云等保 | 我们发现3大误区，划出8个重点并解读，只为助力客户快速、高效落实云等保

今天的等保干货，让e小安来为您一一解读，助力云服务客户快速、高效地落实网络安全等级保护制度。温馨提示，篇幅有点长，建议先保存后观看。

我的系统上云了，系统就不用去定级了。

我的系统已经上云了，测评找云平台即可。

上云，全部的安全由云服务商负责。

以上想法都是错的，就此打住！

 以服务种类划分：SaaS、PaaS、IaaS。

 以运维模式分类： 运维、运营、云平台SaaS、PaaS、IaaS。

在云计算环境中，将云计算平台作为基础设施、云租户系统作为信息系统，分别作为定级对象进行定级。对于大型云计算平台，当运管平台共用时，可将云计算基础设施与运管平台系统分开定级，责任分离，分别定级、各自备案。云计算基础设施的安全保护等级不低于其所支撑的业务系统的最高等级。

针对私有云用户，也要按照云平台和云租户信息系统，分别进行定级。并且云平台的安全等级不低于其所支撑的业务系统的最高等级。

对于云计算平台和云租户信息系统，则分别依据等保2.0基本要求中的通用要求和云计算安全扩展要求来开展等级保护工作。对于私有云，定级流程为云平台先定级测评，再将已定级应用系统向云平台迁移。

Setp1：依据等保2.0，在对公有云环境下开展等级保护工作应遵循如下原则：

（1）应确保云计算平台不承载高于其安全保护等级的业务应用系统。

（2）应确保云计算基础设施位于中国境内。

（3）云计算平台的运维地点应位于中国境内，如需境外对境内云计算平台实施运维操作应遵循国家相关规定。

（4）云计算平台运维过程产生的配置数据、鉴别数据、业务数据、日志信息等存储于中国境内，如需出境应遵循国家相关规定。

Setp2：公有云开展等级保护一般分为两个部分：

（1）云平台本身，在等保2.0里面明确提出：对于公有云定级流程为云平台先定级测评，再提供云服务。

（2）云租户信息系统，比如政府单位门户网站系统，在迁入公有云平台后，还需要对这个门户网站独立定级备案、进行等保测评。其中，涉及云平台部分的内容可以不重复测评，测评结论直接引用即可。

Setp3：不同云计算服务模式需要采取不同职责划分方式：

（1）对于IaaS（基础设施即服务）模式，云服务商的职责范围包括虚拟机监视器和硬件，云租户的职责范围包括操作系统、中间件和应用数据。

（2）对于PaaS（平台即服务）模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统和中间件。云租户的职责范围为应用和数据。

（3）对于SaaS（软件即服务）模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统、中间件和应用，云租户的职责范围包括部分应用职责及用户使用职责。

● 云租户测评

云服务平台负责的部分：物理安全环境；基础网络安全

云租户负责的部分：虚拟网络安全；安全计算环境；安全管理中心；安全管理制度

● 安全计算环境： 

身份鉴别

 a)当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。

解读：目前双向身份认证较难实现，对云计算平台管理时，管理员可以明确自己的管理目标，但如何确认自己登录的管理目标是预期的，比较难以实现，因为目标是明确的，所以现在在测评过程中一般要求对管理的终端进行认证。

● 安全计算环境： 

 入侵防范

a) 应能检测虚拟机之间的资源隔离失效，并进行告警。

解读：因为云平台从设计之初虚拟机之间的资源就是相互隔离的，只有在逃逸的情况下才有可能访问非授权的资源，目前的技术不能对未知的0 DAY进行完全检测，在测评的过程中要求对已知的逃逸事件进行检测， 且对异常流量进行分析告警，但未知的在测评过程中较难实现验证，一般验证已知的漏洞，目前大部分云厂商通过对HIDS的二次开发实现。

b) 应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警。

解读：可能是创建时在管理平台注册失败，但虚拟机已经生成，或者是管理员通过底层的命令创建的虚拟机不存在管理数据为中或数据库中的状态不对。

c) 应能够检测恶意代码感染及在虚拟机间蔓延的情况，并进行告警。

解读：虚拟机间的恶意代码检测属于东西向流量检测，而安全产品的部署一般都是对南北的流 量进行检查，目前大部分云厂商通过提供如HIDS、云盾等安全服务，在虚拟机上安全 agent实现。 

● 安全计算环境： 

镜像和快照保护

 b）应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改。

解读：目前主流的云服务商平台都是基于openstack实现的（阿里除外），在生成镜像或快照的时候，会在生成镜像的目录下产生一个数据源文件，源文件中包含了镜像文件的特征属性，其中一项就是文件的MD5值，测评时里查看再次调用该镜像时是否对MD5进行验证即可。

c) 应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。

解读：需要云服务商提供密钥管理方案或加密服务供云租户对镜像或快照进行加密。

● 数据完整性和保密性 

 c) 应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必要的恢复措施。

解读：不管是基于KVM或XEN技术架构实现的虚拟化，在进行虚拟机动态迁移时，KVM和XEN技术自身都会对虚拟机的完整性进行检测，迁移过程中，如果目标虚拟机无法正常启动，则迁移任务自动回滚，测评需要注意冷迁移的实现过程。

d) 应支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程。 

解读：云服务商需要提供密钥管理服务的功能。

● 备份与恢复 

 c) 云服务商的云存储服务应保证云服务客户数据存在若干个可用的副本，各副本之间的内容应保持一致。

解读：目前云服务厂商采用的存储一般有盘古文件系统（阿里）、CEPH分布式存储、RAID2.0及RAID技术，其中RAID2.0及RAID多用于政务云和私有云，测评时文件系统的配置即可，一般分布式文件系统默认为3副本。

● 剩余信息保护

a) 应保证虚拟机所使用的内存和存储空间回收时得到完全清除。

解读：查看虚拟删除后云平台的处理措施，有部分云平台在用户删除时会在后台保留一定时间或更长时间，一般采用分布式文件存储虚拟机删除后，很难通过提取虚拟磁盘文件进行恢复。

b) 云服务客户删除业务应用数据时，云计算平台应将云存储中所有副本删除。 

解读：主要查看生产环境的数据删除后，云服务商对备份及副本的处理措施。

Ok，今天的等保干货就到这里了~~