CSA云计算安全技术要求-IaaS 安全技术要求

控制域 网络访问安全 基本要求 a) 应支持保护用户访问云计算中的资源时通信消息的完整性和机密性的能力； b) 应支持用户访问云计算中的资源前通过用户鉴别和鉴权的能力； a) 应支持服务API调用前进行用户鉴别和鉴权的能力； b) 应支持涉及租户资源操作的服务API调用前验证租户凭证的能力； c) 应支持用户调用服务API的访问控制能力； d) 应支持服务API接口的防范重放、代码注入、DoS/DDoS等攻击的能力； e) 应支持服务API接口安全传输能力； f) 应支持服务API接口过载保护能力，要求实现不同服务等级用户间业务的公平性和系统整体处理能力的最大化； g) 应支持服务API的调用日志记录能力。 a) 应支持Web代码安全机制的能力，包括对输入输出进行有效性检查，以及采取防范认证漏洞、权限漏洞、会话漏洞、Web服务漏洞、注入漏洞等代码漏洞的措施； b) 应支持对用户通过Web访问资源进行访问控制的能力； c) 应支持Web远程访问安全传输的能力。 参考业界最佳实践 a) 应支持物理主机外设管理的能力； b) 应支持硬件部分损坏情况下数据恢复的能力。 a) 应支持绘制与当前运行情况相符的网络拓扑结构图，支持对网络拓扑进行实时更新和集中监控的能力； b) 应支持划分为不同的网络区域，并且不同区域之间实现逻辑隔离能力； c) 应支持云计算平台管理网络与业务网络逻辑隔离的能力； d) 应支持云计算平台业务网络和管理网络与租户私有网络逻辑隔离能力； e) 应支持云计算平台业务网络和管理网络与租户业务承载网络逻辑隔离的能力； f) 应支持租户业务承载网络与租户私有网络逻辑隔离的能力； g) 应支持网络设备（包括虚拟化网络设备）和安全设备业务处理能力弹性扩展能力； h) 应支持高可用性部署，在一个区域出现故障（包括自然灾害和系统故障）时，增强要求 / 访问层安全 API访问安全 / Web访问安全 物理与环境安全 基础硬件安全 / 资源层安全 物理资源安全 a) 应支持检测服务器或存储设备硬件发生变更并予以提示的能力 a) 应支持指定带宽分配优先级别的能力； b) 应支持虚拟化网络边界的访问控制； c) 应支持区域边界的双向访问控制，控制从内往外和从外往内流量的能力。 网络安全 网络架构安全 网络边界安全 网络授权及审计 资源管虚拟资理平台源安全 安全 计算资源管理平台安全 自动将业务转离受影响区域的能力。 a) 应支持对进出云计算平台业务网络和管理网络的信息进行过滤的能力； b) 应支持对云计算平台管理网络最大流量及单用户网络连接数的限制能力； c) 应支持对云计算平台管理员访问管理网络的访问控制能力； d) 应支持对云计算平台业务网络和管理网络的非法连接检测及阻断能力；(注：非法连接包括从外部网络非法连接到内部网络，以及从内部网络非法连接到外部网络两种情况) e) 应支持对网络边界管理设备受控接口ACL策略支持自动化更新能力； f) 应支持对恶意虚拟机的隔离能力，支持阻断恶意虚拟机与外部网络以及和其他虚拟机的通信能力； g) 应支持对云计算平台DDoS攻击防护的能力； h) 应支持对Web应用漏洞进行检测和防护的能力； i) 应支持网络边界流量监控、攻击和入侵行为检测的能力； j) 应支持对恶意代码进行检测和处置的能力； k) 应支持在不同安全等级的区域之间通信时采用安全传输的能力。 a) 应支持对网络设备(包括虚拟化网络设备）的管理员登录地址进行限制的能力； b) 应支持登录网络设备（包括虚拟化网络设备）失败处理的能力； c) 应支持网络设备(包括虚拟化网络设备）管理员登录采用两种或两种以上组合的鉴别技术来进行身份鉴别能力； d) 应支持对网络设备(包括虚拟化网络设备)远程管理时采用安全传输能力； e) 应支持对网络设备(包括虚拟化网络设备)远程管理时特权命令进行限制的能力； f) 应支持对网络设备(包括虚拟化网络设备)管理员权限最小化的能力； g) 应支持对网络设备(包括虚拟化网络设备)管理员登录时用户标识唯一能力； h) 应支持区域边界处的网络设备(包括虚拟化网络设备)和安全设备的日志记录、审计报表能力 a) 应支持对代码进行安全测试并进行缺陷修复的能力； b) 