计算存在边界不确定性、虚拟化层安全、虚拟化核心技术不可控、虚拟网络隔离可靠性等新的安全问题和风险。

（3）数据安全风险

在云计算环境下的数据海量汇聚，使得云计算平台承载的数据价值放大，意味着云计算环境下的数据泄露、丢失、残留风险也被放大。

（4）API接口安全风险

由于云计算技术的散耦合性，云计算各模块之间、云对外提供服务均使用API接口，API接口存在认证、授权、代码缺陷等问题和风险。

（5）DDoS攻击风险

云计算基于网络提供服务，DDoS攻击是云计算环境最主要的安全威胁之一，攻击者通常是发起一些关键性操作来消耗大量的系统资源，如进程、内存、硬盘空间、网络带宽等，导致云服务反应变得极为缓慢或者完全没有响应。

云计算安全需要综合考量云计算面临的各种安全问题和风险，通过顶层设计角度，从网络安全模型和架构入手设计云计算安全保障体系，真正做到云计算安全有效、全面、无短板。

三、云计算安全框架

云计算由于其弹性、可扩展、虚拟化、安全边界模糊、虚拟流量不可见等诸多特点，在进行云计算安全架构设计时不再以传统的安全防御为主，而是通过Gartner提出的自适应安全架构，依据国家的法律法规和安全标准，结合云计算的安全特点和云安全的实际需求，建立起一套动态积极的云计算安全保障体系。以此应对实时变化的信息安全态势，保持信息安全弹性，增强信息安全事件响应能力，保证云计算安全体系具备的前瞻性和先进性。

（1）建立纵深实时可扩展的云安全防御体系

云计算环境既包含传统的物理资源又包含虚拟资源，因此需要同时保障云平台安全和云上系统安全。云计算安全体系通过纵深的安全防御体系实现三层防御：第一层防御通过传统的安全设备和适当的区域划分，实现云平台物理边界和南北向安全防护；第二层防御，通过云计算平台自身安全机制，通过VPC、安全组防火墙等对云内资源进行安全隔离和控制；第三层防御，通过SDN服务链编排，通过东西向安全资源池，实现云内东西向安全增强防护。同时，动态积极安全保障体系通过预测感知体系和持续监测体系与纵深防御体系进行联动，实现协同防御的能力。

（2）建立全面持续的云安全监控体系

云计算安全体系通过对多数据来源（包括Syslog日志、Audit日志、安全日志、网络流量）、多种类型（包括物理资源的日志和监控、虚拟资源的日志和监控）的监控数据和审计数据进行集中收集、分析，持续发现安全问题，并能够对安全问题进行跟踪和溯源，同时将发现的安全问题与安全响应体系、安全防御体系进行联动，及时阻止事件的进一步破坏，达到动态积极的效果。

（3）CSA云安全框架

CSA在CSA 0001.1-2016《CSA云计算安全技术要求 第1部分：总则》[4]中，根据云计算层次架构，结合安全业务特点，定义了云计算安全技术要求框架。

在CSA云计算安全技术要求中，访问层安全需要定义访问服务层能力通用接口的安全技术要求，重点关注传输完整性和保密性、鉴别和授权、对外API接口安全及Web安全等内容；资源层分为物理资源和资源抽象与控制两部分，资源层安全需要定义物理资源和虚拟资源安全技术要求，资源层安全重点关注物理网络安全、物理主机安全、边界安全、安全审计、虚拟资源管理平台安全、虚拟资源空间安全等内容；服务层安全根据不同的服务模式，以及云服务提供者和客户承担的安全责任不同而分别定义，主要关注云上系统的安全。

（4）等级保护云安全框架

网络安全等级保护制度自开始实行到现在已近20年，等级保护已经成为国家网络安全的基本制度。《中华人民共和国网络安全法》正式实施后，将网络安全等级保护制度上升到了法律层面。等级保护在应对新形势、新技术快速发展和成熟的大背景下，对云计算、物联网、移动互联、工业控制系统及大数据进行安全要求，等级保护进入2.0时代。

GB/T 25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》中，依据等级保护“一个中心、三重防护”的设计思想，结合云计算功能分层框架和云计算安全特点，构建云计算安全设计防护技术框架。其中，一个中心指安全管理中心，三重防护指安全计算环境、安全区域边界和安全通信网络。

四、云安全技术体系

云安全体系技术架构，依据CSA云安全框架，以及网络安全等级保护云计算安全防护技术框架，以弹性自适应云安全体系为核心理念，以“一个中心、三重防护”安全设计思路，结合云安全现状和实际需求，进行规划设计，最终实现以云安全管理中心及安全资源池为核心，着力保护云安全边界，网络通信安全及计算环境安全，同时为云上系统提供云安全能力。

（1）一个中心

云安全管理中心不仅要覆盖物理网络、物理宿主机的统一安全管理，还需覆盖虚拟资源的管理、审计和安全分析。

通过云安全管理中心，实现对网络设备、安全设备、应用系统及云平台虚拟网络、虚拟机中的信息安全事件进行集中收集、分析、安全预警。同时，云安全管理中心对云平台的漏洞和补丁进行统一纳管。

