隨著《網(wǎng)絡(luò)安全等級保護(hù)基本要求》等系列標(biāo)準(zhǔn)的發(fā)布，標(biāo)志著國家網(wǎng)絡(luò)安全要求進(jìn)入了2.0的時代。2.0要求和1.0相比，最大的變化莫過于涵蓋了云計算、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新的技術(shù)領(lǐng)域。尤其是在云計算安全方面，業(yè)務(wù)、數(shù)據(jù)等上云后，安全問題不再由用戶方獨(dú)立負(fù)責(zé)，更多的依賴云平臺的安全防護(hù)等級以及能夠提供的安全能力。云計算安全擴(kuò)展要求即“云等保”的出臺，無疑為云安全建設(shè)思路指明了方向。
和通用安全要求一致，云計算安全也將圍繞“一個中心，三重防護(hù)”的思路進(jìn)行建設(shè)。一個中心指安全管理中心，三重防護(hù)包括安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全技術(shù)環(huán)境。“云等保”中也重點(diǎn)對這四個方面進(jìn)行了詳細(xì)的要求闡述。但又與傳統(tǒng)網(wǎng)絡(luò)不同，云計算環(huán)境中存在云平臺和租戶多重視角，從而使得云網(wǎng)絡(luò)更加立體，防護(hù)手段也需多維立體。
圖1 一個中心三重防護(hù)思路框架
1.云等保對云網(wǎng)絡(luò)安全建設(shè)方案提出的新挑戰(zhàn)
1、云網(wǎng)絡(luò)如何分區(qū)分域？
分區(qū)分域一直以來都是等保要求的核心保障，做好區(qū)域劃分是網(wǎng)絡(luò)安全等級保護(hù)的第一步。而云計算網(wǎng)絡(luò)的優(yōu)勢則是動態(tài)的、彈性的、可擴(kuò)展、可遷移的，難以將邊界固定下來。業(yè)務(wù)上云后，如何進(jìn)行安全域的劃分和隔離，一直是困擾用戶的問題。
2、云租戶如何配置安全策略？
傳統(tǒng)網(wǎng)絡(luò)中，安全的建設(shè)和運(yùn)維僅由用戶獨(dú)立負(fù)責(zé)，用戶方管理員可直接維護(hù)安全策略；而云網(wǎng)絡(luò)中，安全產(chǎn)品主要部署在云中，用戶接觸不到實(shí)際環(huán)境，對用戶來說可能形成一個管理盲區(qū)，用戶方作為其中一個租戶，無法完全自主掌控策略。而云等保則要求“應(yīng)具有根據(jù)云服務(wù)客戶業(yè)務(wù)需求自主設(shè)置安全策略的能力”，對租戶維度的策略管理能力提出了明確的要求。
3、如何通過云平臺實(shí)現(xiàn)安全資源的統(tǒng)一管理？
等保2.0和1.0相比，著重強(qiáng)調(diào)了集中管控，要求“應(yīng)能對物理資源和虛擬資源按照策略做統(tǒng)一管理調(diào)度與分配”。云計算環(huán)境中，存在資源分配、調(diào)度等操作，管理、維護(hù)成本更高。另外，云網(wǎng)絡(luò)與傳統(tǒng)網(wǎng)絡(luò)相比又增加了運(yùn)營屬性，如果能在云平臺上實(shí)現(xiàn)安全資源的統(tǒng)一管理，更有利于完善計費(fèi)體系，形成一體化的運(yùn)營。
2.新華三云等保解決方案
紫光旗下新華三集團(tuán)（以下簡稱新華三）通過多年網(wǎng)絡(luò)安全領(lǐng)域技術(shù)的積累并結(jié)合豐富的云計算項(xiàng)目建設(shè)經(jīng)驗(yàn)，提出了“云網(wǎng)安一體化”建設(shè)方案。通過將安全資源池與云平臺的深度融合，形成“一個云平臺三種資源池”的云安全等級保護(hù)解決方案。
圖2 云安全等級保護(hù)方案
三種資源池包括了防護(hù)資源池、檢測資源池、運(yùn)維審計資源池，一個云平臺指的是僅需通過一套云管理平臺即可實(shí)現(xiàn)安全資源、網(wǎng)絡(luò)資源、計算資源的統(tǒng)一管理。安全能力覆蓋區(qū)域隔離、通信加密、邊界防護(hù)、訪問控制、身份鑒別、安全審計、病毒防范、入侵防范、運(yùn)維審計、集中管控、漏洞管理、系統(tǒng)加固等。
新華三云安全等級保護(hù)方案，將安全和網(wǎng)絡(luò)打通形成有效的邊界防護(hù)，利用VPC技術(shù)以及安全服務(wù)鏈技術(shù)實(shí)現(xiàn)云網(wǎng)絡(luò)的分區(qū)分域，通過東西防護(hù)資源池與SDN控制器的配合完成VPC內(nèi)部的區(qū)域劃分，進(jìn)而形成虛擬數(shù)據(jù)中心的三級網(wǎng)絡(luò)劃分。
新華三多年來一直致力于打造安全即服務(wù)的云計算平臺，將安全能力資源化，并作為一種云端服務(wù)提供給租戶。租戶登錄云平臺后即可同時申請網(wǎng)絡(luò)、計算、存儲、安全等多種資源，并可以在云平臺上直接配置和管理，即可滿足等保要求的安全策略管理和集中管控要求，又能按需購買、靈活部署，進(jìn)而實(shí)現(xiàn)成本投入的合理規(guī)劃。
圖3 安全即服務(wù)
3.新華三云等保解決方案的價值
新華三云等保解決方案的設(shè)計充分考慮了網(wǎng)絡(luò)安全等級保護(hù)的基本要求和安全設(shè)計要求，為用戶打造即合規(guī)，又實(shí)用的安全云環(huán)境。新華三能為用戶帶來的價值包括：
1、整體交付
新華三是為數(shù)不多的具備云、網(wǎng)絡(luò)、安全整體交付能力的綜合廠商。云、網(wǎng)絡(luò)、安全深度融合，形成安全與網(wǎng)絡(luò)協(xié)調(diào)聯(lián)動、安全和云的高度集成?？商峁┩暾慕桓斗桨浮?/span>
2、安全合規(guī)
新華三云等保解決方案充分適配等保要求，除安全技術(shù)能力外，還具備強(qiáng)大的安全服務(wù)能力，能更好的應(yīng)對等保要求中安全技術(shù)和安全管理兩大部分。同時，安全服務(wù)能力也與云平臺形成聯(lián)動，用戶可在云端申請安全專家服務(wù)，即可體驗(yàn)風(fēng)險評估、安全協(xié)維、滲透測試、應(yīng)急響應(yīng)等服務(wù)。
3、成本節(jié)約
新華三云等保解決方案以軟件定義安全為核心，將安全服務(wù)化。用戶可以根據(jù)自身業(yè)務(wù)安全等級的需求，按需使用，而不需要按傳統(tǒng)方式前期購置大量的軟硬件設(shè)備，大大地節(jié)約了成本。
