ICSFORMTEXT點擊此處添加ICS號FORMTEXT點擊此處添加中國標準文獻分類號FORMTEXTT/SZSFORMTEXTXXXX—FORMTEXTXXXXFORMTEXT云計算安全技術規范FORMTEXTCloudComputingSecurityTechnologyStandardFORMTEXT點擊此處添加與國際標準一致性程度的標識FORMDROPDOWNFORMTEXTFORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX發布FORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX實施深圳市深圳標準促進會發布T/SZSXXXX—XXXX前言 II引言 III1范圍 12規范性引用文件 13術語和定義 14縮略語 55概述 66訪問層安全 107資源層安全 108PaaS服務層安全 169SaaS服務層安全 1810安全管理 2011安全服務 28參考文獻 31前言本標準按照GB/T1.1-2009給出的規則起草。本部分標準按照ISO/IEC導則第2部分：國際標準的結構和編寫規則起草。本標準由深圳市標準技術研究院提出。本標準由深圳市深圳標準促進會歸口。本標準主要起草單位：本標準主要起草人：引言云計算將計算資源服務化，以服務的方式向用戶提供計算、存儲、網絡和應用，極大的方便了用戶快速構建IT系統，開展業務。但由于云計算資源的所有權與控制權分離，用戶在使用云計算服務時，云計算的安全問題是用戶的主要擔憂。要提高云計算服務的安全性，首先要實現云計算產品的安全性，就需要有標準或規范可參考。業界的標準組織或行業組織，都在做這方面的努力，在《信息安全技術網絡安全等級保護安全設計技術要求第2部分：云計算安全要求》、《GB/T31168-2014信息安全技術云計算服務安全能力要求》、《CSA云計算安全技術要求CSA0001-2016》等標準的基礎上,結合深圳企事業單位的優秀實踐，融入了業界最新的經驗和要求，行成本標準，以供深圳企事業單位，以及其他對云計算安全感興趣的單位參考使用。本標準以公有云部署模型為主要應用場景，同時考慮了私有云、社區會、混合云等部署模型。因此，本標準適用于公有云、私有云、社區會、混合云等部署模型的應用場景。本標準（除安全服務章節）將安全技術要求分為基礎要求和增強要求?；A要求指應該實現的基本要求，不實現可能給系統帶來較大的安全風險或合規風險；增強要求指在基礎要求上的補充和強化，可有效提升防護水平。在具體的應用場景下，云服務開發者在滿足安全要求的前提下，可根據具體場景對這些安全技術要求進行調整。調整的方式有：刪減：某項安全要求只有部分適用，對不適用部分進行刪減。補充：某項安全要求不足以滿足特定的安全目標，故增加新的安全要求，或對標準中規定的某項安全要求進行強化。替代：使用其他安全要求替代標準中規定的某項安全要求，以實現相同的安全能力。不適用：某項安全要求不適用實際應用的場景。云計算安全技術規范范圍本標準規定了云安全技術要求框架、訪問層安全、資源層安全、PaaS服務層安全、SaaS服務層安全、安全管理及安全服務等內容。本標準適用于云服務開發者在設計開發云計算產品和解決方案時使用，也可供云服務商選擇云計算產品與解決方案時參考，還可為云服務客戶選擇云服務時判斷云服務提供商提供的安全能力是否滿足自身業務安全需求提供參考。規范性引用文件下列文件對于本標準的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本標準，然而，鼓勵根據本部分達成協議的各方研究是否可適用這些文件的最新版本。凡不注日期的引用文件，其最新版本（包括所有的修改單）適用于本標準。《信息安全技術網絡安全等級保護安全設計技術要求第2部分：云計算安全要求》GB/T31168-2014信息安全技術云計算服務安全能力要求CSA0001-2016CloudComputingSecurityTechnologyRequirements(CSTR)ISO/IEC17788-2014Informationtechnology--Cloudcomputing--OverviewandvocabularyISO/IEC17789-2014Informationtechnology--Cloudcomputing--ReferencearchitectureISO27017Informationtechnology–Securitytechniques–CodeofpracticeforinformationsecuritycontrolsbasedonISO/IEC27002forcloudservicesCSA(CloudSecurityAlliance)SecurityGuidanceforCriticalAreasofFocusinCloudComputingTheCloudSecurityAllianceCloudControlsMatrix(CCM)術語和定義以下術語和定義適用于本標準。云計算cloudcomputing通過網絡訪問可擴展的、靈活的物理或虛擬共享資源池的模式，資源可按需自助獲取和管理。注：資源實例包括服務器、操作系統、網絡、軟件、應用和存儲設備等。［GB/T32400-2015ISO/IEC17788:2014］云服務cloudservice通過云計算已定義的接口，提供一種或多種資源的能力。［GB/T32400-2015ISO/IEC17788:2014］參與方party一個或一組自然人或法人，無論該法人是否注冊。［GB/T32400-2015ISO27729:2012］云服務提供者cloudserviceprovider提供云服務的參與方。［GB/T32400-2015ISO/IEC17788:2014］云服務客戶cloudserviceconsumer為使用云服務而處于一定業務關系中的參與方。注1：業務關系不一定包含經濟條款。注2：本標準中云服務客戶簡稱客戶。［GB/T32400-2015ISO/IEC17788:2014］云服務用戶cloudserviceuser云服務客戶中使用云服務的自然人或實體代表。注1：上述實體包括設備和應用等。注2：本標準中云服務用戶簡稱用戶。［GB/T32400-2015ISO/IEC17788:2014］租戶tenant對一組物理和虛擬資源進行共享訪問的一個或多個云服務用戶。［GB/T32400-2015ISO/IEC17788:2014］云能力類型cloudcapabilitiestype 根據資源使用情況對提供給云服務客戶的云服務功能進行的分類。 注：云能力類型包括應用能力類型、基礎設施能力類型和平臺能力類型。［GB/T32400-2015ISO/IEC17788:2014］基礎設施能力類型infrastructurecapabilitiestype 云服務客戶能配置和使用計算、存儲或網絡資源的一類云能力類型。［GB/T32400-2015ISO/IEC17788:2014］平臺能力類型platformcapabilitiestype 云服務客戶能使用云服務提供者支持的編程語言和執行環境來部署、管理和運行客戶創建或獲取的應用的一類云能力類型。