企业云中心信息安全体系架构设计及应用

王 领，赵静静

(1.中平信息技术有限责任公司，河南 平顶山 467000；2.中国平煤神马集团一矿，河南 平顶山 467000)

0 引言

随着科学技术的不断进步，企业紧跟时代步伐建立了自有的云中心信息管理系统，云中心信息系统的应用不仅能够实现资源共享，而且能够提高工作效率，其具备大数据的分析能力以及工作部署，进一步为企业的高质量发展提供数据支撑。云中心是企业实现数字化、信息化、智能化转型的新引擎，企业依靠云服务完成各项工作任务，能够节约大量的人力资源成本。但是在实际应用中，云服务往往会出现信息安全问题，这就需要企业积极构建信息安全管理体系，采用多重保护措施，确保企业信息管理的安全性，防止企业网络信息外泄。

以某企业信息系统为例，该企业逐步从物理服务器向基于Vmware公司的vSphere服务器虚拟化解决方案搭建的云平台迁移，并且很快完成了集团级业务系统的云化工作。随着核心业务的陆续迁移，企业原有的数据中心信息安全体系架构中存在的云服务器之间安全防护薄弱、云服务器防护策略不统一、用户与运维人员操作审计不严格等问题，无法有效保证业务系统云化后云服务器及业务数据的安全[1]。经查阅国内外研究资料并与国内各大信息安全厂家沟通后发现，目前人们对于云中心的安全风险均已充分认识，但在信息安全体系整体架构的解决方案上仍处于规划、尝试阶段，应用效果仍待实践检验。本文在现有数据中心信息安全体系架构基础上，通过对云服务器业务系统安全防护的强化，提出了企业云中心的信息安全体系架构设计方案，并进行了实际应用。

1 信息安全体系架构总体设计

按照搭建云平台的基础资源的功能定位不同，将不同的基础资源划分为不同的逻辑分区，初步划分为出口安全区、运维监控区、网络管理区、云服务区、底层物理区。区域边界通过下一代防火墙进行L2-7层的安全防护，云服务区内部综合采用上网行为管理、入侵检测、SSLVPN、堡垒机、终端安全管理、漏洞扫描等系统打造硬件安全、访问可控、行为可审、事件可溯的一体化云中心信息安全体系架构。并结合云中心业务特点订制的访问控制、日志审计、数据备份、流量管理等信息安全管理措施，解决原有安全体系存在的安全防护薄弱、防护策略不统一等问题，保障企业云中心各用户业务及数据的保密、完整、可用。

2 技术及管理创新点

1)软硬结合实现超越传统云中心的“墙墙”联合。鉴于云服务器较物理服务器网络边界模糊的特点，部署具备L2-7层访问控制功能的下一代防火墙进行边界防护，以更好地在云服务区边界处通过对云服务器的IP地址、服务类型、服务时间等控制参数，对访问云服务器及云服务器对外发布或访问的网络流量进行应用层的访问控制和安全防护。

Vmware平台是通过在物理服务器的硬件网络适配器上虚拟出了虚拟网络适配器和虚拟交换机，虚拟网络适配器即是各云服务器的虚拟网卡，虚拟交换机类似于传统数据中心的接入交换机，但不同的是该交换机不具备网络层面的端口隔离功能，因此无法有效保证同一物理服务器上各云服务器之间的安全隔离。为解决这一问题，采取的方案是基于NFV(Network Function Virtualization)技术，在不同云服务器前端部署独享的虚拟防火墙，实现云服务器之间的安全隔离。

2)灵活管控实现计算资源的合理高效利用。在所有云服务器上部署统一的终端安全管理系统。针对不同区域云服务器的业务运行特点制作不同的病毒库升级、病毒查杀和漏洞更新策略，保障云服务器的终端安全，并根据用户业务和云平台资源负载的时间特点，执行分批错峰的病毒库升级和查杀策略。

3)强化用户业务流量与行为审计，实现异常的主动预警。部署专业的上网行为管理系统，对云服务器的网络访问行为进行监控审计，并根据云服务器日常流量规律定制流量预警策略，当发现异常的流量行为时，能主动向平台运维人员预警，方便问题的快速定位及排除。在所有云服务器上安装不可随意卸载的行为审计插件，确保云服务器的所有网络访问行为可供后期安全审计。

