民航機(jī)場行業(yè)的IT架構(gòu)，就現(xiàn)在這個時間節(jié)點而言，絕大部分還是比較傳統(tǒng)的，極少采用云計算及虛擬化架構(gòu)，基本上還是“煙囪式”的架構(gòu)：一個應(yīng)用系統(tǒng)運(yùn)行在一臺或幾臺物理實體服務(wù)器上。然而，互聯(lián)網(wǎng)的沖擊無疑是迅猛的，縱觀其他行業(yè)，如電力、金融等，已經(jīng)有云計算及虛擬化架構(gòu)比較成熟的商用案例了，趨勢無法阻擋，作為機(jī)場行業(yè)，也需要進(jìn)行探索和實踐云計算及虛擬化對機(jī)場行業(yè)業(yè)務(wù)系統(tǒng)的支撐。這就帶來一個更深層次的問題，在網(wǎng)絡(luò)安全已經(jīng)提升到國家戰(zhàn)略的背景下，云計算及虛擬化架構(gòu)的安全該如何考慮呢？ 

一、 民航機(jī)場云架構(gòu)環(huán)境

我們所說的云架構(gòu)環(huán)境主要是指數(shù)據(jù)中心內(nèi)部的系統(tǒng)及網(wǎng)絡(luò)部分，而民航機(jī)場傳統(tǒng)IT架構(gòu)向云架構(gòu)發(fā)展的方向也將是由各個分散的獨立業(yè)務(wù)系統(tǒng)集中至云化數(shù)據(jù)中心中，物理服務(wù)器架構(gòu)向虛擬化物理主機(jī)架構(gòu)整合的方式來發(fā)展，同時保留對傳統(tǒng)業(yè)務(wù)系統(tǒng)環(huán)境支撐，從圖可知，網(wǎng)絡(luò)仍然可能保持傳統(tǒng)的網(wǎng)絡(luò)架構(gòu)，僅在數(shù)據(jù)中心內(nèi)部通過“大二層”等網(wǎng)絡(luò)技術(shù)實現(xiàn)虛擬主機(jī)“東西“方向的遷移，同時引入SDN等技術(shù)，實現(xiàn)業(yè)務(wù)主機(jī)遷移后網(wǎng)絡(luò)的動態(tài)遷移。既然，IT架構(gòu)即將實現(xiàn)全面虛擬化，這就引入了我下面要闡述的問題，從網(wǎng)絡(luò)安全的角度出發(fā)，我們將如何配合云架構(gòu)環(huán)境，實現(xiàn)安全需求，我們應(yīng)該關(guān)注哪些方面的問題？

二、 安全關(guān)注點

上面已經(jīng)描繪了民航機(jī)場未來的云架構(gòu)環(huán)境的演進(jìn)方向，即是傳統(tǒng)的網(wǎng)絡(luò)架構(gòu)匹配了虛擬化的業(yè)務(wù)系統(tǒng)架構(gòu)。從這個原則出發(fā)，引入安全關(guān)注的思維，我們可以將關(guān)注點描述成如下幾個層面：

1. 安全域劃分

在進(jìn)行機(jī)場IT架構(gòu)安全分析時，首先必須考慮安全區(qū)域的劃分，遵循的原則應(yīng)參考國家網(wǎng)絡(luò)安全等級保護(hù)要求，只有實現(xiàn)了安全區(qū)域的合理劃分，才能針對性的做好安全關(guān)注點分析。一般民航機(jī)場網(wǎng)絡(luò)安全域劃分包含：數(shù)據(jù)中心區(qū)、安全管理區(qū)、互聯(lián)網(wǎng)接入?yún)^(qū)、外聯(lián)區(qū)、內(nèi)聯(lián)區(qū)、終端接入?yún)^(qū)等。同時要考慮各個區(qū)域間的安全隔離措施，可采用防火墻、路由隔離等。數(shù)據(jù)中心內(nèi)部可采用硬件防火墻及軟件防火墻共存的架構(gòu)，即實現(xiàn)南北向流量可控，還實現(xiàn)東西向流量可管。終端接入?yún)^(qū)還可采用MPLSVPN隔離不同類業(yè)務(wù)終端之間的訪問。

