清华永新云计算安全解决方案

1、目录云计算简介3云计算概述3云计算特点及益处4第一章1.2.第二章1.2.3.第三章1.2.3.云计算的建设5分散虚拟化“一虚多”5集中虚拟化“多虚一”5云计算网络示意图6云计算安全特点8集中化8专业化9复杂化3.43.5链路层安全分析10网络层安全分析11系统层安全分析12Web 安全分析12数据安全分析134.5.6.第四章1.健壮性14虚拟化15可视化15永新云计算安全解决方案16多层融合安全保护161.11.2网络基础架构安全16Web 应用安全252.虚拟化安全架构262.12.2虚拟化26虚拟化30安全3.高性能、低消耗的绿色安全363.13.2基于ASIC的

2、高性能安全36低资源消耗的绿色安全374.可视化安全管理384.14.2网络流量可视化38安全态势感知系统405.6.安全云41永新云计算安全方案优势总结42永新网络可以2第一章 云计算简介1. 云计算概述云计算是一种基于网络的计算方式。通过云计算，大量用户可以共享、硬件、信息、数据等资源。各类资源可以按需供用户使用。典型的云计算提供商往往提供通用的网络业务应用，可以通过浏览器等或者其他Web 服务来，而数据都在服务器上。最终用户不需要了解“云”中基础设施的细节，不必具有相应的专业知识，也无需直接进行控制。云计算的运行方式可以跟供电系统类比。相似之处参见下表。目前的云计算主要分为以下几个层次的

3、服务：（基础架构即服务）云计算服务商根据用户需求（CPU、带宽等）提供虚拟主机，由用户自行安装操作系统及应用。Amazon EC2就是典型的。PaaS（即服务）云计算服务商提供数据库、中间件等系统，用户可以将自己编写的程序托管在PaaSApp Engine。上运行。例如SaaS（即服务）云计算服务商向用户提供完整的应用程序，用户可直接通过网络使用。例如：SalesForce服务、淘宝网商服务等。永新网络可以3初级阶段整合阶段高度集中计算系统用户自行购置硬件及，数据及计算都在本地进行。企业或机构建立自有数据中心，用户 本机构数据中心，进行计算。建立云计算中心，个人和企业均可 云计算中心进行计算，

4、根据 或计算量 。供电系统用户自购发电机发电使用。企业或机构建立小型供电网络，供附近用户使用。建立覆盖的电网，用户可以很方便的接入，并按用电量。2.云计算特点及益处1)减少初期投资。用户无需投资场地、软硬件、带宽等，便可拥有足够强大的计算能力。2)快速部署。基于各种虚拟化技术，用户能够快速接入云计算并获取服务。例如：如果用户自行搭建服务器，从硬件、安装系统到安装，需要花费大量的时间。但如果使用 VPS（虚拟服务器）服务，在极短的时间内便可获得期望的服务器环境。3)灵活的可伸缩性，按需。用户可以通过自动化的云管理系统随时按需申请或释放计算资源，满足应用规模和性能需求的变化，并根据虚拟服务器硬件配

5、置、使用时间、网络流量、页面次数，甚至于计算次数进行。这种特性帮助用户大大地减少了资源浪费，节约了成本。4)大规模、高性能。云计算通常具有相当大的规模。例如：云计算拥有数百服务器。企业私有云的服务器数量通常也成百上千。大规模的云计算可以实现极高的计算能力。可帮助用户实现以往难以新功能，例如大规模分析系统、商业系统、中小企业业务等。5)高可靠性。云计算通常采取了大量的冗余、异构等设计来保障服务的高可靠性。使用云计算的用户发生数据丢失或服务不可用的几率远小于传统计算方式。6)非常廉价。大量用户共享云计算资源，使得资源在绝大多数情况下都被充分利用。云计算的规模越大，其规模经济效益就越明显。与传统计算

6、方式相比，用户可以以非常低的成本获得强大的计算能力。7)简单易用。用户无需对云构架的细节，只需直接通过网络便可获得期望的服务，降低了对专业 IT 知识的依赖。另外，由于用户往往使用浏览器便可通过 Web 方式使用云计算资源，使得终端朝着越来越轻量化的方向发展，也在很大程度上降低了用户对终端的处理负担。永新网络可以4第二章 云计算的建设为了搭建一个大规模、高可靠、可伸缩、并可被大量用户共享的云计算，通常需要运用大量的虚拟化技术。虚拟化技术主要分为两类。“一虚多”和“多虚一”。1. 分散虚拟化“一虚多”云计算使用Hypervisor 虚拟化技术（Vmware、Xen 等）在一台物理服务器运行多台虚

7、拟服务器，运行不同的操作系统和应用。如下图所示：“一虚多”主要能提供以下两方面的益处：1)尽可能压榨服务器的资源（CPU、内存、硬盘等）。例如，可以将负载压力不同的虚拟机或负载峰值时段不同的虚拟机运行在同一台物理服务器上，使该服务器长期高负荷工作，从而提高资源利用率。2)将高性能服务器的计算资源共享给多个用户，用户独立管理自己的虚拟服务器，实现、精细化的资源共享。在公有云中，虚拟机为外部用户租用；在私有云中，虚拟机分配给不同的业务部门使用。2. 集中虚拟化“多虚一”当前海量的业务需要极高的计算能力，单台服务器往往很难满足性能要求。因此云计算需要使用多种负载均衡技术实现多台虚拟或物理服务器的集中

