租户安全风险自适应防护机制研究

【摘要】随着互联网时代的极速发展，网络虚拟机的数量与日俱增，租户范围也较广，不同租户在安全运维能力方面略有不同，不少租户在安全风险和预警能力方面较弱，使云环境受到安全风险的影响。云安全管控平台针对租户的网络安全适应能力，根据租户定制的处置策略，短信通知租户进行决策，对资源实行静态评测和动态检测的弹性模式；按需分配，并按照租户的决策进行处置，通过对虚拟安全的应用研究，提出了基于租户安全风险的自适应防护机制。

【关键词】安全风险;云计算;自适应;防护机制

互联网时代的发展，为网络平台的搭建提供了更多发展机遇。以前人们仅关注网络安全边界，也在边界一侧，做各种防御，而今自适应安全带来的理念转变。现在，安全的防线已深入到业务平台一侧，监测平台网络业务的各项指标并分析，进而进行预防或及时处置。为了适应系统规模的弹性化发展，采用云计算技术解决资源共享问题，多数资源池是通过防火墙设备布署，对于租户而言，诸如数据泄露等来自外网的网络安全威胁怎样进行自适应，采取合理的应对机制是当务之急。

一、云计算安全性评测指标

技术指标体系和管理指标体系是包括在云计算安全指标体系内。技术安全指标体系有：主机的系统安全、APP应用安全、网络数据安全、恢复或备份等[1]。管理安全指标有安全管理机构、安全管理制度、人员的安全管理、系统建设管理、运营维护管理等。上述批标体系，一定程度上满足了云计算在安全评估方面的需要。基于云计算安全性评测体系的构建方法，形成云计算安全性评测所需增加的控制点，并对大量威胁云安全的计算进行整理、归纳、分析，然后结合传统信息系统测评的指标体系，把这些控制点整合到大的指标项，最终形成面向云计算的管理指标和技术指标。技术指标的物理安全部分，基于传统信息安全系统测评的指标项内容，经过分析得出云计算的安全部分无新增控制点，故可直接采用传统的指标项内容，有：网络防护、网络环境安全、设备安全、物理系统安全。指标项共10个，评测子项19个。1.1静态评测系统安全。（1）评测布署。过程有：评测前期准备、实地评测、方案的编制、分析及报告编制；双方的沟通与洽谈应在评测过程中一直持续。评测前的准备阶段：调研现场，对被测系统的基本情况了如指掌[2]。现场评测阶段：实地评测准备、现场评测活动、记录测评结果、确认测评结果等。方案编制阶段：包括制定评测对象、确定评测指标等。分析及编制报告阶段：判断单项评测结果、风险分析、形成等级评测结论、编制报告等。（2）评测方法。评测方法通常有：访谈、测试、检查。访谈本次评测的某传输系统，根据传输系统的二级信息系统对评测强度的要求。在广度上，基本覆盖有关信息系统安全相关人员的类型。在深度方面，应包含通用的问题、高难度问题、可实施的问题。针对某传输系统可能被攻击的问题，采用EASKS方法，应对云计算环境下的入侵检测和响应，并对该模型的工作流程进行测试[3]。（3）基本指标。参照信息系统使用情况，明确安全保护等级，选择或制定有效的评测指标，并列出表格形式。备注“新增”指标，是云计算方案新增加的打分项，如果没有“新增”指标，就以传统的评测指标来考虑。（4）总体评价。某传输系统是一项重要的信息系统，安全保护等级为第二级，有：传输系统的业务信息安全保护、系统服务，最终确定信息安全保护等[4]。主机安全：用户口令复杂度、访问控制功能、操作系统启用身份识别功能，部署专门的企业版杀毒软件；唯一用户名，禁止操作系统账户登录，数据库系统已启用身份鉴别功能[5]。应用安全：系统的登录控制模块，管理端口启用人脸识别、手势、复杂密码，以大大提高鉴别复杂信息的准确验证功能；在法律规定范围内有允许数据存储位置；安全管理制度：制定总体方针及利于信息安全策略的工作，有完善的安全管理人员操作规程。1.2动态检测系统安全。网络数据获取。采用基于网络的入侵检测方法，在对外InternetSecurity互联网+安全出口的网络中增设一台数据包截获器，由总部控制并监测该网络的相关数据包[6]。截获器采用通用工具Tcpdump。广泛应用的Tcpdump数据包抓取分析工具，它可以从网络下截取数据包，并过滤一些特定属性[7]。将网卡设置为混杂模式，是为了方便截取器能实时监控数据，采用Tcpdump的网络抓包、服务器、网络设备的Netflow日志、虚拟机的Syslog日志。协议解析。获取数据包用Tcpdump，在数据链路上都有采集，比如TCP、ICMP、UDP。必须采集到的所有数据进行分类、整理、分析，这样才能从原始复杂且庞大的数据中提取出更多有效有用的信息。提取和选择特征。为了降低数据的广度和维度，先截获网络数据包，并对数据包进行协议分解，然后还需过滤数据记录，并从这些数据中提取和选择特征。对于检测网络入侵问题，提取和选择特征的首要任务，是在所有记录数据的属性中，查找需要采用的属性特征。如果运用原始数据集，计算的复杂程度，检测方法都不合适。

