前言：尋找寫作靈感？中文期刊網用心挑選的云計算核電信息安全防護探索，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
摘要：
隨著云計算技術在核電廠的推廣應用，企業的信息化水平提升到新的高度。企業對信息安全可靠性、保密性、完整性產生更高的述求，信息安全的防護工作日趨緊迫。傳統的信息安全防御手段無法應對新出現的威脅，因此需結合現有的信息安全體系，采取與云計算技術相結合的手段開展一系列信息安全防護工作。本文主要介紹了云計算的相關概念和體系架構，云計算技術在核電的應用，國內核電信息安全體系現狀，以及基于云計算的核電信息安全體系設計。
關鍵詞：
云計算；核電；信息安全
核電行業是很早就使用計算機實現生產自動化的企業。繼個人計算機、互聯網變革之后，2010年，云計算作為第三次IT浪潮的代表正在向我們走來。它將帶來人類生活、生產方式和商業模式的根本性改變，成為當前全社會關注的熱點。云計算的目的是將不同的IT資源（資源包括網絡，服務器，存儲，應用軟件，服務）以服務的方式交付給用戶。計算資源、存儲資源、軟件開發、系統測試、系統維護和各種豐富的應用服務，都將像水和電一樣方便地被使用。信息實質上是一種資源，其價值在于其所能創造的機遇與利益。信息安全的目的即是保護信息的完整性、可用性及保密性等屬性，以保證信息的價值。一旦信息的完整性、可用性或保密性缺失或受損，信息的價值將大打折扣。核電廠作為國防建設的重點單位，信息安全重要性尤為突出。隨著云計算技術在核電廠的推廣應用，信息安全的防護出現一些新的變化，本文即是針對這些新的變化進行相應的探討，目的是提升核電廠信息安全水平。
1云計算概念和體系架構
網絡通信、分布式計算及服務計算等技術的發展為云計算的實施提供了強有力的支撐。NIST指出云計算是一種以通過網絡連接，便攜且按需訪問的可配置共享資源池的服務，計算資源將以最小的管理和交互代價快速提供給用戶；同時云計算還應滿足按需自助服務、廣泛網絡接人、高效資源共享、高彈性計算、支持度量計費等五大功能特性。根據云計算所提供服務類別的不同，云計算的服務模式可以分為軟件即服務(SoftwareasaService，SaaS)、平臺即服務(PlatformasaService，PaaS)和基礎設施即服務(InfrastructureasaService，IaaS)。典型的云計算平臺架構如下：IaaS、PaaS、SaaS在功能范圍和側重點上都存在差異，其中IaaS需要在異構資源環境下，提供按需付費、可度量資源池功能，同時要兼顧硬件資源的充分利用和用戶需求的滿足；PaaS不僅關注底層硬件資源的整合，還需要提供能夠供租戶進行開發、調試應用的平臺環境；SaaS不僅需實現底層資源的充分利用，還必須通過部署一個或多個應用軟件環境，為用戶提供可定制化的應用服務。
2云計算技術在核電企業的應用
隨著核電ERP/EAM/ECM等核心系統的構建，以及IT架構的進一步集中調整，整個核電IT系統的架構變的更為復雜。為了提升信息化水平，提高資源利用率，核電廠開展云計算相關技術研究，結合企業實際情況，遵循四化的理念來建立、提升、完善云計算平臺的能力。核電企業四化包括：資源管理集約化：通過對企業計算、存儲、網絡資源的集中化、標準化、服務化管理實現高效、彈性的IT架構；應用交付一體化：通過軟件全生命周期管理的自動化以及面向企業級應用的業務框架提高企業應用的交互能力；系統運營智能化：通過全方位的監控和時間處理，將數據植入到運營流程中，達到流程化、智能化運行的目標；運維管理自動化：通過運維作業集中管理調度與監控實現運維作業的標準化和自動化提高應用運維的效率和可管理型。
3國內核電信息安全體系現狀
