- PDF 免费下载

Size: px

Start display at page:

Download ""

颓署储
5 years ago
Views:

1 浪潮 DT 时代云安全浪潮集团云计算产品部

3 国际化浪潮 United Kingdom 英国浪潮战略合作伙伴浪潮业务已发展到全球 108 个国家和地区, 在美国英国俄罗斯印度南非等 26 个国家设立分公司及办事处, 拥有近家商业合作伙伴 ; 在美国日本台湾, 香港等国家地区设立研发中心, 在美国委内瑞拉肯尼亚等国设立工厂, 在印度设立全球呼叫中心

4 浪潮 : 中国信息安全产品技术的拓荒者之一

四川内蒙古自治区宁夏陕西重庆贵州广西海南山西湖北湖南河南北京河北广州澳门天津山东江苏安徽江西香港福建辽宁浙江吉林上海台湾山东 :

5 浪潮政务云为 125 个省市提供政务云服务中央 : 国家质检总局云平台教育部国家教育资源公共服务平台容灾平台经验丰富大量政府客户案例内蒙古 : 呼和浩特政务云平台黑龙江北京 : 海淀政务云平台的服务经验四川 : 绵阳市政务云平台德阳市政务云新疆维吾尔自治区西藏藏族自治区重庆 : 重庆电子政务云平台梁平电子政务云平台青海云南甘肃四川内蒙古自治区宁夏陕西重庆贵州广西海南山西湖北湖南河南北京河北广州澳门天津山东江苏安徽江西香港福建辽宁浙江吉林上海台湾山东 : 济南电子政务云平台山东省电子政务平台上海 : 静安区政务云福建 : 三明市政务云平台可信云金牌运维云南 : 昆明电子政务云平台贵州 : 云上贵州广东 : 江门市电子政务云云平台

6 浪潮行业云政务金融能源通信交通警务医疗环保教育工业

7 浪潮云战略云战略云伙伴云服务云中心 ( 云安全 ) 大数据产品方案服务产品咨询规划云中心云服务大数据智慧智慧服务城市企业业务上云数据整合应用创新

8 浪潮集团云图计划云图计划 YUNTU 云图计划旨在联合业界优秀的合作伙伴, 从技术的研究与研发行业方案的验证与优化服务的提升及响应三技术合伙人个层面, 为企业级用户在云计算建设进程中提供一体化的解决方案, 围绕企业级用户构建开放安全融合的云计算生态版图, 实现用户及合作伙伴的共方案合伙人企业级用户服务合伙人赢

务中心云安全务中心云浪潮云安全创新实践云平台防攻击模型云用户云终端云通信云平台内部攻击被渗透内部人员对单位不满人员 APT 攻击 : 网络攻击 : 攻击技术 + 社会工程领导台式机笔记本公务员战略攻击力量 + 战略攻击目标 + 战略网络武器 + 战略打击时机 + 战略打击效果终端本地接入边界接入广域传输内部办公内部监督内部协同资源共享内网面向公务员 IaaS

9 务中心云安全务中心云浪潮云安全创新实践云平台防攻击模型云用户云终端云通信云平台内部攻击被渗透内部人员对单位不满人员 APT 攻击 : 网络攻击 : 攻击技术 + 社会工程领导台式机笔记本公务员战略攻击力量 + 战略攻击目标 + 战略网络武器 + 战略打击时机 + 战略打击效果终端本地接入边界接入广域传输内部办公内部监督内部协同资源共享内网面向公务员 IaaS PaaS DaaS SaaS COSC 计算池 APP 服运窃取数据网络池存储池数据中间件处理中间件业务库专题库民生警务警务千度人像识别维服外部攻击网络攻击部队网络黑客组织个人职业黑客攻防爱好者企业市民移动车载摄像头专线链路网络攻击 : 攻击技术 + 社会工程台式机互联网链路外网面向公众瘫痪服务服务中间件开发中间件逻辑库资源库多点碰撞交通诱导

10 浪潮云安全创新实践云平台安全目标弹性云安全池服务池化是安全的方向, 提供智能联动易用的安全服务可信云基础平台可信是安全的根基, 弥补现有计算机体系安全缺陷自主可控云核心装备自主是安全的前提, 避免安全建立在沙滩上

