深信服云安全解决方案培训资料

深信服云安全解决方案深信服电子科技有限公司2015年11月7日目录TOC\o"1-5"\h\z\o"CurrentDocument"第一章建设背景 4云平台背景 4云平台建设意义 4\o"CurrentDocument"第二章需求分析 52.1需求概述 5\o"CurrentDocument"2.2平台侧需求 72.2.1平台安全需求 7\o"CurrentDocument"2.1.2接入安全需求 8\o"CurrentDocument"2.1.3业务可靠需求 92.3租户侧需求 102.3.1租户间隔离需求分析 102.3.2租户虚拟机需求分析 112.3.3租户互联网业务需求分析 112.3.4租户外网业务需求分析 122.5管理运维需求 13第三章设计原则 14第四章解决方案 154.1解决方案综述 154.2平台侧设计方案 174.2.1平台安全方案 17平台分区分域 18防网络病毒 18应用安全防护 18防止漏洞攻击 19多业务数据隔离和交换 194.2.2接入安全方案 20云间安全互联 21租户安全接入 224.2.3业务可靠需求 23防拒绝服务攻击 23链路/全局负载均衡 234.3租户侧设计方案 244.3.1租户安全设计 244.3.2业务系统安全 254.3.3业务稳定可靠 264.3.4业务安全接入 274.3.5租户应用场景 28436NFV安全组件部署方式 304.4管理运维设计方案 314.4.1平台运维 314.4.1租户运维 334.4.1平台服务商合作运维 34第五章解决方案价值 355.1高安全：提供专业、可靠的服务 355.2高性价比：降低IT建设成本 365.3高效率：业务系统部署速度快 365.4高协同：降低信息共享和业务协同难度 36第一章建设背景1.1云平台背景云计算的兴起，给人们的工作方式以及商业模式带来根本性变化，甚至可能掀起信息技术的第三次“浪潮”。目前，云计算在电信、互联网、IT行业以及金融等方面都扮演着举足轻重的角色。正如业界虚拟化领域的一位资深专家所言：“以前大家对于云计算可谓众说纷纭，都有各自不同的见解和看法，而现在业界已逐渐形成共识：云计算就是下一代运算模式的演变。每家单位都要建立自己的云计算模式，其第一步要做的就是完成内部云或私有云的建制。内部云建制的科技基础就是虚拟化云平台，这也将成为拉动整个虚拟化云平台市场持续走高的成长动力。”b5E2RGbCAP在大企业，虚拟化云平台能帮助单位在业务层面实现弹性架构和资源池化，一方面可以大幅提升存储计算等各种硬件资源的利用效率，另一方面还可明显提升办公、对外服务的开通时间、可用性以及灾难恢复等能力。著名咨询公司Gartner将虚拟化云平台技术列为2009年十大战略技术第一位，而在2010年初发布预测中，更是大胆断言到2012年20%的单位将不再拥有IT资产。尤其在大企业，因为多个内在关联的趋势正在推动大企业逐步减少 IT硬件资产，这些趋势主要是虚拟化云平台、云计算服务、虚拟化的桌面交付等。而虚拟化云平台技术，作为云计算的一个支撑技术，必将成为未来最重要的最值得研究的 IT技术之一。plEanqFDPw1.2云平台建设意义云平台的搭建将有助于IT系统从粗放式、离散化的建设模式向集约化、整体化的可持续发展模式转变，使IT管理服务从各自为政、相互封闭的运作方式向跨部门跨区域的协同互动和资源共享转变。DXDiTa9E3d1、云计算能够降低信息化成本在云环境下，可以将信息技术资源交给专业的第三方云服务商管理，由云服务商提供需要的信息技术基础架构、软硬件资源和信息服务等，各子公司、集团根据按需付费的原则定制需要的信息服务。这带来了两大好处：一是不需要投资建立大量的数据中心和大型机房，购买服务器和存储设备等，从而节省建设费用；二是信息软硬件资源交给专业的云服务商管理，集团不再负担信息系统维护和升级，节省了运维费用。RTgUDGiT2、云计算提高业务系统的部署效率云平台具有较高的灵活性，集团实施新的应用系统时，不必购买额外的软硬件，而是利用已有云基础设施，快速部署系统，提高应用部署速度。开发者在一个平台上构建和部署应用程序，大大提高了信息系统部署效率。5PCzVD7HxA3、 云计算降低信息共享和业务协同难度长期以来，各应用系统普遍存在各自为政、资源分散等问题。尽管信息难以共享的根源在于业务系统机制问题，但云计算能从技术上降低信息共享和业务协同的难度。通过云平台，多个部门/集团子公司可以共用相应的基础架构，实现各业务系统之间的软硬件共享，提高信息共享的效率，扩大信息共享范围；软硬件资源和信息资源的共享将有利于促进各部门内部与部门之间的业务系统的整合，为各部门业务协同创造条件。jLBHrnAILg4、 云计算有助于提高服务效率通过云平台实现软硬件资源所有权与使用权的分离，各子公司将在不拥有软硬件资源的情况下享受信息服务。因此，集团的IT部门能够集中人力物力进行本部门的业务运转，从而减轻行政负担，能有更多的精力专注于面向公众的公共服务，提高效率。同时，在部署了以云计算为技术支撑的云平台以后，后台信息的烟囱式部署方式的壁垒将被打破，从而实现业务数据的统一共享，这对前台服务界面的统一打通有着重要意义，将使得业务系统的统一化不再停留在前台展示层面，而切切实实的实现服务的高效与统一。xHAQX74J0X第二章需求分析集团的云平台一般为专有云架构，专有云平台承担集团内部服务的内容如业务应用系统等，为各分公司、集团子公司的应用系统提供基础设施支撑。LDAYtRyKfE云资源共享专区通过安全隔离措施访问公有云（互联网）、公众服务专区；各子公司需要对互联发布的业务系统应根据服务对象逐步迁移至云平台上，实现集中集约部署。Zzz6ZB2Ltk2.1需求概述 租户侧安从整个云平台整体安全角度来看，我们需要考虑三个方面的设计：云平台安全、

