等保20下的云安全解决方案

等级保护发展历程1994国务院令第147号1999GB1785920032004200720172019中办发[2003]27号公通字[2007]43号公通字[2004]66号网络安全法等保2.0核心标准强制性标准：本标准规定了我国计算机信息系统安全保护能力的五个等级第二十一条“国家实行网络安全等级保护制度”，从法规上升到法律层面《基本要求》《安全设计技术要求》《测评要求》正式发布第九条“计算机信息系统实行安全等级保护”首次提出了等级保护的概念信息安全保障纲领性文件，明确指出“实行信息安全等级保护“主要任务进一步明确了信息安全等级保护制度的职责分工和工作的要求等基本内容明确了信息安全等级保护的五个动作，为开展等级保护工作提供了规范保障等级保护发展历程1994国务院令第147号1999GB178《网络安全法》之等级保护

第二十一条

国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

第三十一条

国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。

第五十九条

网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。关键信息基础设施的运营者不履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致后果的，处十万元以上一百万元以下罚款，对直接负责主管人员处一万元以上十万元以下罚款。十二届全国人大常委会第十五次会议公开征求意见十二届全国人大常委会第二十一次会议十二届全国人大常委会第二十四次会议2015.6.262016.8.42016.11.72016.10.312016.7.5公开征求意见发布一审三审二审2015.7.62015.8.52016.6.28总则网络安全支持与促进网络运行安全网络信息安全法律责任附则监测预警与应急处置第一章第二章第五章第四章第三章第六章第七章不做等保就是违法！《网络安全法》之等级保护第二十一条国家实行网络安全等级保等保2.0的典型变化两个全覆盖一是覆盖各地区、各单位、各部门、各企业、各机构，也就是覆盖全社会。除个人及家庭自建网络的全覆盖。二是覆盖所有保护对象，包括网络、信息系统，以及新的保护对象，云平台、物联网、工控系统、大数据、移动互联等各类新技术应用。三个特点等级保护2.0基本要求、测评要求、安全设计技术要求框架统一，即：安全管理中心支持下的三重防护结构框架。通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制系统等列入标准规范。把可信验证列入各级别和各环节的主要功能要求。等保2.0的典型变化两个全覆盖一是覆盖各地区、各单位、各部门等级保护2.0主要变化信息系统信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统、采用移动互联技术的网络等《信息安全技术信息系统安全等级保护基本要求》

《信息安全技术网络安全等级保护基本要求》安全要求安全通用要求+安全扩展要求名称变化名称变安全要求变化定级对象变化等级保护2.0主要变化信息系统《信息安全技术信息系统安全等等级保护2.0主要变化（续）等保五个规定动作五个规定动作+新的安全要求技术（物理、网络、主机、应用、数据）+管理技术（物理环境、一中心三防护）+管理技术要求等保2.0安全物理环境安全通信网络安全区域边界安全计算环境安全管理中心管理要求安全管理制度安全管理机构安全管理人员安全建设管理安全运维管理等保1.0技术要求物理安全网络安全主机安全应用安全数据安全管理要求安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理•定级备案

