國家標準《信息安全技術 桌面云安全技術要求》征求意見稿全文
責編：mhshi ｜2017-05-27 14:33:022017年5月24日，全國信息安全標準化技術委員會發布國家標準《信息安全技術 桌面云安全技術要求》征求意見稿，征求意見截止日期為2017年7月7日。以下是征求意見稿全文。
聯系人：許玉娜???xuyuna@cesi.cn?? 010—64102731
標準文本：信息安全技術 桌面云安全技術要求? (點擊下載)
編制說明：
國家標準《信息安全技術 桌面云安全技術要求》
編制說明
- 工作簡況
- 任務來源
《信息安全技術 桌面云安全技術要求》是中國電子科技集團公司第三十研究所于2015年申請立項的國家標準項目，中國電子科技集團公司第三十研究所，公安部第三研究所，中國電子技術標準化研究院，華為技術有限公司，衛士通信息產業股份有限公司，成都大學，電子科技大學，北京國電通網絡技術有限公司，中國信息安全研究院，武漢大學，深圳市深信服電子科技有限公司，湖南麒麟信安科技有限公司等單位共同參與了該標準的起草工作。
- 主要工作過程
1、2015年3月至7月，進行桌面云安全標準調研論證，完成標準草案初稿；
2、2015年8月，國家標準《信息安全技術?桌面云安全技術要求》正式成立標準編寫組；
3、2015年10月20日，召開第一次工作組/專家評審會議，討論標準框架結構、桌面云安全參考架構、分工以及日程等事宜，征求專家意見；
4、2016年3月3日，召開第二次工作組會議，重點討論標準草案第一版基本要求；
5、2016年4月26日，召開第三次工作組會議，重點討論標準草案第二版基本要求；
6、2016年7月12日，召開第四次工作組會議，重點討論標準草案第三版增強要求；
7、2016年10月20日，2016年信安標委第二次會議周申請進入征求意見稿階段。
8、2016年12月27日，召開征求意見稿專家評審會。
- 編制原則和主要內容
2.1 編制原則
《信息安全技術 桌面云安全技術要求》是國內第一個關于桌面云系統安全的標準項目。在云計算的廣闊應用前景下，針對傳統信息安全技術在云計算模式下具體應用中的挑戰，制定相關服務和監管標準，以滿足下一代計算辦公環境安全需求。
本標準遵從國家標準GB/T?31167-2014《信息安全國家標準—云計算服務安全指南》、GB/T?31168-2014《信息安全國家標準—云計算服務安全能力要求》GB/T 32400-2015《信息安全國家標準—云計算 概述和詞匯》和《GB/T 32399-2015 信息安全國家標準—云計算 參考架構標準規范》等標準規范，按照桌面云系統安全功能的強度劃分安全功能要求的級別。安全等級突出安全特性，分為基本級和增強級。與基本級要求相比，增強級中要求有所增加或變更的內容在正文中通過“宋體加粗”來表示。
2.2 主要內容
本標準規定了基于虛擬化技術的桌面云系統的安全功能要求，適用于面向于桌面云系統的設計、開發及檢測。
本標準中章節的順序不表示其重要性。根據不同的環境，任何或所有章節中的安全要求都可能是重要的，因此應用本標準的每一個組織宜識別適用的安全要求及其重要性，以及它們對各個業務過程的適用性。另外，本標準的列表沒有優先順序。
- 主要試驗（或驗證）的分析、綜述報告，技術經濟論證，預期的經濟效果
目前，云計算技術在各個行業已經逐步進入規模應用的階段。其中，桌面云是發展最快、部署最廣、應用最為成熟的技術之一。桌面云作為云計算模式下的具體應用，應當遵從我國發布的云計算相關的各種國家標準。