8、虚拟化，即将大量廉价的永新网络可以5普通服务器组成一台超级计算机，以实现无与伦比的性能。“多虚一”主要的实现方式包括：1)操作系统或集群（cluster），如 A-A 方式集群；2)网络层或应用层负载均衡，包括各种负载均衡设备；3)分布式文件系统，例如：Hadoop HDFS、GFS 等；4)并行运算结构，如 MapReduce；5)多站点灾备及均衡技术，例如智能DNS 等。3.云计算网络示意图上图是一个典型的多站点云计算的网络示意图。首先，将物理服务器“一虚多”成多台虚拟机，分配给不同业务部门或用户；永新网络可以6然后，通过集群、负载均衡或分布式系统等技术将这些虚拟机“多虚一”，成为可以对外

9、提供服务的资源。最后，建立多个数据中心实现灾备及负载分担，使用外部的智能DNS 设备实现多数据中心的选择。用户在云计算资源时，将首先被智能DNS 设备分配到某一个数据中心，然后由数据中心的负载均衡设备（或分布式系统中的控制器）将用户分配到某一虚拟机上的应用。永新网络可以7第三章 云计算安全特点上文介绍了云计算的特点及云计算数据中心的结构，可以看出云计算结构与传统计算方式有着很大的区别。因此对云计算的安全建设也不能停留在传统思，必须与时俱进，符合新形势下的安全要求。云计算环境下的安全特点和需求主要包括以下几方面：1. 集中化传统计算方式为服务器-客户端结构，服务器和客户端均承担一定的计算任务，并

10、各自数据。而在新的云计算下，绝大多数和计算工作都在云端完成。用户往往只需要通过Web 方式云即可完成信息的存取和计算。在新的云计算环境下，安全防御将呈现出明显的集中化趋势。这是因为：1)终端几乎不保存数据，终端的收益越来越小。者地将注意力集中到了海量数据的云端。永新网络可以82)对终端的越来越难。其原因在于：a)终端轻量化绝大多数云计算都通过 Web 方式交付，云计算终端只需要使用浏览器便可云资源。因此终端越来越轻量化，智能、平板电脑等越来越被广泛使用，甚至有Chrome OS 这样几乎等同于浏览器的终端。终端越轻量，可被的弱点就越少，而且恢复起来也越简单。b)终端系统本身的安全性越来越高与早

11、期的操作系统不同，现在的终端广泛应用了权限控制（例如Windows 7 的UAC）、应用沙盒（例如 Android）、软件（例如苹果 app store）等安全措施，因此自身安全性大幅提高。c)的性不同于以往 Windows 系统在桌面领域终端多样化，降低了的一统天下，云计算时代里终端种类繁多，百花齐放， Android、IOS、Linux等非Windows也占据了大量比例。由于安全（、木马等）往往针对某一特定操作系统，在多的环境下，随时可能中断，因此性与以往相比明显下降。由于以上几方面原因，云计算时代将主要集中于云端（云计算数据中心），因此安全的重心也应转向数据中心。2. 专业化正因为云计算

12、时代明显的安全集中化趋势，对安全专业化的要求也达到了前所未有的程度。1)云计算中心遭遇的强度极大。传统计算时代，资源是分散的。所以者在进行时，通常也是以一种广种薄收的方法来进行。者使用常规的工具进行大范围扫描，发现主机后便对其进行渗透。由于目标太多，而者的资源和精力有限，在每一个目标上都不可能投入过多，所以分摊至每个被目标的强度通常不会很高。而在云计算环境下，者有着明确而集中的目标。例如，想要窃取大量的中的，只要瞄准大的邮件服务器提供商即可。因此，云计算数据中心遭遇的次数和强度是传统网络难以比拟的。永新网络可以92)云计算中心遭遇的专业性极强。因为云计算数据中心着海量有价值的信息者对其进行的目

13、的便不再是简单的恶作剧，而可能带有极强的商业甚至政事目的。所以云计算中心的专业程度也大大地超出了想象。近两年出现的APT（Advanced Persistent Threat）高级持续性，是一种极专业、极有针对性的方法。APT具有极强的隐蔽能力，当者发现网络中受信的应用程序时，并不急于求成，而是非常耐心地利用它来进一步渗透，从而形成所需的环境。在发起最终前，者经常会针对性地进行几个月甚至更长时间的潜心准备，（包括、木马、僵尸、注入等技术，甚至自行挖掘 0day运用多种渗透，以及利用社会工程学方法），收集大量关于目标系统的精确信息，熟悉被者的网络坏境，探测各种安全隐患，定位关键信息的位置与通信方

