第二十三章 云计算安全需求分析与安全保护
23.1 云计算安全概念与威胁分析
23.1.1 云计算服务类型
23.1.2 云计算四大特征
IT资源以服务的形式提供
多租户共享IT资源
IT资源按需定制与按用付费
IT资源可伸缩性部署
23.1.3 云计算四种部署模式
云计算四种部署模式：私有云、社区云、公有云和混合云。
私有云：云计算设施为某个特定组织单独运营云服务，可能由组织自身或委托第三方进行管理；
公有云：云计算设施被某一组织拥有并进行云服务商业化，对社会公众、组织提供服务；
·社区云：云计算设施由多个组织共享，用于支持某个特定的社区团体，可能由组织自身或委托第三方进行管理；
·混合云：云计算设施由两个或多个云实体（公有云、私有云、社区云）构成，绑定在一起，该技术使数据和应用程序具备可移植性。
23.1.4 云计算安全分析
按照“端-管-云”的安全威胁分析方法，对云计算的安全威胁进行分析。
1.云端安全威胁。云终端是用户使用云计算服务的终端设备，云终端的安全性直接影响云服务的安全体验。云终端用户在使用云计算服务的过程中，云用户设置弱的口令，导致云用户的账号被劫，或者黑客攻击终端平台，假冒云用户。云终端设备存在安全漏洞，导致黑客入侵终端等。
2.云“管”安全威胁。网络是云计算平台连接云用户的管道，云计算平台通过网络把云服务传递到云用户。网络通信过程中，网络可能面临的安全威胁有网络监听、网络数据泄露、中间人攻击、拒绝服务等，从而导致云计算平台出现安全问题。
3.云计算平台安全威胁。
(1)云计算平台物理安全威胁。云计算促进了各种资源的集中化，极易形成物理环境单点安全高风险。
(2)云计算平台服务安全威胁。云计算平台提供的服务对用户来说是透明的，但云用户无法掌握技术细节、基础设施的配置情况、系统管理方式等具体情况。云计算平台服务的安全性依赖于云服务商的安全管理及维护。
(3)云平台资源滥用安全威胁。攻击者利用云服务平台的虚拟主机漏洞，非法入侵云平台的虚拟主机，构造僵尸网络，发动拒绝服务攻击。针对云平台存储服务安全管理缺陷，利用云存储保存网络犯罪信息。
(4)云计算平台运维及内部安全威胁。云提供商内部工作人员违反安全规定或误操作，导致数据丢失和泄露、云计算平台服务非正常关闭等安全事件时有发生。
(5)数据残留。云租户的大量数据存放在云计算平台上的存储空间中，如果存储空间回收后剩余信息没有完全清除，存储空间再分配给其他云租户使用容易造成数据泄露。
(6) 过度依赖，不同云计算平台上数据和应用系统难以迁移。“上云容易下云难，免费上云，慢慢收割”
(7) 利用共享技术漏洞进行的攻击。由于云服务是多租户共享，如果云租户之间的隔离措施失效，一个云租户有可能侵入另一个云租户的环境，或者干扰其他云租户应用系统的运行。
(8) 滥用云服务。面向公众提供的云服务可向任何人提供计算资源，如果管控不严格，不考虑使用者的目的，很可能被攻击者利用，如通过租用计算资源发动拒绝服务攻击。
(9) 云服务中断。云服务基于网络提供服务，当云租户把应用系统迁移到云计算平台后，一旦与云计算平台的网络连接中断或者云计算平台出现故障，造成服务中断，将影响云租户应用系统的正常运行。
(10) 利用不安全接口的攻击。攻击者利用非法获取的接口访问密钥，将能够直接访问用户数据，导致敏感数据泄露；通过接口实施注入攻击，进行篡改或者破坏用户数据；通过接口的漏洞，攻击者可绕过虚拟机监视器的安全控制机制，获取系统管理权限，将给云租户带来无法估计的损失。
(11) 数据丢失、篡改或泄露。云计算数据的实际存储位置可能在境外，易造成数据泄露。云计算聚集了大量云租户的应用系统和数据资源，容易成为被攻击目标。一旦遭受攻击，会导致严重的数据丢失、篡改或泄露。
23.1.5 云计算安全要求
