概述
上一期我們講了安全擴展裡面的安全物理環境、安全通信網絡和安全區域邊界，這期給大家帶來安全計算環境、安全管理中心、安全建設管理和安全運維管理部分的內容。
01安全計算環境
身份鑑別
【雲安全計算環境中的身份鑑別要求當遠程管理雲計算平臺中設備時，管理終端和雲計算平臺之間應建立雙向身份驗證機制】
解讀：
雲計算平臺要對管理終端身份的合法性進行驗證，管理終端也要對所管理設備身份的合法性進行驗證。
訪問控制
【應保證當虛擬機遷移時，訪問控制策略隨其遷移】
解讀：
彈性擴展是雲計算比較鮮明的特點，由於業務的需要，經常會涉及到虛擬機的新增、刪除以及遷移等情況，這就需要虛擬機遷移後，雲平臺能夠感知遷移的目標物理機，並通過策略下發等方式保持針對該虛擬機的訪問控制策略不變，也就是訪問控制策略隨虛擬機的遷移而遷移。
【應允許雲服務客戶設置不同虛擬機之間的訪問控制策略】
解讀：
這是對雲平臺提出的安全能力要求，雲平臺給雲服務客戶提供安全資源，並將所提供安全資源的管理權限一併分配給客戶。
入侵防範
【應能檢測虛擬機之間的資源隔離失效，並進行告警】
【應能檢測非授權新建虛擬機或者重新啟用虛擬機，並進行告警】
【應能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，並進行告警】
解讀：
這裡是對雲平臺及相關組件提出的要求，虛擬機資源包括CPU、內存和磁盤等資源，雲平臺或相關組件能檢測這些資源之間的隔離措施是否有效，同時檢測虛擬機的使用及惡意代碼在虛擬機之間的蔓延情況，發現異常情況時及時進行告警並處置。
鏡像和快照保護
【應針對重要業務系統提供加固的操作系統鏡像或操作系統安全加固服務】
解讀：
這裡要求對重要業務系統提供安全的操作系統，生成加固過的虛擬機鏡像，如關閉不必要的端口、服務，且進行了安全配置的加固。
【應提供虛擬機鏡像、快照完整性校驗功能，防止虛擬機鏡像被惡意篡改】
解讀：
這裡要求對生成的鏡像或快照文件進行完整性校驗，並具有嚴格的校驗記錄機制，防止虛擬機鏡像或快照被惡意篡改。
【應採取密碼技術或其他技術手段防止虛擬機鏡像、快照中可能存在的敏感資源被非法訪問】
解讀：
這裡要求對虛擬機鏡像或快照中的敏感資源採用加密、訪問控制等技術手段進行保護，防止非法訪問。
數據完整性和保密性
【應確保雲服務客戶數據、用戶個人信息等存儲於中國境內，如需出境應遵循國家相關規定】
【應確保只有在雲服務客戶授權下，雲服務商或第三方才具有云服務客戶數據的管理權限】
【應使用校驗碼或密碼技術確保虛擬機遷移過程中重要數據的完整性，並在檢測到完整性受到破壞時採取必要的恢復措施】
【應支持雲服務客戶部署密鑰管理解決方案，保證雲服務客戶自行實現數據的加解密過程】
解讀：
這裡首先對客戶數據及用戶個人信息存儲的地理位置做了要求，必須存儲於中國境內，如需出境應遵循國家相關規定，目前我們國家正規化出臺個人信息出境安全評估辦法，保障數據跨境流動中的個人信息安全；其次對雲服務商管理客戶數據的權限進行了限定，保障了雲服務客戶對自己業務數據的所有權；最後要求通過校驗碼、密碼技術來保證數據在傳輸和使用過程中的完整性和保密性。
數據備份恢復
【應提供查詢雲服務客戶數據及備份存儲位置的能力】
解讀：
這是對雲計算平臺提出的要求，考慮到雲計算環境下，數據的物理存儲位置較為模糊，雲平臺應提供查詢數據及備份存儲位置的能力。
【雲服務商的雲存儲服務應保證雲服務客戶數據存在若千個可用的副本，各副本之間的內容應保持一致】
解讀：
雲平臺自身也要提供客戶數據備份功能，且備份的數據不能在同一物理服務器。
【應為雲服務客戶將業務系統及數據遷移到其他雲計算平臺和本地系統提供技術手段，並協助完成遷移過程】
解讀：
這條要求目的是使客戶擺脫對某一雲服務商的依賴，要求雲平臺統一標準和接口，使客戶業務和數據能夠在不同雲服務商之間或者雲平臺和本地靈活遷移，有效保護雲服務客戶的權益。
剩餘信息保護
【應保證虛擬機所使用的內存和存儲空間回收時得到完全清除】
【雲服務客戶刪除業務應用數據時，雲計算平臺應將雲存儲中所有副本刪除】
解讀：
