CN111641652A - 一种基于云计算的应用安全服务平台 - Google Patents

Abstract

本发明提出了一种基于云计算的应用安全服务平台，包括：安全服务管理平台、服务器群、安全能力引擎和安全评估服务平台，其中，安全服务管理平台用于对资源配置、负载配置、集中监控进行管理；服务器群用于根据安全服务管理平台的资源配置指令，对各个服务器进行部署管理，以及接收来自CA中心的指令，其中，服务器群集合有认证服务器、时间戳服务器、审计服务器、密码服务器、CA接入代理服务器；安全能力引擎作为向外提供的安全中间件平台，供业务应用直接调用并提供安全服务能力接口；安全评估服务平台用于对各项安全服务的服务结果进行评估。本发明将传统安全技术和云计算技术进行了双向有机融合，能够提供更强大、更为有力的安全服务。

Description

一种基于云计算的应用安全服务平台

技术领域

本发明涉及数据安全技术领域，特别涉及一种基于云计算的应用安全服务平台。

背景技术

云计算(CloudComputing)是基于互联网的相关服务的增加、使用和交付模式，一般来说是借助于互联网来提供动态的、弹性的、易扩展的、虚拟化的资源。采用云计算模式之后，传统的运行在本地计算机或服务器之上的存储和运算将移植到云端，其实质是由大量分布式计算机资源的并行计算。换而言之，云计算在实质上是对计算机硬件、软件、网络等计算能力资源及对这些计算资源进行安装、配置与维护等的充分共享。分布在互联网上的形态各异的计算中心共同构成了“云”，由数以万计甚至几十万、几百万台的计算机或服务器共同组成。对于用户来说，购买高性能的硬件和购买或开发各种功能的软件将成为过去。现在，用户通过使用任意一台可上网的设备，就可以连接到“云”并直接使用“云”提供的的软件或服务，甚至把处理和存储数据这样的关键事件直接放置在“云”上完成。理论上说，并行计算、网格计算和分布式计算共同构成了云计算的技术基础，云计算将其发扬光大。相比网格计算，云计算的主要优势在于:传统的网格计算倾向于解决计算和存储资源的分配问题，类似于按照各自应用的需要重新分配计算和存储资源；云计算则更进一步，能够实现应用资源和存储的共享。在云计算的模式下，用户反而不需要提供计算和存储资源，更不需要自己购买或开发应用，云服务提供商可以提供用户所需的一切。

云计算带来了安全性的提升，但云计算信息化的安全仍不容忽视。云中信息化系统在建设过程中，信息安全成为越来越突出的问题，越来越多的信息化系统将注意力集中在信息安全方面。信息化系统的安全需求普遍集中在如下几个方面:

(1)身份认证难：由于网络对用户的开放性，使得非法用户可以借机进行利用并破坏，他们很容易伪造、假冒企业应用系统和用户的身份。这样，用户无法知道他们所登录的应用系统是否真实、可信，应用系统也无法证明访问的用户是否是系统中的合法用户。

(2)信息机密性差：数据在互联网或内网上传输敏感、机密信息数据时，有可能在传输过程中被截取，被非法用户加以利用。

(3)信息完整性差：在保证信息机密性的同时，还需要保证敏感数据的完整传输。敏感数据在网络传输过程中很可能遭恶意篡改，使得接收方不能得到完整的信息。

(4)信息抗抵赖性低。如果没有有效的手段保证电子数据共享和传输的抗抵赖，谁都可以否认自己共享和传输过的电子数据。一旦出现问题，将没有任何有效的证据对肇事者进行追究。为了解决安全问题，众多信息化系统普遍建设了安全模块或安全系统，但还存在如下一些现实问题:

1)建设投入大。用户为满足高峰安全需求而部署大量的专业安全设备，造成了资源利用率低、运营成本高的现状。

2)维护成本高。为保障安全系统及时有效地为业务发展保驾护航，需投入大量的管理费用，包括大量部署调试时间、专业的运维人员等。

3)人员要求高。安全系统的正常运维需要专业人才，项目交付后若出现问题很难及时响应，为此业务单位需培养大量的人员投入此项工作。信息系统需要的仅仅是“安全”，是“安全”本身、是安全防护能力，而不是专业的安全设备和专业的安全技术人员，投入费用后，能够得到最直接的安全服务。