14、式。当一切准备就绪后，者便可窃取大量被锁定的重要信息，或者造成大面积的严重破坏。被 APT成功并造成损失的，不乏、RSA、能源部、伊朗核电站等专业且戒备森严的企业和机构，应当高度重视。综上所述，云计算中心被众多者锁定，着极其高强度、专业化的，一旦成功，产生的损失将是巨大的。因此云计算管理务必抛弃侥幸心理，严格依照安全规范，建立全面、专业的安全防御体系，保障云计算的安全。3. 复杂化云计算是一个通用的，其上可以运行多种多样的网络应用，因此也可能带来各种不同的安全。下文主要从以下几方面对云计算进行安全分析：3.1链路层安全分析云计算运行中，可能需要大量的跨广域网通信，例如服务器跨站同步运维等。者可

15、以很容易地在网络设备上使用网络器（如 Sniffer、在公用、开放的网络中NIDS 等）截获网络流量，这样便了数据的私密性；如果进一步操作，对网络数据进行篡改，便破坏了数据的完整性；同时，非用户对网络随意的也造成了数据可用永新网络可以10性。即使使用专线等私有链路，也存在遭遇窃取的风险。从数据的私密性、完整性、可用性角度考虑，需要在不安全的链使用技术，部署严格的加密和认证保护，以降低链路层安全风险。3.2网络层安全分析云计算服务都是通过网络交付的，但网络同时也成了者的和通路。云计算时刻着严重的来自外部网络的。在中存在着大量的，他们一般针对对外服务器，尤其是 Web 服务器作为突破口，进行网络和

16、渗透。常见得一些手法如下：IP、重放或重演、DoS（SYNFLOOD，FLOOD 等）、DDoS（分布式服务）、篡改、堆栈溢出、跨站、注入等。一旦成功，便会在服务器中植入后门（木马）程序，从而控务器并作进一步渗透，最终导致云计算数据中心中大量的数据就被窃取或破坏。在进行云计算数据中心安全建设时，用户往往首先想到。虽然部署虽然能大幅度地级别，但它并以保证网络的安全，因为已经研究出大量的方法来绕过策略。这些方法包括：1)利用端口扫描器的探测可以发现开放的端口。2)和探测程序可以通过开放的端口穿越。如跨站及注入等均可通过 80 端口通信，使得传统的端口过滤功能对他们为力。3)较老式的对每一个数据包进

17、行检查，但不具备检查包负载的能力。、蠕虫、木马和其它应用程序能检查而通过。4)当者将负载拆分到多个分段的数据包里，并将它们打乱顺序发出时，较新的深度包检测往往也会被愚弄。5)PC 上的木马程序可以从的任网络发起。由于会话的发起方来自于，一般来说会放过所有来自于任网络（内网）的相关流量。当前流行的从任网络发起应用程序包括后门、木马、键盘工具等，它们产生非或将私密给者。永新网络可以113.3系统层安全分析云计算数据中心的虚拟机和物理服务器上运行着不同的操作系统，如：Windows、UNIX、Linux 等；数据中心使用的各种网络设备也都有着自己的操作系统。事实上，任何操作系统都不可避免地存在安全。

18、如果这些操作系统没有进行系统的加固和正确的安全配置，而只是按照原来系统的默认安装配置，这样的主机系统是极其不安全的。可以针对操作系统的发起，试图获取管理员的权限。此外，在网络中，一些利用系统管理员的疏忽用缺省用户的权限和口令就可以轻松地进入系统修改权限，从而控制主机。现在许多正监视着提供商的补丁公告，并对补丁进行简单的逆向工程，由此来发现。目前，一个已知及相应补丁的到该被利用之间的时间已经大大缩短了。另外，云计算数据中心不仅需要担心已知安全，还着各种被称之为 0day（零日）的新的未知的。由于的不断地从引起他人注意向着获取经济利益转移，他们在抓住一些应用服务和协议的缺陷和弱点时，并不急于对外或

19、通知相应厂商，而是直接利用其来进行。这就是所谓的 0day，这种针对当前公众未知的，尚无补丁可用和 IPS 都的的行为，防范难度更大，是传统的为力的。另外，APT（高级持续性）利用多种形成混合型，例如首先利用钓上使用 0day鱼被者，在，从而控制被者的主机，然后利用蠕虫将木马渗透至主机上，最后偷偷将大量私密至指定的邮箱或服务器。这种混合型很容易绕过传统的单点安全解决方案，需要新型的安全防护体系。3.4Web 安全分析云计算服务在大部分时候都是通过Web 方式交付的，因此也大量聚焦于Web应用。同时，由于 Web 应用可与数据库通讯，提取在数据库中的信息，所以Web 服务器也往往成为潜在的媒介，

20、数据库及在内的信息的安全。因此针对Web 服务器的防御是云计算数据中心安全建设的重中之重。仅能针对 IP、端口、协议五元组进行过滤，Web 服务一般都使用 TCP 80传统端口，如果关闭该端口，所以 Web 服务都将中断，所以传统在防止跨站、注入等位列 OWASP Top 10 的Web方面几乎起不到作用。永新网络可以12IPS（防御系统）与不同，使用深度包检测技术，既检查数据包头（五元组），又检查包的内容，可以识别并防御很多更高级的。但是 IPS 也有其局限性，主要集中在以下几点：1)IPS 支持大量网络协议（如 HTTP、FTP、DNS、数据库、邮件等），并非专为 Web设计；WAF（We

