基于云安全模型的信息系统安全等级保护检测分析

左丹霞

摘要：目前，云计算中心以虚拟化技术为支撑，依据系统安全等级方面的相关要求，需对与云计算信息系统相关内容实施安全等级保护方面的实时检测工作。该文基于云计算信息系统所具有的安全特性为出发点，简单介绍了构建云安全服务模型基本情况，另对管理中心相应情况也一并分析，探讨了基于云安全模型的信息安全等级具体的检测方法。

关键词：云安全模型；信息系统；安全等级；检测保护

中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2016）19-0052-02

云计算作为一种易扩展而又具有动态性，且选用高速互联网处理数据信息的过程。伴随当前云计算技术水平的日益提升，与之结伴的云计算安全问题日渐凸显，已然成为各相关部门及厂商所关注的重点内容。在云计算框架内，虚拟化乃是网络环境主要的出现形式，以往开展测评工作所需要运用的网络设备或物理服务器，在当前云计算环境下，存在诸多差异。当将云安全技术退出之后，设别及查杀病毒，已经并不仅仅依靠本地的病毒库，而是利用更为广泛的网络服务体系，分析并处理所出现的各种病毒隐患。

1 云计算信息系统安全特性概述

与计算信息系统相比于传统形式的互联网信息系统，其利用服务端处理所有数据，并将其储存起来，而对于终端用户而言，则利用网络对所需要的而各种信息和服务及时获取，无需基于本地配置下，便可对数据实施储存及处理工作。依据为网络为基础所设置的对应网络安全防护设施，在系统服务端，可将安全审计系统和身份兼备进行统一设置，从而保证诸多系统所可能发生的安全问题，均可及时且有效的解决，但由于不断更新的服务模式，又会带来诸多新的安全问题，比如数据泄露、不安全的服务接口及滥用云计算等。

2 构建管理中心及云安全服务模型

构建云安全服务模型：对于现实当中已经出现的各种云产品而言，在诸如服务模型、资源位置及部署模型等各方面而言，其所展现的模式及形态各不相同，所形成的安全控制范围存在差异，安全风险特征也各不相同。因此，需基于安全控制方面，对云计算模型完成创建，然后描述各属性组合所具有的云服务架构，进行为云服务架至安全架构合理映射给予保证，进而为设备的风险识别及安全控制提供科学依据。

3 基于云安全模型的信息安全等级测评方法

基于云安全信息安全有关保护测评的方法，就是依据云安全中心模型以及云安全服务模型，结合用户在云安全方面所存在的各种需求，首先，促使安全模型始终处于整个安全等级保护体系作用下的各个位置上。对于安全模型而言，其一段与等级保护技术相连接，而另一端则与则与等级保护相应管理要求相连接。

依据云安全信息中心相应建模状况，全面分析云安全模型框架下的支撑安全及核心技术，最终取得企业在云安全领域范围内的信息安全等级测评模型，以模型为参照，开展后续的检测工作。

