云平台安全等保三级规划方案.docx

云平台信息安全等级保护规划方案目录1 云计算带来的安全挑战 42 整体方案设计 42.1 基础安全设计 52.1.1 物理安全 52.1.1.1 机房选址 52.1.1.2 机房管理 52.1.1.3 机房环境 52.1.1.4 设备与介质管理 52.1.2 网络安全 62.1.2.1 安全域边界隔离技术 62.1.2.2 入侵防范技术 62.1.2.3 网络防病毒技术 62.1.2.4 WEB 防火墙技术 72.1.2.5 网页防篡改技术 72.1.2.6 流量管理技术 72.1.2.7 上网行为管理技术 72.1.2.8 网络安全审计 82.1.3 主机安全 82.1.3.1 主机安全加固 82.1.3.2 运维堡垒主机 92.1.3.3 数据库安全审计 102.1.3.4 主机防病毒技术 102.1.3.5 漏洞扫描技术 102.1.4 应用安全 112.1.4.1 安全应用交付 112.1.4.2 VPN 112.1.5 安全管理中心 122.2 云计算平台安全设计 122.2.1 强身份认证 122.2.2 云安全防护系统 122.2.3 云安全运维 122.3 虚拟机安全设计 132.3.1 虚拟化安全防护要点 132.3.2 虚拟化安全方案 142.4 方案配置 182.4.1 方案合规性分析 182.4.2 三级系统安全产品配置清单： 191云计算带来的安全挑战云计算模式当前已得到业界普遍认同，成为信息技术领域新的发展方向。

但 是，随着云计算的大量应用，云环境的安全问题也日益突出在众多对云计算的 讨论中，IDC的调查非常具有代表性：“对于云计算面临的安全问题，75%的用 户对云计算安全担忧各种调研数据也表明：安全性是用户选择云计算的首要 考虑因素養辛聊烹中.巴 昭的非授5?使用.云计《所面I临帅排战中,安全删排在首生7 5Source IDC FEe

2 整体方案设计按照公司的经验，将从基础设施安全、操作系统安全、云计算环境安全三大 部分进行全面分析和设计，为客户打造一套灵活、合理、可靠、合规的安全环境2.1 基础安全设计2.1.1 物理安全物理环境安全策略的目的是保护网络中计算机网络通信有一个良好的电磁 兼容工作环境，并防止非法用户进入计算机控制室和各种偷窃、破坏活动的发生2.1.1.1 机房选址机房和办公场地选择在具有防震、防风和防雨等能力的建筑内机房场地应 避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁2.1.1.2 机房管理• 机房出入口安排专人值守，控制、鉴别和记录进入的人员；• 需进入机房的来访人员须经过申请和审批流程，并限制和监控其活动范围；• 对机房划分区域进行管理，区域之间设置物理隔离装置，在重要区域前安装过渡区域；• 重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员2.1.1.3 机房环境合理规划设备安装位置，应预留足够的空间作安装、维护及操作之用房间 装修必需使用阻燃材料，耐火等级符合国家相关标准规定机房门大小应满足系 统设备安装时运输需要机房墙壁及天花板应进行表面处理，防止尘埃脱落，机 房应安装防静电活动地板。

• 机房设置防雷保安器，要求防雷接地和机房接地分别安装且相隔一定的距离；机房 设置火灾自动消防系统，能够自动检测火情、自动报警并自动灭火；机房及相关的 工作房间应采用具有耐火等级的建筑材料；机房应采取区域隔离防火措施，将重要 设备与其他设备隔离开；机房需配备空调系统，以保持房间恒湿、恒温的工作环境； 机房供电线路上需配置稳压器和过电压防护设备；需提供短期的备用电力供应，满 足关键设备在断电情况下的正常运行要求；设置冗余或并行的电力电缆线路为计算 机系统供电；铺设线缆要求电源线和通信线缆隔离铺设，避免互相干扰；对关键设 备和磁介质实施电磁屏蔽2.1.1.4 设备与介质管理为了防止无关人员和不法分子非法接近网络并使用网络中的主机盗取信息、 破坏网络和主机系统、破坏网络中的数据的完整性和可用性，必须采用有效的区 域监控、防盗报警系统，阻止非法用户的各种临近攻击此外，必须制定严格的出入管理制度和环境监控制度，以保障区域监控系统和环境 监控系统的有效运行对介质进行分类标识，存储在介质库或档案室中利用光、 电等技术设置机房防盗报警系统；对机房设置监控报警系统2.1.2 网络安全2.1.2.1 安全域边界隔离技术根据《信息系统安全等级保护基本要求》，应该在XX单位各安全域的边界 处部署防火墙设备，保证跨安全域的访问都通过防火墙进行控制管理。

可以对所 有流经防火墙的数据包按照严格的安全规则进行过滤，将所有不安全的或不符合 安全规则的数据包屏蔽，杜绝越权访问，防止各类非法攻击行为同时可以和内 网安全管理系统、网络入侵检测系统等进行安全联动，为网络创造全面纵深的安 全防御体系部署设计：下一代防火墙部署于互联网出口，串行于网络中2.1.2.2 入侵防范技术根据等级保护基本要求，三级业务系统应该在互联网出口处实现入侵防范功 能入侵防范技术是安全防护体系中重要的一环，它能够及时识别网络中发生的 入侵行为并实时报警并且进行有效拦截防护可与防火墙配合，共同防御来自应 用层到网络层的多种攻击类型，建立一整套的安全防护体系，进行多层次、多手 段的检测和防护因此，在互联网出口的下一代防火墙上启用入侵防御模块非常 有必要部署设计：下一代防火墙部署于互联网出口，串行于网络中2.1.2.3 网络防病毒技术根据等级保护基本要求，三级业务系统应该在互联网出口处部署网络层防病 毒设备，并保证与主机层防病毒实现病毒库的异构在最接近病毒发生源安全边 界处进行集中防护，对夹杂在网络交换数据中的各类网络病毒进行过滤，可以对 网络病毒、蠕虫、混合攻击、端口扫描、间谍软件、P2P软件带宽滥用等各种广 义病毒进行全面的拦截。

