
運(yùn)營(yíng)商
OPERATOR
中國(guó)聯(lián)通新疆分公司項(xiàng)目案例
隨著越來(lái)越多的用戶將傳統(tǒng)的業(yè)務(wù)系統(tǒng)遷移至云計(jì)算環(huán)境中,云安全面臨的挑戰(zhàn)也更加嚴(yán)峻,傳統(tǒng)環(huán)境下的安全問(wèn)題在云環(huán)境下仍然存在,如SQL注入、內(nèi)部越權(quán)、數(shù)據(jù)泄露、數(shù)據(jù)篡改、網(wǎng)頁(yè)篡改、漏洞攻擊等,而云環(huán)境下又不斷涌現(xiàn)一堆新的安全問(wèn)題,如云安全邊界的劃分和防護(hù)、云安全防護(hù)系統(tǒng)的選擇和部署、云安全檢測(cè)、安全防御、云安全審計(jì)等。同時(shí),云計(jì)算環(huán)境下的資源按需分配、彈性擴(kuò)容、資源集中化等新型技術(shù)形態(tài)也給云安全技術(shù)帶來(lái)挑戰(zhàn)和技術(shù)革新。
● 云安全總體業(yè)務(wù)架構(gòu)設(shè)計(jì)
根據(jù)新疆聯(lián)通醫(yī)療云的現(xiàn)有業(yè)務(wù)特點(diǎn)以及其相關(guān)云安全防護(hù)需求,安恒信息提出了基于軟件定義安全(SDS)的天池云安全解決方案,該方案與新疆聯(lián)通醫(yī)療云現(xiàn)有的云環(huán)境進(jìn)行適配集成,以實(shí)現(xiàn)云計(jì)算環(huán)境中的安全防護(hù)。
本方案采用軟件定義安全(SDS)的架構(gòu),其原理是通過(guò)將安全數(shù)據(jù)與控制平面的分離,對(duì)物理及虛擬的網(wǎng)絡(luò)安全設(shè)備與其接入模式、部署方式、實(shí)現(xiàn)功能進(jìn)行解耦,底層抽象為云安全資源池里的資源,頂層統(tǒng)一通過(guò)軟件編程的方式進(jìn)行智能化、自動(dòng)化的業(yè)務(wù)編排和管理,以完成相應(yīng)的安全功能,從而實(shí)現(xiàn)一種靈活的安全防護(hù)。云安全資源池業(yè)務(wù)架構(gòu)如下圖所示∶
● 云租戶登陸云管理平臺(tái)按需申請(qǐng)?jiān)瓢踩雷o(hù)能力,如云堡壘機(jī)、云Web應(yīng)用防火墻等
● 云平臺(tái)安全管理員審核需求和服務(wù)訂單
● 根據(jù)云租戶申請(qǐng)的云安全產(chǎn)品類型,云管理平臺(tái)通過(guò)調(diào)用云安全管理平臺(tái)的API接口,自動(dòng)的創(chuàng)建對(duì)應(yīng)的云安全能力
● 云租戶通過(guò)單點(diǎn)登錄到云安全管理平臺(tái)將安全策略下發(fā)到各云安全產(chǎn)品
● 云租戶安全管理員通過(guò)云安全管理平臺(tái)的租戶視角看到自己虛擬網(wǎng)絡(luò)的安全狀態(tài),比如安全事件、安全日志,并且可以按照業(yè)務(wù)安全的需求自定義安全規(guī)則
● 云安全資源池網(wǎng)絡(luò)模型架構(gòu)設(shè)計(jì)
增加了天池云安全資源池后,vm網(wǎng)絡(luò)通信流程如上圖所示,分為網(wǎng)關(guān)型安全服務(wù)(如云防火墻)和非網(wǎng)關(guān)型安全服務(wù)(如云堡壘機(jī))兩大類安全服務(wù)∶
一● 網(wǎng)關(guān)型安全服務(wù)的網(wǎng)絡(luò)通信流程
云租戶申請(qǐng)EIP時(shí),天池云安全資源池與SDN控制器進(jìn)行協(xié)商,雙方均自動(dòng)建立好VLAN100與ylan200的網(wǎng)絡(luò),同時(shí)SDN控制器將VLAN100對(duì)接到某一個(gè)VXLAN網(wǎng)絡(luò)里面比如 VXLAN 10000,同時(shí)將VXLAN IF 10000的接口也綁定到vRouter1上
同時(shí)天池云安全管理平臺(tái)通過(guò)API讓安全資源池創(chuàng)建VLAN100與VLAN200的網(wǎng)絡(luò),并自動(dòng)生成一個(gè)vFW將vFW的trust接口橋接到VLAN100上, untrust接口橋接到VLAN200 上。,同時(shí)預(yù)留的ip地址配置到云核心,交換機(jī)的 VLAN100 VLAN200接口以及云防火墻的trust和untrust接口上。將EIP發(fā)下給云防火墻,并完成SNAT、安全策略的默認(rèn)配置
后通過(guò)vFW的untrust接口轉(zhuǎn)發(fā)到vRouterpublic上,最后通過(guò)vRouter public的underlay的路由將數(shù)據(jù)轉(zhuǎn)發(fā)出云外了。
從云外到云內(nèi)的流量轉(zhuǎn)發(fā)模型正好相反,需要調(diào)用SDN API 將目的IP為EIP的路由下一跳指向云防火墻的untrust
一● 非網(wǎng)關(guān)型安全服務(wù)的網(wǎng)絡(luò)通信流程
云租戶申請(qǐng)堡壘機(jī),天池云安全資源池與SDN控制器進(jìn)行協(xié)商,雙方均自動(dòng)建立好VLAN100的網(wǎng)絡(luò),同時(shí)SDN控制器將VLAN100對(duì)接到某—個(gè)VXLAN網(wǎng)絡(luò)里面比如 VXLAN 10000, 同時(shí)將VXLAN IF 10000的接口也綁定到 vRouter1上
同時(shí)天池云安全管理平臺(tái)通過(guò)API讓DASONE創(chuàng)建VLAN100的網(wǎng)絡(luò),并自動(dòng)生成一個(gè)堡壘機(jī)橋接到VLAN100的網(wǎng)絡(luò)上。這樣云堡壘機(jī)通過(guò)VLAN100就完成了與租戶VLAN10和VLAN 20的網(wǎng)絡(luò)通信