二、业务平台自适应防护机制

平台云应用。基于自适应安全架构这样的业务平台，形成整个安全闭环的同时，能够降低安全行业里用户的投入成本[8]。网络数据库、操作系统、相关应用软件的定期更新、病毒防护及补丁更新等，都属于业务平台云应用安全[9]。从技术角度来看，安全虚拟机是可以采取的方式之一，每台服务器有安全策略。优化云环境。因虚拟化环境的特殊性，需要优化传统的安全防护技术，避免病毒风暴带来的影响[10]，对所有虚拟机已经共享的扫描结果，不再重复扫描虚拟文件[11]。还须在各操作系统的官网手动下载补丁文件，用户进入管理平台后，可通过搜索获取并下载补丁，此时系统会记录、汇总相关补丁的下载日志，然后将这一动作路径，传输到安全监控模块。新一代安全管理平台，对虚拟化资源进行海量事件采集和统计分析，对全网安全事情进行综合的智能分析，并提供直接而翔实的报告，满足用户需求[12]。通过大量分析报告，管理员也可以轻松地了解区域网络过去某个时间段的安全状况，及未来的发展趋势，实时帮助管理员掌握网络攻击的重点，一旦发现有安全风险，提早防范，降低损失。

三、安全风险自适应防护机制

在云环境下，网络功能虚拟化能力由云平台提供[13]。为了降低网络设备高昂的成本，需要使用常用的硬件设备和虚拟化技术等。多种功能软件的承载，使资源得到最大化利用、灵活共享，实现新业务的快速开展及部署。网络设备功通过功能抽象和软硬件解耦，不依赖于专用硬件，自动部署、故障隔离和自愈基于实际业务需求，并进行弹性伸缩。SDN管理平面控制动态下发流表，需要通过南向接口，根据应用软件的需要完成定向数量的统计及流量转发功能，实现多台控制器同时运行，在云平台中诸如新建、存储、删除，或虚拟机被迁移的生命周期发生变化，云平台可以根据虚拟机的变化情况，通过该管理平面，完成虚拟网络伴随虚拟计算资源同时变化，完成数据平面流表调度。对于自适应安全防护，全球最具权威的顾问咨询公司Gartnet认为有4个阶段，“提前预测－实时防御－随时监控－安全回溯”，简称PPDR(PreditivePreventiveDetectiveRetrospective)。从租户角度，实现对安全业务的“监、管、查、追”的安全防护策略。自适应云安全架构目的是达到系统的安全运营，满足用户对安全防护的需求。为租户适应安全能力构建，首先通过全方位收集云环境下的数据，进行统一归类、过滤整理，上报到自适应安全主体进行有针对性的处理，最后生成动态的安全策略，再由管理平面下发到云环境中[14]。云平台的高度融合与弹性扩展，通常由功能层的对调功能与结果展示，再通过统一接口来完成，以保证自适应安全的主体即：安全功能层，实时监控云网络安全的每一项指标数据，实时完成预测，及时形成分析报告，并有针对性的适时做出更改防御策略的方案，并通过安全资源池和云资源池两个接口，下发策略给租户，以做好积极应对。自适应云安全框架，通过管理平面下发安全策略，完成安全目标。根据对云计算网络计算资产重要性，生成动态安全策略，实现租户安全的自适应。自适应动态云安全将云环境中的虚拟计算资源等资产信息，进行统一识别，并把资产与用户作为策略的客体信息存入策略对象库中[15]。根据受威胁程度、频率、范围、深度及重要性，安全功能层自动生成安全策略，并下发到云资源层。

根据云计算发展和使用，通过评测租户所面临的云计算安全性评测问题，从两个方面：静态的安全性评测和动态的入侵检测，开展了深入研宄，提出了一种云环境下业务平台自适应防护机制，及安全风险自适应防护机制。随着我国对网络安全相关政策的不断完善，基于租户安全风险的自适应防护机制将迎来大好的发展机会。

作者:张征 单位:中国移动通信集团广东有限公司