政务云安全建设方案

政务云安全建设方案 1 1 1 2 2 2 3 3 3 5 7 8 27 39 94 1形态，是经济发展新常态下的新引擎，对于推务信息资源共享管理暂行办法》和市委、市政信息系统整体部署、数据资源汇聚共享、业务开发利用，为政府管理和公共服务提供有力支台和应用的共建共享，降低建设运维成本，提2务云平台提供可信的基础安全，并为租户提供32.1传统安全风险44.破坏数据的完整性：以非法手段窃得对化的发展，信息平台中的数据也成为信息安全破坏，而这些将带来巨大的损失，因此如何保58.来自内部人员的威胁：如果内部员工的计算机与Internet相连，其机器遭到黑客的攻击，黑客就可以再利用它作为跳板，攻击重要来自于内部员工（或者内外勾结）的破坏行为，往往对整个系较网络外部更容易直接通过局域网连接到核心服务器等关键设备，尤其是管理员拥有一定的权限可以轻而易举地对内网进行破坏，造成严重后果。另外一方面是由于内部人员的误操作，或者为了贪图方便绕过安全系统等违规的操作从安全管理比较薄弱：随着网络安全事件的频繁发生，各类信息化纷纷加强投入信息安全方面的建设，越来越多的各项安全技术、产品使用，但目前许多用户在安全管理方面比较薄弱。在技术上缺乏完善理平台，对所有的安全系统进行统一协调的管理，将它们融合为一个在管理上缺乏良好的安全管理体制和策略，包括制度的不完善、机构略不统一等都需要提高，而这些直接导致了整个安全体系的华而不实2.2云上特有的安全风险在云架构下，如何建立层次型的防护策略，如何保护共享虚拟化必须采用有效措施防止外部入侵和内部用户滥用权限；在信息安全保现时仍需满足国家网络安全等级保护政策要求，同时需要解决网络安云计算平台引入了虚拟化技术，实现数据资源、服务资源、平台6共享，计算、网络、存储等三类资源是云计算拟化环境下的云平台建设中需重点考虑的环节储和集中管理，必须采用有效措施防止外部入安全保障体系实现时仍需满足国家信息安全等共享，计算、网络、存储等三类资源是云计算安全建设的重要指标，传统的密码技术、边界78划、设计和实施。需协调好各相关部门，以及设云平台，而建设计划是需要先行一步制定好析平台进行进一步分类的基础。在信息安全方9面带来的安全风险，如火灾、温湿度、电力故的风险；同时，网络内的流量可能承载着恶意网络边界漂移模糊，多租户访问控制隔离等风险理职责发生了变化，失去了对基础设施和应用政务云系统的管理层面发生了变化，市电子政还需要制定适合云平台系统复杂环境的安全制平台建设完成后，将引入各级单位的应用系统维人员、审计监控以及应急响应等都发生了职(1)运维职权不明风险设施的各类应用由各租户的相关人员进行运维(2)运维流程不明风险(3)虚拟资源运维审计监控风险(4)突发事件风险(5)环境与资产风险(6)操作与运维风险(7)业务连续性风险(8)监督和检查风险云计算平台，为了保障如此复杂的系统，需要许程。这些过程是否符合法律、符合标准，在发生跟踪事故，并快速解除故障。这些都需要进行监(9)第三方服务风险业务迁入，差距分析，安全加固，渗透测试等。但是这些工作都过于专业2.3安全需求分析但在政务云数据中心内，东西向流量越来越不同责任主体边界需要具备对应安全防护能力数据中心及物商商物理网络及附商商云服务客户虚云服务客户商商物理网络及附商商云服务客户虚云服务客户商商物理网络及附理宿主机及附等商务商云服务客户虚云服务客户商务商商务商云服务客户应用系统及相关云服务客户务商云服务客户应服务客户业务云服务客户务商务商云服务客户业务云服务客户务云平台侧能力需求3.1设计原则解为信息安全问题的全部是片面的，仅仅通过的信息安全问题，因此必须要把技术措施和管循动态性原则。必须适应不断发展的信息技术云计算模式通过安全厂商采购适度的安全服务在可用性的前提条件下充分保证系统建设的经3.2设计思路全资源池进行防护，东西向通过云平台数据引将云计算技术应用于安全领域，通过对网络3.3总体安全防护架构3.4总体网络拓扑设计4.1安全通信网络设计指同一系统内有相同或相似的安全保护需求，安全访问控制和边界控制策略的子网或网络，在政务外网接入区边界串联部署抗DDOS、IPS、下网关等安全产品，提供流量清洗与抗拒绝服务篡改系统实现网站系统的完整性防护；在虚拟化服务区部分布式防火墙以实现主机间的为微隔离；针对在互联网接入区边界串联部署抗DDOS、IP关等安全产品，提供流量清洗与抗拒绝