云安全管理平台解决方案
第1章引言 (7)
1.1国家政策推动企业上云 (7)
1.2云安全规范指导文件 (14)
1.3软件定义数据中心（SDDC） (15)
1.4软件定义安全（SDSec） (18)
第2章云安全风险分析 (19)
2.1业务牵引风险分析 (19)
2.2技术牵引风险分析 (21)
2.3监管牵引风险分析 (22)
第3章云安全需求分析 (25)
3.1云安全防护体系安全需求 (25)
3.1.1基础安全保障 (25)
3.1.2主机安全保障 (25)
3.1.3应用安全保障 (25)
3.2云安全运营体系安全需求 (25)
3.2.1安全审计服务 (25)
3.2.2安全运营服务 (26)
3.2.3态势感知服务 (26)
3.3多云/混合云架构安全联动管理需求 (26)
第4章方案设计思路 (27)
4.1软件定义安全的设计思路 (27)
4.2国际先进性参考模型 (28)
4.3方案场景适用性说明 (29)
第5章云安全管理平台产品技术方案 (30)
5.1方案概述 (30)
5.2方案架构设计 (31)
2
5.3产品功能简述 (32)
5.3.1安全市场 (32)
5.3.2组件管理 (36)
5.3.3资产管理 (37)
5.3.4租户信息同步 (38)
5.3.5监控告警 (39)
5.3.6订单管理 (41)
5.3.7工单管理 (42)
5.3.8计量计费 (42)
5.3.9报表管理 (43)
5.3.10云安全态势 (44)
5.3.11日志审计 (46)
5.4部署架构设计 (47)
5.4.1部署方案 (47)
5.4.2部署方案技术特点 (48)
5.5平台主要功能技术特点 (52)
5.5.1用户与资产结构 (52)
5.5.2自助服务模式 (54)
5.5.3安全服务链编排 (54)
5.5.4计量计费模式 (56)
5.5.5云安全态势感知 (56)
5.5.6在线/离线升级服务 (57)
5.5.7平台稳定可靠 (58)
第6章CSMP安全资源介绍部分 (60)
6.1CSMP安全服务清单介绍 (60)
6.2各安全组件产品级解决方案汇总 (62)
第7章CSMP方案核心价值 (62)
7.1安全产品服务化-合规高效 (62)
7.2安全能力一体化-智慧易管 (62)
3
7.3安全运营自动化-增值共赢 (63)
第8章服务保障 (64)
8.1云安全运营服务 (64)
8.2售后服务体系介绍 (64)
4
图清单
图1工信部印发推动企业上云实施指南 (7)
图2合规标准参考优先级 (15)
图3企业业务云化示意图 (20)
图4云计算面临的挑战IDC数据调查 (21)
图5云虚拟化安全风险 (22)
图6云计算安全常见合规参考文件 (24)
图7G ARTNER自适应防御体系 (28)
图8云安全应用场景预览 (29)
图9云安全方案框架设计图 (30)
图10云安全管理平台产品架构图 (31)
图11安全市场演示图 (32)
图12安全组件介绍示意图 (35)
图13安全组件申请示意图 (35)
图14第三方安全组件发布 (36)
图15安全组件多租户 (36)
图16单点登录 (37)
图17统一策略管理 (37)
图18三权分立 (38)
图19监控告警1 (40)
图20监控告警2 (41)
图21订单管理 (41)
图22计量计费 (42)
图23账单和报表数据 (43)
图24报表管理 (44)
图25云运营商安全态势 (45)
5
图26安全威胁数据汇总分析 (46)
图27日志审计 (47)
图28云安全管理平台产品网络架构图 (48)