目前國內大部分核電企業的信息安全體系建設主要遵守《電力行業信息系統等級保護定級工作指導意見》（電監信息[2007]44號）、《信息安全等級保護管理辦法》和《關于進一步推進中央企業信息安全等級保護工作的通知》（公通字[2010]70號）等，以上述辦法圍繞等級保護來開展信息安全體系建設。一些信息化建設水平較好的核電企業，在信息安全建設過程中逐步借鑒和參考國際國內先進的信息安全標準，主要是目前國際上應用最廣泛的ISO27001信息安全管理體系。在傳統的信息安全時代主要采用隔離作為安全的手段，具體分為物理隔離、內外網隔離、加密隔離，實踐證明這種隔離手段針對傳統IT架構能起到有效的防護。同時這種隔離為主的安全體系催生了一批以硬件銷售為主的安全公司，例如各種FireWall（防火墻）、IDS/IPS（入侵檢測系統/入侵防御系統）、WAF(Web應用防火墻)、UTM(統一威脅管理)、SSL網關、加密機等。在這種隔離思想下，并不需要應用提供商參與較多信息安全工作，在典型場景下是由總集成商負責應用和信息安全之間的集成，而這導致了長久以來信息安全和應用相對獨立的發展，尤其在國內這兩個領域的圈子交集并不大。結果，傳統信息安全表現出分散割據化、對應用的封閉化、硬件盒子化的三個特征。信息安全體系的基本建設要素包括物理安全、網絡安全和系統安全三個要素。（1）物理安全。物理安全主要涵蓋機房安全、信息設備安全、通信線路安全等，保障信息機房的電源、溫濕度、進出入的安全，保障信息化基礎設施、通信線路等的運行可靠性、雙鏈路互備等措施。（2）網絡安全。互聯網的安全主要以防火墻為核心，輔以IPS、防病毒網關等設備為核電構建統一的、安全的互聯網出入口。內部局域網作為網絡中終端數量最大、用戶最多的區域，一直是網絡安全防護的重點區域。首先，局域網要進行核心層、匯聚層、接入層的規劃和IP地址劃分，核心層要滿足雙機熱備的要求。在網絡管理中要實現網絡資源的配置、網絡流量監控，保障局域網絡的穩定通暢。其次，終端安全管理是內部局域網安全的管理重心，建立終端管理、防病毒、移動介質等防控手段。（3）系統安全。信息系統的穩定運行是支撐核電業務連貫性的必要條件，信息系統的服務器、操作系統、數據庫、系統接口等的管理有效性是實現系統安全、穩定運行的基礎。系統的應用安全主要指系統中數據訪問、流程審批、操作合規性等安全，主要通過用戶認證、電子證書、文檔加密、行為審計等手段來加以監控。
4基于云計算的信息安全體系設計
核電企業云平臺承載企業的關鍵應用，數據作為企業的資產，其安全性需要采取相應措施加以保障，核電企業在建設云平臺過程中，注重安全管理。安全管理是為了建設可靠的安全保障體系，實現應用服務及數據調用的安全認證和安全審計，主動的異常數據操作行為的監控分析、預警機制，并提供異常問題的倒查追溯能力。為了更好的保證業務之間的隔離性和安全性，核電廠從三個方面建立信息安全體系：（1）訪問安全。訪問安全基于身份認證和權限認證來完成。身份認證是建立統一的用戶信息庫，為系統提供身份認證服務，只有合法用戶才能對信息化系統進行訪問；權限認證主要是根據用戶身份對其進行權限判斷，以權限認證與統一認證相結合，為信息化系統提供方便、簡單的、可靠的授權服務，從而對用戶進行整體的、有效的訪問控制，保護系統資源不被非法或越權訪問，防止信息泄漏。（2）數據安全。數據安全是對涉密及內部信息系統進行嚴格的安全防護，對涉密計算機、數據、敏感業務系統采用認證、加密等技術手段進行控制。數據安全主要包括：數據完整性，數據保密性，備份和恢復。數據完整性：通過循環冗余校驗（CRC）以及消息認證碼（帶密鑰的Hash函數）來保證完整性。數據保密性：通過傳輸協議加密以及數據加密來保證保密性。備份和恢復：對重要信息進行備份，并對備份介質定期進行可用性測試。（3）操作安全。操作安全是為了防止誤操作帶來的風險，如刪除關鍵數據造成系統無法正常運行。操作安全可以通過事前預防和事后補救這兩方面來保證。事前預防是通過對關鍵操作進行多人復核，降低單人誤操作機率；事后補救是通過操作日志來回滾誤操作。結合云計算平臺建設現狀和企業實際，核電廠從云平臺基礎安全、云平臺攻防安全、云平臺運維安全等方面建設信息安全體系，構筑全方位的信息安全防護屏障。
4.1云平臺基礎安全
