云安全的建设路径与最佳实践

万涛 IBM大中华区 云计算服务部 首席安全顾问 智慧的地球對安全的需求 這個星球變得越來越... “我們在過去十年中看 到的變化比再之前90 年的總和都要多” Ad J. Scheepbouwer, CEO, KPN Telecom Privacy and identity controls Information protection and recovery Infrastructure and application protection Governance and policy management 新的成為可能 新的複雜性 新的風險. GRC 機械化 互聯化 智能化 來源：Microsoft Security Intelligence Report (SIR) -1H09 "黑客經濟"威脅發展特點 攻擊產業化，威脅數量激增 攻擊自動化，快速蔓延 攻擊智能化，威脅技術多樣化 威脅端到端 依靠單安全組件如何應對？ 如何做到全方位立體防護？ 威脅無邊界 如何快速查找威脅源頭? 69% 54% 53% 52% 47% 公司數據的安全和隱密性 服務品質 對成本節省的懷疑 網路回應能力是否迅速 與內部 IT集成的困難性 Percent rating the factor as a significant barrier (4 or 5) Respondents could select multiple items Source: IBM Market Insights, Cloud Computing Research, July 2009. n=1,090 對數據安全和私密性保護的擔心是最主要的 – 但並不是唯一的 *Source: RSA Security Brief: Security Compliance in a Virtual World http://www.rsa.com/solutions/technology/secure/wp/10393_VIRT_BRF_0809.pdf 傳統的複雜安全架構模式能滿足雲計算的安全要求嗎? 11 現在是換個思路考慮安全的時候了 幫助把創新成為現實. 提供更快捷的服務. 幫助節約資源. 改善信任 虛擬化 電話服務 外包 雲計算 安全要適應新興的技術和 商業模式 從設計就開始考慮產品和服務的安全性 云的属性极大地影响信息安全 12 外部实施 多层租赁 快速供应 自服务 内部实施 单层租赁 慢供应 IT服务 虚拟化所带来的安全复杂性 •新的复杂性 –动态地重新分配VM –增加的架构层来管理和保护 –一个物理服务器上有多种操 作系统和应用 –系统之间取消了物理的隔阂 –手动地跟踪软件和配置 VMs • 1:1 OS和服 务在一个物 理机上 • 1:多操作系统和服务在一个物理机 上 • 2:多出来一层来进行管理和保护 虚拟化之后 虚拟化之前 ? 我们控制 它位于 X. 塔被存储在服务器Y, Z. 我们有备份 我们的管理员控制访问. 我们的在线时间足够 审计员高兴. 我们的安全团队被引入. 谁能控制 它位于那里? 它存储在那里? 谁来备份? 谁来访问? 是否有足够的弹性? 审计员如何评论? 安全团队如何引入? ? ? ? ? ? 今天的数据中心 明天的云 云计算安全：简单的例子 云计算风险类别 很少的控制 客户期望对系统进行有效管理 数据安全 在共享的网络和数据中心，数据 访问控制尤其重要 可靠性 数据中心的高可用性尤其重要 合规 SOX, HIPAA 等合规要求 安全管理 应用和错作系统的安全设置和管 理 低风险 中等风险 高风险 核心云环境以及 个人信息 商业风险 需要安全 保护 低 高 培训,测试云环 境以及非敏感 信息 今天的云: ● 低风险负载 ● 数据保护的方法单一 ● 没有显著的担保 ● 价格是关键 明天高价值高风险的 云环境: ● 高质量的风险保护 ● 直接可见和控制 ● 显著水平的担保 用来分析和模 拟的云环境以 及公共信息 一人难称百人意 不同的云环境有不同的安全风险 数据隔离 数据恢复 调查支持 法规合规 数据定位 特权用户访问 灾难恢复 Gartner: Assessing the Security Risks of Cloud Computing, June 2008 …可以和IBM安全框架（IBM Security Framework）直接映射. Gartner的云计算安全风险分析 客户需要清晰的了解他们的云安全状态 建立第三方审计 (SAS 70, ISO27001, PCI) 提供使用者日志和审计数据访问 建立有效的使用者事故报告机制 可视化的变化，事故和映像管理等 支持电子数据取证和发现 实施监管和审计的管理程序 安全监管，风险管理和合规 可用的IBM产品，服务和解决方案 IBM Security Framework IBM Cloud Security Guidance Document IBM Security Products and Services IBM Resiliency Consulting Services 评估和计划 – 弹性的云验证 全面的评估机构现有的灾难恢复计划及与 环境的一致性。 