阻止病毒通过网络的快速扩散，将经网络传播的病毒阻 挡在外，可以有效防止病毒从其他区域传播到内部其他安全域中因此，在互联 网出口的下一代防火墙上启用防病毒模块非常有必要，可截断病毒通过网络传播 的途径，净化网络流量部署设计：下一代防火墙部署于互联网出口，串行于网络中2.1.2.4 WEB 防火墙技术XX单位网站承载了XX等重要职责，暴露在互联网上，随时会面临黑客 攻击的危险，如今网络安全环境日益恶化，Web攻击方式多种多样，包括XSS 跨站脚本、CGI缓冲区溢出、目录遍历、Cookie假冒等为了应对Web攻击， WEB防火墙再配合网页防篡改技术，是保障Web服务能够持续可靠的提供服 务的最佳选择因此，在网站服务器之前部署WEB防火墙（WAF设备）非常 有必要部署设计：WAF设备部署于网站服务器之前，串行于网络中2.1.2.5 网页防篡改技术XX单位网站承载了XX等重要职责，暴露在互联网上，随时会面临网页被 篡改及黑客攻击的危险网页防篡改技术通过文件底层驱动技术对Web站点目 录提供全方位的保护，防止黑客、病毒等对目录中的网页、电子文档、图片、数 据库等任何类型的文件进行非法篡改和破坏可保护网站安全运行，保障网站业 务的正常运营，彻底解决了网站被非法修改的问题。

因此，在WAF上启用网页 防篡改功能非常有必要部署设计：WAF设备部署于网站服务器之前，串行于网络中2.1.2.6 流量管理技术根据等级保护基本要求，三级业务系统应该在互联网出口处进行流量控 制，保证网络发生拥堵的时候优先保护重要的主机，可以对带宽进行优化，通 过限制带宽占用能力强的应用以保护关键应用，通过多种复杂的策略来实现合 理的带宽分配，可提升应用服务质量、提升带宽利用价值、优化网络应用、降 低网络风险因此，部署一套专业的流量管理设备非常有必要部署设计：流量管理系统部署于互联网出口，串行于网络中2.1.2.7 上网行为管理技术根据公安部等级保护基本要求，所有用户访问互联网需要部署上网行为管理 系统，并保存3个月的日志各安全区域边界已经部署了相应的安全设备负责进 行区域边界的安全对于流经各主要边界（重要服务器区域、外部连接边界）需 要设置必要的审计机制，进行数据监视并记录各类操作，通过审计分析能够发现 跨区域的安全威胁，实时地综合分析出网络中发生的安全事件一般可采取开启 边界安全设备的审计功能模块，根据审计策略进行数据的日志记录与审计同时 审计信息要通过安全管理中心进行统一集中管理，为安全管理中心提供必要的边 界安全审计数据，利于管理中心进行全局管控。

边界安全审计和主机审计、应用 审计、网络审计等一起构成完整的、多层次的审计系统因此，必须部署一套上 网行为管理系统实现对内部用户访问互联网的行为进行监控、日志进行记录部署设计：上网行为管理系统部署于互联网出口，串行于网络中2.1.2.8 网络安全审计针对用户访问业务系统带给我们的困扰以及诸多的安全隐患，需要通过网 络安全审计系统利用实时跟踪分析技术，从发起者、访问时间、访问对象、访 问方法、使用频率各个角度，提供丰富的统计分析报告，来帮助用户在统一管 理互联网访问日志的同时，及时发现安全隐患，协助优化网络资源的使用网 络安全审计系统针对互联网行为提供有效的行为审计、内容审计、行为报警、 行为控制及相关审计功能从管理层面提供互联网的有效监督，预防、制止数 据泄密满足用户对互联网行为审计备案及安全保护措施的要求，提供完整的 上网记录，便于信息追踪、系统安全管理和风险防范根据公安部等级保护基本要求，所有信息系统都需要部署网络审计系统，并 保存 3 个月的日志因此，必须部署一套网络审计系统对全网行为进行监控、日 志进行记录部署设计：网络审计系统旁路部署在核心交换上，实现全网的网络行为的统一审计， 收集网络设备、安全设备、主机系统等设备的运行状况、网络流量、用户行为 等日志信息，并对收集到的日志信息进行分类和关联分析，并可根据审计人员 的操作要求生成统计报表，方便查询和生成报告，为网络事件追溯提供证据。

2.1.3 主机安全2.1.3.1 主机安全加固操作系统作为计算机系统的基础软件是用来管理计算机资源的，它直接利用 计算机硬件并为用户提供使用和编程接口各种应用软件均建立在操作系统提供 的系统软件平台之上，上层的应用软件要想获得运行的高可用性和信息的完整性 机密性，必须依赖于操作系统提供的系统软。