2024超融合系统网络安全规范1

超融合系统网络安全规范超融合系统网络安全规范超融合系统网络安全规范1范围本文件规定了超融合系统网络安全的术语定义、功能要求、基本数据项和试验方法。本文件适用于超融合系统的研发和部署设计，以及应用中的网络安全管理。2规范性引用文件（包括所有的修改单适用于本文件。GB/T32400-2015信息技术云计算概览与词汇GB/T37939-2019信息安全技术网络存储安全技术要求3术语和定义GB/T32400-2015超融合系统网络安全规范1范围本文件规定了超融合系统网络安全的术语定义、功能要求、基本数据项和试验方法。本文件适用于超融合系统的研发和部署设计，以及应用中的网络安全管理。2规范性引用文件（包括所有的修改单适用于本文件。GB/T32400-2015信息技术云计算概览与词汇GB/T37939-2019信息安全技术网络存储安全技术要求3术语和定义GB/T32400-2015GB/T37939-20193.1超融合系统IT能力的不同，可以划分为基础级、增强级。4功能要求4.1基础级超融合网络安全监控安全、审计安全等功能。4.2增强级超融合网络安全计安全等功能。对于每个功能要求，增强级超融合网络安全比基础级超融合网络安全要求更严格。5基本数据项5.1管理安全应满足表1的要求。1表1 管理安全指标5.2系统内核层安全超融合系统内核层应具有自身系统内核的安全自检、自修复能力，指标应满足表2的要求。表2系统内核层安全指标5.3超融合数据层安全应满足表3的要求。2指标分类指标说明基础版增强版底层内核系统安全应支持底层系统完整性破坏、缺失检测的功能，且能更新或恢复初始的能力√√应支持操作系统包括但不限于LINUX、WINDOWS、第三方等系统底层内核的安全更新漏洞修复能力√√Hypervisor（计算虚拟化软件）Hyper-vKVMVmwareCtrixXen虚拟化软件安全更新√√应支持当前虚拟软件官方漏洞公布与即时修复的能力√√ServerSAN（分布式存储软件）应支持ServerSAN软件，包含但不限于Ceph、Swift、VSAN、Nutanix、EMCFusionCubeXenUIS√√CVE（CommonVulnerabilitiesandExposures，步响应更新的能力√√0day安全防护虚拟系统漏洞、应用系统漏洞、管理平台漏洞等√√指标分类指标说明基础版增强版表1 管理安全指标5.2系统内核层安全超融合系统内核层应具有自身系统内核的安全自检、自修复能力，指标应满足表2的要求。表2系统内核层安全指标5.3超融合数据层安全应满足表3的要求。2指标分类指标说明基础版增强版底层内核系统安全应支持底层系统完整性破坏、缺失检测的功能，且能更新或恢复初始的能力√√应支持操作系统包括但不限于LINUX、WINDOWS、第三方等系统底层内核的安全更新漏洞修复能力√√Hypervisor（计算虚拟化软件）Hyper-vKVMVmwareCtrixXen虚拟化软件安全更新√√应支持当前虚拟软件官方漏洞公布与即时修复的能力√√ServerSAN（分布式存储软件）应支持ServerSAN软件，包含但不限于Ceph、Swift、VSAN、Nutanix、EMCFusionCubeXenUIS√√CVE（CommonVulnerabilitiesandExposures，步响应更新的能力√√0day安全防护虚拟系统漏洞、应用系统漏洞、管理平台漏洞等√√指标分类指标说明基础版增强版物理环境安全应支持硬件物理损坏情况下高可用、容灾及数据恢复的能力√√管理平台应支持平台真伪鉴别的能力√√应支持管理平台WEB访问连接安全的能力√√应支持最小化安装原则、且能禁用无用组件功能√√管理业务应支持客户业务可持续性保护措施、全面保护客户业务的能力√√应支持各用户、业务、数据的隔离，不可互访的能力√√应支持应用粒度访问控制的能力√√管理人员同需2人以上分权操作。√√管理制度应制定总体安全目标、范围、原则、安全框架√√应定期对管理人员进行安全防护、防社工知识培训√√应定期对安全防护措施、安全管理制度进行论证、优化、更新、发布√√应建立岗位责任具体到人的负责制√√表3 超融合数据层安全指标5.4超融合网络层安全护等功能，指标应满足表4的要求。表4 超融合网络层安全指标5.5资源组件安全超融合资源组件安全指标应满足表5的要求。