“云朵”方案化解“私有云”安全過渡期難題(3)
責編：admin ｜2014-06-17 15:04:48云朵間的安全設計思路。不同的云朵，邏輯上如同傳統安全方案設計中的“安全域”，具有明確的安全區域邊界，因此，云朵間的安全完全可以按照傳統的安全方案設計思路，部署思路可以參考“花瓶模型”的三條基線一個平臺，網絡邊界與安全域邊界的安全防護基線；重要資源區域與核心匯聚的動態監控基線；用戶與運維人員的信用管理基線；日常運維與應急處理的安全管理平臺，具體的技術與管理要求，可以參照等級保護的要求，這里就不贅述了。
云朵內實際上是一個云朵平臺管理的系統范圍內，也可以說是一個虛擬化操作系統的管理平臺下的安全設計。從系統角度看，可以分為兩個層面的安全設計：1、虛擬機內的安全；2、虛擬化平臺上的安全。
虛擬機內的安全。就是用戶申請到的虛擬機，從用戶角度看起來與物理服務器是一樣的，用戶選定的操作系統與業務服務軟件，因此，虛擬機內的安全就如同對一個主機系統進行安全防護設計。由于虛擬機的管理比起物理機要簡單的多，容易進行配置修改與補丁升級管理，開關機就是一個目錄下的文件運行而已。
同時，虛擬機的計算資源是可動態申請的，不再存在傳統主機內安全與業務爭資源的矛盾， 因為駐留主機內部的安全監控會降低業務運行的效率，很多業務管理者拒絕安裝其他駐留軟件。當然，軟件間的兼容問題依然是存在的，因此，在系統升級或安裝安全軟件前，一定要在其他的虛擬機上測試，保證不影響業務軟件的正常運轉。
虛擬機內的安全須考慮如下幾個方面：
身份鑒別與權限管理：身份鑒別可以與整個網絡的身份認證系統統一起來，但權限管理在云朵內部有自己的明細管理，保證云朵內部用戶可訪問業務的差異；
服務加固與反控制防御：這主要是針對服務器的，如同普通的業務服務器一樣，需要基本的安全加固，安裝適合的補丁、關閉不需要的服務、刪除不需要的賬戶等，但這還是不夠的。服務器是面向網絡服務的，中斷了服務，僅僅是影響自己的業務；若被黑客入侵，成為“肉雞”，就可能成為攻擊其他目標的工具。由于云朵內一般是多個業務系統在運行，一個系統的漏洞被利用，就建立了黑客入侵的橋頭堡，成為內部攻擊的跳板，很多黑客入侵正是這樣一步一步滲透到核心機密服務器中的。因此，服務器不被入侵者控制，不成為“肉雞”是服務器安全的最低底線要求，安裝反控制防御系統，或對系統進行反控制加固是非常有必要的；
終端防護系統：這主要是針對遠程桌面或BYOD的，因為訪問者的終端種類繁多，安全狀態千奇百怪，對訪問終端進行適當的安全檢查，或限制其訪問云服務的權限都是必須的；當然，也可以利用“容器式”的遠程桌面，隔離遠程終端內本業務與其他系統，保證終端上的病毒、木馬不能入侵到云服務內；
防病毒：病毒與木馬是無孔不入的，對用戶流量進行病毒過濾是必要的。當然，防病毒也可以在云朵的入口處實現，但對于應用層的病毒，還是要通過主機監控查殺的方式更為有效。