请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具和内容均来自网络，仅做学习和记录使用，安全性自测，如有侵权请联系删除。
目录
云等保
云等保，即云计算环境下的等级保户，是中国针对云计算服务提供商推出的一系列网络安全等级保护要求。在政府积极引导和企业战略布局等推动下，经过近十余年的发展，云计算已逐渐被市场认可和接受，政务、金融、运营商和工业等多个行业的信息系统已经运行在云端。云计算平台作为信息化建设中的重要系统，具备开放型巨系统的特征，系统组成极为复杂。
云挑战
由于云计算服务通常涉及大量的数据存储和处理，能够确保不同供应商的服务能够互操作，来保证服务的可用性、性能和可靠性，所以面临着不同方面的攻击。
1.网络和通讯的安全挑战:
这类攻击是借助网络、通讯特性如带宽、传输会话、数据包转发等实施的攻击。例如，直接通过网络实施DDOS攻击，通过网络使用不安全接口实施注入、盗取秘钥、非法获取敏感数据、非法篡改数据攻击，通过网络实施账户劫持以及通过网络传输的APT类攻击等。
2.设备和计算的安全挑战:
攻击者利用云计算设备和平台性能优势或固有特性实施直接或间接的攻击，如:身份验证和凭证被盗取、云计算存储资源数据残留、存在漏洞的基础服务资源被共享使用、云服务被滥用于其他网络攻击等。
3.应用和数据的安全挑战:
应用的目的是处理数据，云计算软件漏洞、不安全接口、数据库存储不受控、黑客攻击、员工处理数据的异常操作、未被授权的访问等可造成数据泄露、数据异常销毁、数据永久丢失等重大损失。
4.管理、运维的安全挑战:
在云计算管理层面，缺乏尽职调查、数据所有权缺乏保障体系;在运维层面，存在云使用方或云租户对云计算服务方过度依赖，甚至被云计算服务方锁定、恶意越权访问、滥用职权以及误操作等，存在信息安全隐患的管理和运维，这些对云计算平台的安全稳定带来巨大风险和隐患。
要求
根据"一个中心，三重防护"体系框架，提出了具体的技术要求，以及包含云服务商选择、供应链管理和云计算环境管理等方面的管理要求。云计算平台/系统的安全建设或安全整改，需同时根据安全通用要求和安全扩展要求，构建具有相应等级安全防护能力的安全防御体系。
| 控制类 | 第一级 | 第二级 | 第三级 | 第四级 |
|---|---|---|---|---|
| 安全物理环境 | 1 | 1 | 1 | 1 |
| 安全通信网络 | 2 | 3 | 5 | 8 |
| 安全区域边界 | 1 | 7 | 8 | 8 |
| 安全计算环境 | 3 | 11 | 19 | 19 |
| 安全管理中心 | --- | --- | 4 | 4 |
| 安全建设管理 | 4 | 6 | 8 | 8 |
| 安全运维管理 | --- | 1 | 1 | 1 |
安全通信网络要求
云计算系统，尤其是私有云部署方式下，仅提供基础的安全能力，并不能满足等级保护要求。这就需要云服务商能够提供第三方安全产品/服务或允许客户接入第三方安全产品或服务，并且云服务客户可以自主设置安全策略。
| 安全扩展要求-网络架构 |
|---|
| a) 应保证云计算平台不承载高于其安全保护等级的业务应用系统。 |
| d) 应具有根据云服务客户业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略。 |
| e) 应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。 |
安全区域边界要求
云计算系统新增了一些组件，如宿主机、虚拟机和虚拟化网络等，所以在做安全区域边界设计时，除了关注物理区域边界和物理网络节点外，还应该关注虚拟化网络边界和虚拟网络节点，以及虚拟机与物理机、虚拟机与虚拟机间网络流量。
| 控制项 | 安全通用要求 | 安全扩展要求 |
|---|---|---|
| 访问控制 | a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信； e) 应对进出网络的数据流实现基于应用协议和应用内容的访问控制； | a) 应在虚拟化网络边界部署访问控制机制，并设置访问控制规则； |