11 随着需求的扩张, 云时代安全能力也需要变化传统安全云安全 HA 的方式提供单机性能和冗余备份主备冗余 N:1 资源池化安全可构建大规模资源池, 支持横向扩展根据线路路径手动部署手动部署自动化部署云平台统一资源编排与部署在业务系统的边界处进行防护基于边界防护访问路径定义访问路径通过软件定义通过安全域将流量进行南北化分区分域隔离南北向, 东西向防护南北向的业务间防护东西向的业务内防护按需在网络节点人为部署安全能力手动实施安全能力目录化交付以应用商店的形式交付

12 云及虚拟化平台面临的风险 2016 年 12 大云安全威胁大量的云, 从渗透的角度来看内部都是在裸奔状态

13 云安全相关事故虚拟机故障 :2015 年 9 月, 某里云用户虚拟机上的系统命令及可执行文件被删除业务中断 :2015 年 5 月, 某程网瘫痪, 网页版和手机 APP 均不能正常使用携程数据丢失 : 2015 年 2 月, 由 Google Compute Engine 虚拟机发送出站的数据包不翼而飞 DDOS 攻击 :2015 年 6 月, 某里云贵金属用户遭 DDOS 攻击虚拟机滥用 : 某私有云虚拟机外发大量报文, 导致出口堵塞传统的安全解决方案已无法适应云数据中心的安全需求

14 云安全事故特点云平台下安全事故特点 : 云主机密集度高病毒木马传播速度快, 故障影响面大多租户共享云主机被克隆, 数据泄露, 租户无感知

15 云建设与云安全的脱节责任界面问题云服务商云监管方云主管部门云使用单位安全防护能力降低对监测分析能力的要求提升云安全已经成为了制约云发展租户的主要因素

16 网络安全法及合规标准要求逐渐健全网络空间主权国家纵向至个人等保定级参照中央网信办服务提供者义务网络安全法能力及合法性等保控制点满足能力运营者义务建立安全体系国家相关标准个人信息保护主动保护个人行为的合法审计个人信息的安全承载关于加强党政部门云计算服务网络安全管理的意见信息安全技术云计算服务安全指南 (GB/T ) 信息安全技术云计算服务安全能力要求 (GB/T ) 适用范围 : 政务云公有云以及对外提供服务运营的云平台公安部关键基础设施保护安全资源投入行业差异化满足持续性和能力积累网络安全等级保护基本要求第 1 部分 : 安全通用要求网络安全等级保护基本要求第 2 部分 : 云计算安全扩展要求适用范围 : 凡是承载等保业务的云平台均受约束现阶段凡是定级为等保三级或以上的业务系统均算作关键基础设施

17 云安全规划与建设规划准备选择和部署运行和监管退出服务效益评估信息分类业务分类优先级确定安全保护要求形成决策报告需求分析服务模式部署模式功能需求的稳定性和通用性资源的动态需求时延业务持续性可移植与互操作数据的存储位置监管能力云服务商安全能力要求系统开发与供应链安全系统与通信保护访问控制配置管理维护应急响应与灾备审计风险评估与持续监控安全组织与人员物理与环境保护确定云运营商选择云服务商人员背景调查合同中的安全考虑云服务商的责任和义务服务水平协议保密协议合同的信息安全内容部署部署方案投入运行保密协议合同的信息安全内容运行监管的角色与责任客户的监管责任云服务商的责任客户自身的运行监管对违规及违约的监管对安全措施的监管对云服务商的运行监管运行状态监管重大变更监管安全事件监管退出要求确定数据移交范围验证数据的完整性安全删除数据安全保护要求

第三方产品等保资源池 / 隔离租户对外攻击自定义安全 API 接口数据的防护虚机滥用租户特权内存存储清除隔离失效告警租户 / 域的安全业务定义分析和展现第三方审计虚机恶意代码物理安全网络安全主机安全

18 云等保云计算信息系统扩展安全要求 - 三级要求 GB/T 网络安全等级保护基本要求第二部分 : 云计算扩展要求中国境内域租户资源池主机业务数据的隔离东西向南北向的检测防护和访问控制第三方审计租户隔离三机流量识别第三方安全产品第三方审计异构第三方产品等保资源池 / 隔离租户对外攻击自定义安全 API 接口数据的防护虚机滥用租户特权内存存储清除隔离失效告警租户 / 域的安全业务定义分析和展现第三方审计虚机恶意代码物理安全网络安全主机安全应用安全第三方审计数据安全及备份应用与开发隔离密文存储接口安全隔离存放底层的云计算平台和上层的用户业务系统均可作为单独的定级对象分别定级云计算平台的安全保护等级由云计算平台所承载的用户业务系统的安全保护等级的最高级别决定上线运行 1 个月内需要向公安机关提交定级备案手续随着云等级保护 ( 等保 2.0) 的发布, 云安全将会成为衡量云服务商能力的重要组成部分国密