传统计算平台安全包括：物理和环境安全、网络和通信安全、设备和计算安全、数据安全和应用安全。
云计算新增安全需求：多租户安全隔离、虚拟资源安全、云服务安全合规、数据可信托管、安全运维及业务连续性保障、隐秘保护等。由于云计算系统承载着不同用户的应用和数据，相比于传统计算平台的安全，其安全运维要求更高。
23.2 云计算服务安全需求
23.2.1 云计算技术安全需求
按照上述“端-管-云”的安全威胁分析方法，云计算平台安全需求分成三个部分。
1.云端安全需求分析。云用户的身份标识和鉴别、云用户资源访问控制、云用户数据安全存储以及云端设备及服务软件安全。
2.网络安全通信安全需求分析。包括身份认证、密钥分配、数据加密、信道加密、防火墙、VPN、抗拒绝服务等。
3.云计算平台安全需求分析。物理环境安全、主机服务器安全、操作系统、数据库安全、应用及数据安全、云操作系统安全、虚拟机安全和多租户安全隔离等。
云计算隐私保护需求：云计算平台承载着大量数据，涉及个人用户隐私信息。因而云计算个人数据安全保护至关重要。云计算个人数据安全隐私保护要求主要如下：
(1) 数据采集。明确个人信息采集范围和用途，告知用户相关安全风险。
(2) 数据传输。敏感个人数据网络传输采用加密安全措施，防止网络通信过程信息泄露。
(3) 数据存储。采用加密、认证、访问控制、备份等多种措施保护好敏感个人数据安全，避免数据泄露。个人数据信息按照规定保留相应时间。
(4) 数据使用。制定相应特权管理、个人信息披露等安全控制策略规则，采用实名认证、安全标记、特权控制等措施，限制个人数据使用范围、人员，防止内部人员滥用和非正当披露个人信息。
(5) 数据维护。制定敏感个人数据安全生命周期管理流程，安全管理制度和措施符合国家网络安全管理法律法规政策要求，相关人员签订保密协议，敏感个人数据按规清除。
(6) 数据安全事件处置。制订针对个人信息安全事件的应急预案，阻止安全事件扩大。
23.3 云计算安全保护机制与技术方案
23.3.1 云计算安全保护机制与技术方案
云计算安全等级保护框架：首先要求保证云计算基础设施位于中国境内，并从技术、管理两方面给出具体规定。围绕“一中心，三重防护”的原则，构建云计算安全等级保护框架。一个中心是指安全管理中心；三重防护包括安全计算环境、安全区域边界和安全通信网络。
云计算安全防护：云计算平台是综合复杂的信息系统，涉及物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全。云计算安全保障综合集成了不同的网络安全技术，构成多重网络安全机制，如表所示。
23.3.2 常见云计算网络安全机制
(1)身份鉴别认证机制。用户名/口令认证、强制密码策略、多因子认证、 Kerberos。
(2)数据完整性机制。确保数据能用，而且能够防止数据受到损害。数字签名是保护云计算数据完整性的重要措施。
(3)访问控制机制。云计算资源的使用要在一定的安全规则下经过授权才能保证安全使用。
(4)入侵防范机制。为保护云计算平台的安全，通常使用IDS/IPS防范己知的漏洞攻击，或者采用沙箱系统检测零日漏洞。同时部署抗拒绝服务攻击安全措施，保障云计算平台的业务连续性。
(5)安全审计机制。云计算平台对安全日志进行集中管理，以便于事后分析问题。
(6)云操作系统安全增强机制。目前，商业和开源的云操作系统难以避免地存在安全漏洞，甚至有些漏洞将导致虚拟机逃逸。为此，针对虚拟机管理程序(Hypervisor)的安全问题，提供热补丁修复、恶意程序检测，以防止云操作系统的漏洞被利用而危及整个云计算平台的安全。
23.3.3 云计算安全管理与运维
23.3.4 云计算安全运维的安全措施
23.4 云计算安全综合应用案例分析
23.4.1 云计算安全综合应用案例分析-阿里云
