當前，云計算處于高速發展時期，云平臺實現了信息共享、提升了資源利用效率、節約了成本，但其網絡安全等級保護問題不容小覷。2019年5月13日，網絡安全等級保護2.0正式發布，信息安全等級保護也過渡到了網絡安全等級保護。并對云平臺、云上用戶和云上安全產品提出了相應的管理要求。

等保2.0在云環境方面的新要求

在等保2.0中對安全設計技術、等級保護測評等一系列標準提出新的要求，對新技術領域（云計算、大數據、物聯網、移動互聯）等級保護的標準，提出了全新的工作機制，進一步強化了整體的安全防護。

1、等保要求的變化。云計算環境下網絡安全等級保護在基本要求、設計要求和測評要求中在原有的“通用要求”基礎上，針對于云計算平臺這一特定等級保護對象，增加了云計算等新領域的個性安全保護標準和安全擴展要求。

2、定級對象的變化。云平臺下網絡安全等級保護中云平臺與承載的系統分別定級。一個云平臺承載多個系統，云平臺的定級根據其承載或將要承載的等級保護對象的重要內容確定其安全保護等級，云平臺的等級不低于所承載系統的安全保護等級。對于大型云平臺，云計算基礎設施和有關輔助服務系統被劃分為不同的定級對象。

3、責任邊界的變化。云平臺下網絡安全等級保護首要的問題是安全責任邊界問題，其責任邊界劃分是租戶負責租戶的安全，平臺負責平臺的安全，責任劃分標準是通用的、普適性的做法。在實際工作中，還需要結合實際情況，進一步明確劃分相關責任。

4、等保對象的變化。由于引入了云計算，所以等保對象中增加了虛擬化網絡、虛擬機、云管理平臺等，網絡安全也演變成了基礎安全與新技術安全的集合。

數據中心云平臺安全面臨的新挑戰

由于等保2.0需求的變化導致等保測評重點關注內容變為：數據完整性和保密性、入侵防范（網絡和通信安全）、集中管控、個人信息保護，這就對數據中心云平臺的安全提出新的挑戰。

1、虛擬系統的安全風險

云平臺的核心技術是虛擬技術，其實現方法通常為在應用層和硬件層之間搭建虛擬層，虛擬層的搭建增加了新的系統安全風險。常見的系統安全風險包括網絡調整、虛擬機脫離物理安全監管、虛擬環境管理系統反攻擊能力薄弱、虛擬機未及時更新系統補丁文件、殺毒軟件病毒庫、不同信任級別的虛擬機應用未采取應有的隔離措施引起的各種安全風險等等，這對于數據中心云平臺下多用戶間資源有效隔離和安全防護工作是一個新的挑戰。

2、資源高利用風險

虛擬化技術將物理資源轉變為可以邏輯管理的資源，并打破實體結構之間的壁壘，使用戶能夠更加合理、充分的利用物理服務器的處理器、內存、網絡帶寬等資源。但當物理服務器資源被過度利用時，將會出現硬件設備負載過重，運行性能下降，甚至硬件故障或系統崩潰等嚴重情況。當某物理服務器出現嚴重可靠性問題或重大硬件故障引起宕機時，其上運行的所有虛擬機都將停機，此時和上述虛擬機相關應用都將停止運行，這相較于傳統IT架構中一臺服務器停機只導致一個應用中斷所帶來的風險要嚴重得多。

3、數據完整性和保密性風險

云平臺數據完整性和保密性也是等保2.0中的重要要求，包括對動態及靜態數據的隔離、保護以及殘余數據的清除，以確保在整個傳輸、處理、存儲及消除過程中數據資源的保密性、完整性與可用性。縱然整個保護過程有訪問管理、防火墻等安全性技術的支撐，但是由于云計算架構特點使得數據仍然存在著各個不同分散空間，很難保證數據在訪問、傳輸過程中不被泄露。倘若沒有較為完善的數據保密機制和相關的權限設置，那么將會提高云平臺中數據被訪問和竊取的更大風險。

4、病毒及惡意代碼風險

在數據中心云平臺中，虛擬機均選擇穩定、可靠的模板進行派生，若模板中存在某種系統漏洞或植入了木馬，則每個虛擬機均會存在該漏洞，植入的木馬很可能橫向完成滲透，在破壞系統可用性的同時，故意造成混亂和脆弱性，降低被發現的可能。此外，虛擬機數據的集中存儲，以及虛擬機IP地址的連續性，均給病毒傳播提供了便利條件。

建議及策略

云平臺背景下的網絡安全等級保護必須以等保政策和技術標準為依據，結合需求和技術現狀，確保云平臺的自主、安全、可信和高效利用是維護網絡信息安全，有效利用網絡空間的核心關鍵。

1、做好云平臺部署前系統評估

在云平臺部署之前須做好虛擬化技術應用和建設的調研、評估等準備，將部署風險降到最低，確保獲得長遠效益。具體來說，首先需做好業務目標評估，使云平臺建設目標與業務發展目標一致；其次需做好應用環境評估，重點考慮現有軟件、硬件及網絡環境是否滿足虛擬化部署要求；第三做好技術水平評估，著重關注技術人員是否具有較強的業務技能，能否高效解決部署過程中出現的相應問題。

2、強化安全管理技術策略

在云平臺部署過程中，要從管理策略的角度防范風險。在管理措施方面，須嚴格遵守信息系統安全管理規范，虛擬服務器的審計策略和安全防護策略須與物理服務器一致，定期備份監控主機和虛擬服務器上的安全日志和事件日志；在用戶權限管理方面，必須遵循最低權限原則，管理人員權限須與其工作職責匹配，禁止共享賬號；在監督管理方面，云平臺中采用的虛擬化監控工具必須能夠檢測到虛擬機各類異常現象以及未經授權行為，虛擬機數量必須嚴格處于監控之下，努力減少入侵攻擊面。

3、提高數據的安全性和保密性

在網絡數據存儲過程中進行加密處理是保障數據安全性和保密性的有效方式。一方面， 選擇信譽度高的云服務提供商，確保服務提供商能夠對自身行為負責，擁有專業的技術團隊，減少信息數據泄露，降低用戶信息泄露的風險。另一方面， 要采用加密技術高、破解難度大的主流加密技術和程序如pgp、truecrypt、hushmail來應對安全和保密風險。同時采用vontu、websense等過濾器用于數據監控，阻攔敏感數據。

4、強化云平臺安全技術措施

安全技術是安全控制的重要手段，安全技術措施主要包括控制虛擬機蔓延、隔離虛擬機以及常規性安全防護等措施。在技術安全防護上一是 必須對虛擬機進行嚴格審核、監控和追蹤，防止虛擬機失控蔓延；二是 為確保虛擬化平臺通信安全，必須通過劃分vlan對虛擬機進行邏輯隔離，在業務、管理、測試業務應用中通過虛擬網實現隔離；三是 常規性安全防護須嚴格遵守信息系統安全管理規范，部署防病毒軟件，及時安裝操作系統補丁；四是 強化虛擬機外置設備（如U盤、光驅等）管理，切斷病毒的傳入渠道，掛起或者關掉暫不使用的虛擬機。

數據中心云平臺防護體系應當依據網絡安全等級保護的思想，以數據中心云平臺的安全需求出發，用技術和管理充分保護數據中心云平臺信息安全，從全生命周期確保數據中心云平臺的安全建設符合等保要求，將安全理念貫穿數據中心云平臺建設、整改、測評、運維全過程，做到等保成果的可視化，安全工作的持久化。