网络安全等级保护基本要求之云扩展要求
网络安全等级保护基本要求
云计算安全扩展要求
等级保护对象形态的不同，面临的威胁与风险也不同，安全防护需求也存在一定的差异。便于对等级保护对象共性和个性化的保护，网络安全等级保护基本要求分为通用要求和扩展要求。
云计算扩展要求覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及云计算安全管理方面。
01
安全物理环境
基础设施位置
应保证云计算基础设施位于中国境内。
云服务商为云服务客户提供的云计算基础设施服务所涉及的硬件设备、数据中心均位于中国境内。
02
安全通信网络
网络架构
a)应保证云计算平台不承载高于其安全保护等级的业务应用系统；
b)应实现不同云服务客户虚拟网络之间的隔离；
c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力； d)应具有根据云服务客户业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略；
e)应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务；
云服务商对云计算平台确定安全防护等级，在明确云计算平台安全防护等级的情况下，不允许在云平台上部署高于其安全保护等级的业务应用系统，如云平台安全保护等级为第三级，此时云平台只能承载3级及3级以下系统，不能承载4级及以上系统。
云上部署众多的业务系统，为保证业务系统的安全性，首先确保不同用户间的网络是隔离的，如常见的专有网络VPC；为保证云上业务应用系统的安全、有效的运行，云平台在为云服务客户提供基础服务（网络、计算、存储）的同时，需为云服务客户提供网络通信服务和安全防护手段，如云防火墙、流量监控、入侵检测、防病毒等，且允许用户根据业务需求自主设置访问控制策略，保证用户的自主选择性；为进一步提升云上业务系统的安全性，云服务商应支持云服务客户根据需求选择第三方安全产品的接入，以提升业务系统的安全防护措施。
03
安全区域边界
访问控制
a)应在虚拟化网络边界部署访问控制机制，并设置访问控制规则；
b)应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则。
虚拟化是云计算的一大特性，网络虚拟化在帮助用户节省资源利用的同时，应保证不同用户虚拟网络的安全，如虚拟网边界安全防护，在虚拟网络边界配置恰当的访问控制策略，有效避免非法访问，越权访问；基于传统系统的分区分域的安全防护思想，在虚拟网络中划分不同的安全防护区域，并在不同的区域边界配置访问控制规则，如在VPC中，基于ACL规则划分逻辑区域，并制定恰当的访问控制规则。
入侵防范
a)应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；
b)应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；
c)应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量；
d)应在检测到网络攻击行为、异常流量情况时进行告警。
通用的安全边界防护只能有效的解决南北向流量安全防护，而云计算环境下，虚拟网络的“无边界化”，使得虚拟网中的东西向流量呈快速增长势态，东西向流量的“不可视化”使得安全防护变得尤为困难。为有效保证虚拟网络中流量安全，可对全网流量进行集中监测及流量牵引监测、清洗等方式进行安全防护。从网络安全等级保护的角度出发，云服务商应能检测到云服务客户的非法攻击，并进行攻击行为收集、异常行为告警等。
安全审计
a)应对云服务商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；
b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。
安全审计有助于系统运维方对安全事故的审查和恢复能力，在执行一些重要的操作时，必须进行安全审计，以便出现安全事故时进行恢复和问题追溯。云服务商原则上绝不允许触碰云服务客户数据，但在一些特殊情形下，又不得不帮助用户处理一些疑难问题，为确保云服务商对云服务客户数据操作的安全性，云服务商应向云服务客户提供相关的操作审计记录。
04
安全计算环境
身份鉴别
当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。
在进行远程管理时，需进行双向认证，保证接入云平台的管理终端的有效性、合法性。
访问控制
a)应保证当虚拟机迁移时，访问控制策略随其迁移；
b)应允许云服务客户设置不同虚拟机之间的访问控制策略。
虚拟资源的动态扩展，在虚拟机迁移时，访问控制策略应进行同步迁移，云服务商应支持云服务客户在不同的虚拟机间基于业务需求配置访问控制策略。
入侵防范
a)应能检测虚拟机之间的资源隔离失效，并进行告警；
b)应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告
