云计算安全扩展要求

 

三、安全通信网络

安全通信网络针对云计算环境网络架构提出了安全控制扩展要求。主要对象为云计算网络环境的网络架构、虚拟资源以及通信数据等；涉及的安全控制点包括网络架构。

 

控制点

1.

网络架构

云计算是以计算、存储和网络为基础的，网络作为云计算的重要基石之一，网络架构的安全性是云计算安全的重要一环。网络架构涉及可靠性、性能、可扩张性等多方面内容，对于大多数的云计算环境而言，网络的性能决定云计算内的性能，因此，网络架构的安全对云计算安全显得尤为重要。

a)

安全要求：应保证云计算平台不承载高于其安全保护等级的业务应用系统；

要求解读：云服务商侧的云计算平台单独作为定级对象定级，云租户侧等级保护对象也应作为单独的定级对象定级，云平台的等级应不低于云上租户的业务应用系统的最安全保护高级。

检查方法

1.了解云计算平台及云上客户业务系统的安全保护等级，核查相关定级备案材料；

2.检查是否存在云上客户业务应用系统的安全保护等级高于云计算平台安全保护等级的情况。（应为否）

期望结果

1.有云计算平台及云商客户业务系统的定级备案材料；

2.云上客户业务系统的安全保护等级不高于云计算平台/系统的安全保护等级。

高风险判定

满足以下条件即可判定为高风险且无补偿因素：

（二级及以上系统）

1.云计算平台承载高于其安全保护等级（SxAxGx）的业务应用系统。

2.业务应用系统部署在低于其安全保护等级（SxAxGx）的云计算平台上。

3.业务应用系统部署在未进行等级保护测评、测评报告超出有效期或者等级保护测评结论为差的云计算平台上。

b)

安全要求：应实现不同云服务客户虚拟网络之间的隔离；

要求解读：同一个物理主机上的虚拟机之间可能通过硬件背板进行通信、不同物理机上的虚拟机之间可能通过网络进行通信，这些通信流量对传统的网络安全控制而言是不可见的，且无法进行监控或封堵，为防止多租户间的相互影响及恶意攻击，确保租户及云平台安全，应对不同的云服务客户的网络进行有效的隔离，以保证云服务客户的访问与其他租户的访问得到有效的隔离。

检查方法

1.核查不同的云客户间是否采取隔离手段或措施；

2.核查相关的隔离技术说明文档及隔离测试报告；

3.测试验证不同云服务客户之间的网络隔离措施是否有效。

期望结果

1.虚拟网络隔离技术（如VPC）实现不同云服务客户间的网络资源的隔离；

2.云防火墙采用“基于业务可视化的结果进行业务梳理和业务隔离”的技术，帮助用户实现了云环境中东西向流量的隔离。

c)

安全要求：应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力；

要求解读：为应对源自各个层面的攻击，云服务商应该为云服务客户提供通信传输、边界防护、入侵防范等安全防护措施，云服务客户根据业务安全防护需求选择适当的安全防护措施，提升业务系统的安全防护能力以应对外来的威胁攻击。

检查方法

1.核查云服务商提供的通信传输、边界防护、入侵防范等安全防护措施，并核查由安全措施形成的安全防护能力；

2.核查云服务商提供的通信传输、边界防护、入侵防范等安全防护能力是否能满足云服务客户业务需求。

期望结果

1.有通信传输、边界防入侵防范等对应云安全产品或安全服务的说明；

2.各安全产品的安全防护配置能够满足云服务客户的业务需求。

d)

安全要求：应具有根据云服务客户业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略；

要求解读：云服务客户可以根据自身的业务需求，在云服务商提供的安全组件上自定义安全策略，如定义安全访问路径、选择安全组件、配置安全策略。

检查方法

1.了解云计算平台提供的安全组件有哪些？以及这些安全组件是否支持用户自定义安全策略；

2.核查云服务客户是否能够自定义安全策略（包括定义访问路径、选择安全组件、配置安全策略）。

期望结果

云安全产品提供了用户自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略。

e)

安全要求：应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。

要求解读：API是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件的以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。API本身是抽象的，仅定义了一个接口，云计算目前面临的互操作性问题的重要原因就是缺乏标准化和被广泛认可接受的API标准，因而云服务商应提供了开放和公开的API，允许第三方安全产品或安全服务接入。

检查方法

1.了解是否提供了开放接口或开放性安全服务，查阅开放接口或开放性安全服务文档；

2.核查并测试验证是否允许第三方安全产品或安全服务接入云计算平台。

期望结果

1.有允许第三方安全产品接入的开放接口设计说明；

2.云计算平台部署了安全异构区，允许第三方安全产品接入，云安全生态支持用户选择第三方安全产品，允许通过联调的第三方安全产品接入。