解决方案 Case

电子政务云安全解决方案

日期: 2018-12-16
浏览次数: 40

业务背景


随着云计算、大数据的兴起,虚拟化、数据大集中、数据挖掘与分析渐渐成为数据中心建设的方向和目标。云计算数据中心的建设无论从趋势上还是实际需求上,都将在政府数据中心建设、政务应用系统建设、政府门户网站建设等领域得到广泛应用。


政府部门目前政务数据中心建设特点如下:

  • 政府部门随着政府门户网站的数量快速增长,用户量日益增加,内容日趋多媒体化,政府门户网站需要处理海量数据,传统数据中心性能瓶颈凸显,需要云计算平台作为支撑。

  • 政府部门随着政务信息资源开发利用的深入,数据大集中之后的数据分析、数据挖掘,以及政务信息交互,要求数据中心具备很高的计算能力。传统政府数据中心的建设和运行的成本(包括电力成本、空间成本、维护成本等)不断上升,需要利用云计算模式来提高政府数据中心的运行效率,降低政府数据中心的建设成本。

  • 移动终端的普及,物联网通信技术的应用,会有越来越多的终端进入政务应用系统,政务应用系统处理数据面临爆炸式增长,也需要云计算平台帮助政务应用系统提高处理性能,减少响应时间。


安全挑战云计算的虚拟化、多租户和动态性不仅需要进一步强化传统的安全问题,同时也引入了新的安全问题。



云DC特点

安全挑战

数据在云平台上集中存储

应用在云平台上集中部署

用户在云平台上集中管理

多租户环境下的数据访问控制

虚机的识别

用户认证和身份管理

虚拟化计算和存储方式

虚机的隔离和运行安全

虚拟存储数据安全

全新的服务提供架构和模式

大数据泄露风险

监测审计困难


电子政务云建设主要有两种模式:各单位自建私有云数据中心、行业云模式。



一、政务私有云

自建政务私有云以虚拟化为核心,将应用从传统的物理服务器迁移至云中,也将应用的部署从物理服务器改为虚拟主机。这样可以使应用的部署和迁移时间从几个小时缩短到几分钟,并且显著的提高了服务器的资源利用率,降低运行维护的复杂性和成本。由于政务网业务的保密性和可用性,相对于其他云计算数据中心,政务私有云对于安全合规性、资源弹性、应用级可靠性有更加严格的要求。


1.满足安全防护与等保合规

云计算的出现模糊了安全的边界,使得传统的信息安全防护手段不再适用。事实上,信息安全问题已经成为用户使用云资源的主要障碍。对于电子政务系统,即使自建私有云,在满足国家信息安全等级保护制度,以及行业安全要求方面,安全要求没有任何降低,而实现方式和难度却大幅度上升。政务网因为涉及到业务安全性和保密性问题,部分业务的等级保护要求至少四级,自建政务私有云必须在安全性上考虑更全面。


2.资源弹性

云计算的主要特点是虚拟化、动态的可扩展性、灵活性。云计算平台使用的物理结点是分布的,每一个应用部署的环境和物理平台是没有关系的。通过虚拟平台进行管理达到对应用进行扩展、迁移、备份。多个应用共享硬件资源时,当部分应用性能不足时,通过虚拟机的复制、迁移,可以达到资源的最大化利用,一定程度上提供应用所需要的资源弹性。


3.应用级可靠性

私有云数据中心出于灾备或者其他方面考虑,以及资源的充分利用,可能会采用多数据中心模式,多数据中心采用主-备方式提供可靠性备份或者采用主-主方式既提供备份也提高资源利用率。此时需要保证所有数据中心之间可以进行二次互通,同时多中心的分布式架构下如何保证虚机迁移的可靠性,都是私有云数据中心建设过程中需要考虑的问题。


二、行业云

自建私有云具有刚性的IT投资,在进行资源规划时,如果按照所需的峰值资源来规划,则意味着平时的资源闲置,这不符合通过云计算提高资源利用率节约成本的初衷。因此,自建私有云无法提供应用所需要的弹性。自建私有云结合在公有云/行业云中租用资源组建的行业云,是未来的趋势。政务云需要额外考虑与政务网对接、租户自组网以及安全合规等需求。


1.政务网对接

政务行业云是电子政务网的核心组成部分之一,必须与电子政务网很好的对接。电子政务网为每个租用单位分配了一个MPLS VPN作为专网,但政务行业云为接入单位提供资源弹性时,必须考虑与MPLS VPN的对接,对接必须解决三个问题:

第一、由于各租用单位是专网VPN,地址存在重叠现象,政务云必须能够识别和区分可能存在的“IP地址相同,接入单位不同”的业务。

第二、租用单位在建设私有云数据中心满足日常弹性的同时,会通过向行业云寻求弹性满足高峰时需求,这样其虚拟机迁移将跨越政务网实现,所以,政务行业云必须为租用单位动态调整网络,分配MPLS VPN,实现租用单位自建私有云与行业云的弹性扩展。

