2021基于多个超融合平台的网络安全技术规范

基于多个超融合平台的网络安全技术规范PAGE\*ROMANPAGE\*ROMANII目 次范围 1规范性引用文件 1术语、定义和缩略语 1功能要求 1基本数据项 2试验方法 5PAGEPAGE3基于多个超融合平台的网络安全标准范围融合数据层、网络层、虚拟资源组件安全、安全监控、安全审计等能力技术规范。本标准适用于超融合系统的研发和部署设计，以及应用中的网络安全管理。规范性引用文件件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T32400-2015《信息技术云计算概览与词汇》GB/T37939-2019《信息安全技术网络存储安全技术要求》术语、定义和缩略语GB/T32400-2015GB/T37939-2019超融合系统成能力的不同，可以划分为基础级、增强级。功能要求基础级超融合网络安全安全、监控安全、审计安全等功能。增强级超融合网络安全更严格。基本数据项管理安全超融合管理安全指标应满足表1的要求。表1管理安全指标一级指标二级指标指标说明基础版增强版管理安全物理环境安全应标记并划分特定区域定向管理超融合设施√√应支持硬件发生变更时提示的能力√√应支持硬件物理损坏情况下高可用、容灾及数据恢复的能力√√管理平台应支持平台真伪鉴别的能力√√应支持管理平台WEB访问连接安全的能力√√应支持2种以上多因子身份鉴别、访问控制√√应支持最小化安装原则、且能禁用无用组件功能√√管理业务应支持客户业务可持续性保护措施、全面保护客户业务的能力√√应支持各用户、业务、数据的隔离，不可互访的能力√√应支持应用粒度访问控制的能力√管理人员应支持专人专岗，服务器、数据库、应用程序分权独立管理的能力；跨岗位协同需2人以上分权操作。√√2力√√管理制度应制定总体安全目标、范围、原则、安全框架√√应定期对管理人员进行安全防护、防社工知识培训√√应定期对安全防护措施、安全管理制度进行论证、优化、更新、发布√√应建立岗位责任具体到人的负责制√√系统内核层安全超融合系统内核层应具有自身系统内核的安全自检、自修复能力，指标应满足表2的要求。表2系统内核层安全指标一级指标二级指标指标说明基础版增强版系统内核层底层内核系统安全应支持底层系统完整性破坏、缺失检测的功能，且能更新或恢复初始的能力√√应支持操作系统包括但不限于LINUX、WINDOWS、第三方等系统底层内核的安全更新漏洞修复能力√√Hypervisor（计算虚拟化软件）应支持虚拟软件包括但不限于Hyper-v、KVM、Vmware、CtrixXen等第三方计算虚拟化软件安全更新√√应支持当前虚拟软件官方漏洞公布与即时修复的能力√√ServerSAN（分布式存储软件）ServerSANCephSwift、VSANNutanixEMCFusionCubeXenUIS新能力√√应支持CVE（CommonVulnerabilitiesandExposures，通用漏洞与披露官网同步响应更新的能力√√0day应支持操作系统平台、虚拟组件等安全漏洞修补更新的能力：包括操作系统漏洞、虚拟系统漏洞、应用系统漏洞、管理平台漏洞等√√超融合数据层安全超融合数据层安全指标应满足表3的要求。表3超融合数据层安全指标一级指标二级指标指标说明（定量、定性指标）基础版增强版超融合数据层计算数据应支持数据计算交互过程中的保密性、完整性能力，以及闪存数据的防护能力√√传输数据应支持数据传输过程中的保密性、防窃听、以及遭受侦听、嗅探时不可直接重组，重现完整数据的能力√√8K1000050000400M；256KIOPS;读不少于2千IPOS，带宽不少于200M√√存储数据应支持存储数据的保密性与完整性能力√√应防止数据被非授权的外部挂载行为时，防泄密的能力√√数据副本、CDP业务快速备份与恢复222方式√√应支持数据副本同步或异步备份且可快速恢复√√可支持秒级CDP持续业务保护功能√残余数据保护应支持虚拟资源CPU、内存、存储、虚机、网络、镜像、快照、备份、迁移、等释放空间等资源回收时完全清除残留的能力√√超融合网络层安全超融合网络层应具有自身系统网络边界、访问控制、网络风暴、入侵等网络攻击有效进行侦测与防护等功能，指标应满足表4的要求。