云安全指南V4.0

CSA 云计算关键领域安全指南v4.0 云计算关键领域安全指南v4.0的官方网址是：英文版： https://cloudsecurityalliance.org/document/security-guidance-for-critical-areas-of-focus-in-cloud-computi ng-v4-0/ 中文版：https://www.c-csa.cn 官方学习指南： ©2017CloudSecurityAlliance–AllRightsReservedAllrightsreserved. 你可以下载、存储、显示在你的电脑上,查看,打印，以及链接到云计算关键领域安全指南v4.0https://cloudsecurityalliance.org/document/V4.0security-guidance-for-critical-areas-of-focus-in-cloud-co mputing-v4-0/, 以下主题:(a)报告可用于个人，信息,非商业用途;(b)报告不得修改或以任何方式改变;(c)报告不得重新分布;(d)商标,版权或其他条款不可被删除。根据美国版权法的合理使用条款，如果你将引用部分归为云计算关键领域安全指南v4.0，那么你可以引用报告的部分内容。 CSA 云计算关键领域安全指南v4.0 中文版翻译说明 CSA云计算关键领域安全指南v4.0由CSA大中华区研究院组织志愿者进行翻译。参与翻译工作专家名单： D1及前面部分由高轶峰、张全伟、洪毅翻译，D2由王永霞翻译，D3由刘剑、白阳翻译，D4由陈皓翻译，D5由牛志军翻译，D6由李建民翻译，D7由孙军、刘永钢、陈光杰翻译，D8由王红波翻译，D9由黄远辉翻译，D10由耿万德翻译，D11由任兰芳翻译，D12由姚伟翻译，D13由黄远辉、马超翻译，D14由邹荣新翻译。 参与审校工作工作专家名单： D1及前面部分由顾伟、王朝辉审校，D2由李建民审校，D3由刘剑、白阳审校，D4由耿万德审校，D5由陈皓审校，D6由王永霞审校，D7由孙军、刘永钢审校，D8由姚伟审校，D9由王红波审校，D10由牛志军审校，D11由张全伟审校，D12由任兰芳审校，D13由黄远辉审校，D14由高轶峰审校。 合稿审核：郭剑锋、叶思海、刘文宇、李雨航、杨炳年。全文由郭剑锋、叶思海负责组织和统稿。 在此感谢参与翻译工作的志愿者。由于翻译时间仓促，存在很多不足的地方，请大家批评指正。欢迎大家提供修改意见，可发送邮件到下面邮箱：info@china-csa.org。 CSA 云计算关键领域安全指南v4.0 前言 欢迎来到云安全联盟关于云计算关键领域安全指南的第四个版本。云计算的兴起是一项不断发展的技术，它带来了许多机遇和挑战。通过这个文档，我们的目标是提供指导和灵感来支持业务目标，同时管理和减轻采用云计算技术相关的风险。 云安全联盟促进了在云计算领域内提供安全保证的最佳实践，并为寻求采用云计算模式的组织提供了一个实用的、可执行的路线图。云计算关键领域安全指南的第四个版本是建立在之前的安全指南、专门地研究、云安全联盟成员、工作组以及我们社区的行业专家的公开参与之上的。该版本集成了云、安全性和支持技术方面的进展，反映了现实世界的云安全实践，集成了最新的云安全联盟研究项目，并为相关技术提供了指导。 安全云计算的发展需要来自广泛的全球分布式利益相关方的积极参与。CSA汇集了不同的行业合作伙伴、国际机构组织、工作组和个人。我们非常感谢所有为这次发布做出贡献的人。 请访问cloudsecurityalliance.com，了解您如何与我们合作，确定并促进最佳实践，以确保有一个安全的云计算环境。 