•安全建设•等级测评•安全整改•监督检查内容变化等保1.0等保2.0控制措施分类结构变化名称变内容变化•定级备案

•安全建设•等级测评•安全整改•监督检查•安全监测

•通报预警

•事件调查•数据防护•灾难备份•应急处理•风险评估等级保护2.0主要变化（续）等保五个规定动作技术（物理、网络等保2.0安全建设总体目标第一级安全保护能力第二级安全保护能力第三级安全保护能力第四级安全保护能力应能够防护免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的关键资源损害，在自身遭到损害后，能够恢复部分功能。应能够防护免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾害，以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和处置安全事件，在自身遭到损害后，能够在一段时间内恢复部分功能。应能够在统一安全策略下防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾害，以及其他相当危害程度的威胁所造成的主要资源损害，能够及时发现、监测攻击行为和处置安全事件，在自身遭到损害后，能够较快恢复绝大部分功能。应能够在统一安全策略下防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾害，以及其他相当危害程度的威胁所造成的资源损害，能够及时发现、监测发现攻击行为和安全事件，在自身遭到损害后，能够迅速恢复所有功能。等保2.0安全建设总体目标第一级安全保护能力第二级安全保护能云平台安全风险云平台IASS层风险PAAS层风险安全管理风险技术风险人为风险内部用户不可信人技术能力不足安全意识薄弱风险评估不足账号及服务劫持审计日志缺失，追踪溯源难情报采集和利用率低，无法发现高级威胁缺乏监测预警、自动响应能力安全事件发现慢、响应慢管理风险权责不清工作流程不顺畅工作目标不清晰安全技术、安全管理、安全流程未能高效整合，整体运营效率低运维管理人员对PASS层组件拥有的运维管理账号的违规使用风险虚拟化物理网络非法访问、数据丢失等已知或未知的网络攻击镜像模板的系统、配置、漏洞、敏感信息外泄虚拟机迁移过程中的剩余信息和策略未同步备份、快照被违规越权访问恶意代码……违规网络访问风险网络威胁流量风险……操作系统操作系统安全配置、漏洞处理不当的风险……云存储用户数据备份、副本未完全删除用户磁盘存储空间被释放后未完全清除非授权挂卷所造成的用户数据非法外协风险……云网络云主机未授权设备连接云平台内部虚拟网络的风险云主机违规外连风险用户之间的非授权访问风险虚拟机之间的违规访问风险……备份、快照被违规越权访问的风险虚拟机迁移、删除后的剩余信息造成敏感数据泄露风险违规虚拟机迁移或动态扩展操作的风险安全策略未随着虚拟机迁移所造成的风险……物理主机固件篡改风险违规开放服务端口的风险……云数据库容器数据库平台自身存在安全漏洞用户弱口令及非授权访问数据库超级权限问题数据库访问行为不能完整审计敏感数据泄漏问题……容器逃逸攻击容器镜像安全篡改或植入威胁容器安全配置缺陷对容器内微服务API进⾏CC攻击……密码服务文件服务未授权用户对文件对象的违规访问风险用户对文件访问的违规操作风险文件盗链风险……计算服务组件在无授权模式下运行的风险计算过程中的高敏感数据明文泄露风险开源计算组件漏洞风险用户角色的违规访问风险……特权账号分布式组件密钥重复使用被破解和泄露的风险……运维管理账号的违规使用风险……分布式各组件、进程、接口、节点间的安全风险……云平台安全风险云平台IASS层风险PAAS层风险安全管理风险等保2.0安全建设思路安全管理中心通过边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计等控制措施构建安全区域边界；可基于可信根对边界设备进行可信验证；安全区域边界基于身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性、数据保密性、数据备份恢复、剩余信息保护和个人信息保护等控制措施构建安全计算环境；可基于可信根对计算设备进行可信验证；安全计算环境合理的设计网络架构，并基于安全的通信传输构建安全通信网络；可基于可信根对通信设备进行可信验证；安全通信网络基于三权分立（系统管理员、审计管理员和安全管理员）和集中管控等控制措施构建安全管理中心基于安全管理中心，落实安全管理，形式安全事件快速响应机制等保2.0安全建设思路安全管理中心通过边界防护、访问控制、入等保2.0的技术要求安全管理中心安全通信网络安全物理环境物理位置选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电安全区域边界安全计算环境温湿度控制电力供应电磁防护系统管理审计管理安全管理集中管控网络架构通信传输可信验证边界防护访问控制入侵防范安全审计可信验证恶意代码和垃圾邮件防范身份鉴别访问控制安全审计入侵防范恶意代码防范可信验证数据完整性数据保密性数据备份恢复剩余信息保护个人信息保护基础设施位置集中管控网络架构访问控制入侵防范安全审计身份鉴别访问控制入侵防范镜像和快照保护数据完整性和保密性数据备份恢复剩余信息保护安全通用要求云计算安全扩展要求等保2.0的技术要求安全管理中心安全通信网络安全物理环境物理等保2.0安全体系设计流程1、确定云平台与外部网络的通信链路和网关设备2、确定云平台内部的区域划分3、保障各区域之间通信传输的保密性和完整性构建安全通信网络1、设计系统的身份鉴别机制2、设计系统的账号授权机制3、设计系统的审计机制4、设计系统的入侵防范和恶意代码防范机制5、设计系统的数据完整性和保密性机制6、设计系统的数据备份与恢复机制7、设计系统的剩余信息保护和个人信息保护机制构建安全计算环境1、对区域进行分类2、确定每类边界的控制措施3、确实控制措施的实现方式构建安全区域边界1、在系统上创建系统管理员、审计管理员和安全管理员三个账号，实现权责分离2、基于一个或多个集中监测、集中管理系统实现集中管控构建安全管理中心等保2.0安全体系设计流程1、确定云平台与外部网络的通信链路几种常见的网络区域划分方式是互联网区域，还是内网区域根据业务敏感性是前台，后台还是数据库根据系统的属性是研发部，还是市场部根据部门属性是有线网络，还是无线网络根据网络的属性网络区域划分必须与实际的业务和网络现状相对应几种常见的网络区域划分方式是互联网区域，还是内网区域根据业务等保2.0对云计算环境的安全要求安全通用要求云计算安全扩展要求等保2.0对云计算环境的安全要求等保2.0对云计算环境的安全要求安全通用要求云计算安全扩展要云计算环境下的“一个中心，三重防护”云计算环境下的“一个中心，三重防护”云计算环境中的网络区域划分依据

