绿盟星云产品白皮书

绿盟云安全集中管理系统

NCSS

产品白皮书

【绿盟科技】

■ 文档编号 ■ 密级 完全公开

■ 版本编号 ■ 日期

■ 撰 写 人 ■ 批准人

? 2018 绿盟科技■ 版权声明

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属绿盟科技所有，受到有关产权及版权法保护。任何个人、机构未经绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

■ 版本变更记录

时间 版本 说明 修改人

2017-09-04 V1.1 起草 冯超

目 录

一. 云安全风险与挑战 (3)

1.1云安全产品缺乏统一管理 (3)

1.2安全责任边界界定不清 (3)

1.3用户与平台安全边界不清 (3)

1.4云安全缺乏有效监督 (3)

1.5云计算不可避免的虚拟化安全 (4)

二. 设计理念 (4)

2.1安全资源池化 (4)

2.2云平台安全管理 (4)

2.3用户按需服务 (5)

2.4合规性原则 (5)

2.5符合云计算的特性 (5)

三. 绿盟星云 (6)

3.1运维门户 (7)

3.2租户门户 (7)

3.3资源池控制器 (8)

3.4日志分析 (8)

3.5安全资源池 (8)

四. 特色和优势 (8)

4.1统一管理 (8)

4.2按需服务 (9)

4.3便捷部署 (9)

4.4弹性扩容 (9)

4.5安全合规 (9)

4.6高可用性 (10)

4.7升级维护方便 (10)

4.8开放的资源池兼容性 (10)

4.9丰富的服务组合 (11)

五. 客户收益 (11)

5.1云平台安全保障 (11)

5.2等保合规要求 (12)

5.3安全责任清晰 (12)

5.4安全增值可运营 (12)

5.5降低运维成本 (13)

六. 部署方式 (13)

6.1典型部署 (13)

6.2分布式部署 (14)

七. 总结 (15)

一. 云安全风险与挑战

1.1 云安全产品缺乏统一管理

与传统环境下安全防护都由硬件设备组成不同，云环境下由传统硬件和虚拟化产品组成；传统环境中可以通过运维管理系统、安全管理中心等对安全设备进行统一管理，但是仍没法解决不同厂家安全设备的策略、管理统一调度的问题，多数的安全设备还需要各自登录设备进行操作管理。而云环境下面临虚拟化、物理安全设备，如何进行统一的管理也成为新的问题；

1.2 安全责任边界界定不清

传统环境中网络边界明确，对于安全责任的界定可以通过运维合同中的条款进行描述，一般遵循谁主管谁负责、谁运行谁负责的原则，信息安全责任相对清楚。云计算环境下，不同的服务和部署模式增加了用户和平台交互的复杂性，同时也增加了云上信息系统与云计算平台的责任界定难度；

1.3 用户与平台安全边界不清

传统环境中由平台整体提供了从物理网络到应用层的安全防护能力；但随着云计算技术和应用的不断发展，伴随着业务需要，客户需要定制化的、自主可控的安全服务，实时了解掌握自身业务系统运行的安全状态，并根据自身需要和安全风险调整安全策略；

网络信息安全等级保护、云计算安全服务能力等相关制度规范也明确用户和平台都需要承担相应的安全风险和责任；

1.4 云安全缺乏有效监督

云计算环境下，用户业务系统、数据、操作行为等都存放于云端；云计算平台安全也由云平台负责；那么如何保障这些海量数据在云平台上的安全问题；

1.5 云计算不可避免的虚拟化安全

传统的网络安全设备无法解决虚拟化安全问题；虚拟化主机之间的交互，部署在物理网络中的安全设备无法察觉，自然也无法提供相应的防护能力；虚拟主机之间、虚拟主机跨不同的物理载体之间、外部攻击针对某一虚拟网络等层出不穷的问题急需满足虚拟化形式的安全防护能力；

