云计算安全扩展要求-（三）安全通信网络
云计算安全扩展要求
控制点
2.
安全通信网络安全通信网络针对云计算环境提出了安全控制扩展要求，主要对象为云计算网络环境的网络架构、虚拟资源、通信数据等，涉及的安全控制点包括网络架构。
网络架构
云计算是以计算、存储和网络为基础的。网络是云计算的重要基石，网络架构的安全性是云计算安全的重要一环。网络架构涉及可靠性、性能、可扩展性等方面。对大多数云计算环境而言，网络的性能决定了云计算的性能，因此，网络架构的安全尤为重要。
a)
安全要求：应保证云计算平台不承载高于其安全保护等级的业务应用系统。
要求解读：云服务商侧的云计算平台应作为单独的定级对象来定级。云租户侧的等级保护对象也应作为单独的定级对象来定级。云计算平台的安全保护等级应不低于云租户的业务应用系统的最高安全保护等级。
检查方法
1．了解云计算平台及云上客户业务系统的安全保护等级，核查相关定级备案材料。
2．核查是否存在云上客户业务系统的等级高于云计算平台的安全保护等级的情况（应为否）。
期望结果
1．有云计算平台及云上客户业务系统的定级备案材料。
2．云上客户业务系统的安全保护等级不高于云计算平台/系统的安全保护等级。
b)
安全要求：应实现不同云服务客户虚拟网络之间的隔离。
要求解读：同一物理主机上的虚拟机间可能通过硬件背板进行通信，不同物理主机上的虚拟机之间可能通过网络进行通信。这些通信流量对传统的网络安全控制而言是不可见的，且无法进行监控或封堵。为了避免租户之间的相互影响甚至恶意攻击，确保租户及云平台的安全，应对不同的云服务客户的网络进行有效隔离，以保证云服务客户的访问与其他租户的访问得到有效隔离。
检查方法
1．核查不同的云服务客户之间是否采取了隔离手段或措施。
2．检查相关的隔离技术说明文档及隔离测试报告。
3．测试验证不同的云服务客户之间的网络隔离措施是否有效。
期望结果
1．通过虚拟网络隔离技术（例如VPC）实现了不同云服务客户的网络资源的隔离。
2．云防火墙采用基于业务可视化的结果进行业务梳理和业务隔离的技术，帮助用户实现了云环境中东西向流量的隔离。
c)
安全要求：应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力。
要求解读：为应对源自各个层面的攻击，云服务商应为云服务客户提供通信传输、边界防护、入侵防范等安全防护措施。云服务客户可根据业务安全防护需求选择适当的安全防护措施，提升业务系统的安全防护能力，从而应对外来的威胁攻击。
检查方法
1．核查云服务商提供的通信传输、边界防护、入侵防范等安全防护措施，并检查由这些安全防护措施形成的安全防护能力。
2．核查云服务商提供的安全防护能力是否能够满足云服务客户的业务需求。
期望结果
1．有对通信传输、边界防护、入侵防范等安全产品或安全服务的说明。
2．各安全产品的安全防护配置能够满足云服务客户的业务需求。
d)
安全要求：应具有根据云服务客户业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略。
要求解读：云服务客户可根据自身的业务需求，在云服务商提供的安全组件上自定义安全策略，例如定义安全访问路径、选择安全组件、配置安全策略。
检查方法
1．了解云计算平台提供的安全组件有哪些，以及这些安全组件是否支持用户自定义安全策略。
2．核查云服务客户是否能够自定义安全策略（包括定义访问路径、选择安全组件、配置安全策略）。
期望结果
云安全产品提供了用户自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略。
e)
安全要求：应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。
要求解读：API是一些预定义的函数，其目的是在应用程序和开发人员之间基于软件或硬件提供访问一组例程的能力（无需访问源代码或理解应用程序内部工作机制的细节）。API本身是抽象的，仅定义了一个接口。云计算目前之所以会面临互操作性问题，一个重要的原因就是缺少被广泛认可和接受的API标准。为此，云服务商应提供开放和公开的API，允许第三方安全产品或安全服务接入。
检查方法
1．了解是否提供了开放接口或开放性安全服务，查阅开放接口设计文档或开放性安全服务文档。
2．核查并测试验证是否允许第三方安全产品或安全服务接入云计算平台。
期望结果
1．有允许第三方安全产品接入的开放接口设计说明。
2．云计算平台部署了安全异构区，允许第三方安全产品接入。云安全生态支持用户选择第三方安全产品，允许通过联调的第三方安全产品接入。
