《云計(jì)算關(guān)鍵領(lǐng)域安全指南》由會(huì)員分享，可在線(xiàn)閱讀，更多相關(guān)《云計(jì)算關(guān)鍵領(lǐng)域安全指南（28頁(yè)珍藏版）》請(qǐng)?jiān)谘b配圖網(wǎng)上搜索。

1、單擊此處編輯母版標(biāo)題樣式,單擊此處編輯母版文本樣式,第二級(jí),第三級(jí),第四級(jí),第五級(jí),2013/3/9,#,CISRG&SECURITY DEPARTMENT OF NEUSOFT,云計(jì)算關(guān)鍵領(lǐng)域安全指南,云計(jì)算安全的關(guān)注域,云計(jì)算安全,治理域,運(yùn)行域,ISO38500,ISO17799,ISO27002,（？）,TOPIC,云計(jì)算安全運(yùn)行域的具體實(shí)現(xiàn),云計(jì)算體系中的安全關(guān)注點(diǎn),如何劃分云計(jì)算體系中的安全域,如何構(gòu)建云計(jì)算安全的技術(shù)體系,如何建設(shè)云計(jì)算安全中的應(yīng)急響應(yīng)機(jī)制,PART I,一個(gè)標(biāo)準(zhǔn)的云計(jì)算體系安全解析,云計(jì)算中的安全關(guān)注點(diǎn)（,1,）,首要關(guān)注點(diǎn)：,數(shù)據(jù)安全,云計(jì)算系統(tǒng)的核心業(yè)務(wù)：,

2、為用戶(hù)提供云計(jì)算與云存儲(chǔ)服務(wù),用戶(hù)關(guān)心自身數(shù)據(jù)流轉(zhuǎn)全過(guò)程的安全性：,數(shù)據(jù)上傳數(shù)據(jù)處理數(shù)據(jù)處理數(shù)據(jù)存儲(chǔ)數(shù)據(jù)下載,云計(jì)算中的安全關(guān)注點(diǎn)（,2,）,服務(wù)商關(guān)注點(diǎn)：,系統(tǒng)運(yùn)維安全,服務(wù)商核心工作：,確保客戶(hù)數(shù)據(jù)安全與自身業(yè)務(wù)連續(xù)性,Confidentiality,保密性,Availability,可用性,Integrity,完整性,典型云計(jì)算體系拓?fù)鋱D,用戶(hù)數(shù)據(jù)的流轉(zhuǎn)過(guò)程,1.,數(shù)據(jù)生成,3.,數(shù)據(jù)緩存,2.,數(shù)據(jù)傳輸,4.,數(shù)據(jù)處理,5.,數(shù)據(jù)存儲(chǔ),保障業(yè)務(wù)連續(xù)性的關(guān)鍵節(jié)點(diǎn),存儲(chǔ)保障,鏈路保障,業(yè)務(wù)保障,管理保障,PART 2,云計(jì)算體系中的安全域劃分,由云的服務(wù)類(lèi)型劃分安全域,云計(jì)算,服務(wù)群,云存

3、儲(chǔ),存儲(chǔ)介質(zhì)群,存儲(chǔ)控制群,云計(jì)算,運(yùn)算服務(wù)器群,運(yùn)算控制群,云計(jì)算體系安全域的簡(jiǎn)單劃分,存儲(chǔ)區(qū)域,運(yùn)算區(qū)域,核心安全域,業(yè)務(wù)支撐域,網(wǎng)絡(luò)節(jié)點(diǎn),鏈路通信,運(yùn)維保障域,運(yùn)維系統(tǒng),云計(jì)算體系的重新表述,PART 3,構(gòu)建云計(jì)算安全的技術(shù)體系,云安全與傳統(tǒng)安全的區(qū)別,缺乏透明度,業(yè)務(wù)不透明,業(yè)務(wù)流程不透明,管理機(jī)制不透明,數(shù)據(jù)狀況不透明,數(shù)據(jù)流轉(zhuǎn)過(guò)程不透明,正常業(yè)務(wù)的基本保障,客戶(hù)選擇的理由,客戶(hù)驅(qū)動(dòng)決定核心技術(shù),完整性,保密性,可用性,數(shù)據(jù)容災(zāi)備份技術(shù),加密與身份,控制識(shí)別技術(shù),數(shù)據(jù)容災(zāi)備份技術(shù),數(shù)據(jù)容災(zāi)備份的本質(zhì)是數(shù)據(jù)冗余,通信鏈路的冗余架設(shè)。（線(xiàn)路、節(jié)點(diǎn)全部冗余）,數(shù)據(jù)存儲(chǔ)設(shè)備自身的冗余機(jī)制。