第三、为了实现租户间隔离,政务行业云数据中心需支持端到端的隔离,从虚拟机到数据中心入口,网络中每个节点都需要支持针对多租户的识别和隔离需求。


2.多租户自组网需求

与传统数据中心相比,行业云是为多租户服务的,多租户环境为云数据中心带来了新的挑战。目前,云数据中心基本只能提供给租户单个或者多个虚拟机的管理,而不能提供租户虚拟的网络管理,对租户来说通信过程是一个黑盒子,安全性可想而知。

政务行业云为各租用单位提供业务弹性的同时,为了保证业务可用性和安全性,必须同时提供给租户自组网能力。通过租户自组网,租户可以将私有云与行业云二层互通,并可以实现:1.可管理通信路径上所有节点的网络设备;2.根据需要调整网络节点配置以及安全策略;3.通过自组网后台管理所有虚拟机,以及虚拟机上的应用。


3.安全合规

按照等保定级指南进行评估,一般的云数据中心至少应该达到等保三级的要求,而政务行业云给各政务应用提供弹性资源,根据等级保护规定,其安全性必须像最高等级靠拢,至少满足等保四级的要求。对于行业云数据中心,一方面要提供IaaS基础架构安全防护,同时要给租户提供安全合规的记录,保证租户将应用迁移到行业云时,仍然能满足安全合规的需求。



电子政务云安全解决方案

解决方案


凭借自身的技术积累以及对于政务云应用的理解,捷普政务云数据中心解决方案立足于对电子政务的理解,为用户提供可靠的政务云安全解决方案。

政务自建私有云一般为扁平化大二层组网方式,针对单位内多个应用提供弹性,基础框架如下图:


电子政务云安全解决方案

该方案通过政务云出口安全能力建设,确保了基础架构的安全,同时做到了租户的自我防护及租户间的安全防护,还符合政府行业等保合规的建设要求,特点如下:


1.具备虚机识别能力

在私有政务云数据中心中,各个虚机由于业务需要,经常会进行业务迁移,比如目前政务中心有两个应用A和B,并且每个应用均各有5台虚机服务器,并且这十台虚机分别出于VLAN A和VLAN B且运行正常。由于B业务量激增,在一段时间内服务器负载过大,需要增加3台服务器支撑应用,此时管理人员就会将应用A的3台虚机快速迁移到VLAN B中增援,那么随着业务的迁移使用,迁移的虚机安全策略也该同时改变。于是对于安全设备来说,首先要能识别有虚机在迁移,其次才能随之做出策略变更。

捷普安全设备已经具备虚机识别能力,能够及时发现虚机的网络变更。


2.租户的安全防护

对于私有政务云的租户来说,数据的安全性尤为重要,由于该方案出口处部署了FW、IPS、流量清洗、WAF、漏洞扫描等安全设备,于是租户在相应虚机上访问应用时就能够确保数据的安全性。


3.多应用多租户的隔离和互访

为了保证私有政务云内部数据的安全,可以通过划分VLAN或者虚拟FW实现虚拟租户网,区分和隔离不同的应用及租户,防止数据泄露,实现多租户自己的数据隐私。同时租户还可以自定义和部署自己的安全策略,实现灵活控制。

租户和应用间的互访也可以通过虚拟FW的控制策略实现。


4.等保合规

为了给租户提供安全的应用使用环境,政务云需要确保基础架构的安全,比如需要在不同的物理安全域间部署安全设备,同时整个私有政务云需要能够对安全策略统一管理统一部署,降低维护复杂度。

在政务自建私有云基础上,向各行业云寻求弹性是一个趋势,部分单位没有自建数据中心,所有业务通过向行业云租用资源,从而开展政务业务,行业云数据中心基础架构如下图:


电子政务云安全解决方案

行业云数据中心通过MPLS VPN与政务网对接,同时通过MPLS实现云数据中心内租户隔离。给每个租户提供的网络中,不但保证了IaaS基础架构的安全,并提供虚拟FW、虚拟IPS等功能,实现租户自组网,在安全合规性方面也能让租户方便地提供合规性自检报告。

特别的,对于自建私有云的单位,行业云提供的资源弹性也是很好的备份,能够更好地为电子政务业务的可靠性提供帮助。


客户价值


1.政务云自身、租户应用及多租户间都实现了安全防护。

2.灵活的租户安全自定义能力。

3.一体化管理系统实现统一管理、安全协同,最大程度发挥各个安全系统的价值。

4.设备具备双电源、关键器件冗余等高可靠性设计,保护政务云的可靠应用。


友情连接:
免费服务热线 ree service hotline 400-613-1868 手机端
法律声明 Copyright  西安交大捷普网络科技有限公司  陕ICP备18022218号-1
犀牛云提供云计算服务