云安全技术白皮书

1 1 5 7 7汉柏云安全解决方案 21 什么叫云安全借用云计算商业模式将信息安全以云服务方式交付。参照云计算SaaS(SoftwareasService)的定义方法，我们可以叫做SecaaS(SecurityasService)。比如阿里云的云盾、百度的安全宝、山石的云界、汉柏的云墙都属于针对云计算产品、服务、环境、数据等提供安全防护。属于这个领域的云安全产品。利用云计算技术提升信息安全服务能力与水平。比如奇虎360的天眼利用云计算大规模计算能力进行病毒查杀、汉柏的云脑利用云计算大规模计算和存储资源弹性伸缩技术进行未知安全威胁的预测和防御。2信息安全发展历史junperFERTINETWAFOiMPERNA是piss■图1主要信息安全业务领域从安全业务需求角度来看，呈现下面几个趋势：趋势一：从通信安全、计算机安全、网络安全向以应用为主的信息安全升级；趋势二：从主机病毒查杀到主机侧全方位安全；趋势三：从传统IT安全向移动互联网安全、云计算安全、工业控制安全、大数据安全等新领域挺进；趋势四：从防范已知威胁到未知威胁的防范。图2信息安全发展里程碑APPNGFW、IPS、王控安全云计算安金物联网安全大数据安全研发过程安全趋势二：将社会工程学融合到攻击实施过程中，比如脱裤、洗库、撞库等。3.从信息安全防御技术来看从信息安全防御技术角度看，呈现下面几个趋势：趋势一：利用云计算和大数据技术防范未知威胁攻击；趋势二：采用大数据挖掘、日志交叉关联分析等技术尽可能做到安全威胁的可视化；趋势三：从单点防范到威胁情报共享，实现全局联动与防范；趋势四：从4~7层检测到payload以及会话关联检测；趋势五：从单纯安全防护到重视前期预防，在信息系统研发、建设的过程中采取严格科学的流程确保尽可能少的安全漏洞。poaa4.从信息安全产品交付模式来看从信息安全产品交付模式来看，呈现下面趋势：趋势一：从软硬一体形态到纯软件形态；趋势二：从一次性售卖到租赁；趋势三：从线下实物交付到线上云服务交付。3随着云计算的兴起，应用软件厂商ISV纷纷开始尝试SaaS业务模式，同样一些信息安全厂商也开始在信息安全领域尝试SaaS模式，一般称之为SecaaS。从客户角度，SecaaS模式有下面几个明显优势：-提供全新的按需(规模，时间)销售模式用户在软件和硬件上都无任何前期的一次性成本开销，而且用户还可以随时启用或者停止安全服务，无需任何事前承诺。-提供全托管的软件交付模式-提供高可用，高安全的安全服务用户的服务由安全厂商自身的专业运维团队运维，且服务可用性是SecaaS客户协议中的-SecaaS的租用模式比原来一次性授权的模式让信息安全产品的使用成本门槛大幅下降可以让安全厂商可以服务更多原来无能力使用的大量长尾用户。-SecaaS让产品交付及后期支持变得容易很多。由于基于集中的托管模式，安全厂商可以在线交付和更新服务，所有支持也可以在线完成，比原来线下和现场交付和支持的模式要高效得多，相应的成本也有明显降低。-SecaaS让软件知识产权的保护变得更容易。由于后端集中托管，安全厂商无需再发行单独的软件安装包，也就让软件盗版及非法使用变得不可能。这将避免安全厂商大量的收入流失以及原来模式下沉重的法务支出。所以，安全产品和服务的销售和交付模式正在在沿着提高交付价值，降低用户使用成本，帮助安全厂商更好提供服务的方向发展。尽管SecaaS在模式上有非常明显的优势。但SecaaS带来的全托管模式也给安全厂商带来新的问题，其中一个最大的挑战就是基础设施投入和建设。而过去十年公有云laaS的快速发展则正好解决了SecaaS软件面临的这个重大挑战，大大降低安全厂商提供SecaaS服务的难度。