19 云数据中心安全需要考虑的四个方面云监管安全云运维安全 19 Hypervisor脆弱性不可避免从上层虚拟机攻击Hypervisor 从云计算管理网络攻击Hypervisor 云平台安全从Hypervisor攻击上层虚拟机租户安全虚拟安全域云计算管理平台管理着所有的物理和虚拟资源管理平台稳定性和安全性非常关键云计算平台管理员具有创建运行迁移和删除运行在云平台上的虚拟机的超级权限

20 云平台安全 - 虚拟机逃逸 - 案例分享 20 虚拟机逃逸, 是指攻击者在已控制一个 VM 的前提下, 通过利用各种安全漏洞攻击 Hypervisor 逃逸后果安装 Hypervisor 级后门拒绝服务攻击数据窃取控制其它 VM 突破内部管理网络 VM1 VM2 VMn Hypervisor( 执行任意代码 ) Hardware 2009 年, 黑客利用 HyperVM 的一个 0day 漏洞, 破坏了 vaserv.com 所管理的 10 万个网站直接影响 : 差不多 50% 的 vaserv 用户签署的是非托管服务, 这种服务是不包含数据备份的, 因此网站无法快速恢复虚拟机逃逸防不胜防, 主要安全手段为 : 虚拟系统加固 Hypervisor 安全加固 ; 云平台安全手段为 : 内核层系统防护网络隔离访问控制 4A 系统等

21 云数据中心安全需要考虑的四个方面 21 云监管安全云运维安全云平台安全租户安全虚拟安全域类型号场景描述 1 同一租户同一子网内的流量 2 同一租户不同子网间的流量 3 租户访问IDC外网的流量 4 不同租户间的流量

22 租户安全 -VM 22 VM 克隆安全威胁 VM 存储安全威胁 VM 运行安全威胁 VM 间通信安全托管桌面安全 VM 迁移安全 VM 资源消耗型 DoS VM 注销安全威胁

23 租户安全 -VM 克隆和存储安全威胁 23 VM 克隆安全威胁 : VM 模板中可能存在脆弱性和错误配置选项, 导致 : 1) 安全弱点复制得很快 ;2) 错误安全设置的快速传播 VM 存储安全威胁休眠 VM 的存储安全威胁 :VM 篡改数据泄密休眠 VM 可能携带着脆弱性和过期 AV 特征库

24 租户安全 -VM 运行安全威胁 ( 内部通讯 ) 24 同一物理机上 VM 之间的信息交互在机器内部进行, 并不经过物理安全设备传统网络安全审计设备无法监视 VM 间的流量传统边界防御安全设备无法控制虚拟机之间的访问

25 租户安全 -VM 托管安全威胁 25 虚拟桌面以克隆方式快速复制, 使得所有虚拟桌面拥有相同的配置运行在虚拟桌面上的 AV 和补丁管理程序可能在同一时刻进行病毒扫描和升级, 导致资源竞争, 影响降低虚拟桌面部署密度虚拟桌面终端安全管理软件和恶意软件位于同一个权限级别, 容易被恶意卸载

26 租户安全 -VM 托管安全威胁 26 App App App App App App OS OS OS IDS/IPS vswitch IDS/IPS vswitch VM 是否会迁移到一个不安全的网络中? VM 迁移是否可以确保安全策略一致性?

27 租户安全 -VM 资源消耗型 Dos 和注销安全 27 VM 资源消耗型 DoS 当攻击者控制了主机上的一个 VM 后, 可能通过在该 VM 上执行计算密集型或 IO 密集型操作, 过多地占用物理主机上宝贵资源, 从而对其它 VM 带来性能降低 VM 注销安全问题不再使用的 VM 如果不进行安全删除, 则可能被恶意恢复, 从而导致数据泄密

