許 智

（中國(guó)電信海南公司，?？?570216）

0 引言

隨著虛擬化技術(shù)的快速發(fā)展，電信運(yùn)營(yíng)商建設(shè)私有云資源池，廣泛運(yùn)用于業(yè)務(wù)平臺(tái)和IT 系統(tǒng)（以下統(tǒng)稱業(yè)務(wù)系統(tǒng)）的建設(shè)和整合，大大縮短了業(yè)務(wù)系統(tǒng)建設(shè)周期并降低了建設(shè)和維護(hù)成本，快速響應(yīng)業(yè)務(wù)需求提供業(yè)務(wù)能力，但是也帶來了因云資源池自身存在的威脅因素以及管理問題，帶來業(yè)務(wù)不可用或數(shù)據(jù)泄露、濫用、被篡改等風(fēng)險(xiǎn)。相對(duì)于傳統(tǒng)獨(dú)立的業(yè)務(wù)系統(tǒng)，云資源池網(wǎng)絡(luò)架構(gòu)很大，承載著多個(gè)業(yè)務(wù)系統(tǒng)，如發(fā)生安全事件帶來的損失和影響將是成倍放大的。

1 云資源池安全風(fēng)險(xiǎn)分析

1.1 安全優(yōu)勢(shì)

（1）為了確保業(yè)務(wù)系統(tǒng)的安全，運(yùn)營(yíng)商在建設(shè)私有云資源池時(shí)配套了較完善的安全設(shè)備，根據(jù)各個(gè)業(yè)務(wù)系統(tǒng)的需要提供安全監(jiān)測(cè)和防護(hù)服務(wù)，相對(duì)于傳統(tǒng)業(yè)務(wù)系統(tǒng)的煙囪式架構(gòu)需要單獨(dú)建設(shè)各種安全設(shè)備，各業(yè)務(wù)系統(tǒng)分?jǐn)偟某杀敬蟠鬁p少，也為建設(shè)更完善的安全設(shè)備創(chuàng)造條件。

（2）私有云資源池使用云管平臺(tái)實(shí)行集中管理，對(duì)所有資源都能進(jìn)行有效管控，避免了無人管理、無人知曉的流離資產(chǎn)，也避免了不按規(guī)范進(jìn)行維護(hù)的資產(chǎn)，傳統(tǒng)業(yè)務(wù)系統(tǒng)的流離資產(chǎn)更容易成為業(yè)務(wù)系統(tǒng)被攻擊的入口。

1.2 安全風(fēng)險(xiǎn)

（1）云資源池是以傳統(tǒng)架構(gòu)為基礎(chǔ)的，就不可避免地存在傳統(tǒng)架構(gòu)中各層次的共性安全問題，如物理安全，主機(jī)、網(wǎng)絡(luò)等基礎(chǔ)設(shè)施安全，應(yīng)用安全等[1]。

（2）云資源池本身也存在特有的安全風(fēng)險(xiǎn)。主要包括：云資源池將各類資源通過虛擬化后提供給各個(gè)業(yè)務(wù)系統(tǒng)共享，在理想狀態(tài)下，虛擬機(jī)之間、虛擬機(jī)和宿主機(jī)之間，都是相互獨(dú)立的，各系統(tǒng)之間是網(wǎng)絡(luò)隔離的，但在物理上使用的計(jì)算、內(nèi)存、存儲(chǔ)、網(wǎng)絡(luò)等資源是共用的，如發(fā)生隔離失效，虛擬機(jī)受到惡意攻擊，就會(huì)以此為跳板入侵其他虛擬機(jī)，甚至通過虛擬機(jī)逃逸獲取宿主機(jī)的權(quán)限進(jìn)而控制整個(gè)云資源池；云資源池通過分配賬號(hào)權(quán)限給云資源池和各個(gè)業(yè)務(wù)系統(tǒng)的管理人員進(jìn)行管理，如發(fā)生賬號(hào)權(quán)限設(shè)置不當(dāng)或權(quán)限提升漏洞，會(huì)造成業(yè)務(wù)系統(tǒng)被非法入侵，云資源池管理員擁有很大的權(quán)限，如發(fā)生誤操作或惡意操作將會(huì)造成無法挽回的嚴(yán)重后果；部分業(yè)務(wù)系統(tǒng)因業(yè)務(wù)需要接入公網(wǎng)，如系統(tǒng)或接口的漏洞被攻擊者利用，會(huì)造成該業(yè)務(wù)系統(tǒng)被非法入侵，進(jìn)而入侵其他業(yè)務(wù)系統(tǒng)或整個(gè)云資源池，等等。

運(yùn)營(yíng)商私有云資源池承載著多個(gè)業(yè)務(wù)系統(tǒng)，保存著大量的重要業(yè)務(wù)數(shù)據(jù)和用戶信息，更容易成為攻擊的目標(biāo)，攻擊者期望通過獲取或篡改數(shù)據(jù)，使云資源池及業(yè)務(wù)系統(tǒng)業(yè)務(wù)不可用，占用資源發(fā)起其他攻擊等手段非法獲利，因此，運(yùn)營(yíng)商應(yīng)采取有效的安全防護(hù)措施，確保私有云資源池的業(yè)務(wù)安全和信息安全。

2 云資源池安全防護(hù)措施

針對(duì)云資源池存在的各種風(fēng)險(xiǎn)，運(yùn)營(yíng)商除了依靠云平臺(tái)開發(fā)商不斷升級(jí)云資源池架構(gòu)的健壯性并修復(fù)云資源池的安全漏洞，更要通過提升安全防護(hù)手段以提高云資源池的安全性，部署較完善的安全設(shè)施為云資源池和各業(yè)務(wù)系統(tǒng)提供自動(dòng)防護(hù)能力，以及加強(qiáng)日常安全管控以防范人為造成的威脅。

