移动云安全白皮书（2022年）

张峰、江为强、秦尔楠、朱文鹏、郭中元、王浩硕、邱勤、张文勇、王光涛、罗志成、董航、石春磊、叶锦辉、徐天妮、张瑞钦、张泉、徐思嘉、丁郅豪、董军、于乐、肖煜、何亮忠、刘畅、邵根波、冯尧、王晓周、严仍义、柴倩、徐扬、王国宇、牟丽、密鹏翔、张胜、檀鹏、费怡超、张弘扬、王馨裕、李智水 发布单位： 中国移动通信集团有限公司 编制单位： 信息安全管理与运行中心 中移（苏州）软件技术有限公司 参编人员： 声明 版权所有©中国移动通信集团有限公司。保留一切权利。 非经中国移动通信集团有限公司明确的书面许可，任何单位和个人，均不得基于任何目的，以任何方式摘抄、复制、传播本文档的部分或全部内容，亦不得将本文档复制、存储或引入到任何检索系统中。 重要注意事项 中国移动通信集团有限公司可能拥有本文档内容所涉及的专利、专利申请、商标、版权或其他知识产权，获得本文档并不代表您同时获得这些知识产权的授权许可。 您购买的产品、服务或特性等应受移动云商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。本文档仅作为使用指导，除非另有约定，本文档中的所有陈述、信息和建议均不构成中国移动通信集团有限公司对您所购买的产品、服务或特性的任何明示或暗示的声明或保证。 由于产品、服务版本升级或其他原因，移动云保留在没有任何通知或者提示下对本文档的内容进行修改的权利，并在移动云授权通道中不时发布更新后的本文档。您应当实时关注云服务客户文档的版本变更并通过移动云授权渠道下载、获取最新版的本文档。 目录 CONTENT 1.1移动云简介2 1.2移动云安全战略2 2.1安全合规资质4 2.2安全防护技术4 2.3安全运营管理6 2.4安全产品服务7 3.1移动云用户安全9 3.2移动云平台安全12 3.3移动云安全管理12 3.4移动云安全运营14 目录 3.5移动云安全合规保障16 4.1责任共担模型17 4.2云服务商安全责任21 4.3云服务客户安全责任21 5.1保障安全合规22 5.2安全资质认证22 6.1移动云安全管理 6.2移动云安全运营25 6.3移动云产品开发安全管理27 7.1物理安全28 7.2虚拟化安全28 7.3平台数据安全30 7.4客户数据安全31 7.5个人信息隐私保护33 8.1移动云运营管理平台34 8.2虚拟网络产品34 8.3存储产品35 8.4弹性计算产品37 8.5CDN39 8.6边缘计算40 8.7MySQL数据库40 8.8云原生大数据分析41 8.9管理与监控41 8.10消息队列中间件42 9.1用户基础安全45 9.2业务安全50 9.3数据安全52 9.4内容安全54 概述 01 概述 移动云是面向政府部门、企事业单位、社会组织、个人等客户需求而推出的云计算服务，为客户提供跨地域、高可用、高可靠的新型IT资源服务。随着云计算关键技术的快速迭代更新及云技术架构和应用模式的不断演进，云计算服务面临的安全风险日益多元化、复杂化、扩大化，已成为安全攻防的主战场。 中国移动以国家行业有关云计算服务安全合规要求为基线，以用户多样化安全需求为导向，以建设高安全移动云为目标，全力布局云计算安全领域，通过系统化整合云平台安全、云产品安全、租户安全等多方面能力，统一构建高安全的移动云安全保障体系。对内支撑中国移动自身安全发展诉求，降本增效；对外服务全网政企客户和互联网客户，致力于成为云计算安全领域的领先者，全面实现云安全“可管、可控、可信”。 本白皮书旨在通过介绍移动云在公有云领域的安全保障体系及产品服务能力，进一步增强客户将业务及数据向移动云平台迁移的信心，同时为客户选择安全的移动云产品，特别选择配套安全产品与服务等提供参考依据。白皮书主要内容包括：安全责任共担模型、安全合规与资质保障、安全运营管理、云平台安全防护、云产品自身安全、云安全产品与服务等。 