私有云平台架构中，安全规则和方案怎么制定？

私有云平台架构中，安全规则和方案怎么制定？

1) 云计算物理层安全：云计算物理层面临着对计算机网络与计算机系统的物理装备的威胁，是指由于周边系统环境和物理特性导致的网络安全设备和线路的不可用，从而造成所承载的网络应用不可用。主要表现在自然灾害、电磁辐射、三防（防火、防水、防尘）及恶劣的工作环境方面，而相应的防范措施包括抗干扰系统、物理隔离、防辐射系统、供电系统的冗余设计和可靠性备份，采取前后上下等多种通风方式。

2) 虚拟化资源层安全：虚拟化层是云计算代表性的属性之一，也是现阶段云计算数据中心实施最为广泛的技术，基于服务器的虚拟化技术，可以将单台物理服务器虚拟出多台虚拟机并独立安装各自的操作系统和应用程序，从而有效提升服务器本身的利用效率。但是这种虚拟化技术也带来了一些安全风险，比较典型的有基于虚拟化所衍生的一些安全漏洞，以及针对VM-VM虚拟机流量交换的安全问题。

虚拟化软件导致的安全漏洞风险：这个问题可以从2个方面来看，一方面，以虚拟化应用程序本身可能存在的安全漏洞将影响到整个物理主机的安全。黑客在利用漏洞入侵到主机系统之后，可以对整个主机上的虚拟机进行任意的配置破坏，从而导致系统不能业务，或者是将相关数据进行窃取,如果黑客侵入了虚拟机配置管理程序，则会直接影响到其管理的全部虚拟机的安全。另一方面，基于虚拟化环境开发的各种第三方应用程序的漏洞安全。这些应用程序是云服务交付的核心组成，包括Web前端的应用程序、各种中间件应用程序及数据库程序等，即使在传统网络安全环境下，他们仍然会因为编程技术的缺陷而存在多个安全漏洞，在云计算环境下，这些安全漏洞会继续存在，典型如各种WEB会话控制漏洞、会话劫持漏洞及各种注入攻击漏洞。同时为了适应或使用虚拟化环境下的各种API管理接口，也可能产生一些新的安全漏洞。

云计算虚拟机流量交换的安全新风险：在虚拟化环境下，单台物理服务器上可以虚拟化出多个完全对立的虚拟机并运行不同的操作系统和应用程序，各虚拟机之间可能存在直接的二层流量交换，而这种二层交换并不需要经过外置的二层交换机，管理员对于该部分流量既不可控也不可见，在这种情况下，管理员需要判断VM虚拟机之间的访问是否符合预定的安全策略，或者需要考虑如何设置策略以便实现对VM之间流量的访问控制。

3) 多租户IaaS服务层安全：多租户环境下的基础安全服务主要体现在IaaS服务层。IaaS作为云计算的重要组成部分，其将基础设施包括网络、存储、计算等资源进行虚拟化等处理，能够为每个用户提供相对独立的服务器计算资源、存储资源以及在承载网上设定专有的数据转发通道，这种云计算的模式已经得到IT业界的广泛认可.在本次大地保险云安全平台的建设过程中，基于IaaS模型下的各种安全服务体系的建设其是重点所在，根据现阶段的需求来看，这部分服务主要包括针对云计算防火墙服务、云计算负载均衡业务。不同的租户可以根据自身的业务需求，合理的选择部署云安全防火墙服务或者是防火墙叠加负载均衡业务。部署该安全服务后，每个租户可以获得逻辑上完全属于自己的防火墙和负载均衡。租户可以根据自身需求，设定自身的各种安全防护策略，生成自身独有的安全日志分析报告。同时对于部分需要负载均衡的业务，也可以设置独立的负载均衡的算法，以保证业务的可靠性运行。当然，考虑到应用层的安全风险一直是互联网的重点防护对象之一，各种基于web应用层的安全攻击会导致用户业务系统的权限被窃取以及关键数据的泄露，未来也可以考虑增加一些新的诸如IPS入侵检测等增值服务，用户可以根据自身业务系统的安全级别合理选择是否租用该漏洞防护服务等。这部分的内容后续将作为重点进行论述。

4) PaaS/SaaS应用层数据安全：在云安全体系的建设过程中，PaaS和SaaS的安全建设也非常重要。和IaaS的建设思路不同，PaaS的安全建设，其关键在于平台开放的思想下，开发者应用平台及数据库系统对于多开发者数据安全的适配。典型问题包括针对开发者的用户身份认证，开发者的平台和数据库的访问使用权限控制，不同开发者数据的安全隔离、及操作行为审计等内容。为此需要在数据库的开发及平台应用环境开发过程中考虑到上述安全风险的防护。而在SaaS模型下，应用系统级的多租户共享涉及到的应用层安全问题，除了多租户身份认证和权限控制及数据库安全隔离等需求外，还需要考虑针对应用环境的代码级的安全审计等问题，确保提供给租户的应用程序本身的安全具备很高的水平，不会轻易被黑客等攻击者利用其内在的各种安全漏洞。在本次的大地保险云建设过程中，这部分的安全通过合理配置数据库及应用程序来进行保证。

5) 建立安全运维体系，确保系统安全：除了之前提到的各种安全措施，还需要在运维管理方面建立相应的安全措施，形成完善的运维体系，以确保整个系统安全。

来源：服务器，转载请保留出处和链接！

本文链接：http://www.cau168.com/post/67.html