公有云平台的安全防护方案

1、Security Considerations of Public Cloud Customers公有云平台的安全防护方案技术创新 变革未来The ChallengesThe biggest challenge of cloud - securityIn 2018, security and spend are the top challenges. Security is a challenge for77 percent of respondents, while 29 percent see it as a significant challenge.Source: RightScale

2、 2018 State of the Cloud Report12 top cloud security threatsData breachesInsufficient identity, credential, and access managementInsecure interfaces and application programming interfaces (APIs)System vulnerabilitiesAccount hijackingMalicious insidersAdvanced persistent threats (APTs)Data lossInsuff

3、icient due diligenceAbuse and nefarious use of cloud servicesDenial of service (DoS)Shared technology vulnerabilities注：来源于CSA 2018年 12大顶级云安全威胁：行业见解报告Secure your environments, apps and dataAssetsVulnerabilitiesBoundaryProtect EnvironmentsAvailabilityStabilitySecurityEnhance ApplicationsStructured vs

4、UnstructuredData-at-rest vs Data-in-motionClassified DataBackup/RestoreSecure DataCompliance with regulations, acts, policiesCloud Controls Matrix CSA Security Guidance CloudAuditGuidelines on Security and Privacy in Public Cloud Computing NIST Cloud Computing Security Reference ArchitectureCloud Co

5、mputing Information Assurance FrameworkGB/T 31167:2014 信息安全技术 云计算服务安全指南GB/T 31168:2014 信息安全技术 云计算服务能力要求GB/T XXXX:XXXX 信息安全技术 云计算服务安全能力评估方法 GB/T XXXX:XXXX 信息安全技术 云计算安全参考架构GB/T XXXX:XXXX 信息安全技术 数据出境安全评估指南GB/T XXXX 信息系统安全等级保护 云计算安全扩展要求 GB/T XXXX 信息系统安全等级保护 云计算安全设计技术要求 GB/T XXXX 信息系统安全等级保护 云计算安全扩展测评要求 工

6、信部 YD/T 3157-2016 公有云服务安全防护要求工信部 YD/T 3158-2016 公有云服务安全防护检测要求Security changed?核心：安全能力需具备云的 虚拟、弹性、敏捷、开放等 特点安全设备形态的变化网络部署方式的变化安全弹性扩展的变化安全按需分配的变化安全本质没有发生变化传统安全在云的延伸The Compliance等保2.0组成部分GB/T 284481 安全通用要求2 云计算扩展要求3 移动互联扩展要求4 物联网扩展要求5 工业控制扩展要求云计算扩展要求 - 责任分离，分别定级，各自备案变化一：责任主体一分为二云平台云平台服务商独立定级备案、过等保测评云租户

7、责任单位独立定级备案、过等保测评云计算扩展要求 - 共享责任分担模型变化二：不同模式责任不同IAASSAAS云服务商物理机房、物理服务器、物理网络和云平台软件租户业务系统安全、虚拟机OS安全、数据安全、虚拟网络云服务商租户内容安全、帐号安全绝大多数安全责任PAAS云服务商机房、服务器、网络和云平台软件、虚拟机安全、虚拟网络租户业务系统安全、数据安全云计算扩展要求 - 关键基础设施的等保不低于三级变化三：等保级别必须匹配云平台建成后上线运行一个月内必须向公安机关提交定级备案手续同一云平台可以承载不同等级的信息系统但云平台的安全保护等级不能低于所承载信息系统的安全保护等级云计算扩展要求变化四：测评

8、对象适当增加技术层面云平台测评对象传统测评对象物理和环境机房及基础设施（中国境内）机房及基础设施网络和通信网络结构、网络设备、安全设备、（虚拟化 的网络结构、虚拟交换机、虚拟防火墙、虚 拟IPS/IDS、APT）、云管平台物理的网络结构、网络设备、安全设备设备和计算网络设备、安全设备、虚拟网络设备和安全 设备、物理机、宿主机、虚拟机、虚拟机监 视器、云管理平台、数据库管理系统、终端物理的主机、数据库管 理系统、终端应用和数据应用系统、云应用开发平台、中间件、云业 务管理系统、配置文件、镜像文件、快照、 业务数据、用户隐私、鉴别信息等应用系统、中间件、配 置文件、业务数据、用 户隐私、鉴别信息等

9、云租户等保安全能力防火墙（vNF）入侵防御系统（vIPS）防病毒防火墙（vNF）入侵防御系统（vIPS）防病毒堡垒机（vSASH）网站漏洞扫描网站应用防火墙（vWAF）抗DDoS系统漏洞扫描防火墙（vNF）入侵防御系统（vIPS）防病毒堡垒机（vSASH）网站漏洞扫描网站应用防火墙（vWAF）抗DDoS系统漏洞扫描网站安全监测企业安全平台数据库审计等保咨询服务、渗透测试、安全加固等等保分数：60-70等保分数：70-85等保分数：85 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.The Web S

10、ecurityTop 10 application security risk - 2017injectionbroken authenticationsensitive data exposurexml external entitiesbroken access controlsecurity misconfigurationcross-site scriptinginsecure deserializationusing components with known vulnerabilitiesinsufficient logging & monitoringSource: OWASP

11、Top 10 2017 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.绿盟网站安全评估服务（云扫描） 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.绿盟网站安全防护服务（云WAF）绿盟黑洞云清洗服务世界各地轻松接入；清洗中心全球布局，保障延迟优化；国内多节点，多线路；国际超过1.5T，国内超过1T综合清洗能力；1T+国内多线路Tier1运行商SingaporeFrankfurtAshburnLondonS

12、ilicon Valley1.5T全球布局Tier1运行商Coresite/LAHong KongCurrent Offerings on AWSvWAF/v堡垒机/云WAFvWAFProvides comprehensive, application layer security to completely protect critical servers and web applications. Owned and managed by customer in their own AWS VPCs.v堡垒机Centralizes the management of system administrators and their access to VPC environment.Provides the full operative audit function for day-to-day system maintenance.NEWCloud WAF on AWSProtects your web propertie