认识达内从这里开始

任何事实都不是完全安全的，尤其是一些互联网环境下的产品更容易收到未知来源的攻击。为了保护我们的产品安全就需要添加一些安全防御机制，比如说密钥、安全认证等等。

今天，我们就一起来了解一下，云计算方面的安全措施都有哪些。

云安全概述

AzureStack作为一款混合云产品，安全防护及安全的业务提供是必备基础能力，本篇将从云安全的定义、AzureStack安全机制、AzureStack未提供的安全防护三方面，探究AzureStack在安全层面所提供的技术保障以及需要加固的方方面面。

云安全的定义

早在2008年，当很多人还认为云计算还处于概念阶段时，趋势科技和瑞星等安全厂商纷纷宣布“云安全”计划，在国内云安全这一概念名词由此诞生。“云安全”计划的提出是为了应对病毒的日益泛滥，做法是将病毒资料库放在“云”端，让“云”端对不安全链接直接判断，阻止其进入用户机器。

云安全一词在国内大受杀毒厂商的追捧，其核心思想是利用大规模的云计算来抵御日益复杂多样的黑客攻击与病毒攻击。在国外，安全软件处于云端的做法，称之为基于云的安全软件-“Cloud-BasedSecurity”或者安全即服务-“SecurityasaService”。

而本文所提及的云安全(CloudSecurity),是云计算安全性(Cloudcomputingsecurity)的简称，顾名思义，是关注云计算业务系统本身的安全性，其概念采用维基百科的解释：通过部署一套广泛的策略、技术与控制方法,来保护数据、应用程序、与云计算的基础设施的安全性。

云计算环境下的安全问题

云计算的安全疑虑很多，每个建设环节都可能导致安全问题，包括物理机房环境、网络、应用、数据存储等各方面的安全。除去机房环境，可以简单归结为以下几个方面：

身份认证：云计算服务商在对外提供服务的过程中，需要同时应对多租户的运行环境，保证不同用户只能访问企业本身的数据、应用程序和存储资源。

数据保护：这是目前云计算用户最为担心的安全风险。用户数据在云计算环境中进行传输和存储时，用户本身对于自身数据在云中的安全风险并没有实际的控制能力，数据安全完全依赖于服务商。

数据隐私：云计算环境存储的用户数据，离不开管理员的操作和审核，如果缺乏足够的安全防护，将可能导致用户数据被云服务提供商窃取或无意泄露。

应用程序安全：云服务提供商必须确保通过云所提供的应用程序服务是安全的，外包或包的代码必须通过测试与可用性的验收程序。

AzureStack安全机制

混合云AzureStack场景中，在公共云供应商或者AzureStack供应商和客户之间有一条非常明显的责任分界线。当一个IaaS客户角色转变成一个PaaS或SaaS客户角色，其相应的责任也会发生改变，一个IaaS层角色与PaaS层角色的责任是明显不同的，比如我们管理一个运行在一台自己管理的虚机上SQLServer的责任，与管理一个AzureSQL数据库而不用管理运行该数据库的虚机所面临的责任是不一样的。

AzureStack的安全机制主要分为三个层面：硬件安全，平台层安全，租户层安全。

AzureStack拥有从物理层面到不同的SaaS服务层面的多种安全机制，以确保数据安全。在AzureStack混合云环境中，客户不能够访问虚拟机管理程序层，PaaS/SaaS服务提供商同样不能访问。

硬件安全

AzureStack平台硬件层面的基本安全机制有安全启动(Secureboot)和统一的可扩展固件接口(UEFI)。不同品牌的硬件提供商(Lenovo、DellEMC、HPE等)针对AzureStack的硬件层都提供了自己强有力的硬件安全解决方案，有效地解决AzureStack的硬件安全问题，等AzureStack硬件GA后，我们会详细地比较、分析、评价各厂商的硬件安全解决方案。

平台层安全

AzureStack相对于微软的公有云Azure是一个独立的平台，但安全管理方面有很大的相似性：

AzureStack和Azure工程师没有访问客户数据的默认权限，只在必要时，在监督的条件下被授予访问。

AzureStack和Azure平台管理员只将客户数据用于跟客户签订的承包服务，如故障排除和改进的功能，如保护免受恶意软件兼容。

在AzureStack中，作为一个服务提供商只能访问管理门户adminportal，可通过并仅能通过管理门户或者管理API创建用户订阅，管理AzureStack架构，监控平台健康状态，查看审计日志信息，但没有权限查看正常用户的数据与业务。

AzureStack实现平台的安全，主要基于两个安全原则：

Assumebreach

Hardenedbydefault

“Assumebreach”原则

基于“Assumebreach”安全原则，如果平台检测到任何黑客攻击行为，不仅可以有效阻断，还可以有效限定被攻击的范围，减少被攻击损失。如果一个AzureStack组件被黑客攻破，也不会导致整个平台瘫痪，有效保证其他组件的安全。通常，管理员角色最易受到攻击，AzureStack通过一个预定义的约束管理经验模型，保证如果一个管理员证书被攻破，攻击者只能访问该管理员被限制访问的组件。

为了实现AzureStack平台的安全，微软制定了多种安全机制：

1、约束管理，AzureStack提供了非常精细的，基于角色的访问控制

最低权限账户，用于不同服务的服务账户只拥有最低的权限;

只能通过管理门户或管理API进行平台管理;

删除了任何面向客户的域管理员账户;

不存在任何超级用户。

2、锁定基础设施

启用应用程序白名单，只有经过微软或AzureStackOEM签名的应用才能运行，未签名或第三方签名的应用一概不允许运行;