图29多资源池管理示意图 (49)
图30网络引流示意图 (50)
图31服务链示意图 (51)
图32高可靠部署模式 (51)
图33平台主要功能技术特点 (52)
图34用户与资产结构图 (53)
图35自动化网络引流 (54)
图36服务链编排 (56)
图37升级服务器 (58)
图38平台稳定可靠 (59)
6
7
第1章引言
1.1国家政策推动企业上云
2018年8月10日，工信部印发了《推动企业上云实施指南(2018-2020年)》，从实施上云路径、强化政策保障、完善支撑服务等层面为推进企业上云提出了指导。鼓励各地加快推动开展云上创新创业，支持各类企业和创业者以云计算平台为基础，
利用大数据、物联网、人工智能、区块链等新技术，积极培育新业态、新模式。
图1工信部印发推动企业上云实施指南
注：关于《推动企业上云实施指南（2018-2020年）》相关内容
摘自中华人民共和国工业和信息化部官方网站
推动企业上云实施指南（2018-2020年）
云计算是信息技术发展和服务模式创新的集中体现，是信息化发展的重大变革和必然趋势。支持企业上云，有利于推动企业加快数字化、网络化、智能化转型，
提高创新能力、业务实力和发展水平；有利于加快软件和信息技术服务业发展，深化供给侧结构性改革，促进互联网、大数据、人工智能与实体经济深度融合，加快现代化经济体系建设。
一、总体要求
工业和信息化部统筹协调企业上云工作，组织制定完善企业上云效果评价等相关标准，指导各地工业和信息化主管部门、第三方机构等协同开展工作。各地工业和信息化主管部门要结合本地实际，以强化云计算平台服务和运营能力为基础，以加快推动重点行业领域企业上云为着力点，以完善支撑配套服务为保障，制定工作方案和推进措施，组织开展宣传培训，推动云平台服务商和行业企业加强供需对接，有序推进企业上云进程。
到2020年，力争实现企业上云环境进一步优化，行业企业上云意识和积极性明显提高，上云比例和应用深度显著提升，云计算在企业生产、经营、管理中的应用广泛普及，全国新增上云企业100万家，形成典型标杆应用案例100个以上，形成一批有影响力、带动力的云平台和企业上云体验中心。
（一）企业上云应以提升企业发展能力、解决实际业务问题为出发点。通过将企业业务与信息化应用相结合，实现信息系统升级，促进企业业务创新、流程重构、管理变革，加速企业数字化、网络化、智能化转型，切实提高企业管理水平和综合竞争力。
（二）企业开展上云工作，可从性价比、可用性、可扩展性、安全性、合规性等方面进行调研分析，运用理论分析、仿真实验、测试验证等方法，充分评估业务使用云服务的成本、收益、风险和可接受程度。在此基础上，按照分级分类的原则，统一规划信息系统的上云部署方案。
（三）企业可优先选择业务特征与云计算特点相契合、上云价值效益明显的信息系统上云。一是信息系统使用具有明显的高低峰，需要动态调配资源，进行弹性扩展。二是信息系统需要快速迭代上线，提升业务创新速度。三是信息系统需要降低运行维护成本，提高应急响应、故障恢复、信息安全保障能力。四是信息系统需
8
要运用大数据、人工智能等云上服务实现业务拓展。
（四）开展上云工作，需要上云企业、云平台服务商、云应用服务商、系统集成商、基础设施提供商及相关行业组织、第三方机构加强协作，明确各方责任，共同推进实施。云平台服务商等作为主要服务供给方，要联合云应用服务商、系统集成商、基础设施提供商等产业链相关方，共同为上云企业提供技术支撑服务。上云企业参照指南引导，稳步推进自身上云工作，积极利用云计算平台上的软件应用和数据服务实现数字化转型。第三方机构积极参与宣贯培训、测试评估工作，加强对企业上云工作的跟踪研究。