2014年，我國發布了云計算的兩個基礎標準：GB/T?31167-2014《信息安全國家標準—云計算服務安全指南》和GB/T?31168-2014《信息安全國家標準—云計算服務安全能力要求》。同時，等保規范《信息安全技術?信息系統安全等級保護?基本要求》、《信息安全技術?信息系統安全等級保護?云計算安全要求》和其他一系列云計算相關的國家標準也正在制定過程中。這些標準的制定和發布，有力地推動了云計算技術在我國的推廣和應用，為政府部門和重點行業采用云計算服務提供安全指導并進行安全管理，指導云服務商建設安全的云計算平臺和提供安全的云計算服務。
但同時，桌面云系統作為云計算的具體應用，國際、國內目前還缺乏相關標準來對其進行正式的規范和約束，特別是近年來桌面云產業面臨的安全問題也越來越得到重視。因此，及早開展桌面云系統安全標準的制定工作是十分迫切和必要的。
在從桌面云的技術、使用等方面的考慮，側重分析IaaS和桌面應用的新風險。相對于傳統服務，IaaS利用虛擬化技術，實現了資源整合和動態調度，但也引入了虛擬化、數據和管理的新風險；桌面云應用則利用IaaS提供的基礎設施，通過桌面云管理系統，自動為用戶分配虛擬桌面，并利用云終端實現虛擬桌面顯示和信息輸入，其在桌面傳輸、接入認證和云終端中也帶來新的安全隱患。
因此，從終端、接入、傳輸、數據、虛擬化和運行管理等六個維度，進行了風險分析，并從再現難度和風險影響兩個方面將風險分級，具體分析如下表所示：
表1 桌面云風險分析
| 風險類別 | 風險名稱 | 描述 | 再現難度 | 風險等級 |
| 終端 | 終端非法接入 | 終端未經授權，非法接入云計算環境 | ★★★☆☆ | ★★☆☆☆ |
| 終端配置管理風險 | 大量瘦終端的配置管理（如瘦終端的IP地址和安全策略管理、軟件和補丁分發、用戶終端管理權限等）不規范，增加瘦終端的安全風險 | ★★☆☆☆ | ★★★★☆ | |
| 終端外設違規使用 | 違規使用多種外設，如打印機、U盤等 | ★★☆☆☆ | ★★★☆☆ | |
| 終端數據殘留 | 云終端存在嵌入式操作系統，具有本地計算與緩存能力，涉密信息處理過程中，難以保證不留痕 | ★☆☆☆☆ | ★★★☆☆ | |
| 終端數據導出 | 終端內置存儲設備，可能非法保存桌面截屏信息和虛擬機信息，并將數據導出 | ★☆☆☆☆ | ★★★☆☆ | |
| 破壞終端固件/系統 | 惡意破壞瘦終端的操作系統或固件 | ★★☆☆☆ | ★★★★☆ | |
| 接入 | 認證風險 | 普通用戶和管理員采用傳統用戶名+密碼的認證方式，風險比較高，易被破解； 原USBKey登錄方式可能失效，降低認證強度； |
★★☆☆☆ | ★★★★☆ |
| 傳輸 | 虛擬桌面傳輸泄密 | 云終端與虛擬桌面服務器之間傳輸各種輸入輸出操作，包括圖形顯示、鍵盤鼠標等I/O信號，除遠程連接協議自身安全保護外，缺乏符合國家規定算法的加密安全傳輸保護能力，存在竊聽、重放、插入等安全風險。 | ★★★☆☆ | ★★★★☆ |
| 桌面配置信息泄密 | 非法獲取用戶的虛擬桌面信息 | ★★★☆☆ | ★★★★☆ | |
| 管理系統內部消息傳遞 | 管理系統各組件間消息傳輸未進行加密，存在被篡改的風險 | ★★★☆☆ | ★★★★☆ | |
| 數據 | 數據破壞 | 云平臺管理員非授權訪問用戶數據可能性提升; 用戶將數據存放在“云”中，存在大批量丟失的可能性 |
★★★☆☆ | ★★★☆☆ |
| 數據殘留 | 虛擬機共享計算和存儲資源，當虛擬機注銷或關機后，其使用的內存區域和存儲區域中可能殘留數據 | ★☆☆☆☆ | ★★★☆☆ | |
| 數據審計不深入 | 現有審計系統無法支持分布式存儲系統 | ★★★★☆ | ★★★☆☆ | |
| 用戶數據盤泄漏風險 | 管理員通過掛卷方式獲得用戶數據卷，獲得用戶信息 | ★★☆☆☆ | ★★★★☆ | |
| 虛擬化環境中共用存儲設備，多個虛擬機的數據存儲在同一個LUN中，惡意虛擬機可以找到其他虛擬機的存儲地址，從而訪問其他用戶或機構的數據 | ★★★☆☆ | ★★★★☆ | ||