阿里云建立了安全防护机制、监控机制、审计机制、身份认证机制以及安全运维机制。
阿里云提供云盾、DDoS高防IP、Web应用防火墙、态势感知、SSL证书、云防火墙、加密服务、实人认证等多种云安全服务产品。
23.4.2 云计算安全综合应用案例分析-腾讯云
腾讯云提供了网络安全、终端安全、应用安全、数据安全、业务安全、安全管理、安全服务、身份认证等网络安全防护技术体系，具体的安全措施描述如下。
1.网络安全
DDoS防护。提供DDoS高防包、DDoS高防IP等多种DDoS解决方案，应对DDoS攻击问题。
云防火墙。基于公有云环境的SaaS化防火墙，为用户提供互联网边界、VPC边界的网络访问控制同时基于流量嵌入多种安全能力，实现访问管控与安全防御的集成化与自动化。
网络入侵防护系统。通过旁路部署方式，无变更无侵入地对网络4层会话进行实时阻断，并提供了阻断API，方便其他安全检测类产品调用；此外，网络入侵防护系统提供全量网络日志存储和检索、安全告警、可视化大屏等功能，解决等保合规、日志审计、行政监管以及云平台管控等问题。
腾讯云样本智能分析平台。依靠深度沙箱中自研的动态分析模块、静态分析模块以及稳定高效的任务调度框架，实现自动化、智能化、可定制化的样本分析；通过建设大规模分析集群，包括深度学习在内的多个高覆盖率的恶意样本检测模型，可以得知样本的基本信息、触发的行为、安全等级等信息，从而精准高效地对现网中的恶意样本进行打击。
2.终端安全
主机安全。基于腾讯安全积累的海量威胁数据，利用机器学习为用户提供黑客入侵检测和漏洞风险预警等安全防护服务，主要包括密码破解拦截、异常登录提醒、木马文件查杀、高危漏洞检测等安全功能。
腾讯云反病毒引擎(Antivirus)。腾讯反病毒实验室独立研发的反病毒产品，运行于终端的判毒程序，其包含腾讯反病毒本地引擎和腾讯反病毒云两大功能模块，开放多个功能性接口SDK，可支持多种平台使用且无须联网。
腾讯终端安全管理系统。基于腾讯20年安全积累和腾讯电脑管家十余年数亿用户的产品、运营与技术沉淀，将百亿量级云查杀病毒库、AI杀毒引擎、大数据安全分析引擎等安全技术和能力应用到政企内部，打造集病毒查杀、桌面管控、安全运维、安全检测与响应等新一代的一体化的终端安全解决方案。
腾讯云零信任无边界访问控制系统(Zero Trust Access Control system.ZTAC)。依赖终端安全、身份安全、链路安全三大核心能力，实现终端在任意网络环境中安全、稳定、高效地访问企业资源及数据。
移动终端安全管理系统。用户可以根据自身需求，集中管理、配置和保护终端设备、应用程序及移动数据，提高IT管理效率，保障移动环境安全。
3.应用安全
腾讯云Web应用防火墙。解决腾讯云内及云外用户应对Web攻击、入侵、漏洞利用、挂马、篡改、后门、爬虫、域名劫持等网站及Web业务安全防护问题。
腾讯应用级智能网关。基于零信任策略，对企业应用和服务提供集中管控，统一防控和统一审计保障企业应用和服务更安全、更可靠。
漏洞扫描服务。用于监测网站漏洞的安全服务，提供7×24小时准确、全面的漏洞监测服务。移动应用安全。涵盖应用加固、安全测评、兼容性测试、盗版监控、崩溃监测、安全组件等服务手游安全。具备24小时安全保障能力，支持手游厂商快速应对手游作弊、手游篡改破解等常见的游戏安全问题。
4.业务安全
· 天御借贷反欺诈。识别银行、证券、保险等金融行业的欺诈风险。通过腾讯云的人工智能和机器学习能力，准确识别恶意用户与行为，解决客户在支付、借贷、理财、风控等业务环节遇到的欺诈威胁提升风险识别能力
· 保险反欺诈。通过AI人工智能风控模型，准确定位在申保、核保、理赔等业务环节中所遇到的欺诈威胁。
· 登录保护服务。针对网站和App的用户登录场景，实时检测是否存在盗号、撞库等恶意登录行为现异常登录，降低恶意用户登录风险。