28 云数据中心安全需要考虑的四个方面云监管安全云运维安全云平台安全租户安全虚拟安全域 5.28日上午11点某大型网站出现无法登陆官方最初说法是部分服务器遭到不明攻击然而紧急恢复迟迟不成功 5月29日凌晨恢复服务后网站称是员工错误操作导致网上更多的猜测是运维人员在正常的批量操作时出现了误操作运维过程中无意中写错了删除命令的对象发生了无差别的全局删除或其它全局操作所有的应用服务器和数据库服务器都受到了影响由于该网站涉及的业务应用及服务繁多验证应用与服务之间的功能是否正常运行花了较长时间导致整个系统恢复用了13个小时 28

29 云运维主要问题 29 主要安全手段为运维审计系统

30 云数据中心安全需要考虑的四个方面云监管安全云运维安全三种监管模式轻监管中监管重监管云平台安全租户安全虚拟安全域 30 政务云/私有云北京政务云轻扫描四川政务云重监管平台广州政务云重监管平台主要安全手段为安全基线核查云SOC/云审计等

31 云监管 - 针对云平台的配置核查 31 口令策略检查口令重复使用次数限制检查口令生存周期要求文件权限检查关键权限指派安全要求 - 取得文件或其他对象的所有权查看每个共享文件夹的共享权限, 只允许授权的账户拥有权限共享此文件夹用户账号检查是否禁用 guest 用户删除匿名用户空链接系统服务检查是否配置 nfs 服务限制检查是否禁止 ctrl_alt_del 认证授权对于 VPN 用户, 必须按照其访问权限不同而进行分组, 并在访问控制规则中对该组的访问权限进行严格限制检查口令生存周期要求配置访问控制规则, 拒绝对防火墙保护的系统中常见漏洞所对应端口或者服务的访问网络通信防火墙以 UDP/TCP 协议对外提供服务, 供外部主机进行访问, 如作为 NTP 服务器 TELNET 服务器 TFTP 服务器 FTP 服务器 SSH 服务器等, 应配置防火墙, 只允许特定主机访问日志审计设备配置远程日志功能, 将需要重点关注的日志内容传输到日志服务器

云监管 - 实际应用效果 32 A B C D 立即检查入网验收实现入网安全验收, 避免系统带病入网,

全面掌握系统安全状况人工检查 1 抽查 2 依赖专业人员 3 需督促 4 掌控度低 5 费时低效加固指导

合规率内部电子邮件移动安全接入平台 TSM 备份系统 IT 集中运行监控系统系统检查 2014 年 8 月

3 定时自动检查 4 管理全掌握 5 省时高效 6 未来, 结合复查自动调度和工单系统,

32 云监管 - 实际应用效果 32 A B C D 立即检查入网验收实现入网安全验收, 避免系统带病入网, 打牢安全基础离线检查调度检查日常检查全量检查, 促进系统安全整体提升分析报告一键生成多维度分析报告, 全面掌握系统安全状况人工检查 1 抽查 2 依赖专业人员 3 需督促 4 掌控度低 5 费时低效加固指导完善的加固指导和指令提示, 帮助维护人员进行系统加固 Vs 17 分钟 600 台设备 160 万 / 次成本节约合规率内部电子邮件移动安全接入平台 TSM 备份系统 IT 集中运行监控系统系统检查 2014 年 8 月 2014 年 9 月 47% 90% 44% 74% 36% 89% 41% 91% 1 全覆盖 2 无需专业人员 3 定时自动检查 4 管理全掌握 5 省时高效 6 未来, 结合复查自动调度和工单系统, 可实现无人干预的基线管理自动化针对 6 大类 ( 主机网络数据库等 ) 设备, 总结出面向贵网的 330 个标准化检查项, 自动适配到各个业务系统中, 生成核查报告

33 小结 33 通常从云平台云租户云运维云监管四个方面阐述安全风险云平台 :Hypervisor 云管理平台的安全云租户 : 租户虚拟网络租户虚机的安全云运维 : 平台运维的安全云监管 : 满足主管或行业机构对管理和审计的要求

34 浪潮云安全创新实践云安全的四个关注维度和诉求云环境下安全资源的弹性化设计客户关注云环境下的硬件防护及可信基础的构建云环境下安全访问路径的瓶颈云环境下的整体安全方案构建能力

35 诉求一 : 云环境下安全资源的弹性化 40% 关键业务, 最小 10%, 最大可使用 40% 50% 最小资源使用当前资源使用最大资源使用 30% 20% 重要业务, 最小 5%, 最大可使用 15% 一般业务, 最大可使用 10% 10%