二、科学制定部署模式
（五）大型企业可建立私有云，部署数据安全要求高的关键信息系统；可将连接客户、供应商、员工的信息系统采用公有云部署，并与私有云共同形成混合云架构。对于数据安全要求高且需对外连接提供服务的信息系统，可考虑采用数据存储于私有云、应用部署于公有云的混合云架构。
（六）中小企业和创业型企业可依托公有云平台，按需租用存储、计算、网络等基础设施资源，应用设计、生产、营销、办公、财务等云服务或构建特色云服务，提高经营管理水平和效率，加快形成业务能力，开展业务和服务模式创新，实现个性化服务输出，加速建立现代化经营模式。
三、按需合理选择云服务
（七）基础设施类云服务。一是计算资源服务。使用云平台的各种弹性计算服务，实现计算资源集中管理、动态分配、弹性扩展和运维减负。二是存储资源服务。使用云平台的块存储、对象存储等云存储服务，提高数据存储的经济性、安全性和可靠性。三是网络资源服务。使用云平台的虚拟专有云、虚拟专有网络、负载均衡等网络服务，高效安全利用云平台网络资源。四是安全防护服务。使用云上主机安全防护、网络攻击防护、应用防火墙、密钥/证书管理、数据加密保护等安全服务，提高信息安全保障能力。
（八）平台系统类服务。一是数据库服务。利用云数据库系统，实现各类数据
9
跨平台、跨业务的协同管理。二是大数据分析服务。利用云端大数据平台推动数据资源集聚，进行数据采集、存储、分析、挖掘和协同应用。三是中间件平台服务。利用云上中间件服务，构建分布式系统架构，满足“互联网+”转型的需要。四是物联网平台服务。将海量物联网终端设备接入云平台，实现设备高效可视化在线管理。五是软件开发平台服务。通过云上开发平台进行软件生命周期管理，快速构建开发、测试、运行环境，规范开发流程、降低成本、提高效率。六是人工智能平台服务。利用云平台的计算资源，形成语音识别、图像识别、人脸识别等智能服务能力，提升业务智能化水平。
（九）业务应用服务。一是协同办公服务。使用邮件、会议、通信等云服务，形成维护成本低、服务效率高的办公系统，提高办公效率。二是经营管理应用服务。使用企业人力资源管理、行政管理、财务管理等云服务，提高企业经营管理的科学性和效率。三是运营管理服务。使用采购管理、生产管理、销售管理、供应链管理、客户资源管理等云服务，提升企业运营管理水平。四是研发设计服务。使用计算机辅助设计、产品开发等云服务，在云端部署开发、设计环境，提升研发效率和创新水平。五是生产控制服务。通过MES（制造执行系统）、生产数据等系统上云，优化生产控制流程，提升生产效率和水平。六是智能应用服务。整合企业全局数据，打造智能研发、智能生产、智能营销、智能服务等智能应用，提升企业智能化水平。
四、稳妥有序推进企业上云
（十）企业上云可按照需求分析、可行性评估、选择确定云平台服务商、上云方案设计、测试和部署、验证和总结、运维保障、效果评估等步骤进行。企业可根据自身实际选择合适步骤，适当简化流程，有序实施上云。
（十一）企业可结合自身业务发展规划，在第三方机构或云平台服务商的支持下，对信息系统业务类型、使用人员、使用特征、性能指标、数据库使用情况、系统间关联关系等进行全面梳理。
（十二）企业可在第三方机构或云平台服务商的支持下，参考信息系统分析结果，结合已有信息资源和业务需要，从业务需求、用户体验、平台兼容性、成本、
10
安全性等方面，分析满足系统安全稳定运行的云基础环境需求，对信息系统的上云可行性进行分析，初步确定各类系统是否上云，以及上云的优先级。重点分析内容包括：
（1）上云是否能够提升企业发展能力、解决实际业务问题；