（1）網絡安全。云計算平臺網絡分為兩部分：管理平面和業務平面網絡。管理平面網絡主要用來管理云計算主機，業務網絡主要負責傳遞業務系統相關數據，兩者傳輸數據不同，訪問授權也不一致，需將管理平面和業務平面網絡隔離。此外，需關閉未使用的網絡端口防止非法接入，回收服務器默認路由防止主動外聯。（2）宿主機安全。首先要保證操作系統安全，減少系統漏洞。由于云計算操作系統大部分是基于開源平臺開發，存在漏洞較多。因此進行系統定制化開發時候需將操作系統內核和組件精簡，減少非必要的功能，修復相關漏洞，對主機做符合業界安全規范的配置加固，內核防提權模塊加固等。（3）多租戶資源隔離。云計算平臺的典型場景是多租戶共享，但和傳統IT架構相比，原來的可信邊界徹底被打破了，威脅可能直接來自于相鄰租戶。租戶通過Hypervisor(虛擬機監視器)共享同一個物理操作系統的計算資源，在一張共享的二層網絡上實現網絡的區隔。攻擊者一旦通過某0day漏洞實現虛擬逃逸到宿主機，攻擊者就可以讀取這臺宿主機上所有虛擬機的內存，從而可以控制這臺宿主機上的所有虛擬機。同時更致命的是，整個云平臺節點間通訊的API默認都是可信的，因此可以從這臺宿主機與集群消息隊列交互，進而集群消息隊列會被攻擊者控制，最終一舉攻破整個云主機集群。云服務器租戶隔離從以下幾個方面設計：基于VT-x技術隔離CPU；硬件輔助EPT技術隔離內存；分離設備驅動I/O模型隔離存儲；交換型Vswitch，不同VM的數據包被轉發到對應的虛擬端口；VM的IP、Mac地址綁定防地址欺騙及網絡嗅探；物理內存、物理存儲重分配前清零；用戶數據打標簽隔離存儲。（4）數據存儲安全。數據是信息系統最核心要素，數據的可靠性和安全性在信息安全中地位尤為突出，云計算平臺采取了分布式存儲技術，將數據分散在多個磁盤中。同一數據分別備份三份存儲于磁盤中，任意部分丟失均立刻進行恢復，可靠性達99.9999%，較好保障數據安全性；為應對物理拷貝，將數據打散后即使單獨拷貝磁盤出去，無系統進行數據提取、整合，無法恢復數據。
4.2云平臺攻防安全
互聯網攻防體系包括DDOS攻擊防御、入侵防御、弱點分析和態勢感知四個方面，整體架構如下：（1）DDOS攻擊防御。DDOS(分布式拒絕服務)，是指借助于客戶/服務器技術，將多個計算機聯合起來作為攻擊平臺，很多DOS攻擊源一起攻擊某臺服務器就組成了DDOS攻擊。DDOS攻擊本質上是一種只能緩解而不能完全防御的攻擊，它不像漏洞那樣打個補丁解決了就是解決了，DDOS就算購買和部署了當前市場上比較有競爭力的防御解決方案也完全談不上徹底根治。防火墻、IPS、WAF這些安全產品都號稱自己有一定的抗DDOS能力，而實際上他們只針對小流量下，應用層的攻擊比較有效，對于稍大流量的DDOS攻擊則無濟于事。結合云計算平臺特點，DDoS攻擊防御使用DDoS清洗系統，通過封堵大流量DDoS攻擊，保障云平臺可用；通過攔截應用層DDoS/CC攻擊，保障業務可用。DDoS清洗系統可1秒完成檢測->牽引->清洗->回注流程，全自動響應，無人值守，提高效率，降低成本；與全球信息安全防護廠商共享數據，提供最大450+Gbps防御能力，可抵御海量攻擊；采用了精準的攻擊檢測技術，網絡抖動小。本系統配置專用大數據平臺，采用基于大數據分析技術可快速分析惡意IP庫、惡意行為庫。（2）入侵防御。入侵防御系統是一部能夠監視網絡或網絡設備的網絡資料傳輸行為的計算機網絡安全設備，能夠即時的中斷、調整或隔離一些不正?；蚴蔷哂袀π缘木W絡資料傳輸行為。傳統的入侵防御系統多集中在應對4~7層的應用攻擊，在應對DDoS洪水型攻擊時卻顯得捉襟見肘，而基于云計算的入侵防御系統不但要集成的原有入侵防御產品多層的防攻擊功能，更需具有專業抗DDoS攻擊功能，可清洗2~4層的洪水型攻擊流量，能夠從而實現系統全方位的入侵防護。云計算入侵防御系統需要具備功能包括：實時網絡入侵攔截，封堵惡意行為；自動木馬后門檢測，保護主機安全；弱點分析，可以快速分析出系統存在漏洞、弱點及時發現弱點，自動修復漏洞；具備實時掃描功能，風險隨時可知。（3）網絡態勢感知。所謂網絡態勢是指由各種網絡設備運行狀況、網絡行為以及用戶行為等因素所構成的整個網絡當前狀態和變化趨勢。網絡態勢感知是指在大規模網絡環境中，對能夠引起網絡態勢發生變化的安全要素進行獲取、理解、顯示以及預測最近的發展趨勢?；谠朴嬎愕膽B勢感知服務可以讓企業決策者發現眼睛看不見的風險。態勢感知的第一個特點是以海量數據、超強的計算為依托，讓黑客攻擊顯影。第二個特點就是讓風險可視化。有了它，沒有安全技術基礎的人也能看見風險的過去、現在和將來?