36 诉求二 : 云环境下安全访问路径的瓶颈租户内流量租户间流量管理流量策略路由引流 vsw vsw 交换机 VM vfw VM VM vfw VM 安全资源池 VM VM VM VM VM VM VPC1- 物理服务器 VPC2- 物理服务器 VPC1- 物理服务器群 VPC2- 物理服务器群安全设备 NFV 形态以虚拟交换机为单位部署虚拟防火墙无法应对地址重叠的情况 vfw 必须作为 VM 的网关 vfw 故障后无逃生机制对物理服务器的性能损耗大策略路由引流以资源池的方式完成双向防护安全资源池会成为全网实际的核心引流需要物理交换机配合策略需要手动配置到每一个交换机交换机需要承担大量无效流量

37 诉求三 : 云环境下的硬件攻击及可信基础的构建

38 诉求四 : 云环境下的整体安全方案构建能力平台满足三级等保建设需求, 保证合规合法, 让更多租户业务上云不同的租户有不同安全建设需求, 需满足个性化安全建设不同租户之间的东西向安全建设基础硬件安全建设 + 多租户个性化云安全建设

39 专家委员会浪潮云安全创新实践搭建云数据中心安全攻防实验室安全技术及安全服务能力保障导调评估组防御组奇虎 360 渗透测试组启明星辰渗透测试组绿盟渗透测试组 61 所渗透测试组国家超算山东渗透测试组天融信渗透测试组六个渗透组通过互联网 VPN 接入到实验室平台, 按照传统业务软件用户云业务软件用户 IaaS 层云主机租户传统软件开发及维护人员 PAAS 层软件开发及维护人员等五种渗透作业科目, 开展渗透测试

40 浪潮云安全创新实践历经验证安全能力自主可控的技术满足技术管理运经过大量政府客户维多方面安全需求案例的验证荣获丰富的云安全能力认证

41 浪潮云安全创新实践荣获丰富的云安全能力认证历经验证安全能力满足技术自主可控的技术, 管理, 运, 维多方面安全需求经过大量政府客户案例的验证可信云云主机可信云舆情分析网络安全审查试点单位网络安全审查测评报告国家级资质第三方软件评测机构信息安全等级保护测评资质国家涉密信息系统集成甲级资质 ISO27001 信息安全管理体系

42 浪潮云安全创新实践云安全方案解读云计算平台的安全保障技术体系不同于传统系统, 它也必须实现和提供资源弹性按需分配全程自动化的能力, 不仅仅为云平台提供安全服务, 还必须为租户提供安全服务, 因此需要在传统的安全技术架构基础上, 实现安全资源的抽象化池化, 提供弹性按需和自动化部署能力 1.. 基础安全服务运维安全安全监测威胁感知提供给云平台用户和云租户使用的各种管理安全服务, 提供统一的安全运维威胁感知状态监测统计分析和报表等功能, 是租户或平台用户管理其安全服务的门户 2. 云平台安全防护面向云平台用户, 利用高性能高吞吐的硬件安全防护设备, 以硬件一虚多的形式提供平台的基础安全防护能力, 可灵活实现注册调度和安全策略管理安全服务列表依赖于平台架构中所兼容的安全硬件设备 3. 个性租户安全防护定制化的安全服务列表安全资源池可以由软件版本或池化的安全防护组件组成, 由云管平台提供集成的一体化的服务列表服务, 服务按需提供可弹性扩展, 从而面向具有个性化安全防护需求的云租户提供安全防护服务 ;

43 浪潮云安全创新实践物理层安全可信计算机硬件系统 ( 主板 ) TPM 嵌入计算机软件系统运行时建立可信链标识平台身份保护密钥加电 BIOS 自检主引导区认证控制模块可信链 TPM OS 装载器 OS 内核可信服务及可信应密码处理模块用模块内产生一对密钥权威签发数字证书表征平台可信身份保护数据的密钥密封在密码模块内盗取密钥不可行 ; 受保护数据拷不走 ; 抵御病毒 / 木马攻击识别假冒平台

Guest OS 进行加固, 保护虚拟主机安全用户收益 : SSR-h 对虚拟化层的 Hypervisor 进行防护, 有效组织针对该层发起的攻击物理资源 SSR-h

