摘要
随着云计算大规模应用，云计算环境下网络安全问题日益凸显。云计算的这种动态分配、资源共享的技术特点和优势反而引入了网络安全边界变化、多租户数据难隔离、安全策略保障困难等一系列新的网络安全风险。分析了云计算网络存在的安全风险，重点阐述了基于安全域的云网络隔离安全防护方案，近一步提出了与云平台联动的安全策略动态保障机制，以及适应云动态网络拓扑的策略自动编排关键技术，为新型数字化基建云计算网络安全防护提供相关借鉴。
内容目录：
1 云计算网络安全风险分析
2 基于安全域的云租户隔离安全防护
3 与云平台联动的策略动态保障机制
3.1 安全策略管理要素
3.2 安全策略动态保障
4 适应动态网络拓扑的策略自动编排
4.1 云计算动态网络拓扑
4.2 安全策略规划模型
4.3 安全策略自动编排
5 结语
随着企业数字化转型的逐渐深入，以云计算为代表的新一代信息化建设愈演愈烈。云计算是依托计算机网络发展起来的，采用虚拟化技术，实现了计算资源、网络资源、存储资源的整合和动态分配，提高了资源利用率。云计算同时具有强大的计算能力，可以实现对信息的利用与分析，能够更好地为人们的生活和生产提供服务。
但是在云计算环境下，除了存在传统的计算机网络安全风险外，云计算的数据中心化、资源虚拟化、多租户隔离、网络动态变化等特性引入了新的网络安全风险，近一步影响了云计算网络的服务能力与安全。为此，需要从多个层面根据系统中各部分数据信息重要程度、资产等级的不同需求出发，将具有相同安全需求的部分划分为不同安全域来保障信息与信息系统的安全，构建具有纵深防御能力的安全防护体系，以应对多样复杂的云计算网络安全威胁。除此之外，基于传统计算网络的静态网络安全策略管理与配置，已不能满足云计算环境网络弹性伸缩情况下，实时、动态的安全防护需求。
本文针对当前云计算网络主要安全风险，重点阐述了基于安全域的云网络隔离安全防护方案，同时提出了与云平台联动的安全策略动态保障机制，近一步阐述了适应云动态网络拓扑的策略自动编排关键技术。
１ 云计算网络安全风险分析
云计算以传统信息技术为基础，综合运用虚拟化、分布式等技术，对计算资源、存储资源进行集中整合、池化管理和共享使用，提供弹性伸缩、动态扩容、按需分配的能力。由于云计算自身的技术特点和应用模式，除了传统计算机网络中的安全威胁仍然存在，还面临新的安全威胁，主要表现为以下几个方面：
（1）网络环境更复杂。云计算环境下，计算网络环境十分复杂，用户数量众多，智能手机、办公平板、家用PC机等多种类型用户终端，随时随地登录访问云数据中心，同时加上云数据中心采用基于虚拟化技术的资源池提供网络服务，使得云计算网络规模弹性伸缩，网络拓扑动态变化，在网络开放性增加的同时，增加了网络攻击面。
（2）多租户隔离困难。云计算利用多租户带来的资源高度共享，提高了资源利用率，降低了单位资源成本，但是资源共享带来的租户间隔离性降低，导致了租户之间网络、数据等安全性降低。目前传统云平台自身的租户隔离机制VPC（Virtual Private Cloud，虚拟专有云）采用路由标签转发等控制技术实现网络安全域隔离，由于数据明文传输，因此难以有效应对网络嗅探、数据篡改、数据重定向等安全威胁。
（3）安全运维自动化程度不高。云计算系统网络规模庞大、业务类型多样、人员组成复杂，云数据中心和云终端接入侧部署有大量网络安全设备，实现对云环境下的纵深多层次体系化安全防护。但是云计算资源虚拟化、网络弹性伸缩、服务按需的特性，需要随时调整和配置不同的网络策略，适应网络拓扑和业务等变化带来的安全需求调整，使得目前基于传统人工规划、管理和保障的安全运维模式已不能有效地满足高效、动态和全面的云安全保障需求。
基于上述风险分析，云网络安全意义十分重要，直接关系到云网络的服务性能，关系到用户重要数据、业务安全。随着云计算、大数据等新型数字基础设施建设加速，网络安全问题日益突出，亟需在传统网络安全防护的基础上，结合云计算特点，通过基于密码增强的安全域动态构建、网络安全策略动态保障等综合手段，实现云环境下体系化网络安全防护，同时提高安全域和安全策略的运维保障自动化程度，减轻安全运维负担。