［GB/T32400-2015ISO/IEC17788:2014］應用能力類型applicationcapabilitiestype 云服務客戶能使用云服務提供者應用的一類云能力類型。［GB/T32400-2015ISO/IEC17788:2014］云服務類別cloudservicecategory 擁有某些相同質量集合的一組云服務。一種云服務類別能包含一種或多種云能力類型的能力。［GB/T32400-2015ISO/IEC17788:2014］基礎設施即服務InfrastructureasaService；IaaS為云服務客戶提供云能力類型中的基礎設施能力類型的一種云服務類別。注：云服務客戶并不管理或控制底層的物理和虛擬資源，但是控制使用物理和虛擬資源的操作系統、存儲，以及部署的應用。云服務客戶也可擁有對某些網絡組件（如防火墻）的部分控制能力。［GB/T32400-2015ISO/IEC17788:2014］平臺即服務PlatformasaService；PaaS為云服務客戶提供云能力類型中的平臺能力類型的一種云服務類別。［GB/T32400-2015ISO/IEC17788:2014］軟件即服務SoftwareasaService；SaaS為云服務客戶提供云能力類型中的應用能力類型的一種云服務類別。［GB/T32400-2015ISO/IEC17788:2014］云計算基礎設施cloudcomputinginfrastructure由硬件資源和資源抽象控制組件構成的支撐云計算的基礎設施。硬件資源指由計算組件、存儲組件、網絡組件組成的所有的物理計算資源及其他物理計算基礎元素；資源抽象控制組件指對物理計算資源進行軟件抽象，云服務提供者通過這些組件提供和管理對物理計算資源的訪問。云計算平臺cloudcomputingplatform云服務提供者的云計算基礎設施及其上的服務軟件的集合。計算資源管理平臺computingresourcemanagementplatform云服務提供者對物理計算資源進行軟件抽象和管理的控制組件的集合。存儲資源管理平臺storageresourcemanagementplatform云服務提供者對物理存儲資源進行軟件抽象和管理的控制組件的集合。云計算環境cloudcomputingenvironment云服務提供者的云計算平臺及客戶在云計算平臺之上部署的軟件及相關組件的集合。PaaS系統PaaSsystemPaaS云服務提供者的云計算平臺及其客戶在云計算平臺之上部署的軟件及相關組件的集合。SaaS系統SaaSsystemSaaS云服務提供者的云計算平臺及相關組件的集合。云計算平臺管理網絡cloudcomputingplatformmanagementnetwork承載云計算平臺管理指令流量的網絡。云計算平臺業務網絡cloudcomputingplatformworkloadnetwork承載云計算平臺自身業務信息流量的網絡。租戶私有網絡tenantprivatenetwork分配給租戶的虛擬空間內的網絡。租戶業務承載網絡tenant'sworkloadcarriernetwork承載租戶私有網絡到其他網絡流量的網絡。PaaS系統管理網絡PaaSsystemmanagementnetwork承載PaaS系統網絡、主機、Paas資源管理平臺管理指令流量的網絡。PaaS系統業務網絡PaaSsystemworkloadnetwork承載PaaS系統自身業務信息流量的網絡。PaaS租戶業務網絡PaaStenant'sworkloadnetwork承載PaaS租戶業務流量的網絡。PaaS資源管理平臺PaaSresourcemanagementplatform云服務提供者對PaaS資源進行軟件抽象和管理的控制組件的集合。SaaS系統管理網絡SaaSsystemmanagementnetwork承載SaaS系統網絡、主機、Saas資源管理平臺、應用軟件管理指令流量的網絡。SaaS系統業務網絡SaaSsystemworkloadnetwork 承載SaaS系統自身業務信息流量的網絡。SaaS租戶業務網絡SaaStenant'sworkloadnetwork承載SaaS租戶業務流量的網絡。內部通信通道internalcommunicationchannel提供虛擬化平臺和虛擬機之間的消息通信功能的通道。內部通訊通道不包括為虛擬機提供基本IO能力的通道，例如，網絡通訊、磁盤IO。防護間隙instant-onGap虛擬機或系統從沒有安全措施或安全措施不完整到實施完整防護措施之間的時間間隔。縮略語下列縮略語適用于本文件。API 應用編程接口（ApplicationProgrammingInterface）IaaS 基礎設施即服務（InfrastructureasaService）PaaS 平臺即服務（PlatformasaService）SaaS 軟件即服務（SoftwareasaService）VLAN 虛擬局域網（VirtualLocalAreaNetwork）VXLAN 可擴張的虛擬局域網（VirtualeXtensibleLAN）CPU 中央處理單元（CentralProcessingUnit）VPC 虛擬私有云（VirtualPrivateCloud）ACL 訪問控制列表（AccessControlList）NAT 網絡地址轉換（NetworkAddressTranslation）IP 網絡協議（InternetProtocol）MAC 硬件地址（MediaAccessControl）VPN 虛擬專用網絡（VirtualPrivateNetwork）CLI 命令行界面（CommandLineInterface）DDoS 分布式拒絕服務（DistributedDenialofService）概述云計算安全責任模型云計算環境的安全性由云服務提供者和客戶共同保障，在不同的云服務類別中，云服務提供者和客戶承擔的安全責任不同。云服務主要包括基礎設施即服務（IaaS）、平臺即服務（PaaS）、軟件即服務（SaaS）等三種服務類別。不同服務類別下云服務提供者和客戶對資源的控制范圍不同，控制范圍則決定了安全責任的邊界，如下面圖1和圖2所示，圖中兩側的箭頭示意了云服務提供者和客戶的控制范圍。云服務提供者和客戶承擔各自控制范圍內的安全責任。軟件平臺軟件平臺客戶云服務提供者虛擬化資源應用軟件硬件基礎設施資源管理平臺SaaSPaaSIaaSSaaSPaaSIaaS云服務類別與資源控制范圍的關系1圖1表示：在IaaS服務類別，IaaS服務提供者控制了底層的物理和虛擬資源；客戶控制了訪問和使用IaaS服務的用戶憑據（如：用戶證書、賬號口令等）、工具（如：Web瀏覽器、客戶端軟件等）或系統(如：運行客戶業務處理、應用、中間件和相關基礎設施的企業系統)，客戶同時控制了使用物理和虛擬資源的操作系統、存儲，以及部署的應用。在PaaS服務類別，PaaS服務提供者控制了底層的物理、虛擬資源和PaaS服務的軟件平臺；客戶控制了訪問和使用PaaS服務的用戶憑據、工具或系統，客戶同時控制了部署在PaaS軟件平臺的應用。