服务攻码防范等网络安全功能，且均采用双机热备部篡改系统实现网站系统的完整性防护；在虚拟化服务区部病毒服务器、终端安全管理服务器、集中漏洞安全审计平台、网站监控、态势感知平台等。.1.1系统部署在政务外网/互联网接入区双机模式部署负载均衡.1.2功能及策略.1.3实现效果安全通构.2.1系统部署VPCVPC逻辑视图SubnetVMvRouterSubnetVM.2.2功能及策略•提供链路、应用和虚拟服务健康检查，保证将客户请求.2.3实现效果安全通构经或即将构建网上办公系统和业务应用系统，速地获取信息，使移动办公等多种远程办公模位人员也能够访问到相应的信息资源。可是要信息资源的便利，就面临着非法访问、信息窃的安全威胁。而我们目前所使用的操作系统、存在着不少的安全漏洞。因此，在构建和应用“云”为连接的纽带，实现用户快速、稳定的安全接入，传输过程中的加密防及数据传输过程的安全，并且可根据不同人员术实现端到端组网，在互联网建立专线网络，各色及权限的统一管理，实现不同角色访问不同通过对接入过程进行安全审计，实时掌握接入接入，政务云及其下属各级机构的终端用户采用访问，同时配合本项目软件开发部分开发的系统通安全通安全计输A.应采用校验技术或密码技术保证重要A.应采用密码技术保证重要数据在传网可能被人劫持、利用、篡改，同时如果在公通信传输A.应采用校验技术或密码技术保证通4.2安全区域边界设计2.802.1X准入控制实现终端合规性检查，部署方便快捷。在接入层对每个接入会强制用户访问特定的网页，通过特定网页进行认证，只有4.网络访问控制B.应能够对非授权设备私自联到内部护范安全区安全计会话结束后终止网络连接；限制网络最大流量核心交换机上，通过端口镜像技术，将所有网络类的数据包送到独立的IDS系环境的安全性，有效防范非法的访问。采用防目的地址、通信协议、端口、流量、用户、通通安全区区域边界构护制A.应在网络边界或区域之间根据访问VPCVPC逻辑视图vFWSubnetVMvRouterSubnetVM安全区安全区区域边界构护制D.应能根据会话状态信息为进出数据流构制分）；器不受攻击。除受控通道的基本安全支持外，FTP协议还可对使用FTP通4.文件同步功能：网闸的文件同步功能能•支持操作时间限制，设定特定时间类别通构安全区区域边界护A.应在网络边界或区域之间根据访问制使网络拥塞，造成网络丢包、时延增大，严重击的服务器拒绝提供服务。因此需要部署专业类类别A.A.应在关键网络节点处检测、防止或分御范通VPCVPC逻辑视图vDDOSvRouterSubnetSubnetVMVMvDDOS抗拒绝服务攻击类类别范A.应在关键网络节点处检测、防止或安全资源池分御击行为：端口扫描、强力攻击、木马后门攻击术，误用检测技术，协议异常检测，可有效防止3、审计、查询策略：入侵防护系统能够完整记录多种应用协议（HTTP、攻击目标、攻击时间等信息，并按照相应的协议格式进行者的攻击过程，重现内部网络资源滥用时泄漏的保密信息在检测的各个部分使用合适的检测方式，采取边界防护系统部署效果：通过在网站发布服务通类别安全区安全区安全计范范御C.应采取技术措施对网络行为进行分A.应在关键网络节点处对恶意代码进A.应能够检测到对重要节点进行入侵VPCVPC逻辑视图vIPSSubnetVMvRouterSubnetVMvIPS安全区安全区安全计范范C.应采取技术措施对网络行为进行分A.应在关键网络节点处对恶意代码进A.应能够检测到对重要节点进行入侵别别御算扩1.全面精准的僵尸木马识别能力:特征库是根据木马的生存特点而专门研发的，入挖掘网络流量中协议和文件特征，在木马植2.强大的木马文件传播检测功能:•基于内容特征串检测:提取文件的内容特征，并采用多模的匹•采用对应用协议交互过程进行智能分析，而非简单依据服务端口的•使用户很容易判断网络中的各种木马攻击的行为,准确的检测出网类类别安区域边C.应采取技术措施对网络行为进行分全界范通用部分安全计范A.应能够检测到对重要节点进行入侵络流量和协议还原，然后通过对数据进行通信胁，而使用大数据的分析方法对各种不同应用配来发现木马的网络通行行为，就能够发现被业务系统进行统计管理，并将重要资产与告警性的检测与分析。让用户直观了解到威胁感染的软件应用，虚拟出来的运行环境能够模拟正用程序的执行以及恶意文件中攻击代码的执行监视并记录下来，从而可获悉攻击事件的内容注册表操作、文件操作、漏洞利用方式、API调用序列、网络行为、进程线程操作、其它危害系统的行为、恶意文件所含PE文件的详细行为报告等，并根类类别安全C.