政务云安全体系建设面临的挑战及应对之道

最近，国家互联网应急中心发布的《2018年中国互联网网络安全报告》，报告显示云平台成为发生网络攻击的重灾区，究其原因是大量系统部署在云上，会涉及国计民生、企业运营的数据和用户个人信息，成为攻击者攫取经济利益的目标，而这些系统本身对网络安全防护也不重视。

（图片来源于网络）

现在，政务云作为电子政务的关键信息基础设施，承载着国家、省、市等各级、各领域政务信息系统和数据，如果政务云成为攻击的目标，会不会出现同样的状况，如果真是如此，其后果将会更加严重。我们很有必要为政务云建设完善的网络安全防护体系，确保政务云安全、稳定的运行。

接下来我们将分析和思考政务云安全体系建设面临的挑战，寻求应对之策。

一.威胁和风险分析

1. 同样的风险，扩大的影响

正是由于集中部署、资源复用等特点，云计算在帮助政府解决资源重复建设、信息条块分离等问题方面，发挥了积极的作用，逐渐被广泛应用于电子政务领域。正可谓“成也萧何败也萧何“，云计算在推动电子政务良性发展的同时，使电子政务面临的安全威胁也发生了变化。

推行“互联网+政府服务”以来，越来越多的政务服务通过互联网向企业和群众开放，帮助政府改善了营商环境和降低了群众办事难度。然而，互联网上所遭受到DDoS攻击、网页被篡和恶意程序等传统网络攻击行为，也可能会影响着政务信息系统，而且由于集中规模部署、资源共享复用和网络边界变化等因素，使这些攻击行为造成的影响更大。目前，政务服务改革进入深水区，数据交换和信息共享已经是信息化建设重点，当各级政府和各领域政务数据聚集在政务云上时，务必要实现数据交换的端到端安全防护，确保政务数据安全和关键业务正常运行。

更让我们担心的是零日攻击和APT攻击等未知威胁，以及云计算引入的网络流量不可见等风险，对政务云平台的安全威胁。我们可以想象：当政务云平台的某一组件出现漏洞将会发生什么。以虚拟化漏洞为例，利用虚拟化漏洞可以获取宿主机上其他虚拟机的信息、宿主机被控制从而发起其他攻击，甚至是宿主机崩溃，影响其他虚拟机的正常运行。也就是说，这时受影响的不是单个政务信息系统，将会是整个政务云的稳定运行，其上运行的政务信息系统和政务数据将难言安全。

如何才能从容应对这些风险呢？

2 ．交付与响应，效率不足

我们可能会想，传统安全防护体系是否可以继续发挥作用？答案是肯定的，但是否适合云计算模式呢？政务云发展之初，主要是考虑利用云计算来提升资源利用率和促进信息共享；随着应用的深入，利用政务云来提升效率将会逐步成为重点，也就是说我们更应该考虑如何更好的利用云计算，简化政务信息系统上云难度，快速应对政务信息系统的需求变化，推动“互联网+政务服务”。这时候，仍然采用传统安全防护措施和手段，就不太合适了。

云计算带来最大变化是将传统IT交付方式转化服务交付方式，政务信息系统上云时，只需要按需申请计算服务、存储服务和网络服务等，就可以快速完成政务信息系统的部署和上线，当服务能力不足时，申请扩展就可以快速支撑政务信息系统变化，IT管理人员有了更多的时间和精力来优化和改善信息系统。那么安全是否也可以转化为安全即服务呢？当对政务信息系统进行防护时，只需点点鼠标就可以完成安全服务的交付和应用，当安全风险发生变化时，动态调整防护能力和防护策略，让安全运营人员快速消除安全风险。

其实，我国政务云主要是由云服务商来建设和运营的，运营对象不仅仅是政务云平台，而且还会包括各委办局的政务信息系统。此时，安全运营人员面对的将是大量的安全设备和政务信息系统，以及他们产生的海量安全日志和安全事件，单纯靠人工来完成运营已不现实，势必也会留下安全隐患。而且，越来越多的新型或未知威胁更是增加了他们的运营难度。为了提升安全运营效率，采用新技术和产品，改变传统被动的攻防模式，也就成为政务云安全的新诉求。

发生这样的变化，政务云的合规自然也就不那么乐观。

3. 未尽职责，难言合规

随着政务云应用的深入，与之相关的标准和法规逐步完善，现在已经形成了包括网络安全法、电子政务外网安全系列标准、云计算服务网络安全审查系列标准和网络安全等级保护系列标准等合规体系。不难看出，相较于其他行业，政务领域的合规性要求相对比较高，也确实有助于规范和完善政务云的安全防护。

