云安全评估表 云安全检查表 云安全检查清单

【实例简介】
云计算安全的安全评估列表，检查清单，中文，详细列出个云安全各方面的安全关注点及检查点
●云服务提供商是否为客户提供治理策略、标准以及指导方针的副本? 客户是否会被告知治理策略、标准以及指导方针的变更? ●云服务提供商是否对客户提供第三方合规性审计的可见度? 云服务提供商是否对客户提供渗透测试的可见度? 云服务提供商是否对客户提供内部和外部市计的可见度? 云服务提供商是否对客户提供云服务提供南资产管理和设备重新利用的可见度? 云的人员安全是运营安全所在的基础。人员安全的目标是避免几类安全风险并创建强化 在安仝策略屮牯述的目标的环境。清单1-3列出了关于人员安全的评佔标准 清单1-3人员安全 ●是否有对于以下的策略及程序 雇佣对云组件具有访问权限或控制的雇员? 对具有特权权限的人员在雇佣前进行调杳? ●人员安仝在多个地点间是否一致? 这些策略及应用程序是否应用于在线云系统及数据,并且应用于存储数据的离线系 统,或者是将为在线使用而开通的离线系统 是否有安全培训计划,如果有,这个计划有多么全面? ●是否经常对人员安全进行检查并确定具有访问权限的雇员是否应当据需拥有权 限? 是否要求人员具有并保证安全认证? 对云服务提供商设施的物理访问是否要求背景检查? ●分包商或第三方提供的使用会对客户带来不应有的风险,除非这些提供商遵从并 依照云服务提供商的策略运营。清单14具体描述了第三方提供商的标准。 清单1-4第三方提供商 ●是否有任何由第三方提供的服务或功能? 如果云的任何部分进行分包或外包,提供方是否遵从云服务提供商执行的同样的策 略与标准? ●如果遵从这些,是对第三方提供商进行云服务提供商策咯及标准的合规性审计? ●云服务提供商的安全策略(或等价物)及治理是否延仲到所有的第三方提供商? 22业务考虑 各种业务考虑都伴随着安仝考虑的需要。业务考虑包括法律、业务连续性以及资源开通 在淸单15、清单16和清单17中列出了这些评估标准;清单15覆盖了法律标准。 清单1-5法律 数据将存冇哪里,即在哪个司法管辖范围内? 云服务提供商成立于哪里,即在哪个司法管辖范围内? 厶服务提供商是否使用并不位丁相同司法管辖范围内的第三方提供商? 云服务提供商是否将任何服务或人员进行分包? ●云服务提供商是否以任何不属于服务部分的方式使用数据? 对于客户数据,云服务提供商是否有响应法律要求(例如传票)的已形成文件的程 ●在传票的情况下,云服务提供商如何只为单独客户产生数据而并不会提供非传票要 求的数据。 ●云服务提供商是否提供对损尖的保险,包括赔偿由于云服务提供商停运或数据泄露 而造成的客户损失? 业务连续性对亍按照任务关键方式使用基于云的服务的客户可能是十分重要的。与 业务连续性相关的标准在清单16中列出。 清单16业务连续性 ●云服务提供商是否有记录并指导业务连续性的止规流程或应急计划? ●服务的恢复点目标和恢复时间目标是怎么样的? ●在恢复与重建方面信息安全是否完整? 云服务提供商如何将服务损坏通告客户? ●是否有用于灾难恢复的辅助站点? 清单1-7资源开通 需要部署哪控制和程序以管理资源耗尽旳情况,包括流程超额配置、内存或存贮 耗尽,以及网络拥塞? 为了满足服务水平协议(SLA),云服务提供商是否会限制对服务的订购? 云服务提供商是否会对客户提供使用及功能计划信息 2.3.纵深防御 运营云的完整性和安全性取决丁构成云的组件的完整性。软件是漏洞攻击的主要目标 清单1-8软件保证 为了维护操作系统、应用程序、固件升级、配置文件以及其他软件的完整性,需要 部署哪些控制? 需要遵循哪些行业标准、指导方针或最佳实践? 使用哪些控制或指导方针获取或下载软件和配置文件? ●使用哪些指导方针或程序维护软件的完整性? ●对于每个版本是否使用渗透测试或漏洞测试? 已确定的漏洞是如何修复的? 清单1-9网络安全 为了管理来自外部和内部的攻击,包括分布式拒绝服务攻击,需要部署哪些控制? 