虚拟化与混合云环境下的安全挑战与实践-5

1、 GET INTO THE CLOUWITHOUT LEAVING THE GROUND虚拟化和混合云环境下的安全挑战与实践北京易思捷信息技术有限公司张振宇这是最好的时代 ，也是最坏的时代查尔斯狄更斯计算模式发展 云计算力量和障碍安全、安全，还是安全云安全需求云计算的部署要求平衡安全需求 更高的利用率 更快的部署 灵活性 整合 灾难恢复 不断增加的安全分支 宕机成本/数据丢失 整合虚拟化的好处虚拟化的好处安全需求安全需求 公司形象的风险 依从与合规云安全概念 云安全服务（Cloud Security Service, Security from the cloud ）如何利用云计算技术给用户提

2、供安全服务 云计算安全（Cloud Computing Security, Security for the cloud）如何保护云计算环境本身的安全性 云安全智能（Cloud Security Intelligence, Security in the cloud） 如何利用云的技术增强安全防护的技术能力IT容量低于实际负载= 客户投诉& Unhappy CEO IT容量大于实际负载=Unhappy CFO 采购的IT容量负载预期实际负载IT 容量时间时间大部分企业都面临着IT运维的问题。预期是线性增长，所以我们的IT设备也是大致按照这种趋势去准备。但是实际情况不是如此。由此会出现设备不足或

3、设备过剩的情况。前者造成客户满意度的下降，后者造成资源浪费。为什么是混合云?云计算部署模型混合云面临的安全问题混合云安全涉及许多因素：如何确保本地数据中心的资源安全如何确保向公有云迁移的大量应用的安全如何确保存储在多家云服务商上数据的安全如何保护公有云和私有云的虚拟化基础如何确保接入云基础设施的移动设备安全挑战：下一代数据中心的网络结构演进South-north traffic flowEsat-west traffic fllowVirtual host mobile挑战：复杂的云计算存储架构下的数据安全管理Block Access(Storage Volume)VM MobilityOSO

4、SOSHypervisorN-waySMPOSOSOSN-waySMPServer poolHypervisorStorage ControllersSANSwitchesBlock Storage EnsembleStorage MobilityStorage ControllersSANSwitchesVirtualized Block Storage EnsembleStorage MobilityStorage ControllersSANSwitchesFile Storage EnsembleSoFSSVCFile Access(File)OSOSOSHypervisorN-way

5、SMP挑战：虚拟化环境的网络防护IPSPCI DSS 标准标准 11.4“使用IDS和/或IPS来监控所有在持卡人数据环境中的流量。”会计PCI 数据虚拟机 会计操作系统虚拟机 PCI 数据OS虚拟层物理服务器虚拟的流量没有被路由到外部的网络IPS虚拟网络13 挑战：优化虚拟化安全系统性能AV风暴很高的磁盘I/O很高的AV软件资源占用对虚拟层加载状态的不可知 对于离线的虚拟机，无法升级DAT文件无法集中管理异构虚拟化环境以及物理和虚拟环境数据中心数据中心OSOSOS100 MB15% CPU100 MB15% CPU100 MB15% CPU挑战：服务器虚拟化环境下的安全15Hyperviso

6、rTraditional IPSPhysical ServerNetwork Security Platform Next Gen Firewall虚拟机入侵检测病毒扫描病毒扫描数据隔离数据隔离挑战：服务器虚拟化环境下的可信计算16Traditional IPS虚拟化和云计算环境下，迫切需要可信计算环境挑战：云环境下的身份识别与访问控制混合云环境要求统一的、高效的身份认证与访问控制机制混合云环境要求统一的、高效的身份认证与访问控制机制挑战：安全的数据传输Virtualized and Private Cloud Data CenterPublic Cloud Data CenterVMMSal

7、esCompany CCompany BCompany ASalesMfgHRData transport between Private and public cloud混合云环境下要求更全面地数据安全传输机制混合云环境下要求更全面地数据安全传输机制挑战：云安全控制点的演变19私有云共有云终端感知的完整性终端感知的完整性实时的完整性实时的完整性安全栈完整性安全栈完整性虚拟机完整性虚拟机完整性位置和资产控制位置和资产控制主机完整性主机完整性外部评价和声誉外部评价和声誉数字认证数字认证76% 的 IT专家对于实时测量服务提供商安全状况 的能力非常感兴趣IT 应用层应用层设备感知会话同步用户个性感

8、知应用安全性和可管理性客户端的企业数据客户端的企业数据文件缓存跨平台设备独立性数据安全性和可管理性挑战：接入设备的多样性智能手机智能手机MID家用家用PC企业企业PC汽车汽车电视机电视机上网本上网本网吧网吧内部云服务内部云服务供应商云服务供应商云服务个人数据和服务个人数据和服务按使用付费消费者选择最佳应用用户安全和可管理性云时代接入设备的多样性给安全提出了新的课题云时代接入设备的多样性给安全提出了新的课题DatacenterEnterprise ApplicationsDataPerimeter DefenseTrust & ControlAssurance & ComplianceApps云

9、安全的层次 云计算的复杂性要求多层次的安全保护 客户端安全客户端安全: Protection from Malware Secure Federated Session Secure Client/Browser Exe Environment Occasionally connected Proprietary technologies 安全合规 Data Use Policy Enforcement Compliance Reporting Pro-active SIEM integration & Alert 访问控制访问控制 AuthN & AuthZ at edge tied to