具体体现在如下几个方面：公有云laaS让安全厂商不再需要自己投资昂贵的硬件基础设施运行SecaaS软件。相反，laaS提供了和SecaaS完全匹配的基础设施计费模式(按需付费),这让安全厂商在提供SecaaS服务上无基础设施成本的额外负担。-公有云提供的全球一致部署模式让安全厂商可通过互联网快速部署SecaaS服务到全球任一角落而无额外成本。-类似萃果的AppStore,公有云供应商开始普遍提供售卖软件产品及服务的统一平台(如软件市场)。该平台帮助安全厂商解决入口流量、用户管理、支付管理等多个方面的工作，让SecaaS服务的销售成本更低。正是得益于SaaS模式上的优势和过去十年公有云随着云计算产品和服务的开花落地，针对云环境、云系统、云数据、云操作等方面的安全防护需求也随着而来。比如vmware的vShield方案，与趋势科技合作，提供云主机的病毒查随着应用越来越丰富，安全事件也频繁爆发，用户对安全事件快速应急响应需求也越来越多。然而，之前的安全防护技术更多是基于已知威胁，一且发生未知威胁则需要相当长的时间研究才能够提供特征库更新或产品补丁升级。同时之前大多是单点防护，多个安全防护节点之间没有有效协同，导致安全防护效果不佳，防护范围也非常有限。因此未知威胁的提前感知、威胁情报共享就开始受到重视。但幸运的是，恰逢云计算技术和应用在当前得到长足发展和推广，因此安全产品和服务就可以利用云计算的集中模式、大规模并行分布式计算、海量存储以及大数据挖掘技术，来实现未知威胁的信息收集、存储、挖掘与分析、告警及展示；威胁情报的收集、确认、共享等，从而有效提升安全服务的质量。云安全发展现状当前还未有专业机构做SecaaS的市场统计。借鉴SaaS的市场情况，推测SecaaS占SaaS市场规模的10%左右。根据思科最新的全球云平台负载指数(如图6),SaaS已经成为云上最主要、增长最快的负载类型。到2018年全球云上负载超过一半都被SaaS服务消耗。图6全球云平台负载指数(思科统计)模将与2015年到达200亿美金，且复合年均增长率也是超过传统软件的5倍。从技术和产品角度来看，当前SecaaS服务主要有三种交付模式：由于laaS公有云的快速发展，公有云laaS提供商成为新的软件销售入口。越来越多的用户为降低初期基础设施投入，都直接在laaS上部署企业软件。这种方式降低了IT基础设施的成本，但是软件前期一次性授权的费用对很多企业来说仍然是很大的一笔开支。于是，laaS供应商开始和ISV合作，推出镜像市场模式销售软件。企业用户只需要在laaS软件市场订阅ISV的软件并利用镜像方式直接在laaS基础设施上启动服务，而且整个基础设施和软件授权费用都按使用时间和规模计费，统一通过laaS供应商的支付渠道完成支付。这里模式已经被公有云laaS供应商普逼采用，最为代表的有AWSMarketplace和阿里云的云市场。同理，安全厂商将安全软件从硬件中分离出来，以软件镜像的方式运行在laaS基础设施上面，提供SecaaS服务。这类模式的代表安全厂商已经比较多，下面是阿里云市场上的安全厂商：三云市场分类三云市场分类在此输入您需要的服务oominoomin5金牌主机安全代维服务Hillstone图8阿里云应用市场中的安全产品对于每一个用户，安全厂商在其后台独立部署一套安全防护系统，并由安全厂商集中运维所有用户的服务。在这种模式下，用户之间的资源和数据是从物理层进行隔离，互不影响，所以无需安全厂商在软件自身进行多租户改造。类似于多租户，用户也是按需向安全厂商租用服务，并且不关心其中的软件和硬件具体成本。由于这种模式的改造成本较低，同时又可以带来SaaS服务的诸多优点，所以这类模式成为传统安全厂商厂商转型SecaaS的一个新选择。