合规体系中两个比较重要的标准，《GB/T 31168-2014 信息安全技术 云计算服务安全指南》和网络安全等级保护系列标准，传递了一个重要观点：政务云安全需要云服务商和各委办局共同履行安全职责，这也是当下云计算安全的最佳实践。以往在政务云建设时，政府主管部门往往会对云服务商提出比较高的安全防护要求，多数服务商也会部署相应安全设备来保护政务云平台。然而，如何帮助各委办局进行政务信息系统防护方面，并没有很好的途径。今年新颁布的网络安全等级保护系列标准，除了提出新的安全要求，更是明确 “应具有根据云服务客户业务需求自主设置安全策略的能力”。不到半年时间，新标准将会正式实施，云服务商应对现有安全防护体系进行优化。

作为政务云服务的使用者，各委办局对政务信息系统的安全防护方面，也有不足之处。依据合规性要求，各委办局应承担安全管理责任，然而在政务信息系统上云时，各委办局通常认为上云后安全应该由政务云来实现，自己并不太重视安全，而政务云服务商也不了解政务信息系统实际情况，只做了基本的防护。这与相关合规性要求有一定差距，一旦发生安全事件，往往是责任不清。而且前文所提到“云平台成为发生网络攻击的重灾区”其中一个原因正是信息系统不重视安全防护，我们需要思考如何避免这类事件再次出现在政务云上。

二．解决之道：主动防护，智造安全

当我们做了很多工作，可能安全效果并不理想，或是由于网络环境发生了变化，亦或是安全观念尚未转变。承载大量政务信息系统的政务云平台，安全应该怎么做？当我们仔细分析了安全挑战之后，或许应对之策已经跃然纸上。

相对于传统IT项目，政务云建设比较复杂，需要很多参与方共同配合才能完成，安全也不例外。要实现政务云安全，就需要多方协同，其中最主要的就是云平台厂商和网络安全厂商协同，政务云服务商和各委办局协同。作为云平台厂商，在云管理平台/虚拟化等组件设计之初就应该遵循相关安全规范，比如需要实现虚拟资源隔离、剩余信息保护等，这样才能为政务云打好安全地基。作为网络安全厂商，为政务云建设提供符合国家要求的网络安全产品和解决方案。它们共同帮助政务云服务商建立一个具有完善安全防护体系的政务云平台，各委办局根据政务信息系统实际需求，选择相应安全服务，保护政务信息系统和数据，这样才能做到政务云安全。

怎样的安全防护体系才是合适的呢？互联网+政务服务得以实现的一个重点是政务数据共享交换，各领域政务数据是重中之重。政务云的安全防护体系应该更加贴近数据，除了做好网络边界防护以外，还应加强主机安全建设、应用安全建设和数据安全建设，实现一个安全的计算环境，也就是说应该为政务云平台和各领域政务信息系统打造一个纵深的安全防护体系。该体系能够覆盖从网络、主机、应用到数据等多个层次，具备从预防、防护、检测到响应等多种能力，才能应对传统安全威胁和新的安全威胁。

为了更好的应对安全风险，纵深防护体系需要注重效率，也就是应具备智能。智能的第一个体现就是实现安全服务化，可以像使用计算、存储和网络一样使用安全。安全即服务应该具备这些特点，不依赖于特定设备、自主选择安全服务、自主设置安全策略、自动化交付和弹性扩展。通过简单的操作，选择好安全服务后，自动完成服务编排，网络流量将会依次经过各安全服务进行防护，当某一防护能力不足时，弹性扩展其性能，让政务信息系统防护快捷和高效。

其次就是实现安全可视化。安全运营人员面向海量安全日志和安全事件，疲于应对。大数据和机器学习等技术已经成功应用于其它领域，现在也开始被引入到安全领域中。利用大数据分析和机器学习，统一采集、处理和分析政务云平台的各类设备日志，并与专业化安全分析模型相结合，建立政务云整体安全态势，可以帮助安全运营人员掌握安全发展趋势，消除安全误报和重复报警，发现单设备无法发现的安全风险，大大提升安全运营效率。

最后就是实现防护主动化。以往安全防护更多是被动的攻防，发现风险采取应对，及时止损。随着新型或未知威胁的增加，政务云安全更应该防患于未然，将威胁情报和大数据相结合就是比较好的方式。借助威胁情报数据，可以根据威胁发展趋势，提前确定防护重点，做到事前预防；当发生安全热门事件时，利用大数据技术，可快速确定影响范围，及时处置；以及对安全事件进行追溯和还原，从而更加主动的进行安全防护，降低安全影响。

最近，国家制定和发布了《云计算服务安全评估办法》，以此来提高党政机关、关键信息基础设施运营者采购使用云计算服务的安全可控水平；网络安全等级保护制度年底也将正式实施，无不说明政务领域更应该要安全的使用云计算。政务云安全防护建设正是为了保障政务信息系统和政务数据的安全，当我们做到了以上几点，合规也就顺道渠成。

安全之路，从无坦途，亦无终点。网络环境持续在变、合规性要求逐步增强、挑战在继续，政务云安全防护还需不断探索和应对。

转载在安全加：http://toutiao.secjia.com/article/page?topid=111863