云安全中心
云數(shù)據(jù)中心作為教育管理信息系統(tǒng)運行的云服務(wù)平臺，承載和滿足了國家教育管理公共服務(wù)平臺的部署和運行需求，極大地帶動了教育信息化的發(fā)展。
在云數(shù)據(jù)中心和大數(shù)據(jù)計算環(huán)境下，應(yīng)用系統(tǒng)內(nèi)部、應(yīng)用系統(tǒng)間、各云主機間，緊密關(guān)聯(lián)且運行復(fù)雜。在安全邊界、各系統(tǒng)內(nèi)部，應(yīng)如何開展防護工作，確保信息化平臺的安全穩(wěn)定運行呢？
需求分析
高校在建設(shè)云數(shù)據(jù)中心時，在云安全防護設(shè)計方面，應(yīng)充分考慮云計算的特點和要求，基于對安全威脅的分析，明確各方面的安全需求，充分利用現(xiàn)有的、成熟的安全控制措施，結(jié)合云計算的特點和最新技術(shù)進行綜合考慮和設(shè)計。
網(wǎng)絡(luò)邊界模糊帶來的安全風(fēng)險。在傳統(tǒng)的網(wǎng)絡(luò)邊界防護中，一般都是按照網(wǎng)絡(luò)中資源重要程度的不同進行區(qū)域劃分，不同區(qū)域根據(jù)各自的安全需求，采取相應(yīng)的邊界防護措施。但在云計算環(huán)境下，由于大量運用虛擬化技術(shù)，資源池化技術(shù)導(dǎo)致云計算環(huán)境內(nèi)服務(wù)器、存儲設(shè)備和網(wǎng)絡(luò)設(shè)備等硬件基礎(chǔ)設(shè)施被高度整合，多個系統(tǒng)同時運行在同一個物理設(shè)備上，傳統(tǒng)的網(wǎng)絡(luò)邊界正在被打破。
數(shù)據(jù)傳輸安全風(fēng)險。在云計算環(huán)境下，所有數(shù)據(jù)的處理、存儲均在云端完成，用戶一端只具有較少的計算處理能力。這就意味著大量的原始數(shù)據(jù)、發(fā)送的處理請求、用戶端展示的內(nèi)容等數(shù)據(jù)，均需嚴重依賴網(wǎng)絡(luò)進行傳輸，這必然會帶來數(shù)據(jù)傳輸方面的安全風(fēng)險。
服務(wù)器安全的風(fēng)險。在建立新的服務(wù)器節(jié)點時，通常是將標(biāo)準(zhǔn)虛擬機模板進行復(fù)制操作，得到一個新的服務(wù)器節(jié)點。這時標(biāo)準(zhǔn)虛擬機模板的補丁、安全配置、安全軟件就非常重要，可決定整個云數(shù)據(jù)中心的安全。任何一個環(huán)境的問題，都可能導(dǎo)致云平臺受到入侵的威脅。
數(shù)據(jù)存儲的風(fēng)險。用戶所有在云端的數(shù)據(jù)是否得到妥善保存，而這些數(shù)據(jù)是否加密，避免運維人員隨意訪問。云計算環(huán)境下的身份鑒別、認證管理和訪問控制等安全機制是否符合業(yè)務(wù)的需求。意外刪除或天災(zāi)都可能會導(dǎo)致永久性的數(shù)據(jù)丟失。
建設(shè)思路
綠盟科技結(jié)合高校信息化建設(shè)特點，建議圍繞邊界安全防護、云主機安全、數(shù)據(jù)安全等幾方面展開建設(shè)。
依據(jù)國家法律法規(guī)、云安全標(biāo)準(zhǔn)，提出相應(yīng)安全策略與整體技術(shù)防護措施，包括具體的區(qū)域劃分、云管理平臺與各云主機網(wǎng)絡(luò)之間、不同業(yè)務(wù)區(qū)域之間、不同等級安全區(qū)之間的安全防護措施，高級安全能力建設(shè)、網(wǎng)絡(luò)通信安全建設(shè)方案等。
在進行實際建設(shè)時，應(yīng)遵循“保障云平臺及其配套設(shè)施”“基于安全域的縱深防護體系設(shè)計”“以安全服務(wù)為導(dǎo)向，并符合云計算的特點” “充分利用現(xiàn)有安全控制措施及最新技術(shù)”“充分利用云計算等最新技術(shù)”等原則。
建設(shè)方案
對于數(shù)據(jù)中心的安全防護，滿足等級保護是最基本要求，但是數(shù)據(jù)中心面臨著一個不斷演變的網(wǎng)絡(luò)威脅環(huán)境，從過去廣泛、漫無目的的攻擊威脅，在數(shù)年內(nèi)迅速的轉(zhuǎn)化為針對受害者組織的高級可持續(xù)威脅（APT），APT攻擊可以避開傳統(tǒng)的基于特征的安全檢測機制，例如繞過防火墻、入侵防御系統(tǒng)、防病毒網(wǎng)關(guān)等傳統(tǒng)的安全機制，還需要開展“縱深防御，層層防范”的安全措施。
第一道防線：事前防護
包括網(wǎng)絡(luò)出口防護，安全措施包括流量清洗、訪問控制、入侵防護。同時結(jié)合云環(huán)境防護，安全措施包括防火墻、WAF、防病毒。
第二道防線：事中響應(yīng)
在業(yè)務(wù)系統(tǒng)運行過程中開展運行監(jiān)控、惡意操作防護、攻擊鏈行為分析。
第三道防線：事后審計
安全措施包括運維審計、網(wǎng)絡(luò)安全審計、數(shù)據(jù)恢復(fù)、入侵溯源、日志分析。利用審計可以實現(xiàn)運營過程的報表統(tǒng)計、安全KPI指標(biāo)體系管理、事件溯源等安全措施。
集中安全管理
利用態(tài)勢感知系統(tǒng)/企業(yè)綜合安全管理平臺采集安全系統(tǒng)運行過程中的日志、數(shù)據(jù)，通過大數(shù)據(jù)分析、挖掘、關(guān)聯(lián)等方式發(fā)現(xiàn)異常行為，并利用集中管理系統(tǒng)對業(yè)務(wù)系統(tǒng)、數(shù)據(jù)庫、服務(wù)器、網(wǎng)絡(luò)設(shè)備進行集中的運行狀態(tài)監(jiān)控。
外部支撐
通過互聯(lián)網(wǎng)網(wǎng)站安全監(jiān)測、外部安全專家支持獲得外部安全支撐能力，包括網(wǎng)站安全監(jiān)測、網(wǎng)站云安全防護、威脅情報獲取、云端安全掃描、遠程滲透測試，安全咨詢等。