IBM Security Risk Assessment 创建路线路来评估安全和减少风险 全面的评估机构现有的安全策略，过程， 控制和机制评估。 客户需要云提供严格的身份验证 实施增强的身份和访问控制 可用的IBM产品，服务和解决方案 IBM Security Framework IBM Cloud Security Guidance Document IBM Security Products and Services IBM Tivoli Federated Identity Manager 云身份安全管理 采用用户中心联合身份管理，提高客户满意度和合作能 力 人员和身份 IBM Tivoli Security Information and Event Manager 优化安全和合规工作 监视可能导致信息风险的用户偶然或恶 意的行为 特权用户监视，包括日志活动，物理监视和背景检查 利用联合身份，协调与企业或第三方体系认证和授权 一个以基于标准的单点登录功能可以帮助简化用户对内部托管程序和云的登录 客户最关心的就是数据安全 使用安全的网络 协议 离婚协议模板下载合伙人协议 下载渠道分销协议免费下载敬业协议下载授课协议下载 时，连接到安全的信息存储。 采用防火墙来隔离机密信息，并确保所有机密信息存储在防火墙后面。 业务无关的敏感信息应该安全的销毁 确保机密信息的安全 可用的IBM产品，服务和解决方案 IBM Security Framework IBM Cloud Security Guidance Document IBM Security Products and Services 数据和信息 IBM Data Security Services 保护数据支持商业创新 提供防止网络数据丢失，端点加密，防 止终端数据丢失和日志分析的解决方 案 IBM Information Protection Services 持续的数据保护 •远程数据保护服务 •电子邮件敏捷管理 •在线的快速保护 客户需要安全的云应用程序和供应 流程 快递问题件怎么处理流程河南自建厂房流程下载关于规范招聘需求审批流程制作流程表下载邮件下载流程设计 . 实施应用管理和映像提供程序. 实施安全应用测试计划 确保所有的虚拟映像和应用程序的修改都进行记录. 为所有的web应用开发使用安全编码指南 建立应用程序和环境配置 可用的IBM产品，服务和解决方案 IBM Security Framework IBM Cloud Security Guidance Document IBM Security Products and Services IBM Rational AppScan Web应用程序的安全漏洞测试 提供具有可扩展的企业架构，可集中 并行扫描多个应用程序的解决方案。 应用程序和过程 IBM WebSphere DataPower XML Security Gateway XS40 代码级的面向Web的应用程序安全漏洞解决 方案 提供对Web应用程序的安全保护，策略管理 和监管的持续的集成的解决方案 客户期待安全的云操作环境 . 承租人域之间的隔离 信赖的虚拟域：基于策略的安全区域 内置的入侵检测和防护 漏洞管理 保护机器影响防止损坏和滥用 维护环境测试和漏洞、入侵管理 可用的IBM产品，服务和解决方案 IBM Security Framework IBM Cloud Security Guidance Document IBM Security Products and Services IBM Virtual Server Security for VMware 保护云基础架构 提供领先的入侵防护，防火墙和虚拟环境安全的 可视化管理 网络，服务器和终端 IBM Endpoint Data Protection 敏感信息的远程保护 •阻止丢失或失窃的设备访问数据 •敏感数据的存储，访问，传输或共享保护 •监控敏感数据的访问 •最终用户级的增强策略管理 客户期望云数据中心是物理安全的 . 确保设备具有适当控制能力以监控访问 防止关键领域和设施的未授权访问. 确保所有可直接访问系统的员工都通过充分的背景检查。 对自然灾害可能造成的损失提供足够的保护 实现一个物理环境的安全计划 可用的IBM产品，服务和解决方案 IBM Security Framework IBM Cloud Security Guidance Document IBM Security Products and Services IBM Physical Security Services 物理环境的安全防护 可与您的网络和IT系统集成的整套的数字安全解决方案和现场评估。 物理安全 IBM 安全组合 … … 满足云安全需求的安全云 = 专业服务 = 产品 = 基于云的服务与管理 身份和访问控制 数据库监控和保护 加密和密钥周期管理 应用程序漏洞扫描 访问和授权管理 网络应用防火墙 数据丢失防护 SOA 安全 通信安全 数据屏蔽 电子邮件安全 应用程序安全 身份管理 数据安全 访问控制 GRC 物理安全 安全管理，风险与合规 SIEM 和日志管理 Web / URL 过滤 主机安全审计，管理与合规 虚拟系统安全 入侵保护系统 基础设施安全 Web/URL 过滤 漏洞评估 防火墙, IDS/IPS, MFS 管理. 