云计算安全需求分析与网络_云计算平台的技术安全需求按照“端-管-云”的安全威胁分析方法,主要分成云端安全

一、云计算安全概念与威胁分析

1.1云计算基本概念

概念:云计算通过虚拟化及网络通信技术,提供-种按需服务弹性化的IT资源池服务平台
主要特征:

1. IT资源以服务的形式提供(按需使用、计量付费; laaS、 PaaS、 SaaS、 DaaS、 STaaS)
   2.多户哼IT资源(功能隔离、性能隔离、故障隔离)
2. IT资源按需制定与按用付费
3. IT资源可伸缩性部署(按时段随时添加和移除资源，满足弹性要求。部署模式:私有云、社区
   云、公有云、混合云)

1.2云计算安全分析

端-管云
端: .使用云计算服务的终端设备或用户端
, 管:连接用户端和云计算平台的网络
云:云计算服务平台

1.2.1云“端”安全威胁

终端设备安全(账号、仿冒、隐私)

1.2.2云"管”安全威胁

网络监听、网络数据泄露、中间人攻击、拒绝服务

1.2.3云计算平台安全威胁

1.云计算平台物理安全威胁(资源集中化，导致物理环境单点安全高风险)
2.云计算平台服务安全威胁(平台安全性依赖与云服务商的安全管理及维护。威胁:云服务安全
漏洞、虚拟机安装不可信任、虚拟机逃逸、非安全的云服务API接口、侧信道攻击)
3.云平台资源滥用安全威胁(构造僵尸网络)
4.云计算平台运维及内部安全威胁
5.数据残留(完全删除)
6.过渡依赖(服务无法回迁)
7.利用共享技术漏洞进行攻击(攻击隔离机制)
8.滥用云服务
9.云服务中断
10.利用不安全接口的攻击
11.数据丢失、篡改或泄露

1.3云计算安全要求

1.物理和环境安全
2.网络和通信安全
3.设备和计算安全
4.数据安全和应用安全
5.翱户安全隔离
6.拟资源安全
7.云服务安全合规
8.数据可信托管
9.安全运维及业务连续性保障
10.隐私保护

二、云计算服务安全需求

2.1云计算技术安全需求

1.云端安全需求分析(端:份鉴别与标识、资源访问控制、数据安全存储、设备及服务软件安
全)
2.网络安全通信安全需求分析(管: 身份认证、密钥分配、数据加密、馗加密防火墙、
VPN、抗拒绝服务)
3.云计算平台安全需求分析(云:物理环境安全、主机服务器安全、操作系统、数据库安全、硼
及数据安全、云操作系统安全、拟机安全、多租户安全隔离)

2.2云计算安全合规需求

●国外:云安全联盟(Cloud Security Alliance, CSA) 4.0
●国内:《云计算 服务安全评估办法》《信息安全技术 云计算服务安全指南》(GB/T 31167-
2014)《信息安全技术 云计算服务安全能力要求》(GB/T 31168-2014)

2-3云计算隐私保护需求

1.数据采集
2.数据传输
3.数据存储
4.数据使用.
5.数据维护
6.数据安全事件处置

三、云计算安全保护机制与技术方案

3.1云计算安全等级保护框架

”-个中心，三重防护”:安全管理中心;安全计算环境、安全区域边界、安全通信网络防护安全

3.2云计算安全防护

●物理和环境安全:物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水、防
潮、防静电、温湿度控制、电力供应、电磁防护
●网络和通信安全:网络架构、通信传输、边界防护、访问控制、入侵防范、恶意代码防范、安全
审计、集中管控
●设备和计算安全:身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制、镜像
和快照保护
●应用和数据安全:身份鉴别、访问控制、安全审计、软件容错、资源控制、接口完全、数据完整
性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护

3.3云计算安全管理

●安全策略和管理制度:安全策略、管理制度制定和发布、评审和修改
●安全管理机构和人员:岗位设置、人员配备、 授权和审批、沟通和合作、审核和检查、人员录
用、安全培训、门禁
●安全管理对象:系统定级和备案、安全方案设计、产品采购与使用、自行软件开发、外包软禁开
发、工程实施、测试验收、系统交付、等级测评、供应商选择、供应链管理

3.4云计算安全运维

●计算环境与资产运维管理:环境管理、资产管理、介质管理、数据管理
●云计算系统安全漏洞检查与风险分析:安全漏洞监测、安全漏洞扫描、安全合规检查、安全风险
分析
●云计算系统安全设备及策略维护:网络和系统安全管理、恶意代码防范管理、密码管理、设备维
护管理、配置管理、更管理
●计算系统安全监管:计算系统安全测评、外包运维管理
●云计算系统安全监测与应急响应:监控和审计管理、应急预案管理、安全事件处置、备份与恢复
管理