安全防范白皮书

华为云服务安全防范白皮书文档版本0．8发布日期2012-07-08版权所有© 华为技术有限公司2012。

保留一切权利。

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

商标声明和其他华为商标均为华为技术有限公司的商标。

本文档提及的其他所有商标或注册商标，由各自的所有人拥有。

注意您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。

除非合同另有约定，华为公司对本文档内容不做任何明示或暗示的声明或保证。

由于产品版本升级或其他原因，本文档内容会不定期进行更新。

除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。

华为技术有限公司地址：深圳市龙岗区坂田华为总部办公楼邮编：518129网址：客户服务邮箱：support@客户服务电话：4008302118前言概述本文档主要描述了华为云公有云平台所有业务的简单说明、应用场景和客户价值。

为客户呈现了华为云服务产品功能全貌，便于客户理解和认识公有云服务。

符号约定在本文中可能出现下列标志，它们所代表的含义如下。

表示有高度潜在危险，如果不能避免，会导致人员死亡或严重伤害。

表示有中度或低度潜在危险，如果不能避免，可能导致人员轻微或中等伤害。

表示有潜在风险，数据丢失、设备性能降低或不可预知的结果。

表示能帮助您解决某个问题或节省您的时间。

表示是正文的附加信息，是对正文的强调和补充。

修改记录修改记录累积了每次文档更新的说明。

最新版本的文档包含以前所有文档版本的更新内容。

文档版本01 (2012-07-08)第一次正式发布。

前言 (2)1 华为云服务安全概述 (5)2 物理安全 (6)2.1门禁系统 (6)2.2环境监控系统 (6)2.3管理措施 (7)3 华为云服务基础设施安全 (8)3.1操作系统加固 (8)3.2数据库加固 (8)3.3安全补丁 (9)4 网络安全 (10)4.1安全防护 (10)4.2网络隔离 (10)4.3内网隐藏 (11)4.4流量监测及流量清洗 (11)4.5入侵检测分析 (12)4.6传输安全 (12)4.7运维接入安全 (12)5 安全管理 (14)5.1日志管理 (14)5.2安全告警管理 (14)6 弹性计算云服务安全 (16)6.1云主机安全隔离 (16)6.2云主机数据安全 (17)7 云存储服务安全 (18)1 华为云服务安全概述华为云服务提供具备高可用高可靠的可扩展的云计算平台服务，能够灵活的为客户搭建大规模的应用。

协助用户保证系统和数据的保密性、完整性和可用性是华为云服务维护客户的信任和信心的关键。

本文从物理安全、管理安全、基础设施安全和网络安全及针对性的服务安全角度全面介绍华为云服务是如何提供安全可靠的服务保障。

为了保障华为云服务的安全，必须有一个完整的安全架构来全面考虑，避免考虑不周，出现安全真空。

华为安全架构层面主要采用了分层和纵深防御的思想。

分层防御（Layered Defense）：分层防御旨在采用多种方法，在网络中多个区域执行安全性策略，从而确保网络中没有单点安全故障发生。

纵深防御（Defense in Depth）：纵深防御思想使用多重防御策略来管理风险，以便在一层防御不够时，另一层防御将会阻止完全的破坏。

华为云服务数据中心安全框架从分层、纵深防御思想出发，根据网络层次分为物理、主机/虚拟化、网络、业务和数据、管理维护等几个层面，同时整体上考虑满足合规性等需求，用来指导华为数据中心安全解决方案的设计。

2 物理安全华为云服务基础设施的各物理设备以及其所处的环境的安全。

为了避免人为破坏、环境因素等影响物理设备正常运转，需要把物理设备放置在封闭环境中，并且严格控制人员出入权限，另外，环境的温度、湿度、供电必须维持在设备正常运转所需的范围。

华为云服务基础设施的物理安全，主要通过门禁系统、环境监控、管理措施等方面来保障。

2.1 门禁系统云计算系统所处的机房应部署门禁系统，严格审核人员的出入权限，以防止人为破坏物理设备。

门禁系统的部署通常包括如下手段：✓物理设备所处的机房与维护终端所处的机房最好分权限管理✓门禁系统应处于正常关闭状态，严禁人为破坏方式导致门禁失效2.2 环境监控系统华为云服务云系统的物理机柜中部署了监控盒，实现了柜内统一管理。

监控盒为设备的正常运行提供一个安全可靠的运行环境，其功能特性如下：✓监控机柜环境（包括温湿度，水浸、烟雾、侵入等）✓管理机柜内整机部件✓管理机柜资产以及整机部件资产✓控制机柜内的精确送风2.3 管理措施物理安全除了在技术层面加以保障外，还需要通过严格的管理措施来对物理设备所处的机房、环境进行管理。

管理措施至少应包含如下：✓人员管理，包括安全制度宣传、安全措施培训等等✓门禁权限管理：应有权限申请流程、权限注销流程、权限审核制度等等3 华为云服务基础设施安全通过对华为云服务基础设施的安全保障，提高华为云服务的安全性及可用性，保证华为云服务服务质量和服务连续性，华为云服务基础设施层遭受的安全威胁主要包括两类：✓传统的针对操作系统、数据库、Web的攻击：如黑客攻击、计算机病毒、木马程序、蠕虫、SQL注入攻击等。

✓云计算系统特有的安全威胁：云计算系统的计算节点利用虚拟化技术为大量用户弹性计算资源，虚拟管理层成为新增的高危区域，针对虚拟管理层的攻击成为云计算系统特有的安全威胁。