· 腾讯云验证码。基于十道安全栅栏，为网页、App、小程序开发者打造立体、全面的人机验证，最大限度地保护注册登录、活动秒杀、点赞发贴、数据保护等各大场景下的业务安全。
· 腾讯云活动防刷。针对电商、O2O、P2P、游戏、支付等行业在促销活动中遇到“羊毛党”恶意刷取优惠福利行为，通过防刷引擎，精准识别出“麝羊毛”恶意行为的活动防刷服务，避免了企业被刷带来的巨大经济损失。
·注册保护服务。针对网站、App的线上注册场景，遇到“恶意注册”“小号注册”“注册器注册”等恶意行为，提供基于天御DNA算法的恶意防护引擎，从账号、设备和行为三个维度有效识别“恶意注册”，从“源头”上防范业务风险。
·营销风控服务。通过腾讯安全风控模型和AI关联算法，快速识别恶意请求，精准打击“羊毛党”，提升资金使用效率，还原数据真实性。
·文本内容安全服务。使用了深度学习技术，可有效识别涉黄、涉政、涉恐等有害内容，支持用户配置词库，打击自定义的违规文本。识别结果分为正常、可疑与违规三部分，建议放行正常的图片，人工审查可疑的图片，屏蔽违规的图片，节省人力成本，提高审核效率。
·营销号码安全。提供一站式、精准的号码安全感知保护及预防服务，涵盖号码安全防护、风险号码识别及恶意呼叫治理等多领域能力。
·业务风险情报。提供全面、实时、精准的业务风险情报服务。通过简单的API接入，即可获取业务中IP、号码、App、URL等的画像数据，对其风险进行精确评估，做到对业务风险、黑产攻击实时感知、评估、应对、止损。
5.数据安全
腾讯云堡垒机。结合堡垒机与人工智能技术，为企业提供运维人员操作审计，对异常行为进行告警，防止内部数据泄密。
腾讯云数据安全审计。基于人工智能的数据库安全审计系统，可挖掘数据库运行过程中各类潜在风险和隐患，为数据库安全运行保驾护航。
数据安全治理中心。通过数据资产感知与风险识别，对企业云上敏感数据进行定位与分类分级，并帮助企业针对风险问题设置数据安全策略，提高防护措施有效性。
敏感数据处理(Data Mask，DMask)。提供敏感数据脱敏与水印标记工具服务，可为数据系统中的敏感信息进行脱敏处理并在泄露时提供追溯依据。
云加密机。基于国密局认证的物理加密机(Hardware Security Module, HSM),利用虚拟化技术，提供弹性、高可用、高性能的数据加解密、密钥管理等云上数据安全服务；符合国家监管合规要求，满足金融、互联网等行业加密需求，保障业务数据隐私安全。
安全管理
安全运营中心 (Security Operation Center, SOC)。腾讯云原生的统一安全运营与管理平台，提供资产自动化盘点、互联网攻击面测绘、云安全配置风险检查、合规风险评估、流量威胁感知、泄漏监测、日志审计与检索调查、安全编排与自动化响应及安全可视等能力，帮助云上用户实现事前安全预防，事中事件监测与威胁检测，事后响应处置的一站式、可视化、自动化的云上安全运营管理。
安全运营中心 (私有云)。以安全检测为核心，以事件关联分析、腾讯威胁情报为重点，以3D可视化为特色，以可靠服务为保障，可针对企业面临的外部攻击和内部潜在风险进行深度检测，为企业提供及时的安全告警。适用于多种安全运营管理场景，通过海量数据多维度分析、及时预警，对威胁及时做出智能处置，实现全网安全态势可知、可见、可控的闭环。
密钥管理系统。让用户创建和管理密钥，保护密钥的保密性、完整性和可用性，满足用户多应用多业务的密钥管理需求，符合监管和合规要求。
凭据管理系统。提供凭据的创建、检索、更新、删除等全生命周期的管理服务，结合资源级角色授权轻松实现对敏感凭据的统一管理。针对敏感配置、敏感凭据硬编码带来的泄露风险问题，用户或应用程序可通过调用 Secret s Manager API来检索凭据，有效避免程序硬编码和明文配置等导致的敏感信息泄密以及权限失控带来的业务风险。