2. 數(shù)據(jù)安全

云架構(gòu)時代，數(shù)據(jù)的安全往往顯得尤為重要。數(shù)據(jù)是否得到很好的保護(hù)將影響到整個架構(gòu)體系的安全性。其實無論什么架構(gòu)，最終都是要保護(hù)信息資產(chǎn)，也就是數(shù)據(jù)的安全性。包含：數(shù)據(jù)的有效保護(hù)、數(shù)據(jù)庫的安全訪問、數(shù)據(jù)的訪問合規(guī)性、不合法數(shù)據(jù)的清洗等?？煽紤]使用數(shù)據(jù)加密傳輸、數(shù)據(jù)防泄漏、數(shù)據(jù)庫防火墻、數(shù)據(jù)水印、網(wǎng)閘等措施。針對旅客信息等敏感數(shù)據(jù)，更應(yīng)采用數(shù)據(jù)脫敏的方案完善對于隱私的保護(hù)。

3. 網(wǎng)絡(luò)及安全

就現(xiàn)在民航機(jī)場的虛擬化架構(gòu)而言，網(wǎng)絡(luò)一般還是傳統(tǒng)的架構(gòu)。網(wǎng)絡(luò)的安全關(guān)注點包含：互聯(lián)網(wǎng)接入安全、各個安全子網(wǎng)與骨干網(wǎng)絡(luò)互連的安全、數(shù)據(jù)中心內(nèi)部網(wǎng)絡(luò)與骨干網(wǎng)之間的安全、外部單位和數(shù)據(jù)互聯(lián)單位的數(shù)據(jù)訪問安全、網(wǎng)絡(luò)設(shè)備自身的安全、網(wǎng)絡(luò)配置的安全性原則、高強(qiáng)度持續(xù)性隱蔽攻擊、接入用戶的安全性認(rèn)證和審核、各接入網(wǎng)終端的安全性。針對于此，可在網(wǎng)絡(luò)中部署態(tài)勢感知系統(tǒng)，配合部署于網(wǎng)絡(luò)關(guān)鍵節(jié)點中的探針，能夠?qū)崟r掌握和分析網(wǎng)絡(luò)流量，同時通過搜集部署在安全域間的安全設(shè)備日志，深層次的識別和分析網(wǎng)絡(luò)攻擊行為。網(wǎng)絡(luò)中可以部署的安全設(shè)備包括：防火墻、入侵檢測/防御設(shè)備、網(wǎng)絡(luò)準(zhǔn)入控制、上網(wǎng)行為管理等。

4. 虛擬機(jī)架構(gòu)安全

保護(hù)虛擬機(jī)的安全，主要涵蓋兩個層面：虛擬宿主機(jī)及虛擬主機(jī)安全。包含：虛擬化層的自身安全、虛擬化管理用戶的安全與審計、虛擬化系統(tǒng)的安全性、虛擬主機(jī)初始化模板的安全、虛擬主機(jī)之間的安全隔離、虛擬化平臺自身漏洞防護(hù)、漏洞的監(jiān)控及發(fā)現(xiàn)、在虛擬主機(jī)上運(yùn)行的應(yīng)用安全，特別是網(wǎng)頁安全性。虛擬機(jī)安全可以通過部署基于底層虛擬化平臺架構(gòu)的安全產(chǎn)品，實現(xiàn)云化資源池的“微隔離”，包含防火墻、防病毒、入侵防御等功能。這里應(yīng)慎重選擇傳統(tǒng)的服務(wù)器防病毒產(chǎn)品，避免發(fā)生“掃描風(fēng)暴”的問題，為云化資源池帶來極大的資源消耗，影響到業(yè)務(wù)系統(tǒng)運(yùn)行的正常性。

5. 身份安全

考慮到云化環(huán)境下，云管理員的權(quán)限是非常大的。一旦管理員失控，導(dǎo)致的不是一個業(yè)務(wù)系統(tǒng)的問題，而是整個IT基礎(chǔ)環(huán)境的大問題，所以用戶登錄管理、權(quán)限控制、操作審計等就顯得尤為重要，在這里有必要部署身份認(rèn)證系統(tǒng)、堡壘機(jī)、雙因素認(rèn)證等措施，一方面保證管理員及上層業(yè)務(wù)管理人員的登錄安全，另一方面限制管理員的非法操作。