在SaaS服務類別，SaaS服務提供者控制了底層的物理、虛擬資源和SaaS服務的軟件平臺及應用；客戶控制了使用SaaS應用服務的用戶憑據、工具或系統。軟件平臺軟件平臺客戶云服務提供者虛擬化資源應用軟件硬件基礎設施資源管理平臺SaaSPaaSIaaSSaaSPaaSIaaS云服務類別與資源控制范圍的關系2圖2表示：在IaaS服務類別，IaaS服務提供者控制了底層的物理和虛擬資源；客戶控制了訪問和使用IaaS服務的用戶憑據、工具或系統，客戶同時控制了使用物理和虛擬資源的操作系統、存儲，以及部署的應用。在PaaS服務類別，PaaS服務提供者使用了IaaS服務，IaaS服務提供者控制了底層的物理和虛擬資源；PaaS服務提供者控制了訪問和使用IaaS服務的用戶憑據、工具或系統，同時控制了提供PaaS服務的軟件平臺；客戶控制了使用PaaS服務的用戶憑據、工具或系統，以及部署的應用。在SaaS服務類別，SaaS服務提供者使用了IaaS服務，IaaS服務提供者控制了底層的物理和虛擬資源；SaaS服務提供者控制了訪問和使用IaaS服務的用戶憑據、工具或系統，同時控制了控制了提供SaaS服務的軟件平臺及應用；客戶控制了使用應用服務的用戶憑據、工具或系統。云計算安全技術要求框架ISO/IEC17789:2014對云計算層次框架的定義如圖3所示，定義為用戶層、訪問層、服務層、資源層、跨層功能五個層次。云計算層次框架本標準根據ISO/IEC17789:2014定義的云計算層次框架，結合安全業務特點，定義云計算安全技術標準框架，如圖4所示。云計算安全技術標準框架用戶層安全用戶層是用戶接口。通過該接口，云服務客戶和云服務提供者及其云服務進行交互，執行與客戶相關的管理活動，監控云服務。用戶層功能包括用戶功能、業務功能和管理功能。用戶功能支持云服務用戶訪問和使用云服務。根據云計算安全責任模型，用戶訪問和使用云服務的用戶憑據、工具或系統等由客戶控制，其安全責任由客戶承擔，對客戶的安全技術要求不在本標準范圍之內。如果用戶訪問云服務的工具或系統是由云服務提供者提供的，云服務提供者應提供符合業界最佳安全實踐的工具或系統，其安全技術要求不在本標準范圍之內。業務功能支持云服務客戶的業務管理活動，如云服務的選擇和訂購，使用云服務涉及的財務和財務管理，其安全責任由客戶承擔，對客戶的安全技術要求不在本標準范圍之內。如果業務功能自身是通過云服務來提供的，其安全技術要求在資源層安全、服務區安全和安全管理中定義。管理功能支持云服務客戶的服務管理活動，包括用戶身份和配置文件管理、對服務活動和服務使用的監控、事件處理和問題報告，其安全責任由客戶承擔，對客戶的安全技術要求不在本標準范圍之內。如果管理功能自身是通過云服務來提供的，其安全技術要求在資源層安全、服務區安全和安全管理中定義。訪問層安全訪問層提供對服務層能力進行手動和自動訪問的通用接口。這些能力既包含服務能力，也包含管理能力和業務能力。訪問層負責將云服務能力通過一種或多種訪問機制展現出來，例如，通過瀏覽器Web訪問、通過API訪問或通過網絡直接訪問。訪問層安全需要定義訪問服務層能力通用接口的安全技術要求。資源層安全資源層分為物理資源和資源抽象與控制兩部分。物理資源指云服務提供者運行和管理其提供的云服務所需的各種元素，包括硬件資源，例如計算機（CPU、內存），網絡（路由器、防火墻、交換機、網絡鏈路和網絡連接器），存儲組件（硬盤）和其他物理計算基礎設施元素；也包括對硬件資源管理的運營支撐系統，例如服務器上運行的非云特有的軟件，以及其他設備，例如主機操作系統、虛擬機監控器、設備驅動程序、通用系統管理軟件。資源抽象與控制指通過對硬件資源的軟件抽象，形成虛擬資源，通過對虛擬資源的控制，使云服務提供者能夠實現例如快速彈性擴展、資源池化、按需自服務等云計算特征。虛擬資源分配給租戶，需要實現不同租戶的計算和數據彼此隔離和不可訪問，當某個虛擬資源空間分配給某個具體的租戶后，該虛擬資源空間的控制權就交給該租戶，進入虛擬資源空間的控制權就交到了租戶的手上。資源層安全需要定義物理資源和虛擬資源安全技術要求。服務層安全服務層是對云服務提供者所提供服務的實現，包含和控制實現服務所需的軟件組件，并安排通過訪問層為用戶提供云服務。不同的服務類別，云服務提供者和客戶承擔的安全責任不同。服務層安全需要定義云服務提供者控制的資源范圍內的安全技術要求，客戶控制的資源范圍內的安全技術要求不在本標準范圍之內。在IaaS服務模式，租戶從IaaS云服務商獲取計算、存儲、網絡資源，由云計算資源管理平臺提供一個安全的虛擬資源空間，并把該空間的控制權交給租戶。根據云計算安全責任模型，在租戶虛擬資源私有空間內的安全由租戶負責，IaaS租戶虛擬資源空間內的安全技術要求不在本標準范圍之內，圖4中呈現為灰色背景。在PaaS服務模式，根據云計算安全責任模型，PaaS服務提供商負責PaaS平臺安全，包括網絡、主機、軟件平臺的安全。同時為PaaS租戶提供一個安全的虛擬資源空間，并把該空間的控制權交給PaaS租戶。在PaaS租戶虛擬資源私有空間內的安全由租戶負責，PaaS租戶虛擬資源私有空間內的應用和數據安全不在本標準范圍之內，圖4中顯示為灰色背景。在SaaS服務模式，根據云計算安全責任模型，SaaS服務提供商負責SaaS平臺安全，包括網絡、主機、SaaS資源管理平臺、數據、應用的安全。同時為SaaS租戶提供一個安全的虛擬資源空間，并把該空間的控制權交給SaaS租戶。SaaS租戶虛擬資源私有空間內的數據安全不在本標準范圍之內，圖4中顯示為灰色背景。安全管理安全管理體系的要求不在本標準范圍之內，本標準只定義支撐云計算安全管理體系所需要的安全技術要求。安全服務安全服務即以服務的方式提供的安全能力，云服務提供者可通過提供安全服務協助客戶做好客戶安全責任范圍內的安全防護。安全服務屬于客戶要求才提供，客戶不需要時可以隨時停用。訪問層安全網絡訪問安全網絡訪問安全應符合的基礎要求如下：應支持保護用戶訪問云計算中的資源時通信消息的完整性和機密性的能力；應支持用戶訪問云計算中的資源前通過用戶鑒別和鑒權的能力。API訪問安全API訪問安全應符合的基礎要求如下：應支持服務API調用前進行用戶鑒別和鑒權的能力；應支持涉及租戶資源操作的服務API調用前驗證租戶憑證的能力；應支持用戶調用服務API的訪問控制能力；應支持服務API接口的防范重放、代碼注入、DoS/DDoS等攻擊的能力；應支持服務API接口安全傳輸能力；應支持服務API接口過載保護能力，要求實現不同服務等級用戶間業務的公平性和系統整體處理能力的最大化；應支持服務API的調用日志記錄能力。Web訪問安全Web訪問安全應符合的基礎要求如下：應支持Web代碼安全機制的能力，包括對輸入輸出進行有效性檢查，以及采取防范認證漏洞、權限漏洞、會話漏洞、Web服務漏洞、注入漏洞等代碼漏洞的措施；應支持對用戶通過Web訪問資源進行訪問控制的能力；應支持Web遠程訪問安全傳輸的能力。資源層安全物理資源安全物理與環境安全參考業界最佳實踐，本標準不定義物理與環境安全要求?；A硬件安全7.1.2.1基礎要求 IaaS系統硬件安全應符合的基礎要求如下：應支持物理主機外設管理的能力；應支持硬件部分損壞情況下數據恢復的能力。