44 浪潮云安全创新实践虚拟化层安全可信 Dom0 云数据中心安全加固系统集中管理平台 SSC-V APP DB SSR-h 虚拟服务器 VM1 SSC-V APP DB SSR-v(Linux) 虚拟服务器 VM2 SSC-V APP DB SSR-v(Win) 虚拟服务器浪潮 ICM SSC-V 解决运维安全问题浪潮 SSR-v 对 VM 上的 Guest OS 进行加固, 保护虚拟主机安全用户收益 : SSR-h 对虚拟化层的 Hypervisor 进行防护, 有效组织针对该层发起的攻击物理资源 SSR-h Hypervisor 安全加固磁盘 CPU 内存网卡可信计算浪潮可信服务器对硬件及 VM 进行可信确认, 构建可信基浪潮云装备打造自主可控基础平台技术实践 : 基础平台可信 /Hypervisor+VM 加固 / 应用程序控制

45 浪潮安全产品与方案优势 - 虚拟化安全无代理杀毒多引擎病毒查杀多引擎病毒查杀引擎 AVE 文件修复引擎 QEX 宏病毒检测引擎 QVM-II 人工智能检测引擎 VM 云查杀 + 主动防御 + Hypervisor 防护 + vmanager 防护实现虚拟机系统内病毒防护, 对 Hypervisor 中已经开始出现的病毒及 vmanger 中易感染的病毒也可以进行有效清除

APP SSR-h(hypervisor) 虚拟服务器 VM1 SSR-v(windows) 虚拟服务器 SSR-v(Linux)

46 浪潮云安全创新实践主机操作系统层安全可信云数据中心安全加固系统集中管理平台审计管理员安全管理员策略分发资源监控日志收集资产管理风险分析系统管理员数据处理与分析模块云中心 Dom0 Driver Driver APP APP APP APP APP APP SSR-h(hypervisor) 虚拟服务器 VM1 SSR-v(windows) 虚拟服务器 SSR-v(Linux) 虚拟服务器 SSR-h Hypervisor 安全加固物理资源磁盘 CPU 内存网卡 VM2 物理机 SSR-p For OS 物理机物理机

47 浪潮云安全创新实践以可信服务器 + 可信 OS+ 可信 SSR 为主体构建可信链, 打造完整的可信基础平台 1 可信服务器可信服务器是云主机安全可信的基础, 防止硬件被篡改 2 虚拟化可信 Hypervisor 可信引导,VM 度量支持防止虚拟化被篡改 3 Guest OS 可信 Guest OS 可信引导,APP 可信执行防止 Guest OS 被篡改 4 安全管理提供信任链构建和维护管理可信 VM 迁移管理

48 浪潮安全产品与方案优势 - 云应用安全高可用高安全性 DDoS 检测与防御应用交付 : 负载均衡缓存 SSL 卸载链路负载均衡运营商网络全局负载均衡 InCloud: 按需购买应用交付 : 防火墙负载均衡 SSL 转发代理数据中心 1 数据中心 2

49 云安全建设方案 - 云运维安全运维安全审计网络运维审计系统操作系统所有资产账号统一由设备管理所有运维人员权限由设备配置所有登陆实现安全便捷化管理所有外维工作都由设备控制服务器数据库

50 浪潮信息安全系列产品一览 SSR( 浪潮主机安全加固系统 ) SSA 浪潮安全应用交付系统负载均衡基于 OS 内核开发的安全加固软件, 解决操作系统的安全风险, 提升操 SSR SSA 三年联通集采, 全部功能和性能项通过测试, 单向吞吐高作系统的安全等级, 使之符合三级达 60G, 产品最高性能可达 120G, 功能等保与分保 ( 机密以上 ) 要求性能项可比肩国际 F5 A10 等品牌 SDP( 浪潮数据库安全审计系统 ) 实现对多种数据库的审计, 同时产品具备数据库审计防火墙扫描加密等功能, 可实现多数据中心数据库操作的查询 SDP SSC SSC( 浪潮运维安全管控系统 )- 堡垒机结合 4A 管理理念, 实现数据中心的运维安全审计和管控, 有效解决用户数据中心 IT 资源运维人员繁多复杂难管理难审计的问题, 适应多种环境的运维安全需求

51 安全系列产品应对型号高 SSC3900 SSR3.0.9 SSA7000 SSA6000 SDP3900 SSA5000 中 SSC2900 SSR3.0.9 SSA4000 SSA3000 SDP2900 SSA2000 低 SSC1900 SSR3.0.9 SSA1900 SSA1800 SDP1900 SSA1700 物理网络主机应用数据