对于客户,管理程序在虚拟机之间的隔离室如何管理的? ●对于客户,网终硬件和路由虚拟机之间的隔离是如何管理的? 使用什么标准或最佳实践用于实施虚拟网络基础设施? ●对于介质访问控制地址欺骗,地址解析协议中毒等是如何防范的? ●客户可访问/可路山的系统以及云管理系统和基础设施之间的隔离是如何管理的 云客户的流程是否依靠脱离云的租户组件例如轻量级目录访问协议? ●云服务提供商是否定期对进行渗透测试? ●如果进行,是否同时从云外部以及从云和云基础设施内部进行渗透测试? ●云服务提供商是否对云基础设施、云管理设施內部进行渗透测试? ●云服务提供商是否对云基础设施、云管理以及客户可访问的组件进行漏洞测试? ●已确定的漏洞是如何追踪并解决的? 漏洞信息对于客户是否可川? 云服务提供商是否允许客户对于客户自身的虚拟机或其他容器实施漏泂测试? 清单1-10主机和虚拟机安全 客户虚拟机是否进行加密以及/或者在存储时进行保护? 虚拟机映像在开通之前是否安装了补丁? ●虚拟机映像在丌通后是如何以及多久问隔进行安装补丁的? 虚拟机映像在开通前是按照仆么标准或指导方针进行强化的? 保护绎过强化和安装了补丁的虚拟机映像的程序是怎样的? ●客户是否可以提供其自身的虚拟机映像? ●云服务提供商是否包含任何认证证书,如果有,这些证书是用来做什么的? 对虚拟机像的强化和安装补丁是査默认包括操作防火墙实例?(如果是的,被允 许的服务/端口是什么?) 对虚拟机映像的强化和安装补丁是否包括操作入侵检测系统或者入侵防御系统? 如果是的,在运营中云服务提供商是否具有对于这些的访问权限(如果有的,是怎 样的 ●对虚拟机映像的强化和安装补丁是否包括云服务提供商或者和户具有访问权限的 任何形式的网络、性能或者安全设备? 共处丁服务器的不同客户的虚拟机之间的隔离是如何确保的? 对于相同的客户,虚拟机之间的通信时如何实施的? ●存储系统中用户数据的安全是如何保障的? ●在存储系统以及客户虚拟机之间的用户动态数据的安仝是如何保障的? ●在虚拟机和非云用户系统之间的用户数据以及用户交互的安全是如何保障的? ●云服务提供商是否为客户提供信息对客户安全进行指导,使客户安全适合丁虚拟化 的环境? 清单1-11PaS和SaS安全 云服务提供商如何隔离多租户的应用程序? 云服务提供商如何隔离川户或租户的数据? 云服务提供商如何确定应用程序以及云基础设施中的新的安全漏洞? 云服务提供商是否提供安全作为PaaS的服务功能(例如,认证、单点登录、授权以及 传输安全)? 云服务提供商为租户/用户提供怎样的管理控制,这些管理控制是否支持定义/执行由其 他用户进行的访问控制? ●云服务提供商是否为吝户提供隔离测试和生产环境? 身份及访问管理是云安全的重要元素。清单1-12列出了身份及访问管理以及认证的评 估标准。 清单1-12身份及访问管理 是乔有任何山云服务提供商控制的账号具有整个云范围的权限(如果有,是哪些操作)? ●云服务提供商如何管理管理员或较高权限的账户? 云服务提供商是否使用二人规则的访问控制,如果有,是对于哪些操作? 云服务提供商是否执行特权分离(例如,基于角色的访问控制RBAC),如果是的,使用 什么角色限制哪些特权(安全、操作系统管理、身份等)? ●云服务提供商是否实施击碎玻璃访问,如果是的,在什么情况下允许这么做以及以后的 清理流程是怎样的 ●云服务提供商是否给子租户或用户以管理员权限,如果是的,有仆么限制? ●云服务提供商是否在注册时核实用户身份,如果是的,根据给予访问权限的资源是否有 不同级別的检查? 证书和账户是如何终止的? 是否在云范围内以原子操作的方式完成证书和账户的取消? 远程访问是如何管理和实施的? 对于云服务提供商提供的客广使川的身份及访问管理系统: ●这是否支持联合身份管理? 云服务提供商的系统与第三方身份提供商的系统是否互通? ●客户是否能够包含单点登录? 这个系统是否支持角色分离以及最小特权原则( Least PrivilegePrincipal,LPP)?