在雲計算環境中，存儲客戶數據的存儲介質由雲服務商控制，客戶不能直接管理和控制存儲介質，當客戶退出雲計服務或刪除某個虛擬機時，雲服務商應完全清除客戶數據，包括備份數據和運行過程中產生的客戶相關的數據，進行介質清理，不可清理的介質應物理銷燬，保障客戶數據的隱私安全。
02安全管理中心
【應能對物理資源和虛擬資源按照策略做統一管理調度與分配】
解讀：
雲計算環境的多客戶、多業務的特點，決定了其資源的分配及策略的調整需集中進行自動化調度與分配，以減輕運維人員的負擔。
【應保證雲計算平臺管理流量與雲服務客戶業務流量分離】
解讀：
這裡要求對雲計算平臺上的資源進行帶外管理，通過獨立於客戶業務網絡之外的專用管理通道對雲計算平臺上的資源進行管理，以使雲平臺的管理流量與客戶的業務流量分離。
【應根據雲服務商和雲服務客戶的職責劃分，收集各自控制部分的審計數據並實現各自的集中審計】
解讀：
這裡是對雲計算平臺、綜合審計系統或相關組件提出的要求，由於審計數據包含了網絡運行過程中的所有關鍵信息，因此要求雲服務商與雲服務客戶分別各自收集，並實現各自的集中審計，最大限度的保護審計數據中的敏感信息不會遭到洩漏。
【應根據雲服務商和雲服務客戶的職責劃分，實現各自控制部分，包括虛擬化網絡、虛擬機、虛擬化安全設備等的運行狀況的集中監測】
解讀：
雲服務商和雲服務客戶各自負責各自控制資源的運行狀況集中監測。
03安全建設管理
·雲服務商選擇
【應選擇安全合規的雲服務商，其所提供的雲計算平臺應為其所承載的業務應用系統提供相應等級的安全保護能力】
【應在服務水平協議中規定雲服務的各項服務內容和具體技術指標】
【應在服務水平協議中規定雲服務商的權限與責任，包括管理範圍、職責劃分、訪問授權、隱私護、行為準則、違約責任等】
【應在服務水平協議中規定服務合約到期時，完整提供雲服務客戶數據，並承諾相關數據在雲計算平臺上清除】
【應與選定的雲服務商簽署保密協議，要求其不得洩露雲服務客戶數據】
解讀：
合規的雲服務商是指通過權威機構安全審查的雲服務商，客戶在將業務部署或遷移至雲計算平臺之前，應對雲服務商的資質進行審核，並確保其雲平臺的安全保護級別不低於客戶業務系統的安全保護級別；同時由於目前缺乏有效的機制、標準或工具來對雲服務商的各項數據與業務相關的安全責任進行檢查和約束，所以客戶要與雲服務商簽署服務水平協議、保密協議等，明晰雲服務商的安全職責、行為準則以及違約責任等。
·供應鏈選擇
【應確保供應商的選擇符合國家有關規定】
【應將供應鏈安全事件信息或安全威脅信息及時傳達到雲服務客戶】
【應將供應商的重要變更及時傳達到雲服務客戶，並評估變更帶來的安全風險，採取措施對風險進行控制】
解讀：
雲計算環境是一個較為複雜的環境，涉及許多廠商的產品和組件，因此雲服務商在對其雲平臺進行開發和相關產品和組件的採購時，要充分考慮安全需求，對產品和供應商的相關資質進行審核，對供應商提出相應的安全要求，確保供應商採取了必要的安全措施，雲服務商還應要求供應商提供其產品和組件安全事件信息或安全威脅信息以及有關安全措施的文檔信息，並及時傳達到雲服務客戶，供應關係變更時，雲服務商應將變更信息、變更帶來的風險評估及採取的風險控制及時告知客戶。
04安全運維管理
安全運維中的雲計算環境管理要求雲計算平臺的運維地點應位於中國境內，境外對境內雲計算平臺實施運維操作應遵循國家相關規定。
總結
等保2.0雲計算安全擴展要求中的安全管理中心、安全建設管理和安全運維管理，雲計算安全擴展要求中的內容需要大家注意的是，雲計算安全擴展要求是滿足通用安全要求的基礎上，針對雲計算的特點提出特殊保護要求。
CIIP-A(雲計算安全)的知識體系是以等級保護相關政策法規為指導，以重要信息系統保障為核心，基於等級保護相關崗位技能需求，以等級保護相關標準體系為主線，根據雲計算安全崗位的工作任務特點而系統化的梳理而成，想要學些更多雲計算安全知識的同學，可以點擊文末“閱讀原文”。
聲明：除發佈的文章無法追溯到作者並獲得授權外，我們均會註明作者和文章來源。我們重在分享，尊重原創。如作者見到請及時聯繫我們，我們在得到您的授後重新發布或第一時間刪改，謝謝！文章來源：金審科技 。