二. 设计理念

2.1 安全资源池化

在云计算环境下，计算、存储、网络都变成一个个资源池，并可以根据用户需要对外提供服务能力。那么我们也可以将安全变成一个资源池，利用现有的硬件设备资源、虚拟化安全设备资源，在这些设备的基础之上，构建一个个具有不同能力的安全资源池，并且可以利用这些池化能力，提供诸如入侵防护、访问控制、Web防护等安全功能；

在云中心的出口部署一个安全资源池处理南北向流量，流量通过安全资源池的入口，可以对这些从外向内的流量进行如抗拒绝服务攻击、访问控制和Web防护等处理；

通过安全资源池还可以实现云平台内部东西向流量的安全防护，通过引流、分流的方式，将虚拟机的流量接入安全节点，进行处置后在被发送到目的地；

2.2 云平台安全管理

云平台安全管理通过统一的运维门户对安全资源池的资源进行管理、分配、服务编排；还可以掌握安全资源池的运行状态，使用率；配合虚拟化技术形成安全能力弹性扩展；可对资源池内物理安全设备、虚拟化安全设备提供丰富的拓扑、设备配置、故障告警、性能、安全、报表等网络管理功能，从而实现了对云内所有分布的安全资源进行统一的管理，统一的运行监控。

云平台安全管理作为平台系统还具备了对接其他平台的能力；可通过对接云资源管理平台实现云租户账号同步、云资源信息告警等，对接运维管理系统可实现运维工单流转、安全设备运行状态告警等；对接计费系统为提供用户可选的安全服务运营提供支撑；另外，还可以结合全流量分析、漏洞威胁预警、大数据安全感知等平台，实现对云平台安全态势的统计监控分析和预警处理，并可以通过自身展示某一阶段内安全运行状态和报告输出。

2.3 用户按需服务

对于购买云计算的用户，安全方面越来越受到重视；而且云租户在云环境下对于安全的了解和认识也有了新的变化，对于安全的需求和细粒度划分都有了自己的想法；传统的安全模式以及云上安全整合不再是用户所需的；用户需要的是按照自己业务定制的安全能力，可以按需选择并且一定条件下针对租户购买资源的使用人员进行二次分配的能力。

用户可以对购买的服务进行一些简单的配置，在不影响云平台安全的情况下，云平台将影响用户的一些安全能力交由用户进行自主配置，通过这些用户可以查看自己业务运行的安全态势、漏洞信息、攻击事件、报表信息等。

2.4 合规性原则

云计算除了提供IaaS、PaaS、SaaS服务的基础平台外，还有配套的云管理平台、运维管理平台等。要保障云的安全，必须从整体出发，保障云承载的各种业务、服务的安全。借鉴等级保护的思想，依据公安部、工信部关于等级保护的要求，对云平台和云租户等不同的保护对象实行不同级别的安全保护，满足安全等级保护要求。

2.5 符合云计算的特性

云计算的特点是按需分配、资源弹性、自动化、重复模式，并以服务为中心的。因此，对于安全控制措施选择、部署、使用也需尽量满足上述特点，即提供资源弹性、按需分配、自动化的安全服务，满足云计算平台的安全保障要求。

三. 绿盟星云

绿盟云安全集中管理系统是为了解决云计算安全问题而提供的一整套方案型产品，产品包括了运维门户、租户门户、安全资源池、安全资源池控制器和日志管理系统等组件，通过提供安全服务和安全运维等功能，可以保护私有云和专有云等环境中的云平台及其用户的安全。

基于绿盟云安全集中管理系统的解决方案遵循以业务为中心，风险为导向的，基于安全域的纵深主动防护思想，综合考虑云平台安全威胁、需求特点和相关要求，对安全防护体系架构、内容、实现机制及相关产品组件进行了优化设计。