云安全管理中心通过部署威胁情报体系、大数据安全分析体系和态势感知体系，对内外部信息安全威胁情报进行收集和管理，通过对各类安全事件、审计数据、原始流量及云平台资产进行大数据安全分析，建立起云平台的安全态势感知体系，实现动态积极的安全保障体系。

（2）三重防护

三重防护具体指的是安全计算环境、安全区域边界和安全通信网络。主要通过安全技术体系的建设来进行这三重防护，并通过安全产品和安全机制使得三重防护行之有效。云安全技术体系设计中，三重防护的具体控制措施如下。

a.安全区域边界

在云互联网安全边界、广域网安全边界和管理运维边界处部署安全防护产品和安全防护手段，保障云物理边界安全。通过分区分域，并对各安全区域之间，以及核心网络部署安全防护产品和安全防护手段，保障区域网络安全。

通过VPC、虚拟防火墙、虚拟入侵检测、SDN服务链编排、虚拟网络流量检测和审计等云安全防护产品和云安全防护手段，保障虚拟边界安全。

b.安全计算环境

云计算环境安全包括物理资源安全、虚拟资源安全、云管平台安全、云上系统安全和数据安全。

物理资源安全包括宿主机安全和物理网络设备安全，主要从物理资源安全配置加固、安全审计、漏洞管理和冗余设计等方面进行安全规划设计。

虚拟资源安全包含虚拟计算资源安全和虚拟网络资源安全。虚拟计算资源安全主要从虚拟机监视器自身安全、虚拟资源隔离和独占、虚拟机防恶意代码、虚拟访问控制、虚拟入侵防范、虚拟补丁管理、镜像快照保护等方面进行安全规划设计；虚拟网络资源安全主要从SDN自身安全、南北向安全接口规范要求、虚拟机地址防欺骗、东西向安全防护等方面进行安全规划设计。

云管平台安全包含云管平台自身的安全性，包括云管平台的身份鉴别、访问控制、安全审计，以及虚拟网络拓扑实现及云管平台自身可靠性等。

数据安全包含数据完整性、可用性、数据加密脱敏等内容。

c.安全通信网络

安全通信网络包含网络传输时数据的完整性和保密性，包括通信网络的安全审计、通信网络的可用性等相关内容。

（3）云安全资源池

云安全资源池，主要为云上系统提供安全区域边界和安全计算环境两个层面的安全防护。通过将安全能力抽象和资源池化，由云安全管理平台进行统一纳管，并根据业务规模横向扩展资源池，满足不同云上系统的安全需求，实现云上系统的虚拟安全访问控制、入侵检测、恶意代码防范、云上数据库审计和云上系统应用安全防护等。

（4）行为关联分析技术

通过行为分析的“相关性技术”可以把威胁活动综合联系起来，确定其是否属于恶意行为。Web威胁的单一活动似乎没有什么害处，但是如果同时进行多项活动，那么就可能会导致恶意结果。因此需要按照启发式观点来判断是否实际存在威胁，可以检查潜在威胁不同组件之间的相互关系。通过把威胁的不同部分关联起来并不断更新其威胁数据库，即能够实时做出响应，针对电子邮件和Web威胁提供及时、自动的保护。

（5）自动反馈机制

云安全的另一个重要组件就是自动反馈机制，以双向更新流方式在威胁研究中心和技术人员之间实现不间断通信。通过检查单个客户的路由信誉来确定各种新型威胁。例如：趋势科技的全球自动反馈机制的功能很像现在很多社区采用的“邻里监督”方式，实现实时探测和及时的“共同智能”保护，将有助于确立全面的最新威胁指数。单个客户常规信誉检查发现的每种新威胁都会自动更新趋势科技位于全球各地的所有威胁数据库，防止以后的客户遇到已经发现的威胁。
由于威胁资料将按照通信源的信誉而非具体的通信内容收集，因此不存在延迟的问题，而客户的个人或商业信息的私密性也得到了保护。

（6）威胁信息汇总

安全公司综合应用各种技术和数据收集方式——包括“蜜罐”、网络爬行器、客户和合作伙伴内容提交、反馈回路。通过趋势云安全中的恶意软件数据库、服务和支持中心对威胁数据进行分析。过7×24小时的全天候威胁监控和攻击防御，以探测、预防并清除攻击。

后记

云计算作为近十年发展最快的技术之一，经历了多个发展历程。随着信息基础设施的迭代和云原生技术的应用，企业数字化转型和上云需求日渐迫切，但不同类型和规模的企业上云前后面临的问题不同。政府单位和特大型企业对云的规模要求更高，更加关注云服务商的专业能力、产品性能和业务安全。中小规模企事业单位更看重性价比，简化建设和运维，特别是云计算和安全一体化交付。上云已成为企业数字化转型必选项，云服务商在提供基础技术支撑的同时，也有义务承担风险预警及安全保障的社会责任。