浅谈云租户在网络安全等级保护中的安全防护 随着社会的进步，网络信息化的快速发展，云计算作为一种基于Internet的新兴应用计算机技术，在新一代信息技术产业发展中体现重要地位，为互联网用户提供了安全可靠的基础设施服务、网络存储及计算能力服务，一方面基于成本、便捷性、资源有效利用的考虑，另一方面随着云平台网络安全能力的发展提升，部分企业和政府愿意把业务应用放到云平台进行运行和维护。 2017年6月1日颁布实施的《中华人民共和国网络安全法》[1]要求国家实行网络安全等级保护制度。越来越多单位和企业对于托管在云平台上的系统落实《网络安全法》要求时还存在各种疑问，也存在部分用户认为业务上云就算落实了责任单位的安全责任，基于以上问题，以下对云租户落实网络安全等级保护制度中的注意事项进行简单阐述。 1 云平台的服务模式 云平台部署方式一般分为公有云、私有云、社区云和混合云； 云计算的服务模型主要有三种：基础设施即服务IaaS（Infrastructure as a Service）、平台即服务PaaS（Platform as a Service）和软件即服务SaaS（Software as a Service）。 基础设施即服务（IaaS）：在IaaS模式下，云服务商向客户提供虚拟计算机、存储、网络等计算资源，提供访问云计算基础设施的服务接口，客户可在这些资源上部署或运行操作系统、中间件、数据库和应用软件等。客户通常不能管理或者控制云计算基础设施，但能控制自己部署的操作系统、存储和应用，也能部分控制使用的网络组件，如主机防火墙。 平台即服务（PaaS）：在PaaS模式下，云服务商向客户提供的是运行在云计算基础设施之上的软件开发和运行平台，如标准语言与工具、数据访问、通用接口等。客户可利用该平台开发和部署自己的软件。客户通常不能管理或控制支撑平台运行所需的低层资源，如网络、服务器、操作系统、存储等，但可对应用的运行环境进行配置，控制自己部署的应用。 软件即服务（SaaS）：在SaaS模式下，云服务商向客户提供的是运行在云计算设施之上的应用软件。客户不需要购买、开发软件，可以利用不同设备上的客户端（如Web浏览器）或程序接口通过网络访问和使用云服务商提供的应用软件，如电子邮件系统、协同办公系统等。客户通常不能管理或控制支撑应用软件运行的底层资源，如网络、服务器、操作系统 存储等，但可对应用软件进行有限的配置管理。 [2] 2 云服务商的选择 2.1选择云平台服务商的基本条件 a)根据《网络安全法》的规定，云平台的等级不可以低于云上租户的业务应用系统的最高等级，并且明确规定“国家关键信息基础设施(云计算平台)的安全保护等级不低于三级”。并要求云平台服务商提供通过相应级别等级测评的证明材料（备案表和测评报告结论页）。 b)根据等级保护2.0云扩展要求：应确保云计算基础设施位于中国境内。 c) 云平台服务商具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力；并提供开放接口或开放性安全服务，允许甲方接入第三方安全产品或在云平台选择第三方安全服务； d)云基础设施的运维地点应位于中国境内，如需境外对境内云平台实施运维操作，应遵循国家相关规定。 e)云基础设施的运维过程产生的配置数据、鉴别数据、业务数据、日志信息等存储于中国境内，如需出境应遵循国家相关规定。 此外，与云平台服务商签订合同需注意《信息安全技术网络安全等级保护基本要求》GB/T22239-2019中云扩展对合同、服务协议SLA、与云平台服务商签订保密协议等要求。[3] 3云租户和云平台责任界定 3.1平台责任如何划分 本文中将采用了云计算技术的信息系统，称为云计算平台。云计算平台由设施、硬件、资源抽象控制层、虚拟化计算资源、软件平台和应用软件等组成。在不同的服务模式中，云服务方和云租户对计算资源拥有不同的控制范围，控制范围则决定了安全责任的边界； 如图3.1安全责任模型 4云租户等保三级安全要求改进建议 1）安全通信网络方面 a）通信传输 ：建议租户通过购买云平台SSL证书（确保证书是最新版本，没有高危漏洞），实现网站类系统HTTPS方式登录，防劫持、防篡改、防监听、安全加密。并通过SSLVPN进行登录方式进行后台管理，保障通信链路的保密性和完整性。 