本系列文章共分为8篇，主要分享作者自身在企业网络安全建设和运维保障过程中的经验总结，包括网络安全管理、网络安全架构、网络安全技术以及安全实践等，力求全方位阐述企业在网路安全中的方方面面，为企业网络安全建设提供实践指南。
四、云安全随着企业云计算平台的大规模落地建设和快速发展，云平台环境下如何进行网络安全建设已经成为企业网络安全和企业云计算中最为重要的内容之一。同时根据IDC权威统计，安全已经成为云计算所面临挑战中排首位，7%的用户在安全性上犹豫不决，如何进行云计算环境下网络安全建设，是每个上云企业必须要考虑的重要内容，甚至是企业上云的前提必要条件之一。由此凸显云安全在云计算中的重要性。
既知云安全在云计算中的重要性，那么如何进行云安全的设计、架构和建设落地呢？首先，还是应该简单了解一下什么是企业云计算。
1、企业云计算1.1、云计算简介美国国家标准与技术研究所（NIST）年7月提出云计算定义，年9月NIST云计算定义被正式发布为SP-1标准：云计算是一种模型，它可以实现随时随地，便捷的、随需应变的从可配置计算资源共享池中获得所需的资源（如网络、服务器、存储、应用及服务），资源能够快速供应并释放，使管理资源的工作量和服务提供商的交互减小至最低限度。
云计算由可配置的共享资源池组成，该资源池通过集成网络、服务器、存储、应用与服务等软硬件资源，通过软件定义的方式提供计算、存储、网络等资源服务。资源池具备自我管理的能力，用户只需要少量参与就可以方便快捷地按需获取资源。同时云计算提高了资源的可用性，具有个基本特征、种服务模式和种部署模型：
个基本特征：按需自助服务、广泛的网络访问、资源池、快速弹性、测量服务。
种服务模型：云软件即服务（SaaS）、云平台即服务（PaaS）、云基础设施即服务（IaaS）。
种部署模型：私有云、社区云、公共云、混合云。
比较典型的企业混合多云的部署架构如下所示：
该架构为中大型集团企业的混合多云平台架构。由四层组成：基础资源层、云计算层、云服务层和用户层，面向的对象主要有集团企业内部用户（分支机构）和外部用户等。基础资源层整合集团多数据中心建成的私有云、公有云和行业云资源（有些行业属性特别强的集团企业如银行、电力、民航等，一般都有上级监管单位或大型机构建设的专业云）形成统一的IT资源池，为上层提供资源服务；云计算层主要为云服务层的研发、运维等提供基础的云服务，以便进一步为上层云服务层提供简便易用的服务支撑；云服务层通过建设门户式服务的方式为用户提供自主、自助的服务。多种技术架构和模块但愿，多层次、多维度的组成集团云平台，为集团应用系统提供安全、稳定、高效的运行环境。
1.2、云计算的参与角色要想做好云安全，除了了解云计算的技术架构外，还要剖析云计算的整个过程中的主要参与角色，因为按照网络安全法的要求，网络安全要权责到人，所以在了解云计算时，要熟悉整个云计算的参与人员、组织或团队，以便后面云安全参与者的权责划分。相比传统IT模式，云计算的参与角色在数量上进一步增加和范围上持续扩大（尤其是公有云环境），同时安全权责的界定也变得更加复杂。
按照GB/T-《信息安全技术云计算安全参考架构》的描述，实际上，在云计算的建设、管理、运营和使用的全过程中，主要有类角色：云服务商、云服务客户、云审计者、云代理者和云基础网络运营者。每个角色由一个或多个实体（个人或组织）担任，针对不同的云计算服务模式和部署模式，提供不同的服务：
（1）云服务商是负责为云服务客户直接或间接提供服务的实体，云服务商的相关活动包括云服务资源的提供、部署、编排、运营、监控和管理等。
（2）云服务客户是为使用云资源同云服务商建立业务关系的参与方，云服务客户可以直接为用户使用云服务，云服务客户也可为保证用户使用云服务的运行稳定而提供服务计量、计费与资源购买等运营管理服务。
（）云代理者是管理云服务使用、性能与交付的实体，并在云服务商与云服务客户之间进行协商。一般来说，云代理者提供三种服务：聚合、仲裁与中介。
（）云审计者负责对云服务提供独立评估、审计，负责审计云服务的供应与使用。云审计通常覆盖运营、性能与安全，检查特定的审计准则是否得到满足。
（）云基础网络运营者是云服务连接与传输的执行者，主要提供基础网络通信服务。
对于云计算的参与人员，参考GB/T-《信息安全技术云计算安全参考架构》，可以更进一步分析，一般云平台的参与人员还可以这样划分：云平台建设者、云平台所有者、云平台运营者、云平台使用者、云平台监管审计者等。
（1）云平台建设者：建设云平台的组织机构，跟云平台所有者一起设计或是按照云平台所有者的设计进行云平台的建设。建设完成之后，交付至云平台所有者。
（2）云平台所有者：云平台的所有权拥有者，一般是云平台的发起人。可以参与云平台的设计、建设和运营，也可以委托第三方专业机构运营云平台。