应支持限制虚拟机对物理资源的直接访问，支持对物理资源层的调度和管理均受虚拟机监视器控制的能力； c) 应支持对计算资源管理平台的攻击行为进行监测和告警的能力，检测到攻击行为时，应能够记录攻击的源IP、攻击的类型、攻击的目的、攻击的时间； d) 应支持最小安装的原则，仅安装必要的组件和应用程序的能力； e) 应支持禁用无需使用的硬件能力； a) 应支持接入第三方安全产品或服务进行不同网络区域之间、租户网络之间的网络安全防护能力； b) 应支持对云计算平台内部虚拟机发起的攻击检测与防护能力，检测出发起攻击的虚拟机，并能记录攻击类型、攻击时间、攻击流量等。(注：内部虚拟机发起的攻击，包括对云计算平台业务网络、管理网络、租户业务承载网络、其他租户私有网络、外部网络等发起的攻击) / a) 应支持对核心软件源代码进行审查并识别后门的能力； b) 应支持重要程序安全启动的能力；（注：安全启动的软件应该是与预期软件版本一致，没有被篡改。） c) 应支持对重要配置文件完整性检测的能力； 存储资源管理平台安全 f) 应支持虚拟机和虚拟化平台间内部通信通道的受限使用能力; g) 应支持组件间通信采用安全传输的能力； h) 应支持管理命令采用安全传输的能力； i) 应支持内核补丁更新、加固及防止内核提权的能力； j) 应支持对恶意代码进行检测和处置的能力； k) 应支持监视计算资源管理平台远程管理连接，中断未授权管理连接的能力； l) 应支持对远程执行计算资源管理平台特权管理命令进行限制的能力； m) 应支持资源监控的能力，资源监控的内容包括CPU利用率、带宽使用情况、内存利用率、存储使用情况等； n) 应支持系统过载保护，保障业务公平性和系统资源利用率最大化的能力； o) 应支持禁止计算资源管理平台管理员未授权操作租户资源的能力；（注：租户资源包括已分配给租户的网络、数据库、存储空间、租户虚拟机以及租户虚拟机上的OS、应用程序等。） p) 应支持计算资源管理平台镜像文件完整性保护的能力； q) 应支持第三方安全产品或服务接入的API接口能力。 a) 应支持对代码进行安全测试并进行缺陷修复的能力； b) 应支持对攻击行为进行监测和告警的能力，检测到攻击行为时，能够记录攻击的源IP、攻击的类型、攻击的目的、攻击的时间； c) 应支持组件间通信采用安全传输的能力； d) 应支持管理命令采用安全传输的能力； e) 应支持内核补丁更新、加固及防止内核提权的能力； f) 应支持对恶意代码进行检测和处置的能力； g) 应支持监视存储资源管理平台远程管理连接，发现未授权管理连接时中断连接的能力； h) 应支持对远程执行存储资源管理平台特权管理命令进行限制的能力； i) 应支持资源监控的能力，资源监控的内容包括CPU利用率、带宽使用情况、内存利用率、存储使用情况等； j) 应支持系统过载保护，保障业务公平性和系统资源利用率最大化的能力； k) 应支持禁止平台管理员未授权操作租户资源的能力； l) 应支持数据存储机密性保护的能力； m) 应支持数据存储完整性保护的能力； n) 应支持数据存储可用性保护的能力； o) 应支持数据的异地备份和备份数据一致性的能力； d) 应支持软件白名单的能力； e) 应支持对非授权组件或设备（包括软件、硬件和固件）的检测，检测到非授权的组件或设备时应支持禁止其网络访问或对其进行隔离或告警的能力； f) 应支持对重要程序运行状态下完整性保护的能力； g) 应支持虚拟机启动过程的完整性保护的能力； h) 应支持虚拟机运行过程的完整性保护的能力。 a) 应支持对核心软件源代码进行审查并识别后门的能力； b) 应支持对重要程序安全启动的能力；（注：安全启动的软件应该是与预期软件版本一致，没有被篡改的） c) 应支持对重要配置文件完整性检测的能力； d) 应支持对非授权组件或设备（包括软件、硬件和固件）的检测，检测到非授权的组件或设备时应支持禁止其网络访问或对其进行隔离或告警的能力。 e) 应支持软件白名单的能力； f) 应支持对用户上传的数据进行加密的能力； g) 应支持对用户的密钥管理的能力； h) 应支持对用户的密钥由租户自管理或第三方管理的能力； i) 应支持数据多副本存储的能力，支持