应采取技术措施对网络行为进行分通区域边用界范部分.1.1系统部署.1.2功能及策略.1.3实现效果C.应根据云服务商和云服务客户的职分集中管控集中管控.2.1系统部署采集agent.2.2功能及策略.2.3实现效果C.应根据云服务商和云服务客户的职分集中管控集中管控作为起点并在其中间任意游走，支持多维度的Drill-Down分析，2.提供高性能的网络数据存储回溯分析。系统具备长时间、大容量的3.提供对网络运行态势的实时感知。全方位感知网络运行态势，实时4.实时掌握网络流量的全局状况。实时监测、图形展示、动态刷新当5.提供对业务性能的全方位监控。提供对业务性能的全方位监控。对各类业务（包括web、DNS、视频、流媒体、FTP、数据库、邮件、内部生6.提供对故障处理的全周期管理。做到实时对网络、用户和业务故障界范安全通范病毒网关政务外网/互联网接入区平台侧流杀毒入网络的来自互联网和内部网络的数据包，对外，防火墙也支持对移动代码如Vbscript、JAVAscript、ActiveX、Applet界恶意代码和垃圾邮件入侵防范入侵防御A.应在关键网络节点处对恶意代码进A.应能够检测到对重要节点进行入侵VPCVPC逻辑视图v病毒网关vRouterSubnetSubnetVMVM2.快速扫描与深度扫描双引擎设计，能够根据应用层协议或场景自动选部分类别算扩区域边界安全计范入侵防御A.应在关键网络节点处对恶意代码进A.应能够检测到对重要节点进行入侵4.3安全计算环境设计务虚机，实现统一策略下发，态势展现功能；集中安全管理中心区模块，可以实现虚机单位透明方式获取流量，2.分布式部署弹性可扩展:安全服务虚机分布式部署在每台服务器上，通3.L2-L7全威胁防护:一般云平台在虚机间只有ACL访问控制功能，络构扩络构扩展范A.应保证当虚拟机迁移时，访问控制制御安全资源池9.策略管理：对目标数据库服务器资产的添加、授权、策略制定、告类别安全计制安全区域边通界护用A.应在网络边界或区域之间根据访问部制分A.应在网络边界或区域之间根据访问D.应能根据会话状态信息为进出数据流制护制安全计区域边界范应提供数据有效性检验功能，保证通类别部分范进行网页文件请求，防篡改模块会开始工作，对访问网对网页的篡改及删除等操作进行拦截，并且产生网页防篡改VPCVPC逻辑视图vRouter安全资源池V防篡改管理端（含发布agent）SubnetVMagentSubnetVM安全通安全计算管理端安装在安全资源池中，客主机杀毒、防火针对未知恶意威胁具有行为评分能力，智能识判断。支持注册表病毒、内存或服务类病毒的查杀，提高终端安全防护等云计算扩展部分范制恶意代户、平台服务方等角色与政务云平台内部各种资源，如：存储，VPC,安全资防火墙策略用于控制用户不能直接访问应用系统1.账号管理：集中身份管理系统拥有强大的账号管理功2.集中授权：授权系统提供统一的界面，来对政务云主账号、行为和资源进身份鉴别安全审计系统管理A.应对登录的用户进行身份标识和鉴审计管理安全管理安全审计A.应对云服务商和云服务客户在远程B.应保证云服务商对云服务客户系统采集agent护措施及故障恢复计划等对系统的各种操作，对一些敏感操作进行记录、对用户的行为进行C.应根据云服务商和云服务客户的职分集中管控集中管控C.应根据云服务商和云服务客户的职安全资源池安全资源池分集中管控集中管控区域业务提供防护功能。部署在政务云中传统池中的虚拟化数据防泄漏行防护，通过进出网2.正则表达式检测“正则表达式”检测方法有助于匹配和排除没有系统提供的数据标识符的唯一3.数据标识符检测4.非结构化数据指纹检测键特征，将待检测的文档指纹特征与受保护的5.结构化数据指纹检测6.机器学习特征提取与检测范安全资源池-虚范1.脱敏源数据：数据脱敏系统通过数据库接口、文件接口、FTP接口等据敏感信息进行规则定义，包括分析、验证、业务对象配置、关联性配置通过数据脱敏系统生产相应的测试数据并提供类类别安全A.应仅采集和保存业务必需的用户个通用部分份存储系统支持文件、操作系统以及数据库备份；全面支持据丢失时，可利用已备份至备份一体机中的数机数据备署，我们通过安全资源池为租户业务提供差异化的安全能力，安全能力包括：毒等。