云计算安全解决方案.pptx

云计算安全解决方案1 云计算与虚拟化2 云计算的安全风险3 云计算的安全标准4 方案设计和实现5 云计算安全的未来6 案例美国NIST发布的云计算模型宽带接入快速弹性架构可计费服务按需自服务资源池SaaSPaaSIaaS社区云混合云私有云公有云Source：SP-800-145_cloud-definition（NIST）虚拟化技术简单的私有云某私有云私有云私有云逻辑架构1 云计算与虚拟化2 云计算的安全风险3 云计算的安全标准4 方案设计和实现5 云计算安全的未来6 案例关键云安全威胁 TOP THREATS数据泄露数据丢失账户或服务流量劫持中间人攻击不安全的接口和API目录遍历拒绝服务恶意的内部人员信息窃取云服务的滥用僵尸网络拒绝服务攻击暴力破解不够充分的审查共享技术漏洞Source：Top Threats to Cloud Computing V1.0（CSA）云计算带来的影响和问题云计算采用了新技术、新服务模式，在带来益处的同时，也导致和引发了新的安全风险和挑战。云计算的特有的安全风险和需求智能终端风险传统风险合规性风险?应用管理公有云、私有云、混合云??数据与信息风险运营与管理风险S应用软件?SaaS业务与资源滥用监管PaaS开发接口运营管理负载均衡分布式文件系统缓存管理数据库数据分析通信能力?虚拟化风险IaaS服务器资源存储资源虚拟化和操作系统网络资源云计算应用安全风险一、虚拟化风险：自身风险完整性漏洞、配置虚拟机镜像/模板安全虚拟机间隔离失效，逃逸虚拟机间隐蔽信道虚拟边界、动态迁移虚拟机同质化对上层应用资源争用监听、攻击虚拟机及区域间通信监控和边界防护虚拟化安全域划分与安全策略的部署离线/在线虚拟机安全管理病毒代码库、补丁、漏洞扫描、配置变更云计算应用安全风险二、数据与信息风险：数据集中，存储失效、可控备份黑客攻击，窃取信息云服务商、代维方等作案资源复用、信息泄露数据保护和信息泄露防护自主可控的数据存贮、备份与恢复数据加密、检索数据可靠删除云计算应用安全风险求三、业务与资源滥用利用云计算特点，对计算、网络和存储能力进行滥用可导致如下安全问题暴力破解垃圾邮件Botnet恶意代码存储数据存储、备份可靠性云计算应用安全监控内容、数据云计算应用安全风险焦点与需求四、运营管理所有权、使用权分离，带来的安全措施部署困难人员身份冒用、权限滥用运维事件处理应急响应变更管理配置管理与现有运维流程的融合……4A、堡垒机SOC虚拟机安全策略迁移云计算应用安全风险焦点与需求五、法规遵循合规尚未出现专门适合应用与云计算的合规标准，目前主要参考ISO/IEC 27000审计机构在条款使用和技术上存在瓶颈，被审计者无法提供证据或无意愿和责任提供法律信息使用和知识产权可能造成纠纷双方在合同和SLA（服务水平协议）上可能存在控制真空，导致风险无人承受虚拟化带来的物理位置不确定性和国际相关法律法规的复杂性司法取证问题第三方审计安全评测（CSA）安全监控服务监测、预警、分析、响应面临的挑战1 云计算与虚拟化2 云计算的安全风险3 云计算的安全标准4 方案设计和实现5 云计算安全的未来6 案例NIST云计算参考架构Data Source: NIST SP500-292ISO/IEC 相关云计算安全标准ITU-T 云计算讨论组云计算面临的安全威胁ITU-T 云计算讨论组云计算的要求ITU-T 云计算讨论组安全研究课题的建议ITU-T 云计算讨论组X.ccsec: 安全架构云计算安全联盟（CSA）寻找差距，控制风险，按需采用云计算模型展现形式展现平台安全控制模型APIs法规遵从模型SDLC、二进制分析、扫描器、Web应用防火墙、交易安全应用应用等级保护内容DLP、CMF、数据库活动监视、加密元数据数据信息风险评估解决方案方案实施定期检查中间件GRC、IAM、漏洞管理、补丁管理、配置管理、监视管理APIs网络IDS/IPS、防火墙、DPI、Anti-DDoS、QoS、DNS、OAuth抽象核心连接交付网络电子政务相关可信计算硬件 软件 RoT APIs在线交易相关主机防火墙·、主机IDS/IPS完整性 文件/日志 管理加密、掩盖硬件计算 存储……设施物理层物理机房安全、监控、警卫CSA CCM – 云控制矩阵COBIT 4.1 HIPAA / HITECH Act ISO/IEC 27001-2005 NIST SP800-53 R3 FedRAMP PCI DSS v2.0 BITS Shared AssessmentsSIG v6.0BITS Shared AssessmentsAUP v5.0GAPP (Aug 2009) Jericho Forum NERC CIP云安全指南国内标准GB/T31167: