水利专业软件云计算平台安全风险与对策分析.pdf

水水利专业软件云计算平台安全风险利专业软件云计算平台安全风险 与对策分析与对策分析 中国水科院中国水科院 信息中心信息中心 2014.9.19 目录目录 云计算安全体系架构云计算安全体系架构 构建水利专业云构建水利专业云平台安全体系平台安全体系 水利专业软件云计算平台安水利专业软件云计算平台安全问题全问题 2 水利专业软件云计算平台安水利专业软件云计算平台安全全对策对策 水水利专业软件云计算平台架构利专业软件云计算平台架构 1 3 水利专业软件云计算平台水利专业软件云计算平台架构架构 Xen CenterXen Center 云平台管理云平台管理 服务器服务器 存储管理存储管理 服务器服务器 虚拟应用交付虚拟应用交付 服务器服务器 虚拟桌面虚拟桌面 服务器服务器 存储存储 物理服务器物理服务器 WebWeb 服务器服务器 十二五科技支撑项目“重大水利 工程建设信息数字化标准化专项 技术开发研究” （2012BAH10B00）[1]和水利 部公益性行业科研专项“服务为 导向水利工程质量和进度控制关 键技术”（2060302）的研究工 作中包括水利工程建设施工管理 云和水利工程规划设计（软件） 云两个云平台的建设 水利专业软件云计算平台水利专业软件云计算平台架构架构续续 SaaS（水利专业软件应用平台） 软件发布 软件管理 用户管理 运营管理 数据库 专业数据 群体软件 精英软件 应用案例 水利专业软件库 PaaS（水利专业软件开发平台） 模型管理 模型接口 数据接口 软件生成 水利专业模型库 计算方法 专业模型 控制参数 虚拟服务器 虚拟网络 虚拟存贮 虚拟外设 虚拟化系统 / 资源管理 / 安全管理 / 负载均衡 / 运维 IaaS（水利专业软件基础平台） 水利专业软件云计算平台架构（续）水利专业软件云计算平台架构（续） 用户通过用户通过网页来运行使用云平台虚拟服务器上网页来运行使用云平台虚拟服务器上 的应用程序的应用程序，要，要提供三类应用程序的发布和运行管提供三类应用程序的发布和运行管 理，包括理，包括Excel计算表计算表格格（（群体软件群体软件））、、可执可执 行程序和注册软件行程序和注册软件包包（精英软件）（精英软件）。。 网页入口网页入口 软件管理软件管理 用户管理用户管理 软件商城软件商城 水利专业软件云计算平台安全问题水利专业软件云计算平台安全问题 运行运行 于云于云 平台平台 的软的软 件怎件怎 样与样与 本地本地 硬盘硬盘 完全完全 隔离隔离 Excel宏代码泄漏宏代码泄漏 Excel程序非授权拷贝、下载程序非授权拷贝、下载 群体软件安全群体软件安全 软件盗版，非授权拷贝；软件盗版，非授权拷贝； 精英软件安全精英软件安全 多个操作系统共享物理资源多个操作系统共享物理资源 虚拟机安全 DDos、服务授权，访问控制、服务授权，访问控制 平台系统安全平台系统安全 水利专业软件云计算平台安全问水利专业软件云计算平台安全问题（续）题（续） 3 2 1 实际上实际上，对于云计算的安全保护，通过，对于云计算的安全保护，通过 单一的手段是远远不够的，需要一个完单一的手段是远远不够的，需要一个完 备的备的体系。体系。 需进一步需进一步研究多层次的云安研究多层次的云安全全体体系，数据加密、网系，数据加密、网 络安全、数据隔离、络安全、数据隔离、病毒防护策略、攻击防御检测病毒防护策略、攻击防御检测 方法等，为方法等，为云云平台平台提提供全方位的技术供全方位的技术支持。支持。 传统安全技术，如加密机制、安全认证机制、传统安全技术，如加密机制、安全认证机制、 访问控制策略通过集成创新，访问控制策略通过集成创新，可提供可提供一定的一定的 支撑，但不能完全解决云计算的安全支撑，但不能完全解决云计算的安全问题。问题。 