7.1.2.2增加要求IaaS系統硬件安全應符合的增加要求如下：應支持檢測服務器或存儲設備硬件發生變更并予以提示的能力；應支持以服務器或存儲設備的硬件級部件（安全芯片或安全固件）作為系統信任根，為云計算平臺機密性和完整性保護提供支持的能力；應支持硬件唯一標識符，為云計算平臺及上層應用提供擁有硬件標識的身份證書的能力；應支持服務器或存儲設備啟動完整性檢查的能力。網絡安全網絡架構安全基礎要求 IaaS系統網絡架構安全應符合的基礎要求如下：應支持繪制與當前運行情況相符的網絡拓撲結構圖，支持對網絡拓撲進行實時更新和集中監控的能力；應支持劃分為不同的網絡區域，并且不同區域之間實現邏輯隔離的能力；應支持云計算平臺管理網絡與業務網絡邏輯隔離的能力；應支持云計算平臺業務網絡和管理網絡與租戶私有網絡邏輯隔離的能力；應支持云計算平臺業務網絡和管理網絡與租戶業務承載網絡邏輯隔離的能力；應支持租戶業務承載網絡與租戶私有網絡邏輯隔離的能力；應支持網絡設備（包括虛擬化網絡設備）和安全設備業務處理能力彈性擴展能力；應支持高可用性部署，在一個區域出現故障（包括自然災害和系統故障）時，自動將業務轉離受影響區域的能力。增強要求 IaaS系統網絡架構安全應符合的增強要求如下：應支持指定帶寬分配優先級別的能力；應支持虛擬化網絡邊界的訪問控制；應支持區域邊界的雙向訪問控制，控制從內往外和從外往內流量的能力。網絡邊界安全基礎要求 IaaS系統網絡邊界安全應符合的基礎要求如下：應支持對云計算平臺管理網絡最大流量及單用戶網絡連接數的限制能力；應支持對云計算平臺管理員訪問管理網絡的訪問控制能力；應支持對云計算平臺業務網絡和管理網絡的非法連接檢測及阻斷能力；非法連接包括從外部網絡非法連接到內部網絡，以及從內部網絡非法連接到外部網絡兩種情況。應支持對惡意虛擬機的隔離能力，支持阻斷惡意虛擬機與外部網絡以及和其他虛擬機的通信能力；應支持對云計算平臺DDoS攻擊防護的能力；應支持對Web應用漏洞進行檢測和防護的能力；應支持網絡邊界流量監控、攻擊和入侵行為檢測的能力；應支持對惡意代碼進行檢測和處置的能力。增強要求 IaaS系統網絡邊界安全應符合的增強要求如下：應支持接入第三方安全產品或服務進行不同網絡區域之間、租戶網絡之間的網絡安全防護能力；應支持對云計算平臺內部虛擬機發起的攻擊檢測與防護能力，檢測出發起攻擊的虛擬機，并能記錄攻擊類型、攻擊時間、攻擊流量等。注：內部虛擬機發起的攻擊，包括對云計算平臺業務網絡、管理網絡、租戶業務承載網絡、其他租戶私有網絡、外部網絡等發起的攻擊。網絡授權及審計 IaaS系統網絡授權及審計應符合的基礎要求如下：應支持對網絡設備（包括虛擬化網絡設備）的管理員登錄地址進行限制的能力；應支持登錄網絡設備（包括虛擬化網絡設備）失敗處理的能力；應支持網絡設備（包括虛擬化網絡設備）管理員登錄采用兩種或兩種以上組合的鑒別技術來進行身份鑒別能力；應支持對網絡設備（包括虛擬化網絡設備）遠程管理時采用安全傳輸能力；應支持對網絡設備（包括虛擬化網絡設備）管理員登錄時用戶標識唯一能力；應支持區域邊界處的網絡設備（包括虛擬化網絡設備）和安全設備的日志記錄、審計報表能力。虛擬資源安全資源管理平臺安全計算資源管理平臺安全基礎要求 IaaS系統計算資源管理平臺應符合的基礎要求如下：應支持對代碼進行安全測試并進行缺陷修復的能力；應支持限制虛擬機對物理資源的直接訪問，支持對物理資源層的調度和管理均受虛擬機監視器控制的能力；應支持對計算資源管理平臺的攻擊行為進行監測和告警的能力，檢測到攻擊行為時，應能夠記錄攻擊的源IP、攻擊的類型、攻擊的目的、攻擊的時間；應支持最小安裝的原則，僅安裝必要的組件和應用程序的能力；應支持禁用無需使用的硬件能力；應支持虛擬機和虛擬化平臺間內部通信通道的受限使用能力;應支持組件間通信采用安全傳輸的能力；應支持管理命令采用安全傳輸的能力；應支持內核補丁更新、加固及防止內核提權的能力；應支持對惡意代碼進行檢測和處置的能力；應支持監視計算資源管理平臺遠程管理連接，中斷未授權管理連接的能力；應支持資源監控的能力，資源監控的內容包括CPU利用率、帶寬使用情況、內存利用率、存儲使用情況等；應支持系統過載保護，保障業務公平性和系統資源利用率最大化的能力；應支持禁止計算資源管理平臺管理員未授權操作租戶資源的能力；注：租戶資源包括已分配給租戶的網絡、數據庫、存儲空間、租戶虛擬機以及租戶虛擬機上的OS、應用程序等。應支持計算資源管理平臺鏡像文件完整性保護的能力；應支持第三方安全產品或服務接入的API接口能力。增強要求 IaaS系統計算資源管理平臺應符合的增強要求如下：應支持重要程序啟動完整性保護的能力；應支持對重要配置文件完整性檢測的能力；應支持對非授權組件或設備（包括軟件、硬件和固件）的檢測，檢測到非授權的組件或設備時應支持禁止其網絡訪問或對其進行隔離或告警的能力；應支持對重要程序運行狀態下完整性檢查的能力；應支持虛擬機啟動過程的完整性保護的能力；應支持虛擬機運行過程的完整性保護的能力；應支持對基于硬件級（安全芯片或安全固件）的完整性檢查的能力。存儲資源管理平臺安全基礎要求 IaaS系統存儲資源管理平臺應符合的基礎要求如下：應支持對代碼進行安全測試并進行缺陷修復的能力；應支持對攻擊行為進行監測和告警的能力，檢測到攻擊行為時，能夠記錄攻擊的源IP、攻擊的類型、攻擊的目的、攻擊的時間；應支持組件間通信采用安全傳輸的能力；應支持管理命令采用安全傳輸的能力；應支持內核補丁更新、加固及防止內核提權的能力；應支持對惡意代碼進行檢測和處置的能力；應支持監視存儲資源管理平臺遠程管理連接，發現未授權管理連接時中斷連接的能力；應支持資源監控的能力，資源監控的內容包括CPU利用率、帶寬使用情況、內存利用率、存儲使用情況等；應支持系統過載保護，保障業務公平性和系統資源利用率最大化的能力；應支持禁止平臺管理員未授權操作租戶資源的能力；應支持數據存儲機密性保護的能力；應支持數據存儲完整性保護的能力；應支持數據存儲可用性保護的能力；應支持數據的異地備份和備份數據一致性的能力；應支持租戶訪問存儲的安全傳輸的能力。增強要求 IaaS系統存儲資源管理平臺應符合的增強要求如下：應支持對重要程序啟動完整性檢查的能力；應支持對重要配置文件完整性檢測的能力；應支持對非授權組件或設備（包括軟件、硬件和固件）的檢測，檢測到非授權的組件或設備時應支持禁止其網絡訪問或對其進行隔離或告警的能力。應支持對用戶上傳的數據進行加密的能力；應支持對用戶的密鑰管理的能力；應支持對用戶的密鑰由租戶自管理或第三方管理的能力；應支持數據多副本存儲的能力，支持不同副本數據至少分布存儲在兩個機架上；應支持異地備份的能力，支持自動跨集群的數據同步能力；應支持存儲層面的跨數據中心的同步或異步復制的能力；應支持對基于硬件級（安全芯片或安全固件）的完整性檢查的能力。虛擬資源空間安全虛擬化計算安全基礎要求 IaaS系統虛擬化計算安全應符合的基礎要求如下：應支持在虛擬機之間以及虛擬機與宿主機之間CPU安全隔離的能力，包括如下要求；在某個虛擬機發生異常（包括崩潰）后不影響其他虛擬機和宿主機；虛擬機不能訪問其他虛擬機或宿主機的CPU寄存器信息。