7.安全服务
专家服务。由专业的安全专家团队提供安全咨询、网站渗透测试、应急响应等保合规等服务。
公共互联网威胁量化评估。提供实时的、客观的网络安全风险量化与风险评估的服务，通过微信小程序能够直观呈现企业网络安全指数、安全等级及详细安全问题等信息。威胁情报云查服务。提供威胁情报(IoC)查询服务、IP/Domain/文件等信誉查询服务。
网络资产风险监测系统。能够对网络设备及应用服务的可用性、安全性与合规性等进行定期的安全扫描、持续性的风险预警和漏洞检测，并且提供专业的修复建议，降低安全风险。
8.用户身份验证
腾讯云拥有海量的数据分析和人脸、图片的训练集；腾讯云提供身份OCR、人脸比对、活体检测等技术，在实现用户身份秒级确认，有效解决高风险行业线下复杂的身份验证问题，满足核身要求极高的业务场景需求。
23.4.3 云计算安全综合应用案例分析-华为云
华为云提供云计算、云存储、云网络、云安全、云数据库、云管理与部署应用等IT基础设施云服务。为保护云安全，华为云构建了芯片、平台、系统、应用、数据、开发、生态、隐私等安全防护技术体系，具体技术措施描述如下。
1.芯片级可信计算和安全加密。华为公司推出支持国密算法的可信服务器和可信云平台解决方案。基于可信计算模块芯片，华为云具备对云平台主机进行完整性度量及提供更多安全特性的能力，降低云主机的软硬件被篡改的风险，满足更高的安全需求。
2.平台安全。华为云统一虚拟化平台(UVP)，直接运行于物理服务器之上，通过对服务器物理资源的抽象，在单个物理服务器上构建多个同时运行、相互隔离的虚拟机执行环境。UVP基于硬件辅助虚拟化技术提供虚拟化能力，为虚拟机提供高效的运行环境，并且保证虚拟机运行在合法的空间内，避免虚拟机对UVP或其他虚拟机发起非授权访问。
3.系统安全。EulerOS能够提供可配置的加固策略、内核级OS安全能力等各种安全技术以防止入侵。
4.应用安全。各应用通过华为公司自研的API网关向客户提供标准化集成接口，具备严格的身份认证及鉴权、传输加密保护、细粒度流量控制等安全能力，防范数据被窃取和嗅探。并且，华为云通过深度学习、运行时应用保护、去中心化认证等技术的运用，进一步打造用户行为画像、业务风险控制等高级安全能力，实时监控和拦截异常行为，保护应用服务安全稳定运行。
5.数据安全。华为云构建全数据生命周期的安全防护能力。通过自动化敏感数据发现、动态数据脱敏、高性能低成本数据加密、快速异常操作审计、数据安全销毁等多项技术的研究与应用，实现数据在创建、存储、使用、共享、归档、销毁等多个环节的管控，保障云上数据安全。具体的数据安全机制主要有数据隔离、数据加密、数据冗余。
·6.开发安全。华为云通过完善的制度和流程以及自动化的平台和工具，对软硬件全生命周期进行端到端的管理，全生命周期包括安全设计、安全编码和测试、安全验收和发布、漏洞管理等环节，具体措施内容阐述如下。
·7.生态安全。华为云基于严进宽用的原则，保障开源及第三方软件的安全引入和使用。华为云对引入的开源及第三方软件制订了明确的安全要求和完善的流程控制方案，在选型分析、安全测试、代码安全、风险扫描、法务审核、软件申请和软件退出等环节，均实施严格的管控。
·8.隐私保护。华为云各服务产品的设计遵循《隐私保护设计规范》，该规范建立了隐私基线、维护隐私的完整性和指导隐私风险分析，制定对应措施并作为需求落入服务产品开发设计流程。
·华为云提供DDos高防、Anti-DDos流量清洗、数据库安全服务DBSS、数据加密服务、企业主机安全、容器安全服务、安全专家服务、SSL证书管理、云堡垒机、漏洞扫描服务、Web应用防火墙WAF等安全服务。