21、b 应用）是专门保护 HTTP 及 HTTPS 协议的设备，针对性更强。2)IPS 是基于已知的特征来进行识别和防御，而行为有大量变种，也会有意识地变换代码（例如加入空格或转义符等），以绕过 IPS 的检测。因此 IPS的误报率和漏报率相对较高；而 WAF 既能基于特征，又能基于 HTTP 和 HTTPS协议的行为进行检查和规范，捕获率和精确率明显高于 IPS。3)IPS 只能防御已知，即所谓防御；WAF 支持对 Web行为的规范，即所谓白防御，安全等级和防御效果更好；4)IPS 无法防御HTTPS，但实际应用中，容易受到跨站、注入等的大多为电子交易类，往往都使用 HTTPS 协议；而 WAF

22、 支持 HTTP/HTTPS 代理，可以对 HTTPS 协议中的进行防御；5)IPS 只能在事中阶段进行检测防御；WAF 一般都具有事前评估，事中检测防御，事后审计及防篡改功能，能够覆盖安全防御的全过程。3.5数据安全分析数据库是云计算资产中最具有性的资产，通常都保存着重要的信息，这些信息需要被保护起来，以防止竞争者和其他者获取。云计算的急速发展使得数据库信息的价值及可性得到了，同时，也致使数据库信息资产严峻的。数据安全主要包括两方面：1)外部，即外部直接通过注入、木马等方式窃取、篡改、破坏数据库中的数据；2)，云计算数据中心部分用户可能监守自盗，通过 Web、FTP、永新网络可以13IM 等

23、多种方式向外发送信息，造成泄密。近年来数据泄漏等安全事故层出不穷，而一旦发生数据泄漏事件，云计算提供者不单要承担数据本身价值的损失，更严重的是还会影响云计算服务者的声誉和公众形象，极大打击云计算使用者的信息，另外，还有可能法律上的风险。国家及行业已经对数据安全制定出相应的行业规范和，为了满足相关的安全、数据自身安全及安全事件发生后有一个追溯求源的依据的需求，需要部署专业对数据库进行安全评估和数据库审计，并对网络上的数据泄漏进行防范。4. 健壮性云计算为大量外部或用户提供服务，为了保证高质量的服务不间断运行，必须构建一个健壮的。云计算的安全防御也同样需要具有极强的健壮性，不应成为整个基础架构的短

24、板。对安全部署的健壮性要求主要体现在以下几方面：1)高性能云计算数据中心一方面为了追求规模效应，部署了大量物理服务器，目前拥有上物理服务器的数据中心已不少见。另一方面，由于虚拟化对服务器硬件能力的榨取，也造成了云计算网络流量压力增大。例如，原来一台服务器上只运行一个操作系统及一个应用，只需要 10M 带宽；现在安装了 10 个虚拟机，运行 10 个应用，可能就需要 100M 带宽了。再加上物理服务器数量庞大，整个云计算数据中心的网络流量会变得非常大，千兆接入、万兆基本上已成为标配，对的性能压力也是不言而喻的。2)可扩展云计算本身即是以高弹性、可伸缩著称，随着云计算的普及，云计算数据中心的网络及

25、设备规模也处于不断快速扩张当中。其也应具备强大的扩展能力，使之适应“云”的扩展性。3)高可靠性在传统计算结构中，如果数据中心发生故障，影响的只是一个或少数几个用户；而云计算中心为大量用户提供海量信息服务，一旦发生服务中断，影响将是巨大的。所以云计算数据中心对各种系统（包括安全系统）的可靠性要求是非常苛刻的。永新网络可以145. 虚拟化云计算数据中心为多租户运营环境，大量外部（公有云）及（私有云）用户共享云计算资源。服务器、链路、网络设备、均被大量用户共用。与服务器“一虚多”思路类似，安全部署有分散虚拟化需求。分散虚拟化能为用户带来以下益处：1)最大化利用的性能，提高资源使用效率；2)减少的数量

26、，节约成本，且便于管理；3)可灵活地将安全管理权限分配至各租户，既起到了灵活、细致管理的作用，也保护了租户的隐私。例如：虽然租户 A 与租户 B 共用了一台，但租户 A 只能并管理自己的安全策略，而对租户 B 的网络结构、应用、安全部署一无所知。6. 可视化云计算是一个复杂的网络，管理难度大。因为：1)海量用户，海量应用，难以分辨；2)多站点云计算跨地域运营，管理更加。3)设备种类、数量繁杂，很难管理；为了降低管理难度，并把握全局，云计算的安全建设应遵循可视化原则，可从以下几方面入手：1)细粒度理解并呈现网络应用，帮助安全管理员及时发现网络异常；2)建立安全管理，从整体上展现安全态势，为安全管

27、理员优化安全部署提供依据。永新网络可以15第四章永新云计算安全解决方案永新云安全解决方案不仅建立了从网络基础架构到关键应用的安全融合防御体系，满足云计算多层次的安全需求；并运用了多种硬件加速技术，为云计算提供数据中心极高的安全性能；还结合了大量虚拟化技术，无缝贴合云计算网络架构，是一套为云计算环境量身定制的安全解决方案。下图是永新云计算安全解决方案示意图，下文将对永新解决方案的特点进行详述。多层融合安全保护网络基础架构安全如前文所述，云计算数据中心着多样化的安全，包括服务、木马、蠕虫等，以及结合上述的混合型和 APT。因此，首先需、IPS、要在网络基础架构上进行安全加固。使用传统的单点安全防御