三、 技術(shù)解決方案

針對上述各種安全關(guān)注點的描述，結(jié)合業(yè)內(nèi)技術(shù)跟進(jìn)的情況研究，基本存在如下幾種解決方案：

1. 公有云安全架構(gòu)移植

互聯(lián)網(wǎng)廠商是云架構(gòu)推廣最大助推力量，而他們也是云架構(gòu)最早的踐行者，自然云架構(gòu)的安全性也走在前面。他們的解決方法基本是將監(jiān)控發(fā)揮至極致，而孕育而生的就是將公有云安全架構(gòu)移植至企業(yè)私有云中。解決方案：在公有云上建立一套大數(shù)據(jù)分析的平臺，運(yùn)用蜜罐、攻擊捕獲等手段，不斷搜集來自互聯(lián)網(wǎng)的安全風(fēng)險，并進(jìn)行海量安全數(shù)據(jù)的關(guān)聯(lián)運(yùn)算和分析，而后在企業(yè)網(wǎng)的安全關(guān)注點處部署監(jiān)控和應(yīng)用阻斷設(shè)備，通過公有云的大數(shù)據(jù)分析的結(jié)果直接反饋至企業(yè)網(wǎng)內(nèi)的安全設(shè)備上，形成第一時間的安全風(fēng)險態(tài)勢感知并加固。此種方案在云架構(gòu)環(huán)境下，網(wǎng)絡(luò)邊界漸漸模糊的時代，帶來了一種“動態(tài)安全“的可能性，同時它不但關(guān)注云架構(gòu)本身，還關(guān)注了整個IT運(yùn)行的環(huán)境。

2. 虛擬主機(jī)間的隔離

此技術(shù)方案更針對于與云架構(gòu)本身的安全。一般是一套基于虛擬化的安全軟件，該軟件的管理端可以部署在虛擬主機(jī)上，同時在其它的虛擬主機(jī)上安裝客戶端，客戶端可以實現(xiàn)防火墻、防病毒、入侵檢測等安全功能。同時，還可以針對新的虛擬主機(jī)建立安全標(biāo)準(zhǔn)模板。就市場而言，有三種部署方式：代理、輕代理、無代理，三種方式各有利弊。代理方式是將虛擬主機(jī)當(dāng)做傳統(tǒng)系統(tǒng)架構(gòu)的設(shè)備來對待，每個虛擬主機(jī)運(yùn)行一個代理軟件，當(dāng)安全軟件同時運(yùn)行病毒掃描時的硬件資源占用將是一個很大的問題，同時，當(dāng)啟動一個新的虛擬化主機(jī)至未安裝代理軟件時，將出現(xiàn)“安全真空期”。輕代理方式等同于代理方式，只是安裝程序和代理的方式進(jìn)行了一定的優(yōu)化，避免了“掃描風(fēng)暴”的產(chǎn)生，但是依然存在“安全真空期”問題。無代理方式是在虛擬宿主機(jī)上啟用一臺虛擬機(jī)作為安全代理服務(wù)器，對整個宿主機(jī)實現(xiàn)保護(hù)，避免了“安全真空期”問題，但是也勢必將占用一定的虛擬機(jī)資源。

3. 數(shù)據(jù)資源保護(hù)

基于數(shù)據(jù)保護(hù)的方案，大多如此宣傳，無論網(wǎng)絡(luò)怎么樣、云平臺怎么樣，但是只要保護(hù)好最重要的資源—數(shù)據(jù)就可以了。這樣就出現(xiàn)高強(qiáng)度的數(shù)據(jù)資源保護(hù)的方案。解決方案主要集合了數(shù)據(jù)庫監(jiān)控、數(shù)據(jù)庫日志審計、數(shù)據(jù)清新、數(shù)據(jù)單/雙向訪問（網(wǎng)閘）、數(shù)據(jù)防泄漏、數(shù)據(jù)加密機(jī)脫敏、數(shù)據(jù)訪問安全認(rèn)證等組合功能，實現(xiàn)對后臺數(shù)據(jù)的保護(hù)。同時針對必要的業(yè)務(wù)系統(tǒng)之間的數(shù)據(jù)互訪，設(shè)立不同安全級別的數(shù)據(jù)互訪區(qū)域，將上述功能所對應(yīng)的數(shù)據(jù)安全設(shè)備部署在此區(qū)域，以滿足數(shù)據(jù)高安全性擺渡的要求。但，安全的引入必然會帶來數(shù)據(jù)傳輸效率的降低，這個平衡需要在后續(xù)系統(tǒng)測試中優(yōu)化。