應支持在虛擬機之間以及虛擬機與宿主機之間內存安全隔離的能力，包括如下要求；分配給虛擬機的內存空間，其他虛擬機和宿主機不能訪問；防止虛擬機占用過多內存資源，超過設定的規格，影響其他虛擬機正常運行；某個虛擬機發生異常（包括崩潰）后不影響其他虛擬機和宿主機；能夠禁止虛擬機和其他虛擬機、宿主機之間拷貝或粘貼動作，如通過剪貼板的共享和復制。應支持在虛擬機之間以及虛擬機與宿主機之間存儲空間安全隔離的能力，包括如下要求；分配給虛擬機的存儲空間，其他虛擬機和宿主機不能訪問；防止虛擬機占用過多存儲資源，超過設定規格，影響其他虛擬機正常運行；某個虛擬機發生異常（包括崩潰）后不影響其他虛擬機和宿主機。應支持一個虛擬機邏輯卷同一時刻只能被一個虛擬機掛載的能力；應支持根據租戶所選擇的服務級別進行虛擬機存儲位置分配的能力；應支持實時的虛擬機監控，對虛擬機的運行狀態、資源占用、遷移等信息進行監控和告警的能力。增強要求IaaS系統虛擬化計算安全應符合的增強要求為：云計算平臺應支持對虛擬機所在物理機范圍進行指定或限定的能力。虛擬化網絡安全 IaaS系統虛擬化網絡安全應符合的基礎要求如下：應支持不同租戶的虛擬化網絡之間安全隔離的能力；應支持租戶的虛擬化網絡與云計算平臺的業務和管理網絡之間安全隔離的能力，包括如下要求：云計算平臺管理員，無法通過云計算平臺的業務和管理網絡訪問租戶私有網絡；租戶無法通過私有網絡訪問云計算平臺的業務和管理網絡；租戶無法通過私有網絡訪問宿主機。應支持虛擬私有云VPC的能力，包括如下要求；租戶完全控制VPC虛擬網絡，包括能夠選擇自有IP地址范圍、創建子網，以及配置路由表和網關；租戶可以在自己定義的VPC虛擬網絡中啟動云服務的資源，如虛擬機實例；對VPC的操作，如創建或刪除VPC，變更路由、安全組和ACL策略等，需要驗證租戶憑證。應支持VPC之間連接的能力，包括同一個租戶的不同VPC之間和不同租戶VPC之間的連接能力；應支持安全組，提供虛擬化網絡安全隔離和控制的能力，包括如下要求；可以過濾虛擬機實例出入口的流量，控制的規則可以由租戶自定義；支持根據IP協議、服務端口及IP地址進行限制的能力。應支持網絡訪問控制列表ACL，提供虛擬化網絡安全隔離和控制的能力，要求基于IP協議、服務端口和源或目的IP地址，允許或拒絕流量；應支持虛擬私有網關，提供VPC與其他網絡建立VPN私有連接的能力；應支持互聯網網關，提供NAT功能，支持VPC與互聯網連接的能力；應支持租戶虛擬化網絡關閉混雜模式的能力；應支持防止虛擬機使用虛假的IP或MAC地址對外發起攻擊的能力；應支持不同租戶的虛擬機之間以及虛擬機與宿主機之間網絡流量監控的能力；應支持租戶對其所擁有的不同虛擬機之間網絡流量進行監控的能力。虛擬化存儲安全 IaaS系統虛擬化存儲安全應符合的基礎要求如下：應支持租戶設置虛擬化存儲數據的訪問控制策略的能力；應支持租戶本地數據與虛擬化存儲之間的安全上傳和下載的能力；應支持租戶間的虛擬化存儲空間安全隔離，其他租戶或者云計算平臺管理員非授權不能訪問的能力；應支持根據租戶所選擇的服務級別進行存儲位置分配的能力。遷移安全 IaaS系統遷移安全應符合的基礎要求如下：應支持虛擬機的安全策略隨虛擬機的遷移而遷移的能力；應支持虛擬機遷移機密性保護的能力；應支持虛擬機遷移完整性保護的能力。虛擬化組件安全加固基礎要求 IaaS系統虛擬化組件安全加固應符合的基礎要求如下：應支持租戶對云計算平臺提供的鏡像文件模板加固的能力；應支持租戶鏡像文件訪問控制，其他租戶或者云計算平臺管理員非授權不能訪問的能力；應支持租戶快照文件訪問控制能力，其他租戶或者云計算平臺管理員非授權不能訪問的能力；應支持租戶虛擬機鏡像文件完整性保護的能力；應支持租戶快照文件完整性保護的能力。增強要求 IaaS系統虛擬化組件安全加固應符合的增強要求如下：應支持鏡像文件的安全傳輸的能力；應支持租戶虛擬機鏡像文件加密的能力。剩余數據保護 IaaS系統剩余數據保護應符合的基礎要求如下：應支持虛擬機所使用的內存回收時完全清除的能力；完全清除指采用非物理手段無法恢復。應支持虛擬機所使用的存儲空間回收時完全清除的能力；應支持租戶虛擬機刪除時，租戶數據完全清除的能力；租戶虛擬機刪除時，需要清除的數據包括租戶鏡像文件、快照文件、備份等數據；應支持租戶虛擬化存儲數據完全清除的能力；虛擬化存儲數據完全清除，包括虛擬化存儲空間上的數據，備份的數據，也包括在租戶完成本地數據與虛擬化存儲之間安全上傳、下載數據后存儲網關等輔助設備上的數據等。應支持租戶備份存儲空間釋放時，對應存儲空間上租戶數據完全清除的能力；應支持虛擬機遷移時原存儲空間數據完全清除的能力。PaaS服務層安全網絡安全 PaaS系統網絡安全應符合的基礎要求如下：應支持劃分為不同的網絡區域，以及不同區域之間邏輯隔離的能力；應支持PaaS系統管理網絡與PaaS系統業務網絡邏輯隔離的能力；應支持PaaS系統業務和管理網絡與PaaS租戶業務網絡邏輯隔離的能力；應支持網絡高可用性部署，在系統出現部分故障時，自動將業務轉離受影響系統的能力；應支持對PaaS系統業務和管理網絡的非法連接檢測及阻斷的能力；非法連接包括從外部網絡非法連接到內部網絡，以及從內部網絡非法連接到外部網絡兩種情況。應支持對PaaS系統DDoS攻擊防護的能力；應支持對PaaS系統網絡邊界流量監控、攻擊和入侵行為檢測的能力；應支持PaaS租戶采用VPN通道訪問PaaS服務的能力；應支持區域邊界處的網絡設備和安全設備的日志記錄、審計報表的能力。主機安全基礎要求 PaaS系統主機安全應符合的基礎要求如下：應支持主機安全加固的能力；應支持主機入侵檢測和防范的能力；應支持主機惡意代碼防護的能力。增強要求 PaaS系統主機安全應符合的增強要求如下：應支持主機啟動完整性檢查的能力；應支持主機運行過程完整性檢查的能力。PaaS資源管理平臺安全基礎要求 PaaS系統資源管理平臺應符合的基礎要求如下：應支持對代碼進行安全測試并進行缺陷修復的能力；應支持對PaaS資源管理平臺攻擊行為進行監測和告警的能力，檢測到攻擊行為時，能夠記錄攻擊的源IP、攻擊的類型、攻擊的目的、攻擊的時間；應支持對惡意代碼進行檢測和處置的能力；應支持對Web應用漏洞進行檢測和防護的能力；應支持監視遠程管理連接，中斷未授權管理連接的能力；應支持資源集中監控的能力；應支持過載保護，保障業務公平性和系統資源利用最大化的能力；應支持租戶故障的安全隔離，單個PaaS租戶應用故障，不影響其他租戶的能力；應支持可用性，部分系統故障不影響提供PaaS服務的能力；應支持禁止系統管理員直接訪問查看租戶數據的能力；應支持用戶權限控制，支持限制用戶功能權限和數據訪問權限的能力；應支持設置用戶權限最小化的能力；應支持控制PaaS用戶使用資源，限制用戶不超范圍使用資源的能力；應支持PaaS用戶的資源使用監控，支持資源異常提醒的能力；應支持記錄PaaS系統的登錄日志的能力；登錄日志包括記錄用戶成功、失敗的認證、登錄、用戶注銷、超時退出等活動。應支持記錄對用戶信息管理日志的能力，管理日志包括記錄用戶和用戶權限的增刪改以及密碼的修改和重置等活動；應支持記錄數據操作日志的能力，數據操作日志包括應記錄應用系統中存放的業務數據進行操作(查詢、修改、刪除等)的活動等；應支持向PaaS租戶提供審計日志的能力。