政府行業(yè)數(shù)據(jù)安全解決方案
業(yè)務(wù)背景
在中國(guó)，云計(jì)算市場(chǎng)規(guī)模在不斷擴(kuò)大，三大電信運(yùn)營(yíng)商已建成規(guī)?；袠I(yè)云平臺(tái)，各省市政務(wù)云也已基本完成一期建設(shè)，金融、零售、教育、物流、醫(yī)療、制造、傳媒等行業(yè)云也在此趨勢(shì)下競(jìng)相向前發(fā)展，形成了較為良好的發(fā)展態(tài)勢(shì)。
然而，資源集中使云平臺(tái)更容易成為黑客攻擊的目標(biāo)，云上的安全問(wèn)題也更加突出。安全已成為用戶上云的最大阻力。IDC調(diào)研顯示，云計(jì)算所面臨的挑戰(zhàn)匯中，安全問(wèn)題排在首位。2019年RSA大會(huì)上，云安全躍居熱詞榜首。
風(fēng)險(xiǎn)與挑戰(zhàn)
云平臺(tái)安全合規(guī)風(fēng)險(xiǎn)
根據(jù)等保2.0/GBT 31167等云安全政策要求，云服務(wù)商必須滿足安全合規(guī)要求并通過(guò)相關(guān)安全審查，具備保障用戶數(shù)據(jù)和業(yè)務(wù)系統(tǒng)安全的能力。當(dāng)用戶業(yè)務(wù)系統(tǒng)進(jìn)行等保測(cè)評(píng)時(shí)，首先應(yīng)關(guān)注云平臺(tái)是否已經(jīng)測(cè)評(píng)，如未測(cè)評(píng)，則無(wú)法開(kāi)展對(duì)用戶系統(tǒng)的測(cè)評(píng)。
云用戶安全需求難以滿足
傳統(tǒng)云平臺(tái)安全架構(gòu)僅能夠?qū)τ脩籼峁┩ㄓ玫陌踩呗?，不能適用于所有用戶。用戶因而不能根據(jù)自身業(yè)務(wù)需求選擇和管理安全組件，這將放大用戶業(yè)務(wù)系統(tǒng)“上云”后安全責(zé)任難以界定等風(fēng)險(xiǎn)，從而對(duì)“上云”產(chǎn)生顧慮。另外，不適用的安全策略也會(huì)影響用戶業(yè)務(wù)系統(tǒng)通過(guò)等保測(cè)評(píng)。
云平臺(tái)缺乏安全全局監(jiān)測(cè)和快速響應(yīng)能力
以防御為主的安全方案能夠讓云平臺(tái)及用戶具備應(yīng)對(duì)網(wǎng)絡(luò)攻擊的能力，但是由于缺乏全局的安全檢測(cè)能力，云平臺(tái)運(yùn)營(yíng)方不得不面對(duì)碎片化的安全管理界面，不僅安全運(yùn)維效率低下，而且加重了運(yùn)營(yíng)方的工作強(qiáng)度。最終導(dǎo)致未能及時(shí)發(fā)現(xiàn)安全風(fēng)險(xiǎn)。與此同時(shí)，由于缺乏快速響應(yīng)能力導(dǎo)致不能及時(shí)處置云平臺(tái)中發(fā)生的安全事故，使得攻擊的危害進(jìn)一步蔓延到其他資產(chǎn)，造成更大的損失。
解決方案
落實(shí)平臺(tái)自身安全合規(guī)
云平臺(tái)自身安全應(yīng)遵照等保2.0要求，基于云平臺(tái)業(yè)務(wù)特性，從云平臺(tái)邊界安全防護(hù)、宿主機(jī)及虛擬化安全和云管理平臺(tái)安全出發(fā)，在滿足合規(guī)的基礎(chǔ)上，對(duì)云平臺(tái)提供持續(xù)保護(hù)。
為用戶/業(yè)務(wù)提供安全能力
為打消用戶上云對(duì)安全風(fēng)險(xiǎn)的顧慮，云平臺(tái)應(yīng)能夠?yàn)樵朴脩魳I(yè)務(wù)系統(tǒng)提供池化的安全資源服務(wù)，可基于軟件定義的安全資源池、OpenAD等高性能的安全硬件設(shè)備和云眼/云盾等安全云服務(wù)，供用戶自行選用和配置安全策略。除此以外，針對(duì)PaaS/SaaS等云服務(wù)模式，云平臺(tái)應(yīng)基于池化安全資源服務(wù)和應(yīng)用自身的訪問(wèn)控制策略和安全加固措施，共同保障業(yè)務(wù)安全。
