一、背景
近年来云计算市场规模持续增长，但数据泄漏事件频发不断，给国家和人民造成了巨大的经济损失。工信部于2017年发布的《云计算发展三年行动计划（2017-2019年）》中，将多租户数据保护列为云计算环境下产生的新型安全问题，并在《云计算综合标准体系化建设指南》中强调“云安全是影响云计算发展的关键因素之一”，且把“数据和隐私保护”纳入云安全标准规划中。各国都相继出台了大量与数据安全有关的法律法规，对个人、企业和国家重要数据进行保护。越来越多企业和政府客户将业务部署到云环境上,在云服务模式下如何保障云上数据安全，成为大多数企业和客户非常关注的问题。
二、云端数据形态定义
随着云化的趋势，数据越来越多地上云，云端数据也因此面临更多的威胁。云上数据安全应始终考虑：在对象存储、数据库上保护静态数据；当数据在云中移动时，保护传输中的数据；在使用或处理数据时，保护正在使用的数据。
云上数据主要分为结构化和非结构化数据。结构化数据主要存储在云数据库和用户自建数据库，类型包括MySQL、SQL Server、MongoDB、MariaDB、Percona、PostgreSQL、TiDB Redis、Memcached、DRDS、InfluxDB 、Greenplum等数据库。非结构化数据主要存储在对象存储，包括文档、图片、音视频、日志等各种类型海量文件，通常以流式写入或文件写入。
三、数据面临风险及需求分析
| 数据全生命周期 | 面临风险 | 需求分析 |
|---|---|---|
| 数据生产 | 数据迁移上云时，怎么安全传输？ 云上新产生的数据有哪些？产生源是什么？是否敏感？ | 加密迁移 敏感数据发现 数据分类分级 数据访问权限管理 |
| 数据存储 | 敏感数据是否明文存储？ 加密存储时，算法选用是否正确或加密强度是否合适，或随机数问题，或者密钥有没有轮换机制，是否存储在KMS中？ 数据是否有备份恢复机制？ | 加密存储 安全密钥管理，信任根存储在HSM中，加密采用分层密钥结构 数据容灾备份 |
| 数据传输 | 数据是否明文传输，可能链路被嗅探、流量镜像？ | 全站HTTPS 不同区域之间业务数据加密传输 |
| 数据使用 | 数据使用没有记录，不知道谁使用了数据？是否合法？ 数据泄漏后，如何溯源？ 数据如何安全共享？ | 展示脱敏 对象存储水印、数据库水印 数据使用流转记录 数据资产感知 |
| 数据访问 | 哪些用户或应用可以访问数据？有哪些权限？ 是否存在超级账户？ 访问过程是否有审计记录？ | 角色分离 细粒度权限管理和访问控制 访问记录审计 |
| 数据销毁 | 数据怎么安全迁移出云？ 销毁不彻底，会不会被非法恢复？ | 安全迁移 数据销毁验证 |
四、云端数据全生命周期安全解决方案
为保障用户安全的处理云上数据，京东云云端数据全生命周期安全解决方案以内容智能识别为核心，以数据全生命周期为范围，以自主生成和管理密钥为手段，让租户自行对企业内数据实行精准分析，知晓数据分布和风险，进而保护数据资产；同时监控企业内员工访问记录并自动分析，依据安全策略对数据进行加密、脱敏，并生成安全事件报表，提供系统化的安全防护。
4.1数据生产
数据生产是用户将云下数据迁移上云，或在云中产生新的数据内容，或对已有内容的替换、更新或修改。针对这一阶段，平台提供自主可控的实例，帮助用户自行完成数据分类分级，并进行风险分析，明确防护数据的存储位置、存储服务和安全防护措施，在数据全生命周期的起始阶段就做好数据的梳理、区分与隔离。
4.1.1 安全迁移
京东云通过多年的技术经验积累，基于用户的业务需求，为用户提供全面的业务迁移保障。兼容多种数据源，包括RDS、NoSQL、缓存、大数据、MQ等多种数据类型的数据源；OSS存储、块存储、虚拟机镜像等多种存储作为数据源；广泛的云平台以及自建服务作为数据源。自动对迁移的数据进行完整性校验，确保数据迁移完整，支持全量+增量迁移方案，缩短业务迁移停机时间，全链路加密传输，保障数据安全。普遍适配公网、专线、VPN等多种网络链接模式，保证数据稳定、高效传输。