方案通过传统的硬件安全设备来保障云计算的基础设施安全，通常都部署在云计算数据中心的边界。还通过提供基于虚拟化资源池的安全服务来保障云计算用户的安全。云计算满足按需分配、资源弹性、自动化和以服务为中心的。因此，对安全设备的选择、部署和使用也需尽量满足上述特点，即提供资源弹性、按需分配、自动化的安全服务，满足用户的安全保障要求。在云计算环境中，还存在的传统的物理网络和物理主机，同时虚拟化主机中也有相应的操作系统、应用和数据，传统的安全控制措施仍旧可以部署、应用和配置，充分发挥防护作用。对于虚拟化环境中的防护，也可以部署在虚拟化平台上，进行虚拟化平台中的东西向流量进行检测和防护。云平台的安全运营，会出现大量虚拟化安全实例的增加和消失，该方案会对相关的网络流量进行调度和监测，对风险进行快速的监测、发现、分析及相应管理，并不断完善安全防护措施，提升安全防护能力。

图 1绿盟星云架构图

3.1 运维门户

通过运维门户对安全资源池的资源进行统一管理，对提供的安全服务进行服务组合；并能通过运维门户对安全资源池进行统一的监控、对事件告警进行统一的查看，并可以查看整个安全资源池的运行状态、服务使用率，实时掌握安全资源池动态。

3.2 租户门户

满足用户细粒度的安全需求和自主可控、可管理的安全目标；用户可掌握在Web应用防护、监测、扫描等服务配置的细粒度；用户还可以通过服务监控、服务报表了解自己购买服务的运行情况和业务系统的安全态势；

3.3 资源池控制器

资源池控制器可控制硬件和虚拟化安全设备，提供安全策略管理、配置管理、安全能力管理等与特定安全密切相关的功能，根据应用场景的不同，可灵活配置和扩展；运维门户通过控制器可以实现安全服务的开通，针对虚拟化的安全设备可以控制设备的生命周期管理，实现启动、关闭、重启和删除等操作。资源池控制器还可以对接引流系统，把南北向或东西向流量牵引到安全资源池内做监测和防护。

3.4 日志分析

日志管理系统可以收集设备日志，能够实现日志的统一管理，支持Syslog、SNMP Trap、FTP、SFTP等多种日志采集方式，能够采集、分类，过滤，强化和存储各种设备和系统日志，将设备用户行为记录下来，便于IT运维人员进行快速分析和查询。在日志管理的基础上，提供日志的管理分析和实时告警功能，能够对日志进行报表展现。

3.5 安全资源池

支持物理安全设备和虚拟安全设备等类型的安全资源，接受资源池控制器的管理，对外提供相应的安全能力。目前该方案提供的安全资源池包含了vWAF、vRSAS和vWVSS以及硬件ADS安全组件。

四. 特色和优势

4.1 统一管理

将传统网络环境中硬件设备、云环境下的虚拟化安全组件统一的管理起来，打破各自为战，数据不共享，服务不连续的阻碍，通过绿盟云安全集中管控系统为管理员带来便利的管理方式，大大的减轻了管理员的压力；通过运维门户提供的事件管理、服务统计等功能模块为管理员呈现一个统一管理、统一监控、统一服务模版配置的服务平台。

4.2 按需服务

租户可以根据自身的安全需求阶段性的选择安全能力，例如：某会议期间业务网站防攻击、防篡改压力大，那么租户可以在这一阶段向云平台购买Web安全防护能力、检测能力，通过租户自行选购配置，发挥云计算安全资源池的优势，共享、按需交付的特性；

4.3 便捷部署

传统安全设备通过硬件盒子方式，云平台需要通过硬件采购、运输、上架、安装、调试、网络配置的一系列繁琐的操作，不但需要根据用途改变云平台网络架构，而且盒子式的设备在运行故障方面要多一些，产品在进行下一次迭代的时候，也需要重新采购，重新部署；而采用虚拟化技术的安全资源池，不需要物理设备，仅需云平台提供现有计算节点，根据云平台的安全需求，选择自己合适的产品，通过绿盟云集中管控系统中的资源池控制器进行统一的管理，后续的更新及维护仅需要对安全镜像进行维护，大大的减轻了运维人员、实施人员的压力；