（）云平台运营者：运营云平台，运营包括两方面，运营和运维，有的时候，运维者不与运营者统一组织。
（）云平台使用者：即云平台的客户。
（）云平台监管审计者：即对云平台进行监管、审计的组织机构。在公有云环境，该监管设计者较为复杂，包括公有云厂商的监管审计部门和上级单位、公有云客户的监管审计部门和上级单位、国家监管机构等。
云部署模型
云平台建设者
云平台所有者
云平台运营者
云平台使用者
云平台监管审计者
私有云
集团企业IT部门或供应商
集团企业
集团企业或委托第三方机构
集团总部、分支机构、甚至包括集团的合作伙伴（为合作伙伴提供云服务时，有点类似行业云或公有云雏形的样子）
集团监管、审计部门、集团上级监管机构
公有云
公有云厂商
公有云厂商
公有云厂商或委托第三方机构
中小型企业或个人以及部分大型企业等
公有云厂商监管部门、国家监管机构（网警、网信办等）
行业云
行业组织机构、行业内大型企业组织等
行业组织机构
行业委员会或委托第三方机构
行业内各企业
行业监管机构、国家监管机构（网警、网信办等）
混合云
集团企业IT部门或供应商（混合云多以企业为单位，设计建立和实施）
集团企业+公有云厂商（租赁）+行业组织机构（租赁）
集团企业或委托第三方机构
集团总部、分支机构、甚至包括集团的合作伙伴（为合作伙伴提供云服务时，有点类似行业云或公有云雏形的样子）
集团监管、审计部门、集团上级监管机构
通过以上两个章节，可以较为全面概括的了解云计算以及云计算的重要参与者，这将为后面的云安全架构和建设提供前提概要。
2、企业云安全2.1、云安全的风险与挑战随着越来越多的用户将传统的业务系统迁移至云计算环境中，云安全面临的挑战也更加严峻，传统环境下的安全问题在云环境下仍然存在，如SQL注入、内部越权、数据泄露、数据篡改、网页篡改、漏洞攻击等，而云环境下又不断涌现一堆新的安全问题，如云安全边界的划分和防护、云安全防护系统的选择和部署、云安全检测、安全防御、云安全审计等。同时，云计算环境下的资源按需分配、弹性扩容、资源集中化等新型技术形态也给云安全技术带来挑战和技术革新。
不同机构组织和标准规范统计出的云安全的风险挑战如下：
（1）根据ENISA（欧洲网络与信息安全管理局）统计，云计算带来的1个主要云威胁和其影响程度如下：
（2）CSA（云安全联盟）Top威胁
CSATop威胁
数据泄露
数据丢失
身份、凭证和访问管理不足
尽职调查不足
不安全的接口和应用程序编程接口
滥用和恶意使用云服务
系统漏洞
拒绝服务（DoS）
账户劫持
共享的技术漏洞
恶意的内部人员
高级持续性威胁
（）GB/T-《信息安全技术云计算安全参考架构》
在GB/T-中的附录A中详述了一下云计算的安全风险，主要包括以下内容：
①云计算法律风险
②政策和组织风险：可移植性风险（过度依赖风险）、可审查性风险（合规风险）
③云计算技术安全风险：数据泄露风险、隔离失败风险、应用程序接口风险、业务连续性风险、基础设施不可控风险、运营风险、恶意人员风险
结合实际及上述安全风险，提炼企业上云的关键安全诉求：业务连续不中断、运维全程可管控和数据保密不扩散。
基于企业上云的关键安全诉求，可以做如下总结，企业云安全的风险和挑战主要可以分为两个方面：云安全管理方面的风险和挑战、云安全攻击风险和挑战。
（1）云安全管理风险和挑战
①安全运维管理困难
传统环境下，大部分安全产品以硬件的形式交付给客户，安全产品也是采用分散管理的形式，而在云环境下，所有的资源虚拟化，云安全产品大部分以虚拟机的形式部署到云平台上，而不同的云租户对安全资源的需求个不相同，如何统一的分配、利用和管理云上的安全资源成为云安全的一个难题。
②安全责任界定不清
传统模式下，信息系统通常遵照谁主管谁负责、谁运行谁负责的原则，信息安全责任相对清晰。在云计算模式下，云计算平台的管理和运行主体（云服务提供方）与云端信息系统及数据的责任主体（云租户）不同，相互之间的责任难以界定，服务模式的改变、部署模式的差异、云计算环境的复杂性都增加了界定云服务提供方与云租户之间责任的难度。
③需求不确定性问题
云环境下，云平台管理者在云平台建设初期一般不清楚各个云租户的业务规模，也不清楚各个租户的安全需求。因此管理者很难精确的判断采购的安全产品种类、安全产品数量和安全产品性能，安全建设规划困难。
④安全产品部署困难
随着租户业务慢慢迁移到云平台，由于不同的云租户对云安全的需求不同，如果采用为每个租户手动部署单一产品的方式为租户提供安全产品，会给云平台运维管理员的运维工作造成极大困扰，对运维人员的技术要求也大大提高。且传统的硬件已经无法部署到租户虚拟的网络，满足不了租户的安全需求。因此，如何解决云安全产品自动化部署、云安全产品按需分配问题成为云安全管理人员面临的巨大挑战。