区分不同等级的系统应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则区分管理与业务流量应保证云计算平台管理流量与云服务客户业务流量分离区分云服务客户应实现不同云服务客户虚拟网络之间的隔离区分不同的虚拟机应允许云服务客户设置不同虚拟机之间的访问控制策略云计算环境中的网络区域划分依据

区分不同云计算环境安全体系设计的原则性要求云计算平台不承载高于其安全保护等级的业务应用系统云计算平台基础设施位于中国境内云计算平台运维地点位于中国境内云服务客户数据、用户个人信息等存储于中国境内云计算环境安全体系设计的原则性要求云计算平台不承载高于其安全云计算环境安全体系设计的特殊要求应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量应对云服务商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计应保证当虚拟机迁移时，访问控制策略随其迁移应能检测虚拟机之间的资源隔离失效，并进行告警应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据的管理权限云计算环境安全体系设计的特殊要求应能检测到虚拟机与宿主机、虚云计算环境安全体系设计的两个层面云计算平台自身安全防护云计算平台提供安全服务云计算环境安全体系设计的两个层面云计算平台自身安全防护云计算云平台如何提供安全服务基于云计算理念来提供安全服务集约共享按需使用弹性扩展云计算理念安全镜像库安全SaaS云安全的现有实践构建安全NFV镜像库，用户订阅对应的规格，获得安全镜像，如VPN、堡垒机。安全设备资源化，以SaaS形式对用户提供安全服务，如云抗D、云WAF。交付形态限制安全功能安全镜像配置复杂不同产品难以集中管理现有实践的不足云平台如何提供安全服务基于云计算理念来提供安全服务集约按需使软件定义安全网络智能部署集中管控策略智能编排云平台如何提供安全服务让云安全服务方式更优雅策略模板化，根据业务特点匹配初始化模板策略智能化，根据业务变化和安全状态变化动态调整安全策略集中调度本地安全资源，自动完成网络部署，按需创建服务链，达到类似SaaS的效果，且不受安全功能限制通过自动化编排将所有安全设备资源化云管理员能够对云平台上所有安全资源进行集中管控云租户能够对所有订阅的安全资源统一自主管理软件定义安全网络智能部署集中管控策略智能编排云平台如何提供安边界安全虚拟化安全安全加固虚拟资源隔离入侵防御漏洞扫描基线核查边界安全防护入侵防御访问控制安全域隔离安全域划分访问控制流量清洗安全接入负载均衡网络威胁检测安全审计访问控制流量监控云安全服务平台通信安全通信线路冗余网关设备冗余通信传输加密完整性校验带外管理通道API接口SDN网络编排IaaS安全东西向安全虚拟机微隔离主机防病毒访问控制南北向安全入侵防范安全审计PaaS安全DaaS安全SaaS安全WEB应用防护API接口安全容器安全云数据库安全计算服务安全文件服务安全主机安全加固数据脱敏Web安全防护漏洞管理安全传输VPC隔离访问控制数据加密输入数据验证剩余信息保护业务&租户安全安全策略编排门户服务集中管控职责划分云操作监控综合审计管理安全集中管控态势感知管理网络隔离深信服等保2.0云安全体系集约共享开放接口边界虚拟化安全安全加固虚拟资源隔离入侵防御漏洞扫描基线核查边深信服云安全解决方案逻辑架构基于标准化X86服务器基于虚拟化技术的安全资源池安全能力服务化交付云计算环境与平台网络&策略智能编排API接口生态开放平台方界面租户侧界面集中管控满足云上用户合规、业务安全需求云安全服务平台信服云眼信服云盾AD