BestRegards, Luciano(J.R.)Santos ExecutiveVicePresidentofResearchCloudSecurityAlliance CSA 云计算关键领域安全指南v4.0 致谢 LeadAuthors RichMogullJamesArlenAdrianLaneGunnarPetersonMikeRothmanDavidMortman Editors DanMorenJohnMoltz CSAStaff JimReavis Luciano(J.R.)SantosDanieleCattedduFrankGuancoHillaryBaron VictorChinRyanBergsma StephenLumpe(Design) 编著者 我们谨代表CSA董事会和CSA执行团队，感谢所有为CSA云计算关键领域安全指南提供时间和反馈的个人。我们珍视您的志愿者贡献，相信像您这样的志愿者将继续引领云安全联盟走向未来。 CSA 云计算关键领域安全指南v4.0 CEO的来信 我对这个社区的云安全最佳实践的最新贡献感到非常激动，这一实践始于2009年4月发布的云安全联盟最初的指导文件。我们希望您能仔细研究这里列出的问题和建议，与您自己的经验相比较，并向我们提供您的反馈。非常感谢所有参与这项研究的人。 最近，我有机会与帮助建立云安全联盟的一位行业专家共度一天。他表示，CSA已经完成了最初的任务，即为了证明云计算可以安全，并提供必要的工具来实现这一目标。CSA不仅帮助云计算成为信息技术的可靠安全选择，而且今天的云计算已经成为IT的默认选择，并且正在以非常深远的方式重塑现代商业世界。 云计算的巨大成功和CSA在引领受信任的云生态系统方面的作用，给我们的新使命带来了更大的挑战和紧迫感。云现在已经成为各种计算形式的后端，包括无处不在的物联网。云计算是信息安全行业的基础。集装箱(容器)化和DevOps等等在组织内的IT新常态，已经与云计算密不可分，加速了我们的变革。在云安全联盟中，我们致力于为您提供在高速发展的IT环境中您所需的必要的安全知识，让您保持在新时代质量保证和信任趋势的前沿。总之，我们欢迎你们加入我们的社区。 BestRegards, JimReavis Co-Founder&CEOCloudSecurityAlliance CSA 云计算关键领域安全指南v4.0 目录 D1:云计算概念和体系架构8 D2:治理与企业风险管理30 D3:法律问题，合同和电子举证40 D4:合规和审计管理55 D5:信息治理62 D6:管理平面和业务连续性69 D7:基础设施安全80 D8:虚拟化和容器95 D9:事件响应106 D10:应用安全113 D11:数据安全和加密124 D12:身份、授权和访问管理135 D13:安全即服务147 D14:相关技术154 CSA 云计算关键领域安全指南v4.0 D1:云计算概念和体系架构 1.1简介 本域为云计算安全指南的其它所有部分介绍一个概念性的框架。它描述和定义了云计算，设置了我们的基本术语，并详细描述了文档其余部分中使用的总体逻辑和架构框架。 看待云计算有很多不同的方式:它可以是一项技术、一系列的技术、一种运作模式、一种商业模式，这儿仅仅举了几个例子。从本质上来说，这是一场颠覆性的变革。它发展地非常非常快，而且没有放缓的迹象。虽然我们在本指南的第一个版本中包含的参考模型依旧比较准确，但是它们显然已经不再那么完整了。即使这样更新后也不可能解释未来几年的每一个可能的变化。 云计算为敏捷、弹性和经济带来了巨大的潜在收益。组织可以运转地更快(因为他们不需要购买和拨备硬件，所有的都是软件定义的)，减少停机时间(由于固有的弹性和其他云特性)，并且节省资金(由于资本支出减少，需求和能力匹配)。自云服务提供商有重大的经济激励措施来保护消费者以来，我们也看到了安全收益。 然而，这些收益是在您理解并采用原生云模型，并调整您的架构和控制，以适应云平台的特性和功能的基础上才会出现。其实，使用现有的应用或资产，并在不进行任何更改的情况下将其移动到云服务提供商，往往会降低敏捷性、弹性，甚至是安全性，同时还增加了成本。 