注：本白皮书的目标读者包括但不限于客户、合作伙伴，欢迎其他关心云计算安全的机构和个人阅读雅正。 概述 1.1 移动云简介 中国移动通信集团有限公司（简称“中国移动”）于2000年4月20日成立，拥有全球第一的网络和客户规模，品牌价值位列全球电信运营商前列。移动云通过服务器虚拟化、对象存储、网络安全能力自动化、资源动态调度等技术，为客户提供计算、存储、网络、安全、大数据、开放云市场等服务。移动云业务具备安全可信、部署周期短、业务上线快、上云成本低、拥有自主知识产权、服务质量有保证等优势。移动云拥有覆盖全国的N+31+X属地化资源池，强化核心技术自主创新，已上架200多款产品，基本形成品类齐全的全栈产品能力。基于重点产品和行业发展需求，为用户提供一站式产品服务。移动云关键特点如下： 云网一体。移动云建设N个集中节点、31个省级属地化节点、X个边缘节点，打造“一朵云”的全域资源布局。专网专用、网随云动，建设“一张网”，全局智能流量调度、调优。移动云建设门户统一入口，提供一站服务、一跳入云、一点受理的“一体化服务能力”。 安全可控。移动云坚定不移地加大研发投入，强化核心技术的自主创新，打造完整的安全产品体系和健康的应用生态；通过了首批可信云认证，牵头制定多项云计算相关国家标准；通过自主掌控核心技术，移动云提供多类安全服务，提供通信级安全体系保障，打造最值得信赖的高安全云；移动云全网统一规划“N+31+X”三层资源布局架构。N个中心资源池，辐射西北、华北、东北、西南、华东、华南、华中各大地区，满足全网标准化 安全需求；面向31个省，统一标准，满足属地化云服务客户需求建设多个省级资源池，实现云服务100%覆盖；面向300多个地市，按需建设，灵活部署X个下沉式边缘云。 贴身服务。中国移动拥有31家省级公司、290+市级公司，实现移动云省、市、县全域覆盖，打造客户身边的云。移动云拥有5万人的客户经理团队，技术人员团队超11.6万人，客户可享受属地化支撑、贴身化服务的便利。 随心定制。移动云依托属地化资源、丰富的产品及生态打造行业专享、灵活定制的端到端解决方案。属地开辟隔离资源区，实现行业用户资源独享；满足各行业属性需求，定制端到端解决方案；海量行业生态合作伙伴，支撑解决方案快速构建。 1.2 移动云安全战略 中国移动致力于打造行业领先的高安全移动云，实现“人无我有、人有我优、人优我廉”的比较优势，为用户提供安全可信的产品及服务，打造移动云高安全品牌。 合规：严格落实国家法律法规和行业监管要求，布局全行业的资质能力，打造“行业领先、国内权威、全球认可”的安全合规能力。 差异化：基于中国移动“网络、触达、央企、人才”的差异化优势，发挥央企责任担当，提供安全可靠服务，以运营商强大资源为基础，构 建“云网融合”、“云数融合”、“云智融合”、“云边融合”，四融为一体的云服务能力。 高安全：建设一体化防御体系，实现“可管、可控、可信”安全目标，确保自己安全、伙伴安全、租户安全。 02 高安全移动云 “ 总体目标 “高安全”的总体目标是在云安全领域达到行业领先，全面实现云安全“可管、可控、可信”，能够有效抵御外来的重大安全攻击，能够有效发现利用云发起的规模性主动或被动网络攻击事件并及时处置，同时确保云的数据不被窃取、篡改。目前，移动云从安全合规资质，安全防护技术，安全运营管理和安全产品服务四个方面满足高安全移动云需求。 2.1 安全合规资质 移动云满足国家、行业在安全合规监控、资质认证要求，并结合市场侧安全资质需求，对标友商安全资质情况，积极打造国内权威资质、全球通用资质、储备行业资质及海外资质所需能力，已获得了诸多“行业领先”、“国内权威”、“全球认可”的安全资质。 