4. 傳統(tǒng)安全并行

就現(xiàn)在的民航機(jī)場行業(yè)的發(fā)展而言，必將存在傳統(tǒng)的IT架構(gòu)和虛擬化IT架構(gòu)并存的問題。如此，就少不了相應(yīng)的傳統(tǒng)安全的管控手段，大家耳熟能詳?shù)陌悍阑饓Γ簩崿F(xiàn)網(wǎng)絡(luò)邊界處部署隔離非法訪問；防病毒：對非云架構(gòu)的系統(tǒng)主機(jī)實現(xiàn)傳統(tǒng)的保護(hù)；入侵檢測/防御：實現(xiàn)對非法入侵行為的防范；統(tǒng)一身份認(rèn)證：實現(xiàn)對登陸系統(tǒng)用戶的身份安全確認(rèn)；漏洞掃描：實現(xiàn)對所有系統(tǒng)漏洞的動態(tài)掌握；終端安全管理：對內(nèi)部用戶的接入實現(xiàn)必要的安全管控，上述這些傳統(tǒng)的安全措施大多基于網(wǎng)絡(luò)安全的范疇，對于整個IT架構(gòu)的安全是不可或缺的。

四、 管理解決方案

說到管理，范疇就比較大了。安全圈有句話叫：三分技術(shù)、七分管理。歸根結(jié)底，安全管理都有一套管理方法論。

1. 實施身份管理

云化時代的最大問題是打破了傳統(tǒng)系統(tǒng)與系統(tǒng)之間的安全邊界。直接引入的問題是，云資源管理員的安全性直接影響到整個業(yè)務(wù)系統(tǒng)生態(tài)的安全性。如何對他們進(jìn)行有效的管理是當(dāng)務(wù)之急，基于一套完整的身份管理系統(tǒng)加上，加之堡壘機(jī)的配合，可以控制“超級”管理員的權(quán)限，同時可以審計和追查，也放置了管理員權(quán)限被非法濫用。基于身份的安全管理將是云化后，無論是系統(tǒng)管理、還是應(yīng)用訪問；無論是設(shè)備登錄、還是系統(tǒng)運(yùn)維都將提供很好的支撐。

2. 執(zhí)行安全檢測

在此有必要闡述一下安全檢測的必要性，再好的安全技術(shù)架構(gòu)也有必要定期或不定期的安全檢測，就好比一個人身體再好，定期的體檢也是很有必要一樣。一次好的安全檢測能夠為整個IT環(huán)境提供一次健康檢查，這當(dāng)中包含：滲透測試、代碼檢測、攻防演練等方式，都可以有效促進(jìn)組織安全水平的提升。

3. 構(gòu)建安全體系

說到管理，范疇就比較大了。安全圈有句話叫：三分技術(shù)、七分管理。歸根結(jié)底，安全的事情還是都有一套管理方法論，從方針到組織、從人員到設(shè)備、從備份到恢復(fù)、從災(zāi)難到應(yīng)急，每一個能想到的環(huán)節(jié)都可能需要安全團(tuán)隊的參與。這里建議機(jī)場管理機(jī)構(gòu)借鑒BS7799、ISO27000等管理策略組織和實施企業(yè)的管理框架，通過PDCA的循環(huán)，不斷強(qiáng)化安全管理，降低和規(guī)避安全風(fēng)險。

以上的安全研究，各有針對性，安全解決方案強(qiáng)調(diào)一個觀點：不能希望一個安全解決方案解決所有安全問題。就現(xiàn)在民航機(jī)場的IT架構(gòu)來說，一定是一個傳統(tǒng)網(wǎng)絡(luò)+虛擬化信息系統(tǒng)的架構(gòu)，這樣一來，傳統(tǒng)的安全設(shè)備就不能解決所有的問題，就需要運(yùn)用“互聯(lián)網(wǎng)+”的思維，結(jié)合其他行業(yè)的已有的先進(jìn)經(jīng)驗，考慮機(jī)場自身安全制度、數(shù)據(jù)交換、網(wǎng)絡(luò)架構(gòu)、接入用戶的特點，制定適合民航機(jī)場行業(yè)的云架構(gòu)環(huán)境，同時針對特定的云架構(gòu)分析安全關(guān)注點，并在關(guān)注點上設(shè)置“關(guān)卡”，最終將安全問題層層剝離，層層分解，最終實現(xiàn)對數(shù)據(jù)的保護(hù)。與此同時，還需要強(qiáng)調(diào)，安全問題一方面是技術(shù)問題，另一個重要方面是管理的問題。再好的安全設(shè)備，如果不實現(xiàn)動態(tài)的管理和分析，是不可能發(fā)現(xiàn)潛在問題的，所以云架構(gòu)環(huán)境下，更應(yīng)該突出考慮網(wǎng)絡(luò)安全管理平臺的建設(shè)，將所有安全設(shè)備的日志搜集分析，對安全態(tài)勢掌控了，才能實現(xiàn)真正的安全。