增強要求 PaaS系統資源管理平臺應符合的增強要求如下：應支持對核心軟件源代碼進行審查并識別后門的能力；應支持啟動完整性檢查的能力；應支持對重要配置文件完整性檢測的能力；應支持對重要程序運行狀態下完整性保護的能力；應支持組件間通信采用安全傳輸的能力；應支持PaaS租戶自定義網絡訪問控制，自定義允許訪問PaaS服務的IP地址列表的能力；應支持向PaaS租戶提供統一獲取日志的接口能力；應支持網絡高可用性部署，在系統出現部分故障時，自動將業務轉離受影響系統的能力。租戶虛擬資源空間安全基礎要求 PaaS系統租戶虛擬資源空間安全應符合的基礎要求如下：應支持租戶間PaaS服務的安全隔離，PaaS租戶只能訪問和操作自己PaaS服務資源的能力；應支持限制PaaS系統管理員未授權訪問PaaS租戶應用資源的能力；應支持租戶間的數據安全隔離，PaaS租戶只能訪問和操作自己PaaS服務數據的能力；應支持限制PaaS系統管理員未授權訪問PaaS租戶數據的能力；應支持由PaaS租戶自行定義和設置數據備份和數據導出權限的能力；應支持由PaaS租戶自行定義和設置數據重置權限的能力；應支持PaaS租戶的應用和數據存儲資源回收時應刪除租戶相關數據的能力；應支持PaaS租戶退租后刪除租戶相關數據，包括刪除備份和歸檔數據的能力。增強要求PaaS系統租戶虛擬資源空間安全應符合的增強要求如下：應支持PaaS租戶間采用不同實例或主機隔離的能力；應支持PaaS租戶間采用獨立數據庫或獨立Schema或獨立數據表實現數據隔離的能力。SaaS服務層安全網絡安全 SaaS系統網絡安全應符合的基礎要求如下：應支持劃分為不同的網絡區域，以及不同區域之間邏輯隔離的能力；應支持SaaS系統管理網絡與SaaS系統業務網絡邏輯隔離的能力；應支持SaaS系統業務和管理網絡與SaaS租戶業務網絡邏輯隔離的能力；應支持網絡高可用性部署，在系統出現部分故障時，自動將業務轉離受影響系統的能力；應支持對SaaS系統業務和管理網絡的非法連接檢測及阻斷的能力；非法連接包括從外部網絡非法連接到內部網絡，以及從內部網絡非法連接到外部網絡兩種情況。應支持對SaaS系統DDoS攻擊防護的能力；應支持對網絡邊界流量監控、攻擊和入侵行為檢測的能力；應支持SaaS租戶采用VPN通道訪問SaaS應用的能力；應支持區域邊界處的網絡設備和安全設備的日志記錄、審計報表的能力。主機安全基礎要求 SaaS系統主機安全應符合的基礎要求如下：應支持主機安全加固的能力；應支持主機入侵檢測和防范的能力；應支持主機惡意代碼防護的能力。增強要求 SaaS系統主機安全應符合的增強要求如下：應支持主機啟動完整性檢查的能力；應支持主機運行過程完整性檢查的能力。SaaS資源管理平臺和應用安全基礎要求 SaaS系統資源管理平臺和應用的基礎要求如下：應支持對代碼進行安全測試并進行缺陷修復的能力；應支持對資源管理平臺攻擊行為進行監測和告警的能力，檢測到攻擊行為時，能夠記錄攻擊的源IP、攻擊的類型、攻擊的目的、攻擊的時間；應支持對惡意代碼進行檢測和處置的能力；應支持對Web應用漏洞進行檢測和防護的能力；應支持監視遠程管理連接，發現未授權管理連接時中斷連接的能力；應支持資源集中監控的能力；應支持過載保護，保障業務公平性和系統資源利用最大化的能力；應支持用戶故障安全隔離的能力，單個SaaS租戶業務故障，不影響其他用戶；應支持可用性，部分系統故障不影響提供SaaS服務的能力；應支持禁止系統管理員直接訪問查看租戶數據的能力；應支持SaaS租戶會話安全的能力，包括支持唯一會話標識、會話超時、保護會話Cookie、會話注銷等；應支持用戶權限控制的能力，支持限制用戶功能權限和數據訪問權限；應支持設置用戶權限最小化的能力；應支持對單個賬戶的多重并發會話進行限制的能力；應支持控制SaaS租戶使用資源的能力，限制租戶不超范圍使用資源；應支持SaaS租戶的資源使用監控，支持資源異常提醒的能力；應支持記錄SaaS應用系統的登錄日志的能力，包括記錄用戶成功/失敗的認證/登錄、用戶注銷、超時退出等活動；應支持記錄對用戶信息管理日志的能力，包括記錄用戶和用戶權限的增刪改以及密碼的修改和重置等活動；應支持記錄數據操作日志的能力，包括記錄應用系統中存放的業務數據進行操作(查詢、修改、刪除等)的活動；應支持向SaaS租戶提供審計日志的能力。增強要求 SaaS系統資源管理平臺和應用的增強要求如下：應支持啟動過程完整性檢查的能力；應支持對重要配置文件完整性檢測的能力；應支持對重要程序運行狀態下完整性保護的能力；應支持組件間通信采用安全傳輸的能力；應支持SaaS租戶自定義網絡訪問控制的能力，自定義允許登陸SaaS系統的IP地址列表；應支持向SaaS租戶提供統一獲取日志接口的能力。數據安全基礎要求 SaaS系統數據安全應符合的基礎要求如下：應支持數據的高可用性，支持租戶數據所在系統故障時不會導致數據丟失的能力；應支持租戶數據完整性保護的能力，支持租戶數據不被未授權的篡改或在篡改后能夠被迅速發現；應支持租戶數據隱私保護，禁止未授權訪問和使用用戶隱私信息的能力；應支持數據安全傳輸的能力。增強要求 SaaS系統數據安全應符合的增強要求如下：應支持租戶數據加密算法滿足業務部署所在區域算法合規性要求的能力。應支持為租戶提供密鑰管理的能力；應支持租戶密鑰由租戶或第三方管理的能力。租戶虛擬資源空間安全基礎要求 SaaS系統租戶虛擬資源空間安全應符合的基礎要求如下：應支持SaaS租戶間SaaS服務的安全隔離，SaaS租戶只能訪問和操作自己SaaS服務資源的能力；應支持限制SaaS系統管理員未授權訪問SaaS租戶應用資源的能力；應支持SaaS租戶間的數據安全隔離，SaaS租戶只能訪問和操作自己SaaS服務數據的能力；應支持限制SaaS系統管理員未授權訪問SaaS租戶數據的能力；應支持由SaaS租戶自行定義和設置數據備份和數據導出權限的能力；應支持由SaaS租戶自行定義和設置數據重置權限的能力；應支持SaaS租戶的應用和數據存儲資源回收時刪除租戶相關數據的能力；應支持SaaS租戶退租后刪除租戶相關數據，包括刪除備份和歸檔數據的能力。增強要求 SaaS系統租戶虛擬資源空間安全應符合的增強要求如下：應支持SaaS租戶間采用不同實例或主機隔離的能力；應支持SaaS租戶間采用獨立數據庫或獨立Schema或獨立數據表實現數據隔離的能力；應支持數據導出加密的能力。安全管理IaaS服務安全管理身份鑒別和訪問管理10.1.1.1基礎要求 IaaS系統身份鑒別和訪問管理應符合的基礎要求如下：應支持租戶身份和訪問管理，實現集中管理租戶賬戶（主賬戶）以及主賬戶下的個人用戶（子賬戶）的能力，對子賬戶的管理，應滿足如下要求；主賬戶可以創建多個子賬戶，并管理每個子賬戶的權限；支持主賬戶對子賬戶的分組授權，如基于角色、用戶組授權。個人用戶可以是通過程序、管理控制臺、CLI或API接口與云服務資源互動的任何個人、系統或應用。應支持租戶賬戶下的子賬戶權限最小化配置的能力；應支持租戶密碼策略管理的能力，密碼策略管理包括如下要求；應支持密碼復雜度策略；應支持設置密碼有效期；租戶賬號的初始密碼應支持隨機生成，租戶首次登錄支持強制修改初始密碼。