在 下列场合下云服务提供商如何向客户核实其身份: 当云服务提供商通过带外( Out of band,0OB)方式与客户或用户通信时? 当客户通过API与云服务提供商交互时? 当客户使用云管理界面时? 认证 ●对于高度保障的云服务提供商的运营,是如何实施认证的? ●是不使用多因素认证? 对于高度保障的运营的访问是否限定于只是运营云网络以及只是来自白名单中的IP地 址? ●入侵检测/异常检测是否检测多次失败的登录或者类似的可疑认证或损害证书的活动? 如果客户的证书或账户遭到破坏会引发什么程序? 必须以准确和正确的方式处理密钥管理和密码系统,否则密码安全会很快遭到破坏。清 单1-13列出了这些领域的安全标准 清单1-13密钥管理和密码系统 ●厶服务提供商所控制的密钥: ●云服务提供商如何保护密钥,已绎实施了怎样的安全控制? ●是否使用硬件安全模块保护这些密钥? ●谁具有这样密钥的访问权限? 对于登录和加密操作,这些密钥是如何保护的? 对丁管理密钥以及从受损密钥进行恢复,已经采取了哪些程序? 是否在云范围內对于密钥撤销进行原子操作? 密码系统 ●加密用于哪些操作(以及在哪里)? ●是否所有的加密机制都基于经过第三方测试和评估过的产品? ●安仝策略是否明确定义哪些必须加密 创目前为止,我们在清单中涵盖了基础安全、业务考虑以及纵深防御的评估标准。最后 的清单解决了运营安全的问题。 24.运营安全 公共云的许多顾虑与Iˆ的物理安仝处于第三方控制之屮有关。对于公共云,物理上的 破坏会对众多客户造成影响。清单1-14列出了数据中心物理安全以及数据中心电力及网终 的评估标准 清单1-14数据中心:物理安全及电力与网络 云服务提供商必须维护用于实施和运营云的所有信息资涼的现有的完整的清单。实 践情况(ITI)是使用配置管理数据库(MB)对这种信息进行维护。目前的发展水平 是使用配置管理数据库自动化实施流程,并作为与其他云管理功能互通的集中化存储库。 清单1-15列出了数据中心资产管理的标准。 清单1-15数据中心资产管理 云服务提供商是否维护构成云的所有硬件、网络、软件以及虚拟组件的现有完整的 详细目录? 云服务提供商是否自动化这种详细目汞的追踪与管理? 云服务提供商是否支持不同敏感级別的资产种类,如果支持,它们彼此是如何分开 或隔离的? ●云服务提供商是否维扩对于不同敏感级别的瓷产的物理分离或隔离? 有效的安仝性是个持续流程,需要对所有人员妥普定义程序和角色。为了使其有效 这种程序必须预期各种类型的事件ε程序应当提供足够的指导,使人员可以对系统、流 程以及其他情況的广泛范围的失效进行操作。这些事件和响应必须作为终验教训整合到 升级程序当中。 清单1-16运营实践 是否有正规的变更管理流程,是否有明确记录的程序? ●变更控制是否包括指导关于哪些变更需要重新评佔风险这种决策的方法? 运营程序是否明确记录并遵守? 开发、测试、试运行以及生产是否有单独的环境? 使用仆么系统和网络安仝控制对最终用户或租户的应用程序和信息进行安仝防 使用什么安全控制以减少恶意代码? ●备份程序是什么(谁去做,哪些有备份,实施的频率怎样,采取什么形式,以及备 份是否定期测试)? ●备份储存于哪里,保存多久时间? 在客户合同终结之后,云服务提供商是否会安全的删除客户数据的所有副本? ●在什么情况下使用行业最佳实践(例如消磁)对客资源进行销毀? ●云服务提供商是否对构成云基础设施的每个组件记录安全基准? 事件管理及响应的目标是最小化或控制事件的影响。应当妥善定义事件管理,以支 持并指导云服务提供商以及客户减少非预期的事件或情况造成的结果的能力。清单 1-17列出了事件管理领域的评佔标准。 清单1-17事件管理 ●在审计、系统以及网络日志中获取什么信息? ●这些信息保留多久,谁具有访问这些信息的权限? ●使用什么控制保护这些∏志不受未授权访问,并保护这些材料的监管链 ●如何以及多久对日志进行审查? ●如何以及多久检查日忐的完整性和完备度? ●所有的系统和网络组件是否同步到独立的时间源(网络时间协议NTP)? 