政务云安全概述
随着政务云建设在全国如火如荼的进行，不但政务要上云，更要考虑业务上云以后安全稳定的运行；政务云安全的建设需要打消云租户的安全顾虑，同时也要满足监管单位对政务云安全的监管要求。那么，面对政务云安全建设的方方面面，到底如何才能做得更好呢？
通过绿盟科技云计算安全解决方案在多个政务云安全项目落地，我们分享一些自己的经验同时也算是抛砖引玉，为其他政务云安全建设提出一些指导性建议。
项目建设面临的风险
对于政务云而言，整个建设包括云计算基础设施、云计算服务、云计算安全等等，政务云安全主要面临的风险有以下三个方面，分别是云计算安全技术风险、合规监管的强需求、政务云建设有限的安全预算。
1、云计算技术安全风险
当政务与云计算相遇，推动了电子政务向云计算模式应用快速转变，在计算、存储、网络等享受着云计算带来的便利的同时，也引入了新的安全风险。其中虚拟化技术的带来了虚拟化网络的不确定性，虚拟机位置动态变化，可能位于不同物理服务器上，网络边界动态变化，单个业务域位于单服务器内或者多台服务器之间。传统的网络设备无法防护虚拟化内部的网络流量，更无法检测虚拟化内部的网络威胁，虚拟主机之间缺乏有效防护手段。此外，传统的数据安全风险、安全管理风险等依然存在。
2、合规监管的强需求
自云计算在国内发展开始，国家相关的政策、法规就在不断的完善中，政策层面从2015年的《关于促进云计算创新发展培育信息产业新业态的意见》、《关于加强党政部门云计算服务网络安全管理的意见》到2016年《关于加快“互联网+政务服务”工作的指导意见》，同年人大常委会发布《网络安全法》从法律层面重视对网络安全的保障，而后《国家电子政务外网标准-政务云安全要求》、《GBT22239-2019信息安全技术网络安全等级保护基本要求》等等相继出台。建设政务云有了指导标准，安全技术要求有了衡量的尺度。
3、政务云建设有限的安全预算
根据IDC、Gartner等咨询机构推测私有云行业发展趋势的报告，参照过去几年IT基础设施的软硬件的投入比例，一般安全投入占IT基础设施总投入的2~5%，有限的安全预算面对方方面面的安全要求应该如何进行合理的分配，又或者说在安全建设的过程中那些关键的要求应值得我们关注，我们将通过建设过程中的关键要素进行逐一的分析。
建设过程的关键要素
政务云建设应遵循顶层设计的原则，统筹规划云计算建设方案及云安全建设方案。云安全建设方案应以保障云平台安全运行为基础，为政务云客户提供安全服务；政务云平台的服务对象主要面对区域的厅局委办，每个厅局委办由于业务的独立性需要相互之间进行隔离，每个厅局委办根据自己的业务系统来划分相应的内部分区和安全策略；另外，政务云的集约化建设前提下，厅局委办多以购买服务的方式上云，政务云平台除了满足IT资源服务化以外，还需要提供安全资源服务化，通过自服务门户让各厅局委办自己来管理自己的安全策略。
在顶层设计的原则下，技术措施相应落地实施；根据政务云平台的网络划分进行边界检测与防护，政务云内按照业务区域划分不同的安全域，安全域之间进行网络隔离和访问控制；虚拟化层面采用虚拟安全设备保证区域的隔离和检测，采用安全资源池技术为政务云客户提供安全服务，保障客户的安全按需自主可控和合规性监管要求。
国内政务云的目前还处于基础设施投入中，多数的政务云还没有向服务运营转变，而“三分建设、七分运维”正是在强调建设完成后运营运维的重要性，如何依托软硬件更好的为政务云客户提供服务，更好的发挥云计算的作用成为了政务云建设的一个关键。
政务云安全案例剖析
某地市政府部门推进信息化建设，越来越多的政务信息系统将迁移到政务云中，信息系统中涉及到市各委办厅局的重要信息，如何保障信息系统安全，是政务云急需面对和解决重要挑战。绿盟科技云计算安全解决方案助力某地市政务云安全建设，通过与市政府、云服务商等参与方多方协调，提出了本次政务云安全建设的两个重要的目标和挑战，一、作为政务应用的承载体，政务云应严格按照国家及行业安全标准规范设计建设，安全合规；二、安全能力建设应契合云计算的特点，为各委办厅局提供丰富的、弹性的、按需的云安全服务。
总体架构设计
“绿盟星云”NCSS云计算安全解决方案遵循以业务为中心，风险为导向，基于纵深主动防护思想，综合考虑云平台安全威胁、需求特点和相关要求，对安全防护体系架构、内容、实现机制及相关产品组件进行了优化设计，从管理和技术两个方面充分保障政务云安全。
图 1总体架构设计
硬件边界安全防护
在政务云与互联网边界通过传统物理手段，部署NTA（流量分析系统）、ADS（抗Ddos攻击系统）和IPS（入侵保护系统）等设备，对异常流量进行检测和清洗，对各种网络攻击进行检测和阻断。政务云内部基于安全域的划分，可以采用合理的手段进行政务云平台区域边界的安全防护。
图 2硬件边界防护
虚拟化层安全防护
1、虚拟化网络安全
在政务云虚拟化网络层面，我们通过在云计算节点上部署安全虚机利用虚拟化防火墙进行不同粒度的边界隔离和防护；利用虚拟化入侵检测系统进行网络异常检测；另外，在政务云互联网区域的web服务器上部署HWAF提供网页防篡改能力，在互联网域之前利用虚拟化Web应用防护进行web防护；在公共服务区域服务器主机上部署EDR、防病毒等来针对主机层面的风险进行安全防护
