面向云计算的安全测试解决方案国信安

面向云计算的安全测评解决方案中国网安检测测评中心二O一五年十二月Contents云安全风险分析2中国网安检测测评中心介绍345云安全测评背景16云安全测评解决方案云安全测评服务业务云安全测评环境和工具用户将自己的应用和数据迁移到云端，其应用和数据的安全直接依赖于在云端所采取的安全措施。如果安全措施不到位，那么云计算和服务将面临数据安全风险、虚拟化风险、终端安全风险、运行风险等安全威胁。一、云安全测评背景一、云安全测评背景在云中实施的安全措施对用户是缺乏透明度的，用户不能确切掌握云端安全措施的机制和有效性，这使得云用户对云计算心存忧虑，云安全成为影响云计算市场推广的关键。为提升用户信心和安全保障，为用户选择哪种云服务提供参考，采取第三方云安全测评变得十分必要。用户信任User'strust安全手段securemeans云计算作为一种创新的服务形态，存在传统的安全风险，同时也引入了一些新的安全风险。二、云安全风险分析

虚拟化的风险

虚拟机逃逸及非法越界风险Hypervisor层漏洞

虚拟机漂移风险

镜像、模板和快照文件缺乏保护措施Hypervisor管理员不可信

虚拟网络中虚拟机间的相互攻击和控制

虚拟网络流量不可见

对虚拟机行为审计难度加大

虚拟客户机内部监控手段缺失……虚拟virtual二、云安全风险分析数据安全风险

数据集中后用户对数据控制力度减弱

数据访问控制粒度不够

数据残留

数据隔离不彻底……终端管控安全风险

终端接入与认证手段减弱

终端传输泄密

终端无法保证丢失免责

终端管理混乱……二、云安全风险分析其他风险

云系统管理员权利过大

云租户之间的安全隔离与访问控制

密码使用及密钥管理的难度

病毒及恶意代码风险

多安全级并存风险

密码算法后门

密码资源配置使用错误……我们能给出解决方案？三、中心介绍中国网安检测测评中心（简称“中心”）是中国电子科技网络信息安全有限公司旗下专门从事检测、测评技术服务的团队，最早成立于1973年。中心以信息安全为核心方向，开展各项检测、测评技术服务。中心依托网安公司深厚的网络信息安全技术背景，开展网络信息安全测评技术研究。中国网安测评中心北京分部成都分部软件测评实验室安全测评实验室环境与可靠性实验室电磁环境效应实验室计量校准实验室软件测评实验室4000㎡专用独立的测试和实验场地三、中心介绍60,000,000Yuan元专业测试、试验仪器设备三、中心介绍三、中心介绍68Coremembers核心测试人员拥有国家级安全和软件测试资格17人；拥有高级以上职称人员9人，占比为15%；拥有中级职称人员38人，占比为62%。研究生以上学历的24人，占比为40%。三、中心介绍8-10Projects并发中型项目的测试能力三、中心介绍GB/T31167-2014《信息安全技术云计算服务安全指南》GB/T31168-2014《信息安全技术云计算服务安全能力要求》GB/TXXXXX-XXXX《信息安全技术云计算服务安全能力评估方法》（内部草案）GB/TXXXXX-XXXX《信息安全国家标准桌面云安全技术要求》（内部草案）BMB-XX《涉密虚拟化管理平台技术要求》（内部草案）GB/T28448-2012《信息安全技术信息安全等级保护测评要求》BMB-22《涉及国家秘密的信息系统分级保护测评指南》国内云计算安全标准中心参与多个国家级云安全标准编写工作准确把握国内云安全测评要求和发展形势三、中心介绍具有军用实验室认可资质，认可能力18项（包括嵌入式、非嵌入式）；成都市信息系统与软件具有中国合格评定国家认可委员会（CNAS）认可能力8项，四川省质量监督局（CMA）证书认可能力38项；环境与可靠性实验室具有军用实验室认可资质，认可能力14类；电磁兼容测试具有军用实验室认可资质，认可能力6项；国防科技工业实验室认可委员会（DILAC）认可资质，14类。三、中心介绍规范的测评管理，测评活动的展开严格遵循CNAS体系的要求，保证工作质量，提高测评工作的客观公正性！

云计算面临的传统风险可以借鉴传统安全测评的方法和手段实施测评；云计算引入的新安全风险为测评带来了新的挑战，我们给出了全新的回答。系统虚拟化安全测评主要对虚拟机监控、虚拟化平台的资源隔离、安全隔离机制、管理员权限分离机制、事件审计等机制及其实施进行测评。网络虚拟化安全测评测评主要覆盖虚拟网络的逻辑隔离、访问控制措施、接口带宽管理机制实现等方面。存储虚拟化安全测试测评应关注安全控制措施的落实、限制对物理存储实体的直接访问、虚拟存储资源的逻辑隔离、虚拟存储资源释放后的清除、虚拟存储数据审计手段、虚拟存储数据访问控制手段、虚拟存储冗余备份支持等。四、云安全测评解决方案SolutionAA虚拟化安全测评

数据安全是信息安全的核心，主要围绕数据完整性、数据保密性和备份恢复方面的安全措施进行数据安全测试。重点测评存放在虚拟机或虚拟存储上的数据是否确保在非法用户绕过访问安全机制的情况下不被轻易地窃密、修改、删除和破坏。四、云安全测评解决方案SolutionBB数据安全测评针对云计算服务本身设计、提供的应用安全措施进行测试，如云安全审计。针对云计算服务需要借助外部提供的安全机制进行应用安全测试，如身份管理、云访问控制、通信保密等。四、云安全测评解决方案SolutionCC应用安全测评密码算法配置及实现、密码资源使用、密码协议、安全防护机制等的测评。

镜像、模板文件加密、密钥的使用迁移、云系统消息队列加密、虚拟网络加密、VirtIO加密等各种应用场景下的加解密的测评。四、云安全测评解决方案SolutionDD密码管理测评提供云安全测评服务supplyingtheservice五、云安全测评服务业务云设备安全测试虚拟机虚拟化网络云存储IaaS管理平台周边设备……功能、性能指标虚拟化安全访问控制安全审计加密认证......五、云安全测评服务业务云平台安全测试桌面云数据中心云基础设施云平台云应用云……功能、性能指标虚拟化安全平台安全数据安全应用安全访问控制安全审计密码使用和管理.......五、云安全测评服务业务云服务安全评估IaaS云服务PaaS云服务SaaS云服务……终端接入与认证用户数据隔离与清除访问控制安全审计系统稳定性物理和环境安全运营商服务承诺.......云安全测评方案适用于云计算产品、平台、服务的安全测试云安全测评环境和工具测试环境：

专用实验室工具：六、云安全测评环境和工具六、云安全测评环境和工具功能性能测试工具：IXIAchariot、SpirentTestCenter、Memtest86+等20余款。

渗透测试工具：渗透测试Metasploit、漏洞扫描Webinspect、AppScan、漏洞挖掘工具PeachFuzzing等。云平台安全测试工具安全测试专有工具Ovirt－KVM、Openstack－KVM等。

自主研发云平台安全测试系统六、云安全测评环境和工具云平台安全测试系统虚拟化安全隔离检测工具针对云平台虚拟机