云服务提供商是否有正规的流程对事件进行检测、确认以及响应? ●是否定期测试这些流程以核实其是否有效及合适? 是否遵从对监管链控制的法律要求对日志和其他安仝数据进行维护,数据和控制是 否符合法律允许的取证要求? 事件响应的升级流程是怎样的 厶服务提供商是否使用入侵检测、安仝监测,或安全事件和事件管理(SEIM)对事 件进行检测? 云服务提供商是乔将客事件和事故信息接收至其安全监测和事件管理的流程当 屮? 云服务提供商是否提供事件的透明度,如果提供,与客户和用户分享什么类型的信 ●安全事件和安全日志是如何保护和维护的? 安全日志保留多长时间? 谁具有对这些日志的访问权限? 云服务提供商是否允许客户在虚拟机内实施基于主机的入侵检测系统(IDS)? 如果允许,客户是乔能够将这种虚拟机入侵检测系统数掂发送给云服务提供商进行 处理与储存? ●当发生事件时是如何记录的? ●事件结束后是如何分析事件的? ●云服务提供商是否可以提供客户虚拟机的取证映像? 云服务提供商是否向客户报告关于事件的统计? 25.清单指标 清单具有判断云安全的能力,潜在公共云客户以及私有云的所有者希望知道的是 实施的安全性如何 ●云服务提供商是否满足安全的最佳实践? ●云服务提供商满足独立的安全控制及要求的情况如何? 服务与其他类型服务相比如何? 观察清单1-1清单1-17,对于控制的如何实施以及如何测量方面可以有很大的变 化。这使得对于每个问题确定指标是非常困雉的。当前应对这个挑战的测量安全性的方 法是:对于具有领域(例如美国国家标准技术饼究所NST800-53R3)详细描述粒度的 安全控制,并具体说明这些控制中哪些应用于运营在不同保障或敏感性等级的系统。但 即使如此,对实施的安仝性的实际评估也是需要花费大量时间和成本的,而且还需要专 业技能。 对于系统的认证认可(C&A)只是一种结果,代表一段时间的快照,随着系统的发 展和经历的变更,必须重复对系统进行认证认可。一般的,这些评估包含了大量的书面 文件工作。所需要的是对于这种评估流程自身的发展,而且由于IT以及云客户之间合 同的特点,厶计算要求更大程度的自动化 这会是怎样的?首先,所收集的关于安全、系统和流程的信息和证据等人T产品必 须在认证认可(&A)的储存屮整理,储存库相比传统形式的文件更像个数据库。收集 和整理这些信息的重要性在于:它支持对于独立的安全控制的符合程度如何的声明和主 张。 使这些信息具有数据库形式对于多个实体都很有帮助。在云实施中,多方使川相同 的基础设施和控制。安仝评估应当支持关于这些控制的信息以及这些控制有效性的信息 的重复使用。云计算确实改变」安全的规则,而且也已经十分明确的是,云的采川不仅 仅会驱动符合弹性与按需自助服务要求的更好的安全性,也驱动对于安全性的衡量与评 26.总结 公共云功能的岀现带来了对于更好安全性的需求的增长。按照其特征,竞争的公共 云服务面临着提供经济有效服务与功能集的需要,这使得对于云的应用更加容易。但同 等重要的是,需要将公共云服务视为符合IT要求的合适而安全的解决方案。正因为如 此,云服务提供商需要绎受使用公认标准对其产品进行评估,除此之外别无选择。类似 的对于私有云,即使从最早的设计阶段便包含了安全要求,即使在构建和保护私有云过 程中依从健仝的原则,也还需要终历评估的实践。 本文中的安全清单的作用是指导读者开发自己的列表,核实云服务提供商或者私有 云的安全性。截止到这本书写作时,存在一些进行中的围绕这种需求开发行业或政府的 指导方针的活动。鼓励读者跟随参与这些活动的各种领先团体,研宄这些工作的发展。 ∏前还不十分清楚这些团体中的哪些会获得怎样的成功,如今像云安全联盟(CSA)和 云牢计( Cioudaudit/A6)这些团体之间已有大量的合作。可以确定这是个快速发展的 领域,云计算,云计算模式都独特性质也很有可能在对于这些评估标准的持续验证中促 使实现更多的自动化。 【实例截图】
【核心代码】