4.1.2 数据分类分级
京东云平台内置的智能内容识别引擎，用户可依据数据安全需求，自行对其数据资产进行分类分级管理。识别和标记敏感数据，对各类别级别的数据实施差异化的保护、细粒度的管控，有助于满足合规要求，防止敏感数据泄漏。
4.1.3 区域与隔离
用户自主选择内容数据存储区域，可根据自己对地理位置的具体要求选择地点部署京东云服务。用户在区域中复制和备份自己业务数据，京东云未经用户授权，不会跨区域移动或复制用户的内容数据。
为保障账户存储于数据库中的数据安全，基于数据库存储对用户数据进行隔离存储，即与用户业务数据及京东云平台自身数据等不同类别的数据相隔离，并等同享受数据库存储数据的安全保障措施。
4.2数据存储
对于云端存储的敏感及重要数据，平台提供多种加密措施进行防护，降低数据泄漏的风险。京东云通过安全策略及工具让用户拥有和控制自己的数据，确定内容的存储位置、保护动态和静态内容，用户自主管理对云服务和资源的访问权限。京东云为用户提供符合国家商用密码管理要求的加密服务，用户可轻松构建其安全应用。
4.2.1 存储加密
以数据分类分级的标识为依据，对用户存储在云硬盘、对象存储和数据库中的数据进行加密存储，加密所使用的密钥由用户维护和管理，京东云任何人员无法获取密钥信息，同时支持使用用户的自定义密钥对敏感数据进行加密。
4.2.2 密钥管理
京东云密钥管理服务KMS（Key Management Service）帮助用户管理及备份其加密密钥，提供云上密钥创建、禁用、轮换、删除等全生命周期管理。KMS与云上多种产品集成，用户可以使用自己的CMK对云上EBS云硬盘、OSS对象存储、RDS关系型数据库进行加密，即可实现云端数据的全量加密存储。
4.2.3 数据加密服务
京东云的数据加密服务采用国密局认证的物理加密机，且支持符合国家和行业标准的多种数据加密算法。京东云只提供加解密的技术支持，而密钥的使用权限和服务的身份权限认证完全由用户来把控。通过云服务密码机的虚拟化技术，京东云提供比传统物理密码机更弹性、高可用。在未授权的情况下，除用户外的任何人无法获取密钥对数据进行解密，确保了用户云上数据的安全。
4.2.4 存储备份
京东云的存储容灾服务为弹性云服务器、云硬盘和专属存储等服务提供容灾能力，通过存储复制、数据冗余和缓存加速等多项技术，为用户存储数据提供可跨区域复制功能并实时同步到指定区域，实现数据异地容灾，从容应对极端灾难并保证业务流畅，为重要数据加上多重保险。
4.3数据传输
京东云对于数据的交换、转移和分享提供标准的传输加密协议，满足云平台以及系统间传输敏感数据的需求。
4.3.1 网络加密传输
针对用户业务混合云部署和全球化布局的场景，可以使用京东云提供的虚拟专用网络（VPN）、云专线服务，实现不同区域之间业务的互联互通和数据传输安全。
VPN连接利用公网架设专用网络，VPN使用IPSEC、IKE、预共享密钥方式对数据进行加密，基于公网提供安全可靠的通信隧道，实现外部用户内网访问、跨地域内网互通等。
专线服务(Direct Connection)提供高速、安全、稳定的网络接入服务。实现京东云网络与用户的IDC、合作伙伴等网络环境进行内网通信、数据备份及跨机房容灾，为用户提供混合云解决方案。
4.3.2 应用加密传输
京东云支持HTTPS安全数据加密传输，并使用传输层安全性(TLS)协议，在云服务和用户之间传输数据时提供保护。当用户通过互联网提供Web网站业务时，可以使用京东云联合全球知名证书服务商提供的证书管理服务。通过给Web网站申请并配置证书，实现网站的可信身份认证以及基于加密协议的安全传输。同时平台支持证书一键自动化配置CDN、云WAF、IP高防等安全产品，实现全站流量加密传输。
