《模塊2-：云計算基礎(chǔ)設(shè)施安全》由會員分享，可在線閱讀，更多相關(guān)《模塊2-：云計算基礎(chǔ)設(shè)施安全（55頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、Click to edit Master title style,,Click to edit Master text styles,,Second level,,Third level,,Fourth level,,Fifth level,,*,,All Rights Reserved.,Click to edit Master title style,,Click to edit Master text styles,,Second level,,Third level,,Fourth level,,Fifth level,,*,? 2012 Securosis LLC and Cloud

2、 Security Alliance,,All Rights Reserved.,Click to edit Master title style,,Click to edit Master text styles,,Second level,,Third level,,Fourth level,,Fifth level,,*,,? 2012 Securosis LLC and Cloud Security Alliance,,All Rights Reserved.,Click to edit Master title style,,Click to edit Master text sty

3、les,,Second level,,Third level,,Fourth level,,Fifth level,,*,,? 2012 Securosis LLC and Cloud Security Alliance,,All Rights Reserved.,Click to edit Master title style,,Click to edit Master text styles,,Second level,,Third level,,Fourth level,,Fifth level,,*,,? 2012 Securosis LLC and Cloud Security Al

4、liance,,All Rights Reserved.,Click to edit Master title style,,Click to edit Master text styles,,Second level,,Third level,,Fourth level,,Fifth level,,*,,? 2012 Securosis LLC and Cloud Security Alliance,,All Rights Reserved.,Click to edit Master title style,,Click to edit Master text styles,,Second

5、level,,Third level,,Fourth level,,Fifth level,,*,,,模塊2：云計算基礎(chǔ)設(shè)施安全,1,1,學(xué)習(xí)目標(biāo),云計算基礎(chǔ)設(shè)施的組件,,不同部署模型的安全情況,,基于虛擬基礎(chǔ)設(shè)施工作的安全優(yōu)點和缺點,,如何保護云管理平面的安全,,不同服務(wù)模型的安全基本知識,2,2,,,云基礎(chǔ)設(shè)施安全,3,3,,,保護底層基礎(chǔ)設(shè)施,4,4,,,,,舉例：IaaS如何工作,5,VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,計算池,管理協(xié)調(diào),存儲池,管理協(xié)調(diào),,計算控制器,,存儲/容量控制器

6、,管理網(wǎng)絡(luò),,(使用API庫),外部世界,5,,,,,公共云 vs.私有云,6,VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,計算池,管理協(xié)調(diào),存儲池,管理協(xié)調(diào),,外部世界,在公共云中，你只能控制你購買的部分，附加很少的管理能力,管理網(wǎng)絡(luò),,(使用API庫),,計算控制器,存儲/容量控制器,6,,,基礎(chǔ)設(shè)施組件,8,Image Service,,鏡像服務(wù),Identity Service,,身份服務(wù),7,,,基礎(chǔ)設(shè)施組件案例,9,Image Service,Identity Service,All of

7、these core components need to be securely configured, patched, hardened, and maintained.,,所有核心組件都需要進行安全配置、更新補丁、加固和維護,8,,,保護云基礎(chǔ)設(shè)施,10,9,,,加固主機和服務(wù),加固主機,,,所有云仍運行在硬件之上，因此關(guān)于數(shù)據(jù)中心安全的所有知識還都適用，服務(wù)器和服務(wù)需要進行適時的更新，建設(shè)時需要有冗余的措施，以使得更新數(shù)據(jù)庫或消息服務(wù)器時不需要停止云的運行,,加固和隔離主機上的服務(wù),,云運行在一組服務(wù)上并將這些服務(wù)整合在一起，每個服務(wù)都跟其它服務(wù)器一樣需要被保護。如果攻擊者入侵了云中

8、的任何一個組件，它們就可能控制你的整個云系統(tǒng)，因此應(yīng)關(guān)掉不使用的任何功能。,,,有些云服務(wù)總想以不必要的較高的權(quán)限來運行（比如使用一個數(shù)據(jù)庫root帳號）你需要盡量讓每個服務(wù)以盡可能低的權(quán)限來運行。,11,10,,,關(guān)于物理安全,云中心的選址：避開地震帶，洪水易侵蝕的地區(qū)，考慮當(dāng)?shù)氐姆缸锫?、政治穩(wěn)定情況、供電等。,,邊界安全的4D手段：阻止deter、檢測detect、延緩delay、否決deny,,機房的基礎(chǔ)設(shè)施建設(shè)：防火、防水、防盜措施,,在選擇云服務(wù)前，用戶需要與服務(wù)提供商充分的溝通，了解其在物理安全方面的保障能力，以及改進的能力，從而判定是否滿足自身的風(fēng)險偏好。,,關(guān)于災(zāi)備與恢復(fù)計劃：

