这些知识点你都了解了吗?#云安全CCSK-M2:云计算基础设施安全-阿里云开发者社区

开发者社区> tangjf10> 正文

这些知识点你都了解了吗?#云安全CCSK-M2:云计算基础设施安全

简介: 内容概述:云计算基础设施安全。本模块深入探讨保护云计算核心基础架构的细节,包括云组件、网络、管理接口和管理员证书。它深入研究了虚拟网络和工作负载安全,包括容器和无服务器的基础知识。
+关注继续查看

内容概述:
云计算基础设施安全。本模块深入探讨保护云计算核心基础架构的细节,包括云组件、网络、管理接口和管理员证书。它深入研究了虚拟网络和工作负载安全,包括容器和无服务器的基础知识。

知识架构图:
image.png

云计算概念和体系架构域包括(源自于:CSA云安全指南-M2):

一、保护虚拟网络

所有云都利用某种形式的虚拟网络来抽象物理网络并创建网络资源池。目前在云计算中常见的网络虚拟化有两大类:VLAN(虚拟局域网)和 软件定义网络(SDN)。

SDN有多种实现方式,包括基于标准的和专有的选项。根据实现方案的不同,SDN可以提供更高的灵活性和隔离性。

云环境中,由于物理设备不能插入(除云提供商之外),如果仍然需要,则必须用虚拟设备替换它们。

软件定义的网络支持新类型的安全控制,常常使它成为网络安全的整体增益表现在:隔离更容易;SDN防火墙(例如,安全组)可用于比基于硬件的防火墙更灵活标准的资产,因为它们不受物理拓扑的限制。

微分段(有时也被称为hypersegregation)利用虚拟网络拓扑来运行更多、更小,更加孤立的网络,而不用增加额外的硬件成本。

云安全联盟软件定义边界(SDP,Software Defined Perimeter)工作组开发了一种模型和规范,它结合了设备和用户身份验证,动态地提供对资源的网络访问和增强安全性。

如果两个虚拟机位于相同的物理机器上,他们可以直接通讯,在网络上(或附加在路由器/交换机硬件)的监控和过滤工具永远看不到这类流量。另外云平台/提供商可能不支持直接访问网络监控。

云提供商主要负责建立安全的网络基础设施并正确配置。云消费者主要负责合理配置虚拟网络的部署,尤其是虚拟防火墙。

供应商必须维护物理/传统网络的核心安全性,平台在其之上构建。网络上的安全故障可能危及所有客户的安全。对任意通信和多租户来说,这种安全性必须是可被管理的,其中一些必须考虑对抗性。

混合云将企业私有云或数据中心连接到公共云提供商,通常使用专用WAN链路或VPN。一种新兴的混合云连接架构是“堡垒”或“中转”虚拟网络。

二、云计算与负载安全

负载作为一个处理单元,可以在虚拟机、容器或者其他的抽象中,常见的抽象类型包括:虚拟机、容器、基于平台的负载(例如:基于PaaS的任务)、无服务器计算。维持负载的隔离应该是云提供商的首要的责任之一。

动态启用基于镜像创建的实例,部署在容器中,可自动扩展,是最佳的工作状态,这些实例可以在其功能不再需要的时候被关闭,并且不会破坏应用程序栈。这是云环境中弹性计算的核心。

不可变性增加了一些需求:需要一个一致的镜像创建流程和自动化程序来支持部署更新;安全性测试必须集成到镜像创建和部署过程中,包括源代码测试和漏洞评估;镜像配置需要一些机制,在部署镜像并将其应用在生产的虚拟机之前禁用登录和限制其服务;对于某些负载,可能需要一个进程来启用负载的登录功能,当负载在应用程序栈中不可用时可以用来排除故障;如果需要在指定的时间创建几十个甚至数百个镜像,将会增加服务目录管理工作的复杂性。

有些标准负载的控制措施对于云负载来说是不可行的(例如在某些类型的容器中运行防病毒软件)。

安全日志/监控在云计算中更加复杂。

在云计算中实施脆弱性评估需要考虑架构和合同的限制。

三、管理平面安全

管理平面是传统基础架构和云计算之间唯一最重大的安全差异。管理平面控制和配置元结构,也是元结构本身的一部分。

管理平台通常是通过API和Web控制台来实现。在建立和管理安全管理平面上有五方面内

容:边界安全;客户认证;内部认证和凭证传递;授权和权限;日志、监控和告警。

四、业务连续性和容灾

像安全和合规一样,业务连续性和灾难恢复(BC/DR)是双方共担的责任。云提供方应管理其职责内的方面,云客户也应承担云服务如何使用和管理的最终责任。

当部署资产到云上时,您不能假定云将永存或总是以您期望的方式运行,BC/DR 必须考虑整个逻辑栈。

对云提供方的中断进行应对策划通常是很困难,因为一旦选用它就没办法做什么改变。所以,依据供应商的历史绩效及其内部可用性的能力,接受此风险通常是个合法的选择。

私有云和云提供方的业务连续性,这完全在由提供方来承担,业务连续/容灾包括所有物理设施的宕机。

测一测,看看您掌握了多少?

M2:云计算基础设施安全域的相关测试:
https://jinshuju.net/f/6IiFoI

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
Android Java 框架基础[知识点汇总]
学习android的过程中,把整个框架的基础结构牢记很重要,特此摘录了一些这个框架的一些基础知识,在使用的过程中按照这个框架学习,事半功倍。 开发过程中参考JDK的文档和android的sdk文档可以清楚遇到的很多问题,遇到问题是现在这两个文档中一般都能找到原因(安装sdk的文档参考http://www.
798 0
+关注
tangjf10
15年网络和信息安全领域从业经验,具有较强的网络安全管理、建设和维护、管理咨询和技术评估实战项目经验,曾就职于联通、绿盟,以及自主创业。现主要担任CISSP(国际注册信息系统安全专家认证)、CISP(国家注册信息安全人员认证)、信息安全管理、渗透测试、等级保护、网络安全防护体系等
20
文章
0
问答
来源圈子
更多
阿里云最有价值专家,简称 MVP(Most Valuable Professional),是专注于帮助他人充分了解和使用阿里云技术的意见领袖阿里云 MVP 奖项为我们提供了这样一个机会,向杰出的意见领袖表示感谢,更希望通过 MVP 将开发者的声音反映到我们的技术路线图上。
+ 订阅
文章排行榜
最热
最新
相关电子书
更多
《2021云上架构与运维峰会演讲合集》
立即下载
《零基础CSS入门教程》
立即下载
《零基础HTML入门教程》
立即下载