（2）信息系统是否适合弹性拓展、是否需要快速部署；云平台及应用服务是否兼容现有信息系统；若不兼容则需评估迁移改造成本及风险等；
（3）评估数据存储方式、数据安全等是否符合要求；
（4）评估上云方式（在线/离线等）是否符合业务要求，上云迁移时间是否在可接受业务中断时间范围内；上云后能否满足不同类型用户体验需求；
（5）评估现有系统与上云后系统的切换方案、并行运行方案、失败回滚方案等；评估系统改造、数据迁移、应用程序迁移过程中可能出现的风险点，并给出应对建议。
（十三）上云企业可在云平台服务商支持下，基于上云可行性评估结论，拟定详细上云工作内容和要求，明确各方责任和义务。充分评估迁移上云过程中的风险点，制定应用迁移、数据迁移、系统改造方案、数据存储方式及安全保护等技术方案，以及配套的监督、验收、失败回滚方案，做好上云信息系统和未上云信息系统的协同。
（十四）上云企业可依托云平台服务商或第三方机构，明确各信息系统具体迁移策略。对于复杂系统的迁移上云，需要根据实际情况采用定制化的迁移技术及方法。迁移策略包括：
（1）直接迁移：将信息系统迁移部署到云平台，利用统一运营管理平台进行管理；
（2）改造后迁移：对数据库、系统架构、运行环境、接口等进行改造，使其满足迁移到云平台的技术要求后迁移；
（3）采购云服务重建：结合业务实际，采购满足需求的各类云服务，重新构建信息系统；
11
（4）保持现状：对暂不适合迁移的系统，继续保持运行在当前环境。
（十五）企业可在云平台服务商或第三方机构支持下，根据上云方案构建模拟环境，进行上云演练，经过测试和验证，不断优化完善上云方案，执行上云过程。
（1）推动开发、测试环境上云，构建模拟环境，包括迁移源端和目标端环境；
（2）实施模拟上云，进行功能测试、性能测试、备份测试、容灾测试等，并在此基础上修改完善上云方案；
（3）按照上云方案准备包括人员、环境、实施工具等在内的资源，实施上云过程，开展数据迁移和应用迁移，失败时实施回滚方案。
（十六）上云过程结束后，各相关方可进行数据完整性和一致性校验，执行上云后的功能测试、业务流程测试、性能比对测试、备份测试、容灾测试、安全测试等，出具上云测试报告；将信息系统正式割接到云平台，开展上云总结。
（十七）上云成功后，上云企业可自行或委托第三方机构对云服务进行监督，督促云平台服务商不断提升服务能力。如出现服务不可用或达不到保障水平的情况，云平台服务商应按照服务协议中约定的内容和方式进行赔付，保证上云企业合法权益。
（十八）企业上云后，可自行或委托第三方机构，从资源采购规模和利用率、业务效率提升情况、经济效益和社会效益等方面对上云效果进行评估。
（十九）上云企业可配备相应的云计算人才队伍，并根据上云对企业业务经营和组织管理带来的变化，及时调整建立与之相适应的企业组织管理模式。
五、提升支撑服务能力
（二十）云平台服务商应加快提升技术水平和服务能力，保障云平台高效、安全、稳定运行，与云应用服务商、系统集成商、基础设施提供商、第三方机构、行业组织密切合作，为上云企业提供方案咨询和定制服务，拓展企业上云覆盖范围。
（二十一）鼓励云平台服务商建设综合性、行业性或区域性企业上云体验中心，系统展示云服务业务内容、功能特点、典型应用案例和上云成效，提高用户对云计算的认知度和应用能力。鼓励云平台服务商与云应用开发商、系统集成商等组织开
12
展培训服务，加强专业人才队伍建设。
（二十二）鼓励软件和信息技术服务企业加速向云计算转型，针对不同行业、不同企业差异化需求，基于云计算平台开展产品、服务和解决方案的开发测试，加快丰富云计算产品服务供给。积极发展协同办公、生产管理、财务管理、营销管理、人力资源管理等各类SaaS服务，为上云企业提供业务支撑。
六、强化政策保障
（二十三）鼓励各地建立政府部门、云平台服务商、上云企业等多方合作推进机制。支持各地工业和信息化主管部门设立企业上云专家咨询委员会。加大对企业上云的引导推进力度，加强政策宣贯解读，普及上云知识，提高企业上云意识和实践能力，持续扩大企业上云影响力。
（二十四）支持各地工业和信息化主管部门建立完善公共服务平台，为企业提供信息系统规划咨询、方案设计、监理培训等各类服务。深入开展云服务能力测评和服务可信度评估，推动提升云计算企业服务水平和服务质量。积极探索利用保险模式对上云企业给予保障。
（二十五）鼓励各地加快推动开展云上创新创业。支持各类企业和创业者以云计算平台为基础，利用大数据、物联网、人工智能、区块链等新技术，积极培育平台经济、分享经济等新业态、新模式。
（二十六）制定出台企业上云的效果评价标准，逐步构建企业上云效果评价体系。支持第三方机构根据相关标准，对成本节约、效率提升、业务升级、创新促进等上云效果进行评估、统计，引导企业深度上云。总结宣传企业上云的典型案例和成功经验，加大推广力度，打造上云标杆企业，充分发挥示范引领作用，实现企业上云规模化推进。
（二十七）落实《中华人民共和国网络安全法》相关要求，推动建立健全云计算相关安全管理制度，完善云计算网络安全防护标准。指导督促云平台服务商切实落实主体责任，保障用户信息安全和商业秘密。
13
1.2云安全规范指导文件
随着近几年国内云基础设施的建设，云安全的相关规范和标准也陆续推出，在实际云安全项目建设过程中，常参考的指导文件如下：
《关于加强党政部门云计算服务网络安全管理的意见》（中网办发文【2015】14号）
《信息安全技术网络安全等级保护基本要求第1部分：安全通用要求》（GB/T 22239.1）
《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求》（GB/T22239.2）
《信息安全技术网络安全等级保护安全设计技术要求第1部分通用设计要求》（GB/T25070.1）
《信息安全技术网络安全等级保护安全设计技术要求第2部分云计算安全要求》（GB/T25070.2）
《信息安全技术云计算服务安全指南》（GB/T31167-2014）
《信息安全技术云计算服务安全能力要求》（GB/T31168-2014）
《CSA云安全指南》
《CSA云计算安全技术要求》
《CSA云计算安全技术要求-IaaS安全技术要求》
《CSA云计算安全技术要求-PaaS安全技术要求》
《CSA云计算安全技术要求-SaaS安全技术要求》
以上标准为国内和国际的常用标准，另外部分行业如运营商、电力等相继出台了所属行业的云安全建设规范及标准，因此在后续解决方案建设过程中，如有行业标准可参考的可优先参考行业标准，等级保护和国际标准可作为辅助。
14
15
图2合规标准参考优先级
1.3软件定义数据中心（SDDC ）
当前随着企业信息化转型进程的深入，对于IT 基础设施的要求提出了更多的要求，庞大的数据中心也让运营工作越来越复杂，因此企业考虑采用云计算、虚拟化等相关技术，来满足信息化业务的高效支撑，优化IT 基础设施。回首过去十年，服务器虚拟化的部署和不断迭代，大大优化了计算资源的能效，然而仅对计算资源的虚拟化仍然不能满足让信息化去适应业务变化，灵活度、易用性方面需要从整体进行改变，才能让数字化转型进行的更加顺利。
