DB44DB44/T1458—2014云計(jì)算基礎(chǔ)設(shè)施系統(tǒng)安全規(guī)范2014-11-10發(fā)布2015-02-10實(shí)施廣東省質(zhì)量技術(shù)監(jiān)督局發(fā)布1本標(biāo)準(zhǔn)規(guī)定了云計(jì)算基礎(chǔ)設(shè)施系統(tǒng)安全的物理環(huán)境安全、存儲和虛擬化存儲安全、網(wǎng)絡(luò)和虛擬化網(wǎng)絡(luò)安全、主機(jī)和虛擬化主機(jī)安全、云平臺管理系統(tǒng)安全及終端和虛擬化終端安全六個方面的要本標(biāo)準(zhǔn)適用于指導(dǎo)組織在云計(jì)算基礎(chǔ)設(shè)施系統(tǒng)的安全規(guī)劃、設(shè)計(jì)、實(shí)現(xiàn)和運(yùn)行維護(hù)過程中，開下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級虛擬基礎(chǔ)設(shè)施是在物理基礎(chǔ)設(shè)施的基礎(chǔ)上利用虛擬化技術(shù)構(gòu)建的虛擬設(shè)施，包括虛擬化存儲、2化化網(wǎng)絡(luò)、主機(jī)和虛擬化主機(jī)、云平臺管理系統(tǒng)、終端及虛擬化終端的安全要求，主要通過在云計(jì)管理系統(tǒng)、終端及虛擬化終端采取安全措施時，應(yīng)考慮總體性要求，需構(gòu)建縱深的防御互、依賴、協(xié)調(diào)、協(xié)同等相互關(guān)聯(lián)關(guān)系，保證各個安全控制措施共同綜合作用于云計(jì)算基礎(chǔ)設(shè)施的保證分散于物理環(huán)境、存儲和虛擬化存儲、網(wǎng)絡(luò)和虛擬化化網(wǎng)絡(luò)、主機(jī)和虛擬化主機(jī)、云平臺管理系統(tǒng)、終端及虛擬化終端的安全功能在統(tǒng)一策略的指導(dǎo)下實(shí)現(xiàn)，各個安全控制措施在可控情況下發(fā)根據(jù)云計(jì)算基礎(chǔ)設(shè)施承載業(yè)務(wù)系統(tǒng)的重要性，其物理安全應(yīng)符合c)在公共場所使用移動終端，應(yīng)防止移動終端丟失，防止查看信息時被拍照，遠(yuǎn)離非授權(quán)人3a)云存儲系統(tǒng)應(yīng)采用成熟的密鑰管理方案，對密鑰的生命周期（產(chǎn)生、使用、存儲、備份、b)云存儲系統(tǒng)應(yīng)在存儲、傳輸和備份中都采用密鑰保護(hù)措施，建立安全的密鑰分配機(jī)制和密a)根據(jù)云計(jì)算基礎(chǔ)設(shè)施承載業(yè)務(wù)系統(tǒng)b)合理設(shè)計(jì)總體網(wǎng)絡(luò)結(jié)構(gòu)，合理設(shè)計(jì)虛擬化網(wǎng)絡(luò)結(jié)構(gòu)和物理網(wǎng)絡(luò)結(jié)構(gòu)，確保網(wǎng)絡(luò)設(shè)備和鏈路c)合理設(shè)計(jì)網(wǎng)絡(luò)安全區(qū)域，確保安全域之間的安全網(wǎng)絡(luò)隔離，如重要云平臺管理服務(wù)器、虛d)應(yīng)依據(jù)業(yè)務(wù)服務(wù)的重要程度劃分不同服務(wù)等級，設(shè)計(jì)合理帶寬分配優(yōu)先級，確保主要業(yè)務(wù)a)應(yīng)綜合考慮業(yè)務(wù)、管理和安全等各方面的因素，對云計(jì)算基礎(chǔ)設(shè)施系統(tǒng)的網(wǎng)絡(luò)劃分成不同4b)不同的安全域間采用強(qiáng)訪問控制策略和訪問控制策略進(jìn)行邏輯隔離，在虛擬化環(huán)境下，可c)同一安全域內(nèi)部應(yīng)采用統(tǒng)一的安全策略進(jìn)行保護(hù)，統(tǒng)一管理，如根據(jù)業(yè)務(wù)需要劃分子網(wǎng)，b)對進(jìn)出網(wǎng)絡(luò)的流量進(jìn)行過濾，實(shí)現(xiàn)對物理網(wǎng)絡(luò)流量、物理網(wǎng)絡(luò)和虛擬網(wǎng)絡(luò)、虛擬網(wǎng)絡(luò)內(nèi)部e)應(yīng)采用有效安全措施（如采取限制最大接入用戶數(shù)量、部署蜜網(wǎng)等），防止對網(wǎng)絡(luò)、云平a)應(yīng)在接入傳感網(wǎng)、無線網(wǎng)、互聯(lián)網(wǎng)、虛擬網(wǎng)的邊界處采取入侵檢測措施，監(jiān)控和檢測內(nèi)網(wǎng)與其他網(wǎng)絡(luò)的數(shù)據(jù)流量及網(wǎng)絡(luò)攻擊行為（如端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服）；b)在不同安全等級的安全區(qū)域間采取入侵檢測措施，檢測不同安全區(qū)域間的數(shù)據(jù)流量和攻擊c)應(yīng)修改物理網(wǎng)絡(luò)設(shè)備和虛擬網(wǎng)絡(luò)設(shè)備默認(rèn)的登錄賬戶和密碼，并通過訪問控制措施限制遠(yuǎn)b)審計(jì)記錄應(yīng)包括虛擬網(wǎng)絡(luò)安全事件的日期和時間、用戶、事件類型、事件是否成功及其他5b)操作系統(tǒng)、虛擬機(jī)和數(shù)據(jù)庫系統(tǒng)管理用戶身份不應(yīng)使用默認(rèn)標(biāo)識，口令應(yīng)有復(fù)雜度要求并e)當(dāng)對物理主機(jī)和虛擬機(jī)進(jìn)行遠(yuǎn)程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中f)應(yīng)為操作系統(tǒng)、虛擬機(jī)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一g)應(yīng)關(guān)閉虛擬化物理主機(jī)操作系統(tǒng)遠(yuǎn)程登錄方式，嚴(yán)格控制云平臺管理系統(tǒng)所在主機(jī)的遠(yuǎn)程b)應(yīng)及時刪除操作系統(tǒng)、虛擬機(jī)、云平臺管理系統(tǒng)和數(shù)據(jù)庫系統(tǒng)中多余的、過期的賬戶、避d)應(yīng)限制操作系統(tǒng)、虛擬機(jī)、云平臺管理用戶和數(shù)據(jù)庫系統(tǒng)中的默認(rèn)賬戶的訪問權(quán)限，重命g)云管理系統(tǒng)應(yīng)部署在物理主機(jī)中，c)操作系統(tǒng)、虛擬機(jī)、云平臺管理系統(tǒng)和數(shù)據(jù)庫系統(tǒng)等防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意d)應(yīng)定期對操作系統(tǒng)、虛擬機(jī)、云平臺管理系統(tǒng)和數(shù)據(jù)庫系統(tǒng)等進(jìn)行漏洞掃描、漏洞修復(fù)和6a)應(yīng)根據(jù)業(yè)務(wù)需求，實(shí)現(xiàn)主機(jī)中部署的虛擬機(jī)間的相互隔離，限制虛擬機(jī)之間共享資源或進(jìn)b)通過隔離技術(shù)實(shí)現(xiàn)不同用戶組的隔離，確a)應(yīng)對鏡像和快照進(jìn)行集中化管理，將鏡像和快照放在同一個位置，確保只有特定人員才可e)應(yīng)能檢測鏡像和快照，并對其進(jìn)行定期的更新，如打補(bǔ)丁更新、漏洞修復(fù)、防毒軟件升級c)應(yīng)修改物理主機(jī)設(shè)備或虛擬化主機(jī)設(shè)備默認(rèn)的登錄賬戶和密碼，并通過訪問控制措施限制b)審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要f)對運(yùn)行的虛擬化主機(jī)進(jìn)行安全監(jiān)控，監(jiān)控范圍包括虛擬機(jī)a)云計(jì)算虛擬化主機(jī)遷移前，應(yīng)評估遷往系統(tǒng)資源是否滿足遷移系統(tǒng)要求，是否兼容遷移系b)云計(jì)算虛擬化主機(jī)遷移前，應(yīng)評估遷往系統(tǒng)的安全保障措施是否符合遷移系統(tǒng)的業(yè)務(wù)安全7b)應(yīng)提供基礎(chǔ)設(shè)施的監(jiān)控功能，監(jiān)控網(wǎng)絡(luò)設(shè)備和虛擬化網(wǎng)絡(luò)設(shè)備、主機(jī)和虛擬化主機(jī)、存儲e)審計(jì)對云管理平臺進(jìn)行操作的情況，包括操作者ID、g)應(yīng)為云平臺管理系統(tǒng)的不同用戶分b)應(yīng)默認(rèn)開啟云平臺管理系統(tǒng)的審計(jì)功能，采取措施防止未授權(quán)對審計(jì)日志的訪問、篡改及8c)二次開發(fā)云平臺管理系統(tǒng)的接口，應(yīng)進(jìn)行代碼安全審計(jì)和安全測試，避免接口開發(fā)的應(yīng)用a)應(yīng)在數(shù)據(jù)鏈路層對接入終端(如筆記本電腦、智能手機(jī)、平板電腦、瘦客戶機(jī)等)采用有效b)應(yīng)在網(wǎng)絡(luò)層對接入終端采用有效的身份鑒別措施，要求所有接入的終端認(rèn)證成功后才能連c)應(yīng)采取合理措施，確保終端接入前，能夠檢查終端軟件安全情況，安全情況符合業(yè)務(wù)安全f)應(yīng)對登錄虛擬化終端的用戶進(jìn)行身份標(biāo)a)應(yīng)采用有效的措施檢測鏈路的連接和中斷情況，如果連接中斷能及時關(guān)閉相應(yīng)的端口和鏈c)應(yīng)限制終端賬戶的訪問權(quán)限，依據(jù)最小訪問權(quán)限原則，設(shè)置終端可訪問的流量、業(yè)務(wù)系統(tǒng)a)應(yīng)要求接入的終端及虛擬化終端安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和b)系統(tǒng)使用的惡意代碼防護(hù)軟件應(yīng)符合國家相a)應(yīng)根據(jù)終端使用用戶類別，實(shí)現(xiàn)虛擬化終端間的相互隔離，限制虛擬化終端之間共享資源b)通過隔離技術(shù)實(shí)現(xiàn)不同虛擬化終端用戶組的隔離，確9b)審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要f