9、,定義恢復(fù)點和恢復(fù)時間目標(biāo)，選擇運服務(wù)時需要考慮云中心的位置、風(fēng)險程度，以及恢復(fù)要素的記錄是否與目標(biāo)一致,,云備份和災(zāi)難恢復(fù)服務(wù)的目標(biāo)是：降低云服務(wù)提供商為客戶付出的基礎(chǔ)設(shè)施、應(yīng)用和總體業(yè)務(wù)過程的成本,11,11,,,虛擬機管理程序安全,12,12,,,IaaS網(wǎng)絡(luò),13,13,,,架構(gòu)安全考慮,14,14,,,保護架構(gòu),15,使用信任/可用區(qū)進行隔離以滿足安全和合規(guī)要求,,,普通區(qū),安全區(qū),VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,網(wǎng)絡(luò)池A,網(wǎng)絡(luò)池C,網(wǎng)絡(luò)池B,存儲

10、池A,存儲池C,15,,,Management Plane Security管理平面安全,16,16,,,管理平臺,關(guān)鍵功能,,虛機遷移,,虛機供應(yīng),,啟動/停機,,配置資源池,,計算,,存儲,,網(wǎng)絡(luò)（VLAN）,安全考慮,,鑒權(quán),,訪問控制,,日志/監(jiān)控,,管理平面是私有云的關(guān)鍵點，需要進行精細(xì)的保護,17,17,,,信任狀管理,Resources to help,,Shlomo Swidler -, Garnaat -, Security主機安全,21,21,,,虛擬化考慮,不同的hypervisor/虛擬化技術(shù)以及云平臺的組合包含了不同安全特征和選項集合。在一個私有云（不論是位于內(nèi)部

11、還是外部）部署中處理虛擬化技術(shù)時通常需要考慮的一些問題:,,你或你的提供商采用的是什么類型的虛擬化？,,在提供層次化的安全保護中使用了何種第三方的安全技術(shù)？,,虛擬機中采用了什么安全控制？采用了何種日志審計手段？服務(wù)合同中是否限定了服務(wù)商應(yīng)提供一定級別的安全？,,虛擬機中的安全機制是否被用來提供底層平臺的監(jiān)控？,22,22,,,虛擬網(wǎng)絡(luò),23,虛擬網(wǎng)絡(luò)與安全,,虛擬網(wǎng)絡(luò)與物理網(wǎng)絡(luò)面臨的安全問題是類似的.,,虛擬網(wǎng)絡(luò)總是運行在物理網(wǎng)絡(luò)之上.,,虛擬網(wǎng)絡(luò)提供了一種更簡單的層次棧以構(gòu)建私有云,,更多的控制是通過VLAN提供的.,,虛擬網(wǎng)絡(luò)對網(wǎng)絡(luò)安全監(jiān)測和控制帶來了顯著的變化,,23,,,,,虛擬網(wǎng)絡(luò)

12、,24,服務(wù)器1,服務(wù)器2,物理網(wǎng)絡(luò),VM,VM,VM,VM,VM,VM,虛擬網(wǎng)絡(luò),虛擬網(wǎng)卡?。轿锢砭W(wǎng)卡,24,,,失去網(wǎng)絡(luò)可視性,25,,,服務(wù)器1,服務(wù)器2,物理網(wǎng)絡(luò),VM,VM,VM,VM,VM,VM,虛擬網(wǎng)絡(luò),虛擬化后,物理網(wǎng)絡(luò),服務(wù)器1,服務(wù)器2,虛擬化前,25,,,虛擬防火墻,26,虛擬防火墻是作為網(wǎng)絡(luò)服務(wù)或者設(shè)備運行的防火墻的一個虛擬化實例,,虛擬防火墻可以以橋模式或者h(yuǎn)ypervisor模式運行,,可以作為一個設(shè)備部署，也可以安裝到一個虛擬機上,26,,,,物理網(wǎng)絡(luò),Server 2,虛擬防火墻,27,Server 1,VM,VM,VM,VM,VM,VM,橋接虛擬防火墻,FW,

13、,物理網(wǎng)絡(luò),Server 2,Server 1,VM,VM,VM,VM,VM,VM,FW,FW,Hypervisor虛擬防火墻,27,,,軟件定義網(wǎng)絡(luò)（SDN）,提供了一個分離的控制平面，使得安全保護更加容易,,OpenFlow是SDN的一個例子,,管理員可實現(xiàn)遠(yuǎn)程訪問控制管理,,典型情況下采用基于角色的訪問控制進行訪問管理,28,28,,,網(wǎng)絡(luò)安全建議,評估你的hypervisor及云平臺的監(jiān)控和強制選項,,識別存在的差距,,利用云平臺特定的改進措施或主機保護措施進行彌補,,通常來講，主要需要依靠主機IPS/IDS/防火墻,,需要在虛擬網(wǎng)絡(luò)層進行監(jiān)控，而不僅監(jiān)控物理網(wǎng)絡(luò)上,,注意虛擬設(shè)備可能