移动云安全资质规划 行业领先 国内权威 全球认可 C5（德国） 医疗 等保2.0三级 和等保2.0四级 云计算服务评估 ISO27001 （信息安全管理体系） ISO27017 （云服务安全体系） MTCS（新加坡） mpaa（影视） 商用密码应用 安全性评估 数据安全管理认证 ISO207701 （隐私管理体系） ISO27018 （个人数据保护体系） NESA（阿联酋） SECRule-（证券） 数据安全治理 能力评估 政务云网信办审查 PCI-DSS（支付卡业务安全） CSA-STAR （云安全管理体系） GxP（医疗） TISAX（汽车） 数据管理能力 成熟度评估 可信云认证 SOC1/2/3/报告 ISO22301 （业务连续性体系） 图1移动云安全资质规划 2.2 安全防护技术 移动云以基础防护能力、安全分析与态势感知为主体，根据安全合规与安全运营的要求，建立高安全防护技术体系，重点加强了基础防护能力、安全合规能力、以及与一体联动能力等方面的建设。基础防护能力包括应用防护，网络防护，主机防护，安全评估和安全审计。态势感知包括网络安全处置，资产威胁处置，用户行为处置，安全态势预警，SOAR，运维响应，脆弱性态势和数据应用保护。集中管理与分析方面构建了统一的安全运营管理平台，统一采集资产、漏洞、告警等各类安 全数据，集中管理分析，输出结果二次智能分析挖掘深层次安全威胁，针对不同安全风险场景实现自动、半自动化处置流程。安全合规能力在平台侧主要包括资产安全管理和数据安全管理，实现资产和数据的全生命周期安全管控，租户侧主要包括云信安，反诈，不良信息监测，应对云上租户主动或被动产生各类涉诈、不良等违规信息的监测处置。安全运营包括一键封堵，漏洞管理，业务风控和威胁情报管理。运维安全包括4A和VPN。 移动云高安全防护技术体系 日志存储事件分析 态势感知 安全合规 集中管理分析 分析能力层 数据采集层 基础防护能力 运维安全 图2移动云高安全防护技术体系 2.3 安全运营管理 良好的安全防护技术体系需要有优秀的安全运营体系才能发挥出全部的功效。移动云提出“一体化”安全运营管理理念，依靠运营流程制度、云原生平台技术能力、人员组织的协同演进，构建智能高效、可度量、可持续化自我优化升级的安全运营管理体系。 流程制度方面，安全运营“事前”、“事中”、“事后”环节全方位覆盖。组织架构方面，具备持续安全的 人才架构体系，同时注重网络安全人才的培养，保障安全运营人力的持续供给。平台技术方面，贴合安全运营流程，提供高技术能力平台支撑。“事前”具备研发安全支撑能力，资产安全、漏洞管理安全保障功能，“事中、事后”具备支撑安全运营监控、分析及响应的中枢能力。 一体化云安全运营管理 流程嵌入、平台原生、智能高效 网络安全、信息安全、业务安全 流程制度 组织架构 图3安全运营管理架构 平台技术 2.4 安全产品服务 移动云为客户提供“全栈”式安全产品与服务，形成以“严选”为特色的安全产品服务能力，建立安全产品关键能力推进图谱，发挥“云网一体、云数融合”等优势，打造更具差异化优势的产品，全面构建“全栈”式安全产品。在各个领域具备典型代表性产品，在产品安全与安全产品上具备良好的协同与演进机制。全面布局15款公有云产品、2款支撑系统，覆盖访问安全、边 界安全、主机安全、应用安全、安全运营等领域，形成“点”“线”“面”“体”立体式防护产品体系，为用户提供全方位、一站式安全防护产品和服务。 中国移动将通过安全能力认定的公司网络信息业务、信息通信服务和产品纳入“严选”库，实施动态评估和“上下架”管理，促进安全管理水平持续提升，推动安全产品服务高质量供给。 图4“全栈”式安全产品与服务 03 移动云 “ 安全架构 移动云安全架构可概括为“三横两纵”，三个横向维度分别是用户安全、云平台安全以及安全合规保障，两个纵向维度分别为安全管理和安全运营。其中用户安全包括账户安全、基础安全、数据安全、业务安全、内容安全，全面覆盖了用户安全需求。平台安全包括物理安全、虚拟化安全、平台数据安全、产品开发安全等防护能力，符合等保2.0等合规要求。安全管