3.1 操作系统加固华为云服务云系统由计算节点、存储节点、管理节点以及应用组件（如虚拟桌面应用组件）构成，这些节点和组件在安装时均进行了安全加固操作：●通过操作系统裁剪、系统安全配置以及完整性保护，对计算/存储/管理节点的安全加固●通过操作系统站好的口令安全配置、服务安全配置以及文件及目录的权限配置，提供应用组件操作系统安全加固3.2 数据库加固华为云服务云计算系统对所使用的数据库采用了一系列加固策略，保障数据库的安全可靠。

3.3 安全补丁软件因自身设计缺陷而存在很多漏洞，需要定期为系统安装安全补丁以修补这些漏洞，以防止病毒、蠕虫和黑客利用操作系统漏洞对系统进行攻击。

华为云服务云计算系统安全补丁的安装分为两类：云计算平台的Linux操作系统补丁安装和应用组件的Windows 2003服务器的补丁安装。

●华为云服务的云计算平台的管理节点中部署了补丁服务器实现云计算平台自动安装安全补丁●华为云服务针对提供应用服务的应用组件提供操作系统终端安全管理系统进行服务器系统补丁安全补丁4 网络安全华为云服务通过采用华赛的高端安全产品edeumon系列产品，以及通过与华赛在云数据中心上定制化的解决方案与定制化安全设备的研发形成对云数据中心的网络安全的完整保障。

为了抵御数据中心网络可能遭受的各种类型的DOS攻击和用户数据遭窃听和篡改等安全威胁，华为云服务与华赛精诚合作从“网络隔离、攻击防护、传输安全”等多个角度考虑，共同为华为云服务数据中心打造一个安全的网络环境。

4.1 安全防护华为云服务数据中心与华赛紧密合作，采用华赛的高端防火墙是业界领先的状态防火墙，主要体现在性能、功能和可靠性方面。

在状态防火墙的关键性能上，该防火墙具有业界领先的高小包转发性能和高每秒新建连接数，保障了海量用户和大流量的能力。

在功能方面，该防火墙除了具有强大的安全防护能力外，还具备强大的业务支撑能力。

完善的多通道协议支持，支持完整的H.323、RAS、MGCP、SIP、MMS等各种多媒体协议，可以精确的识别各种应用数据流，因此可以对这些数据流采用不同的控制策略，并满足实时业务对业务流的保序要求。

因此，华为云服务数据中心采用防火墙实现支持丰富业务的能力。

4.2 网络隔离通过网络划分、隔离手段实现计算、存储、管理、接入等域的隔离，管理面单独物理组网，保证网络安全性，避免网络风暴等问题扩散。

通过端到端的VLAN划分以及在核心网络交换机建立VRF的方式,实现多个网络平面并保证网络平面隔离。

●通过华为防火墙根据业务划分划分多个安全域，保障各业务之间的有效分离●利用华赛防火墙虚拟防火墙，提供VIP客户的独享虚拟防火墙的安全需求。

4.3 内网隐藏华为云服务为了保证用户的内网安全，同时用使用内网隐藏的方式将内网环境物理的隐藏到防火墙之内。

目前采用的隐藏方式是通过物理防火墙提供的IP 映射的能力来实现的。

4.4 流量监测及流量清洗以DDOS为首的异常流量攻击已经成为一种趋势，攻击方式多样，攻击流量剧涨，导致带宽拥塞，影响业务存活。

同时基于应用层的CC攻击不断发展，流量小且危害大，难以识别与防御。

异常流量清洗方案通过动态流量模型、深度包检测、报文特征匹配等技术对各种对云计算中心的流量型FLOOD攻击和应用层的CC攻击进行精准识别和防护。

异常流量清洗方案先把流量镜像到DPI检测设备上，进行流量旁路检测，然后根据检测的结果对包含异常流量的部分引流到清洗设备、清洗完成后把正常流量进行回注。

由于是旁路检测和清洗，因此在有效清洗的同时并不影响云计算中心网络的可靠性。

4.5 入侵检测分析防火墙内置IPS入侵防御功能，可以更有效地保护针对应用层的攻击。

●采用独有的智能协议识别技术提供多种协议的协议识别，可以准确发现通过任意端口传输的各种木马、后门等数据。

●将不连续的分段流重组为连续的流之后再进行检测，从而确保了应用数据的连续性，防止IPS检测躲避技术。

●支持基于签名的特征检测，通过不断升级攻击特征，能够迅速检测到攻击行为。

●支持对于协议异常检测，通过深度协议分析，将发现的违背协议标准的行为视为异常，协议异常检测覆盖各种常见的服务：HTTP、SMTP、FTP、POP3、IMAP4、MSRPC、NETBIOS、SMB、MS_SQL、TELNET、IRC、DNS等。

●华为通过与赛门铁克公司的深入合作，利用安全软件公司的专业团队密切跟踪全球知名安全组织和软件厂商发布的安全公告，并维持引擎和特征库升级4.6 传输安全数据在传输过程中可能遇到被中断、复制、篡改、伪造、窃听和监视等威胁，需要保证信息在网络传输过程的完整性，机密性和有效性。

华为云数据中心传输安全由以下几个方面保证：✓管理面信任域与非信任域之间全部SSL加密；✓用户管理接入支持Https，安全性要求高的提供SSL VPN接入；✓用户访问云主机支持SSH；4.7 运维接入安全华为云服务为了保证云服务数据中心的持续稳定运行，建立了一支强大的运维队伍。

对于运维人员的数据中心网络及其它资源管理。

是通过在华为云服务数据中心部署的华赛UMA堡垒主机, 实现运维管理平台的统一运维管理、审计。

数据中心外网运维人员和内网运维人员对网络、服务器等设备的远程操作全部集中登陆到堡垒主机系统上，通过二次跳转系统将维护人员直接连接到指定设备，实现用户对设备资源操作管理的集中人证、集中控制、集中审计。