云计算的安全感
云计算的安全感=数据是否安全
政务用户的安全要求感
隔离是王道？
多租户=不安全？
安全要求=安全需求？
------CNCERT发布的《2013 年我国互联网面临的安全形势和威胁报告》
我国境内被篡改网站数量为 24034 个，90%为省市级以下的地方政府
------人、财、物不足
------高级持续性威胁（APT）攻击防不胜防
政务用户的安全需求
如何运用有限的人、财、物资源防御基于篡改网站数据为目的的
安全攻击就是当下电子政务类业务最为迫切的安全需求。
篡改网站数据攻击途径
• 利用Web安全漏洞写入Webshell后门
• 破解主机管理账户密码
解决之道
• 部署应用、系统、网络等方面防入侵产品或服务
传统安全解决方案 云安全解决方案
项目 成本 项目 成本
防火墙 5万/台 安全组/VPC 免费
VPN 5万/台 VPN+Token 增值服务
Anti DDoS 5G，4万/年 百G DDoS防护能力 免费5G防御
IDS/IPS（入侵检测/防御） 20万/台 主机入侵防御 免费
WAF（Web应用防火墙） 20万/台 WAF 免费
漏洞扫描 10万/台 安全体检 免费
堡垒机 10万/台 堡垒机 增值服务
SOC 50万/套 控制台 免费
加密机 10万/台 云加密机（第三方厂商合作） 增值服务
安全运营 缺乏专业人员 安全运营
专业安全团队，多年安
全攻防经验
何种云平台能满足需求
• 具备低成本、高精度、大规模的安全防御架构
• 平台自身具备完整的数据安全保护能力
• 全面合规
云安全防御架构
低成本：充分使用软件分布式+X86服务器架构，摆脱硬件定制
高精度：运用大数据分析技术实现攻击实时阻断
大规模：应具备几百G防DDoS攻击清洗能力
云安全防御架构
高精度：运用大数据分析技术实现攻击实时阻断
解读：各类安全防御产品基于签名的技术模式遇到了APT挑战
APT：攻击目标聚焦、手段多样、特征难以提取、可信源难以建立
解法：防御模型+大数据技术
云安全防御架构
大规模：应具备几百G防DDoS攻击清洗能力
解读：2014年“分布式反射拒绝服务攻击规模呈持续增大趋势。”
DDoS攻击成本降低、防御成本极高、难以追溯攻击源
解法：可弹性扩展的防DDoS能力+云平台防DDoS能力
阿里云------云盾
阿里巴巴完全自主开发、采用软件+X86服务器架构,依托云计算的高弹性扩
展和大数据挖掘能力，推出的云安全服务：
网络安全：DDoS攻击防御服务；
云平台：安全组防火墙；
系统安全：主机密码防暴力破解、网站后门检测和处理、异地登录提醒、
共同组成主机入侵防御系统；
应用安全：WEB应用防火墙（WAF）、网站漏洞检测；
数据安全：数据库防火墙
何种云平台能满足需求
• 平台自身具备完整的数据安全保护能力
数据定像访问
用户端：系统管理员、最终用户、运维人员角色分离
系统管理员采用IP绑定
最终用户采用数据库访问源控制，仅支持内网访问
运维人员采用专线接入、双因素认证、堡垒机命令级控制
数据定像访问
云数据库服务:
VIP映射，开放指定数据端口
禁止云数据库服务主动对外访问，防止敏感数据泄露
数据加密传输
云服务控制台操作均采用HTTPS协议加密；
云服务器登陆数据传输，仅支持SSH和RDP加密协议登录；
云数据库登陆数据传输，采用MYSQL或SQL SERVER自带的登录
加密；
云存储生产数据从客户端到云端传输均只可通过专线进行，且支
持服务端存储加密，支持客户自行密钥加密数据后上云
数据分布存储
云平台应采用分布式离散存储技术，存储用户的结构化和非结构
化数据，每一份在云端的文件数据都会数据分块，每个数据块至少会
存三份副本，对每一份碎片化后的数据实体保存，均遵循随机算法存
在不同的机架上，降低IDC环境下通过盗取物理磁盘所面临的数据丢
失风险。
数据分层隔离
安全组/VPC隔离网络，Xen隔离CPU和内存，磁盘调度系统隔离
存储
NC（物理机）上采用iptables隔离VM（安全组防火墙）
采用arptables防止ip、mac伪造和arp欺骗
采用ebtables过滤异常协议
数据清零销毁
逻辑销毁采用高级清零技术保证关联数据库块释放，不能被恢复
物理销毁采用消磁技术，对于淘汰、废弃、转售和需要委外维修
的物理磁盘和存储硬件统一执行消磁处理，消磁过程全程视频监控并
长期保留相关记录。
数据清零销毁
逻辑销毁采用高级清零技术保证关联数据库块释放，不能被恢复
物理销毁采用消磁技术，对于淘汰、废弃、转售和需要委外维修
的物理磁盘和存储硬件统一执行消磁处理，消磁过程全程视频监控并
长期保留相关记录。
何种云平台能满足需求
• 全面合规
• 云服务应通过ISO27001（信息安全管理体系）国际认证；
• 云服务支撑系统应通过公安部信息系统等级保护三级评测；
• 云服务应考虑通过云安全（CSA-STAR）国际认证；