2.1 部署安全設(shè)施

（1）主機(jī)防護(hù)設(shè)備。部署主機(jī)防護(hù)設(shè)備對(duì)物理主機(jī)和虛擬主機(jī)提供入侵檢測(cè)防御、漏洞風(fēng)險(xiǎn)檢測(cè)、基線配置檢查、弱口令檢測(cè)、防病毒、木馬程序查殺等能力，實(shí)現(xiàn)全方位的基礎(chǔ)防護(hù)。

（2）堡壘機(jī)。部署堡壘機(jī)實(shí)現(xiàn)云資源池和業(yè)務(wù)系統(tǒng)的集中認(rèn)證、集中賬號(hào)、集中授權(quán)和集中審計(jì)，實(shí)現(xiàn)統(tǒng)一的運(yùn)維入口，對(duì)非法指令、違規(guī)操作、越權(quán)操作及時(shí)發(fā)現(xiàn)并預(yù)警或攔截。

（3）網(wǎng)站防護(hù)設(shè)備。大多數(shù)業(yè)務(wù)系統(tǒng)都有Web 網(wǎng)站，在云資源池部署網(wǎng)站防護(hù)設(shè)施為各個(gè)網(wǎng)站提供集中防護(hù)，部署Web 應(yīng)用防火墻主動(dòng)防御網(wǎng)站受到各種攻擊、數(shù)據(jù)竊取，阻斷對(duì)網(wǎng)站的非法訪問，部署網(wǎng)頁防篡改系統(tǒng)用于保護(hù)網(wǎng)頁文件完整性，在網(wǎng)頁發(fā)生非法篡改后阻止該網(wǎng)頁繼續(xù)流出并進(jìn)行網(wǎng)頁恢復(fù)。

2.2 安全管控

（1）網(wǎng)絡(luò)隔離。分別配置不同的VLAN 和獨(dú)立的虛擬防火墻，實(shí)現(xiàn)各個(gè)業(yè)務(wù)系統(tǒng)之間的隔離，對(duì)于有業(yè)務(wù)交互的業(yè)務(wù)系統(tǒng)之間不在云資源池內(nèi)部進(jìn)行互通，全部流量都在防火墻之外再流入，雖然浪費(fèi)了部分網(wǎng)絡(luò)資源，但確保各個(gè)業(yè)務(wù)系統(tǒng)之間的安全隔離；各業(yè)務(wù)系統(tǒng)根據(jù)業(yè)務(wù)情況設(shè)置流量限制，在單個(gè)系統(tǒng)發(fā)生網(wǎng)絡(luò)風(fēng)暴等異常狀況時(shí)，不會(huì)占滿整個(gè)云資源池的出口帶寬，避免對(duì)其他系統(tǒng)的影響。

（2）權(quán)限管控。按照“最小化權(quán)限”原則配置云資源池和業(yè)務(wù)系統(tǒng)管理員的賬號(hào)權(quán)限，并限制所有維護(hù)操作只能通過堡壘機(jī)進(jìn)行，提供具有雙因子認(rèn)證方式的高強(qiáng)度認(rèn)證（靜態(tài)口令、一次性口令、數(shù)字證書、動(dòng)態(tài)口令），并對(duì)訪問權(quán)限進(jìn)行集中控制，所有操作日志都集中記錄管理和分析，及時(shí)發(fā)現(xiàn)非法或超出權(quán)限的操作，提供控制和審計(jì)依據(jù)；對(duì)于涉及業(yè)務(wù)安全和信息安全的重要操作，均設(shè)置雙人方式，按流程進(jìn)行一人操作一人審批。

（3）日常安全檢查。雖然安全設(shè)施提供了自動(dòng)的防護(hù)能力，但也存在漏報(bào)、誤報(bào)等問題，還需在日常維護(hù)中利用第三方安全設(shè)備對(duì)云資源池和業(yè)務(wù)系統(tǒng)兩個(gè)層面定期進(jìn)行安全檢查，檢查內(nèi)容包括系統(tǒng)漏洞、基線配置、賬號(hào)弱口令，檢查范圍包括操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件和網(wǎng)絡(luò)設(shè)備，對(duì)于有Web 網(wǎng)頁的還需要進(jìn)行Web 掃描和Web 人工滲透檢查，對(duì)發(fā)現(xiàn)問題進(jìn)行及時(shí)整改，形成“檢查-整改-檢查-整改”的推進(jìn)機(jī)制，不斷消除安全漏洞。

（4）日常審計(jì)。除了堡壘機(jī)自動(dòng)進(jìn)行安全審計(jì)外，還需配置專門的安全審計(jì)人員，定期進(jìn)行運(yùn)維審計(jì)、配置審計(jì)、操作審計(jì)、數(shù)據(jù)庫(kù)審計(jì)等人工審計(jì)。

（5）殘留數(shù)據(jù)清理。從云資源池上退網(wǎng)的業(yè)務(wù)系統(tǒng)，對(duì)原分配的存儲(chǔ)設(shè)備需進(jìn)行數(shù)據(jù)永久刪除才回收重新分配，對(duì)于故障替換下來或工程更換的存儲(chǔ)設(shè)備，進(jìn)行消磁處理，避免殘留的數(shù)據(jù)被竊取。

3 結(jié)束語

運(yùn)營(yíng)商的業(yè)務(wù)系統(tǒng)云化，維護(hù)效率大大提高，日常維護(hù)工作也逐漸向安全防護(hù)傾斜，應(yīng)結(jié)合現(xiàn)有的防護(hù)技術(shù)，加強(qiáng)安全管理，確保私有云資源池和所承載業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)安全、業(yè)務(wù)安全、信息安全。