| 數據丟失風險 | 存儲系統故障，導致用戶數據丟失 | ★★★☆☆ | ★★★★☆ | |
| 虛擬化 | Hyperjacking | 破壞Hypervisor或嵌入流氓Hypervisor，從而控制宿主機中的任意虛擬機 | ★★★★★ | ★★★★★ |
| 虛擬機逃逸（VM Escape） | 在云計算環境中，利用虛擬機軟件的漏洞進行攻擊，以達到攻擊或控制宿主機操作系統的目的，進而進行非授權的操作行為 | ★★★★★ | ★★★★★ | |
| 通過應用程序接口（API）攻擊，操控一臺虛擬機向VMM發出請求，VMM缺乏安全信任機制來判斷虛擬機發出的請求是否經過認證和授權 | ★★★★★ | ★★★★★ | ||
| 如果網絡配置有缺陷，缺乏配套的安全訪問控制，入侵者就可能連接到VMM的IP地址，進而對VMM進行網絡攻擊， | ★★★★★ | ★★★★★ | ||
| 跳躍攻擊（VM Hopping） | 入侵者通過攻擊某臺虛擬機A劫持到在同一宿主機上的另一臺虛擬機B，以B為跳板繼續入侵其他虛擬機，完全控制同一宿主機上所有其他虛擬機的運行 | ★★★★★ | ★★★★★ | |
| 虛擬機蔓延（VM Sprawl） | 虛擬機數量接近或超過管理員可以有效管理的數量，從而過度使用資源和浪費license | ★★★☆☆ | ★★★★☆ | |
| VM Theft | 非法獲取虛擬機文件，并在其他地方掛載和使用，從而獲取數據信息 | ★★★★☆ | ★★★★☆ | |
| 流量竊聽（Traffic Snooping） | 同一物理機內虛擬機之間共享網卡進行數據交換，攻擊者截獲虛擬網絡中的流量?；蛘咴谕惶摂M網段的虛擬機，截取虛擬網絡流量。外部網絡安全工具如防火墻、入侵檢測和防護系統、異常行為監測器，都無法監測到物理服務器內部的流量攻擊． | |||
| Side-channel attacks | 利用CPU使用、內存讀取、或其他物理特性，獲取加密密鑰 （多虛擬機運行在同一主機中，利用CPU Cache獲取VM的資源使用規律，從而獲得加密密鑰） |
★★★★★ | ★★★★★ | |
| 隱通道(covert channel) | 利用虛擬化環境中的內存共享和磁盤共享，傳遞違規信息 | ★★★★★ | ★★★★★ | |
| DMA攻擊 | 利用虛擬機間內存共享，攻擊或控制其他虛擬機的內存，破壞或泄露內存信息 | ★★★★★ | ★★★★★ | |
| 遷移風險 | 物理機到虛擬機（P2V）/虛擬機到虛擬機（V2V)的遷移：物理機/虛擬機自身的安全風險； 虛擬機遷移（VMotion）： 1.遷移前：目的宿主機存在安全隱患（安全漏洞和承載多密級虛擬機）； 2.遷移中：虛擬機的磁盤文件被重新創建和掛載，攻擊者可能會替換虛擬機的磁盤文件；虛擬機內存和存儲信息在網絡中傳輸，可能引起泄密；虛擬機的安全策略變化；CPU擴展指令集失效，應用程序故障； 3.遷移后：源宿主機中虛擬機所用內存空間和存儲空間，以及共享存儲中存儲空間的數據殘留。 |
★★★☆☆ | ★★★★☆ | |
| 虛擬化系統完整性破壞 | 宿主機硬件、虛擬化軟件被篡改，植入木馬或惡意固件，危及整個宿主機及其虛擬機的安全 | ★★★★☆ | ★★★★★ | |
| 虛擬機越權訪問物理機磁盤I/O的風險 | 虛擬機通過物理機磁盤I/O接口訪問其他虛擬機的存儲系統 | ★★★★★ | ★★★★☆ | |
| Hypervisor管理員不可信 | 虛擬化環境超級管理員權限大，同時具備虛擬資源、網絡、帳號等各種資源管理能力 | ★★★★☆ | ★★★★☆ | |
| 虛擬機間相互攻擊和控制 | 虛擬機之間通過網絡和虛擬層相互攻擊 | ★★☆☆☆ | ★★☆☆☆ | |