该领域的目的是建立基础，以使文档的其余部分及其建议都基于此。其意图是为信息安全专家提供一种通用语言和对云计算的理解，并开始强调云计算和传统计算之间的区别，以及帮助引导信息安全专家采用原生云方法，从而带来更好的安全性(以及其他收益)，而不是产生更多的风险。 CSA 云计算关键领域安全指南v4.0 这个领域包括了4部分： •定义云计算 •云逻辑模型 •云概念、架构和参考模型 •云安全性和合规管理范围、职责和模型 云安全联盟并没有着手创建一个全新的分类法或参考模型。我们的目标是对现有的模型进行提取和协调——最值得注意的是NIST的特种文献800-145,ISO/IEC17788andISO/IEC17789——关注与信息安全专家最相关的是什么。 1.2概览 1.1.1定义云计算 云计算是一种新的运作模式和一组用于管理计算资源共享池的技术。 云计算是一种颠覆性的技术，它可以增强协作、提高敏捷性、可扩展性以及可用性，还可以通过优化资源分配、提高计算效率来降低成本。云计算模式构想了一个全新的世界，组件可以迅速调配、置备、部署和回收，还可以迅速地扩充或缩减，以提供按需的、类似于效用计算的分配和消费模式。 NIST将云计算定义为: 云计算是一个模式，它是一种无处不在的、便捷的、按需的，基于网络访问的，共享使用的，可配置的计算资源(如:网络、服务器、存储、应用和服务)可以通过最少的管理工作或与服务提供商的互动来快速置备并发布。 ISO/IEC的定义非常相似: 通过自服务置备和按需管理，实现网络可访问、可扩展的、弹性的共享物理或虚拟资源池的范式。 描述云的一种(稍微)简单的方法是，它需要一组资源，比如处理器和内存，并将它们放到一个大的池中(在这种情况下，使用虚拟化)。消费者需要从池中获得需要的东西，比如8CPUs和 CSA 云计算关键领域安全指南v4.0 16GB的内存，而云将这些资源分配给客户端，然后客户端连接到网络并在网络上使用这些资源。当客户端完成时，他们可以将资源放回池中供其他人使用。 云可以由几乎任何计算资源组成，从计算（如处理器和内存）到网络、存储以及更高级别资源（如数据库和应用程序）。例如，在数百个其他组织共享的服务中订阅500名员工的客户关系 管理应用，与在云主机中启动100台远程服务器是一样的。 定义:云用户是请求和使用资源的人或组织，云提供商是分发它的人或组织。我们有时还会使用术语“客户”和“消费者”来指代云用户，用服务或简单的云来描述云提供商。NIST500-292使用“cloudactor”这个术语，并增加了云代理、运营商和审计人员的角色。ISO/IEC17788使用术语云服务用户、云服务合作伙伴和云服务提供商。 创建云的关键技术是抽象和调配。我们从底层的物理基础设施中抽象出资源来创建我们的池，并使用调配(和自动化)来协调从池分割和分发各种资源到用户。正如您将看到的，这两种技术创造了我们用来定义“cloud”的所有基本特征。 这就是云计算和传统的虚拟化之间的区别;虚拟化技术将资源抽象化，但是它通常缺乏将它们组合在一起并按需分发给用户的调配，而是依赖于手动流程。 云是多租户的。多个不同的消费者共享同一个资源池,但彼此相互隔离和孤立。隔离允许云提供商将资源分配到不同的组,孤立确保他们不能看到或修改对方的资产。多租户不仅应用在不同的组织;它还用于在单个业务或组织中分配不同单元之间的资源。 1.1.2定义模型 云安全联盟(CSA)使用NISTmodelforcloudcomputing作为定义云计算的标准。CSA还支持更深入的ISO/IECmodel，并作为参考模型。在这个领域中，我们将引用两者。 NIST出版物是被普遍接受的，所以，我们选择与NISTWorkingDefinitionofCloudComputing （NIST800-145）保持一致，这样我们能够集中精力到用例上，而不是细微的语法定义差别上，