CSA云计算安全技术要求IaaS安全技术要求表格版
云计算五个安全要求
云计算五个安全要求随着云计算技术的普及和发展，越来越多的企业开始采用云计算模式来存储、处理和管理数据。
但是，与此同时，云计算的安全问题也备受关注。
为了保护云计算环境中的数据、应用和系统，以下介绍云计算中的五个重要的安全要求。
1. 数据隐私保护在云计算环境中，数据的安全和保密性是至关重要的。
为了保护数据的隐私性，企业必须采取一系列的安全措施，例如加密、访问控制、身份认证等，来保证数据在存储、传输和处理过程中的安全性。
2. 服务可用性云计算的可用性是指用户能够方便、及时地使用云服务。
在云计算环境中，一旦出现故障或攻击事件，就会影响云服务的可用性。
为了保证云服务的可用性，必须采取相关的备份、容错、恢复等措施。
3. 网络安全保护云计算需要通过网络传输数据，因此网络安全保护也是至关重要的。
网络安全保护主要包括防火墙、入侵检测等措施，以及对网络流量进行监控和管理，以及实时查找和解决安全漏洞等。
4. 安全审计和监控云计算环境中的大量数据需要进行管理和监控。
通过安全审计和监控，可以对系统和数据的行为进行监测和记录，以及及时发现和解决潜在的安全问题。
此外，安全审计和监控还可以帮助企业识别和预测安全威胁，以及提高企业对云计算安全的认识和意识。
5. 敏感信息保护在云计算环境中，企业经常会面临大量敏感信息的处理和存储，因此，保护敏感信息的安全是至关重要的。
敏感信息保护主要包括安全传输、加密、身份认证等措施，以及对敏感信息进行访问控制、审计和管理等。
总之，云计算的安全问题需要引起企业的高度重视。
通过采取一系列的措施，包括数据隐私保护、服务可用性、网络安全保护、安全审计和监控、敏感信息保护等，可以有效地保护云计算环境中的数据、应用和系统的安全，确保企业的正常运作和发展。
云计算安全相关标准解析
C HINA QUAIJTY A ND STANDARDS REVIEW 丨酾;腿i B云计算安全相关标准解析董贞良（中国人民银行金融信息中心）单机时代、计算机网络时代和云计算时代。
伴随着这个过程，安全的关注点也随之变化。
信息技术发展与主要安全关注点如图1所示。
本文主要对国内外云计算相关标准，以及国内金融行业云计算标准进行了综述。
1云计算时代及其安全云计算已经成为互联网时代的主流计算模式， 同时，其带来的安全问题日趋重要和紧迫。
到目前为止，信息技术大致经历了通信时代、s i纵深防御；云数据安全&隐私保护；信息安全风险评估；云服务安全；信息安全等级保护：云平台监视&取证：| 丨丨丨-丨丨■丨|-—丨一__■■■■密码学：安全糢型与验证：通信安全；产品測评：计算机网络i T dc S >图1倍息技术发展与主要安全关注点2国家标准的开发进展国家标准及行业标准情况见表1。
表1云计算安全相关国家标准及行业标准序号标准编号及名称备注1GB/T 31167—2014《信息安全技术云W 服务安全指南》2GB/T 31168—2014《信息安全技术云计算服务安全能力要求》3GB/T 34942-2017《信息安全技术云體服絲全能力4GB/T 35279-2017《信息安全技术云计算安全参考架构》5《网络安全等级保护基本要求第2部分：云计算安全扩展要求》GB/T 22239—2008升级，即将发布6《信息安全財麵网站云删K 务安全指南》征求意见阶段7《云计算技术金融应用规范安全技术要求》征求意见阶段8《云封售技术金融应用规范容灾》征求意见阶段中国隨与麟雜aws/as(1 >GB/T31167—2014《信息安全技术云计算服务安全指南》GB/T31167—2014是指导政府部门采用云计算 服务，选择云服务商，对云计算服务进行运行监管，退出云计算服务和更换云服务商安全风险提出的安 全技术和管理措施。
云计算技术金融应用安全技术规范
7资源抽象与控制安全
7.1通用要求
本章条要求是网络资源池、存储资源池和计算资源池均应满足的通用要求。基本要求：
a)应支持内核补丁检测加固和防止内核提权；
3
JR/T 0167—2018
b)应保证通过Web和API等接口访问云计算平台时采用安全可靠的身份认证措施。扩展要求：
b)应对设备运行状态、资源使用等进行监控，能够在发生异常情况时发出告警；
c)应保证设备和存储介质在重用、报废或更换时，能够对其承载的数据完全清除。扩展要求：
对于团体云部署模式，应保证用于金融业的物理设备不与其他行业共享。增强要求：