dvzfvkwMIl全、安全运维管理和便捷性。dvzfvkwMIl全、安全运维管理和便捷性。图2.1-2云平台安全需求框架云计算平台和传统计算平台的最大区别在于计算环境，云平台的计算环境比传统意义上的计算环境要更加复杂。对云平台的计算环境的保护也是云平台下信息安全整体保护体系的重中之重。rqynl4ZNXI除了平台的安全问题，租户侧也面临一些安全问题，比如接入环境是否满足安全要求、业务系统是否安全、用户访问或接入业务的安全风险、虚机之间信息交换是否安全、业务系统服务可靠性等需求。EmxvxOtOco整个云平台安全运维也成了一大难题，首先平台本身以及平台中的业务系统的安全现状难以实时监测，因此无法做到有效审计，不能追溯安全问题；其次，对于资源池中的安全服务，如何做到动态灵活的统一管理、智能分配，满足云环境下动态高效的需求；再次，租户业务系统迁入后，如何快速的获得所需的安全配SixE2yXPq5额，实现针对性的策略配置和自主运维。SixE2yXPq5归纳起来，云平台整体安全需求如下图所示:2.2平台侧需求平台屋业务可输;应

用交时/平台昉最[NGFWAritiDDC抿入妄全

2.2平台侧需求平台屋业务可输;应

用交时/平台昉最[NGFWAritiDDC抿入妄全

{SSL/fflM)(运整中心/赛控戟件/运维币计平吕J对于云来说，平台无疑是对外提供服务的基础，无论是建设运营方，还是租户，对于平台自身的可靠性、匕；£攻击安全性都是极为关注的。因此平台层的安全建设需要从平台安全防护，平台的接入安全，以及平台服务可靠访问DDt>S6ewMyirQFL性方面来建设，保ii梓制:平改哑务系统安全可靠运行。6ewMyirQFLL-.2.2.1平台安全需求甫北向网舒全2.2.1平台安全需求甫北向网舒全(wNGFW/vSSL)业扉只业 f运堆中心/垃找件/运