传统的web应用防火墙(简称WAF)能够对web应用攻击产生较好的防御效果，但是由于其硬件条件的限制，在大规模攻击突发时，其检测、分析和存储存在诸多性能瓶颈。

发明内容

本发明的目的旨在至少解决所述技术缺陷之一。

为此，本发明的目的在于提出一种基于云计算的应用安全服务平台。

为了实现上述目的，本发明的实施例提供一种基于云计算的应用安全服务平台，包括：安全服务管理平台、服务器群、安全能力引擎和安全评估服务平台，其中，

所述安全服务管理平台用于对资源配置、负载配置、集中监控进行管理；

所述服务器群用于根据所述安全服务管理平台的资源配置指令，对各个服务器进行部署管理，以及接收来自CA中心的指令，其中，所述服务器群集合有认证服务器、时间戳服务器、审计服务器、密码服务器、CA接入代理服务器；

所述安全能力引擎作为向外提供的安全中间件平台，供业务应用直接调用并提供安全服务能力接口；

所述安全评估服务平台用于对安全服务管理平台、服务器群、安全能力引擎安全服务的服务结果进行评估。

进一步，所述安全服务管理平台还用于进行用户管理、业务管理和计费管理。

进一步，所述服务器群进一步集合有以下服务器：合规管理服务器和签名验签服务器。

进一步，所述安全能力引擎用于提供以下安全服务能力接口：证书能力、加解密能力、合规评估能力、签名能力、验签能力、安全日志分析能力、时间戳能力、认证能力、安全事件监控能力。

进一步，所述安全评估服务平台对以下安全服务进行评估：统一认证服务、证据保全服务、可信交易环境、证书服务、安全审计服务、电子签章服务、签名服务、加解密服务、时间戳服务、合规检查服务和安全事件管理服务。

进一步，所述应用安全服务平台提供以下安全云服务模式：

(1)公有安全云：通过建设一个公有安全云服务平台，为客户提供安全服务租赁业务；

(2)私有安全云：各种云内建设独立的安全云服务平台，为云内提供安全服务。

根据本发明实施例基于云计算的应用安全服务平台，通过对安全设施资源及业务能力进行云化，形成安全能力资源池，并基于互联网提供按需的安全服务，从而实现安全即服务的一种技术和业务模式。将传统安全技术和云计算技术进行了双向有机融合，能够提供更强大、更为有力的安全服务能力。本发明提供了安全云服务平台的体系架构和功能，并提供了安全云服务的服务模式、服务对象等关键内容。本发明采用安全云服务继承了云计算的资源迁移模式，将传统、单一的安全防护手段转移到云端进行整合，使得云端可以对外提供综合防护能力，并以按需定制的形式供用户灵活的访问和配置。从而，安全云服务最典型的三个特点体现在资源整合、按需定制、透明服务。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1为根据本发明实施例的基于云计算的应用安全服务平台的结构框图；

图2为根据本发明实施例的基于云计算的应用安全服务平台总体设计示意图；

图3为根据本发明实施例的基于云计算的应用安全服务平台的架构图。

具体实施方式

下面详细描述本发明的实施例，实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

本发明提出一种基于云计算的应用安全服务平台，可以应用在安全防护领域，在数据安全领域搭建应用安全服务平台。

如图1所示，本发明实施例提供一种基于云计算的应用安全服务平台，包括：安全服务管理平台1、服务器群2、安全能力引擎3和安全评估服务平台4。

具体的，参考图1，安全云服务平台架构所有能力设备由一套统一的安全服务管理平台进行统一管理。安全服务管理平台主要负责资源配置、负载配置管理、集中监控以及其他管理功能。