4、（,Raid,）,數(shù)據(jù)存儲(chǔ)體系設(shè)計(jì)中的冗余機(jī)制。（增量或異地備份）,加密與身份識(shí)別控制,數(shù)據(jù)加密與身份識(shí)別貫穿用戶(hù)業(yè)務(wù)的全過(guò)程,用戶(hù)在上傳數(shù)據(jù)前即自行加密，上傳加密數(shù)據(jù)。,傳輸過(guò)程中使用,VPN,進(jìn)行加密傳輸，防止嗅探。,數(shù)據(jù)存儲(chǔ)過(guò)程中進(jìn)行加密存儲(chǔ)。,備份數(shù)據(jù)應(yīng)以密文形式原樣備份。,通過(guò)為用戶(hù)頒發(fā)數(shù)字證書(shū)進(jìn)行身份識(shí)別，且該電子簽名應(yīng)與其擁有的數(shù)據(jù)嚴(yán)格綁定并控制其權(quán)限。,云安全技術(shù)體系的實(shí)踐構(gòu)架,PART 4,云安全中的應(yīng)急響應(yīng)機(jī)制,事件應(yīng)急響應(yīng)的分類(lèi),安全事件響應(yīng),設(shè)備自動(dòng)響應(yīng),事件告警處理,事件自動(dòng)干涉,人員應(yīng)急響應(yīng),現(xiàn)場(chǎng),/,遠(yuǎn)程手動(dòng)處理,設(shè)備自動(dòng)應(yīng)急響應(yīng)體系（,1,）,防火墻與,IDS,

5、聯(lián)動(dòng)形成的簡(jiǎn)單自動(dòng)防御響應(yīng),UTM/IPS,內(nèi)置防御規(guī)則的簡(jiǎn)單自動(dòng)防御響應(yīng),中間件系統(tǒng)及抗,DDOS,系統(tǒng)對(duì)異常并發(fā)連接的簡(jiǎn)單響應(yīng)機(jī)制,設(shè)備自動(dòng)應(yīng)急響應(yīng)體系（,2,）,設(shè)備自動(dòng)應(yīng)急響應(yīng)體系（,3,）,SOC,在云安全體系中的應(yīng)用,在互聯(lián)網(wǎng)環(huán)境中，支持云安全技術(shù)的網(wǎng)關(guān)設(shè)備可以通過(guò),SOC,進(jìn)行遠(yuǎn)程聯(lián)動(dòng)。,利用云計(jì)算環(huán)境資源，進(jìn)行更加高效的安全日志關(guān)聯(lián)分析與存儲(chǔ)，得出更加準(zhǔn)確的安全事件告警與響應(yīng)。,結(jié)合事件管理與工單派發(fā)系統(tǒng)與人員手動(dòng)響應(yīng)機(jī)制進(jìn)行關(guān)聯(lián)。,設(shè)備自動(dòng)應(yīng)急響應(yīng)體系（,4,）,利用關(guān)聯(lián)分析完成準(zhǔn)確響應(yīng),1,、何謂關(guān)聯(lián)分析,是指利用算法去判斷一系列報(bào)警事件是否源于同一個(gè)攻擊行為并完成攻擊場(chǎng)景

6、的重構(gòu)。這種攻擊行為具有單一的攻擊意圖，可以包括單個(gè)簡(jiǎn)單的攻擊行為和由一系列攻擊步驟組成的復(fù)雜的攻擊行為，也被命名為攻擊場(chǎng)景。其中關(guān)聯(lián)分析是整個(gè)網(wǎng)絡(luò)報(bào)警處理的核心，利用關(guān)聯(lián)分析技術(shù)處理安全設(shè)備所產(chǎn)生的報(bào)警事件現(xiàn)在是安全管理研究中的一個(gè)熱點(diǎn)問(wèn)題。在實(shí)際網(wǎng)絡(luò)環(huán)境下，攻擊者在實(shí)施攻擊的過(guò)程中，其掃描行為、口令試探行為、訪(fǎng)問(wèn)文件行為、會(huì)話(huà)、流量往往會(huì)在不同的安全工具上留下相應(yīng)的特征。關(guān)聯(lián)分析正是要依靠下轄的,IDS,節(jié)點(diǎn)、,VPN,網(wǎng)關(guān)、防火墻、路由器等安全設(shè)備提供的這些安全特征信息來(lái)對(duì)網(wǎng)絡(luò)安全全局狀況作出判斷。,2,、關(guān)聯(lián)分析方法,目前關(guān)聯(lián)分析的方法有很多，典型的包括統(tǒng)計(jì)關(guān)聯(lián)分析、基于規(guī)則的關(guān)聯(lián)分析、基于脆弱性和資產(chǎn)的關(guān)聯(lián)分析等。,