LBaaS

插件AD

驱动基于高性能安全硬件设备基于池化安全资源实现云上安全按需交付深信服云安全解决方案逻辑架构基于标准化X86服务器基于虚拟化深信服“云安全服务平台（等保2.0）”创新方案出口网络/安全设备云安全服务平台核心交换安全运营服务安全运营服务安全运营服务下一代防火墙下一代防火墙下一代防火墙上网行为管理日志审计系统上网行为管理数据库审计杀毒软件广域网优化日志审计系统数据库审计负载均衡杀毒软件负载均衡堡垒机SSLVPN流量编排等保二级合规模板出口边界安全模板等保三级合规模板VM数据库

Web服务杀软/EDRVM数据库

Web服务杀软/EDRVM数据库

Web服务杀软/EDRIT基础设施（云环境、物理环境）二级区域三级区域其他区域用户可根据实际业务需求情况，自定义模板或安全组件安全运营服务下一代防火墙入侵防御系统WEB防火墙漏洞扫描自定义安全模板深信服“云安全服务平台（等保2.0）”创新方案出口网络/安全安全服务自助申请&自动开通基于软件定义安全技术，安全能力服务化交付安全组件申请安全组件交付安全组件运营租户方运营方安全资源池内置组件目录云下一代防火墙云网络行为管理云数据库审计云运维审计云负载均衡云VPN安全接入云日志审计云配置安全评估可提供FW、IPS、WAF、网页防篡改等功能可提供应用控制、流量控制、网络审计等功能可提供多种数据库类型的审计功能可提供针对租户系统的运维审计服务可提供租户系统的丰富的负载均衡功能可提供SSLVPN或IPSECVPN接入服务可提供针对租户设备和系统的日志采集和统一记录可提供针对租户应用系统的漏洞扫描和配置基线核查虚拟主机防护可提供虚拟机网络边界的隔离和主机防病毒功能安全服务自助申请&自动开通基于软件定义安全技术，安全能力服务基于智能编排创建安全服务链IPSWAF数据库审计运维审计私网VXLAN业务系统流量控制杀毒负载均衡日志审计服务链编排基于深信服自研网络虚拟化功能外部威胁业务需要自动组网可视化排障基于智能编排创建安全服务链IPSWAF数据库审计运维审计私网南北向安全-基于VPC重构安全区域边界业务系统区EDREDREDREDRVPC1VPC2业务系统区EDREDREDREDRInternetvSwitchInternetvAFvAF访问控制入侵检测WAF基于云平台划分VPC实现不同租户系统的安全隔离，在各个VPC虚拟网络出口部署虚拟下一代防火墙，构建安全区域边界。南北向安全-基于VPC重构安全区域边界业务系统区EDREDRVMVMVMVM同一VPC内部虚拟网络和虚拟计算环境门户网站业务域VMVMVMVM电子邮箱业务域邮件应用角色DB应用角色WEB应用角色DB应用角色EDREDREDREDR异常样本EDR总控中心安全隔离虚拟机微隔离主机入侵防御主机非法外联病毒横向扩散病毒查杀EDR基于人工智能技术的SAVE引擎，能够识别未知病毒和已知病毒的新变种基于轻代理模式终端安全软件实现虚拟主机安全隔离东西向安全-基于微隔离重构安全区域边界VMVMVMVM同一VPC内部虚拟网络和虚拟计算环境门户网站安全资源池等保三级建设标准等保二级建设标准行业建设标准用户1用户2用户3vNGAFvNGAFvNGAFvNGAFvNGAFvNGAFvNGAFvSSLvSSLvSSLvSSL漏洞扫描漏洞扫描数据库审计数据库审计数据库审计数据库审计堡垒机堡垒机堡垒机灵活配置满足不同安全等级要求安全资源池等保三级等保二级行业用户1用户2用户3vNGAFv等保2.0与云安全方案对应关系等保三级涉及到的产品清单必选云安全服务平台防火墙组件IPS组件上网行为管理