表4超融合网络层安全指标一级指标二级指标指标说明基础版增强版网络层网络隔离、网络边界应支持逻辑隔离，细颗粒的SuperPVLAN的能力√√应支持内部用户或虚拟资源非授权外联网络行为的定位、限制、阻断的能力√√访问控制应支持角色最小权限划分，以及清晰的权限分离√√应支持按自定义方式的内容级粒度访问控制√应支持敏感信息与数据的安全标记，并可控制访问√√网络质量、网络风暴应支持QOS功能，防止网络蠕虫、病毒DDOS、网络风暴的能力√√应支持最大流量与最大连接数的限制能力√√网络攻击防护可支持IDSIPS入侵分析、检测与防护能力√应支持密码机、远控、诱探、社工、木马防护能力√√虚拟化内核防病毒可支持底层嵌入查毒能力，包括不仅限于可支持从虚拟内核磁盘IO、网络报文、应用交互等底层内核级的查毒能力；√资源组件安全超融合资源组件安全指标应满足表5的要求。表5资源组建安全指标一级指标二级指标指标说明基础版增强版虚拟资源组件安全组件完整性检测与恢复应支持各个虚拟组件完整性与异常自检测功能：包含计算、存储、网络等组件√√应支持虚拟组件基线完整性比对，及组件破坏缺失恢复功能√√组件资源安全访问应支持用户之间及与管理员的存储空间与资源的安全隔离，非授权不可互访√√应支持组件资源迁移过程机密与完整性保护能力√√监控安全超融合监控安全指标应满足表6的要求。表6监控安全一级指标二级指标指标说明基础版增强版安全监控监控范围应支持各类型的范围监控:包括资源、管理平台、技术、人员行为等√√监控反馈应支持至少2种以上的监控反馈方式：短信、应用、邮件、报警音等√√监控联动应支持按严重、中等、一般等分级，且能可视化展示监控结果的能力√√可支持自定义事件发生时，策略联动的能力√审计安全审计安全指标应满足表7的要求。表7审计安全指标一级指标二级指标指标说明基础版增强版安全审计审计范围应支持多种类型的审计范围:包含事件、用户、事件类型、事件进行的状态等√√审计策略应支持应用级粒度的自定义审计策略√√应支持增、减、删、读、写、执行等敏感操作的自定义审计；包括访问、行为、系统日志审计√√审计数据自身安全应支持保护审计进程或功能正常，避免中断的能力√√应支持保护审计数据的独立完整性，避免破坏，定期的备份的能力√√应支持保护审计记录留存时间符合法律要求的能力√√试验方法管理安全5.1生的故障情况下模拟测试环境。最后按正常操作读写其数据，以测试其完整与正常读写功能。管理平台、管理业务中的平台真伪识别、WEBSSL系统内核层安全应按以下方法检查当前内核版本是否最新:a)采用命令查看内核版本cat/proc/version或uname–ab)lsb_release–acat/etc/issuec)Windowssysteminfo按需要采用内核升级指令，保持与发行版本的即时更新。针对计算虚拟化软件分布式存储软件0daykernel级工具与升级方式保持其最新，且在厂商官网，以及第三方CVE（CommonVulnerabilitiesand超融合数据层安全sniffer、wireshark存储数据采用拔盘外挂载第三方机器上，尝试直接读取其数据、或重组其数据的可能性。数据副本、CDP31试其完整与正常读写功能。6.3.3Iometer,FIO3100G，此操作仅为测试前常规操作，不作为测试结果值。再开始正式测试。8K256K（小文件与大文件）28K1IOPS5IOPS400M；256K800IOPS2IPOS200M。超融合网络层安全2honeydexplorerIP80212223TCPUDPTTLsniffer、wiresharkQOS采用PING网络攻击防护采用DDOSCC工具向目标IP发包，模拟DDOS风暴、空连、小包、半连接等攻击行为时，能记录并阻断单点超限连接数的功能；采用远程登陆程序，连续3次输入错误密码方式模拟暴力猜解、入侵分析、远控、等