華為云|云計算系統(tǒng)面臨的安全挑戰(zhàn)和解決方案

面臨挑戰(zhàn)

云計算系統(tǒng)的計算資源使用方式和管理方式的變化，帶來了新的安全風險和威脅。

對管理員而言主要存在以下風險和威脅：

·虛擬管理層成為新的高危區(qū)域

云計算系統(tǒng)通過虛擬化技術為大量用戶提供計算資源，虛擬管理層成為新增的高危區(qū)域。

·惡意用戶難以被追蹤和隔離

資源按需自助分配使得惡意用戶更易于在云計算系統(tǒng)中發(fā)起惡意攻擊，并且難以對惡意用戶進行追蹤和隔離。

·云計算的開放性使云計算系統(tǒng)更容易受到外部攻擊

用戶通過網絡接入云計算系統(tǒng)，開放的接口使得云計算系統(tǒng)更易于受到來自外部網絡的攻擊。

對最終用戶而言主要存在以下風險和威脅：

·數(shù)據(jù)存放在云端無法控制的風險

計算資源和數(shù)據(jù)完全由云計算服務提供商控制和管理，帶來的風險包括提供商管理員非法侵入用戶系統(tǒng)的風險。

釋放計算資源或存儲空間后，數(shù)據(jù)能否完全銷毀的風險。

數(shù)據(jù)處理存在法律、法規(guī)遵從風險。

·資源多租戶共享帶來的數(shù)據(jù)泄漏與攻擊風險

多租戶共享計算資源，帶來的風險包括由于隔離措施不當造成的用戶數(shù)據(jù)泄漏風險。

遭受處在相同物理環(huán)境下的惡意用戶攻擊的風險。

·網絡接口開放性的安全風險

云計算環(huán)境下，用戶通過網絡操作和管理計算資源，鑒于網絡接口的開放性，帶來的風險也隨之升高。

安全架構

根據(jù)云計算面臨的威脅與挑戰(zhàn)，華為提供華為云Stack安全解決方案。華為云Stack的基礎設施層是基于FusionSphere云操作系統(tǒng)及其配套的管理系統(tǒng)ManageOne的整體解決方案，F(xiàn)usionSphere把實際的物理資源抽象成虛擬化資源，包括計算虛擬化、存儲虛擬化和網絡虛擬化，形成一個虛擬化資源池。ManageOne是虛擬化平臺的管理系統(tǒng)，可管理異構的不同虛擬化平臺，提供數(shù)據(jù)中心的運營和運維，統(tǒng)一對外呈現(xiàn)資源和管理界面。

·云基礎設施安全，是指云操作系統(tǒng)和Hypervisor安全，包括虛擬資源隔離、數(shù)據(jù)存儲安全、網絡傳輸安全等方面。

·數(shù)據(jù)存儲安全

從隔離用戶數(shù)據(jù)、控制數(shù)據(jù)訪問、保護剩余信息、備份數(shù)據(jù)等方面保證用戶數(shù)據(jù)的安全和完整性。

·虛擬機隔離

實現(xiàn)同一物理機上不同虛擬機之間的資源隔離，避免虛擬機之間的數(shù)據(jù)竊取或惡意攻擊，保證虛擬機的資源使用不受周邊虛擬機的影響。終端用戶使用虛擬機時，僅能訪問屬于自己的虛擬機的資源（如硬件、軟件和數(shù)據(jù)），不能訪問其他虛擬機的資源，保證虛擬機隔離安全。

·網絡傳輸安全

通過網絡平面隔離、引入防火墻、傳輸加密等手段，保證業(yè)務運行和維護安全。

運維/運營管理安全

從帳號密碼、用戶權限、日志、傳輸安全等方面增強日常運維管理方面的安全措施。

此外，系統(tǒng)還通過修復Web應用漏洞、對操作系統(tǒng)和數(shù)據(jù)庫進行加固、安裝安全補丁和防病毒軟件等手段保證各管理類主機的安全。

·云服務安全和安全即服務

提供租戶執(zhí)行特定安全任務所需的所有資源、功能和性能，而租戶按需對各項租戶可控資源進行安全配置、查詢和監(jiān)控。

安全價值

·統(tǒng)一全面的安全策略

計算資源集中管理使得邊界防護更易于部署。針對計算資源提供全面的安全策略、統(tǒng)一數(shù)據(jù)管理、安全補丁管理、以及突發(fā)事件管理等安全管理措施。對用戶而言，意味著能夠有專業(yè)的安全專家團隊對其資源和數(shù)據(jù)進行安全保護。

·安全措施低成本

多個用戶共享云計算系統(tǒng)的計算資源，在集中的資源上統(tǒng)一應用安全措施，降低各用戶的安全措施的平均成本，即更低的投資會給用戶帶來同樣安全的保護措施。

·按需提供安全防護

利用快速、彈性分配資源的優(yōu)勢，安全也作為服務的形式向用戶提供，支持用戶按需使用；同時使得云計算系統(tǒng)的計算資源的使用效率更高。

·增強防護能力

通常在數(shù)據(jù)中心中，將其網絡流量分為兩種類型：

基于固定物理邊界的安全防護，只解決了南北向流量的安全防護問題，這種傳統(tǒng)的安全解決方案對于東西向流量的安全防護，基本上是無能為力的。而通過SDN或者基于主機側的安全防護措施可以有效應對東西向流量的安全問題，從而提高整個數(shù)據(jù)中心的安全防護能力。

一種是數(shù)據(jù)中心外部用戶和內部服務器之間交互的流量，這樣的流量稱作南北向流量或者縱向流量。

另外一種就是數(shù)據(jù)中心內部服務器之間交互的流量，也叫東西向流量或者橫向流量。東西向流量既包括同一租戶、同一子網內虛擬機之間的流量；也包括同一租戶，不同子網間的流量；當然還可能是不同租戶之間的通信流量。

·責任共擔，各司其職

基于云數(shù)據(jù)中心的客戶應用，其安全責任由平臺側和租戶側兩方共同承擔，平臺側確保云服務平臺的安全性，客戶負責基于云服務構建的應用系統(tǒng)的安全：

云平臺負責物理基礎設施、云操作系統(tǒng)及云服務產品安全，并為客戶提供保護云端應用及數(shù)據(jù)的技術手段。

云平臺自身的安全保障包含硬件、軟件、網絡安全，如系統(tǒng)和數(shù)據(jù)庫補丁管理、漏洞修復、網絡訪問控制、災備等，也包括配置第三方監(jiān)管與審計機構對云平臺進行合規(guī)審計評估。為客戶提供技術手段包括認證授權IAM、各項基礎服務（內置的安全功能）和安全服務、安全審計手段，也包括通過第三方安全廠商為客戶提供行業(yè)安全解決方案。

租戶的主要責任是在云基礎設施與服務之上構建自己的云應用系統(tǒng)，合理運用云服務產品的安全功能、安全服務以及第三方安全產品保護自己的業(yè)務系統(tǒng)。例如利用IAM對用戶身份的有效管理，利用日志對操作進行審計，利用ECS和VPC對虛擬機進行管理和安全配置，保障運維運營安全；對另外一些應用，例如云數(shù)據(jù)庫（RDS）、大數(shù)據(jù)服務、微服務，客戶不需要關心如何維護實例，也不需要關心操作系統(tǒng)、數(shù)據(jù)庫的補丁升級、配置加固，只需要管理這些服務的帳號及授權，并使用這些服務提供的安全功能。