组件数据库审计组件日志审计组件主机安全防护EDRWAF组件云管平台（实现三权分立、定期备份、云存储保护、镜像与快照加固、加密等）可选负载均衡组件VPN组件安全感知系统邮件网关组件堡垒机组件基线核查组件漏洞扫描组件数据安全保护系统数据本地备份系统CA认证系统应用系统（应用协议采用https和SSH）密钥管理系统可信根/可信度量等保2.0要求与安全产品对应表等保2.0与云安全方案对应关系等保三级涉及到的产品清单必选云等级保护发展历程1994国务院令第147号1999GB1785920032004200720172019中办发[2003]27号公通字[2007]43号公通字[2004]66号网络安全法等保2.0核心标准强制性标准：本标准规定了我国计算机信息系统安全保护能力的五个等级第二十一条“国家实行网络安全等级保护制度”，从法规上升到法律层面《基本要求》《安全设计技术要求》《测评要求》正式发布第九条“计算机信息系统实行安全等级保护”首次提出了等级保护的概念信息安全保障纲领性文件，明确指出“实行信息安全等级保护“主要任务进一步明确了信息安全等级保护制度的职责分工和工作的要求等基本内容明确了信息安全等级保护的五个动作，为开展等级保护工作提供了规范保障等级保护发展历程1994国务院令第147号1999GB178《网络安全法》之等级保护

第二十一条

国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

第三十一条

国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。

第五十九条

网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。关键信息基础设施的运营者不履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致后果的，处十万元以上一百万元以下罚款，对直接负责主管人员处一万元以上十万元以下罚款。十二届全国人大常委会第十五次会议公开征求意见十二届全国人大常委会第二十一次会议十二届全国人大常委会第二十四次会议2015.6.262016.8.42016.11.72016.10.312016.7.5公开征求意见发布一审三审二审2015.7.62015.8.52016.6.28总则网络安全支持与促进网络运行安全网络信息安全法律责任附则监测预警与应急处置第一章第二章第五章第四章第三章第六章第七章不做等保就是违法！《网络安全法》之等级保护第二十一条国家实行网络安全等级保等保2.0的典型变化两个全覆盖一是覆盖各地区、各单位、各部门、各企业、各机构，也就是覆盖全社会。除个人及家庭自建网络的全覆盖。二是覆盖所有保护对象，包括网络、信息系统，以及新的保护对象，云平台、物联网、工控系统、大数据、移动互联等各类新技术应用。三个特点等级保护2.0基本要求、测评要求、安全设计技术要求框架统一，即：安全管理中心支持下的三重防护结构框架。通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制系统等列入标准规范。把可信验证列入各级别和各环节的主要功能要求。等保2.0的典型变化两个全覆盖一是覆盖各地区、各单位、各部门等级保护2.0主要变化信息系统信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统、采用移动互联技术的网络等《信息安全技术信息系统安全等级保护基本要求》