28、方法（即使用、防毒墙等一系列）来应对混合型，存在成本高、部署难、管理难等缺点，有效的有机结合，很容易被混合型及 APT且由于安全防御的各组成部分缺乏逐一绕过，防御效果不好。永新公司的下一代通过动态防御技术、高级启发式异常扫描引擎提供了无与伦比的功能和检测能力。它集多种安全功能于一身，覆盖网络层、系统层和应用层，多项安全技术在永新下一代设备中有机结合，形成多层次安全防御体系，有效抵御当前流行的混合型安全及APT。永新网络可以16永新下一代可从以下几方面为云计算数据中心的网络基础架构提供安全加固：1)功能基于状态检测滤技术，可以针对 IP 地址、服永新下一代的务、端口等参数决定是否允许数据包通过，

29、在第三层（网络层）和第四层（传输层）进行数可针对主机、子网、VLAN、据过滤。永新下一代、反掩码、地区进行过滤。例如可对 /24、/0.0.2、全有 IP 地址进行过滤。永新下一代口，也可以通过 D具有完整的下一代特性，既能识别并过滤数据包头里的端FI 等方法识别超过 2000 种网络应用，并对其进行控制，能够有效的对云计算环境中的应用进行可视化管理。永新网络可以17永新下一代还可以实现方便的用户认证，在用户试图云计算资源时需要首先进行认证，没有相关用户权限的将被永新下一代。永新下一代也可以为不同用户赋予不同级别的权限。永新下一代支持多种用户认证方式，包括本地用户、Radius、LDAP、口令

30、等，可无缝结合多种云计算用户认证体系。TACACS+、Windows 域、X.509、通过对 IP 地址、端口、应用、用户、时间等参数的灵活组合，便可制定出各种适合实需求的控制策略，使得云计算中心的安全策略可以得到切实的执行。际永新下一代的功能是基于状态检测机制的，它会会话从建立、维持到中止的全过程，已建合法连接的后续数据通信可以直接放行，极大的简化了配置、提供了效率。所有的会话都会维持在永新下一代的会话表中，还可以供管理员分析和排错使用。永新下一代能够对网络流量进行精确的控制，对一个或一组 IP 地址、端口、应用协议既可以通过设置保留带宽保证应用的最小带宽，又可以设置最大带宽防止对网络资源的

31、过度占用，还可以通过设置网络应用的优先级将网络带宽在不同应用之间进行合理分配，并通过 DSCP 值对流量进行控制，使网络效率达到最优化。还可对单个客户端、服务器的并发会话数进行限制，保障主机的健康度。2)IPS永新网络可以18传统的状态检测/滤是在网络层/传输层工作，根据 IP 地址、端口等信息对数据包进行过滤，能够对起到部分防御作用。但是仍然可以从合法的 IP 地址通和应用可以通过任意 IP、端口进行，过开放的端口对内网发起，目前很多各种高级、复杂的单纯的使用状态检测/滤无法进行阻挡，需要使用 IPS（入的防御。IPS 工作在第二层到第七层，通常使用侵防御系统）来配合实现对复杂特征匹配和异常

32、分析的方法来识别网络行为。永新下一代内置的 IPS 能够检测 6000 种以上和行为，可支持自动更新特征库，确保用户在第一时间实现对方式的防御。永新下一代可以很方便的定义 IPS特征过滤器，帮助用户迅速筛选对保护服务器有用的特征集合，并根据需要选择处理方式，与本用户网络及应用无关的特征被关闭，以免影响处理性能。除了系统自带的特征，永新下一代也支持用户自定义特征。的 IPS 支持式和旁路式部署方式，式的 IPS 对各种攻永新下一代击均可直接阻断并生成日志，还可自动对者进行，防止进一步的发生；而旁路式 IDS 部署方式不改变网络拓扑，对发现的、行为进行日志和。永新网络可以193)网络防御者在进行

33、APT（高级持续性）时，经常使用、蠕虫方式来植入僵尸、木马等，以获取主机的控制权并进行进一步渗透。因此云计算中心应具有完善的防御能力来对此环节进行保护。永新下一代既可以防止外部进入云计算中心，也可防止易的进行扩散。a)外部防御永新下一代的过滤针对标准协议，与应用无关，支持 HTTP、FTP、SMTP、POP3、IMAP、NNTP、IM、CIFS 等常用协议，对Web、文件传输、共享、聊天、组等可能的应用均提供有效保护。永新下一代可针对非标准端口（如 TCP 8080 端口传输的 HTTP 协议）及加密流量（如 HTTPS、FTPS、SMTPS、POP3S、IMAPS 等）进行防御，具有极强的适