堆附计平咎)平台需要直接连接互联网，.面临着非法接入、网络入侵、黑客马攻击、病毒传播、蠕虫攻击、web应用保管埒 回口左岂 柑户DC护、僵尸木马、.:DDoS攻击等各种安全问题，试并且其底层和其上的系统软件可能存在的安全漏洞将影响到整个币士疔可 1TTFI平台系统的耳网铝脚昌住主评怙者在利用漏洞入侵到平台之后，可以对整个平台内部的资源进行各种破坏，从而导致系统不可用，计■耕全萨失、数据泄露，其潜在的威胁将无法催膏kavU42VRUs分区分域需求在安全设计方案中，我们需要将省级部门的业务通过逻辑安全需•分不同的安全域，首先云平台建设时需考虑将基础设施资源划分为两个独立的区域， 分别为互联网业务区、公用网络区，两个区y6v3ALoS89域间不能直接访问，仅能通过跨网数据交换区进行数据交换。y6v3ALoS89每个等保区域内不同租户应用间通过VLAN/VxLAN网络隔离，租户间通过访问控制设备进行访问控制，禁止非授权访问。M2ub6vSTnP云平台支持虚拟私有云，可以在一个云数据中心里灵活设定多个虚拟私有云，多个私有云之间使用VPN技术或VXLAN技术，达到端到端的隔离效果。oYujCfmUCw防网络病毒需求云平台的核心是计算和数据资源，因此也是网络入侵者最主要的目标。病毒、蠕虫、木马等恶意代码一旦感染云平台系统或应用，就可能在平台内部快速传播，消耗网络资源，劫持平台应用，窃取敏感信息，发送垃圾信息，甚至重定向用户到恶意网页。所以云平台安全建设需要包含检测和清除病毒蠕虫木马等恶意内容的机制。eUts8ZQVRd云应用安全需求云环境的随需部署和动态迁移，使安全策略的部署变得复杂，需要一个灵活动态安全机制来适配虚拟化网络安全防护。因为应用只与虚拟层交互，而与真正的硬件隔离，导致应用层的安全威胁缺乏监管而泛滥，安全管理人员看不到设备背后的安全风险，服务器变得更加不固定和不稳定。sQsAEJkW5T云环境中B/S架构的业务普遍存在，大量的Web业务应用引入各种各样的漏洞，给了入侵者可乘之机。黑客能够利用这些漏洞发起对云应用的攻击，比如 SQL注入、跨站脚本攻击等，进而实现对内部敏感信息监控、窃取、篡改等目的。因此需要有效的设备来识别并防护针对业务系统漏洞的攻击。GMsIasNXkA防止漏洞攻击云平台内部有大量业务服务器，其底层和业务应用系统会不断产生新的安全漏洞，给了入侵者可乘之机。黑客能够利用这些漏洞发起对云平台的攻击，比如mail漏洞、后门漏洞、操作系统漏洞、ftp漏洞、数据库漏洞，实现对网站敏感信息监控、窃取、篡改等目的。因此需要有效的手段来识别并防护针对系统漏洞的攻击。TIrRGchYzg2.1.2接入安全需求云平台接入安全首先要考虑租户的安全接入，租户接入的目的主要是对托管的业务、租赁的服务进行运维管理，因此需要对接入平台的租户身份进行有效的认证，避免非法用户接入带来的危害；而对于普通用户来说，平台内部哪些资源是对其开放的，哪些资源不能访问需要界定；在整个大平台内部，不同的云业务及虚拟私有云之间会有大量的信息交互，因此需要考虑如何保障云间业务的安全互联，避免信息泄露和越权访问。7EqZcWLZNX云间安全互联云平台里面可能包含了多个部门数据中心或虚拟私有云，跨部门或跨级别之间也会进行信息的流转，传统数据中心和云平台系统进行信息交互，这些信息往往涉及到机密等级的问题，应予以严格保密。因此，在信息传递过程中，必须采取适当的加密方法对信息进行加密。基于IPsec的加密方式被广泛采用，其优点显而易见:IPSEC对应用系统透明且具有极强的安全性，同时也易于部署和维护，这对于庞大的云平台来说，显得极有好处。lzq7IGf02E租户安全接入集团子公司（租户）业务系统上线后，面临着用户远程接入访问的问题，不管是运维人员的运维接入，还是集团子公司用户的接入，都是需要慎重考虑接入安全的问题，尤其是使用BYOD接入访问，更应该对其接入进行严格的身份认证和安全核查，同时对用户访问行为进行合理的权限划分，避免安全问题从远端传递过来并在云平台蔓延。zvpgeqJIhk用户访问安全一些集团子公司部门通过云平台对外发布的业务应用，平台用户可以直接使用互联网进行访问，用户能够访问的资源，需要靠访问控制的安全策略来核查，避免非授权的数据泄漏问题。NrpoJac3v1访问控制系统的安全目标是将云计算中心与不可信任域进行有效地隔离与访问授权。访问控制系统应根据各业务的安全级别要求和全网安全策略控制出入网络的信息流，并且系统本身具有较强的抗攻击能力。1nowfTG4KI访问控制系统由防火墙系统组成，防火墙在网络入口点根据设定的安全规则，检查经过的通信流量，在保护内部网络安全的前提下，对两个或多个网络之间传输的数据包和联接方式按照一定的安全策略进行检查，来决定网络之间的通信是否被允许。fjnFLDa5Zo2.1.3业务可靠需求云平台需要保障服务可靠性，一旦出现中断将造成重大损失，并且影响集团形象。服务中断来源于俩方面：一方面因为攻击造成拒绝对外提供服务，这种情况下服务器或带宽资源被消耗完，导致无法处理后续服务；另一方面是因为服务器故障停止对外服务、出口链路中断、数据中心切换等问题带来的服务软中断；此外，灾难、电力供应等不可抗拒性也会导致服务中断，此类事件一旦发生，便会造成数据中心毁灭性的破坏。同时会对租户的公信力产生非常不利的影响。不可抗拒性的中断建议采用冗余数据中心的方式来解决。而云平台内部，每套业务系统都会有多个服务器（虚机）来承担服务，出口网络也会选用多家Internet服务，因此使用服务器负载、链路负载设备就能解决软中断问题。tfnNhnE6e5防止拒绝服务云平台上托管着大量的面向互联网的服务，往往会成为