；谠朴嬎愕膽B勢感知系統需具備功能包括：安全數據大屏實時展示；集中安全策略管理；多維度日志關聯分析；時間+空間，安全風險全局態勢感知。（4）數據庫審計。數據庫是企業最具有戰略性的資產，通常都保存著重要的商業伙伴和客戶信息，這些信息需要被保護起來，以防止競爭者和其他非法者獲取。面對日趨復雜的安全風險，必須部署數據庫審計系統。數據庫審計能夠實時記錄網絡上的數據庫活動，對數據庫操作進行細粒度審計的合規性管理，對數據庫遭受到的風險行為進行告警，對攻擊行為進行阻斷。它通過對用戶訪問數據庫行為的記錄、分析和匯報，用來幫助用戶事后生成合規報告、事故追根溯源，同時加強內外部數據庫網絡行為記錄，提高數據資產安全?；谠朴嬎愕臄祿鞂徲嬒到y是在數據庫虛機上安裝數據庫審計業務端程序，該程序會對該虛機上的數據庫業務進行審計。另外在中控區部署統一的數據庫審計管理端程序，對所有業務端程序提供集中管控。
4.3云平臺安全運維
隨著云計算平臺的建設推進，各應用系統也進行了基于“云”的設計改造，因此必須建立一套完整的基于云計算的安全運維體系，保證各類緊急事件能夠及時處理。基于云計算的安全運維體系應包括以下兩個方面。（1）帶外管理分離與運營平臺。云平臺的運維管理應與業務網絡分離，同時建立運維平臺和運營平臺。運維平臺主要供IT管理員進行云平臺的運維，運營平臺提供運營相關服務，包括計費、考核、流程審批等。（2）運維管理審計。InforCube運維管理審計系統涵蓋多種運維協議（RDP、SSH、TELNET、FTP、SCP等）并提供操作回放檢索、輸入記錄、標題抓取等功能，從明確人、主機、帳戶各個角度，提供豐富的統計分析，幫助用戶及時發現安全隱患，協助優化網絡資源的使用。它能夠對運維人員的訪問過程進行細粒度的授權、全過程的操作記錄及控制、全方位的操作審計、并支持事后操作過程回放功能，實現運維過程的“事前預防、事中控制、事后審計”，在簡化運維操作的同時，全面解決云計算復雜環境下的運維安全問題，提升企業IT運維管理水平。
5結束語
云計算平臺的信息安全體系建設，除了要依據上級單位的要求，參照ISO27001和信息系統安全等級保護體系開展企業信息安全建設，更重要的是要根據云平臺架構特點，有針對性進行方案設計，采取更先進的技術進行安全加固。新技術的發展日新月異，相應的安全威脅手段也在改進，如僅僅按照國標和行業的標準進行安全防范，無法防范新出現的威脅。因此針對云平臺的信息安全體系建設日趨緊迫。此外，在做好信息安全的技術防御之時，提高管理、加強對安全體系的審查改進是重要的落地手段。通過安全體系的設計，落實改進措施，定期實施加固，將安全體系落實到實處，才可以保障企業的信息安全。
作者：張榮斌 單位：中核核電運行管理有限公司
參考文獻：
[1]梅生偉,王瑩瑩,陳來軍等.從復雜網絡視角評述智能電網信息安全研究現狀及若干展望[J].高電壓技術,2011,37(3):672-679.
[2]李文武,游文霞,王先培等.電力系統信息安全研究綜述[J].電力系統保護與控制,2011,39(10):140-147.DOI:10.3969/j.issn.1674-3415.2011.10.026.
[3]謝迎軍.信息及信息安全思辨[C].//中國電機工程學會電力通信專業委員會第九屆學術會議論文集.2013:822-826.
[4]工業和信息化部信息安全協調司司長趙澤良：積極應對風險挑戰維護國家信息安全[J].信息安全與通信保密,2012,(3):2-2.
[5]杜保東,楊慶明,李冰等.企業云計算信息安全方案研究[J].信息系統工程,2014,(5):67-68.
[6]汪兆成.基于云計算模式的信息安全風險評估研究[J].信息網絡安全,2011,(9):56-59.DOI:10.3969/j.issn.1671-1122.2011.09.018.
[7]楊成.解析現階段云計算的應用與信息安全[J].科技展望,2015,(20):1-2.
[8]中華人民共和國國家標準GB/T22239-2008《信息系統安全等級保護基本要求》
[9]ISO/IEC27001信息安全管理要求
[10]馮登國、張敏、李昊，大數據安全與隱私保護,計算機學報，2014年1月,Vol.37No.1
