政務云安全體系建設面臨的挑戰及應對之道
責編：gltian ｜2019-08-19 13:31:31最近，國家互聯網應急中心發布的《2018年中國互聯網網絡安全報告》，報告顯示云平臺成為發生網絡攻擊的重災區，究其原因是大量系統部署在云上，會涉及國計民生、企業運營的數據和用戶個人信息，成為攻擊者攫取經濟利益的目標，而這些系統本身對網絡安全防護也不重視。
（圖片來源于網絡）
現在，政務云作為電子政務的關鍵信息基礎設施，承載著國家、省、市等各級、各領域政務信息系統和數據，如果政務云成為攻擊的目標，會不會出現同樣的狀況，如果真是如此，其后果將會更加嚴重。我們很有必要為政務云建設完善的網絡安全防護體系，確保政務云安全、穩定的運行。
接下來我們將分析和思考政務云安全體系建設面臨的挑戰，尋求應對之策。
一.威脅和風險分析
1.?同樣的風險，擴大的影響
正是由于集中部署、資源復用等特點，云計算在幫助政府解決資源重復建設、信息條塊分離等問題方面，發揮了積極的作用，逐漸被廣泛應用于電子政務領域。正可謂“成也蕭何敗也蕭何“，云計算在推動電子政務良性發展的同時，使電子政務面臨的安全威脅也發生了變化。
推行“互聯網+政府服務”以來，越來越多的政務服務通過互聯網向企業和群眾開放，幫助政府改善了營商環境和降低了群眾辦事難度。然而，互聯網上所遭受到DDoS攻擊、網頁被篡和惡意程序等傳統網絡攻擊行為，也可能會影響著政務信息系統，而且由于集中規模部署、資源共享復用和網絡邊界變化等因素，使這些攻擊行為造成的影響更大。目前，政務服務改革進入深水區，數據交換和信息共享已經是信息化建設重點，當各級政府和各領域政務數據聚集在政務云上時，務必要實現數據交換的端到端安全防護，確保政務數據安全和關鍵業務正常運行。
更讓我們擔心的是零日攻擊和APT攻擊等未知威脅，以及云計算引入的網絡流量不可見等風險，對政務云平臺的安全威脅。我們可以想象：當政務云平臺的某一組件出現漏洞將會發生什么。以虛擬化漏洞為例，利用虛擬化漏洞可以獲取宿主機上其他虛擬機的信息、宿主機被控制從而發起其他攻擊，甚至是宿主機崩潰，影響其他虛擬機的正常運行。也就是說，這時受影響的不是單個政務信息系統，將會是整個政務云的穩定運行，其上運行的政務信息系統和政務數據將難言安全。
如何才能從容應對這些風險呢？
2?．交付與響應，效率不足
我們可能會想，傳統安全防護體系是否可以繼續發揮作用？答案是肯定的，但是否適合云計算模式呢？政務云發展之初，主要是考慮利用云計算來提升資源利用率和促進信息共享；隨著應用的深入，利用政務云來提升效率將會逐步成為重點，也就是說我們更應該考慮如何更好的利用云計算，簡化政務信息系統上云難度，快速應對政務信息系統的需求變化，推動“互聯網+政務服務”。這時候，仍然采用傳統安全防護措施和手段，就不太合適了。
云計算帶來最大變化是將傳統IT交付方式轉化服務交付方式，政務信息系統上云時，只需要按需申請計算服務、存儲服務和網絡服務等，就可以快速完成政務信息系統的部署和上線，當服務能力不足時，申請擴展就可以快速支撐政務信息系統變化，IT管理人員有了更多的時間和精力來優化和改善信息系統。那么安全是否也可以轉化為安全即服務呢？當對政務信息系統進行防護時，只需點點鼠標就可以完成安全服務的交付和應用，當安全風險發生變化時，動態調整防護能力和防護策略，讓安全運營人員快速消除安全風險。
其實，我國政務云主要是由云服務商來建設和運營的，運營對象不僅僅是政務云平臺，而且還會包括各委辦局的政務信息系統。此時，安全運營人員面對的將是大量的安全設備和政務信息系統，以及他們產生的海量安全日志和安全事件，單純靠人工來完成運營已不現實，勢必也會留下安全隱患。而且，越來越多的新型或未知威脅更是增加了他們的運營難度。為了提升安全運營效率，采用新技術和產品，改變傳統被動的攻防模式，也就成為政務云安全的新訴求。
發生這樣的變化，政務云的合規自然也就不那么樂觀。
3.?未盡職責，難言合規
隨著政務云應用的深入，與之相關的標準和法規逐步完善，現在已經形成了包括網絡安全法、電子政務外網安全系列標準、云計算服務網絡安全審查系列標準和網絡安全等級保護系列標準等合規體系。不難看出，相較于其他行業，政務領域的合規性要求相對比較高，也確實有助于規范和完善政務云的安全防護。