4)根据用户业务类型和特点采取针对性的综合安全防护手段。在云服务器区，按照云服务器分工不同，规划出专门的Web服务器区域及数据库区域。区域间访问流量经边界防火墙做访问控制。针对Web系统容易被攻击、篡改的情况，在Web服务区的云服务器上，除配置上述防护手段外，再在该区域部署专用的WAF防火墙，并在每台网站服务器上配置网页防篡改系统，确保网站数据的正常发布。数据库服务器不直接向互联网提供数据库服务，仅开放Web服务器对数据库的数据读写权限和用户的远程VPN维护权限，并且针对上述访问流量进行操作日志记录，便于后期审计。

5)隔离存放快照，保障用户数据可靠；全“0”覆盖操作，确保前后用户数据安全。对用户提供云服务器快照服务，快照数据单独存放，并定期进行有效性核验，确保一旦用户的云服务器出现问题，能够使用快照数据快速恢复用户的业务系统上线运行[2]。针对云平台的所有业务数据按照重要程度不同执行不同的数据备份策略[3]，备份数据单独存放并进行访问审计，确保用户数据不存在非授权的后台访问。针对云平台的核心业务系统数据及重要的数据资产进行同城和异地灾备。当用户进行业务注销时，对用户的快照和备份数据执行全“0”覆盖操作，确保注销用户的数据不被后续用户非法获取。

6)通过技术审计和操作授权确保双方操作可回溯。关闭终端主机的运维管理通道，严格执行系统维护必须通过堡垒机进行操作，确保一旦出现问题，维护操作可供审计。明确界定平台运维人员和用户的操作权限，确保二者不具备系统层面的权限重叠。对影响用户云服务器的敏感操作，平台运维人员必须取得用户授权才能进行。用户通过VPN通道对云服务器进行的远程维护，支持审计回放，便于出现问题后的原因分析和责任定位。

7)“标准+合同”，实现服务的规范、透明。严格按照ISO27001和ITSS等标准体系的要求，对平台的运维服务内容、流程、SLA进行制度化和标准化。制作经法务部门审核的服务合同、协议模板，明确运维双方的责任和义务，运维交付过程必须严格按照操作规程及协议内容要求输出，并定期由服务经理对服务记录进行过程审计，总结运维服务报告交付用户。

3 信息安全体系架构的具体应用

企业云中心承载着生产调度、财务、资金、物资、运销等子系统，实现了资源、数据、管理三集中。该套信息安全体系架构的实际运用效果良好，云平台在运用该信息安全体系架构后无资源负载显著上升的情况，且极大提高了各类病毒和攻击的拦截效率。

1)提高了云中心的整体信息安全防护水平，保障了企业各应用系统的安全、稳定、可靠运行。

2)异常定位及攻击响应更加及时、准确。帮助云中心运维人员将网络攻击和可疑网络访问行为的分析、定位、处理周期从原来的几天缩短到了一天，并且针对一定量级的网络攻击，可直接进行攻击防御，保证了用户的业务安全。

3)问题排查更加便捷，分析结果更加准确，责任定位更加客观。借助于堡垒机操作日志审计、服务器上网行为审计、VPN通道维护审计等多维度的管理审计，当业务出现问题时，可以帮助用户分析出现问题前后的系统运行状态、发生问题的原因、过程；也为业务系统出现问题后的责任明确提供了有力支撑。

4)网络信息入侵检测系统更加关键、有效。在云中心信息系统中，采用先进的入侵检测系统，能够对网络信息进行全面分析，准确分析网络信息，通过实名认证、实时监测等方式建立跟踪和反馈系统。通过对入侵检测系统的有效设置，能够避免不良信息直接危害企业信息安全，确保企业健康发展。

4 结语

企业要针对存在的信息安全问题，积极优化体系架构，通过针对性举措减少安全漏洞，提高企业云中心信息安全性能。该信息安全体系架构有针对性地解决了以往云中心信息安全架构中存在的云服务器之间安全防护薄弱、云服务器防护策略不统一、用户与运维人员操作审计不严格、前后用户间数据泄漏等问题，可直接应用于存在类似架构场景的企业云中心，帮助企业解决以上信息安全风险。