此外，安全服务管理平台还用于进行用户管理、业务管理和计费管理。

安全云服务平台的核心是安全服务能力资源集群,包括认证服务器、时间戳服务器、签名服务器等传统安全产品,多台产品部署在一起,形成服务能力集群。

具体的，参考图2和图3，服务器群用于根据安全服务管理平台的资源配置指令，对各个服务器进行部署管理，以及接收来自CA中心的指令，其中，服务器群集合有认证服务器、时间戳服务器、审计服务器、密码服务器、CA接入代理服务器。认证服务器用于证明网站的真实身份，提高用户对网站的信任度，有效的避免钓鱼网站，建立ssl安全通道，确保客户与网站之间的信息加密传输，保证安全。时间戳服务器用于提供精确可信的时间戳服务，采用精确的时间源、高强度高标准的安全机制，为信息系统中的时间防抵赖提供基础服务。审计服务器用于协助用户进行安全分析及合规审计，及时、有效的发现异常安全事件及审计违规。密码服务器具有加解密、数字签名、身份认证、随机数生成等功能。CA接入代理服务器的主要工作在开放系统互联(OSI)模型的会话层，从而起到防火墙的作用。

此外，服务器群进一步集合有以下服务器：合规管理服务器和签名验签服务器。

同时,安全云服务平台向外提供安全中间件平台,可供业务应用直接调用,提供方便易懂的安全服务能力接口。即，安全能力引擎作为向外提供的安全中间件平台，供业务应用直接调用并提供安全服务能力接口。

所述安全评估服务平台用于对安全服务管理平台、服务器群、安全能力引擎安全服务的服务结果进行评估。

具体的，安全能力引擎用于提供以下安全服务能力接口：证书能力、加解密能力、合规评估能力、签名能力、验签能力、安全日志分析能力、时间戳能力、认证能力、安全事件监控能力。

在本发明的实施例中，应用安全服务平台提供以下安全云服务模式：

(1)公有安全云：通过建设一个公有安全云服务平台，为客户提供安全服务租赁业务，收费模式可以按年服务。费(如数字证书)、使用次数(如时间戳)或资源使用情况收取；

(2)私有安全云：各种云内建设独立的安全云服务平台，为云内提供安全服务，收费模式采用项目建设费用和技术支撑费用收取。

具体的，服务形式包括以下两种:

(1)安全接口,客户通过应用程序接口(API)的形式使用服务；

(2)服务门户,客户通过Web门户的形式使用服务。

安全云服务对象包括:

1)提供云计算系统本身的安全服务,通过基于数字证书的身份认证、访问控制、数据安全存储及安全检测、漏洞扫描等,确保云平台本身的安全。

2)保障云计算服务业务对象的安全,可服务于各种业务对象,如政府行业、企事业单位、医疗保健系统、招投标系统、电子商务系统等。

安全评估服务平台用于对各项安全服务的服务结果进行评估。

具体的，安全评估服务平台对以下安全服务进行评估：统一认证服务、证据保全服务、可信交易环境、证书服务、安全审计服务、电子签章服务、签名服务、加解密服务、时间戳服务、合规检查服务和安全事件管理服务。

本发明实施例基于云计算的应用安全服务平台，具有以下特点：

(1)资源整合：传统的安全防护停留在功能层面，即单一设备解决单一问题，这些独立功能无法联动，易造成单点突破。安全云服务通过整合物理实体资源(如加解密设备)、虚拟资源(如虚拟IDS、IPS、WAF)以及提供专业技术支持的人力资源(如安全事件管理员、漏洞分析员)，采用虚拟化技术构建统一的资源池，并对资源采用负载均衡、灵活调配以及最大化利用等方式，实现对外安全功能的便捷交付。

(2)按需定制：按需定制体现在安全云服务以网络化的方式组织和聚合各种安全资源，以统一的界面呈现给用户，并允许动态创建各种安全能力的组合，协助用户快速构建个性化服务体系，同时可以随时根据自身规模的缩减或者扩展灵活规划、购置和占用服务，为用户提供运营成本的阶梯式选择模式。

(3)透明服务：用户透明性是云计算不可或缺的一个优势，运用到安全领域，体现出专业知识透明、操作透明、技术透明等特点。安全云服务将安全防护等相关业务从用户主营业务中剥离出来，用户只需明确防护需求与服务提供水平，无需了解底层实现和部署的细节，即可配备、使用无处不在的防护力量。信息安全领域的攻防博弈是一场“点”攻击、“面”防护的不对称竞争。这种攻防技术、成本、时间和信息的不对称性，增大了安全防护的难度。然而，借助云计算技术的优势，传统安全能力在以下方面得到大幅提升，为安全人员增加了博弈筹码。