２基于安全域的云租户隔离安全防护
安全域是一个具有相同安全边界、责任区域、安全使命、访问属性等要素所组成的安全防护逻辑区域，不同安全域之间相互协作，共同维护系统安全。根据云计算系统业务部署特点和安全隔离增强需求，依托防火墙、安全路由器、VPN网关等网络安全设备，构建租户VPN环境，实现租户网络、主机和应用环境的安全隔离。
为了掌握云计算网络安全设备整体信息，能够更好地基于动态网络拓扑进行可视化、自动的安全域和网络安全策略管理和配置，引入了独立的云安全管理平台。
云安全管理平台安全域规划要素包括云租户平台资源和网络安全防护资源两部分。租户平台资源包括业务物理服务器、业务虚拟机和存储服务器等服务器资源，以及物理机IP地址、虚拟机IP地址和VLAN子网等网络资源；网络安全防护资源包括网络安全设备、安全资源和安全策略等三类。网络安全设备包括云数据中心侧部署的防火墙、IPS及VPN网关设备等，以及云终端侧部署的云终端网络安全接入设备等，安全资源包括安全域密钥和租户存储密钥，安全策略包括云数据中心东西向网络策略，以及云终端侧南北向网络策略等。
云安全管理平台与云平台管理系统联动，完成安全域创建、规划和动态调整。不同安全域之间网络安全设备配置隔离的安全策略和密钥，实现不同安全域的隔离保护。云计算网络安全域动态规划流程如图1所示。
图1 云计算网络安全域隔离动态规划
（1）网络安全设备规划。云安全管理平台根据云平台规划信息（业务服务器规划，网络资源规划、存储资源规划）进行网络安全设备规划。
（2）安全策略规划。结合各种网络安全设备的保护关系和接入关系，完成云数据中心侧内部东西向网络安全策略规划，以及云数据中心和云终端侧南北向网络安全策略规划。
（3）安全资源配置。云安全管理平台为安全域配备相应的安全资源，包括安全域密钥和租户存储密钥。
（4）租户管理员配置。云安全管理平台为每个安全域设置租户管理员，并设置访问管理权限。。
（5）安全域规划动态调整。云安全管理平台在线监控网络安全设备状态上报、故障信息、应急响应等情况，同时和云管理平台信息协同，完成安全域的弹性伸缩和网络安全防护动态调整。
３与云平台联动的策略动态保障机制
除了采用基于安全域实现租户间的隔离保护外，面对虚实结合的云计算环境，传统的按系统静态分割的策略配置管理手段缺乏高效、灵活的安全策略动态配置手段，无法满足云计算网络环境下安全策略集中管控和动态配置需求，难以实现大规模网络安全设备的动态管控能力。
为了有效兼顾安全策略管控和用户灵活使用需要，云安全管理平台需要和云管理平台进行协同联动，对网络安全策略动态规划和调整，实现安全策略动态管理保障。
3.1 安全策略管理要素
云安全管理平台基于安全域信息，针对云中心侧和终端侧部署的VPN网关进行安全策略规划。安全策略管理要素除了传统的源IP地址、源端口、目的IP地址、目的端口、协议类型五元组外，还支持安全域标识、安全域密钥、安全策略类型（明通/密通，组播、无匹配规则禁止互通等）。同时根据VPN网关多接口特性，增加VPN网关接口号（接口ID）绑定关系，以及相关网络配置信息等。安全策略管理要素如图2所示。
图2 安全策略管理规划要素
3.2 安全策略动态保障
云计算网络运行阶段，云安全管理平台通过与云管理平台的接口服务，进行实时联动，获取安全域内由云终端动态接入、网络拓扑弹性伸缩以及虚拟机动态迁移等业务应用，根据网络地址、业务信息、事件日志和设备信息变化情况，并，进行安全策略动态规划和下发，实现安全策略的动态自动化管理保障。安全策略动态管理保障如图3所示。
图3 基于云平台联动的策略动态管理保障
（1）云终端动态接入策略保障。当用户登陆的时候，云安全管理平台向云数据中心侧部署的VPN网关和云终端侧部署的网络安全接入设备分发互通策略，VPN网关与安全接入设备建立互通加密隧道，客户端接入服务器获取服务。