（2）云安全攻击风险和挑战
①网络攻击问题
云环境下，云租户的业务都由云平台承载，而不法分子也会通过对云平台的攻击，对云租户的业务安全造成威胁。通常云环境下，存在以下威胁：
●业务高峰时段或遭遇DDoS攻击时的大流量导致网络拥堵或网络瘫痪。
●重要网段暴露导致来自外部的非法访问和入侵。
●单台虚拟机被入侵后对整片虚拟机进行的渗透攻击，并导致病毒等恶意行为在网络内传播蔓延。
●虚拟机之间进行的ARP攻击、嗅探。
●云内网络带宽的非法抢占。
●重要的网段、服务器被非法访问、端口扫描、入侵攻击。
●云平台管理员因账号被盗等原因导致的从互联网直接非法访问云资源。
●内部用户或内部网络的非法外联。
●内部用户之间或者虚拟机之间的端口扫描、暴力破解、入侵攻击等。
②主机攻击问题
云环境下，用户的业务都由云主机承载，云主机的安全问题将直接威胁到用户的整个业务系统的安全性，通常云环境下存在以下安全风险：
●服务器、宿主机、虚拟机的操作系统和数据库被暴力破解、非法访问。
●对服务器、宿主机、虚拟机等进行操作管理时被窃听。
●同一个逻辑卷被多个虚拟机挂载导致逻辑卷上的敏感信息泄露。
●服务器、宿主机、虚拟机的补丁更新不及时导致的漏洞利用以及不安全的配置和非必要端口的开放导致的非法访问和入侵。
●虚拟机因异常原因产生的资源占用过高而导致宿主机或宿主机下的其它虚拟机的资源不足。
③应用安全威胁
云环境下，客户的云上应用面临各种安全问题：
●Web应用入侵、上传木马、上传webshell等攻击。
●网页被恶意篡改，展示敏感或不当内容。
●应用对外接口被利用，对云平台进行攻击。
●应用系统健康状况不明确。
④数据安全威胁
云环境下，客户的业务都是以数据的形式承载于云计算平台上，数据是云平台上最重要的资产。云上的数据安全通常存在以下风险：
●数据在传输过程中受到破坏而无法恢复。
●在虚拟环境传输的文件或者数据被监听。
●云用户从虚拟机逃逸后获取镜像文件或其他用户的隐私数据。
●因各种原因或故障导致的数据不可用。
●敏感数据存储漂移导致的不可控。
●数据安全隔离不严格导致恶意用户可以访问其他用户数据。
2.2、云安全域传统安全相对比详述了云安全的风险和挑战之后，与传统安全相比，又有哪些异同呢？可以以网络安全防护对象为切入点，从安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心等个层面进行对比分析。具体对比可参考如下：
网络层面
云计算环境防护对象
传统信息系统防护对象
安全物理环境
机房及基础设施
机房及基础设施
安全通信网络
网络通信设备，综合网管系统，网络架构，网络管理员，校验和密码设备，审计系统、云计算平台、云管理平台
网络通信设备，综合网管系统，网络架构，网络管理员，校验和密码设备，可信验证设备，集中审计系统
安全区域边界
网闸、防火墙、路由器、交换机和无线接入网关等边界访问控制设备，终端管理系统，网络拓扑，无线网络设备、虚拟化网络边界设备、虚拟机、宿主机
网闸、防火墙、路由器、交换机和无线接入网关等边界访问控制设备，终端管理系统，网络拓扑，无线网络设备
安全计算环境
操作系统、网络设备、安全设备、管理终端、移动终端、移动终端管理系统、网关节点设备、控制设备、业务应用系统、数据库、中间件、系统管理软件、配置数据和业务数据、云计算平台、虚拟机、虚拟机迁移记录、云管理平台、虚拟机镜像、快照、存储设备
操作系统、网络设备、安全设备、移动终端、移动终端管理系统、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件、系统管理软件、配置数据和业务数据
安全管理中心
系统管理系统，审计系统，网络架构，网络设备，云管理平台
系统管理系统，审计系统，网络架构，路由器、交换机、防护墙、安全管理系统
从上述对比可以发现，云安全实则为涵盖传统安全+虚拟化等云技术所引入的新的安全问题的集合。
2.云安全架构2..1云安全参考标准云安全可以参考的标准依据有很多，但常见的有：CSA云计算关键领域安全指南、网络安全等级保护（重点参考）、GB/T-《信息安全技术云计算安全参考架构》等系列等。
首先简介CSA云安全联盟发布的云计算关键领域安全指南。CSA云安全联盟旨在促进云计算领域内安全保障的最佳实践，并为寻求采用云计算模式的组织提供一个实用的、可执行的路线图。该指南汇总提炼了云安全的1个安全领域，这1个安全域分为两大类，治理（governance）和运行（operations）。治理域范畴很广，解决云计算环境的战略和策略问题，而运行域则更