應支持為租戶隨機生成虛擬機的登錄口令，或租戶自行輸入登錄口令的能力；應支持在以密鑰對方式登錄租戶虛擬機的場景下，租戶自主選擇由云計算平臺生成密鑰對或租戶上傳密鑰對的能力；應支持集中管理租戶鑒別憑證的能力；應支持租戶鑒別憑證的機密性和完整性保護的能力；應支持修改租戶鑒別憑證前驗證租戶身份的能力；應支持租戶賬戶異常檢測并通知租戶的能力；應支持多種租戶身份鑒別方式的能力；應支持租戶自主選擇主賬號采用兩種或兩種以上的組合機制進行身份鑒別的能力；應支持與租戶自建身份認證中心對接的能力；應支持將云計算平臺管理員的角色及其相應權限分配給不同賬戶的能力；應支持云計算平臺管理員用戶首次登錄時強制修改初始密碼的能力；應支持云計算平臺管理員權限分離機制的能力；應支持云計算平臺管理員權限最小化的能力；應支持多種云計算平臺管理員身份鑒別方式的能力；應支持云計算平臺管理員采用兩種或兩種以上的組合機制進行身份鑒別的能力。10.1.1.2增強要求 IaaS系統身份鑒別和訪問管理應符合的增強要求如下：應支持云計算平臺管理員特權賬號管理的能力，特權賬號管理包括如下要求：特權賬號在授權時間內才能使用，授權時間支持分鐘或小時的粒度；給特權賬號授權的賬號自身無法使用特權賬號的業務操作權限。應支持用戶身份證書狀態有效性驗證的能力；應支持與租戶自建身份認證中心對接的能力;應支持租戶授予原本無權訪問租戶資源的用戶或實體臨時訪問租戶資源的能力。安全審計10.1.2.1基礎要求 IaaS系統安全審計應符合的基礎要求如下：應支持審計記錄信息產生的能力，審計記錄信息的產生包括如下要求：記錄云計算平臺管理員和租戶登錄信息和身份鑒別信息；記錄云計算平臺管理員對基礎設施和虛擬資源的管理操作信息，如架構調整、策略變更、安全功能的開啟關閉、虛擬資源申請、虛擬機遷移、虛擬資源調度、虛擬資源分配、虛擬資源的異常使用和重要系統命令的使用等；記錄云計算平臺管理員對租戶資源的操作信息，如：對租戶虛擬化實例的建立、變更、回收，對虛擬存儲設備進行掛卷、卸卷等變更操作；。記錄租戶通過云計算平臺對租戶資源的操作信息；記錄云計算平臺運行過程的系統日志信息；記錄其他與云計算平臺安全有關的事件或專門定義的可審計事件信息。應支持審計記錄包括安全事件的主體、客體、時間、類型和結果等內容的能力；應支持審計記錄時間由云計算平臺唯一確定的時鐘產生的能力；應支持云計算平臺管理員對審計記錄進行查詢、分類和分析的功能，并支持生成相關審計報表的能力；應支持租戶間審計記錄信息相互隔離的能力；應支持租戶收集和查看與本租戶資源相關的審計記錄信息的能力；應支持審計信息保護，禁止非授權的用戶或實體獲取審計信息，避免受到未預期的刪除、修改或覆蓋和丟失的能力；應支持審計信息的保存期限滿足法律法規及云服務提供者和租戶的信息留存要求的能力；應支持實時監控和處置安全事件審計信息的能力。包括支持設置規則監控審計事件，并根據這些規則判斷安全侵害，當檢測到有安全侵害事件時，支持自動進行審計響應的能力。10.1.2.2增強要求 IaaS系統安全審計應符合的增強要求如下：應支持云計算平臺審計信息集中審計的能力；應支持租戶使用第三方審計系統或接口，實現租戶職責范圍內集中審計的能力；應支持第三方審計系統或接口獲取云計算平臺固件和關鍵軟件啟動過程中版本信息的能力；應支持第三方審計系統或接口獲取云計算平臺初始配置信息的能力；應支持第三方審計系統或接口獲取云計算平臺關鍵軟件運行過程中版本信息的能力；應支持第三方審計系統或接口獲取云計算平臺關運行過程中關鍵配置信息的能力；應支持第三方審計系統或接口獲取云計算平臺關運行過程中審計信息的能力。存儲與備份管理10.1.3.1基礎要求 IaaS系統存儲與備份管理應符合的基礎要求為：應支持租戶系統和數據的備份，并支持租戶根據所備份信息進行系統和數據恢復的能力。10.1.3.2增強要求 IaaS系統存儲與備份管理應符合的增強要求如下：應支持對云計算平臺的備份系統和備份數據進行周期性測試，識別故障和備份重建的能力；應支持租戶查詢數據和備份數據存儲位置的能力。安全運維 IaaS系統安全運維應符合的基礎要求如下：應支持安全策略的集中管理和自動下發能力；應支持統一的運維入口的能力。統一的運維入口要求支持運維人員的權限控制，并支持對所有活動記錄日志的能力。威脅與脆弱性管理10.1.5.1基礎要求 IaaS系統威脅與脆弱性管理應符合的基礎要求如下：應支持定期對云計算平臺運行的硬件和軟件系統進行安全性檢測，識別與鑒別、鑒權、授權、訪問控制和系統完整性設置相關的特定安全脆弱性的能力；應支持統一的補丁管理機制，支持識別云計算資源管理平臺、主機、網絡、存儲等虛擬和物理資源的補丁狀態，并支持自動化補丁安裝的能力；應支持云計算平臺系統鏡像文件安全補丁管理措施，對非工作狀態的虛擬機鏡像應支持補丁觸發或定期升級方式進行系統補丁升級的能力；應支持實時監控云計算平臺各安全組件的運行情況，當發現網絡攻擊、病毒入侵、網絡異常及未授權訪問等安全威脅時，發出告警信息的能力。10.1.5.2增強要求 IaaS系統威脅與脆弱性管理應符合的增強要求為：應支持安全威脅預警的能力。安全威脅預警指對云計算平臺的基礎信息、靜態的配置信息、動態的系統運行信息、網絡流量信息、用戶訪問行為、安全事件日志、漏洞信息等能引發云計算平臺網絡安全態勢發生變化的要素進行全面、快速和準確地捕獲，通過關聯回溯、大數據分析及安全建模等技術提前發現可能引發安全事件的威脅，實現對威脅的提前預警。密鑰與證書管理10.1.6.1基礎要求 IaaS系統密鑰與證書管理應符合的基礎要求如下：應支持云計算平臺所使用數字證書，以及租戶與云計算平臺進行業務交互時所使用的數字證書統一管理的能力；數字證書統一管理是指對證書全生命周期進行統一管理，包括證書的頒發、驗簽、撤消等。應支持對云計算平臺所使用密鑰統一管理的能力。密鑰統一管理是指對密鑰的全生命周期進行統一管理，包括密鑰產生、分發、更新、使用、備份和銷毀等。10.1.6.2增強要求 IaaS系統密鑰與證書管理應符合的增強要求如下：應支持使用統一的密鑰管理系統，實現密鑰統一管理的能力；應支持由硬件安全模塊實現密鑰全生命周期管理的能力。PaaS服務安全管理身份鑒別和訪問管理10.2.1.1基礎要求 PaaS系統身份鑒別和訪問管理應符合的基礎要求如下：應支持租戶身份和訪問管理，集中管理租戶賬戶的能力；應支持租戶密碼策略管理的能力，密碼策略管理能力應滿足如下要求：支持密碼復雜度策略；支持設置密碼有效期，到期強制租戶修改密碼租戶賬號的初始密碼應支持隨機生成，租戶首次登錄支持強制修改初始密碼。應支持集中管理租戶鑒別憑證，保護租戶鑒別憑證的機密性和完整性的能力；應支持在租戶修改任何租戶鑒別憑證前強制進行租戶身份驗證的能力；應支持租戶賬戶異常檢測并通知租戶的能力；應支持多種租戶身份鑒別方式的能力；應支持租戶自主選擇兩種或兩種以上的組合機制進行身份鑒別的能力。應支持依據系統管理員的角色建立不同的賬號并分配權限的能力；應支持系統管理員用戶首次登錄時強制用戶修改默認口令的能力；應支持系統管理員權限分離的能力；應支持系統管理員權限最小化的能力；應支持多種系統管理員身份鑒別方式的能力；應支持系統管理員兩種或兩種以上的組合機制進行身份鑒別的能力。