云計算關(guān)鍵領(lǐng)域安全指南-PPT課件

1、CISRG & SECURITY DEPARTMENT OF NEUSOFT云計算關(guān)鍵領(lǐng)域安全指南云計算安全的關(guān)注域云計算安全治理域運行域ISO38500ISO17799ISO27002（？）TOPIC云計算安全運行域的具體實現(xiàn)云計算體系中的安全關(guān)注點如何劃分云計算體系中的安全域如何構(gòu)建云計算安全的技術(shù)體系如何建設云計算安全中的應急響應機制PART I一個標準的云計算體系安全解析云計算中的安全關(guān)注點（1）首要關(guān)注點：數(shù)據(jù)安全云計算系統(tǒng)的核心業(yè)務：為用戶提供云計算與云存儲服務用戶關(guān)心自身數(shù)據(jù)流轉(zhuǎn)全過程的安全性：數(shù)據(jù)上傳數(shù)據(jù)處理數(shù)據(jù)處理數(shù)據(jù)存儲數(shù)據(jù)下載云計算中的安全關(guān)注點（2）服務商關(guān)注點：系統(tǒng)運

2、維安全服務商核心工作：確?？蛻魯?shù)據(jù)安全與自身業(yè)務連續(xù)性Confidentiality保密性Availability可用性Integrity完整性典型云計算體系拓撲圖用戶數(shù)據(jù)的流轉(zhuǎn)過程1.數(shù)據(jù)生成3.數(shù)據(jù)緩存2.數(shù)據(jù)傳輸4.數(shù)據(jù)處理5.數(shù)據(jù)存儲保障業(yè)務連續(xù)性的關(guān)鍵節(jié)點存儲保障鏈路保障業(yè)務保障管理保障PART 2云計算體系中的安全域劃分由云的服務類型劃分安全域云計算服務群云存儲存儲介質(zhì)群存儲控制群云計算運算服務器群運算控制群云計算體系安全域的簡單劃分存儲區(qū)域運算區(qū)域核心安全域業(yè)務支撐域網(wǎng)絡節(jié)點鏈路通信運維保障域運維系統(tǒng)云計算體系的重新表述PART 3構(gòu)建云計算安全的技術(shù)體系云安全與傳統(tǒng)安全的區(qū)別缺

3、乏透明度業(yè)務不透明業(yè)務流程不透明管理機制不透明數(shù)據(jù)狀況不透明數(shù)據(jù)流轉(zhuǎn)過程不透明正常業(yè)務的基本保障客戶選擇的理由客戶驅(qū)動決定核心技術(shù)完整性保密性可用性數(shù)據(jù)容災備份技術(shù)加密與身份控制識別技術(shù)數(shù)據(jù)容災備份技術(shù)數(shù)據(jù)容災備份的本質(zhì)是數(shù)據(jù)冗余通信鏈路的冗余架設。（線路、節(jié)點全部冗余）數(shù)據(jù)存儲設備自身的冗余機制。（Raid）數(shù)據(jù)存儲體系設計中的冗余機制。（增量或異地備份）加密與身份識別控制數(shù)據(jù)加密與身份識別貫穿用戶業(yè)務的全過程用戶在上傳數(shù)據(jù)前即自行加密，上傳加密數(shù)據(jù)。傳輸過程中使用VPN進行加密傳輸，防止嗅探。數(shù)據(jù)存儲過程中進行加密存儲。備份數(shù)據(jù)應以密文形式原樣備份。通過為用戶頒發(fā)數(shù)字證書進行身份識別，且該

4、電子簽名應與其擁有的數(shù)據(jù)嚴格綁定并控制其權(quán)限。云安全技術(shù)體系的實踐構(gòu)架PART 4云安全中的應急響應機制事件應急響應的分類安全事件響應設備自動響應事件告警處理事件自動干涉人員應急響應現(xiàn)場/遠程手動處理設備自動應急響應體系（1）防火墻與IDS聯(lián)動形成的簡單自動防御響應UTM/IPS內(nèi)置防御規(guī)則的簡單自動防御響應中間件系統(tǒng)及抗DDOS系統(tǒng)對異常并發(fā)連接的簡單響應機制設備自動應急響應體系（2）設備自動應急響應體系（3）SOC在云安全體系中的應用在互聯(lián)網(wǎng)環(huán)境中，支持云安全技術(shù)的網(wǎng)關(guān)設備可以通過SOC進行遠程聯(lián)動。利用云計算環(huán)境資源，進行更加高效的安全日志關(guān)聯(lián)分析與存儲，得出更加準確的安全事件告警與響應

5、。結(jié)合事件管理與工單派發(fā)系統(tǒng)與人員手動響應機制進行關(guān)聯(lián)。設備自動應急響應體系（4）利用關(guān)聯(lián)分析完成準確響應1、何謂關(guān)聯(lián)分析 是指利用算法去判斷一系列報警事件是否源于同一個攻擊行為并完成攻擊場景的重構(gòu)。這種攻擊行為具有單一的攻擊意圖，可以包括單個簡單的攻擊行為和由一系列攻擊步驟組成的復雜的攻擊行為，也被命名為攻擊場景。其中關(guān)聯(lián)分析是整個網(wǎng)絡報警處理的核心，利用關(guān)聯(lián)分析技術(shù)處理安全設備所產(chǎn)生的報警事件現(xiàn)在是安全管理研究中的一個熱點問題。在實際網(wǎng)絡環(huán)境下，攻擊者在實施攻擊的過程中，其掃描行為、口令試探行為、訪問文件行為、會話、流量往往會在不同的安全工具上留下相應的特征。關(guān)聯(lián)分析正是要依靠下轄的IDS節(jié)點、VPN網(wǎng)關(guān)、防火墻、路由器等安全設備提供的這