a)应保证设备安全启动，即启动时的版本和预期一致，完整性没有受到破坏；
应支持根据特定要求输出特定网络通讯的元数据和报文数据。
7.2.5入侵防范
基本要求：
a)应防止虚拟机使用虚假的IP或MAC地址对外发起攻击；
b)应识别、监控和处理虚拟机之间的异常流量。扩展要求：
a)应检测和防护云计算平台内部虚拟机发起的针对云计算平台的攻击，能够定位发起攻击的虚拟
机，记录攻击类型、攻击时间、攻击流量等信息；
c)应实时监控云服务远程管理的访问，并支持对未授权管理连接的：
a)应支持云服务使用者通过VPN访问云计算平台；
b)应支持云服务使用者自行在虚拟网络边界设置访问控制规则；
c)应支持云服务使用者自行划分子网、设置访问控制规则；
d)应支持云服务使用者自行过滤进出VPC的网络流量。增强要求：
为进一步增强标准的适用性和前瞻性，规范按照分级分类管理思路将具体条款分为基本要求、扩展要求和增强要求。基本要求是通用性和基础性的安全要求，云计算技术金融应用均应满足；扩展要求是在通用要求基础上，针对团体云等社会化服务模式提出的扩展性安全技术要求；增强要求是从安全技术的发展趋势和金融用户的前瞻性需求入手提出的增强要求。
云安全相关技术介绍
主要内容：•从发展的脉络分析，“云安全”相关的技术使用云服务时的安全和以云服务方式提供安全两类；•介绍5大类24种云安全相关技术及其客户收益和使用建议，并从技术成熟度和市场成熟度两方面进行了评估；•分析企业使用云服务的场景，指出了国内云安全技术和市场的现状和差异及其原因；并对未来的发展进行了推测和预判；•集中介绍云安全相关的各种法规、标准和认证概述随着云计算逐渐成为主流，云安全也获得了越来越多的关注，传统和新兴的云计算厂商以及安全厂商均推出了大量云安全产品。
但是，与有清晰定义的“云计算”（NIST SP 800-145和ISO/IEC 17788）不同，业界对“云安全”从概念、技术到产品都还没有形成明确的共识。
从发展的脉络分析，“云安全”相关的技术可以分两类：一类为使用云计算服务提供防护，即使用云服务时的安全（security for using the cloud），也称云计算安全（Cloud Computing Security）,一般都是新的产品品类；另一类源于传统的安全托管（hosting）服务，即以云服务方式提供安全（security provided from the cloud），也称安全即服务（Security-as-a-Service, SECaaS），通常都有对应的传统安全软件或设备产品。
云安全技术分类“安全即服务”和“云计算安全”这两类“云安全”技术的重合部分，即以云服务方式为使用云计算服务提供防护。
云计算安全基于云计算的服务模式、部署模式和参与角色等三个维度，美国国家标准技术研究院（NIST）云计算安全工作组在2013年5月发布的《云计算安全参考架构（草案）》给出了云计算安全参考架构（NCC-SRA，NIST Cloud Computing Security Reference Architecture）。
NIST云计算安全参考架构的三个构成维度：•云计算的三种服务模式：IaaS、PaaS、SaaS•云计算的四种部署模式：公有、私有、混合、社区•云计算的五种角色：提供者、消费者、代理者、承运者、审计者NIST云计算安全参考架构作为云服务的使用者，企业需要关注的以下几个子项的安全：•管理对云的使用•配置：调配各种云资源，满足业务和合规要求•可移植性和兼容性：确保企业数据和应用在必要时安全地迁移到其他云系统生态•商务支持：与云服务提供商的各种商务合作和协调•组织支持：确保企业内部的策略和流程支持对云资源的管理和使用•云生态系统统筹•支持云服务提供商对计算资源的调度和管理•功能层•包括网络、服务器、存储、操作系统、环境设置、应用功能等，不同服务模式下企业能够控制的范围不同使用不同模式的云服务（IaaS、PaaS或SaaS）时，企业对资源的控制范围不同，有不同的安全责任边界，因此需要明确自己的责任边界，适当部署对应的安全措施。
CSA云计算安全技术要求-SaaS 安全技术要求-表格版
虚拟化计算安全
a)应支持在虚拟机之间以及虚拟机与宿主机之间CPU安全隔离的能力，包括如下要求：
1)在某个虚拟机发生异常（包括崩溃）后不影响其他虚拟机和宿主机；
2)虚拟机不能访问其他虚拟机或宿主机的CPU寄存器信息。
b)应支持在虚拟机之间以及虚拟机与宿主机之间内存安全隔离的能力，包括如下要求：