4.4 弹性扩容

云平台需要掌握目前云平台安全能力的使用情况，随着云用户的不断接入，租户的业务系统也越来越多、越来越大，安全所需要的资源和能力也越来越高；通过绿盟云集中管控系统可以实时掌握安全资源池的运行状态，在安全资源池能力不足时进行扩容；

安全资源池具备云计算特征，可以通过增加承载安全组件的计算节点，实现快速的横向和纵向扩容，横向是指自动增加虚拟机集群，提升安全防护能力，纵向是指通过调整虚拟安全组件的单台虚拟机的CPU、内存等能力，快速提供单台虚拟设备的安全防护能力；

4.5 安全合规

随着云计算的发展，传统的等级保护已经不能满足云环境下的要求；目前，云计算环境下信息系统等级保护规范正在草案阶段，规范中不再仅针对信息系统进行等级保护定级，更

是要求承载信息系统的云平台也要进行定级；2017年7月1号，国家网络安全法发布，等级保护作为法规中明确要求的规范，将迎来新一波云平台安全热；

绿盟云安全集中管控系统不但为租户提供符合等级保护要求的安全产品和安全服务，更是为云平台提供符合云等保要求的云安全解决方案；

4.6 高可用性

安全资源池实现了高可用性，避免传统网络环境中的单点故障在这里出现；另一方面，高可用性的体现有两个方面，一个是指安全资源池控制器的高可用，避免了网络故障影响了控制器进行引流、分流；一个是指安全设备的高可用性，在虚拟化环境下，安全设备像传统网路环境一样，可以实现负载分担、集群、双机热备等高可用性特性；

4.7 升级维护方便

虚拟化资源池通过镜像的方式升级安全组件。虚拟化镜像升级方式的便利性远远大于硬件设备的采购升级。虚拟化镜像的故障可以通过虚拟机快照、备份等方式快速恢复；

通过运维门户大大的减轻了后期升级维护的压力；传统环境下，更换物理设备需要断网，经常需要通宵调试网络、测试硬件设备；而虚拟化资源池通过更新安全组件镜像，不影响云平台、云租户的业务运行；

4.8 开放的资源池兼容性

第三方厂商通过提供符合安全资源池的接口文件、日志信息后可接入安全资源池进行统一管理；云安全资源池作为一个开放融合的空间，为了给云平台和客户提供更好的服务和更多的选择，一方面不断的提高云资源池的统一接入管理能力，另一方面不断的给租户提供更多优质的安全服务；

4.9 丰富的服务组合

安全资源池覆盖了几乎所有层面的安全能力，从应用层、主机、网络、数据层；除了提供每个层次的安全防护能力外，还可以通过服务组合，自定义安全服务顺序；安全资源池一方面通过平台自身进行模版组合，推出基础服务包、高级服务包；或者应用监测服务包、应用防护服务包；另一方面，当客户厌倦或者觉得现有的组合不满足要求时，可通过服务自定进行组合，选择自己需要的，进一步降低了用户使用门槛和维护成本；

另外，通过运维门户进行服务组合，可以推出以下几种参考配置：

（1） 网站会议安心包-在重大会议期间，网站安全达到一个安全防护的峰值，根据这个阶段的重要性和程度可以推出以Web防护、监测、检测、应急响应为主的安心

包，保证客户平稳过渡；

（2） 重大安全检查包—面对每年各级管理监督机构的多层次检查，特别推出针对重大安全检测的服务包，通过主机、Web、网络等检查中重点覆盖的项目，相应的提

供服务内容，保证用户在重大安全检查中不掉链子；

（3） 等级保护服务包—等级保护三级的信息系统按照规定，每年需要进行至少2两次风险评估，针对等级保护合规性的持续监测，特推出该服务包，通过基线核查、

缺陷扫描等掌握业务系统合规性状态；

五. 客户收益

5.1 云平台安全保障

通过绿盟星云的安全资源池的建设，一方面通过传统物理设备满足了传统网络环境下南北向的流量防护问题，一方面通过虚拟化资源池，在云计算数据中心内部，保障虚拟机之间东西向流量的安全；并且可以实现对云平台内虚拟化层流量检测、过滤的要求；

