概述
上一期我們講了安全擴展里面的安全物理環境、安全通信網絡和安全區域邊界，這期給大家帶來安全計算環境、安全管理中心、安全建設管理和安全運維管理部分的內容。
01
安全計算環境
身份鑒別
【云安全計算環境中的身份鑒別要求當遠程管理云計算平臺中設備時，管理終端和云計算平臺之間應建立雙向身份驗證機制】
解讀：
云計算平臺要對管理終端身份的合法性進行驗證，管理終端也要對所管理設備身份的合法性進行驗證。
訪問控制
【應保證當虛擬機遷移時，訪問控制策略隨其遷移】
解讀：
彈性擴展是云計算比較鮮明的特點，由于業務的需要，經常會涉及到虛擬機的新增、刪除以及遷移等情況，這就需要虛擬機遷移后，云平臺能夠感知遷移的目標物理機，并通過策略下發等方式保持針對該虛擬機的訪問控制策略不變，也就是訪問控制策略隨虛擬機的遷移而遷移。
【應允許云服務客戶設置不同虛擬機之間的訪問控制策略】
解讀：
這是對云平臺提出的安全能力要求，云平臺給云服務客戶提供安全資源，并將所提供安全資源的管理權限一并分配給客戶。
入侵防范
【應能檢測虛擬機之間的資源隔離失效，并進行告警】
【應能檢測非授權新建虛擬機或者重新啟用虛擬機，并進行告警】
【應能夠檢測惡意代碼感染及在虛擬機間蔓延的情況，并進行告警】
解讀：
這里是對云平臺及相關組件提出的要求，虛擬機資源包括CPU、內存和磁盤等資源，云平臺或相關組件能檢測這些資源之間的隔離措施是否有效，同時檢測虛擬機的使用及惡意代碼在虛擬機之間的蔓延情況，發現異常情況時及時進行告警并處置。
鏡像和快照保護
【應針對重要業務系統提供加固的操作系統鏡像或操作系統安全加固服務】
解讀：
這里要求對重要業務系統提供安全的操作系統，生成加固過的虛擬機鏡像，如關閉不必要的端口、服務，且進行了安全配置的加固。
【應提供虛擬機鏡像、快照完整性校驗功能，防止虛擬機鏡像被惡意篡改】
解讀：
這里要求對生成的鏡像或快照文件進行完整性校驗，并具有嚴格的校驗記錄機制，防止虛擬機鏡像或快照被惡意篡改。
【應采取密碼技術或其他技術手段防止虛擬機鏡像、快照中可能存在的敏感資源被非法訪問】
解讀：
這里要求對虛擬機鏡像或快照中的敏感資源采用加密、訪問控制等技術手段進行保護，防止非法訪問。
數據完整性和保密性
【應確保云服務客戶數據、用戶個人信息等存儲于中國境內，如需出境應遵循國家相關規定】
【應確保只有在云服務客戶授權下，云服務商或第三方才具有云服務客戶數據的管理權限】
【應使用校驗碼或密碼技術確保虛擬機遷移過程中重要數據的完整性，并在檢測到完整性受到破壞時采取必要的恢復措施】
【應支持云服務客戶部署密鑰管理解決方案，保證云服務客戶自行實現數據的加解密過程】
解讀：
這里首先對客戶數據及用戶個人信息存儲的地理位置做了要求，必須存儲于中國境內，如需出境應遵循國家相關規定，目前我們國家正規化出臺個人信息出境安全評估辦法，保障數據跨境流動中的個人信息安全；其次對云服務商管理客戶數據的權限進行了限定，保障了云服務客戶對自己業務數據的所有權；最后要求通過校驗碼、密碼技術來保證數據在傳輸和使用過程中的完整性和保密性。
數據備份恢復
【應提供查詢云服務客戶數據及備份存儲位置的能力】
解讀：
這是對云計算平臺提出的要求，考慮到云計算環境下，數據的物理存儲位置較為模糊，云平臺應提供查詢數據及備份存儲位置的能力。
【云服務商的云存儲服務應保證云服務客戶數據存在若千個可用的副本，各副本之間的內容應保持一致】
解讀：
云平臺自身也要提供客戶數據備份功能，且備份的數據不能在同一物理服務器。
【應為云服務客戶將業務系統及數據遷移到其他云計算平臺和本地系統提供技術手段，并協助完成遷移過程】
解讀：
這條要求目的是使客戶擺脫對某一云服務商的依賴，要求云平臺統一標準和接口，使客戶業務和數據能夠在不同云服務商之間或者云平臺和本地靈活遷移，有效保護云服務客戶的權益。
剩余信息保護
【應保證虛擬機所使用的內存和存儲空間回收時得到完全清除】
【云服務客戶刪除業務應用數據時，云計算平臺應將云存儲中所有副本刪除】