| 虛擬網絡流量不可見 | 在虛擬化環境下，傳統的網絡安全系統對虛擬機之間的通信數據包及通信流量不可見； | ★★☆☆☆ | ★★☆☆☆ | |
| 虛擬化行為審計難度加大 | 現有審計軟件無法兼容虛擬化環境，如虛擬機生命周期管理、虛擬機遷移、HA和負載均衡等 | ★★★★☆ | ★★★☆☆ | |
| 虛擬客戶機內部監控手段缺失 | 傳統手段無法監控虛擬機變化及內部操作 | ★★★★☆ | ★★★☆☆ | |
| 地址欺騙（Address Spoofing） | 惡意虛擬機假冒IP/MAC地址 | |||
| 虛擬環境參數被獲取 | 惡意軟件對虛擬環境進行探測，獲取虛擬環境參數 | ★★★★☆ | ★★★☆☆ | |
| Qemu 代碼漏洞 | 為老舊硬件設備提供兼容性的軟件代碼，存在安全漏洞 | ★★★★★ | ★★★★★ | |
| 宿主機對虛擬機的惡意控制及訪問 | 宿主機對虛擬機的攻擊不需要賬戶和密碼，即可使用特定的功能來殺死進程，監控資源的使用或者關閉機器 | |||
| BIOS攻擊：BIOS插件在系統管理和安全防范中功能強大，但當攻擊者獲得管理員級權限時，也會導致巨大危害（如硬件的格式化、BIOS的更新等） | ||||
| 惡意的的物理設備前端驅動代碼會導致虛擬機驅動配置錯誤，從而引發虛擬機數據接口的誤用 | ||||
| 重啟宿主機，可以引導到外部媒體從而破解密碼、竊取文件，比如利用外接存儲器等，或直接盜走宿主機的磁盤以訪問虛擬文件系統； | ||||
| 拒絕服務攻擊導致的資源耗盡風險 | 針對某一臺虛擬機的DoS攻擊不僅可能耗盡自身的資源，還會由此傳遞到整個宿主機上所有的資源，造成全部虛擬機獲取不到資源而無法正常提供服務 | |||
| 安全機制的特權接口風險 | Hypervisor為虛擬化安全機制（如IPS/IDS、安全審計等）提供的特權接口可能會被惡意虛擬機使用 | ★★★★☆ | ★★★★★ | |
| 安全機制無法生效的問題 | 1、對于安全審計及監控等措施，虛擬機在網絡中的各種行為基于其IP地址進行審計，而IP地址是容易改變的 2、在虛擬化環境中難以直接關閉主機上的虛擬端口，因為物理端口往往被眾多虛擬端口共用 |
★★★★☆ | ★★★★★ | |
| 運行風險 | 云平臺管理員權利過大 | 與傳統IT架構相比，云計算環境中還有一類特殊用戶，即云管理員。由于此類用戶所具有存儲、網絡以及計算資源配置的極高權限，存在較高風險 | ★☆☆☆☆ | ★★★☆☆ |
| 云租戶之間的安全隔離與訪問控制 | 對云租戶之間、云租戶和云基礎設施之間進行安全隔離和訪問控制，使云租戶不能違規訪問云基礎設施（如Hypervisor）以及其他云租戶的空間，在PaaS、SaaS層不能影響其他云租戶的正常運行（如對其他云租戶進行攻擊，無限消耗資源等），不能從事違法違規的行為（如對外攻擊等） | |||
| 密碼使用及密鑰管理的難度 | 數據在云中傳輸、存儲時有加密保護的需要，但多密級、多用戶情況下的密鑰分發與管理，在遷移等過程中的加密保護和密鑰管理。 | ★★★☆☆ | ★★☆☆☆ | |
| 版本/補丁/病毒/惡意代碼風險 | 虛擬機版本、補丁和病毒庫未及時更新，或利用未更新的虛擬機快照或備份鏡像，恢復虛擬機系統，存在安全漏洞和防護間隙； 病毒可能在虛擬機休眠時躲過查殺； 虛擬機如果同時殺毒有可能造成殺毒風暴； |
★★★☆☆ | ★★★★☆ | |
| 副本離線破解（虛擬機導入風險） | 攻擊者通過網絡復制出某臺虛擬機的鏡像文件，一旦得到完整的鏡像文件，攻擊者可以將其導入自己的虛擬化平臺，擁有充足的時間離線攻克其中的安全設定，包括破解登陸口令，提取通信密鑰，獲取所有重要信息等。 | ★★★☆☆ | ★★★★☆ | |
| 鏡像、模板和快照文件缺乏保護措施 | 利用漏洞或惡意代碼，破壞鏡像和模板的完整性，或植入病毒或木馬文件 | ★★☆☆☆ | ★★★★☆ | |