云计算安全扩展要求
等级保护对象形态的不同，面临的威胁与风险也不同，安全防护需求也存在一定的差异。便于对等级保护对象共性和个性化的保护，网络安全等级保护基本要求分为通用要求和扩展要求。
云计算扩展要求覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及云计算安全管理方面。
01
安全物理环境
基础设施位置
应保证云计算基础设施位于中国境内。
云服务商为云服务客户提供的云计算基础设施服务所涉及的硬件设备、数据中心均位于中国境内。
02
安全通信网络
网络架构
a)应保证云计算平台不承载高于其安全保护等级的业务应用系统；
b)应实现不同云服务客户虚拟网络之间的隔离；
c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力； d)应具有根据云服务客户业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略；
e)应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务；
云服务商对云计算平台确定安全防护等级，在明确云计算平台安全防护等级的情况下，不允许在云平台上部署高于其安全保护等级的业务应用系统，如云平台安全保护等级为第三级，此时云平台只能承载3级及3级以下系统，不能承载4级及以上系统。
云上部署众多的业务系统，为保证业务系统的安全性，首先确保不同用户间的网络是隔离的，如常见的专有网络VPC；为保证云上业务应用系统的安全、有效的运行，云平台在为云服务客户提供基础服务（网络、计算、存储）的同时，需为云服务客户提供网络通信服务和安全防护手段，如云防火墙、流量监控、入侵检测、防病毒等，且允许用户根据业务需求自主设置访问控制策略，保证用户的自主选择性；为进一步提升云上业务系统的安全性，云服务商应支持云服务客户根据需求选择第三方安全产品的接入，以提升业务系统的安全防护措施。
03
安全区域边界
访问控制
a)应在虚拟化网络边界部署访问控制机制，并设置访问控制规则；
b)应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则。
虚拟化是云计算的一大特性，网络虚拟化在帮助用户节省资源利用的同时，应保证不同用户虚拟网络的安全，如虚拟网边界安全防护，在虚拟网络边界配置恰当的访问控制策略，有效避免非法访问，越权访问；基于传统系统的分区分域的安全防护思想，在虚拟网络中划分不同的安全防护区域，并在不同的区域边界配置访问控制规则，如在VPC中，基于ACL规则划分逻辑区域，并制定恰当的访问控制规则。
入侵防范
a)应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；
b)应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等；
c)应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量；
d)应在检测到网络攻击行为、异常流量情况时进行告警。
通用的安全边界防护只能有效的解决南北向流量安全防护，而云计算环境下，虚拟网络的“无边界化”，使得虚拟网中的东西向流量呈快速增长势态，东西向流量的“不可视化”使得安全防护变得尤为困难。为有效保证虚拟网络中流量安全，可对全网流量进行集中监测及流量牵引监测、清洗等方式进行安全防护。从网络安全等级保护的角度出发，云服务商应能检测到云服务客户的非法攻击，并进行攻击行为收集、异常行为告警等。
安全审计
a)应对云服务商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启；
b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。
安全审计有助于系统运维方对安全事故的审查和恢复能力，在执行一些重要的操作时，必须进行安全审计，以便出现安全事故时进行恢复和问题追溯。云服务商原则上绝不允许触碰云服务客户数据，但在一些特殊情形下，又不得不帮助用户处理一些疑难问题，为确保云服务商对云服务客户数据操作的安全性，云服务商应向云服务客户提供相关的操作审计记录。
04
安全计算环境
身份鉴别
当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。
在进行远程管理时，需进行双向认证，保证接入云平台的管理终端的有效性、合法性。
访问控制
a)应保证当虚拟机迁移时，访问控制策略随其迁移；
b)应允许云服务客户设置不同虚拟机之间的访问控制策略。
虚拟资源的动态扩展，在虚拟机迁移时，访问控制策略应进行同步迁移，云服务商应支持云服务客户在不同的虚拟机间基于业务需求配置访问控制策略。
入侵防范
a)应能检测虚拟机之间的资源隔离失效，并进行告警；
b)应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告
