|
新聞中心
當(dāng)前位置：網(wǎng)站首頁 > 新聞中心
IaaS平臺信息安全與運維設(shè)計
隨著云計算技術(shù)的不斷發(fā)展及云計算商業(yè)模式的不斷明晰，其完整的產(chǎn)業(yè)鏈也在不斷地完善，無論是公有云、私有云還是混合云，均得到進一步深化。云計算的信息安全和運維服務(wù)問題越來越被人們所關(guān)注，一直是云計算實施的國際熱點問題，在企業(yè)私有云領(lǐng)域，更是成為是否采納云計算的首要問題。在我國云計算標(biāo)準(zhǔn)工作中，信息安全、運維服務(wù)也是被關(guān)注的重點。
本文針對云計算的信息安全、運維服務(wù)這些國際熱點問題，在IaaS云特別是企業(yè)私有云領(lǐng)域，綜合平衡商用關(guān)鍵、綜合成本、實用易用等因素，設(shè)計了信息安全系統(tǒng)和運維服務(wù)系統(tǒng)。1、IaaS簡介
IaaS服務(wù)的核心思想是以服務(wù)產(chǎn)品的形式向用戶交付各種能力，而這些能力直接來自各種資源池，因此IaaS服務(wù)提供商需要完成資源池化、服務(wù)和產(chǎn)品設(shè)計與組裝以及服務(wù)產(chǎn)品交付等方面的工作。
IaaS的技術(shù)架構(gòu)是以數(shù)據(jù)中心IT基礎(chǔ)架構(gòu)為基礎(chǔ)，以滿足用戶需求的特定IT基礎(chǔ)架構(gòu)為交付物的服務(wù)交付過程的層次化模型。
在IaaS的技術(shù)架構(gòu)中，通過采用資源池構(gòu)建、資源調(diào)度、服務(wù)封裝等手段，可以將IT資產(chǎn)迅速轉(zhuǎn)變?yōu)榭山桓兜腎T服務(wù)，從而實現(xiàn)了IaaS云的隨需自服務(wù)、資源池化、快速擴展和服務(wù)可度量等特性。
IaaS服務(wù)交付模型包含資產(chǎn)管理、資源管理、服務(wù)管理和交付管理4個層次。
2、IaaS的信息安全系統(tǒng)
從表面上看，云計算更注重共享與彈性，而信息安全則考慮信息的封閉與權(quán)限，二者似乎是一對矛盾，但只有解決了這個問題，才能實施好云計算。所以如何平衡這兩方面是設(shè)計的主題。IaaS系統(tǒng)安全體系是以安全域為經(jīng)、以安全等級框架為緯，對安全域逐個進行威脅和風(fēng)險分析，從而形成信息系統(tǒng)安全體系。
2.1安全架構(gòu)
(I)策略與組織：安全環(huán)境的治理與管理；
(2)資產(chǎn)分類：確定出需要保護的資產(chǎn)；
(3)風(fēng)險管理：需要保護的原因；
(4)安全保護方法：如何保護這些資產(chǎn)。
2.2安全域
信息系統(tǒng)安全域需要對IaaS進行實施環(huán)境的評估調(diào)查，參照信息保障體系的建模方法，按照威脅與風(fēng)險分析，將信息資產(chǎn)劃分為若干安全域，并根據(jù)不同的安全等級部署安全訪問策略。
在設(shè)計時綜合考慮IaaS的等級化安全域，根據(jù)信息系統(tǒng)的功能特性、安全價值以及面臨威脅的相似性，將其劃分成計算區(qū)域、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、區(qū)域邊界和安全基礎(chǔ)設(shè)施四大類安全域。
安全域有兩個特征，即同一安全域內(nèi)的系統(tǒng)有相同安全保護需求并相互信任，同時安全域內(nèi)部又可以分為安全子域甚至更細(xì)。安全域所遵循的根本原則是:業(yè)務(wù)保障原則、結(jié)構(gòu)簡化原則、等級保護原則、立體協(xié)防原則及生命周期原則。