34、应性。永新下一代支持防御超过 100 万种已知，特征库可通过ernet自动更新，每天 4 次的库更新频率是业界最高标准之一，可以确保用户在第一时间实现对型网络的防御。永新下一代库支持四种不同的安全级别，并可针对不同风险的应用开启不同级别的库，可帮助云计算中心在安全与性能间达到最佳平衡。永新下一代的高级启发式扫描，可通过沙箱技术进行行为识别，从而实现一永新网络可以20定的防御未知的能力。除外永新下一代的特征库中也包括僵尸、木马、蠕虫、灰色，全面防御各种。b)防御虽然目前 90%以上的ernet，但仍然有部分来自于通过其它途径进入云计算中心内网，例如光盘、U 盘、文件共享、移动用户等。而进入内网后

35、通常采用网络进行，并可能导致 DoS的方式，利用网络中其它主机的安全。永新下一代不能仅针对HTTP、FTP、SMTP、POP3、IMAP、MSN、NNTP 等协议进行扫描，同时还应能识别各类蠕虫的内网特征，对内网中的进行定位和阻拦。通过防与 IPS 的有机结合，从各个层面防御对云计算网络的侵袭。4)在云计算环境中，存在大量的跨广域网通信，例如多站点（数据中心）间的服务器通信、云资源（设备厂商、云计算租户等）。为了保护云计算数据中心的资源不被中途窃体系，对通过ernet 进行的取，需要建设一套进行严格的认证和加密，使ernet 上的成为经过加密和认证的安全链路，保证云计算节点之间的安全。永新下一

36、代支持 IPSec、SSL、PPTP 和 L2TP 四种协议，提供所未有的方便和灵活的选择。永新网络可以21多站点间的通信，通常使用 IPSec进行 LAN-to-LAN 的保护；而对于通信，既可以使用 IPSec，也可以使用 SSL 与数据中心间建立连接。多站点云计算全网状永新下一代支持 AES256 及 SHA512 等高强度加密和认证算法，并可结合防、IPS 等功能，防止、在隧道中传输。永新网络可以22另外，永新下一代基于路由的能够很好的与 VLAN、动态路由等相结合，适应云计算网络环境。5)永新下一代部署方式永新下一代部署示意图a)每组为 2 台（1 和2），组成热备式 HA 集群，分

37、永新下一代别连接在不同的交换机上，确保高可用性。当一台设备或链路发生故障时，另一台永新网络可以23设备能够自动工作，并维持会话状态，使业务不受影响。b)永新下一代采用单臂旁挂在云计算中心的交换机上。根据带宽和业务流可以使用一条或多条（802.3ad 链路聚合）万兆链路量的不同，永新下一代与交换机相连。永新下一代与交换机之间使用 802.1Q VLAN trunk 方式连接，永新下一代上添加多个 VLAN 子接口，分别对应不同业务系统或租户的。c)交换机通常有两种部署方式，一种是二层方式，此时各业务系统或租户的 VLAN都在永新下一代上终结永新下一代作为各业务系统或租户的网关；另一种是三层方式，

38、此时各业务系统或租户的 VLAN 都在交换机上终结，核心交换机作为各业务系统或租户的网关，然后使用策略路由，将需要安全过滤的流量引导至永新下一代，由永新下一代处理后，再流回交换机继续转发。d)永新下一代也采用虚拟化部署，将不同业务系统或租户的 VLAN 接口划分到不同的 VDOM（虚拟域）中，每个业务系统或租户的管理员可以各自对自己的安全部署和策略进行管理。此部分将在虚拟化部署章节中详述。永新网络可以241.2Web 应用安全如前文所述，Web 服务器的安全保护是云计算数据中心安全建设的重中之重，而防火墙和 IPS 都以保证Web 应用的安全，因此需要部署专门的Web 应用。在云计算数据中心建

39、立专门的安全Web 服务区，将永新TN-WAF 应用以透明模式串联至安全Web 服务区与交换机之间。透明模式部署无需修改网络拓扑，且不会对数据流量进行任何修改，且可以实现对 Web的实时防护，是一种较好的部署方式。根据性能需求，将一台或多台（负载均衡）永新 TN-WAF 部署至安全Web 服务区的前端，所以需要永新 TN-WAF 防护的 Web 服务器（虚拟机）都部署至安全 Web 服务区。可以利用vMotion 等 VM 迁移技术将虚拟机实时迁入或迁出安全Web 服务区，无论公有云还是私有云都可以很灵活地开启或关闭Web 安全防御。永新TN-WAF 是完整Web 应用和 XML，对应用程序、

40、数据库及两者间交互的信息进行保护、均衡和加速，能极大的降低基于 Web 应用程序的部署时间和复杂性。清华永新 TN-WAF 基于签名库与模板检测、基于阈值的限制、会话管理、流强制、基于规则的参数验证、表单及表单域篡改验证、XML IPS 等技术，能完整地防御 OWASP Top 10 的永新网络可以25Web，包括跨站、SQL 注入、缓存溢出、OS 命令注入、跨站请求、出站数据泄漏、编码、篡改/、会话劫持、失效控制、强制浏览/目录穿越、，提高 Web 应用的安全性，并未云计算中心在法律和合规方面站点侦察、服务等提供帮助。除了安全之外，永新 TN-WAF 还具备智能的、可识别应用的负载均衡引擎，