e)应支持对网络边界管理设备受控接口ACL策略支持自动化更新能力；
f)应支持对恶意虚拟机的隔离能力，支持阻断恶意虚拟机与外部网络以及和其他虚拟机的通信能力；
g)应支持对云计算平台DDoS攻击防护的能力；
h)应支持对Web应用漏洞进行检测和防护的能力；
i)应支持网络边界流量监控、攻击和入侵行为检测的能力；
g)应支持网络设备（包括虚拟化网络设备）和安全设备业务处理能力弹性扩展能力；
h)应支持高可用性部署，在一个区域出现故障（包括自然灾害和系统故障）时，自动将业务转离受影响区域的能力。
a)应支持指定带宽分配优先级别的能力；
b)应支持虚拟化网络边界的访问控制；
c)应支持区域边界的双向访问控制，控制从内往外和从外往内流量的能力。
网络授权及审计
a)应支持对网络设备(包括虚拟化网络设备）的管理员登录地址进行限制的能力；
b)应支持登录网络设备（包括虚拟化网络设备）失败处理的能力；
c)应支持网络设备(包括虚拟化网络设备）管理员登录采用两种或两种以上组合的鉴别技术来进行身份鉴别能力；
d)应支持对网络设备(包括虚拟化网络设备)远程管理时采用安全传输能力；
2)支持根据IP协议、服务端口及IP地址进行限制的能力。
f)应支持网络访问控制列表ACL，提供虚拟化网络安全隔离和控制的能力，要求基于IP协议、服务端口和源或目的IP地址，允许或拒绝流量；
云平台安全防护技术要求
云平台安全防护技术要求1云平台自身安全要求1.1网络架构安全要求网络架构安全要求包括但不限于：a)应保证云平台不承载高于其安全保护等级的业务应用系统；b)云平台内部应根据业务特点划分为不同的安全域，安全域之间应采用访问控制和技术隔离手段；c)应具有根据云平台业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略；d)应具备入侵防范能力，能检测到针对云平台以及虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；能检测到虚拟机与宿主机、不同业务虚拟机与虚拟机之间的异常流量；应在检测到网络攻击行为、异常流量情况时进行告警；e)应具备安全审计功能，对远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；应保证云平台管理人员对云平台业务系统和数据的操作可被云平台业务审计。
1.2计算环境安全要求计算环境安全要求包括但不限于：a)应具备访问控制功能，遵循GB/T22239—2019中8.1.4.2条规定，保证当虚拟机迁移时，访问控制策略随其迁移；b)应具备入侵防范功能，遵循GB/T22239—2019中8.1.4.4及8.2.4.3条规定；c)应具备镜像和快照保护功能，遵循GB/T22239—2019中8.2.4.4条规定；d)应使用密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必要的恢复措施；e)应具备数据备份恢复保护、剩余信息保护功能，遵循GB/T22239—2019中8.2.4.7条规定；f)云平台宜部署于经国家相关部门认证的安全加固操作系统上，采用用户名/强口令、动态口令、安全介质、生物识别、数字证书等至少一种措施，实现用户访问控制；g)云平台网络关键设备和网络安全专用设备应经国家或行业有关机构检测认证，防范设备存在恶意组件或芯片；h)云平台业务应采用经国家或行业有关机构检测认证的数据库、中间件等支撑软件；i)云平台宜通过沙箱、网络诱捕等技术实现主动防御；j)宜基于可信根对云平台服务器、网络设备、安全设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行告警或阻断等响应。
IaaS技术规范
IaaS技术规范中国联通公司企业标准QB/CU 070-中国联通IaaS计算设备技术规范（V1.0）China Unicom Infrastructure as a Service Computing Technical Specification（V1.0）中国联通公司发布目录目录 ......................................................................................... 错误!未定义书签。
中国联通IaaS计算设备技术规范............................................. 错误!未定义书签。