4.4数据访问
平台支持用户对数据的访问进行严格的管控及安全防护。为保证数据的合法访问，京东云提供用户身份鉴别、授权管理、权限鉴别三合一的用户业务访问控制。
4.4.1 访问控制
京东云提供了用户身份管理与访问控制服务（Identity and Access Management，IAM）。用户可以通过IAM服务创建、管理子用户账号，并控制这些子用户访问京东云资源的权限。对用户相关角色和访问权限进行评估，对操作行为进行安全监控和审计。
4.4.2 访问审计
对于对象存储、文件存储等服务，用户可通过操作审计服务保存的所有操作记录，实现精确追踪、还原用户行为审计，对于安全分析，资源变更追查，合规审查有非常重要的作用。
用户可以使用数据库审计服务来进行数据库列级的管理和访问活动记录，涵盖了所有可能访问数据库的途径，外部入侵和内部越权访问被全面记录。通过监控数据库的多重状态和通信内容，不仅能准确评估数据库所面临的风险，便于事后审计和追查。
4.5数据使用
数据使用过程中，对敏感数据进行数据脱敏、水印等处理可以确保数据合规使用，并规避信息泄漏和法律法规遵从风险。
4.5.1 敏感数据脱敏
针对用户敏感数据，平台内置专有的数据脱敏规则，采用适当的脱敏算法进行处理，包括：数据遮蔽、数据仿真、关键部分替换、数据随机替换等，以达到隐藏或模糊处理真实敏感信息的目的，提高生产数据在应用开发、测试以及第三方工具做数据分析等使用场景中的安全性。同时，脱敏后的数据能够保持原有的语义和关联关系，保证了数据的有效性。
4.5.2 数据溯源
通过添加数字水印技术对数据库中敏感数据添加水印，该水印技术访问主体（用户）的身份信息编码到输出的内容中。根据已经泄漏的数据，可以直接粘贴泄漏的数据，也可以文本导入泄漏的数据、根据关键字段，能回溯出可疑IP或用户名，来实现数据访问可溯源。
对用户上传文件到对象存储后，京东云提供丰富的数据处理服务，可以在云端实现图片的缩放、裁剪、水印、鉴黄、格式转化和样式管理，视频转码工作流等丰富的数据处理功能，满足各网络场景下多终端设备的访问需求，同时提供数据安全性、透明性、可溯源性。
4.5.3 数据态势管理
京东云数据态势感知管理，通过识别用户业务操作行为，识别业务访问逻辑、端口、账户、位置等信息，建立安全基线和访问控制策略，通过分析有效发现业务逻辑和访问异常，对敏感信息的违规外发或用户的异常行为能够进行有效阻断。可进行风险预警和处置，有效降低业务数据的安全风险。汇集结构化和非结构化的数据，对静态、动态和传输的数据进行统一管理，感知数据态势。
4.6数据销毁
在用户提出请求和合同终止时，京东云会严格遵循数据销毁标准与用户之间的协议约定，执行用户注销和数据删除。
4.6.1 用户注销
京东云账户注销后，用户个人信息会在京东云系统中去除，使其保持不可被检索、访问的状态，或对其进行匿名化处理。
4.6.2 数据删除
当用户删除数据或离开京东云时，平台支持用户使用自己的密钥对指定的数据及其所有副本进行全面的加密，然后删除密钥，达到数据加密擦除的效果。随后平台再对数据及副本进行全面的清除，包括删除用户与数据之间的索引关系，并将内存、块存储等存储空间进行清零操作。在一定条件下，对退役的磁性存储设备进行消磁和物理销毁，确保其数据无法恢复。
五、方案优势
5.1全场景适配能力
基于对多个行业的业务场景深度理解，能够全面适应和满足政府、金融、IDC、游戏、电商、互联网等多类业务场景的数据安全防护需求，可提供丰富的产品形态和API接口，满足不同行业在安全合规、运维管理、业务开发等多方面业务需求。
5.2纵深安全防御