10、IdM Federated Identity Attribute Based Access control Fine grained access control Data confidentiality, PKI, Encryption边界保护边界保护: Chokepoint Secure Hypervisor Anti-Virus and Malware Content Threat Protection Secure API Management Security Token ServicesEdge AuthNEmployeesDevelopersAdminsEnterprise Cl

11、ients PortalMobile挑战挑战 物理控制、可视性降低物理控制、可视性降低多租户多租户 现有安全模式的低效现有安全模式的低效 增加的安全控制点增加的安全控制点云计算驱动了新的安全需求传统数据中心传统数据中心虚拟化和私有云数据中心虚拟化和私有云数据中心公有云数据中心公有云数据中心VMMCompany CCompany BCompany AIT Security PolicyMf.HRSalesMfgMfgHR新的安全模式虚拟边界的防护安全资源池扩展的安全策略统一的安全管理平台扩展的安全策略扩展的安全策略虚拟云世界新的安全途径23虚拟化的、私有的云数据中心虚拟化的、私有的云数据中心公有

12、云数据中心公有云数据中心隔离，保护，控制虚拟机 提供可见性和报告在多个控制点上应用安全策略跨云基础架构监控工作负载构建虚拟安全组件资源池VMMSalesCompany CCompany BCompany ASalesMfgHR统一管理统一管理Enable secure, efficient, and simplified cloud data centers that allow IT flexibility & choice整体云安全框架24User & Intelligent Devices保护设备保护设备 识别,设备完整性 & 数据 保护Public/Private Clouds(Ser

13、vers, Network, Storage)e保护数据中心保护数据中心基础架构 & 数据保护, 私有云公有云31保护连接应用,数据，传输2通用安全标准和广泛的业界合作通用安全标准和广泛的业界合作4Cloud Security Mission: Worry-Free Cloud ComputingIn next 5 years, make cloud security equal to or better than traditional best in class enterprise securityNGDC安全解决方案架构-完善而开放的管理平台 跨越物理，虚拟和云的统一管理通过基于Web

14、的界面，从任何地方进行访问 高度的扩展性有效的整合技术伙伴联盟通过API来适应不断变化的市场和业务的需求 端到端的可见和可控跨越应用、终端、服务器和网络等多个层次，深刻了解安全策略部署以及合规情况开放的开放的APIAPI自动合规审计自动合规审计 (Policy Audit Vulnerability Management)技术伙伴联盟技术伙伴联盟管理管理 (统一的命令行中心)警告警告通知通知报表报表SLAsSLAs法规法规框架框架标准标准SOXISO 27001PCI DSSHIPAACOBITCISGLBANISTNISTFISMADISA STIGSFDCCCentral manageme

15、nt25NGDC安全解决方案架构-统一身份认证与单点登录用户用户身份认证身份认证服务服务统一认证管理系统统一认证管理系统信息服务信息服务管理员管理员后台后台管理管理统一认证统一认证单点登录单点登录用户信息共享同步用户信息共享同步用户管理用户管理机构管理机构管理角色管理角色管理应用管理应用管理NGDC安全解决方案架构-动态和层次化的网络保护 高度可扩展的网络安全防护架构 跨越物理和虚拟环境的保护 对VM之间的流量进行实时查看和威胁检测 不会对服务器造成另外的负载 支持更广泛的网络访问 可以通过用户，组和应用程序进行策略设定，而不是仅仅通过静态属性（IP地址，MAC地址）来管理策略网络安全管理策略

16、定义策略定义报表和警告报表和警告网络可视化网络可视化虚拟化集成的保护漏洞管理漏洞管理网络威胁网络威胁深入分析深入分析虚拟化支持虚拟化支持数据保护数据保护高级高级恶意代码恶意代码网络取证网络取证深度分析深度分析策略强制策略强制下一代硬件架构高达高达8080GB的处理能力的处理能力长长生命周期生命周期高高端口密度端口密度27NGDC安全解决方案架构-可扩展的存储安全 针对存储设备的无缝保护 针对数据可用性最大化的可扩展架构 中央管理减少了管理负担针对存储的恶意软件扫描模块 集中管理直连存储及共享存储NGDC安全解决方案架构 -灵活的计算安全（物理和虚拟）虚拟机 最大化虚拟机密度和可用性 确保只有必

17、须的应用在运行 针对虚拟机设计的防病毒offload机制 支持所有主流虚拟化厂商 虚拟层感知能力 针对不同的层和应用进行灵活的保护 黑名单、白名单和信誉技术 完全符合行业标准和最佳实践 策略基准，策略变更管理，文件完整性监控 虚拟机移动和迁移 支持在线的虚拟机迁移 跨越物理，虚拟和云的安全策略一致性应用OracleSAPMicrosoft虚拟层（智能化的资源管理）操作系统CPU内存内存管理加密数据保护InternetIntranetSecure connections to the cloudFull-disk encryption protects data on hard disks, d

18、ata stored in cloudApplication-level encryption for automation and granularityName: J.DoeSS# Secure transactions used pervasively in ecommerce, banking, etc.Full disk encryption software protects data automatically during saving to diskMost enterprise and many cloud applications offer options to use encryption to secure information and protect