云数据中心安全规划设计目录1前言 (2)1.1背景 (2)1.2文档目的 (2)1.3适用范围 (2)1.4参考文档 (2)2安全 (3)2.1信息安全背景 (3)2.2工作方法说明 (3)2.3集团安全目标 (5)2.4集团安全体系功能服务组件框架 (8)2.5集团云安全规划路线 (30)1.1背景集团信息中心中心引入日趋成熟的云计算技术，建设面向全院及国网相关单位提供云计算服务的电力科研云，支撑全院各个单位的资源供给、数据共享、技术创新等需求。

实现云计算中心资源的统一管理及云计算服务统一提供；完成云计算中心的模块化设计，逐渐完善云运营、云管理、云运维及云安全等模块的标准化、流程化、可视化的建设；是本次咨询规划的主要考虑。

1.2文档目的本文档为集团云计算咨询项目的咨询设计方案，将作为集团信息中心云计算建设的指导性文件和依据。

1.3适用范围本文档资料主要面向负责集团信息中心云计算建设的负责人、项目经理、设计人员、维护人员、工程师等，以便通过参考本文档资料指导集团云计算数据中心的具体建设。

1.4参考文档《集团云计算咨询项目访谈纪要》《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）《信息系统灾难恢复规范》（GB/T20988-2007）《OpenStack Administrator Guide》（/）《OpenStack High Availability Guide》（/）《OpenStack Operations Guide》（/）《OpenStack Architecture Design Guide》（/）2.1信息安全背景2.1.1.1.1综述集团将秉承“努力超越、追求卓越”的企业精神，坚持自觉服从、服务于公司科学发展的大局，进一步统一思想，坚定信心，业务取得了快速发展。

随着业务的发展，集团对信息安全要求越来越高，希望打造满足等级保护三级要求和满足集团信息安全要求的高合规的安全体系。

为实现此目标，项目组从物理、网络、主机、应用和数据五个方面分别对集团现阶段及三年后的业务规模、对现有安全措施的整合、对网内外纵深防御的安全技术点进行分析和规划。

2.1.1.1.2集团安全现状概况当前整体信息安全风险不受控，易发生安全事件，造成安全事故。

组织：缺失专业的安全人员，没有集团自己的安全团队，更多依据经验或者外包进行安全规划，缺乏安全防范统一规划能力；管理：管理制度体系有统一的信息安全管理标准和流程规范，但有缺失，存在安全事件的发生；技术：信息技术手段及安全设备支撑能力不足，存在安全产品配置不规范的现象存在。

2.2工作方法说明2.2.1.1.1工作方法流程项目组参考了ISO15408等国际安全标准，进行了安全技术架构规划，总体工作思路如下图所示，具有三个要点：●统一遵循高合规架构化方法来规划集团的安全技术架构；●基于规范化的架构规划方法（MASS），根据集团的业务需求来确定所需具备的信息安全技术能力，完成安全技术功能服务组件框架定义与部署设计；● 在安全技术功能服务组件定义和服务组件运行部署设计确定的基础上，根据集团的安全技术现状，提出3年的安全建设规划。

图1 安全技术架构规划总体工作思路● 步骤一 安全需求梳理，在本项目中，我们将从近期集团信息安全技术风险需求、来总结和梳理信息安全技术建设的要求，并在此基础上总结安全技术目标和安全技术架构设计原则。

● 步骤二 安全技术架构功能服务组件框架（静态模型），在步骤一工作的基础上，制定集团的安全技术架构功能框架，它由一系列的安全技术功能服务组件所构成，每个安全技术功能服务组件的选择都是基于信息安全技术建设的需求，这些安全技术用于实现集团的安全技术目标。

● 步骤五 安全技术建设项目规划，总结集团的安全技术体系建设规划的工作重点，定义安全技术建设项目。

每个识别出集团需要进行建设的安全技术项目，都是为了建设集团的安全技术服务平台。

通过一系列项目建设来实现集团安全技术架构的构建。

架构化方法Method for Architecting Secure Solution -MASS步骤六安全技术建设阶段规划，在每个安全技术项目定义明确的基础上，分析每个项目建设的轻重缓急，整理出符合集团实际的安全建设阶段划分，为今后3年的信息安全技术建设规划提供建议。

2.2.1.1.2参考标准“信息技术安全技术信息技术安全性评估准则（简称CC），ISO/IEC 15408：国际标准化组织在现有多种评估准则的基础上，统一形成的。

2001年，我国将ISO/IEC15408直接引入为国家标准，命名为GB/T18336。

ISO/IEC 27001：《信息技术、安全技术、信息安全管理体系要求》ISO/IEC 27002：《信息技术、安全技术、信息安全管理实用规则》。

等级保护：《信息系统安全等级保护基本要求第1部分通用安全要求》、《信息系统安全等级保护基本要求第2部分云计算安全技术要求》2.3集团安全目标2.3.1.1.1安全需求总结为了全面掌握集团的安全技术需求，项目组从集团信息安全组织架构、管理制度、安全技术、业务发展需求等多个方面来总结和梳理信息安全技术建设的要求。

而传统安全与云安全存在不同，特别需要关注虚拟机之间的安全、数据迁移的安全、数据存储的安全等。

具体如下图：图1云安全面临挑战图2集团云安全现状2.3.1.1.2安全技术目标本次安全目标是以集团的未来三年的业务类型和规模，实现满足等级保护三级要求和满足集团安全要求的高合规安全体系。