解讀：
在云計算環境中，存儲客戶數據的存儲介質由云服務商控制，客戶不能直接管理和控制存儲介質，當客戶退出云計服務或刪除某個虛擬機時，云服務商應完全清除客戶數據，包括備份數據和運行過程中產生的客戶相關的數據，進行介質清理，不可清理的介質應物理銷毀，保障客戶數據的隱私安全。
02
安全管理中心
【應能對物理資源和虛擬資源按照策略做統一管理調度與分配】
解讀：
云計算環境的多客戶、多業務的特點，決定了其資源的分配及策略的調整需集中進行自動化調度與分配，以減輕運維人員的負擔。
【應保證云計算平臺管理流量與云服務客戶業務流量分離】
解讀：
這里要求對云計算平臺上的資源進行帶外管理，通過獨立于客戶業務網絡之外的專用管理通道對云計算平臺上的資源進行管理，以使云平臺的管理流量與客戶的業務流量分離。
【應根據云服務商和云服務客戶的職責劃分，收集各自控制部分的審計數據并實現各自的集中審計】
解讀：
這里是對云計算平臺、綜合審計系統或相關組件提出的要求，由于審計數據包含了網絡運行過程中的所有關鍵信息，因此要求云服務商與云服務客戶分別各自收集，并實現各自的集中審計，最大限度的保護審計數據中的敏感信息不會遭到泄漏。
【應根據云服務商和云服務客戶的職責劃分，實現各自控制部分，包括虛擬化網絡、虛擬機、虛擬化安全設備等的運行狀況的集中監測】
解讀：
云服務商和云服務客戶各自負責各自控制資源的運行狀況集中監測。
03
安全建設管理
·云服務商選擇
【應選擇安全合規的云服務商，其所提供的云計算平臺應為其所承載的業務應用系統提供相應等級的安全保護能力】
【應在服務水平協議中規定云服務的各項服務內容和具體技術指標】
【應在服務水平協議中規定云服務商的權限與責任，包括管理范圍、職責劃分、訪問授權、隱私保護、行為準則、違約責任等】
【應在服務水平協議中規定服務合約到期時，完整提供云服務客戶數據，并承諾相關數據在云計算平臺上清除】
【應與選定的云服務商簽署保密協議，要求其不得泄露云服務客戶數據】
解讀：
合規的云服務商是指通過權威機構安全審查的云服務商，客戶在將業務部署或遷移至云計算平臺之前，應對云服務商的資質進行審核，并確保其云平臺的安全保護級別不低于客戶業務系統的安全保護級別；同時由于目前缺乏有效的機制、標準或工具來對云服務商的各項數據與業務相關的安全責任進行檢查和約束，所以客戶要與云服務商簽署服務水平協議、保密協議等，明晰云服務商的安全職責、行為準則以及違約責任等。
·供應鏈選擇
【應確保供應商的選擇符合國家有關規定】
【應將供應鏈安全事件信息或安全威脅信息及時傳達到云服務客戶】
【應將供應商的重要變更及時傳達到云服務客戶，并評估變更帶來的安全風險，采取措施對風險進行控制】
解讀：
云計算環境是一個較為復雜的環境，涉及許多廠商的產品和組件，因此云服務商在對其云平臺進行開發和相關產品和組件的采購時，要充分考慮安全需求，對產品和供應商的相關資質進行審核，對供應商提出相應的安全要求，確保供應商采取了必要的安全措施，云服務商還應要求供應商提供其產品和組件安全事件信息或安全威脅信息以及有關安全措施的文檔信息，并及時傳達到云服務客戶，供應關系變更時，云服務商應將變更信息、變更帶來的風險評估及采取的風險控制及時告知客戶。
04
安全運維管理
安全運維中的云計算環境管理要求云計算平臺的運維地點應位于中國境內，境外對境內云計算平臺實施運維操作應遵循國家相關規定。
總結
等保2.0云計算安全擴展要求中的安全管理中心、安全建設管理和安全運維管理，云計算安全擴展要求中的內容需要大家注意的是，云計算安全擴展要求是滿足通用安全要求的基礎上，針對云計算的特點提出特殊保護要求。
CIIP-A（云計算安全）的知識體系是以等級保護相關政策法規為指導，以重要信息系統保障為核心，基于等級保護相關崗位技能需求，以等級保護相關標準體系為主線，根據云計算安全崗位的工作任務特點而系統化的梳理而成。
想要學些更多云計算安全知識的同學，可以點擊文末“閱讀原文”。