統(tǒng)一管理，實(shí)現(xiàn)安全全局監(jiān)測(cè)
通過(guò)在安全運(yùn)營(yíng)中心構(gòu)建網(wǎng)絡(luò)安全感知平臺(tái)，可幫助云平臺(tái)運(yùn)營(yíng)者實(shí)現(xiàn)對(duì)云內(nèi)所有安全事件的全局監(jiān)測(cè)和統(tǒng)一管理。在各業(yè)務(wù)區(qū)部署流量檢測(cè)探針，實(shí)現(xiàn)對(duì)云內(nèi)資產(chǎn)日志及網(wǎng)絡(luò)流量的統(tǒng)一采集與分析。當(dāng)資產(chǎn)的脆弱性風(fēng)險(xiǎn)和網(wǎng)絡(luò)攻擊等安全威脅出現(xiàn)時(shí)，可在第一時(shí)間發(fā)現(xiàn)問(wèn)題，并于全網(wǎng)海量資產(chǎn)中實(shí)現(xiàn)威脅的精確定位。通過(guò)平臺(tái)的大數(shù)據(jù)分析能力，還原攻擊鏈，對(duì)事件進(jìn)行溯源分析，以便進(jìn)一步的電子取證, 節(jié)約企事業(yè)單位對(duì)通信鏈路的投資成本。
構(gòu)建安全事件快速響應(yīng)能力
基于網(wǎng)絡(luò)安全感知平臺(tái)，通過(guò)邊界、端口安全設(shè)備與平臺(tái)的聯(lián)動(dòng)工作機(jī)制。可實(shí)現(xiàn)針對(duì)安全事件的快速響應(yīng)，包括邊界安全網(wǎng)關(guān)對(duì)可疑IP的一鍵封鎖，終端安全軟件對(duì)可疑文件的一鍵隔離/查殺，以及基于安全服務(wù)專(zhuān)家對(duì)安全事件進(jìn)一步的分析定位，快速找出威脅根源，及時(shí)處置，并針對(duì)事件溯源分析，提供修復(fù)和加固建議。
云安全方案框架圖
方案實(shí)現(xiàn)
基于核心交換設(shè)備、虛擬防火墻、EDR和下一代防火墻構(gòu)建云管理平面與業(yè)務(wù)平面、虛擬機(jī)與宿主機(jī)、不同安全級(jí)別的等保業(yè)務(wù)區(qū)、不同用戶的虛擬網(wǎng)絡(luò)VPC以及虛擬機(jī)微隔離五個(gè)層面的網(wǎng)絡(luò)隔離?；谙乱淮阑饓Α?yīng)用交付、上網(wǎng)行為管理等構(gòu)建邊界立體防御體系，VPN網(wǎng)關(guān)構(gòu)建安全接入平臺(tái)，堡壘機(jī)、日志審計(jì)保障云管理平臺(tái)運(yùn)維安全。云平臺(tái)基于上述安全設(shè)備形成滿足等保2.0技術(shù)要求的安全合規(guī)體系。
基于云安全資源池、OpenAD和云眼/云盾，構(gòu)建池化的安全資源服務(wù)，供用戶使用，包括負(fù)載均衡、下一代防火墻、堡壘機(jī)、日志審計(jì)等組件，用戶可根據(jù)業(yè)務(wù)需求進(jìn)行安全自管理。基于安全感知平臺(tái)和流量探針，構(gòu)建安全監(jiān)測(cè)預(yù)警體系，實(shí)現(xiàn)云安全全局監(jiān)測(cè)和統(tǒng)一管控。另外，安全服務(wù)專(zhuān)家可聯(lián)動(dòng)安全感知平臺(tái)的現(xiàn)有分析結(jié)果，協(xié)助安全運(yùn)維人員實(shí)現(xiàn)對(duì)安全事件的及時(shí)處置。
方案優(yōu)勢(shì)
智能聯(lián)動(dòng)