合規體系中兩個比較重要的標準，《GB/T 31168-2014 信息安全技術 云計算服務安全指南》和網絡安全等級保護系列標準，傳遞了一個重要觀點：政務云安全需要云服務商和各委辦局共同履行安全職責，這也是當下云計算安全的最佳實踐。以往在政務云建設時，政府主管部門往往會對云服務商提出比較高的安全防護要求，多數服務商也會部署相應安全設備來保護政務云平臺。然而，如何幫助各委辦局進行政務信息系統防護方面，并沒有很好的途徑。今年新頒布的網絡安全等級保護系列標準，除了提出新的安全要求，更是明確 “應具有根據云服務客戶業務需求自主設置安全策略的能力”。不到半年時間，新標準將會正式實施，云服務商應對現有安全防護體系進行優化。
作為政務云服務的使用者，各委辦局對政務信息系統的安全防護方面，也有不足之處。依據合規性要求，各委辦局應承擔安全管理責任，然而在政務信息系統上云時，各委辦局通常認為上云后安全應該由政務云來實現，自己并不太重視安全，而政務云服務商也不了解政務信息系統實際情況，只做了基本的防護。這與相關合規性要求有一定差距，一旦發生安全事件，往往是責任不清。而且前文所提到“云平臺成為發生網絡攻擊的重災區”其中一個原因正是信息系統不重視安全防護，我們需要思考如何避免這類事件再次出現在政務云上。
二．解決之道：主動防護，智造安全
當我們做了很多工作，可能安全效果并不理想，或是由于網絡環境發生了變化，亦或是安全觀念尚未轉變。承載大量政務信息系統的政務云平臺，安全應該怎么做？當我們仔細分析了安全挑戰之后，或許應對之策已經躍然紙上。
相對于傳統IT項目，政務云建設比較復雜，需要很多參與方共同配合才能完成，安全也不例外。要實現政務云安全，就需要多方協同，其中最主要的就是云平臺廠商和網絡安全廠商協同，政務云服務商和各委辦局協同。作為云平臺廠商，在云管理平臺/虛擬化等組件設計之初就應該遵循相關安全規范，比如需要實現虛擬資源隔離、剩余信息保護等，這樣才能為政務云打好安全地基。作為網絡安全廠商，為政務云建設提供符合國家要求的網絡安全產品和解決方案。它們共同幫助政務云服務商建立一個具有完善安全防護體系的政務云平臺，各委辦局根據政務信息系統實際需求，選擇相應安全服務，保護政務信息系統和數據，這樣才能做到政務云安全。
怎樣的安全防護體系才是合適的呢？互聯網+政務服務得以實現的一個重點是政務數據共享交換，各領域政務數據是重中之重。政務云的安全防護體系應該更加貼近數據，除了做好網絡邊界防護以外，還應加強主機安全建設、應用安全建設和數據安全建設，實現一個安全的計算環境，也就是說應該為政務云平臺和各領域政務信息系統打造一個縱深的安全防護體系。該體系能夠覆蓋從網絡、主機、應用到數據等多個層次，具備從預防、防護、檢測到響應等多種能力，才能應對傳統安全威脅和新的安全威脅。
為了更好的應對安全風險，縱深防護體系需要注重效率，也就是應具備智能。智能的第一個體現就是實現安全服務化，可以像使用計算、存儲和網絡一樣使用安全。安全即服務應該具備這些特點，不依賴于特定設備、自主選擇安全服務、自主設置安全策略、自動化交付和彈性擴展。通過簡單的操作，選擇好安全服務后，自動完成服務編排，網絡流量將會依次經過各安全服務進行防護，當某一防護能力不足時，彈性擴展其性能，讓政務信息系統防護快捷和高效。
其次就是實現安全可視化。安全運營人員面向海量安全日志和安全事件，疲于應對。大數據和機器學習等技術已經成功應用于其它領域，現在也開始被引入到安全領域中。利用大數據分析和機器學習，統一采集、處理和分析政務云平臺的各類設備日志，并與專業化安全分析模型相結合，建立政務云整體安全態勢，可以幫助安全運營人員掌握安全發展趨勢，消除安全誤報和重復報警，發現單設備無法發現的安全風險，大大提升安全運營效率。
最后就是實現防護主動化。以往安全防護更多是被動的攻防，發現風險采取應對，及時止損。隨著新型或未知威脅的增加，政務云安全更應該防患于未然，將威脅情報和大數據相結合就是比較好的方式。借助威脅情報數據，可以根據威脅發展趨勢，提前確定防護重點，做到事前預防；當發生安全熱門事件時，利用大數據技術，可快速確定影響范圍，及時處置；以及對安全事件進行追溯和還原，從而更加主動的進行安全防護，降低安全影響。
最近，國家制定和發布了《云計算服務安全評估辦法》，以此來提高黨政機關、關鍵信息基礎設施運營者采購使用云計算服務的安全可控水平；網絡安全等級保護制度年底也將正式實施，無不說明政務領域更應該要安全的使用云計算。政務云安全防護建設正是為了保障政務信息系統和政務數據的安全，當我們做到了以上幾點，合規也就順道渠成。
安全之路，從無坦途，亦無終點。網絡環境持續在變、合規性要求逐步增強、挑戰在繼續，政務云安全防護還需不斷探索和應對。
轉載在安全加：http://toutiao.secjia.com/article/page?topid=111863