《信息安全技术网络安全等级保护基本要求》安全要求安全通用要求+安全扩展要求名称变化名称变安全要求变化定级对象变化等级保护2.0主要变化信息系统《信息安全技术信息系统安全等等级保护2.0主要变化（续）等保五个规定动作五个规定动作+新的安全要求技术（物理、网络、主机、应用、数据）+管理技术（物理环境、一中心三防护）+管理技术要求等保2.0安全物理环境安全通信网络安全区域边界安全计算环境安全管理中心管理要求安全管理制度安全管理机构安全管理人员安全建设管理安全运维管理等保1.0技术要求物理安全网络安全主机安全应用安全数据安全管理要求安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理•定级备案

•安全建设•等级测评•安全整改•监督检查内容变化等保1.0等保2.0控制措施分类结构变化名称变内容变化•定级备案

•安全建设•等级测评•安全整改•监督检查•安全监测

•通报预警

•事件调查•数据防护•灾难备份•应急处理•风险评估等级保护2.0主要变化（续）等保五个规定动作技术（物理、网络等保2.0安全建设总体目标第一级安全保护能力第二级安全保护能力第三级安全保护能力第四级安全保护能力应能够防护免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难，以及其他相当危害程度的威胁所造成的关键资源损害，在自身遭到损害后，能够恢复部分功能。应能够防护免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾害，以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和处置安全事件，在自身遭到损害后，能够在一段时间内恢复部分功能。应能够在统一安全策略下防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾害，以及其他相当危害程度的威胁所造成的主要资源损害，能够及时发现、监测攻击行为和处置安全事件，在自身遭到损害后，能够较快恢复绝大部分功能。应能够在统一安全策略下防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾害，以及其他相当危害程度的威胁所造成的资源损害，能够及时发现、监测发现攻击行为和安全事件，在自身遭到损害后，能够迅速恢复所有功能。等保2.0安全建设总体目标第一级安全保护能力第二级安全保护能云平台安全风险云平台IASS层风险PAAS层风险安全管理风险技术风险人为风险内部用户不可信人技术能力不足安全意识薄弱风险评估不足账号及服务劫持审计日志缺失，追踪溯源难情报采集和利用率低，无法发现高级威胁缺乏监测预警、自动响应能力安全事件发现慢、响应慢管理风险权责不清工作流程不顺畅工作目标不清晰安全技术、安全管理、安全流程未能高效整合，整体运营效率低运维管理人员对PASS层组件拥有的运维管理账号的违规使用风险虚拟化物理网络非法访问、数据丢失等已知或未知的网络攻击镜像模板的系统、配置、漏洞、敏感信息外泄虚拟机迁移过程中的剩余信息和策略未同步备份、快照被违规越权访问恶意代码……违规网络访问风险网络威胁流量风险……操作系统操作系统安全配置、漏洞处理不当的风险……云存储用户数据备份、副本未完全删除用户磁盘存储空间被释放后未完全清除非授权挂卷所造成的用户数据非法外协风险……云网络云主机未授权设备连接云平台内部虚拟网络的风险云主机违规外连风险用户之间的非授权访问风险虚拟机之间的违规访问风险……备份、快照被违规越权访问的风险虚拟机迁移、删除后的剩余信息造成敏感数据泄露风险违规虚拟机迁移或动态扩展操作的风险安全策略未随着虚拟机迁移所造成的风险……物理主机固件篡改风险违规开放服务端口的风险……云数据库容器数据库平台自身存在安全漏洞用户弱口令及非授权访问数据库超级权限问题数据库访问行为不能完整审计敏感数据泄漏问题……容器逃逸攻击容器镜像安全篡改或植入威胁容器安全配置缺陷对容器内微服务API