41、实现多台 Web 服务器的流量分发及内容路由。负载均衡功能提高了资源的利用、应用稳定及服务器响应时间。通过一个单独的 SSL 和 XML 加理器，Web 应用流量可被更进一步的吞吐量处理能力，减少 Web 服务器的处理需求。除了行业领先的加速，该处理器能Web 应用(WAF)技术之外，可提供 XML 安全实现、基于硬件的应用加速及服务器负载均衡等功能。另外，永新 TN-WAF 独有的应用层质询式防 DDoS 功能，可以有效的防御 HTTPDoS，保护Web 服务器资源。2. 虚拟化安全架构2.1虚拟化与服务器分散虚拟化相似永新下一代管理设备也可实现强大的虚拟化部署。永新网络可以26如前所述，永

42、新下一代HA 集群以旁挂方式连接在云计算中心的交换上配置不同的 VLAN 子接口，对应不同的业务系统（私有机上，在永新下一代云）或租户（公有云）。这样便实现了多租户共享少数永新下一代的目标。通常云计算的业务系统或租户数量都非常多，如果所有业务系统或租户的安全管理都混合在一起，会使得安全策略的条目数量极其庞大（可能多达数万条），导致管理极其困难。而且各租户的配置还可能存在（例如接口地址、路由、策略等）。的虚拟化功能（VDOM）可以完美地解决这一难题。单台永新下一代永新下一代可以最多划分为 500 个 VDOM（虚拟域），每个 VDOM 具有各自独立的接永新网络可以27口地址、工作模式（NAT 或

43、透明）、路由表、安全策略、管理员账号等。永新下一代防火墙的、IPS、防、DLP 等安全功能均可在VDOM 中实现。将各租户不同的VLAN 子接口分别划分至不同的 vdom 中，并为他们分配各自 vdom 的管理员账号，租户便可自行配置各自的安全策略。上面的部署图中，永新下一代被红色和蓝色代表的 2 个租户共享使用，所有的数据流量、安全处理和安全管理均彻底分离，红色租户的业务及管理流量均在 vdom1 中处理，蓝色租户的业务及管理流量均在 vdom2中处理。2 个租户的管理员登录到同一台永新下一代上，只能看到并修改自己的相关设置，并查看自己的业务及安全状况，而对其他租户的网络结构、应用及安全设置

44、及状况一无所知。简而言之，各租户就像独占一台一样。永新网络可以28永新下一代的虚拟化部署还支持虚拟集群模式，将不同租户的主分配在虚拟集群的不同物理设备上。如下图，当永新下一代HA 虚拟集群中的 2台设备（A 和 B）均正常工作时，租户 1 的流量由设备 A 处理，租户 2 的流量由设备 B 处理。这样设备A 和B 都处于工作状态，分担网络流量，使性能更优。当设备A 或B 发生故障时，所有流量均由另一台设备处理，保证了云计算业务的高可用性。永新下一代的虚拟化功能 VDOM 可以最大化利用设备性能、同时可灵活地实现基于多租户的细致化管理，非常切合云计算环境的需求。永新网络可以292.2安全虚拟化除

45、硬件虚拟化外，永新还提供完善的安全虚拟化解决方案。永新、永新 TN-WAF 等可以VMware 或 Xen 虚拟机系列安全产品如永新下一代形式交付，直接运行在云计算数据中心的虚拟化上。如上图所示，在一台或多台物理服务器组成的虚拟化上，运行着多个不同租户的业务虚拟机。还可以在虚拟化上再运行永新下一代-VM 虚拟机，并对虚拟化-VM 的过滤，网络进行配置，使进出服务器物理网卡的流量都经过永新下一代将其中的、等安全过滤，从而起到保护业务服务器的作用。这种安全虚拟化部署可为云计算数据中心提供以下益处：1)实现云计算数据中心各区域的安全与防御。上文中的永新下一代硬件，通常部署在边界或层，只有进出数永新网

46、络可以30据中心或跨VLAN 的网络才会经过这些永新下一代硬件设备的过滤。而接入层并未部署相应的安全防御。而使用永新下一代-VM，可以将与硬件同样级别的安全保护深入至每一台物理服务器甚至虚拟机，极大地了云计算中心的安全等级。2)实现安全处理性能线性扩展。在边界或层部署硬件，为整个云计算中心提供安全保护，通常需要非常高端的型号，才能满足云计算的高性能要求。而云计算本身具有的弹性，使其具有极强的扩张能力。当云计算中心的服务器数量和相应的网络流量急剧膨胀后，先前部署的硬件安全设备便可能成为网络瓶颈，需要进行扩容。这时便着采购更高端设备以及如何处理旧设备，可能导致先期投资无法充分利用。而安全虚拟化部署

47、方式是直接利用了物理服务器的部分资源（CPU、内存等）来提供安全保护。当服务器数量越来越多时，是需要按照事先规划的比例，将资源分配给永新下一代-VM 虚拟机即可。即使服务器数量再多，也不会产生安全处理的瓶颈，而且前期投资持续有效，非常符合云计算的设计理念。永新网络可以31永新下一代-VM 与永新下一代硬件具有完全相同的安全功能，提供完全同等级的安全防护能力。永新下一代-VM 还可以进行 VDOM 虚拟化，-VM，也可以多租户在多租户环境里，既可以为每一个租户运行一个永新下一代共个永新下一代-VM，非常地灵活方便。永新网络可以32永新下一代-VM 也支持完善的 HA（高可用性），并可与虚拟化解决

