融合媒體云作為電視臺的重要生產(chǎn)基礎平臺，安全建設是重中之重。融合媒體云的安全建設可依據(jù)公安部、總局科技司、中央網(wǎng)信辦的發(fā)布的相關等保規(guī)范要求，進行系統(tǒng)的等保定級和等保建設?？偩挚萍妓尽稄V播電視相關信息系統(tǒng)安全等級保護定級指南》對各級電視中心相關信息系統(tǒng)安全等級保護的定級有明確要求。融合媒體云平臺的等保定級按照“就高不就低”的原則，一般省級電視臺的融媒云平臺需按照三級等保級別進行設計建設。 融媒云的安全建設包括為物理層、資源抽象與控制層、云服務層提供全方位的安全防護，包括訪問控制、應用監(jiān)測、、漏洞掃描、操作系統(tǒng)和應用防護、網(wǎng)站防御、租戶隔離、認證與審計、數(shù)據(jù)安全等模塊，以滿足三級等保要求。 |
|
如圖所示，融合媒體云的安全系統(tǒng)建設包括四大部分。第一，融媒云系統(tǒng)與電視臺內(nèi)部各大IT系統(tǒng)之間的邊界防護，包括與辦公網(wǎng)、現(xiàn)有生產(chǎn)網(wǎng)系統(tǒng)等，需部署相應的高安全區(qū)、數(shù)據(jù)交換隔離區(qū)。第二，融媒云與外部各網(wǎng)絡系統(tǒng)之間的邊界防護，包括與Internet、第三方合作伙伴、公有云和專屬云之間對接時需設置相應的外延域邊界安全防護區(qū)。第三，融媒云內(nèi)部各業(yè)務部門擁有的云資源之間的安全隔離、安全訪問控制，以及具體業(yè)務應用需要數(shù)據(jù)庫審計、Web防護、負載均衡等安全服務，這依賴于融媒云內(nèi)部署的云內(nèi)安全資源池所提供的云安全資源。第四，融媒云的運維安全需要考慮對運維人員身份的驗證、運維權限的分配、運維行為的實時監(jiān)控、運維終端的安全接入等多個方面，方案規(guī)劃在云平臺管理區(qū)設置云運維的安全接入和運維審計系統(tǒng)。 云內(nèi)安全資源池的建設是當前的熱點和難點，超越了傳統(tǒng)IT安全技術的范疇，方案采用了新的安全服務鏈和安全虛擬化技術。 首先，因為云平臺內(nèi)的業(yè)務主機為虛機形式，虛機在云平臺內(nèi)的遷移時常發(fā)生，其物理位置是動態(tài)變化的，這導致傳統(tǒng)IT安全所采用的“確定業(yè)務邊界，劃分安全域”的“圍防”安全思想不再有效。云平臺上業(yè)務系統(tǒng)的安全防護必須能夠隨業(yè)務虛機的位置變化實現(xiàn)“業(yè)務安全域”的動態(tài)重構，即安全服務能夠動態(tài)跟蹤虛機之間、虛機與外部網(wǎng)絡之間的流量路徑變化，在該路徑上動態(tài)加載相應的防火墻、負載均衡、IPS等安全服務，這類似于“塔防”游戲的思路。 |
|
| 為實現(xiàn)云計算中的這種“塔防”安全需求，新華三融媒云方案中基于SDN、NFV和VXLAN技術實現(xiàn)了安全服務鏈技術，云管理平臺可調(diào)用SDN控制器動態(tài)在虛機之間、虛機與外部網(wǎng)絡之間部署安全節(jié)點提供服務，虛機的位置發(fā)生變化時，安全節(jié)點的服務可自動跟隨不中斷?；诎踩真湥蔀槿诿皆苾?nèi)的各類業(yè)務提供南北向（內(nèi)部業(yè)務系統(tǒng)與外部用戶）和東西向（業(yè)務系統(tǒng)之間）的安全防護服務。 |
|
第二，云計算的最大價值在于對IT資源的虛擬化和按需分配，提升IT設備的資源利用率。如何實現(xiàn)安全設備資源的虛擬化和為云租戶的業(yè)務進行按需分配？方案對云內(nèi)安全資源池中的高性能防火墻、負載均衡、IPS等硬件安全設備實現(xiàn)了虛擬化，包括基于H3C安全集群框架（SCF）的多機的N:1虛擬化和基于H3C SOP架構的單系統(tǒng)的1:N虛擬化。云管理平臺根據(jù)云用戶的需求調(diào)用SDN控制器實現(xiàn)對虛擬安全資源的分配、部署。 后續(xù)我們會就云安全服務鏈和安全設備資源虛擬化技術分專題再做詳細介紹。 |
|
||||
Copyright© 重慶秉通精益信息技術有限公司 | |
渝公網(wǎng)安備 50010702502937號