云安全中心
云数据中心作为教育管理信息系统运行的云服务平台，承载和满足了国家教育管理公共服务平台的部署和运行需求，极大地带动了教育信息化的发展。
在云数据中心和大数据计算环境下，应用系统内部、应用系统间、各云主机间，紧密关联且运行复杂。在安全边界、各系统内部，应如何开展防护工作，确保信息化平台的安全稳定运行呢？
需求分析
高校在建设云数据中心时，在云安全防护设计方面，应充分考虑云计算的特点和要求，基于对安全威胁的分析，明确各方面的安全需求，充分利用现有的、成熟的安全控制措施，结合云计算的特点和最新技术进行综合考虑和设计。
网络边界模糊带来的安全风险。在传统的网络边界防护中，一般都是按照网络中资源重要程度的不同进行区域划分，不同区域根据各自的安全需求，采取相应的边界防护措施。但在云计算环境下，由于大量运用虚拟化技术，资源池化技术导致云计算环境内服务器、存储设备和网络设备等硬件基础设施被高度整合，多个系统同时运行在同一个物理设备上，传统的网络边界正在被打破。
数据传输安全风险。在云计算环境下，所有数据的处理、存储均在云端完成，用户一端只具有较少的计算处理能力。这就意味着大量的原始数据、发送的处理请求、用户端展示的内容等数据，均需严重依赖网络进行传输，这必然会带来数据传输方面的安全风险。
服务器安全的风险。在建立新的服务器节点时，通常是将标准虚拟机模板进行复制操作，得到一个新的服务器节点。这时标准虚拟机模板的补丁、安全配置、安全软件就非常重要，可决定整个云数据中心的安全。任何一个环境的问题，都可能导致云平台受到入侵的威胁。
数据存储的风险。用户所有在云端的数据是否得到妥善保存，而这些数据是否加密，避免运维人员随意访问。云计算环境下的身份鉴别、认证管理和访问控制等安全机制是否符合业务的需求。意外删除或天灾都可能会导致永久性的数据丢失。
建设思路
绿盟科技结合高校信息化建设特点，建议围绕边界安全防护、云主机安全、数据安全等几方面展开建设。
依据国家法律法规、云安全标准，提出相应安全策略与整体技术防护措施，包括具体的区域划分、云管理平台与各云主机网络之间、不同业务区域之间、不同等级安全区之间的安全防护措施，高级安全能力建设、网络通信安全建设方案等。
在进行实际建设时，应遵循“保障云平台及其配套设施”“基于安全域的纵深防护体系设计”“以安全服务为导向，并符合云计算的特点” “充分利用现有安全控制措施及最新技术”“充分利用云计算等最新技术”等原则。
建设方案
对于数据中心的安全防护，满足等级保护是最基本要求，但是数据中心面临着一个不断演变的网络威胁环境，从过去广泛、漫无目的的攻击威胁，在数年内迅速的转化为针对受害者组织的高级可持续威胁（APT），APT攻击可以避开传统的基于特征的安全检测机制，例如绕过防火墙、入侵防御系统、防病毒网关等传统的安全机制，还需要开展“纵深防御，层层防范”的安全措施。
第一道防线：事前防护
包括网络出口防护，安全措施包括流量清洗、访问控制、入侵防护。同时结合云环境防护，安全措施包括防火墙、WAF、防病毒。
第二道防线：事中响应
在业务系统运行过程中开展运行监控、恶意操作防护、攻击链行为分析。
第三道防线：事后审计
安全措施包括运维审计、网络安全审计、数据恢复、入侵溯源、日志分析。利用审计可以实现运营过程的报表统计、安全KPI指标体系管理、事件溯源等安全措施。
集中安全管理
利用态势感知系统/企业综合安全管理平台采集安全系统运行过程中的日志、数据，通过大数据分析、挖掘、关联等方式发现异常行为，并利用集中管理系统对业务系统、数据库、服务器、网络设备进行集中的运行状态监控。
外部支撑
通过互联网网站安全监测、外部安全专家支持获得外部安全支撑能力，包括网站安全监测、网站云安全防护、威胁情报获取、云端安全扫描、远程渗透测试，安全咨询等。