48、方案自身的高可用性（例如vSphere HA、vSphere vMotion 等）结合，提供快速、无缝的冗余保护。例 1：不使用永新下一代-VM 的HA，使用 vSphere HA 进行故障保护。正常状态故障切换后永新网络可以33仅使用 vSphere HA 也可以实现故障切换，但是由于 vSphere 发现物理服务器故障后，需要在另一台物理服务器上重启受影响的虚拟机（包括永新下一代-VM），就会不可避免地产生停机时间，而且当前会话状态也无法保持。并非最佳解决方案。例 2：永新下一代-VM HA 与 vSphere HA 结合。正常状态故障切换后永新网络可以34在此情况下，由于两台物理服务器上

49、的永新下一代-VM 组成了 HA 结构，状态表（包括路由、会话等）均已同步，故障切换后，只有受影响的业务服务器虚拟机需要重-VM启，永新下一代可无缝切换，网络不会发生中断，所有已建立的会话以保持。例 3：永新下一代-VM HA 与 vSphere vMotion 的结合vMotion 迁移前永新网络可以35vMotion 迁移后-VM 启用了HA，然后使用 vMotion 进行虚拟机同一资源池中的永新下一代迁移，此时由于永新下一代-VM 的所有状态均处于同步状态，vMotion 迁移完成后，虚拟机无需等待即可正常工作，已建立的会话不受影响，实现无缝的迁移切换。的设备虚拟化（VDOM）和综上所述

50、，永新下一代虚拟化（永新下一代-VM）契合云计算虚拟化环境，为云计算虚拟化提供了安全、可靠、易管理的解决方案。3. 高性能、低消耗的绿色安全3.1基于 ASIC的高性能安全云计算为大量租户提供无与伦比的计算能力，对的性能也提出了前所未有的高要求。由于流经的每一个数据包（无论大小）都需要经过预定程序的处理，安全设备的性能压力与每秒转发数据包的数量基本是成正比的，因此包转发率（pps）是衡量所有网络和的关键指标。设备通常使用CPU 来处理所有安全任务，当网络当中的流量和会话都达到较还启用了多项功能时，CPU 的负载会变得很高，此时很容易导致网高水平，而且永新网络可以36络性能的下降甚至设备的不稳定

51、。即使目前最高端的多核 CPU 也很难满足云计算数据中心的性能要求。而永新下一代除了使用高性能多核CPU 作为操作系统执行者和任永新公司自行设计开发的ASIC务调度者，还采用多种，来进行特定安全功能。例如负责包转发、NAT、流控、加的 TN-NP（网络处理器）、负责 IPS和特征匹配的TN-SP（安全处理器）、负责内容层特征匹配（过滤、内容过滤等）的 TN-CP（内容处理器）等。这些ASIC与通用处理器（CPU）配合使用来处理复杂的业务，就像人的大脑和脊柱（CPU）以及周围神经系统（ASIC）协同工作来执行一样，如此，将CPU 从繁重的工作中解放出来，使整个系统实现数倍于同类产品的性能。TN-

52、SG5000-X7000 的永新公司的高端旗舰产品永新下一代吞吐量高达 200Gbps，64 字节小包吞吐量高达 160Gbps，包转发率高达遥遥领先于同类产品永新下一代-X70003.2低资源消耗的绿色安全云计算数据中心的设备数量庞大，往往需要占用庞大空间，消耗大量能源。如何减少空间、能源等资源消耗，也是云计算数据中心建设的难题。由于大量使用ASIC作为性能引擎永新下一代设备无需配置过多高能耗的 CPU，整机能耗和发热量远低于同类产品。又因为能耗和发热量小，就无需大量空间来安置散热装置，使得设备体积也实现了小型化。200Gbps 的永新下一代X7000 只有 3U 高度，最大功率仅 400

53、多 W。使用永新下一代高性能永新网络可以37同时还能大量节约机房空间，降低能耗，非常符合云计算中心实现节能减排、绿色安全的目标。4. 可视化安全管理云计算数据中心为大量租户运行海量应用，而且设备种类、数量众多，在多站点环境中甚至需要跨地域管理，管理难度很高。使用永新云安全管理方案，实现可视化安全管理，使云计算中心管理员既能随时掌握全局安全态势，又能深入每一个安全细节，为安全建设、响应、优化提供科学依据。4.1网络流量可视化安全网关的完全内容检测技术（CCI）及动态永新下一代防御系统（DTPS）可以完整3-7 层的网络流量，在对其进行多层次安全过滤的同时，还能根据到的数据及分析结果，实时在图形管理界面上显示网络当前状态，包括整体网络流量、会话统计；单一服务器（虚拟机）流量、会话统计及；协议及应用实时统计等。这些信息可以帮助管理员实时掌握网络及安全概况，及时发现异常现象。例如，某 Web 服务器主动发起的会话数突然暴增，很可能是蠕虫的迹象。带宽永新网络可以38会话协议应用永新网络可以394.2安全态势感知系统云计算数据中心部署了大量安全及网络设备，产生海量的安全日志，