云服务提供商通过安全资源池为政务云业务/一配置，策略下发。同时可对安全资源中的安及报表管理功能。管控平台中的安全策略下发台（如华为、浪潮、cloudstack等）进行对接，以便接口，实现“一个平台”的概念，租户用户登便利的同事，大数据安全与隐私如何保障成为区部署大数据安全管控平台，实现政务云平台碎片化的数据加工通过数据抽取、批处理后，台分布式存储、分布式计算框架等机制进行大务在提供便利的同时在使用过程中，大数据的账号进行管理。明确定义组织角色，大数据安全管控平台提供从用户对大数据平台访问的单点认证服务，实现据平台的访问安全性。并且提供大数据平台中认证。大数据平台默认支持Kerberos认证，大数据平台所有组件应开启防止未授权人员或不合规授权人员对数据的访据进行数据识别、分类分级，并嵌入安全标签大数据安全管控平台中的数据资产管理库，数据梳理能力，当特定级别的数据被访问时，可大数据平台中的敏感数据进行标记，标记的维成，在HBase组件中，存储位置由HBase数据库服务地址、表、列族、列构成。权限的不同，返回不同的数据。并且动态脱敏自动发现要脱敏的数据，并且内置大量的脱敏别附录大数据应用场景台台m.应跟踪和记录数据采集、处理、分析和挖掘等过4.4安全管理中心设计统一入口进行登录。政务云中运维审计覆盖平议的数据流进行全程记录，再通过协议数据流A.应对登录的用户进行身份标识和鉴身份鉴别安全计安全审计安全管系统管理审计管理安全管理A.应对云服务商和云服务客户在远程管议的数据流进行全程记录，再通过协议数据流安全管系统管理审计管理安全管理A.应对云服务商和云服务客户在远程管分用漏洞、威胁、基线配置脆弱性，错误配置、弱中心，将单点漏洞转化为全局漏洞感知，同时通进而实现全生命周期漏洞管理。满足政务云平台基线配置核查态势感知漏洞治理运维运营基线配置核查态势感知漏洞治理运维运营.2.2虚拟化漏扫VPCVPC逻辑视图v漏扫vRouterSubnetVMSubnetVM化扫描装置，与管理端组件网络可达即可工作基线配置核查态势感知漏洞治理运维运营VPCVPC逻辑视图v基线vRouterSubnetVMSubnetVM立的虚拟化扫描装置，与管理端组件网络可达即脆弱性多维分析脆弱性多维分析安全对象管理扫描器管理脆弱性管理知识库管理系统管理内部脆弱性信息外部威胁情报系统漏扫Web1.综合展示政务云平台内部的脆弱性风险概况和脆弱性情况、全网漏洞治理情况、漏洞整改情况展6.多厂商、扫描器系统工作协调工作：系统不仅可以与漏扫和基线核查设备8.基于项目的脆弱性检查、整改闭环：系统内置的可视化流程系统会实时监入侵防范审核和漏洞和风险管理A.应采取必要的措施识别安全漏洞和服务管理模块服务上架服务下架服务信息查看服务订购查看系统配置模块信息配置服务统计服务报表订单统计用户管理模块用户查看用户服务查看运维管理模块统计数据模块资产管理模块传统网络一般使用单点手动查看用户再对选复杂的云环境中已经无法继续使用，通过用户传统网络环境安全防护目标固定，防御复杂集中展示视图任务展示视图管理展示视图可视化建模管理组件库管理任务管理采集管理汇入管理数据表管理知识库管理用户授权管理平台智能管理过程分析功能流式分析功能元数据存储分布式存储分布式计算数据仓库分布式查询元数据存储数据归并数据过滤数据归一化数据采集n数据归并数据过滤数据归一化数据采集n1数据采集采集网络环境中的业务系统、网络设备、安全包括网络流量数据、设备或系统日志数据。其行清点管理，对各个业务系统的资产组成关系事件，实现原理是为安全事件涉及到的系统运行发生时系统运行状态跟历史数据之间的变化关系及的系统及资产多种指标项，包括的系统指标项访问量指标、系统访问新来源指标、系统用户变标、系统用户操作日志类型指标等，包括的资产件进行匹配，根据匹配结果产生安全监控响应型令型型型洞型击络控构和服务器等的运行状况进行集中监测；D.应对分散在各个设备上的审计数据D.应具有根据云服务客户业务需求自主A.应能对物理资源和虚拟资源按照策略控的形势展现在线服务的业务访问情况。通过对在的威胁，起到追根索源的目的，并且记录服存功能，可确保平台接收到所有数据，并对传输置过滤和聚合功能可以消除无关数据，并且合并存容量的扩展；硬件配置的升级不会引起软件境安全审计安全审计集中管控D.应对分散在各个设备上的审计数据v日志审计v日志审计存功能，可确保平台接收到所有数据，并对传