云计算安全说丨打造网络安全“铜墙铁壁”

Posted 2021-09-14 浪潮云

随着网络安全政策法规越发的完善及安全防护意识逐步的提高，网络安全建设蒸蒸日上。但是随着网络安全环境的变革，外部威胁不断加强，内部风险不断产生，攻击面持续暴露在攻击者的面前，网络安全事件依旧频繁发生。

在网络安全的建设上，保障安全不能仅依赖安全产品，要充分结合安全人员、安全管理。安全产品、安全人员、安全管理三者应该是一个动态的结合，都是保障安全必不可少的一环，循环不止的提升安全保障能力，实现业务系统长期稳定、安全的运营。

浪潮云平台参照国内外安全标准，通过三横三纵的方式规划整体的安全体系，横向分为基础设施安全、计算环境安全、应用和数据安全；纵向有技术体系、管理体系和运维体系。按照等级保护和云计算安全标准的要求，配套建立了管理体系制度和运维体系制度。在上层计算环境和应用数据方面，根据等级保护要求2.0中对于安全责任主体的划分，分为了平台侧以及租户侧。

平台侧防护能力

安全技术体系
外围防御层：利用云WAF、抗DDOS等设备对攻击流量进行初次清洗，利用WAF、IPS、防火墙进行二次过滤清洗，将大量基础性攻击流量筛除。

网络控制检测层：借助态势感知、IDS、流量监测等检测设备对绕过前端设备的高级攻击进行精准分析，并对攻击手段高明的IP流量进行深度数据包分析。

主机防御层：对webshell和木马病毒查杀、攻击行为等自动化监控分析。建设安全技术防护的最后一道防线，将穿透到主机层的攻击彻底拦截。

安全管理体系
安全管理制度类：浪潮云按照等级保护和云计算安全标准的要求，结合多年的服务经验，建立切实可行的安全运维管理制度，安全运维管理中包括18大类、60条细则和详细的考核管理。实现全面的安全防护、规范的安全管理和坚实的运维保障能力。

安全检测类：浪潮云每月开展全国云中心安全防御能力评估行动，从不同的安全维度进行专项实战化检测并落实上月发现的问题。全年累计发现并推动修复用户业务风险20000+、优化安全策略3000+。

安全应急类：浪潮云完成网站被篡改、Web攻击、勒索病毒等应急演练场景库、演练方案等设计，每年针对全国云中心进行各个场景的应急演练，通过实战化演习提高处置安全事件的能力。

租户侧防护能力

浪潮云基于不同业务场景、安全需求，打造了浪潮云安全产品服务，为用户提供一站式的安全解决方案，包括：

基于互联网的SaaS安全服务，针对各类Web业务提供安全防护服务，用户可按需获取安全服务，无需部署任何组件，可直接交付。

依托云原生理念构建的浪潮云安全资源池，具备弹性、敏捷、轻量化、微服务、可编排等特性，使用户可以像使用水、电或云主机一样方便的获取和使用安全产品服务，实现用户主机安全、边界安全、应用安全、数据安全等安全需求全方位覆盖。

覆盖业务系统全生命周期的安全服务，帮助用户逐步完善安全管理体系、安全技术体系、应急响应体系等安全体系，防范“木桶效应”，循环不止的提高安全“短板”。

基于安全资源池的技术和持续运营的理念，推出了浪潮云安全大脑。安全大脑作为整个体系的协调指挥中枢，高效整合技术、工具、服务、流程、人员等全要素，打通网络安全预防、保障、监控、应急等全流程，输出统一安全运营技术能力、统一安全防御能力、统一安全运营流程和安全服务能力。

浪潮云日常管理小贴士

对重要的业务系统数据要有数据备份的机制
要常态地化对服务器、应用系统进行漏洞检测，及时发现、及时修复
对于不常用的服务端口需要采取关闭或者加固措施，比如：139端口，145端口，455端口，3389端口
及时升级杀毒软件与操作系统补丁
在windows系统中禁用u盘自动运行功能
提升安全意识，不要随意打开来路不明的邮件附件
加强监测，制定应急处置方案，做好应急演练
笔记本电脑一定不要“裸奔”，一定要安装杀毒软件。如火绒、360、腾讯等杀毒软件
电脑插入移动存储设备时，如移动硬盘、U盘等，首先进行病毒扫描
不要打开来历不明的网页、电子邮件链接或附件，不要随意接受陌生人的文件
一定要设置复杂密码（字符数字大小字母混合）