（2）网络拓扑变化策略保障。当云计算中心扩容、虚拟机扩容、网络规划变更或者设备维修更换时，云安全管理平台根据云平台管理系统调整信息将重新生成安全策略，并下发至对应的网络安全设备。
（3）虚拟机动态迁移策略保障。当有虚拟机需要迁移时，云安全管理平台动态调整迁移前的网络安全设备和迁移目标的网络安全设备的互通策略。
４适应动态网络拓扑的策略自动编排
云计算环境复杂网络和大量网络安全设备的安全策略保障需求，对传统人工规划保障的方式提出了新的挑战，迫切需要提升安全策略自动编排能力，将人工规划向自动化转变，提高策略规划效率，适应云平台联动或需求变更动态变化。
4.1 云计算动态网络拓扑
典型的云计算环境业务通信网络可以分为云数据中心内部网络和云数据中心对外通信网络。其中云数据中心内部虚拟机通信，形成东西向网络流量。云数据中心对外通信网络实现数据中心与终端侧用户之间的通信，形成南北向网络流量。
随着业务需求的动态变化，云数据中心虚拟机数量增减、动态迁移，以及终端侧用户的随机接入、退出，会引起安全域内设备互通关系、网络地址扩展等网络拓扑的动态变化。云动态网络拓扑结构如图4所示。
图4 云计算动态网络拓扑
4.2 安全策略规划模型
云数据中心侧，虚拟机能够在同一安全域中的不同物理主机上动态迁移，网络拓扑会随之发生变化。为了确保虚拟机之间的业务互通和安全防护，基于上述分析，针对云数据中心内部互通安全策略，采用网状网络互通模型进行安全策略规划。网状网络互通模型安全策略典型规划如5所示。
图5 网状网络互通模型安全策略规划
云用户终端侧分布式部署的多个网络安全接入设备，保护各安全域子网客户端，与中心侧对应VLAN/VxLAN子网所属安全域的VPN网关，构建业务安全传输通道。基于上述分析，针对云用户终端侧互通安全策略，采用星状网络互通模型进行安全策略规划。星状网络互通模型安全策略规划如图6所示。
图6 星状网络互通模型安全策略规划
4.3 安全策略自动编排
为了解决现有云计算系统依赖人工参与导致策略维护易出错，响应不够及时的问题，在网络策略互通模型的基础上，采用策略自动编排框架，自动执行相应的策略编排和管理操作，具有很好的动态自适应能力。
系统开通规划阶段，云安全管理平台从云管理平台获取租户信息、网络规划、VPC域等信息，依据安全策略规划模型，自动实现系统安全策略保障方案的编排、生成和分发。
系统运行阶段，云安全管理平台与云管理平台实时联动，在线获取虚拟机迁移、终端接入、安全告警、事件响应等多种信息，自适应动态调整安全策略保障方案。安全策略自动编排框架如图7所示。
图7 安全策略自动编排框架
云安全管理平台根据安全管理要素，以及资源模型、策略模型等安全模型，快速匹配规划安全策略保障任务。云安全管理平台通过获取云系统事件响应、异常告警等信息，分析业务类型、事件行为、设备通联关系等要素，匹配相关安全资源和模型，规划并配置新的安全策略和资源，完成安全策略的自动编排。
５结语
随着云计算的逐步发展和大规模应用，云计算系统网络安全问题日益凸显。本文针对现有云计算网络环境更复杂、多租户隔离困难以及安全运维保障自动化程度不高等网络安全风险，设计了基于安全域的云网络隔离安全防护方案，以及与云平台联动的安全策略动态保障机制，同时提出了适应云动态网络拓扑的策略自动编排关键技术，为新型数字化基建云计算网络安全防护提供相关借鉴。
引用本文：张建川,刘欢. 面向云计算的安全域隔离与策略动态保障技术研究[J].通信技术，2021，54（02）：.
作者简介
张建川，学士，工程师，主要研究方向为信息系统安全、保密通信；
刘欢，硕士，高级工程师，主要研究方向为信息系统安全、保密通信。
选自《通信技术》2021年第２期（为便于排版，已省去原文参考文献）
声明：本文来自信息安全与通信保密杂志社，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
