口云资源池安全需求目云资源池安全总体思路目南北流量安全部署方案.pdfVIP

原炯1吕鹛1张金漫2 1冲国电信股份有限公司浙江分公司 2．华信咨询设计研究院有限公司 口云资源池安全需求 信流量，这成为安全防护中的盲点。 换机侧旁挂DDoS流量清洗、IDS／IPS、 随着浙江电信云资源池的不断壮 运维安全：指对内部运维人员 防火墙等设备对南北流最进行完备安全 大．引发对云安全的更高要求，不仅 行为的安全管理和审计，在云资源池 防护。虚拟化层面部署虚拟防火墙软 要解决常规安全问题，更要对云带来 中，由于维护人员较多，在跳板机上 件、IDS／IPS深度包检测软件、防病毒 的虚拟化能高效适应。 需要配置大量的账号区别维护人员， 软件等对虚拟化层进行安全防护。在运 云资源池在系统组成方面与传统 同时，由于维护时的需要．无法将各 维接入层面部署虚拟堡垒机设备对运维 平台建设最主要的区别就是将资源虚 账号的权限进行限制，运维人员可以 操作进行安全审计和管理。 拟化形成统一的资源池，简化资源的 随意在跳板机上存放临时文件以及个 配置与管理，提高硬件的利用率，从 人文件，引入安全漏洞，因此需要对 目南北流量安全部署方案 而实现云计算的灵活性与弹性。虚拟 内部运维人员进行安全审计管理。 3．1部署DDoS流量清洗设备 层的引入使以访问控制为核心的安全 高可用性和扩展性：云资源池的 DD0s攻击分为带宽消耗型攻击 防护体系与传统的业务平台建设防护 安全防护系统不能成为性能瓶颈，必 (大流量攻击)和主机资源消耗型攻 须保证高可用性，确保业务连续性、 体系有很大不同，除了包括传统的主 击。带宽消耗型攻击会对云主机资源池 机安全、网络安全等外，还需要包含 更高的可靠性、更短的停机时间、更 出口造成流量压力，阻塞云主机资源池 云计算中特殊的虚拟化安全。 简便的维护和升级，同时，云计算是 业务网络，影响云主机资源池业务运 综合云资源池系统结构和业务模 弹性扩容的，安全设备也应该是灵活 行。主机资源消耗型攻击使服务器处理 扩展的。 式进行分析，当前云资源池安全所面 大量并发攻击请求，严重影响服务器内 临的核心问题主要包括以下方面。 存、数据库、CPU的处理性能。 南北流量安全：指云资源池内外 目云资源池安全总体思路 在资源池出口核心交换机侧部 部流量安全，与传统安全防护类似， 基于对云资源池安全需求分 主要防止外部人员对云资源池进行攻 析，云资源池安全防护措施需涵盖外 予清洗。DDOS系统由流量检测系统 击和破坏。 部网络接入层、虚拟化层、运维管理 和流量清洗系统两部分组成，通过在 东西流量安全：指云资源池内部 等各层面，并充分考虑性能的高可用 云主机资源池入口链路部署流量检测 流量之间的安全，在虚拟化环境中， 性和可扩展性，构建全方位纵深型的 系统，检测系统检测到异常流量攻击 虚拟机成为网元的最小单元，而对于 安全体系架构，从而保障云资源池的 后，上报流量清洗系统并把受攻击的 传统的硬件防火墙以及基于行为特征 安全。云资源池安全体系架构如图1 主机流量引入清洗系统进行异常流量 所示。 分析的IDS／IPS等网络安全设备，根本 清洗，将清洗后的正常业务流量重新 无法感知到同一物理机上各VM