进⾏CC攻击……密码服务文件服务未授权用户对文件对象的违规访问风险用户对文件访问的违规操作风险文件盗链风险……计算服务组件在无授权模式下运行的风险计算过程中的高敏感数据明文泄露风险开源计算组件漏洞风险用户角色的违规访问风险……特权账号分布式组件密钥重复使用被破解和泄露的风险……运维管理账号的违规使用风险……分布式各组件、进程、接口、节点间的安全风险……云平台安全风险云平台IASS层风险PAAS层风险安全管理风险等保2.0安全建设思路安全管理中心通过边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计等控制措施构建安全区域边界；可基于可信根对边界设备进行可信验证；安全区域边界基于身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性、数据保密性、数据备份恢复、剩余信息保护和个人信息保护等控制措施构建安全计算环境；可基于可信根对计算设备进行可信验证；安全计算环境合理的设计网络架构，并基于安全的通信传输构建安全通信网络；可基于可信根对通信设备进行可信验证；安全通信网络基于三权分立（系统管理员、审计管理员和安全管理员）和集中管控等控制措施构建安全管理中心基于安全管理中心，落实安全管理，形式安全事件快速响应机制等保2.0安全建设思路安全管理中心通过边界防护、访问控制、入等保2.0的技术要求安全管理中心安全通信网络安全物理环境物理位置选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电安全区域边界安全计算环境温湿度控制电力供应电磁防护系统管理审计管理安全管理集中管控网络架构通信传输可信验证边界防护访问控制入侵防范安全审计可信验证恶意代码和垃圾邮件防范身份鉴别访问控制安全审计入侵防范恶意代码防范可信验证数据完整性数据保密性数据备份恢复剩余信息保护个人信息保护基础设施位置集中管控网络架构访问控制入侵防范安全审计身份鉴别访问控制入侵防范镜像和快照保护数据完整性和保密性数据备份恢复剩余信息保护安全通用要求云计算安全扩展要求等保2.0的技术要求安全管理中心安全通信网络安全物理环境物理等保2.0安全体系设计流程1、确定云平台与外部网络的通信链路和网关设备2、确定云平台内部的区域划分3、保障各区域之间通信传输的保密性和完整性构建安全通信网络1、设计系统的身份鉴别机制2、设计系统的账号授权机制3、设计系统的审计机制4、设计系统的入侵防范和恶意代码防范机制5、设计系统的数据完整性和保密性机制6、设计系统的数据备份与恢复机制7、设计系统的剩余信息保护和个人信息保护机制构建安全计算环境1、对区域进行分类2、确定每类边界的控制措施3、确实控制措施的实现方式构建安全区域边界1、在系统上创建系统管理员、审计管理员和安全管理员三个账号，实现权责分离2、基于一个或多个集中监测、集中管理系统实现集中管控构建安全管理中心等保2.0安全体系设计流程1、确定云平台与外部网络的通信链路几种常见的网络区域划分方式是互联网区域，还是内网区域根据业务敏感性是前台，后台还是数据库根据系统的属性是研发部，还是市场部根据部门属性是有线网络，还是无线网络根据网络的属性网络区域划分必须与实际的业务和网络现状相对应几种常见的网络区域划分方式是互联网区域，还是内网区域根据业务等保2.0对云计算环境的安全要求安全通用要求云计算安全扩展要求等保2.0对云计算环境的安全要求等保2.0对云计算环境的安全要求安全通用要求云计算安全扩展要云计算环境下的“一个中心，三重防护”云计算环境下的“一个中心，三重防护”云计算环境中的网络区域划分依据

区分不同等级的系统应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则区分管理与业务流量应保证云计算平台管理流量与云服务客户业务流量分离区分云服务客户应实现不同云服务客户虚拟网络之间的隔离区分不同的虚拟机应允许云服务客户设置不同虚拟机之间的访问控制策略云计算环境中的网络区域划分依据