而软件定义数据中心（SDDC）概念的提出，则是重构传统数据中心的新方向，设计思路具备系统性和创新性，通过在成熟的虚拟化技术基础上，提升数据中心的实用性，为企业数字化转型进一步降低信息化管理的门槛，让信息化与业务本身融合的更加紧密，进而带来更多商业价值。目前，SDDC 的概念已经进入成熟阶段，市场上可以找到众多服务商来提供的SDDC 咨询、改造及建设方案，出于对总体成本投入的考虑，越来越多的企业也正在考虑采用SDDC 的技术思路，结合自身业务特点来设计数据中心建设方案。
关于软件定义数据中心的思考，本质是为了让企业业务应用更加顺畅，更加高效来正向考虑数据中心的变革，让基础设施更能够贴合信息化业务的发展，以虚拟化技术为基础，去改造网络、存储以及安全等，让软件去定义数据中心的一切资源，形成以计算虚拟化、网络虚拟化、存储虚拟化以及安全虚拟化的大融合架构。
在实践过程中，SDDC 是考虑构建虚拟化的数据中心（如行业私有云或者混合云结构）。然而大多数的大型公有云服务商均使用了形式各异的SDDC 解决方案，帮助
企业客户优化资源利用和降低投入产出比。目前大多数企业的服务器均已经部署了虚拟化，部分规模较大的中央政府单位正在积极筹划云原生、超融合等数据中心3.0的技术助力SDDC的落地，帮助企业快速推进业务的数字化转型。而在计划将其数据中心演进到SDDC的企业中，从大量接触访问中获得的时间节点一般在“十三五”期间完成，也就是在2020年左右完成该演化进程。
软件定义安全的实践侧重点会因各企业的实际需求情况而存在差异，主要关注如下几方面：
1、缩短响应时间和提升信息化生产力
信息技术的应用是为了更好地响应企业业务流程流转的需求，进而提高生产力。软件定义数据中心的方案可以将原来固化难用的IT基础设施盘活，通过软件化来整合各类资源，逻辑打通、灵活索取、按需扩展，同时在维护方面更加集中、可读和便捷，原来割裂的安全机制也可以通过软件定义的方式融入到整个信息流中，更加完善为企业提供信息化服务。
2、集中控制平台结合管理制度的执行，会带来更好的安全性保障
软件定义数据中心方案支持企业将计算、网络、存储和安全等各类组件实现资源池化，在上层构建统一或者按需的控制管理平台，管理平台通过身份认证、角色划分、权限控制等配合企业组织架构，通过流程化设计配合管理制度，进而提高业务效率，然而通过软件定义的上层管理平台天然具备的集中性、可视性和流程化，让安全管理和安全制度落地更加有保障。
然而目前在有关机构调研结果反馈，正在建设SDDC的企业中，有超过50%的客户表示，在实际项目进程中，唯一难把控的因素就是安全问题，据IDC数据调查显示：云计算所面临的挑战中，安全问题排在首位，75%用户在安全性上犹豫不决。这也侧面印证了这一说法。在软件定义数据中心的解决方案中，客户对事前、事中的安全性以及事后审计可追溯，提出了更高和更灵活的要求，在法规遵从合规方面以及更平稳的操作运营等方面也同样有了更高的预期。因此重新思考安全合规在软件定义数据中心方案中仍然需要得到重视和进一步改进。
16
3、通过自动化手段降低运营成本、保障业务连续性
软件定义数据中心希望构建统一的监测预警及态势分析平台、BI系统平台、业务流程管理平台和软件定义数据中心的各类管理平台，通过自动化、集约化、智能化手段，将数据中心的各个组成部分联动运营起来，让各种任务的执行变得更敏捷。例如将日益增长的工作负载转移集中到功能性能更优的硬件平台上，或重新梳理复杂的网络拓扑。通过这种方式可以有效降低运营成本，并可保障高业务连续性。
4、方案解耦合，提高开放性，避免被厂商“绑架”
通过对云虚拟化以及超融合架构的深入实践，围绕一切基础设施服务上层业务的变革思路，构建解耦开放的上层管理平台，通过南北向API的开发规范，允许多个工作负载共享各类池化资源。此种设计也避免了传统网络厂商和存储厂商的“绑架”，让企业真正可以围绕业务的需求去选择最优的IT基础设施解决方案。
