私有云安全方案.docx

私有云安全方案目录
1. 业务场景
2. 安全需求
2.1. 满足安全防护与等保合规
2.2. 资源弹性
2.3. 应用级可靠性
3. 解决方案
3.1. 具备虚机识别能力
3.2. 租户的安全防护
3.3. 多应用多租户的隔离和互访
3.4. 等保合规
4. 方案价值
1. 业务场景
随着云计算、大数据的兴起，虚拟化、数据大集中、数据挖掘与分析渐渐成为数据中心建设的方向和目标。云计算数据中心的建设无论从趋势上还是实际需求上，都将在各个行业数据中心建设、应用系统建设、门户网站建设等领域得到广泛应用。
目前私有云数据中心建设特点如下：
随着门户网站的数量快速增长，用户量日益增加，内容日趋多媒体化，门户网站需要处理海量数据，传统数据中心性能瓶颈凸显，需要云计算平台作为支撑。
随着应用信息资源开发利用的深入，数据大集中之后的数据分析、数据挖掘，以及应用信息交互，要求数据中心具备很高的计算能力。传统物理数据中心的建设和运行的成本（包括电力成本、空间成本、维护成本等）不断上升，需要利用云计算模式来提高数据中心的运行效率，降低数据中心的建设成本。
移动终端的普及，物联网通信技术的应用，会有越来越多的终端进入政务应用系统，政务应用系统处理数据面临爆炸式增长，也需要云计算平台帮助政务应用系统提高处理性能，减少响应时间。
2. 安全需求
云计算的虚拟化、多租户和动态性不仅需要进一步强化传统的安全问题，同时也引入了新的安全问题。
自建私有云以虚拟化为核心，将应用从传统的物理服务器迁移至云中，也将应用的部署从物理服务器改为虚拟主机。这样可以使应用的部署和迁移时间从几个小时缩短到几分钟，并且显著的提高了服务器的资源利用率，降低运行维护的复杂性和成本。由于政务网业务的保密性和可用性，相对于其他云计算数据中心，政务私有云对于安全合规性、资源弹性、应用级可靠性有更加严格的要求。
2.1.满足安全防护与等保合规
云计算的出现模糊了安全的边界，使得传统的信息安全防护手段不再适用。事实上，信息安全问题已经成为用户使用云资源的主要障碍。对于电子政务系统，即使自建私有云，在满足国家信息安全等级保护制度，以及行业安全要求方面，安全要求没有任何降低，而实现方式和难度却大幅度上升。政务网因为涉及到业务安全性和保密性问题，部分业务的等级保护要求至少司机，私有云必须在安全性上考虑更全面。
2. 2.资源弹性
云计算的主要特点是虚拟化、动态的可扩展性、灵活性。云计算平台使用的物理结点是分布的，每一个应用部署的环境和物理平台是没有关系的。通过虚拟平台进行管理达到对应用进行扩展、迁移、备份。多个应用共享硬件资源时，当部分应用性能不足时，通过虚拟机的复制、迁移，可以达到资源的最大化利用，一定程度上提供应用所需要的资源弹性。
2.3.应用级可靠性
私有云数据中心出于灾备或者其他方面考虑，以及资源的充分利用，可能会采用多数据中心模式，多数据中心采用主-备方式提供可靠性备份或者采用主-主方式既提供备份也提高资源利用率。此时需要保证所有数据中心之间可以进行二次互通，同时多中心的分布式架构下如何保证虚机迁移的可靠性，都是私有云数据中心建设过程中需要考虑的问题。
3.解决方案
凭借自身的技术积累以及对于应用的理解，肯飞政务云数据中心解决方案立足于对电子政务的理解，为用户提供可靠的政务云安全解决方案。
政务自建私有云一般为扁平化大二层组网方式，针对单位内多个应用提供弹性，基础框架如下图：
该方案通过云出安全能力建设，确保了基础架构的安全，同时做到了租户的自我防护及租户间的安全防护，还符合等保合规的建设要求，特点如下：
3.1.具备虚机识别能力
在私有云数据中心中，各个虚机由于业务需要，经常会进行业务迁移，比如目前有两个应用A和B，并且每个应用均各有5台虚机服务器，并且这十台虚机分别出于VLAN A和VLAN B且运行正常。由于B业务量激增，在一段时间内服务器负载过大，需要增加3台服务器支撑应用，此时管理人员就会将应用A的3台虚机快速迁移到VLAN B中增援，那么随着业务的迁移使用，迁移的虚机安全策略也该同时改变。于是对于安全设备来说，首先要能识别有虚机在迁移，其次才能随之做出策略变更。
肯飞安全设备已经具备虚机识别能力，能够及时发现虚机的网络变更。
3.2.租户的安全防护
对于私有云的租户来说，数据的安全性尤为重要，由于该方案出处部署了FW、IPS、流量清洗、WAF、漏洞扫描等安全设备，于是租户在相应虚机上访问应用时就能够确保数据的安全性。
3.3 .多应用多租户的隔离和互访
为了保证私有云内部数据的安全，可以通过划分VLAN或者虚拟FW实现虚拟租户网，区分和隔离不同的应用及租户，防止数据泄露，实现多租户自己的数据隐私。同时租户还可以自定义和部署自己的安全策略，实现灵活控制。
租户和应用间的互访也可以通过虚拟FW的控制策略实现。
3.4.等保合规
为了给租户提供安全的应用使用环境，私有云需要确保基础架构的安全，比如需要在不同的物理安全域间部署安全设备，同时整个私有云需要能够对安全策略统一管理统一部署，降低维护复杂度。
4.方案价值
私有云自身、租户应用及多租户间都实现了安全防护。
灵活的租户安全自定义能力。
一体化管理系统实现统一管理、安全协同，最大程度发挥各个安全系统的价
值。
设备具备双电源、关键器件冗余等高可靠性设计，保护私有云的可靠应用。