代表厂商有云WAF服务商阿里云WAF、加速乐；云DDoS服务商阿里云DDoS等。-多租户模式真正的多租户模式，需要安全厂商对自己的安全产品做较大的改造，在前几年由NetScreen提出的虚拟防火墙，在本质上就是让防火墙支持多租户。不过当前还未见到大规模采用这种模式的安全厂商。中国私有云市场规模，2012-2013总计-USS549.1MB计-088766.7MIDC204(4.1)图9中国公有云市场规模(2013)针对云的安全防护市场规模当前也没有权威机构单独统计，如果按照云计算市场规模的10%计算，根据IDC2014年的统计预测数据，可以得出2013年中国云安全防护的市场规模大概在1.25亿美元。从技术和产品的角度，几家互联网公司都为自己的云自主研发了防护系统，比如阿里云的云盾、腾讯的大禹和天御。vmware的vShield方案，与趋势科技合作，提供云主机的病毒查杀；NSX方案，与Paloalto合作，提供云网络安全防护。此领域还主要利用云计算和大数据技术来进行未知威胁的感知和处理。奇虎360的天眼产品走在业界前面，传统安全厂商也逐渐开始关注此领域，不过大多还是基于SIEM和SoC的基础上进行概念包装。转型云安全的挑战大多传统信息安全厂商已经意识到云安全的刚需和迫切性，但要想进入云安全的三个领域在技术、交付、思维模式方面都存在较大的挑战。2)效率与性能租户隔离分为逻辑隔离与物理隔离两类。逻辑隔离意味着安全软件系统需要重构以支持多租户。-知识更新要针对云提供安全防护，则一方面需要对云计算的技术、系统结构、服务模式有较深入的理解和掌握，才能够提出适用于各种部署模式的云的安全防护解决方案，另一方面，需要改造和升级现有安全产品，能够对云环境、云系统、云数据、云操作等提供全方位的安全防护。-必须与虚拟化系统协同半年就升级一个大版本，从而导致安全解决方案也得不断的跟随openstack,疲于奔命。-技术挑战当前开源的云操作系统(分布式资源调度、分布式任务调度)比较多，利用开源系统搭建一个大型规模的云数据中心来进行大规模的计算任务相对并不困难，但是传统安全厂商不得不需要自己去开发未知威胁的收集、存储、挖掘、可视化、与探针有效联动的系统，则需要安全厂商掌握大规模分布式系统计算、并行计算、分布式存储、大数据挖掘算法、交叉关联分析算法、应用前端展示技术等，而这些是大部分安全厂商之前接触掌握较少的技术。-基础设施投入成本挑战必须要建设一定规模的云数据中心，则意味着大量的硬件服务器、存储、网络等设备投入，这是一笔不小的投入，而且还不直接产生收入，对公司的运营成本带来挑战。-运维管理挑战云数据中心虽然不直接对外提供服务，但是云数据中心的运维管理必不可少，对于传统安全厂商没有做过大型数据中心运维来说，也是不小的挑战。云安全转型的技术路线SecaaS的技术路线一般有三条，镜像交付和单租户交付模式前面已经阐述。-多租户模式通过“大平台+多租户”的模式提供SecaaS服务。所有用户的服务都由安全厂商集中运维管理，且所有用户的服务共享安全防护的资源池，由安全厂商提供的多租户逻辑实现用户之间的资源和数据隔离。用户按使用规模和时间直接向安全厂商付费(这个费用不再区分硬件费用和软件费用)。目前，这类模式被认为是SecaaS服务的最终产品形态，所有新型的SecaaS公司也基本都采用这种模式在运营。但是，到目前为止，还没有出现传统安全厂商成功转型成这种模式的成功案例。-与云平台厂商合作，开辟新的产品线云防护产品至少需要下面几个角色：1)可Scaleout的云安全防护控制器；2)可无缝嵌入到云平台的安全插件；3)可动态伸缩的安全防护资源池。自主建设机房、自主开发或采用开源系统搭建云操作系统、自主开发运行在云操作系统上的业务系统、自主运维管理数据中心。