14、存在的性能問題,29,29,,,IAAS安全,,30,30,,,IaaS安全：期望什么？,31,31,,,IaaS 安全,IaaS與運行自己的基礎(chǔ)設(shè)施有何相同之處？,,又有何不同之處？,,通常你從提供商處獲得什么？,,從提供商處又獲得不了什么？,,在上述限制下構(gòu)建你的安全,合規(guī)？,,身份管理,,自動化,,處理云中加密的信任狀,32,32,,,IaaS有何相同之處？,33,33,,,IaaS有何不同？,34,34,,,服務(wù)提供商提供了什么,35,35,,,IaaS 安全：從哪里開始,36,36,,,總結(jié)－IaaS,IaaS與現(xiàn)有的基礎(chǔ)設(shè)施擁有更多的相同點（與不同點相比）,,,最重要的問題是弄清你

15、將會獲得什么（在獲得它們之前）,,這將告訴你為了提供合理的安全和保護你需要做什么,,由于服務(wù)在迅速的變得成熟，將來會變得更好,37,37,,,Paas 安全,38,38,,,PaaS如何工作,（這只是其中之一）,39,39,,,VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,VM,VM,Hypervisor,計算池,Management and Orchestration,存儲池,Management and Orchestration,計算控制器,存儲控制器,,管理網(wǎng)絡(luò)（使用API庫）,外部世界,應(yīng)用平臺,Application,Appl

16、ication,Application,Application,39,,,PaaS安全,40,40,,,總結(jié)－PaaS,PaaS與現(xiàn)有的基礎(chǔ)設(shè)施也很相似,,PaaS安全取決于良好的應(yīng)用設(shè)計和對云環(huán)境的深入理解,,需要知道服務(wù)商允許你做什么以及不允許做什么,,隨著接口和產(chǎn)品的成熟，PaaS的安全也會變得更好,41,41,,,Saas安全,42,42,,,Examples of SaaSSaaS舉例,43,43,,,SaaS - What you can (usually) controlSaaS－你（通常）所能控制的,44,44,,,SaaS,45,45,,,總結(jié)－SaaS安全,SaaS==

17、多租戶的ASP（應(yīng)用服務(wù)提供商）,,人們更加熟悉的云服務(wù)案例,,SaaS提供最少的數(shù)據(jù)控制能力,,控制（以及數(shù)據(jù)保護責(zé)任）交給服務(wù)提供商,46,46,,,總結(jié),理解基礎(chǔ)設(shè)施（云底層的組件）的結(jié)構(gòu),,Hypervisor和虛擬網(wǎng)絡(luò)對安全控制帶來了部分改變，將更多的安全推到主機/虛機實例中,,管理平面和API庫是通向云的鑰匙，必須進行高強度的保護。盡可能多的采取隔離措施,,保護密鑰設(shè)施組件，保持它們的長期安全,47,47,,,練習(xí)題,什么類型的安全是防范試圖以物理方式親自進入計算設(shè)施的入侵者或訪問者的第一道防線？,,防火墻,,網(wǎng)絡(luò)安全,,財務(wù)安全,,邊界安全,,社會安全,,物理安全通常是第一道防線

18、，用于防范授權(quán)和授權(quán)的對組織物理資產(chǎn)的訪問，對記錄、商業(yè)秘密的竊取，以及工業(yè)間諜和欺詐。,,TRUE,,FALSE,48,48,,,練習(xí)題,什么類型的安全是防范試圖以物理方式親自進入計算設(shè)施的入侵者或訪問者的第一道防線？,,防火墻,,網(wǎng)絡(luò)安全,,財務(wù)安全,,邊界安全,,社會安全,,物理安全通常是第一道防線，用于防范授權(quán)和授權(quán)的對組織物理資產(chǎn)的訪問，對記錄、商業(yè)秘密的竊取，以及工業(yè)間諜和欺詐。,,TRUE,,FALSE,49,49,,,練習(xí)題,下面哪項最可能在數(shù)據(jù)中心里被審計？,,一個在數(shù)據(jù)中心中運行且包含被監(jiān)管信息的應(yīng)用,,個人信息比如姓名和住址,,不受監(jiān)管的信息,,非屬性信息比如性別或種族等