5、增强了多云及混合云的可管理性
软件定义数据中心实现方式上具备多云异构的管理及混合云的统一管理设计，因此在多产品供应商之间可以灵活的兼容，通过自动化、资源抽象以及可视化构建的上层管理平台，可以为企业IT基础设施的多样性上带来迎合业务需要的一致性操作，规避了“绑架”，影响业务信息化实现的问题。
通过解耦开放的管理层架构设计，信息化业务需要的计算资源、网络资源、存储资源以及安全资源不再固化锁定在特殊的物理设备上，如在抽象出来的安全资源中实施的安全策略，可以脱离原来硬件，轻松的实现安全按需分配、动态跟随，甚至可以跨多个网络分布，以满足企业业务的需要。
软件定义数据中心的核心价值总结三点：
1、为企业数字化进程节约成本、优化资源利用率，为企业经营增加效益；
2、在业务信息化过程中，将各类基础资源进行集约化管理，加入自动化与智能
化手段，增强信息化的整体把控力度；
3、充分利用云和虚拟化技术，抽象化各类IT基础设施，形成多个资源池，让
企业业务的信息化支撑手段落地更加敏捷。
17
1.4软件定义安全（SDSec）
软件定义安全的概念其产生的背景始于大规模网络架构的应用，尤其是云虚拟化以及SDN技术的兴起之后，成为安全行业共同探讨的热点话题。传统的网络安全防御体系通常是根据基础网络架构的设计情况，通过各类安全建设模型，针对各区域边界、网络出口以及业务应用本身的安全风险分析而规划的，在建设方案批复之后企业会采购各类安全设备去保护各个层面的安全。如IT管理员可以手动的方式在安全域边界串联或者旁挂相关的安全设备，对进出安全域的流量进行监测、过滤和审计等。如果将这种查缺补漏、单纯堆砌的建设思路运用在大型和复杂的网络环境中，会带来大量繁杂重复的运维工作，并且这种网络安全架构的灵活性、扩展性、易用性方面在云虚拟化技术的引入之后，带来了诸多挑战。
当前数据中心尤其是在未来规划的云数据中心，不同安全等级防护区中的边界防护、主机防护、安全管理等设备多样和复杂，如在广域网分支互联的场景中会有安全设备的集中管理平台，但可管理的品类较为单一，用户还需要“辗转腾挪”在不同的安全设备中进行安全运维。新安全事件来临时，用户一般会经历如情报获取、威胁分析、解决办法推荐，登录到各类安全设备上进行检查和调试等环节的工作，实际的防护效果也同样需要到各类设备上去查看，另外存在云虚拟化环境时，安全的落地情况和应对措施更加不能够忽略，如用户具备态势感知一类产品后，可以提供安全事件预警及安全通报的功能，但在落地时，由于人员能力问题或者安全手段不足，很可能出现遗漏和难解决的情况，况且这些产品目前难以收集云内的安全状态信息，安全管理更加困难。将预防、防御、检测和响应做到一体化，完善这“最后一公里”成为大型企业近几年关注的重点工作。
未来安全的交付形式会逐渐服务化，传统网络安全产品的服务化、软件化工作，各类安全厂商均相继开展，为的是让安全能力能够快速、灵活的交付到用户手中，在后续性能遇到瓶颈后也可以按需扩容，规避硬件老化、性能不足造成的资源浪费，降低用户的使用门槛和使用成本，背后的主要技术支撑来自云计算和SDN，通过云和软件定义的方式，解决硬件厂商对于用户“绑架”的现象，让基础设施去适应上
18
层业务，而不是让业务去适应基础设施。
