云计算服务持续监管研究

doi:10.11959/j.issn.2096-109x.2016.00105

摘要/Abstract

摘要：

云计算环境的复杂性和动态性，难以及时掌握云计算服务安全运行状态、评估云计算服务风险。为确保云计算服务的安全能力持续符合国家相关标准要求，对云计算服务持续监管相关内容进行了研究，定义了云服务商、客户和持续监管方角色，明确各角色的监管责任、评估指标体系以及接口规范，确保政府部门、重点行业客户稳定且安全地使用云计算服务。

关键词: 云计算, 持续监管, 云计算安全

Abstract:

The complexity and dynamism of cloud computing environment hardly lead to timely awareness of cloud computing service’s operating state and assessment of cloud computing service risk.In order to ensure that the security of cloud service abidingly conforms to relevant national standard,continuous monitoring of cloud computing service was researched,and the role of cloud service provider was defined,customer,and continuous monitoring,described their supervising responsibility,and assessed index system and interface specification,thus guaranteeing stable and secure employment of cloud computing service by government department and key industries.

Key words: cloud computing, continuous monitoring, cloud computing security

中图分类号:

TP393

陈兴蜀,葛龙,罗永刚,李想. 云计算服务持续监管研究[J]. 网络与信息安全学报, 2016, 2(10): 1-7.

Xing-shu CHEN,Long GE,Yong-gang LUO,Xiang LI. Research on continuous monitoring of cloud computing service[J]. Chinese Journal of Network and Information Security, 2016, 2(10): 1-7.

图/表 11

图1

图2

图3

图4

图5

表1

表2

系统与通信保护指标"

安全能力	类型	监管指标类型
策略与规程	文档类接口类	系统与通信保护策略：包含但不限于以下子项内容包含但不限于以下子项接口
		1) 客户业务系统隔离策略
		2) 边界通信监控机制
		3) 内外部网络安全隔离机制
	文档类	4) 外部电信服务的安全管理措施
边界保护		5) 外部通信接口授权策略
		6) 远程维护管理策略
		7) 边界保护策略失效响应机制
	接口类	1) 边界保护设备的配置信息2) 外部电信服务接口传输的信息流采样
传输保密性和完整性	文档类	1) 通信加密和签名验签算法及设施策略2) 通信加密和签名验签设施的证书、测评报告
传输保密性和完整性	接口类	无
网络中断	文档类接口类	不活动时间定义及应对措施无
可信路径	文档类接口类	平台用户与系统安全功能之间建立可信通信路径的相关措施无
密码使用和管理	文档类	1) 密钥的生成、使用和管理策略及记录2) 密码设施的管理和使用记录
密码使用和管理	接口类	无
协同计算设备	文档类接口类	协同计算设备禁用策略无
移动代码	文档类接口类	移动代码使用及限制策略无
会话认证	文档类接口类	会话认证策略无
移动设备的物理连接	文档类接口类	移动设备的管理和使用策略无
		1) 恶意代码防护设备及防护机制
	文档类	2) 恶意代码防护设备的维护更新记录3) 恶意代码的检测和处理机制
恶意代码防护		4) 恶意代码误报率的分析机制和误报分析影响记录
恶意代码防护		1) 恶意代码防护设备的配置信息
	接口类	2) 恶意代码的实时告警
		3) 恶意代码防护设备的特征库及策略库版本信息
内存防护	文档类接口类	内存申请、使用、释放等防护机制内存信息
		1) 虚拟机实时监控机制
系统虚拟化安全性	文档类	2) 虚拟机镜像安全机制3) 虚拟机安全隔离机制4) 虚拟化平台资源隔离机制
系统虚拟化安全性	接口类	1) 资源隔离失败告警2) 虚拟镜像模板的配置信息
网络虚拟化安全性	文档类	1) 虚拟网络逻辑隔离策略2) 虚拟网络访问控制机制
网络虚拟化安全性	接口类	虚拟网络资源配置信息
		1) 存储数据的安全控制机制
		2) 物理存储实体访问机制
		3) 虚拟存储资源之间逻辑隔离机制
	文档类	4) 用户的存储数据清除机制5) 虚拟存储数据访问控制策略
存储虚拟化安全性		6) 虚拟存储数据的审计机制
		7) 虚拟存储冗余备份支持机制
		8) 第三方加密及密钥管理策略
		1) 用户数据清除记录信息
	接口类	2) 虚拟存储备份信息
		3) 数据加密方案信息