安全事件管理 安全威胁分析 安全配置和 补丁管理 终端保护 = 在放映模式下，点击 获得更多信息 Smart Security Service Cloud –智慧的安全服 务管理云 Infrastructure as a Service (IaaS) Platform as a Service (PaaS) High Volume Transactions Software as a Service (SaaS) 服务器 网络 存储 中间件 协同合作 业务流程 CRM/ERP/HR 行业应用 数据中心 Fabric 共享的虚拟化的，动态交付 数据库 Web 2.0 应用运行环境 Java运行环境 开发工具 安全服务管理云 跨越PaaS 层和IaaS 层 安全服务管理云 世界级的安全监控 系统与取证工具 企业级的高性能安全 防护软硬件产品 高标准的安全服务 管理体系和技术支 持响应能力 提高安全事件分析效率，实现安全资源集 中和有效分配 安全管理标准化和自动化，全面提高信息安全风险管理水平 快速提高安全事件响应速度,提高安全跨地 域管理效率 安全资源共享的服务平台，全面监控发现与快速响应安全事件 安全服务管理云 Smart Security Service Cloud – 智慧的安全服务管理云 智慧的安全服务管理云的架构设计符合信息安全生命周期 PDCA循环生态模型和ISO27001等国际信息安全标准 安全监控管理云 安全调查取证云 安全服务支持云 安全服务窗口云 安全基础服务云 安全服务窗口云: 云安全管理的窗口服务与动态展现 安全服务窗口云 • 日常的威胁评估 • 安全事件展现 • 安全攻击趋势分析 • 信息安全预警发布 • 保护区域信息安全指数 • 云安全管理政策与管理导航 • 云安全报备、检测、准入审批 • 云从业人员备案、资质背景审查 • 云安全服务体验窗口 = 专业服务 = 产品 = 基于云的服务与管理 身份和访问控制 数据库监控和保护 加密和密钥周期管理 应用程序漏洞扫描 访问和授权管理 网络应用防火墙 数据丢失防护 SOA 安全 通信安全 数据屏蔽 电子邮件安全 应用程序安全 身份管理 数据安全 访问控制 GRC 云环境物理安全 安全管理，风险与合规 SIEM 和日志管理 Web / URL 过滤 主机安全审计，管理与合规 虚拟系统安全 入侵保护系统 基础设施安全 Web/URL 过滤 漏洞评估 防火墙, IDS/IPS, MFS 管理. 安全事件管理 安全威胁分析 安全配置和 补丁管理 终端保护 = 在放映模式下，点击 获得更多信息 安全基础服务云 安全基础服务云:汇聚信息安全业界最优秀的产品资源为政府企业的各类自建云 提供全面的基础安全服务,节约社会投资,提高相关云安全保护能力 安全监控管理云: 通过部署在服务对象的云端接入安全设备动态 监控各类云的安全状态、采集安全事件相关信息并进行关联分析 安全监控管理云 FW A/V Firewall Network SNMP Anti-Virus IPS System Logs 各类云安全接入设备 核心处理系统 安全监控中心 安全调查取证云：汇聚世界先进的信息安全取证产品与工具 对通过信息安全监控云所获取的安全事件数据进行调查取证 分析与处理，为电子司法鉴定和企业内审取证提供服务 安全调查取证云 安全服务支持云：通过建设符合国际标准的信息安全服务流程与 模式和世界一流的支持与应急响应团队与安全专家形成云安全服 务支持体系 工作 需要的技能 分析・判断 控制 用户事件处理(服务内容，SLA遵守，逐步升级) 突发事件处理（网络、防火墙、IDS/IPS等） 安全基础（hacking基础等） 安全技术的应用 (OS, Network等） 策略调整相关知识 (防火墙、IDS/IPS) 安全知识 (Ethical Hacking等） 信息分析（X-Force,CERT等） 突发事件分析（误报、漏报） 评估基础技术 Level１ Level２ Level３ X-Force 安全评估能力 异常访问处理技术 特征码编写技术（User Definition) Level４ 监视 ERS・IRT 日志分析技术 渗透技术 安全事故发生时处理技术 Level５ 工作内容 分析报告生成 重要度判断 工程师教育 监控及L1处理 用户事件处理 策略变更操作 漏洞研究 特征码编写 信息管理 监控 工单触发 逐步升级 安全事故发生的处理 等级 安全服务支持云 33 3,000多个安全与风险管理相关的专利 IBM在安全领域的经验与专长遍及全球各地 9 个安全运维 中心 9 个安全研 究中心 在133 个国家的 客户安全 监测 20,000多 合同 劳动合同范本免费下载装修合同范本免费下载租赁合同免费下载房屋买卖合同下载劳务合同范本下载 安全设备 3,700+ 世界各地的 MSS 客户 每日70亿多 事件发生 taowan@cn.ibm.com