2.3.1.1.3安全技术架构设计原则在安全技术架构规划设计过程中，需要遵循以下的原则：统一性安全技术手段的建设应综合分析公司整体安全需求，实现安全服务平台化、统一化。

⏹综合性应从外到内、从点到面、从源头控制到事后恢复，进行综合性的整体预防与控制。

⏹先进性具有前瞻性，考虑安全技术的发展趋势，满足业务未来发展的需求。

⏹可持续性满足信息系统全生命周期管理的安全保障要求，为信息系统提供持续的安全保障。

⏹平衡性安全技术的使用不能以影响业务系统正常运行、降低员工的工作效率为代价，安全技术规划要考虑安全要求与业务要求平衡性。

2.3.1.1.4安全技术机构设计思路集团信息安全保障总体框架如下图所示：图3集团信息安全架构集团信息安全保障总体框架以信息安全方针为指引，以信息化架构为基础，核心涵盖信息安全管理体系和信息安全技术体系两大体系。

信息安全技术体系是满足集团信息安全需求的技术实现，是信息安全工作的重要支柱。

通过对ISO/IEC 15408-2 “通用规范（Common Criteria）”进行提炼，总结出身份与信任管理、访问控制、信息流控制、完整性管理、安全审计管理五个安全域，覆盖了所有安全技术需求。

各安全域相互依存并分别运作，共同构成一个完整，全面和与企业业务需求紧密相关的安全架构。

同时，五个安全域又依托于物理安全、网络安全、主机安全、应用安全和数据安全作为其基础安全架构，共同构建满足集团信息安全需求的重要技术支撑。

2.4集团安全体系功能服务组件框架根据对集团信息安全技术需求的总结，参考企业安全技术架构方法，提出集团安全技术架构框架。

安全技术架构框架覆盖了集团未来3年所需要的安全技术功能服务组件。

每个定义的安全技术功能服务组件，都能够形成独立安全服务平台，用于实现集团的安全技术目标。

安全技术功能服务组件框架同时也是集团的安全技术功能服务组件库，便于集团的安全技术人员从组件库中选取所需的安全服务组件，以规范一致的方式来进行的安全技术解决方案设计。

图4安全技术功能服务组件框架2.4.1.1.1安全管理功能服务组件目录定义安全管理制度由中电普华未集团输出了大量的三级文件（主要是传统安全管理制度），缺失云安全管理制度（等级保护二分册的要求），需要完善。

本次规划不涉及制度的编写。

图5安全管理制度集团安全组织结构由集团领导担任信息安全决策层，对信息安全发展发现进行引导，集团信息中心对集团信息安全提出相关方案和发展建议并确保相关的落地实施；其他部门和其他院所配合信息安全工作。

6安全组织架构图安全组织架构完善，但是在执行层，集团安全专员人力不足。

需要补充人员。

图8人员分配2.4.1.1.2安全技术功能服务组件目录定义与安全架构方法模型中的五个安全域相对应，定义了五个安全技术功能服务组件目录，分别是物理安全、网络安全、主机安全、数据安全、应用安全。

以下是每个安全服务组件目录的定义。

物理安全目录该目录定义了数据中心的物理机房进行安全控制的功能服务组件，它们负责对数据中心机房范围内的物理安全把关控制。

网络安全目录该目录定义了数据中心的网络进行安全控制的功能服务组件，它们负责对数据中心机房范围内的网络安全把关控制，对IT网络正确、完整、可靠运行提供安全控制。

在本目录中包含的安全服务组件有边界防火墙策略、网络设备安全加固、防火墙。

主机安全目录该目录定义了数据中心的主机进行安全控制的功能服务组件，它们负责对数据中心机房范围内的主机安全把关控制，对主机系统的安全、稳定运行提供安全控制。

在本目录中包含的安全服务组件有入侵防御系统、运维审计系统、主机系统安全加固服务。

应用安全目录该目录定义了数据中心的应用系统进行安全控制的功能服务组件，它们负责对数据中心机房范围内的应用安全把关控制，对应用系统的安全、稳定运行提供安全控制。

在本目录中包含的安全服务组件有WEB应用防火墙、代码审计服务、漏洞扫描系统。

数据安全目录该目录定义了数据中心的数据进行安全控制的功能服务组件，它们负责对数据中心机房范围内的数据安全把关控制，对数据的完整性、可靠性、可用性行提供安全控制。

在本目录中包含的安全服务组件有数据库审计系统、数据恢复演练服务。

2.4.1.1.3安全技术功能服务组件定义2.4.1.1.3.1 网络安全目录网络安全目录包含以下的安全技术功能服务组件。

图9网络安全规划重点每个安全技术功能服务组件的说明如下。

图10结构安全（1）集团有多租户需求，且多个租户内会出现IP地址重叠。

基于VPC（Virtual Private Cloud Tenant）技术对租户与租户之间实现隔离，实现多租户东西向安全。

融合效果：●新网络够通过对网络模型进行逻辑抽象，实现对物理网络的切片。

通过不同业务映射到不同的vRouter上，实现业务虚拟逻辑网络的隔离●通过router之间的路由引入引出，则可以灵活满足不同业务间互通的需求图11结构安全（2）SDN关键技术是服务链。

数据报文在网络中传递时，需要经过各种安全服务节点，提供给用户安全、自定义的网络服务。

常见的服务节点（Service Node）：防火墙（FW）、负载均衡(LB)、入侵检测（IPS）、VPN等。