在設(shè)計時，可以根據(jù)相關(guān)規(guī)范，結(jié)合IaaS的應(yīng)用現(xiàn)狀，通過VRF技術(shù)將IaaS劃分為邏輯上的業(yè)務(wù)網(wǎng)絡(luò)和網(wǎng)管網(wǎng)絡(luò)，每個網(wǎng)絡(luò)均是一個安全域。兩個安全域的數(shù)據(jù)交互將通過內(nèi)聯(lián)業(yè)務(wù)系統(tǒng)區(qū)的防火墻來進行控制。
2.3安全體系
IaaS的整體性安全體系基于分層的方法，包括以下所有方面:建筑物(例如非法闖入)、系統(tǒng)(例如角色與安全)、存儲(例如訪問與轉(zhuǎn)換規(guī)則)及網(wǎng)絡(luò)(例如訪問組件，如防火墻，人侵檢測等)。
在設(shè)施內(nèi)，采用結(jié)構(gòu)、技術(shù)或組織上的方式，使不同功能和/或不同安全等級的區(qū)域相互分隔，在區(qū)域之間進行人員和貨物上的調(diào)配應(yīng)受到控制和監(jiān)視。
IaaS的安全系統(tǒng)設(shè)計主要是將安全防護、安全訪問、安全審計等安全屬性注人服務(wù)總線之中，構(gòu)建安全系統(tǒng)。
2.3.1安全屬性
(1)安全防護。主要指防火墻、人侵防護、病毒防護等。設(shè)計成2重結(jié)構(gòu)，在網(wǎng)絡(luò)骨干設(shè)置骨干防火墻、IDS /IDP和病毒墻，對整體IaaS進行防護；在每個VDC中，采用分布式防火墻等設(shè)備進行個性化防護。
(2)安全訪問。IaaS主要有管理員、服務(wù)經(jīng)理和用戶3個角色。欲保證這些角色的安全訪問，設(shè)計基于LDAP的用戶訪問管理，應(yīng)用SSO單點登錄技術(shù)、PKI/CA技術(shù)、權(quán)限管理技術(shù)等，為用戶提供高安全等級的安全服務(wù)。這些服務(wù)包括用戶管理服務(wù)、統(tǒng)一用戶身份、認(rèn)證服務(wù)、加/解密服務(wù)及數(shù)字簽名服務(wù)。
2.3.2安全審計
安全審計在信息安全中容易被忽視，但卻是商用系統(tǒng)信息安全最關(guān)鍵的部分。根據(jù)IaaS的特點，需要對各類操作建立日志并分析審計，包括虛擬機、數(shù)據(jù)庫、數(shù)據(jù)傳輸、VDC及各種配置與管理信息。通過建立安全審計中心完成安全審計，以保證系統(tǒng)安全。
3、IaaS的運維服務(wù)
通過在IaaS部署輕量級的網(wǎng)管和數(shù)據(jù)采集系統(tǒng)，采集IT環(huán)境告警信息和監(jiān)控數(shù)據(jù)到運維中心，運維中心實時監(jiān)控IaaS環(huán)境；如遇到故障，運維工程師在企業(yè)用戶允許的前提下遠程登錄到企業(yè)用戶IT環(huán)境并處理故障，從而提供IaaS的運維服務(wù)。
運維中心是整個系統(tǒng)的核心，主要為企業(yè)客戶、運維工程師、業(yè)務(wù)管理員和系統(tǒng)管理員提供一個工作界面，包括企業(yè)客戶portal、運維工程師portal、運維管理、公共信息和系統(tǒng)管理等模塊。
企業(yè)客戶portal是企業(yè)客戶登錄運維中心以后可以訪問的內(nèi)容，包括告警管理、設(shè)備管理、服務(wù)訂單查詢、服務(wù)請求、故障報告查詢和運維報表查詢。
運維工程師portal是運維工程師登錄后工作的界面，包括工作臺、客戶管理、客戶設(shè)備監(jiān)控、遠程協(xié)同、任務(wù)管理和在線問答。
運維管理模塊主要有訂單管理、Case管理、任務(wù)調(diào)度、服務(wù)目錄管理、運維報表管理、分析統(tǒng)計等功能；公共信息模塊主要描述公共網(wǎng)站的功能，包括首頁、用戶注冊、服務(wù)產(chǎn)品列表、購物車等功能；系統(tǒng)管理包括人員管理、權(quán)限管理、角色管理等功能。
|