关于未来安全性与合规性的判断，VMware和McAfee这样的供应商认为，以软件定义安全的方式重新绘制功能界限可以提高安全性。关于软件定义安全的概念，在百度上这样描述“软件定义安全（Software Defined Security，SDS）是从软件定义网络（Software Defined Network，SDN）引申而来，原理是将物理及虚拟的网络安全设备与其接入模式、部署方式、实现功能进行了解耦，底层抽象为安全资源池里的资源，顶层统一通过软件编程的方式进行智能化、自动化的业务编排和管理，以完成相应的安全功能，从而实现一种灵活的安全防护。”
由此可见软件定义安全本质上是一种技术理念，主要技术思路为参考SDN的数据与控制层面分离，通过构建上层安全管理平台去运营、运维下层集约化部署的安全资源。需要注意的是，软件定义安全理念从逻辑上和架构上是涵盖了传统安全与云计算安全的，前者是从改变安全技术架构去提高安全管理效率，提升安全运营的价值，而后者则是区别于安全落地的不同场景。因此软件定义安全同样适用于传统IT环境，如果做到了构建统一的上层管理平台，使其具备开放接口，下层各类安全组件资源可受上层管理应用进行编排、计量等手段统一关联起来，那么这套安全防护体系也可认为是由软件定义的。
第2章云安全风险分析
目前企业每年的信息化规划中均逐步将企业管理类、公共服务类和生产控制类等系统迁移到云上。然而随着云基础设施的搭建，业务上云的工作开展，用户不得不面对包含传统安全威胁在内的新威胁，在上云、用云和管云的进程中，云安全风险可从业务、技术和监管三个牵引要素综合考虑。
2.1业务牵引风险分析
围绕XX项目业务上云补充信息
云安全风险从业务牵引维度考虑，主要体现在以下几方面：
1、云上业务安全的积极预防：云及混合云环境的安全是否能够防患于未然，提
19
20
前感知威胁；
2、云上业务自身及环境安全：业务上云，如何保障云平台安全、数据安全、应用安全，传统安全手段在云上是否可以直接复用；
3、云上业务安全的持续监测：业务上云后的安全暴漏面发生了哪些变化，如何检测云上业务系统面临的各类安全威胁；
4、云上业务安全的处置手段：云环境中，业务对资源的要求相对动态，对于动态化的安全管理也提出了一定的挑战，出问题后如何快速定位，止损和溯源，如何给问题点快速下发安全策略并及时得到反馈，是需要在云安全解决方案架构设计时
考虑的重要因素；
图3企业业务云化示意图
据IDC 数据调查显示：云计算所面临的挑战中，安全问题排在首位，75%用户在安全性上犹豫不决。从近几年的安全事件中也可以嗅到，云上安全事件已经初露锋芒,如早在2015年发现的“毒液漏洞”可使数以百万计的虚拟机处于网络攻击风险之中，该漏洞可以造成虚机逃逸，威胁到全球各大云服务提供商的数据安全。
21
图4云计算面临的挑战IDC 数据调查
2.2技术牵引风险分析
数据中心引入云虚拟化后，云基础架构除具有传统环境下的所有风险之外，同时也具备云虚拟化新型技术下衍生出的安全问题。通过前期调研的云虚拟化安全防治案例项目，结合目前互联网整体安全态势发展，贵公司目前将云虚拟化技术引入后安全威胁主要从以下几方面考虑：
1、虚拟化的风险：虚拟化的风险会导致其所有上层系统的风险，虚拟化系统软件的漏洞为攻击者提供了方便之门；
2、虚拟网络的风险：由于云计算边界消失的问题，数据中心内部“东西向”威胁成为主要的安全问题，东西向流量不可见形成防护盲点；
3、数据安全风险：虚拟化层的数据泄漏可以导致所有托管应用的数据泄漏，数据安全仍然不可忽视；
4、安全管理风险：
1）不同防护等级的虚拟机共用同一物理主机的计算、网络、存储等资源，安全
策略如何制定，虚拟机迁移的时候，安全策略如何快速跟随。
2）在混合云/多云场景下，存在多云统一安全管理难、运维效率低，日志不能
集中收集存储分析，发生安全时间后溯源难、追责难、责任不清等风险。