| 模板擴散 | 模板未按照安全要求進行配置，或客戶機操作系統和應用程序未及時升級，利用該模板創建虛擬機，將危及這些虛擬機的安全性 | ★★☆☆☆ | ★★★★☆ | |
| 數據庫被非法訪問的風險 | 虛擬化環境下共享數據庫，惡意用戶或管理員可以越權訪問其他用戶的數據資料，還有可能破壞數據庫 | ★★★☆☆ | ★★★★☆ | |
| 非法竊取賬戶信息 | 攻擊者非法獲得用戶的帳號信息，進行修改數據、竊聽、惡意消費、發送虛假信息以及發起新的攻擊。 | ★★☆☆☆ | ★★★★☆ | |
| 模板來源不明 | 用戶上傳包含有漏洞、木馬的模板，影響利用該模板創建的虛擬機安全 | ★★☆☆☆ | ★★★★☆ | |
| 管理網絡未隔離 | 管理員訪問管理系統，采用與用戶訪問虛擬機相同的網絡 | ★★☆☆☆ | ★★★★☆ | |
| 管理接口濫用風險 | 管理系統擁有較多豐富的管理接口，可能導致未授權訪問用戶數據、控制硬件設施、拒絕服務、數據泄漏等 | ★★☆☆☆ | ★★★★★ | |
| 審計記錄不準確 | 虛擬化平臺由多系統組成，各系統之間可能出現同步上的延時，授權信息因此沒有及時更新，審計記錄不準確 | ★☆☆☆☆ | ★★☆☆☆ | |
| 弱口令登陸及口令監聽 | 大多時候，用戶選擇易記的弱口令來登陸云終端，大大提升口令猜測攻擊的成功率。同時，通過木馬等手段可在云終端上對用戶的口令進行監聽。 | ★☆☆☆☆ | ★★★★☆ |
根據以上風險分析，本標準從桌面云系統角度，包括物理安全、虛擬化安全及終端平臺安全提供技術要求。與目前國家開展的云計算相關標準的制定工作緊密相關，作為云計算技術具體應用的標準之一，該標準的制定，將為我國政府部門和重點行業安全地采用桌面云服務提供技術參考，并促進桌面云服務提供商提供更加安全的桌面云服務。
- 采用國際標準和國外先進標準的程度，以及與國際、國外同類標準水平的對比情況，或與測試的國外樣品、樣機的有關數據對比情況
本標準未等同采用任何國際標準。
- 與有關的現行法律、法規和強制性國家標準的關系
本標準歸納總結桌面云面臨的安全威脅，提出桌面云安全體系架構，并規范實現桌面云的安全技術要求。桌面云作為云計算模式下的具體應用，本標準所規定的內容需遵從云計算國家標準GB/T?31167-2014《信息安全國家標準—云計算服務安全指南》、GB/T?31168-2014《信息安全國家標準—云計算服務安全能力要求》等一系列標準的定義。本標準可以作為云計算相關標準在具體云計算應用上的補充，完善云計算標準體系建設。
- 重大分歧意見的處理經過和依據
詳見標準意見匯總處理表。
- 國家標準作為強制性國家標準或推薦性國家標準的建議
建議本標準作為推薦性國家標準發布實施。
- 貫徹國家標準的要求和措施建議（包括組織措施、技術措施、過渡辦法等內容）
本標準歸納總結桌面云面臨的安全威脅，提出桌面云安全體系架構，并規范實現桌面云的安全要求。在云計算的廣闊應用前景下，針對傳統信息安全技術在云計算模式下應用中的挑戰，制定相關服務和管理標準，滿足下一代計算辦公環境安全需求。桌面云作為云計算模式下的具體應用，本標準可以用于支撐云計算國家標準GB/T?31167-2014《信息安全國家標準—云計算服務安全指南》、GB/T?31168-2014《信息安全國家標準—云計算服務安全能力要求》，以及《信息安全技術?信息系統安全等級保護?基本要求》、《信息安全技術?信息系統安全等級保護?云計算安全要求》的實施，為希望了解和部署桌面云服務的組織和用戶提供安全方面的具體要求，有助于更加深刻地理解桌面云的體系建設和實施內容。
- 其他事項說明
本標準不涉及專利。
《信息安全技術 桌面云安全技術要求》標準編制組
2017年4月