19、，被保存以用于EO報告,,用戶名和密碼,,在哪種環(huán)境下不可能允許客戶自行開展審計，從而使得數(shù)據(jù)中心運營商必須為客戶提供審計變得非常重要？,,單租戶環(huán)境,,多應(yīng)用，單租戶環(huán)境,,多租戶環(huán)境,,分布式計算方案,,遠(yuǎn)距離關(guān)系,50,50,,,練習(xí)題,下面哪項最可能在數(shù)據(jù)中心里被審計？,,一個在數(shù)據(jù)中心中運行且包含被監(jiān)管信息的應(yīng)用,,個人信息比如姓名和住址,,不受監(jiān)管的信息,,非屬性信息比如性別或種族等，被保存以用于EO報告,,用戶名和密碼,,在哪種環(huán)境下不可能允許客戶自行開展審計，從而使得數(shù)據(jù)中心運營商必須為客戶提供審計變得非常重要？,,單租戶環(huán)境,,多應(yīng)用，單租戶環(huán)境,,多租戶環(huán)境,,分布式計算方

20、案,,遠(yuǎn)距離關(guān)系,51,51,,,練習(xí)題,一個多租戶數(shù)據(jù)中心如何迅速滿足大多數(shù)客戶的審計需求？,,允許客戶自行審計以便滿足他們自己的需求,,指定你的數(shù)據(jù)中心僅為非監(jiān)管信息服務(wù)，這樣審計就不需要了,,允許任意方不受限制的數(shù)據(jù)審計，特別是政府的,,當(dāng)數(shù)據(jù)存儲在一個第三方數(shù)據(jù)中心時審計是不需要的,,針對一項規(guī)章和安全標(biāo)準(zhǔn)模板開展審計并向客戶公布審計結(jié)果,,使安全審計變得嚴(yán)重復(fù)雜化的虛擬機遷移特征是指什么？,,不同類別的數(shù)據(jù)在相同物理機器上可能被混合的問題,,將虛機從一臺物理服務(wù)器轉(zhuǎn)移到另一臺服務(wù)器上但不產(chǎn)生告警或可追蹤的審計蹤跡的能力,,性能降低,,虛機客戶加固,,以上都不是,,52,52,,,練習(xí)

21、題,一個多租戶數(shù)據(jù)中心如何迅速滿足大多數(shù)客戶的審計需求？,,允許客戶自行審計以便滿足他們自己的需求,,指定你的數(shù)據(jù)中心僅為非監(jiān)管信息服務(wù)，這樣審計就不需要了,,允許任意方不受限制的數(shù)據(jù)審計，特別是政府的,,當(dāng)數(shù)據(jù)存儲在一個第三方數(shù)據(jù)中心時審計是不需要的,,針對一項規(guī)章和安全標(biāo)準(zhǔn)模板開展審計并向客戶公布審計結(jié)果,,使安全審計變得嚴(yán)重復(fù)雜化的虛擬機遷移特征是指什么？,,不同類別的數(shù)據(jù)在相同物理機器上可能被混合的問題,,將虛機從一臺物理服務(wù)器轉(zhuǎn)移到另一臺服務(wù)器上但不產(chǎn)生告警或可追蹤的審計蹤跡的能力,,性能降低,,虛機客戶加固,,以上都不是,,53,53,,,練習(xí)題,在多租戶云計算環(huán)境中，在同一個虛擬

22、環(huán)境中的全部租戶都將：,,接受最低的安全公分母。,,接受最高的安全公分母。,,接受獨立于虛擬化的安全服務(wù)。,,在相同的安全邊界中。,,提供他們自己的安全增強。,,虛擬機通信如何能夠繞過網(wǎng)絡(luò)安全控制措施？,,大多網(wǎng)絡(luò)安全系統(tǒng)無法識別加密的虛機流量,,虛擬機通信會使用一個硬件背板,,虛擬機管理程序（hypervisors）依賴多網(wǎng)絡(luò)接口,,虛機鏡像可能包含繞開防火墻的工具,,客戶操作系統(tǒng)可以激活秘密模式,56,54,,,練習(xí)題,在多租戶云計算環(huán)境中，在同一個虛擬環(huán)境中的全部租戶都將：,,接受最低的安全公分母。,,接受最高的安全公分母。,,接受獨立于虛擬化的安全服務(wù)。,,在相同的安全邊界中。,,提供他們自己的安全增強。,,虛擬機通信如何能夠繞過網(wǎng)絡(luò)安全控制措施？,,大多網(wǎng)絡(luò)安全系統(tǒng)無法識別加密的虛機流量,,虛擬機通信會使用一個硬件背板,,虛擬機管理程序（hypervisors）依賴多網(wǎng)絡(luò)接口,,虛機鏡像可能包含繞開防火墻的工具,,客戶操作系統(tǒng)可以激活秘密模式,57,55,,,