在2017云栖大会·广东分会上，国家密码管理局商用密码管理办公室副主任霍炜表示，中共中央办公厅、国务院办公厅督查发现，国内一些政务云很多数据在“裸奔”，具有很大的安全隐患。
他表示，从国际上来看，国际的网络对抗、网络攻击愈演愈烈。从国内来看，我们的核心技术和关键产品从国外进口的局面还没有改善，可以说我们面临着很严峻的网络安全形势，敌人就在眼前，威胁就在身边。
中国产业经济信息网日前发表深度报道《“裸奔”的政务云，急需构筑云堡垒机制保障数据安全》，文中指出多项云安全问题。
报道称，近年来云计算快速发展，已经上升到国家战略层次，中央政府出台了相关的顶层设计方案，各级政府积极响应，将引入和发展云计算列为下一阶段政务建设和经济建设重点项目。尤其是在政务建设方面，地方政府积极性很大，电子政务上云也就是建设政务云形成一股席卷全国的浪潮。
《中华人民共和国国民经济和社会发展第十二个五年规划纲要》中明确指出要“大力推进国家电子政务建设，加强云计算服务平台建设，构建下一代信息基础设施”。
近两年政务云的发展非常迅速，电子政务上云提高电子政务效率，为政务惠民打下坚实的基础。但是迅猛发展的同时，也出现了新的问题，那就是不少地方的政务云只追求快速上线，而忽视数据安全保障体系的构建，导致整个系统安全性很弱。甚至可以说这些政务云的数据在“裸奔”，一击即溃。
政务云的数据安全性不足，会给存储在系统上的广大人民群众的重要数据带来极大安全威胁，一旦出现问题将后果严重，有可能引发大规模数据泄露。今年的勒索病毒蔓延全球，中国也是主要受害国之一，该病毒主要攻击的就是政府机构、银行、学校等，而这些单位的网络系统恰恰是与政务云相关性更强。
目前大部分政务云搭建在私有云上，一些政府部门认为私有云更加安全。然而像之前的勒索病毒WannaCry等大型的安全事件，都与私有云的安全性有很大关联。超过半数的数据安全危机是由内部安全隐患引发的。
【举例】黑客要通过外部的因特网入侵政务云很难，但是如果因为政府内部员工密码设置薄弱被破解，该黑客直接通过密码登录系统就可以随心所欲进行破坏。
云计算专家认为要解决政务云安全问题，首先要保障内网安全可靠，堵上内网漏洞，由内而外建立安全机制，确保政务云安全高效。
从资源安全的角度分析，政务云的性质决定了依托在其上数据的高度敏感性，这些数据都存储在不同的资源上，且有着严格的使用权限规定，相应的人员只能操作相应权限的资源，不可以越权操作。而事实上，许多政务云的权限管理形同虚设，用户权限管理规范难以落实，用户密码薄弱环节多，极易被攻破，直接导致权限复杂乱用以及越权频发。
政务云安全问题不仅要面对操作规范难100%落实的现实，也面临着危机响应慢、处置慢等严重问题，面对渗透、0day、未知威胁时，几乎处于透明状态。
确保数据安全的另一个核心是做安全审计，不仅允许政务云管理员自定义关键设备资源，对它们添加安全度极高的防护策略。记录每一个政务云内部成员的全部操作记录，一旦出现问题就可以及时追溯问题缘由、清晰责任完成追责。
应对政府云风险解决方案小Tips
内网漏洞
【应对】及时更新加固，加强落实资产盘点以及漏洞防护，确保安全的主机防护。
权限杂乱 操作难律
【应对】做好内部管控，账号体系、权限管理等，同时从技术手段上做好用户行为分析以及协同处置。
威胁响应、处置迟缓
【应对】】在面对0day、未知漏洞等方面，除了传统手段，还应该加强监测系统异常，从更深层面来发现异常操作以及异常进程等，结合威胁情报、实现态势感知，做出自动化的告警跟自动处置等，增加自主对抗能力。
记录追踪
【应对】加强安全审计技术，以增强审计记录本身的安全，防止丢失篡改。
八分量持续免疫系统四大持续免疫模块守护政务云安全
主机防护
1秒内感知异常进程加载
当入侵者利用0Day漏洞夺取了系统控制权
• 可信硬件级别监控，对抗ROOT权限黑客
• 万级节点环境单秒内告警，极短攻击窗口
• 细粒度白名单透明生成，最小管理复杂度
用户画像
10秒内感知异常操作行为
当入侵者盗用超级管理员密码伪装登陆
• 大数据行为画像，迅速识破盗用者异常操作行为
• 过滤 100% 异常进程，极低误报率
• 系统层操作行为分析，捕捉最细微的操作
主动对抗
15秒内自动部署对抗措施
在告警触发到补救方案实施的时间窗口内
• 机器学习预判入侵攻击路径，比入侵者更懂入侵
• AI主动对抗所感知的威胁，为安全管理员抢时间
• 专家系统辅助补救方案，比安全管理员更懂防御
存证追踪
永久存证行为记录与关键数据
当入侵者试图抹除系统日志以逃脱追责
• 区块链行为存证，比特币账本级别防篡改强度
• 10万级 TPS，数据库级别的存储效率
• 大数据历史行为追踪，防欺诈级别恶意行为追溯
发表评论