華為云|云計(jì)算系統(tǒng)面臨的安全挑戰(zhàn)和解決方案

面臨挑戰(zhàn)

云計(jì)算系統(tǒng)的計(jì)算資源使用方式和管理方式的變化，帶來(lái)了新的安全風(fēng)險(xiǎn)和威脅。

對(duì)管理員而言主要存在以下風(fēng)險(xiǎn)和威脅：

·虛擬管理層成為新的高危區(qū)域

云計(jì)算系統(tǒng)通過(guò)虛擬化技術(shù)為大量用戶提供計(jì)算資源，虛擬管理層成為新增的高危區(qū)域。

·惡意用戶難以被追蹤和隔離

資源按需自助分配使得惡意用戶更易于在云計(jì)算系統(tǒng)中發(fā)起惡意攻擊，并且難以對(duì)惡意用戶進(jìn)行追蹤和隔離。

·云計(jì)算的開放性使云計(jì)算系統(tǒng)更容易受到外部攻擊

用戶通過(guò)網(wǎng)絡(luò)接入云計(jì)算系統(tǒng)，開放的接口使得云計(jì)算系統(tǒng)更易于受到來(lái)自外部網(wǎng)絡(luò)的攻擊。

對(duì)最終用戶而言主要存在以下風(fēng)險(xiǎn)和威脅：

·數(shù)據(jù)存放在云端無(wú)法控制的風(fēng)險(xiǎn)

計(jì)算資源和數(shù)據(jù)完全由云計(jì)算服務(wù)提供商控制和管理，帶來(lái)的風(fēng)險(xiǎn)包括提供商管理員非法侵入用戶系統(tǒng)的風(fēng)險(xiǎn)。

釋放計(jì)算資源或存儲(chǔ)空間后，數(shù)據(jù)能否完全銷毀的風(fēng)險(xiǎn)。

數(shù)據(jù)處理存在法律、法規(guī)遵從風(fēng)險(xiǎn)。

·資源多租戶共享帶來(lái)的數(shù)據(jù)泄漏與攻擊風(fēng)險(xiǎn)

多租戶共享計(jì)算資源，帶來(lái)的風(fēng)險(xiǎn)包括由于隔離措施不當(dāng)造成的用戶數(shù)據(jù)泄漏風(fēng)險(xiǎn)。

遭受處在相同物理環(huán)境下的惡意用戶攻擊的風(fēng)險(xiǎn)。

·網(wǎng)絡(luò)接口開放性的安全風(fēng)險(xiǎn)

云計(jì)算環(huán)境下，用戶通過(guò)網(wǎng)絡(luò)操作和管理計(jì)算資源，鑒于網(wǎng)絡(luò)接口的開放性，帶來(lái)的風(fēng)險(xiǎn)也隨之升高。

安全架構(gòu)

根據(jù)云計(jì)算面臨的威脅與挑戰(zhàn)，華為提供華為云Stack安全解決方案。華為云Stack的基礎(chǔ)設(shè)施層是基于FusionSphere云操作系統(tǒng)及其配套的管理系統(tǒng)ManageOne的整體解決方案，F(xiàn)usionSphere把實(shí)際的物理資源抽象成虛擬化資源，包括計(jì)算虛擬化、存儲(chǔ)虛擬化和網(wǎng)絡(luò)虛擬化，形成一個(gè)虛擬化資源池。ManageOne是虛擬化平臺(tái)的管理系統(tǒng)，可管理異構(gòu)的不同虛擬化平臺(tái)，提供數(shù)據(jù)中心的運(yùn)營(yíng)和運(yùn)維，統(tǒng)一對(duì)外呈現(xiàn)資源和管理界面。

·云基礎(chǔ)設(shè)施安全，是指云操作系統(tǒng)和Hypervisor安全，包括虛擬資源隔離、數(shù)據(jù)存儲(chǔ)安全、網(wǎng)絡(luò)傳輸安全等方面。

·數(shù)據(jù)存儲(chǔ)安全

從隔離用戶數(shù)據(jù)、控制數(shù)據(jù)訪問(wèn)、保護(hù)剩余信息、備份數(shù)據(jù)等方面保證用戶數(shù)據(jù)的安全和完整性。

·虛擬機(jī)隔離

實(shí)現(xiàn)同一物理機(jī)上不同虛擬機(jī)之間的資源隔離，避免虛擬機(jī)之間的數(shù)據(jù)竊取或惡意攻擊，保證虛擬機(jī)的資源使用不受周邊虛擬機(jī)的影響。終端用戶使用虛擬機(jī)時(shí)，僅能訪問(wèn)屬于自己的虛擬機(jī)的資源（如硬件、軟件和數(shù)據(jù)），不能訪問(wèn)其他虛擬機(jī)的資源，保證虛擬機(jī)隔離安全。

·網(wǎng)絡(luò)傳輸安全

通過(guò)網(wǎng)絡(luò)平面隔離、引入防火墻、傳輸加密等手段，保證業(yè)務(wù)運(yùn)行和維護(hù)安全。

運(yùn)維/運(yùn)營(yíng)管理安全

從帳號(hào)密碼、用戶權(quán)限、日志、傳輸安全等方面增強(qiáng)日常運(yùn)維管理方面的安全措施。

此外，系統(tǒng)還通過(guò)修復(fù)Web應(yīng)用漏洞、對(duì)操作系統(tǒng)和數(shù)據(jù)庫(kù)進(jìn)行加固、安裝安全補(bǔ)丁和防病毒軟件等手段保證各管理類主機(jī)的安全。