1范围.......................................................................................... 错误!未定义书签。
2规范性引用文件 ...................................................................... 错误!未定义书签。
3术语及缩略语 .......................................................................... 错误!未定义书签。
3.1 术语 ................................................................................. 错误!未定义书签。
3.2 缩略语 ............................................................................. 错误!未定义书签。
4 IaaS计算设备 .......................................................................... 错误!未定义书签。
1_云计算技术金融应用规范安全技术要求
c)应支持对恶意虚拟机的隔离，支持阻断恶意虚拟机与外部网络以及其他虚拟机的通信。
ApplicationProgrammingInterface
应用程序编程接口
CPU
CentralProcessingUnit
中央处理单元
DDoS
DistributedDenialofService
分布式拒绝服务攻击
DoS
DenialofService
拒绝服务
HTTPS
HypertextTransferProtocolSecure
7.2.1
网络资源池安全包括针对网络资源配置和运营的安全要求，并包含网络和安全产品所涉及的功能或服务安全要求。云服务使用者从云服务提供者获取网络资源池中的虚拟网络资源和控制权。
7.2.2
第一级要求：
应保证虚拟网络全冗余设计，避免单点故障。
第二级要求：
a)应保证金融业不同云服务使用者的资源池物理隔离；
7.2.6
第一级要求：
a)应支持对恶意代码进行检测和清理；
b)应维护恶意代码特征库升级和相关检测系统的更新。
第二级要求：
无。
第三级要求：
无。
7
存储资源池安全包括对存储资源配置和运营的安全要求，也包括对保障存储安全的安全产品、功能或服务的安全要求。云服务使用者从云服务提供者获取存储资源池中的虚拟存储资源和控制权。
d)应对远程执行特权命令进行限制。
第二级要求：
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
d)应支持云计算平台业务网络和管理网络与租户私有网络逻辑隔离能力；
e)应支持云计算平台业务网络和管理网络与租户业务承载网络逻辑隔离的能力；
f)应支持租户业务承载网络与租户私有网络逻辑隔离的能力；
g)应支持网络设备（包括虚拟化网络设备）和安全支持Web代码安全机制的能力，包括对输入输出进行有效性检查，以及采取防范认证漏洞、权限漏洞、会话漏洞、Web服务漏洞、注入漏洞等代码漏洞的措施；
b)应支持对用户通过Web访问资源进行访问控制的能力；
c)应支持Web远程访问安全传输的能力。
/
资源层安全
物理资源安全
物理与环境安全
参考业界最佳实践
网络授权及审计
a)应支持对网络设备(包括虚拟化网络设备）的管理员登录地址进行限制的能力；
b)应支持登录网络设备（包括虚拟化网络设备）失败处理的能力；
c)应支持网络设备(包括虚拟化网络设备）管理员登录采用两种或两种以上组合的鉴别技术来进行身份鉴别能力；
d)应支持对网络设备(包括虚拟化网络设备)远程管理时采用安全传输能力；
b)应支持重要程序安全启动的能力；（注：安全启动的软件应该是与预期软件版本一致，没有被篡改。）
c)应支持对重要配置文件完整性检测的能力；
CSA云计算安全技术要求-IaaS安全技术要求
控制域
基本要求
增强要求
访问层安全
网络访问安全
a)应支持保护用户访问云计算中的资源时通信消息的完整性和机密性的能力；
b)应支持用户访问云计算中的资源前通过用户鉴别和鉴权的能力；
/
API访问安全