3.1 基于等级测评云安全模型下控制项

经过上述分析可知，在云安全等级保护模式框架内嵌套云安全模型，进而开展与云安全存在相关性的信息安全等级评价，另外，分析基于安全模型下相关控制项。然后查看授权状况及云认证，并测评是否存在有诸如敏感文件授权、程序授权及登陆认证等状况。最后依据访问控制模型的差异，对访问控制的目标进行选择，即依据实际情况选择为角色型访问、自主性访问或强制性访问，然后运用切合实际的应对方法。为了对网络访问资源提供保障，可对开展分配及控制操作，需建立更为可靠的解决策略及执行办法。当所运用的方式可靠而又统一，才能为安全策略的自动执行提供保障。针对网络数据的加密状况进行测量时，需以静态或动态的方式，保护标准的服务类型及加密功能。针对数据的恢复及备份情况进行探测时，需检查是否是安全的云备份，另外还需查看密码钥匙的管理状况，磁带有无加密以及数据实际销毁状况，而在所开展的各项检查中，重点为供应商所提供的数据备份。还需对是否可控制管理用户的身份进行查看，能否对用户角色具体的访问内容进行管理。另外，对用户的审计日志及安全服务进行查看，即告警管理与维护、主机的维护以及网络设备的监控管理等。控制项分析范围：（1）云认证和授权。云认证与授权重点乃是查看是否有敏感文件授权、程序运行授权、服务认证及登录认证等，（2）云访问控制。依据所建立的相应访问控制模型，以此来对其是否为角色型访问控制、自主访问控制策略及强制访问控制策略予以确定，然后家用对应方法进行分析。（3）云安全边界与隔离。知晓系统实施安全隔离的具体机制，安全区域的划分方法以及硬件安全的相关技术支持等。（4）云安全存储。可将所有数据储存成加密格式，而对于用户而言，需分离出数据。（5）恶意代码防范。首先需了解恶意代码是否存在，并采取与之对应的防范举措。（6）云安全管理。需对全面软件资产、网络及物理/虚拟硬件进行管理，管理当中相应测评要求需一致于等级保护管理要求。（7）网络安全传输。需对网络安全传输选用加密方式与否予以了解。（8）网络配置及安全策略。如若想要获取更为有效的访问控制及资源，需对安全策略采取一种更为可靠且统一的方式执行。解决及定义。利用此种方式促进安全策略自动执行的实现。

3.2 等级测评云安全模型风险性分析

按照有关等级保护的具体要求，采用风险分析的相关方法，在分析信息系统过程中，需对如下内容给予重视。（1）访问控制、授权及云身份认证。对于云安全而言，其不仅对于访问控制及授权具有十分重要的作用，对于用户身份的认证同样重要，但其实际效果的发挥，需将现实实施状况作为依据。（2）设置云安全边界。针对基于云安全内部的具体的网络设备而言，其需要利用诸如防火墙的措施，实施更为有效的安全防护举措，但对于外部的云用户而言，其则需采用虚拟技术，此技术自身便存在有安全风险，因此，必须对其实施有效而全面的安全隔离举措。（3）数据信息备份及云安全储存。通常情况下，云供应商所运用的数据备份方式，乃是最为有效且更具安全性的保护模式，尽管供应商在实施数据备份方面已经十分安全，但通常情况下依然会发生相关数据的丢失，因此，在条件允许的情况下，公司需选用云技术，对全部数据予以共享，并对其进行备份，或在还会发生数据彻底丢失的情况下，启动诉讼程序，进而从中获取有效的赔偿。在云计算过程中，通常发生由于数据的交互放大，而造成数据出现泄漏或丢失状况，如若出现安全时间，且用户数据出现丢失状况，此时，系统需将安全时间及时、快速的上报于用户，避免更大范围的数据丢失（4）账户与服务劫持。攻击者从云服务用户中获取账号，造成云服务客户端产生相应安全风险。（5）不安全的API及接口。第三方插件存在安全风险，或较差的接口质量。（6）安全事件通报。如若发生安全事件，导致用户数据出现安全风险，整个系统就会将数学信息及时上报，防止出现较大程度的损失。

4 结语

伴随当今云计算技术的日益发展和完善，云计算信息系统今后必然成为整个信息化建设的重要构成。本文基于云安全等级保护检测，对云计算信息系统所具有的安全特性进行简要分析，并探讨了云安全服务模型及构建管理中心，以此为依据提出切合实际需要的云安全模型的信息安全等级检测方法。

参考文献：

[1] 成瑾， 刘佳， 方禄忠. 面向电信运营商云计算平台的安全检测评估服务体系研究[J]. Computer Science＼s&＼sapplication， 2015， 05（4）：83-91.

[2] 江颉， 顾祝燕， 高俊骁，等. 基于敏感等级的云租户数据安全保护模型研究[J]. 系统工程理论与实践， 2014（9）：2392-2401.

[3] 陈雪秀， 于晶， 陈驰，等. 基于等级保护的云计算安全防护体系研究[J]. 中国数字医学， 2014（11）：44-47.