首先，云端为安全防护规则、漏洞库等数据提供第一时间的更新能力。安全知识库，如病毒特征码、URL黑名单、垃圾邮件指纹集，Web攻击特征等，不再受本地数据源限制而依赖于小范围数据采集，也摆脱了服务器定时或者手动更新的性能瓶颈。通过云端强大的服务器，实时处理随时爆发的新型攻击，更新信息数据，能够有效控制危险事件的大规模发生和传播。云节点和参与者越多，云安全资源就越丰富，整个互联网就会更安全。

其次，云端提供资源的灵活调度。系统攻击发生时间、地点和规模的未知性，需要安全资源弹性配置、快速响应、易于扩充。安全云服务通过实时监控系统状态、资源占用情况，精确调度、按需部署，使得安全部署更加紧凑，扩展兼顾面，真正实现“远水可以救近火”的能力。

另外，云端提供安全专业人员的技术支持。在云端代为管理受保护的信息系统，提供实时事件监控和应急处理以及安全事件的历史分析和反馈，有利于及时地下发决策。除此以外，云端资源迁移更加灵活。物理机之间的迁移依靠的是系统备份和恢复技术，云计算中虚拟化技术使得安全资源的迁移方式多样、迁移速度更为快捷，允许业务弹性变更，提升系统灾备和恢复能力。

根据本发明实施例基于云计算的应用安全服务平台，通过对安全设施资源及业务能力进行云化，形成安全能力资源池，并基于互联网提供按需的安全服务，从而实现安全即服务的一种技术和业务模式。将传统安全技术和云计算技术进行了双向有机融合，能够提供更强大、更为有力的安全服务能力。本发明提供了安全云服务平台的体系架构和功能，并提供了安全云服务的服务模式、服务对象等关键内容。本发明采用安全云服务继承了云计算的资源迁移模式，将传统、单一的安全防护手段转移到云端进行整合，使得云端可以对外提供综合防护能力，并以按需定制的形式供用户灵活的访问和配置。从而，安全云服务最典型的三个特点体现在资源整合、按需定制、透明服务。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求及其等同限定。

Claims (6)

1.一种基于云计算的应用安全服务平台，其特征在于，包括：安全服务管理平台、服务器群、安全能力引擎和安全评估服务平台，其中，

所述安全服务管理平台用于对资源配置、负载配置、集中监控进行管理；

所述服务器群用于根据所述安全服务管理平台的资源配置指令，对各个服务器进行部署管理，以及接收来自CA中心的指令，其中，所述服务器群集合有认证服务器、时间戳服务器、审计服务器、密码服务器、CA接入代理服务器；

所述安全能力引擎作为向外提供的安全中间件平台，供业务应用直接调用并提供安全服务能力接口；

所述安全评估服务平台用于对安全服务管理平台、服务器群、安全能力引擎安全服务的服务结果进行评估。

2.如权利要求1所述的基于云计算的应用安全服务平台，其特征在于，所述安全服务管理平台还用于进行用户管理、业务管理和计费管理。

3.如权利要求1所述的基于云计算的应用安全服务平台，其特征在于，所述服务器群进一步集合有以下服务器：合规管理服务器和签名验签服务器。

4.如权利要求1所述的基于云计算的应用安全服务平台，其特征在于，所述安全能力引擎用于提供以下安全服务能力接口：证书能力、加解密能力、合规评估能力、签名能力、验签能力、安全日志分析能力、时间戳能力、认证能力、安全事件监控能力。

5.如权利要求1所述的基于云计算的应用安全服务平台，其特征在于，所述安全评估服务平台对以下安全服务进行评估：统一认证服务、证据保全服务、可信交易环境、证书服务、安全审计服务、电子签章服务、签名服务、加解密服务、时间戳服务、合规检查服务和安全事件管理服务。

6.如权利要求1所述的基于云计算的应用安全服务平台，其特征在于，所述应用安全服务平台提供以下安全云服务模式：

(1)公有安全云：通过建设一个公有安全云服务平台，为客户提供安全服务租赁业务；

(2)私有安全云：各种云内建设独立的安全云服务平台，为云内提供安全服务。

Images