采用公有云模式，在公有云上租用虚拟数据中心vDC相对于私有云模式，少了机房和IT基础设施的建设，而是在公有云服务商那里租用以提供-采用混合云模式所谓的混合云模式，也就是在私有云和公有云上的vDC之间实现网络通信、业务自动双向迁移。当前，业务向公有云迁移有成功案例，反过来公有云业务向私有云迁移还未见到商用汉柏云安全解决方案云监管者云监管者云计算服务安全认证云消费者PrivateCommunityetc.云服务提供商软件定义安全云产品提供商云解决方案安全云计算产品测评认证云计算资产等级保护Hybrid4.服务模型此架构模型将云角色分为云监管者、云产品提供者、云服务提供商、云消费者，并描述了每个角色的主要职责和承担的安全风险。2.应用模型SecaaS(SecurityasService)CSP(CloudSecurityProtection)SCT(SecurityCloudTechnique)图11汉柏云计算安全应用模型此应用模型描述了三个云安全应用领域。3.部署模型PrivateCloudPublicPrivateCloudPublicCloud此部署模型分为公有云、私有云、混合云、社区云几个场景，同时针对每种场景的云安全需求也不尽相同。公有云场景，比较适合SecaaS服务，但对于公有云服务提供商来说，针对云的安全防护SCT需求仍然是必不可少，而且大都自主研发，以适应复杂的云场景。云计算安全服务模型云计算安全服务模型SaaS(SecuritySoftwareorFeatureaaS)PaaS(DistributedSecurityOS)HaaS(PhysicalFW、IPS.…)图13汉柏云计算安全服务模型5.技术架构MultitaskComputing存储与备份监控与大数据挖掘SOA基于隔离基于可信根储图14汉柏云计算安全技术架构数据保护OSS服务开通管理备份与恢复管理T服务水平管理服务交付目录管理服务自动化管理工单管理自动化部署配置与变更管理T资产管理容量与性能管理平台与虚拟化管理监控与事件管理BSS财务管理服务管理身份授权管理订单管理服务目录评级管理账单管理度量与计费定价管理客户管理合同管理图15汉柏云计算安全管理模型云操作可信确保云服务对用户透明比如：确保云中的数据不被窃取、尊改、甚至是数坏，云所提供的雕务不窃取，分析用户的隐私，云中所运行的应用不被非法监听、干扰，分析等可管确保针对用户提供定制安全服务比如针对租户提供定制化入侵防护服务比如针对不同用户提供不同级别的信息安全服务准备规划云数据择与部署可控确保云环境不被用来做恶比如利用云的规模性主动或被动发起网络攻击、利用云数据集中的特性敖布遥言、更加重要的是采用一些非常规的技术和手段泄露国家机密。或利用预留后门在紧急时刻发起针对云数据中心的饭灭性攻击等可靠确保云服务持续、符合SLA比如确保云报务持续可靠，不中断、不因为故障或其他原因导致用户损失等比如不被病毒感染，不被入侵攻击等云环境运行监管云系统终止服务物理安全基础设施安全虑拟化安全网络安全应用安全数据安全内容安全移动安全管理安全图16汉柏云计算安全评估模型在云计算服务生命周期的准备规划、选择与部署、运行监管、终止服务等4个阶段，分别从云操作、云数据、云环境、云系统等4个角度，就物理安全、基础设施安全、虚拟化安全、网络安全、应用安全、数据安全、内容安全、移动安全、管理安全等9个方面，进行可信、可控、可靠、可管等4个安全维度的评估。8.监管模型(MSP/CSP)图17汉柏云计算安全监管模型此监管模型提出云监管者可以从三个方面来实施监管：云计算产品测评认证、云计算服务安全认证和云计算资产等级保护。XenServer