默认的最小通信特权，AzureStack内部的功能组件只能与特定的目的组件交换数据;

启用网络访问控制ACL，防护墙默认规则阻断一切网络访问，除非是必要的。ACL不只存在于VM和虚拟网络层面，有效屏蔽网络风险，可参考如下网络访问控制模型：

3、为了提高检测能力，AzureStack启用每个基础架构组件的安全和审计日志，可以监控任何入侵。

4、隔离host，杜绝AzureStack账户直接访问底层host。微软与OEM厂商提供host的全生命周期的管理，提供不影响用户业务及数据的加固服务，比如提供固件、驱动、操作系统补丁升级等服务。

“Hardenedbydefault”原则

AzureStack默认启用许多安全控制机制，比如：

1、静态数据加密，AzureStack所有的存储都应用BitLocker加密，同时提供三备份机制。

2、基础架构组件之间，采用强身份验证。

3、基于SecurityComplianceManager，在底层操作系统上使用预定义安全模板。

4、在底层操作系统，禁用传统旧协议，比如SMB1，NTLMv1，MS-CHAPv2，Digest。

5、应用WindowsServer2016的安全功能

凭证保护，所有域密码采用基于虚拟化的安全隔离，保证只有特定有权限的系统软件可以访问。

代码完整性，凭证保护的一个功能，确保只有通过代码完整性检查的代码才能得到执行。

反恶意软件，使用WindowsDefender加固支持平台的底层虚拟机上。

使用ServerCore，以减少被攻击面并限制使用某些功能。

租户层安全

上一章节，我们介绍了平台层的安全机制，相对租户层不可见的平台层安全机制，AzureStack对租户层用户也提供了多种安全机制。

资源管理器ARM本身有一个Role-BasedAccess模型，用来定义一个用户可以访问订阅、资源组。其中，ARM内部的访问能够使用默认定义角色或者自定义角色。

在AzureStack租户层所采用的一些安全策略：

AzureStack的资源策略，用于增强ARM传统的访问规则，如允许用户只提供一定类型的虚拟机或强制标记某一个对象。

网络安全组，AzureStack网络的防火墙访问规则，控制网络、虚机的访问。

虚拟网络层，作为AzureStack的软件定义网络解决方案，有效地杜绝传统的2层攻击。

TLS/SSL，默认情况下，所有的平台服务和API都应用TLS/SSL保证安全。

支持互联网安全协议IPsec。

AzureKeyVault，帮助你轻松管理云应用和服务的加密密钥。

AzureStack未提供的安全防护

AzureStack本身提供了用户身份认证、权限的租户隔离和虚拟化资源共享业务安全问题的解决方案，但是对于用户应用数据的安全问题则有赖于用户自己解决，这其中包括如下三个方面：

1)客户虚拟机和应用集群的统一、自动化管理，比如大数据集群管控。

2)客户数据的自动备份、保护机制，比如数据脱敏，数据防泄漏等。

3)客户虚拟机和客户网络的安全防护，比如更符合客户习惯的身份认证与访问控制，恶意软件防护，防火墙等。

针对AzureStack未提供的用户应用、数据方面的安全问题，技术层面需要CMP和系列安全防护融合的综合解决方案。通过CMP可以实现客户虚拟机和应用集群的统一、自动化管理和客户数据的自动备份和保护，而客户虚拟机和网络的安全防护则需要通过专业的安全防护解决方案来解决。

针对混合云，一个专业的安全解决方案，可以提供私有云和公有云统一的安全管理平台，保护IT环境免遭数据泄露和业务中断，降低运营成本，获得如下六个方面的功能防护：

1)入侵检测：

通过屏蔽已知漏洞，主动防御各种已知和零时差攻击

检查所有传入和传出流量中是否存在协议偏差、策略违规或带攻击迹象的内容

虚拟修补帮助确保符合PCIDSS、HIPAA等主要法规

抵御SQL注入、跨站点脚本以及其他Web应用程序漏洞

对访问网络的应用程序加强监视或控制。

2)防恶意软件：

确保工作负载免受恶意软件攻击

隔离恶意软件，保护实例免受复杂攻击(包括勒索软件)

把可疑对象提交给亚信安全TM深度发现TM分析器，以供进行沙盒分析

3)防火墙，双向有状态防火墙，兼容各类主流协议。

通过创建防火墙边界来阻止攻击，可减少攻击面

限制为只能通过必要的端口和协议进行通信

集中管理服务器防火墙策略，包括用于常见服务

4)Web信誉，对百万计的web站点评级分类，访问低信誉网站时主动提醒。

5)完整性监控，保护系统文件和注册表，阻止对系统关键资源的更改。

监控和跟踪系统更改，并实时报告恶意和意外更改

利用事件标记自动复制类似事件的操作

6)日志审查，智能提取日志中的安全事件。

收集操作系统和应用程序日志，并分析其中的可疑行为、安全事件和管理事件

通过识别重要安全事件确保满足合规性要求(PCIDSS)

将事件转发到SIEM系统或集中的日志记录服务器，以进行关联、报告及归档

参考文献

WhatisCloud-BasedSecurity?

Azure门户中基于角色的访问控制入门

SecurityandComplianceinAzureStack

AzureStackSecurity

AzureStack—Securebydesign

感谢江柳对本文的审校。

作者：张会峰

来源：infoq

【免责声明】：本内容转载于网络，转载目的在于传递最新信息。文章内容为作者个人意见，本平台对文中陈述、观点保持中立，不对所包含内容的准确性、可靠性与完整性提供形式地保证。请读者仅作参考。