浪潮在云生态下提供的安全方案及服务租户安全服务租户隔离租户接入认证租户访问控制租户行为审计租户数据隐私租户隔离应用安全服务应用攻击防护应用可用性业务应用监控应用行为审计应用防火墙租户身份热证数据隔离数据安全服务虚拟化资源安全服务数据灾备数据加密虚拟资源管理和监控数据隔离 Hypervisor 强制访问控制密钥管理虚拟系统加固虚拟漏洞扫描

52 浪潮在云生态下提供的安全方案及服务租户安全服务租户隔离租户接入认证租户访问控制租户行为审计租户数据隐私租户隔离应用安全服务应用攻击防护应用可用性业务应用监控应用行为审计应用防火墙租户身份热证数据隔离数据安全服务虚拟化资源安全服务数据灾备数据加密虚拟资源管理和监控数据隔离 Hypervisor 强制访问控制密钥管理虚拟系统加固虚拟漏洞扫描数据异常预警隐私保护虚拟机镜像安全虚拟安全防护数据备份数据加密访问控制安全审计全局安全服务基础资源安全服务计算网络存储性能监控可信计算物理隔离系统加固负载均衡服务器健康检查管道 VPN 加密虚拟网络防护攻击检测与防护网络数据防泄密存储数据防泄密存储灾备运行监控安全分析预警响应等保合规物理安全系统安全网络安全虚拟化安全数据安全应用安全租户安全安全管理

浪潮云安全创新实践在云图计划框架下的方案级合作 InCloud Manager 运维管理应用安全数据安全主机安全虚拟化安全基础安全浪潮 InCloud Security 系统架构云安全管理平台态势感知堡垒机应用审计云 WAF 云应用交付数据加密云主机防毒机房监控数据库监测 / 加固 / 防火墙 / 加密

53 浪潮云安全创新实践在云图计划框架下的方案级合作 InCloud Manager 运维管理应用安全数据安全主机安全虚拟化安全基础安全浪潮 InCloud Security 系统架构云安全管理平台态势感知堡垒机应用审计云 WAF 云应用交付数据加密云主机防毒机房监控数据库监测 / 加固 / 防火墙 / 加密云主机加固数据库审计云主机安全合规性检查 Hypervisor 强制访问控制虚拟机加固虚拟机可信防火墙入侵防御可信计算云计算平台等保基线检查浪潮自有安全产品全面云化浪潮通过与优秀安全厂商的战略合作, 集成防火墙 IPS WAF 安全管理平台态势感知等安全产品, 完成云安全的整体规划合作伙伴产品浪潮产品

54 浪潮云安全建设方案 --- 安全防护维度云平台安全防护需求传统安全 : 机房维护电磁泄露防护资源分隔 : 网络资源分隔计算资源分隔存储资源分隔云中心边界防火墙 /IPS 负载均衡网络防病毒 DDos 流量清洗云内区域边界虚拟防火墙负载均衡 APT 监测 IPS 流控管理应用交付 VPN Hypervisor 层安全加固漏洞修补 VM 层 OS 加固 VM 间隔离通用主机安全终端补丁修补企业防病毒终端登陆控制个性化主机安全单机杀毒主机审计监控移动介质管控安全基线核查主机非法外联租户的个性化安全防护需求安全资源池数据备份数据清除数据交换数据库安全数据库防火墙数据库加密数据库审计数据库可用通用应用安全 Web 应用防火墙认证网关 PKI 建设个性化应用安全网页防篡改虚拟 WAF 应用审计 4A 管理网页防绕行安全应用交付业务行为审计漏洞扫描配置核查堡垒机攻击监测统一日志审计 Web 漏扫漏洞共享平台态势感知机房三维可视化基础安全服务检查测试类渗透测试脆弱性扫描上线检查支撑保障类网站安全监测应急响应服务安全运维咨询评估类合规评估等保测评安全培训

公务员版 B 河北公务员版 B 河北公务员版 C 河北公务员版 C 河北公务员版 C 河北

公务员版 B 河北公务员版 B 河北公务员版 C 河北公务员版 C 河北公务员版 C 河北操作代码问卷编号问卷类型调查地 ( 省 / 直辖市 / 自治区 ) 访问员编号 2013202305 10101 公务员版 A 北京 101 2013202305 10102 公务员版 A 北京 101 2013202305 10103 公务员版 A 北京 101 2013202305 10104 公务员版 B 北京 101 2013202305 10105 公务员版 B 北京 101 2013202305