·云服務(wù)安全和安全即服務(wù)

提供租戶執(zhí)行特定安全任務(wù)所需的所有資源、功能和性能，而租戶按需對(duì)各項(xiàng)租戶可控資源進(jìn)行安全配置、查詢和監(jiān)控。

安全價(jià)值

·統(tǒng)一全面的安全策略

計(jì)算資源集中管理使得邊界防護(hù)更易于部署。針對(duì)計(jì)算資源提供全面的安全策略、統(tǒng)一數(shù)據(jù)管理、安全補(bǔ)丁管理、以及突發(fā)事件管理等安全管理措施。對(duì)用戶而言，意味著能夠有專業(yè)的安全專家團(tuán)隊(duì)對(duì)其資源和數(shù)據(jù)進(jìn)行安全保護(hù)。

·安全措施低成本

多個(gè)用戶共享云計(jì)算系統(tǒng)的計(jì)算資源，在集中的資源上統(tǒng)一應(yīng)用安全措施，降低各用戶的安全措施的平均成本，即更低的投資會(huì)給用戶帶來(lái)同樣安全的保護(hù)措施。

·按需提供安全防護(hù)

利用快速、彈性分配資源的優(yōu)勢(shì)，安全也作為服務(wù)的形式向用戶提供，支持用戶按需使用；同時(shí)使得云計(jì)算系統(tǒng)的計(jì)算資源的使用效率更高。

·增強(qiáng)防護(hù)能力

通常在數(shù)據(jù)中心中，將其網(wǎng)絡(luò)流量分為兩種類型：

基于固定物理邊界的安全防護(hù)，只解決了南北向流量的安全防護(hù)問(wèn)題，這種傳統(tǒng)的安全解決方案對(duì)于東西向流量的安全防護(hù)，基本上是無(wú)能為力的。而通過(guò)SDN或者基于主機(jī)側(cè)的安全防護(hù)措施可以有效應(yīng)對(duì)東西向流量的安全問(wèn)題，從而提高整個(gè)數(shù)據(jù)中心的安全防護(hù)能力。

一種是數(shù)據(jù)中心外部用戶和內(nèi)部服務(wù)器之間交互的流量，這樣的流量稱作南北向流量或者縱向流量。

另外一種就是數(shù)據(jù)中心內(nèi)部服務(wù)器之間交互的流量，也叫東西向流量或者橫向流量。東西向流量既包括同一租戶、同一子網(wǎng)內(nèi)虛擬機(jī)之間的流量；也包括同一租戶，不同子網(wǎng)間的流量；當(dāng)然還可能是不同租戶之間的通信流量。

·責(zé)任共擔(dān)，各司其職

基于云數(shù)據(jù)中心的客戶應(yīng)用，其安全責(zé)任由平臺(tái)側(cè)和租戶側(cè)兩方共同承擔(dān)，平臺(tái)側(cè)確保云服務(wù)平臺(tái)的安全性，客戶負(fù)責(zé)基于云服務(wù)構(gòu)建的應(yīng)用系統(tǒng)的安全：

云平臺(tái)負(fù)責(zé)物理基礎(chǔ)設(shè)施、云操作系統(tǒng)及云服務(wù)產(chǎn)品安全，并為客戶提供保護(hù)云端應(yīng)用及數(shù)據(jù)的技術(shù)手段。

云平臺(tái)自身的安全保障包含硬件、軟件、網(wǎng)絡(luò)安全，如系統(tǒng)和數(shù)據(jù)庫(kù)補(bǔ)丁管理、漏洞修復(fù)、網(wǎng)絡(luò)訪問(wèn)控制、災(zāi)備等，也包括配置第三方監(jiān)管與審計(jì)機(jī)構(gòu)對(duì)云平臺(tái)進(jìn)行合規(guī)審計(jì)評(píng)估。為客戶提供技術(shù)手段包括認(rèn)證授權(quán)IAM、各項(xiàng)基礎(chǔ)服務(wù)（內(nèi)置的安全功能）和安全服務(wù)、安全審計(jì)手段，也包括通過(guò)第三方安全廠商為客戶提供行業(yè)安全解決方案。

租戶的主要責(zé)任是在云基礎(chǔ)設(shè)施與服務(wù)之上構(gòu)建自己的云應(yīng)用系統(tǒng)，合理運(yùn)用云服務(wù)產(chǎn)品的安全功能、安全服務(wù)以及第三方安全產(chǎn)品保護(hù)自己的業(yè)務(wù)系統(tǒng)。例如利用IAM對(duì)用戶身份的有效管理，利用日志對(duì)操作進(jìn)行審計(jì)，利用ECS和VPC對(duì)虛擬機(jī)進(jìn)行管理和安全配置，保障運(yùn)維運(yùn)營(yíng)安全；對(duì)另外一些應(yīng)用，例如云數(shù)據(jù)庫(kù)（RDS）、大數(shù)據(jù)服務(wù)、微服務(wù)，客戶不需要關(guān)心如何維護(hù)實(shí)例，也不需要關(guān)心操作系統(tǒng)、數(shù)據(jù)庫(kù)的補(bǔ)丁升級(jí)、配置加固，只需要管理這些服務(wù)的帳號(hào)及授權(quán)，并使用這些服務(wù)提供的安全功能。