構(gòu)建從云內(nèi)到云外，從安全設(shè)備到安全服務(wù)的多層次聯(lián)動(dòng)機(jī)制。在云內(nèi)，構(gòu)建安全資源池管理平臺(tái)與虛擬安全組件之間的聯(lián)動(dòng)機(jī)制，發(fā)揮一體化優(yōu)勢(shì)，基于虛擬安全組件實(shí)現(xiàn)云內(nèi)安全無(wú)死角監(jiān)測(cè)，管理平臺(tái)對(duì)所有監(jiān)測(cè)數(shù)據(jù)進(jìn)行智能分析，能夠及時(shí)有效地發(fā)現(xiàn)外部攻擊行為和云內(nèi)失陷虛機(jī)，并通過(guò)可視化報(bào)表將分析結(jié)果和處置建議發(fā)送給云服務(wù)用戶，方便用戶申請(qǐng)相應(yīng)的安全組件，變更組件規(guī)格，修改配置策略等。在云外，構(gòu)建安全資源池與態(tài)勢(shì)感知平臺(tái)之間的“云-網(wǎng)-端”聯(lián)動(dòng)體系，實(shí)現(xiàn)一鍵處置。除了安全設(shè)備之間的智能聯(lián)動(dòng)，安全設(shè)備與安全人工服務(wù)之間自動(dòng)化、流程化的聯(lián)動(dòng)也已打通，形成了針對(duì)云環(huán)境的體系化安全運(yùn)營(yíng)管理平臺(tái)，從而真正的實(shí)現(xiàn)安全閉環(huán)。
快速響應(yīng)
結(jié)合安全設(shè)備之間、安全設(shè)備和安全人工服務(wù)之間的智能聯(lián)動(dòng)，可構(gòu)建安全事件快速響應(yīng)機(jī)制。與傳統(tǒng)的應(yīng)急響應(yīng)流程相比，聯(lián)動(dòng)快速響應(yīng)不僅能夠縮短安全事件的處置時(shí)間，避免事件危害的進(jìn)一步擴(kuò)散，而且還能提升安全設(shè)備的利用效率。除此以外，依托人機(jī)共智的快速響應(yīng)機(jī)制，在規(guī)避風(fēng)險(xiǎn)的基礎(chǔ)上，還能實(shí)現(xiàn)攻擊事件的溯源分析，并給出針對(duì)性的安全加固建議，防止同類(lèi)事件再次發(fā)生。
智能聯(lián)動(dòng)
構(gòu)建從云內(nèi)到云外，從安全設(shè)備到安全服務(wù)的多層次聯(lián)動(dòng)機(jī)制。在云內(nèi)，構(gòu)建安全資源池管理平臺(tái)與虛擬安全組件之間的聯(lián)動(dòng)機(jī)制，發(fā)揮一體化優(yōu)勢(shì)，基于虛擬安全組件實(shí)現(xiàn)云內(nèi)安全無(wú)死角監(jiān)測(cè)，管理平臺(tái)對(duì)所有監(jiān)測(cè)數(shù)據(jù)進(jìn)行智能分析，能夠及時(shí)有效地發(fā)現(xiàn)外部攻擊行為和云內(nèi)失陷虛機(jī)，并通過(guò)可視化報(bào)表將分析結(jié)果和處置建議發(fā)送給云服務(wù)用戶，方便用戶申請(qǐng)相應(yīng)的安全組件，變更組件規(guī)格，修改配置策略等。在云外，構(gòu)建安全資源池與態(tài)勢(shì)感知平臺(tái)之間的“云-網(wǎng)-端”聯(lián)動(dòng)體系，實(shí)現(xiàn)一鍵處置。除了安全設(shè)備之間的智能聯(lián)動(dòng)，安全設(shè)備與安全人工服務(wù)之間自動(dòng)化、流程化的聯(lián)動(dòng)也已打通，形成了針對(duì)云環(huán)境的體系化安全運(yùn)營(yíng)管理平臺(tái)，從而真正的實(shí)現(xiàn)安全閉環(huán)。
掃一掃，關(guān)注我們公眾號(hào)