a)应支持服务API调用前进行用户鉴别和鉴权的能力；
b)应支持涉及租户资源操作的服务API调用前验证租户凭证的能力；
e)应支持对网络设备(包括虚拟化网络设备)远程管理时特权命令进行限制的能力；
f)应支持对网络设备(包括虚拟化网络设备)管理员权限最小化的能力；
g)应支持对网络设备(包括虚拟化网络设备)管理员登录时用户标识唯一能力；
h)应支持区域边界处的网络设备(包括虚拟化网络设备)和安全设备的日志记录、审计报表能力
d)应支持最小安装的原则，仅安装必要的组件和应用程序的能力；
e)应支持禁用无需使用的硬件能力；
f)应支持虚拟机和虚拟化平台间内部通信通道的受限使用能力;
g)应支持组件间通信采用安全传输的能力；
h)应支持管理命令采用安全传输的能力；
i)应支持内核补丁更新、加固及防止内核提权的能力；
j)应支持对恶意代码进行检测和处置的能力；
h)应支持高可用性部署，在一个区域出现故障（包括自然灾害和系统故障）时，自动将业务转离受影响区域的能力。
a)应支持指定带宽分配优先级别的能力；
b)应支持虚拟化网络边界的访问控制；
c)应支持区域边界的双向访问控制，控制从内往外和从外往内流量的能力。
网络边界安全
a)应支持对进出云计算平台业务网络和管理网络的信息进行过滤的能力；
k)应支持监视计算资源管理平台远程管理连接，中断未授权管理连接的能力；
l)应支持对远程执行计算资源管理平台特权管理命令进行限制的能力；
m)应支持资源监控的能力，资源监控的内容包括CPU利用率、带宽使用情况、内存利用率、存储使用情况等；
n)应支持系统过载保护，保障业务公平性和系统资源利用率最大化的能力；
o)应支持禁止计算资源管理平台管理员未授权操作租户资源的能力；（注：租户资源包括已分配给租户的网络、数据库、存储空间、租户虚拟机以及租户虚拟机上的OS、应用程序等。）
p)应支持计算资源管理平台镜像文件完整性保护的能力；
q)应支持第三方安全产品或服务接入的API接口能力。
a)应支持对核心软件源代码进行审查并识别后门的能力；
f)应支持对恶意虚拟机的隔离能力，支持阻断恶意虚拟机与外部网络以及和其他虚拟机的通信能力；
g)应支持对云计算平台DDoS攻击防护的能力；
h)应支持对Web应用漏洞进行检测和防护的能力；
i)应支持网络边界流量监控、攻击和入侵行为检测的能力；
j)应支持对恶意代码进行检测和处置的能力；
k)应支持在不同安全等级的区域之间通信时采用安全传输的能力。
c)应支持用户调用服务API的访问控制能力；
d)应支持服务API接口的防范重放、代码注入、DoS/DDoS等攻击的能力；
e)应支持服务API接口安全传输能力；
f)应支持服务API接口过载保护能力，要求实现不同服务等级用户间业务的公平性和系统整体处理能力的最大化；
g)应支持服务API的调用日志记录能力。
/
虚拟资源安全
资源管理平台安全
计算资源管理平台安全
a)应支持对代码进行安全测试并进行缺陷修复的能力；
b)应支持限制虚拟机对物理资源的直接访问，支持对物理资源层的调度和管理均受虚拟机监视器控制的能力；
c)应支持对计算资源管理平台的攻击行为进行监测和告警的能力，检测到攻击行为时，应能够记录攻击的源IP、攻击的类型、攻击的目的、攻击的时间；
b)应支持对云计算平台管理网络最大流量及单用户网络连接数的限制能力；
c)应支持对云计算平台管理员访问管理网络的访问控制能力；
d)应支持对云计算平台业务网络和管理网络的非法连接检测及阻断能力；(注：非法连接包括从外部网络非法连接到内部网络，以及从内部网络非法连接到外部网络两种情况)
e)应支持对网络边界管理设备受控接口ACL策略支持自动化更新能力；
a)应支持接入第三方安全产品或服务进行不同网络区域之间、租户网络之间的网络安全防护能力；
b)应支持对云计算平台内部虚拟机发起的攻击检测与防护能力，检测出发起攻击的虚拟机，并能记录攻击类型、攻击时间、攻击流量等。(注：内部虚拟机发起的攻击，包括对云计算平台业务网络、管理网络、租户业务承载网络、其他租户私有网络、外部网络等发起的攻击)
基础硬件安全
a)应支持物理主机外设管理的能力；
b)应支持硬件部分损坏情况下数据恢复的能力。
a)应支持检测服务器或存储设备硬件发生变更并予以提示的能力
网络安全
网络架构安全
a)应支持绘制与当前运行情况相符的网络拓扑结构图，支持对网络拓扑进行实时更新和集中监控的能力；
b)应支持划分为不同的网络区域，并且不同区域之间实现逻辑隔离能力；