10.2.1.2增強要求 PaaS系統身份鑒別和訪問管理應符合的增強要求如下：應支持系統管理員特權賬號管理的能力，特權賬號管理應滿足如下要求：特權賬號在授權時間內才能使用，授權時間支持分鐘或小時的粒度；給特權賬號授權的賬號自身無法使用特權賬號的業務操作權限。應支持用戶身份證書狀態有效性驗證的能力；應支持與租戶自建身份認證中心對接的能力。安全審計10.2.2.1基礎要求 PaaS系統安全審計應符合的基礎要求如下：應支持審計記錄信息產生的能力，審計記錄信息的產生應滿足如下要求：記錄PaaS系統管理員和租戶登錄信息和身份鑒別信息；記錄PaaS系統管理員對PaaS系統資源的管理操作信息；PaaS系統管理員對租戶資源的操作信息。租戶通過PaaS系統對租戶資源的操作信息；記錄PaaS系統運行過程的系統日志信息；記錄其他與PaaS系統安全有關的事件或專門定義的可審計事件信息。應支持審計記錄包括安全事件的主體、客體、時間、類型和結果等內容的能力；應支持審計記錄時間由PaaS系統唯一確定的時鐘產生的能力；應支持系統管理員對審計記錄進行查詢、分類和分析，并支持生成相關審計報表的能力；應支持租戶間審計記錄信息的相互隔離的能力；應支持租戶收集和查看與本租戶資源相關的審計記錄信息的能力；應支持審計信息保護，禁止非授權的用戶或實體獲取審計信息，避免受到未預期的刪除、修改、覆蓋或丟失的能力；應支持審計信息滿足法律法規及云服務商和租戶的信息留存要求的能力；應支持實時監控和處置安全事件審計信息的能力，包括支持設置規則監控審計事件，并根據這些規則判斷安全侵害，當檢測到有安全侵害事件時，支持自動進行審計響應的能力。10.2.2.2增強要求 PaaS系統安全審計應符合的增強要求如下：應支持PaaS系統審計信息的集中審計能力；應支持租戶使用第三方審計系統或接口，實現租戶職責范圍內集中審計的能力；應支持第三方審計系統或接口獲取PaaS系統關鍵軟件啟動過程中版本信息的能力；應支持第三方審計系統或接口獲取PaaS系統初始配置信息的能力；應支持第三方審計系統或接口獲取PaaS系統關鍵軟件運行過程中版本信息的能力；應支持第三方審計系統或接口獲取系統運行過程中關鍵配置信息的能力；應支持第三方審計系統或接口獲取系統運行過程中審計信息的能力。存儲與備份管理10.2.3.1基礎要求PaaS系統存儲與備份管理應符合的基礎要求為：應支持租戶系統和數據的備份，并支持租戶根據所備份信息進行系統和數據恢復的能力。10.2.3.2增強要求 PaaS系統存儲與備份管理應符合的增強要求如下：應支持租戶查詢數據和備份數據存儲位置的能力；應支持對PaaS系統的備份系統和備份數據進行周期性測試，識別故障和備份重建的能力。安全運維 PaaS系統安全運維應符合的基礎要求如下：應支持安全策略的集中管理和自動化下發的能力；應支持統一的運維入口的能力，同時，統一的運維入口要求支持運維人員的權限控制，并支持對所有活動記錄日志的能力。威脅與脆弱性管理10.2.5.1基礎要求 PaaS系統威脅與脆弱性管理應符合的基礎要求如下：應支持定期對PaaS系統運行的硬件和軟件系統進行安全性檢測，識別與鑒別、授權、訪問控制和系統完整性設置相關的特定的安全脆弱性的能力；應支持統一的補丁管理機制，支持識別PaaS系統軟件、主機、網絡、存儲等虛擬和物理資源的補丁狀態，并支持自動化補丁安裝的能力；應支持實時監控PaaS系統各安全組件的運行情況，當發現網絡攻擊、病毒入侵、網絡異常及未授權訪問等安全威脅時，發出告警信息的能力。10.2.5.2增強要求 PaaS系統威脅與脆弱性管理應符合的增強要求為：應支持安全威脅預警的能力。安全威脅預警指對PaaS系統的基礎信息、靜態的配置信息、動態的系統運行信息、網絡流量信息、用戶訪問行為、安全事件日志、漏洞信息等能引發PaaS系統網絡安全態勢發生變化的要素進行全面、快速和準確地捕獲，通過關聯回溯、大數據分析及安全建模等技術提前發現可能引發安全事件的威脅，實現對威脅的提前預警。密鑰與證書管理10.2.6.1基礎要求 PaaS系統密鑰與證書管理應符合的基礎要求如下：應支持PaaS系統所使用數字證書，以及租戶與PaaS系統進行業務交互時所使用的數字證書統一管理的能力；數字證書統一管理是指對證書全生命周期進行統一管理，包括證書的頒發、驗簽、撤消等。應支持對PaaS系統所使用密鑰統一管理的能力。密鑰統一管理是指對密鑰的全生命周期進行統一管理，包括密鑰產生、分發、更新、使用、備份和銷毀等。10.2.6.2增強要求 PaaS系統密鑰與證書管理應符合的增強要求如下：應支持使用統一的密鑰管理系統，實現密鑰統一管理的能力；應支持由硬件安全模塊實現密鑰全生命周期管理的能力。SaaS服務安全管理身份鑒別和訪問管理10.3.1.1基礎要求 SaaS系統身份鑒別和訪問管理應符合的基礎要求如下：應支持用戶身份和訪問管理，集中管理租戶賬戶的能力；應支持租戶密碼策略管理的能力，密碼策略管理包括如下要求：應支持密碼復雜度策略；應支持設置密碼有效期，到期強制租戶修改密碼租戶賬號的初始密碼應支持隨機生成，租戶首次登錄支持強制修改初始密碼。應支持集中管理用戶鑒別憑證，保護用戶鑒別憑證的機密性和完整性的能力；應支持在用戶修改任何用戶鑒別憑證前應進行用戶身份驗證的能力；應支持租戶賬戶異常檢測并通知租戶的能力；應支持多種租戶身份鑒別方式的能力；應支持租戶自主選擇采用兩種或兩種以上的組合機制進行身份鑒別的能力；應支持依據管理員的角色建立不同的賬號并分配權限的能力；應支持管理員用戶首次登錄時強制用戶修改默認口令的能力；應支持管理員權限分離的能力；應支持管理員權限最小化的能力；應支持多種系統管理員身份鑒別方式的能力；應支持系統管理員兩種或兩種以上的組合機制進行身份鑒別的能力。10.3.1.2增強要求 SaaS系統身份鑒別和訪問管理應符合的增強要求如下：應支持系統管理員特權賬號管理的能力，特權賬號管理包括如下要求：特權賬號在授權時間內才能使用，授權時間支持分鐘或小時的粒度；給特權賬號授權的賬號自身無法使用特權賬號的業務操作權限。應支持身份證書狀態有效性驗證的能力。安全審計10.3.2.1基礎要求 SaaS系統安全審計應符合的基礎要求如下：應支持審計記錄信息產生的能力，包括如下要求：記錄系統管理員和租戶登錄信息和身份鑒別信息；記錄系統管理員對系統資源的管理操作信息；記錄系統管理員對租戶資源的操作信息；記錄租戶通過SaaS系統對租戶資源的操作信息；記錄SaaS系統運行過程的系統日志信息；記錄其他與SaaS系統安全有關的事件或專門定義的可審計事件信息。應支持審計記錄包括安全事件的主體、客體、時間、類型和結果等內容的能力；應支持審計記錄時間由SaaS系統唯一確定的時鐘產生的能力；應支持系統管理員對審計記錄進行查詢、分類和分析，并支持生成相關審計報表的能力；應支持租戶間審計記錄信息的相互隔離的能力；應支持租戶收集和查看與本租戶資源相關的審計記錄信息的能力；應支持審計信息保護，禁止非授權的用戶或實體獲取審計信息，避免受到未預期的刪除、修改、覆蓋或丟失的能力；應支持審計信息的保存期限滿足法律法規及云服務商和租戶的信息留存要求的能力；應支持實時監控和處置安全事件審