区分不同云计算环境安全体系设计的原则性要求云计算平台不承载高于其安全保护等级的业务应用系统云计算平台基础设施位于中国境内云计算平台运维地点位于中国境内云服务客户数据、用户个人信息等存储于中国境内云计算环境安全体系设计的原则性要求云计算平台不承载高于其安全云计算环境安全体系设计的特殊要求应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量应对云服务商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计应保证当虚拟机迁移时，访问控制策略随其迁移应能检测虚拟机之间的资源隔离失效，并进行告警应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据的管理权限云计算环境安全体系设计的特殊要求应能检测到虚拟机与宿主机、虚云计算环境安全体系设计的两个层面云计算平台自身安全防护云计算平台提供安全服务云计算环境安全体系设计的两个层面云计算平台自身安全防护云计算云平台如何提供安全服务基于云计算理念来提供安全服务集约共享按需使用弹性扩展云计算理念安全镜像库安全SaaS云安全的现有实践构建安全NFV镜像库，用户订阅对应的规格，获得安全镜像，如VPN、堡垒机。安全设备资源化，以SaaS形式对用户提供安全服务，如云抗D、云WAF。交付形态限制安全功能安全镜像配置复杂不同产品难以集中管理现有实践的不足云平台如何提供安全服务基于云计算理念来提供安全服务集约按需使软件定义安全网络智能部署集中管控策略智能编排云平台如何提供安全服务让云安全服务方式更优雅策略模板化，根据业务特点匹配初始化模板策略智能化，根据业务变化和安全状态变化动态调整安全策略集中调度本地安全资源，自动完成网络部署，按需创建服务链，达到类似SaaS的效果，且不受安全功能限制通过自动化编排将所有安全设备资源化云管理员能够对云平台上所有安全资源进行集中管控云租户能够对所有订阅的安全资源统一自主管理软件定义安全网络智能部署集中管控策略智能编排云平台如何提供安边界安全虚拟化安全安全加固虚拟资源隔离入侵防御漏洞扫描基线核查边界安全防护入侵防御访问控制安全域隔离安全域划分访问控制流量清洗安全接入负载均衡网络威胁检测安全审计访问控制流量监控云安全服务平台通信安全通信线路冗余网关设备冗余通信传输加密完整性校验带外管理通道API接口SDN网络编排IaaS安全东西向安全虚拟机微隔离主机防病毒访问控制南北向安全入侵防范安全审计PaaS安全DaaS安全SaaS安全WEB应用防护API接口安全容器安全云数据库安全计算服务安全文件服务安全主机安全加固数据脱敏Web安全防护漏洞管理安全传输VPC隔离访问控制数据加密输入数据验证剩余信息保护业务&租户安全安全策略编排门户服务集中管控职责划分云操作监控综合审计管理安全集中管控态势感知管理网络隔离深信服等保2.0云安全体系集约共享开放接口边界虚拟化安全安全加固虚拟资源隔离入侵防御漏洞扫描基线核查边深信服云安全解决方案逻辑架构基于标准化X86服务器基于虚拟化技术的安全资源池安全能力服务化交付云计算环境与平台网络&策略智能编排API接口生态开放平台方界面租户侧界面集中管控满足云上用户合规、业务安全需求云安全服务平台信服云眼信服云盾AD

LBaaS

插件AD

驱动基于高性能安全硬件设备基于池化安全资源实现云上安全按需交付深信服云安全解决方案逻辑架构基于标准化X86服务器基于虚拟化深信服“云安全服务平台（等保2.0）”创新方案出口网络/安全设备云安全服务平台核心交换安全运营服务安全运营服务安全运营服务下一代防火墙下一代防火墙下一代防火墙上网行为管理日志审计系统上网行为管理数据库审计杀毒软件广域网优化日志审计系统数据库审计负载均衡杀毒软件负载均衡堡垒机SSLVPN流量编排等保二级合