水利专业软件云计算平台安全对策水利专业软件云计算平台安全对策 KVM 虚拟虚拟机管理机管理 资资源管理与监控源管理与监控 计计算资源算资源 计计算资源算资源 存储资源存储资源 存储资源存储资源 虚拟层虚拟层 资源层资源层 SaaS PaaS IaaS 目录服务目录服务 资源映射服务资源映射服务 存储的存储的文件文件同步同步 服务管理服务管理 认证授权认证授权 计费机制计费机制 服务层服务层 信息管理信息管理 数据处理数据处理 数据挖掘数据挖掘 精英软件精英软件 群体软件群体软件 数据采集数据采集 应用层应用层 安安 全全 监监 控控 蜜罐虚拟机蜜罐虚拟机 旁侧攻击防御旁侧攻击防御 虚拟机镜像安全虚拟机镜像安全 虚拟化软件安全虚拟化软件安全 数据混淆数据混淆 服服务审计监管务审计监管 平平台安全性验证台安全性验证 服服务安全性验证务安全性验证 数据加数据加密密 数数据完整性验证据完整性验证 用用户身份认证户身份认证 动动态访问控制态访问控制 信信任服务授权任服务授权 终终端安全策略端安全策略 水利专业软件云计算平台安全对水利专业软件云计算平台安全对策策hook 群群 体体 软软 件件 安安 全全 水利专业软件云计算平台安全对策水利专业软件云计算平台安全对策防拷贝防拷贝  研究平台数据防拷贝机制，从底层确保数据安全研究平台数据防拷贝机制，从底层确保数据安全 软软 件件 安安 全全 水利专业软件云计算平台安全对策水利专业软件云计算平台安全对策软件加密软件加密 精精 英英 软软 件件 安安 全全 云平台云平台 开发者开发者 网络用户网络用户 水利专业软件云计算平台安全对策水利专业软件云计算平台安全对策虚拟安全虚拟安全 虚拟蜜罐虚拟蜜罐 虚拟镜像虚拟镜像 水利专业软件云计算平台安全对策水利专业软件云计算平台安全对策访问控制访问控制 访问控制访问控制 安全域安全域 水利专业软件云计算平台安全对策水利专业软件云计算平台安全对策漏洞扫描漏洞扫描 保障云平台系统的安全需要在云平台部署漏洞扫描、病保障云平台系统的安全需要在云平台部署漏洞扫描、病 毒扫描等产品毒扫描等产品。由于。由于漏洞扫描系统需要强大的病毒库支漏洞扫描系统需要强大的病毒库支 持，病毒库需要定时更新，持，病毒库需要定时更新，建议与建议与现有的安全厂商共同现有的安全厂商共同 研究开发，使用现有厂商已经成熟的漏洞扫描研究开发，使用现有厂商已经成熟的漏洞扫描产品产品、病、病 毒库以及病毒软件升级系统，研究适合于云平台的漏洞毒库以及病毒软件升级系统，研究适合于云平台的漏洞 扫描扫描以及病毒以及病毒升级软件系统，实时监测平台运行的安全升级软件系统，实时监测平台运行的安全 状况，保障云平台系统状况，保障云平台系统稳定稳定、安全的运行。、安全的运行。 平平 台台 安安 全全 水利专业软件云计算平台安全对策水利专业软件云计算平台安全对策防火墙防火墙 国际互联网国际互联网 云交换机云交换机 内部网络内部网络 防火墙防火墙 云服务器云服务器1 1 云服务器云服务器2 2 云服务器云服务器3 3 防病毒网关防病毒网关WebWeb网关网关 DMZDMZ区交换机区交换机 IDSIDS网关网关 存储阵列存储阵列 水利专业软件云计算平台安全对策水利专业软件云计算平台安全对策应急响应应急响应  防火墙与防火墙与IDS联动形成简单自动防御响应联动形成简单自动防御响应  UTM/IPS内置防御规则的简单自动防御响应内置防御规则的简单自动防御响应  中间中间件系统及抗件系统及抗DDOS系统对异常并发连接的简单响应机制系统对异常并发连接的简单响应机制 进一进一步的思考步的思考 技技术重要，管理更重要术重要，管理更重要 突出人的作用，强化应急响应突出人的作用，强化应急响应 门锁了，还要留意窗户门锁了，还要留意窗户 谢谢谢谢 水利专业软件云计算平台安全风险水利专业软件云计算平台安全风险 与对策分析与对策分析