2）安全区域边界方面 a)边界防护: 一方面购买云平台的虚拟防火墙进行边界防护。为保证对非授权设备私自联到内部网络的行为进行检查或限制和对内部用户非授权连到外部网络的行为进行检查或限制，需要内网添加终端准入和终端安全管理或者上网行为管理设备并根据具体需求配置安全策略。 b)访问控制：购买云平台的虚拟防火墙，与云平台上其它系统进行了隔离，如系统中有多台虚拟机要进行通信，设置不同虚拟机之间的访问控制策略。 c)入侵防范：购买云平台的防入侵模块或其它防入侵措施，如可用性要求高的购买抗DDOS模块。 d）安全审计：开启安全设备、操作系统、数据库、中间件日志，设置日志服务器对设备日志进行统一收集（或购买云平台的日志收集存储和审计服务），至少保存半年。 3）安全计算环境方面 a) 身份鉴别：设置用户名口令，对操作系统设置用户名和密码；启用密码复杂度策略，登录口令应由数字、字母、特殊字符三种中的两种或两种以上构成，长度不得小于8位，至少每季度更换一次；远程管理加密，windows更改远程桌面端口，开启SSL加密远程登录。linux关闭telnet服务，使用SSH登录；登录失败处理，应帐户锁定策略，建设设定登录失败次数5次将锁定30分钟。 b)访问控制：权限分离，应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；配置访问控制策略，应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；?严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；及时删除多余的、过期的帐户、避免共享帐户的存在。 c)安全审计：启用审计功能，开启审计策略，审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；审计记录备份，对审计记录进行保护，定期备份，审计记录的留存时间至少保存半年，避免受到未预期的删除、修改或覆盖等。 d)入侵防范：最小安装，操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，关闭不需要的系统服务、默认共享和高危端口；及时修补漏洞，能发现可能存在的漏洞，并在经过充分测试评估后，及时修补漏洞；入侵检测：通过云安全中心的安全服务实现一个实时识别、分析、预警安全威胁的统一安全管理系统，通过防勒索、防病毒、防篡改、合规检查等安全能力。 a)恶意代码防范：安装防病毒软件，并及时更新防恶意代码软件版本和恶意代码库；或采取其它免受恶意代码攻击的技术措施或可信验证机制。[4] 4结束语 企业应用‘上云’，本是为了解放自身生产力，提高网络安全能力的初衷，但一些云租户过于依赖云平台的计算优势、安全能力和品牌等，降低了自身的安全意识，甚至默认将安全责任转移给云计算平台。在这个信息化快速发展的时代，数据丢失给企业造成的损失和影响无法评估，甚至可能导致公司倒闭，这样的例子已经不断出现也应该给所有企业敲响安全的警钟，企业应在云计算全生命周期中，提高安全防护意识，落实自身安全责任，保证数据安全的同时进而辅助于企业的发展。 参考文献： [1]百度百科，中华人民共和国网络安全法[EB/OL]，https://baike.baidu.com/item/%E4%B8%AD%E5%8D%8E%E4%BA%BA%E6%B0%91%E5%85%B1%E5%92%8C%E5%9B%BD%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8%E6%B3%95/16843044?fr=aladdin 2016-11-7. [2] GBT 31167-2014 信息安全技术 云计算服务安全指南 北京：中国标准出版社2014. [3] 张振峰、李明、任卫红、胡娟等 信息安全技术 网络安全等级保护基本要求 第2部分：云计算安全扩展要求 （GAT 1390.2—2017）. [4]《网络安全等级保护基本要求》（GB/T22239-2019） 本文来源：https://www.wddqw.com/doc/c705546824fff705cc1755270722192e453658b1.html