表5 资源组建安全指标5.6监控安全3一级指标二级指标指标说明基础版增强版虚拟资源组件安全组件完整性检测与恢复√√组件资源安全访问非授权不可互访√√一级指标二级指标指标说明基础版增强版网络层网络隔离、网络边界应支持逻辑隔离，细颗粒的vxlan的能力√√阻断的能力√√访问控制应支持角色最小权限划分，以及清晰的权限分离√√应支持按自定义方式的内容级粒度访问控制-√网络质量、网络风暴应支持QOSDDOS√√应支持最大流量与最大连接数的限制能力√√指标分类指标说明（定量、定性指标）基础版增强版计算数据应支持数据计算交互过程中的保密性、完整性能力，以及闪存数据的防护能力√√传输数据应支持数据传输过程中的保密性、防窃听、以及遭受侦听、嗅探时不可直接重组，重现完整数据的能力√√应支持物理故障时，数据仍可保持不低于正常吞吐量的能力。8K10000表3 超融合数据层安全指标5.4超融合网络层安全护等功能，指标应满足表4的要求。表4 超融合网络层安全指标5.5资源组件安全超融合资源组件安全指标应满足表5的要求。表5 资源组建安全指标5.6监控安全3一级指标二级指标指标说明基础版增强版虚拟资源组件安全组件完整性检测与恢复√√组件资源安全访问非授权不可互访√√一级指标二级指标指标说明基础版增强版网络层网络隔离、网络边界应支持逻辑隔离，细颗粒的vxlan的能力√√阻断的能力√√访问控制应支持角色最小权限划分，以及清晰的权限分离√√应支持按自定义方式的内容级粒度访问控制-√网络质量、网络风暴应支持QOSDDOS√√应支持最大流量与最大连接数的限制能力√√指标分类指标说明（定量、定性指标）基础版增强版计算数据应支持数据计算交互过程中的保密性、完整性能力，以及闪存数据的防护能力√√传输数据应支持数据传输过程中的保密性、防窃听、以及遭受侦听、嗅探时不可直接重组，重现完整数据的能力√√应支持物理故障时，数据仍可保持不低于正常吞吐量的能力。8K1000050000400M；256K800IOPS；2IPOS，200M√√存储数据应支持存储数据的保密性与完整性能力√√数据副本、CDP业务快速备份与恢复应支持2个以上副本（含2个）数据，且支持2种以上备份恢复方式√√应支持数据副本同步或异步备份且可快速恢复√√备份时间间隔不大于24h√√残余数据保护应支持虚拟资源CPU释放空间等资源回收时完全清除残留的能力√√超融合监控安全指标应满足表6的要求。表6 监控安全5.7审计安全安全审计范围应支持多种类型，包含事件、用户、事件类型、事件进行的状态等。6试验方法6.1管理安全5.1中的清单项，逐一对照安全项检查其合规性。管理平台、管理业务中的平台真伪识别、WEBSSL数字证书进行通信连接加密与平台真实性识别。6.2系统内核层安全应按以下方法检查当前内核版本是否最新:cat/proc/version或uname超融合监控安全指标应满足表6的要求。表6 监控安全5.7审计安全安全审计范围应支持多种类型，包含事件、用户、事件类型、事件进行的状态等。6试验方法6.1管理安全5.1中的清单项，逐一对照安全项检查其合规性。管理平台、管理业务中的平台真伪识别、WEBSSL数字证书进行通信连接加密与平台真实性识别。6.2系统内核层安全应按以下方法检查当前内核版本是否最新:cat/proc/version或uname–alsb_release–acat/etc/issueWindowssysteminfo按需要采用内核升级指令，保持与发行版本的即时更新。针对计算虚拟化软件分布式存储软件0daykernel具与升级方式保持其最新，且在厂商官网，以及第三方CVE（CommonVulnerabilitiesand6.3超融合数据层安全sniffer、wireshark存储数据采用拔盘外挂载第三方机器上，尝试直接读取其数据、或重组其数据的可能性。数据副本、CDP314一级指标二级指标指标说明基础版增强版安全监控监控范围应支持各类型的范围监控:包括资源、管理平台、技术、人员行为等√√监控反馈应支持至少1种及以上的监控反馈方式：短信、应用、邮件、报警音等√√监控联动可支持自定义事件发生时，策略联动的能力-√6.3.3Iometer,FIO3100G，此操作仅为测试前常规操作，不作为测试结果值。再开始正式测试。8K256K（小文件与大文件）28K6.3.3Iometer,FIO3100G，此操作仅为测试前常规操作，不作为测试结果值。再开始正式测试。8K256K（小文件与大文件）28K1万5万400M；256K800IOPS2千IPOS，带宽不少于200M。6.4超融合网络层安全6.4.12honeyd、、explorerIP80212223TCPUDPTTL6.4.2网络质量、网络风暴snifferwiresharkPING络抖动率。6.4.3网络攻击防护DDOSCCIPDDOS3击行为。能实现攻击能被检测记录，能有效阻断等功能；Web问一句话病毒3次，若无响应则为内核防毒发挥。6.5虚拟资源组件安全引具体缺失组件以及恢复指引。6.6安全监控检测方法监控范围采用目测