京东云遵循数据安全生命周期管理的业界先进标准，采取管理和技术两方面的手段进行全面数据安全体系建设。数据安全管理遵循“责任明确、授权合理、流程规范、技管结合”的工作方针。提供从数据生产、存储、传输、访问、使用和销毁全生命周期的纵深安全防御体系，保障用户的业务安全和数据安全，并提供多样化的安全增值服务选择，保证用户数据的隐私权、所有权和控制权不受侵犯，为用户提供最切实有效的数据保护。
5.3符合合规监管
京东云平台通过等保三级、可信云服务认证、ITSS云计算服务能力标准符合性认证、支付卡行业数据安全标准 (PCI-DSS)认证、CSA STAR云安全认证、C STAR云计算安全评估认证，解决方案符合行业监管合规要求。平台为用户提供数据安全平台的管理能力，可进行独立的审计和访问控制，直接输出合规的报表，满足国家和各行业多个法规和标准的要求。能够帮助企业快速通过各种安全保密检查和评测。
5.4用户拥有数据绝对主权
京东云尊重用户的数据主权，提供安全保障措施及服务，供用户安全地处理数据，协助用户发挥数据价值。用户拥有其云上数据的所有权、控制权和知情权。京东云不接触用户数据，加密的密钥采用物理加密机的方式进行产生和使用，用户可以用任何方式管理自己的私有数据，按用户所希望的格式保存其数据，选择任何方式加密自己的数据，在指定的任何时间移动或者删除它，并且用户有权利了解数据存储、传输、访问、使用、销毁等机制。可将多种结构化和非结构化数据进行归类，并进行关联分析，将数据资产分布状况、敏感数据访问行为进行动态展示，形成人、数据、行为三维一体的资产图谱，并预测数据资产可能面临的泄漏风险。
六、总结
本方案以数据智能发现、加密存储和传输、展示和使用脱敏、细粒度的权限访问控制和审计、溯源等为基础，完整实现对云端数据的全面审计和访问控制，同时为用户提供访问数据和审计日志信息至数据安全态势感知中心，然后由态势感知中心进行统一分析和展示。此方案完美地解决了当前云上客户对数据的安全担忧，能够实现对用户业务数据全生命周期的安全保护，并给用户还原一个清晰、透明、可控的数据资产分布及访问行为态势。
评委点评
叶红 中国信息协会信息安全专业委员会主任：
京东云云端数据全生命周期安全解决方案提出了云端数据全生命周期的安全策略和技术应对措施。本方案包括数据智能发现、加密存储和传输、展示和使用脱敏、细粒度的权限访问控制和审计、溯源以及对相关信息的态势感知分析和展示，较好的解决了当前云上客户对数据的安全担忧，实现了对用户业务数据全生命周期的安全保护。该方案基于对多个行业的业务场景深度理解，能够适应和满足不同用户多类业务场景的数据安全防护需求。
WITAwards 2019 颁奖盛典 | CIS 2019 网络安全创新大会即将揭晓
「WitAwards中国网络安全创新年度评选」由国内信息安全新媒体领导者FreeBuf主办，已连续举办四届，自 2016 年举办以来一直饱受赞誉，是业内广受关注的网络安全创新大奖评选。评选周期历时3个多月，将邀请网络安全顶尖行业专家、权威业界媒体、甲方企业安全负责人以及广大安全从业者共同参与甄选，颁奖盛典将在「CIS 2019网络安全创新大会」隆重举行。
本次WIT评选分为「线上报名」、「甲方评委报名」、「大众投票」、「甲方投票」、「评委主席投票」、「现场观众投票及颁奖」六个阶段。
除年度保障力量外的5大奖项将根据大众投票（15%），甲方投票（30%）、评委主席投票（40%）、现场观众投票（15%）决定归属。最终获奖名单将在「CIS 2019网络安全创新大会」上现场评出并进行颁奖。「WIT2019评选官网」。
WitAwards 2019年度中国网络安全创新年度评选，旨在发掘全年卓越的安全产品和杰出人物，给予在2019年为安全行业做出贡献的个人、团队及产品以掌声和肯定！
来源：freebuf.com 2019-10-29 10:18:56 by: FB独家
请登录后发表评论
注册