等级保护2.0之云安全威胁、要求、设计

还是老生常谈,谈安全必须明确边界!

云计算平台由设施、硬件、资源抽象控制层、虚拟化计算资源、软件平台和应用软件等组成。软件即服务(SaaS)、平台即服务(PaaS)、基础设施即服务(IaaS)是三种基本的云计算服务模式。如下图所示:

在不同的服务模式中,云服务方和云租户对计算资源拥有不同的控制范围,控制范围则决定了安全责任的边界。

在云计算环境中,应将云服务方侧的云计算平台单独作为定级对象定级,云租户侧的等级保护对象也应作为单独的定级对象定级。

对于大型云计算平台,应将云计算基础设施和有关辅助服务系统划分为不同的定级对象。

云安全风险分类如下图:

对于云安全要求,不同级别要求不一样,如下图所示:

比如第三第四级,在保护项目上没有区别,但是在具体要求上不一样,比如,

针对入侵防范,不仅要求告警并需要及时处理。

云安全设计需要实现云计算环境身份鉴别、访问控制、安全审计、客体安全重用等通用安全功能,以及增加镜像和快照保护、接口安全等云计算特殊需求的安全功能,确保对云计算环境具有较强自主安全保护能力。

云计算功能架构分为五个逻辑层,即硬件设施层、云资源层、云服务层、云访问层、云用户层和云管理层,具体如下图所示:

对应的云安全设计如下图所示,随着安全等级的提高,突出保密性、可信这个概念,从主动防御访问控制到可信接入,展现了积极地安全理念!

比如安全通信网络设计,第四级中要求:

a) 资源层通信网络可信接入保护安全设计要求包括以下方面:

1) 应禁止通过互联网直接访问云计算平台物理网络;

2) 应在物理网络中通过IP、MAC、端口绑定等技术限制非授权设备接入;

3) 应确保在远程管理时,采用由密码等技术支持的可信网络连接机制

b) 服务层通信网络可信接入保护安全设计要求包括以下方面:

1) 应提供开放接口,允许接入可信的第三方安全产品

2) 应确保在远程管理时,防止远程管理设备同时连接其他网络;

3) 应能够建立一条安全的信息传输路径,对网络中的安全设备或安全组件进行管理。

从上述要求可以看出,第四级的要求与我们熟知的TSM平台是非常类似的。

原文发布于微信公众号 - 安智客(china_safer)

原文发表时间:2018-05-21

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏程序员互动联盟

【专业技术】编程老手如何化解棘手难题

依然记得上一节编程课的时候,老师说过一句让我一直到现在都还记得的话“只要是软件,就一定有bug;只要是软件,他的功能就是有限的;功能越强大的软件,他的问题就越多...

3385
来自专栏云计算D1net

控制云访问的5个简单的步骤

企业IT管理人员要如何才能带来对于公共云服务的使用的秩序和问责制,同时又不影响进程的处理呢?每一种技术的成功故事也是一个后果意想不到的故事。例如,采取虚拟化技术...

37910
来自专栏腾讯云数据库(TencentDB)

腾讯云数据库智能化海量运维的建设与实践

作者介绍:鲁越,腾讯云数据库架构师团队负责人,主要负责腾讯云数据库MySQL、Redis、Oracle等数据库售前架构、运维、调优等工作,曾就职于网易和尼比鲁。

1.1K37
来自专栏IT大咖说

“双态IT”架构下的自动化运维

摘要 在“双态IT"的架构下,传统业务与创新性业务两种截然不同的业务形态如何统—管理成为了运维人员现在面临的最大挑战。本次演讲旨在探讨对两种业务形态进行统—管理...

4275
来自专栏媒矿工厂

优化延迟的最佳视频传输方案(二)

上一篇文章《优化延迟的最佳视频传输方案(一)》介绍了在整个视频传输系统中的分发链前端和媒体内容准备方面的延迟优化方案,本文将继续介绍传输系统的接下来的优化方案,...

1662
来自专栏黑白安全

Chrome 隐身模式可能没有你想得那么能保护个人隐私

据外媒报道,大多数用户在用Chrome上网时都对它的隐身(Incognito)模式抱着合理的期待,但来自行业组织Digital Content Next委托的一...

671
来自专栏企鹅号快讯

服务器租用、服务器托管、云服务器哪个好?

服务器租用、服务器托管、云服务器代表了云计算公司对企业客户提供的三种不同模式的服务——物理云,托管云和公有云。云计算虽然技术门槛比较高,对于非专业人士比较神秘。...

1.2K6
来自专栏极乐技术社区

『Demo』音乐类Demo大全

好东西要乐于分享 好的Demo资源可遇而不可求,在这个小程序Demo资源越来越少的时局下,极乐蜀黍给大家雪中送炭,拿出自己的收藏多年的Demo资源,可不要太感动...

2345
来自专栏我的安全视界观

【企业安全】企业安全项目-测试环境内网化

2175
来自专栏Java学习网

论编程的最后期限

普通编程与专业编程之间有很多差别,而最为显著的就是截止日期。 截止日期 / 最后期限   当你给自己写程序的时候,只要你愿意,就可以用很多(或者很少)的时间来...

3437

扫码关注云+社区

领取腾讯云代金券