| 入侵防范 | a) 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为； b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为； c) 应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析； | a) 应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等； b) 应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等； c) 应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量； |
安全计算环境要求
云计算系统中虚拟机运行在一个资源共享的环境中，虚拟机迁移时有发生，随着虚拟机的生命周期结束，其资源将被回收和利用。
| 控制域 | 安全扩展要求 |
|---|---|
| 访问控制 | a)应保证当虚拟机迁移时，访问控制策略随其迁移。 b)应允许云服务客户设置不同虚拟机之间的访问控制策略。 |
| 入侵防范 | a)应能检测虚拟机之间的资源隔离失效，并进行告警。 b)应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警。 c)应能够检测恶意代码感染及在虚拟机间蔓延的情况，并进行告警。 |
| 镜像和快照保护 | a)应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务。 b)应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改。 |
| 剩余信息保护 | a)应保证虚拟机所使用的内存和存储空间回收时得到完全清除。 b)云服务客户删除业务应用数据时，云计算平台应将云存储中所有副本删除。 |
安全管理中心要求
云计算系统通常采用集中化部署，风险和攻击也被集中和加剧，安全防御体系应该更主动和动态，安全管理中心是关键。
| 控制域 | 安全通用要求 | 云计算安全扩展要求 |
|---|---|---|
| 集中管控 | 1. 应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控。 2. 应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测。 3. 应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求。 4. 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理。 5. 应能对网络中发生的各类安全事件进行识别、报警和分析。 | 1. 应能对物理资源和虚拟资源按照策略做统一管理调度与分配。 2. 应保证云计算平台管理流量与云服务客户业务流量分离。 3. 应根据云服务商和云服务客户的职责划分，收集各自控制部分的审计数据并实现各自的集中审计；同时对各自控制部分（包括虚拟化网络、虚拟机、虚拟化安全设备等）的运行状况进行集中监测。 |
组织架构
云等保的组织架构涉及多个层面，包括物理区域、逻辑网络区域以及VPC内部区域。
1.物理区域:
物理区域包括地域和可用区，地域是指物理的数据中心，用户可以根据目标用户所在的地理位置选择地域。可用区是指在同一地域内，电力和网络互相独立的物理区域。在同一地域内，可用区之间内网互通，并且能够实现故障隔离。
2.逻辑网络区域:
逻辑网络区域主要指的是虚拟专有网络VPC。VPC是一种虚拟化网络，为每个客户提供独有的云上私有网络区域，客户可以完全掌控自己的专有网络，例如选择IP地址范围、配置路由表和网关等。
3.VPC内部区域:
在VPC内部，存在子网和资源边界。子网类似于传统网络中的虚拟局域网(VLAN)，是VPC内部的一个网络段。
在云等保的实践中，还需要关注以下几个方面:
云原生安全架构:
阿里云提出了首个云原生安全架构，该架构基于可信技术，包括云平台入侵检测系统、用于强化网闸传输能力的负载均衡系统、基于国产硬件加密机的云平台密钥管理系统等。 服务模式下的责任划分:
在laaS、PaaS和SaaS服务模式下，云服务商和云租户的责任是不同的。例如，在laaS模式下，云服务商负责硬件及虚拟化层的防护，而租户则需要关注虚拟机以上的安全防护。 等级保护的实施:
云等保的实施包括定级、备案、建设整改、等级测评和监管检查等步骤。
框架
云计算等级保护是整个等保2.0的一部分，它与等级保护的"通用"部分形成一个整体，来约束云计算平台的等级保护建设，为云计算平台网络安全建设设立基线。云计算等级保护框架按照系统组成来划分，大致可分为面向整个云计算平台的防护要求和面向云计算负载的防护要求。
总结
√云挑战
√要求
√组织架构
√ 实践中注意项
√框架