配合安全域设计相应的边界防护策略、内部防护策略，部署相应的防护措施，提供资源按需分配的安全服务。从而实现纵深防御，满足云计算平台的安全保障要求，构造起纵深的防护体系。

5.2 等保合规要求

按照国家网络安全法中明确规定实施的等级保护制度，已经从传统等保向云环境等保变更，新的云等保制度中规定了承载等级保护信息系统的载体也需要通过等级保护的认证和测评，也就是说云平台也需要满足合规性；

绿盟星云带来了云平台、云租户共赢的方案，云平台在建设符合等级保护要求的同时，也满足了云租户的要求；通过资源池服务的方式将安全能力提供给租户使用。

5.3 安全责任清晰

新形势下的云安全责任采用云平台与云租户共同承担的模式，那么通过将属于云租户负责的安全交由云租户自行运维管理成为了新的需求。

绿盟星云带来的运维门户与租户门户将安全能力提供给云租户自行选择，从而在责任界定上清晰可见，避免了责任不清出现的推诿扯皮。

5.4 安全增值可运营

云平台在满足自身安全需求的同时，将安全资源变成安全服务提供给租户，使租户可以像购买计算、存储、网络等资源一样，按需选择；另一方面，云平台也可以获得持续的收益，从而补强云平台的安全能力，形成一个良性循环。

5.5 降低运维成本

云安全解决方案不再一味的推销硬件盒子，将重点回归到安全能力的建设上，利用现有的计算资源满足安全需求；

物理安全设备的选型、采购、测试、配置需要经过大量的时间，云平台也需要投入相关的人力进行匹配测试，在确定后还需要网络方面的调整，给后期的运维带来了不小的麻烦。

绿盟星云采用虚拟化方式部署，可以利用现有计算节点进行部署。通过安全资源池控制器、运维门户统一调度和统一管理，将安全能力建设与基础资源建设解耦； 大大减轻了后期人员管理和维护成本。

六. 部署方式

6.1 典型部署

典型部署的意思是指仅部署一套管理组件（资源池控制器和日志管理系统）和一套安全资源池的模式。数据中心网络中就部署一套管理组件，所有管理人员都可登录到平台门户进行访问，通过系统权限设置来区分不同的管理职责。安全资源池通常以外置的方式部署在单独的物理主机上。

资源池可以由纯硬件资源如ADS、WAF等硬件设备组成；也可以由纯虚拟化资源组成；还可以由硬件和虚拟化混合组成；

资源池中的安全资源不受部署位置限制。例如：硬件设备可以放置在出口位置，对南北向力量进行防护，而虚拟化资源池可以放置在出口、汇聚一层，除了可以对东西向流量防护外，还可以提供云平台内东西向流量防护。

日志管理系统、安全资源池控制器可以集成部署在一台服务器，也可以分开部署在不同的服务器上。

6.2 分布式部署

资源池分布式部署是指由一套资源池控制器作为统一管理，多个资源池分开部署，通过网络与控制器相连接；

部署位置可以是一个云平台内部署多个资源池，也可以是不同的云中心部署多套资源池；

七. 总结

目前，云计算技术也在快速发展和演进，云计算平台的体系结构也在不断变化，绿盟科技也在持续跟踪、研究最新的技术应用情况及存在的问题，并结合云平台体系结构的实际情况，对安全保障体系不断地改进和完善。