表2

图6

图7

图8

图9

参考文献 9

[1]	中国国家标准化管理委员会. 信息安全技术云计算服务安全指南:GB/T 31161-2014[S]. 北京: 中国标准出版社, 2014.
	Standardization Administration of China. Information security technology of cloud computing services security guidelines:GB/T 31161-2014[S]. Beijing: China Standards Press, 2014.
[2]	中国国家标准化管理委员会.信息安全技术云计算服务安全能力要求:GB/T 31168-2014>[S]. 北京: 中国标准出版社, 2014.
	Standardization Administration of China. Cloud computing service security capacity requirements of information security technology:GB/T 31168-2014[S]. Beijing: China Standards Press, 2014.
[3]	FedRAMP Office Continuous monitoring strategy & guide.Version2.0[S]. 2014.
[4]	NIST Special Publication 800-137.Information security continuous monitoring (ISCM) for federal information systems and organizations[S]. 2011.
[5]	NIST Special Publication 800-37.Guide for applying the risk management framework to federal information systems[S]. 2010.
[6]	CSA(Cloud Security Alliance). Auditing the cloud controls matrix[S].2014. 2014.
[7]	CSA. Defined categories of security as a service[S].2014. 2014.
[8]	NIST Special Publication 800-145.The NIST definition of cloud computing[S].2011. 2011.
[9]	CSA. CTP data model and API[S]. 2014.

类别	安全要求项数
系统开发与供应链安全	17
系统与通信保护	15
访问控制	26
配置管理	7
维护	9
应急响应与灾备	13
审计	11
风险评估与持续监控	6
安全组织与人员	12
物理与环境保护	15

[1]	吴颖,李璇,金彪,金榕榕. 隐私保护的图像内容检索技术研究综述[J]. 网络与信息安全学报, 2019, 5(4): 14-28.
[2]	李颖, 马春光. 可搜索加密研究进展综述[J]. 网络与信息安全学报, 2018, 4(7): 13-21.
[3]	于孟洋,林晖,田有亮. 移动云计算中一种新的跨层信誉机制[J]. 网络与信息安全学报, 2018, 4(3): 51-58.
[4]	王元昊,李宏博,崔钰钊,郭庆文,黄琼. 具有密文等值测试功能的公钥加密技术综述[J]. 网络与信息安全学报, 2018, 4(11): 13-22.
[5]	张建标,朱元曦,胡俊,王晓. 面向云环境的虚拟机可信迁移方案[J]. 网络与信息安全学报, 2018, 4(1): 6-14.
[6]	李维奉,羌卫中,李伟明,邹德清. 云环境隐私侵犯取证研究[J]. 网络与信息安全学报, 2018, 4(1): 26-35.
[7]	高元照,李学娟,李炳龙,吴熙曦. 云计算取证模型[J]. 网络与信息安全学报, 2017, 3(9): 13-23.
[8]	袁得嵛,王小娟,万建超. “互联网+”对网络空间安全影响及未来发展趋势[J]. 网络与信息安全学报, 2017, 3(5): 1-9.
[9]	施江勇,杨岳湘,李文华,王森. 基于SDN的云安全应用研究综述[J]. 网络与信息安全学报, 2017, 3(5): 10-25.
[10]	陈飞,毕小红,王晶晶,刘渊. DDoS攻击防御技术发展综述[J]. 网络与信息安全学报, 2017, 3(10): 16-24.
[11]	孙光,樊晓平,蒋望东,周航军,刘胜宗,龚春红,朱静. 云计算环境约束下的软件水印方案[J]. 网络与信息安全学报, 2016, 2(9): 12-21.
[12]	冯丙文,翁健,卢伟. 基于隐私保护的数字图像取证外包技术框架研究[J]. 网络与信息安全学报, 2016, 2(8): 23-31.
[13]	张亮轩,李晖. 云计算中支持有效用户撤销的多授权方基于属性加密方案[J]. 网络与信息安全学报, 2016, 2(2): 62-74.
[14]	王锴,李志华,黄凡,严飞. HyperSpector：基于UEFI的VMM动态可信监控基的设计与实现[J]. 网络与信息安全学报, 2016, 2(12): 47-55.
[15]	刘川意,潘鹤中,梁露露,王国峰,方滨兴. 基于小云审大云的云平台可信评测体系结构与技术研究[J]. 网络与信息安全学报, 2016, 2(10): 36-47.