采用远程安全评估系统（RSAS）对云平台、虚拟机进行安全评估，针对软硬件资产进行脆弱性扫描，及时发现现有资产安全缺陷并及时处理，有效保护资产的安全。
2、多租户安全
本项目的政务云客户为各厅局委办的业务系统及公众服务门户，厅局委办不但要保证业务的稳定运行也要满足监管合规的需求。另外尤为重要的是对于安全策略、安全事件等需要及时掌握，自主可控。绿盟科技基于绿盟星云NCSS云计算安全解决方案，基于网络功能虚拟化将安全资源聚集起来构建资源池，通过资源池控制层对虚拟化资源进行封装调度，上层提供政务云租户服务门户，政务云租户可以通过服务门户按需向资源池申请安全服务；
资源池支持利旧的传统硬件安全设备和虚拟安全设备等类型的安全资源，接受资源池控制器的管理，对外提供相应的安全能力。安全资源池包含了虚拟化防火墙、入侵防御、入侵检测、WEB应用防护、安全审计、日志审计、WEB安全扫描、主机安全扫描、主机防病毒、终端检测与响应等安全组件。
通过这些丰富的安全能力不但能满足客户的合规监管需求如等级保护、网站集约化防护等，还可以保障业务系统安全的运行。
图 3多租户安全服务
安全运营平台
建立安全运营平台为政务云的运行维护提供有力支撑工具，依托大数据安全、智能威胁研判、基于情报的漏洞管理、威胁情报平台、海量数据存储与分析、云安全管理平台，覆盖了边界控制、评估分析、威胁防护、监测预警、合规治理等全面的安全管控界面。
安全运营平台以广义安全资源池作为依托，资源池内各类型安全能力提供防护、监测、检测能力及安全数据，这些作为中间层安全控制平台层面的输入，满足数据分析、服务编排等技术要求；安全控制平台层面由各类型控制模块组成，绿盟星云NCSS云安全集中管理系统作为政务云安全的运行保障，控制广义资源池安全能力为上层运营体系提供服务能力； NCSS协同绿盟科技智能安全运营平台为政务云提供运营服务，通过资源池虚拟化能力、云端SAAS能力提供政务云安全增值服务，并且通过组合资源池能力满足政务云客户等级保护合规性要求，通过本地运营团队打通基于云地的数据分析服务和运维服务；并尝试通过与政务云服务商合作运营的模式，结合技术和管理更好的构建政务云安全运营体系，为政务云客户提供完善的安全保障。
图 4安全运营体系
安全运维服务
通过完善的运维服务体系设计，消除“鸡蛋放在一个篮子里面”的安全风险。政务云安全运维正是需要依托云服务商、安全厂商、监管机构等共同努力；在安全厂商方面针对云计算的特性，打造政务云服务三部走，即上云阶段、在云阶段、退云阶段；
针对不同阶段设计安全服务例如上云阶段，注重为政务云客户业务系统基线核查，环境的安全检查；政务云业务在云阶段注重安全运行的监控、安全巡检、策略调优、应急处置等；政务云业务迁移或者退云阶段，注重政务云客户数据清理、资源回收、服务关闭等等。
图 5绿盟科技安全服务体系
客户收益
建立完善的运营、运维体系
基于云边界防护、云内防护、统一管理，“三步走”设计原则，建设一套从点到面的全方位防护体系，为政务云平台及政务云客户从基础云环境到租户安全提供持续全面地安全保障。
实现安全的集中运维
利用绿盟星云NCSS云安全管理系统对安全资源池内所有资源进行统一管理，统一监控，虚拟化设备生命周期的管理，查看整个安全资源池的运行状态和日志报表展现。简单、易用的运维平台可对云内虚拟化安全设备进行统一运维管理，可大幅度降低客户运维成本的投入，提高运维管理效率。
政务云安全责任清晰
相比其他的行业云，政务云服务商和云租户更加看重合规和监管的要求，基于此种场景，政务云安全易于采用云服务商与云租户责任共同承担的模式，依据法律法规等合规要求将属于云租户负责的安全要求交由云租户自行运维管理。
绿盟云安全解决方案通过分离运维与租户管理访问权限，提供租户服务门户将安全能力提供给云租户自行选择，从而在责任界定上清晰可见，避免了责任不清出现的推诿扯皮。
满足监管合规要求
绿盟云计算安全解决方案给云平台、云租户实现共赢带来可能，云平台在建设符合等级保护要求的同时，也满足了云租户的要求；通过资源池服务的方式将安全能力提供给租户使用。通过构建安全监测、识别、防护、审计和响应的综合能力，有效抵御相关威胁，使客户在向云迁移及使用云服务的过程中满足监管与合规性要求。
安全增值可运营
云平台在满足自身安全需求的同时，将安全资源变成安全服务提供给租户，使租户可以像购买计算、存储、网络等资源一样，按需选择；另一方面，云平台也可以获得持续的收益，从而补强云平台的安全能力，形成一个良性循环。
总结
通过对政务云安全案例从点到面的剖析，我们可以发现选择一个优秀的政务云安全解决方案是成功的一半，让政务云服务商在建设过程、后期运营中都感受到专业、可靠的安全体验。
最后总结一下绿盟科技云计算安全解决方案所带来的价值：我们用绿盟科技的技术积累为政务云客户打造成熟稳定的解决方案，用绿盟科技云地协同的运营服务保障建设完成后安全稳定运营。
