基于云服务的网络安全控制方法和云安全网关

摘要

本发明公开了一种基于云服务的网络安全控制方法和云安全网关。其中的方法包括如下步骤：在用户登录云服务系统时，通过云服务提供商对该用户进行身份认证和越界访问的判断；在所述用户通过身份认证并且没有超越访问权限的情况下，检查所述用户是否符合客户内部安全策略；若否，拒绝访问，若是，许可访问云资源。本发明能在云安全网关上合理、有效地将CSP和客户的安全管理权限进行划分，既保证客户之间的安全隔离，又保护客户的隐私和管理权利不被侵犯。

说明书

技术领域

本发明涉及信息技术领域，尤其涉及一种基于云服务的网络安全控制方法和云安全网关。

背景技术

云服务是通过集中的计算资源复用机制为多个客户提供服务，因此安全与可信是云服务要解决的关键问题。在云服务系统中，运服务提供商CSP一般通过位于计算中心和互联网连接边界的安全网关类设备(以下简称云安全网关)对客户的访问行为进行身份认证、访问控制和审计等。

云服务是一种新的信息技术服务模式，它和传统一般的企业或政府单位信息技术系统有不同的特点。在传统的信息技术系统中，无论是信息技术设施还是信息本身的所有权都属于企业或政府单位，因此其管理权也属于这些企业或政府单位，但是在云服务中，信息技术服务设施(包括云安全网关等设备)属于CSP所有，而云服务内容本身，即在这些云服务设施上处理、传输和存储的信息资源则属于客户所有。

云服务的这种服务设施和服务内容在所有权上的分离可能会带来管理权限的划分问题：一方面，云服务是一种基于资源复用的多客户服务系统，CSP作为服务提供商，有责任保证客户之间的安全隔离，即保证任何客户不能进入或访问属于其它客户的服务环境或信息，这是客户对云服务的信心基础；另一方面，由于云服务设施上所处理、传输和存储的信息属于客户所有，因此对它们的安全管理应该也属于客户的内部权限范围，由客户自己管理，比如客户的哪些用户可以访问什么资源以及用什么方式访问等等。CSP如果未经允许，不能介入这些安全管理事务中，否则是对客户安全和隐私的侵犯。但是由于云服务设施的所有权属于CSP，因此如何处理这种资产所有权和管理权的分离，合理划分和区隔CSP和客户子在云服务设施(包括云安全网关等在内)上的安全管理职责，是云服务必须要解决的安全管理问题，只有这样才能保证云服务的安全，提高客户对云服务的信心水平。

发明内容

本发明的目的在于提供一种基于云服务的网络安全控制方法和云安全网关，基于本发明能够合理、有效地将CSP和客户的安全管理权限进行划分，既保证客户之间的安全隔离，又保护客户的隐私和管理权利不被侵犯。

一方面，本发明一种基于云服务的网络安全控制方法，包括如下步骤：第一级控制步骤，在用户登录云服务系统时，通过云服务提供商对该用户进行身份认证和越界访问的判断；第二级控制步骤，在所述用户通过身份认证并且没有超越访问权限的情况下，检查所述用户是否符合客户内部安全策略；若否，拒绝访问，若是，许可访问云资源。

上述网络安全控制方法，优选所述第一级控制步骤进一步为：所述用户通过身份认证后，确定用户所属客体，并根据客户间安全隔离策略判断用户是否越界访问其它客户资源。

上述网络安全控制方法，优选所述第一级控制步骤通过如下方式实现：为每一客户分配如下信息，包括：客户标识、定义服务时段、初始管理员及其口令、定义客户资源、分配客户内部安全策略空间及客户可定义安全策略最大数量。

上述网络安全控制方法，优选所述第二级控制步骤通过如下方式实现：为每一客户的所述客户内部安全策略分配不同的存储空间或采用明确标记加以隔离。

上述网络安全控制方法，优选所述方法还包括对所述客户间安全隔离策略、所述客户内部安全策略和用户访问行为进行审计的步骤。

上述网络安全控制方法，优选所述客户间安全隔离策略包括：客户身份信息、客户资源信息、客户安全策略表范围。

上述网络安全控制方法，优选所述客户内部安全策略包括：客户内部用户信息、客户访问控制策略、审计策略。

另一方面，本发明还公开了一种云安全网关，包括：第一级控制模块，用于在用户登录云服务系统时，通过云服务提供商对该用户进行身份认证和越界访问的判断；第二级控制模块，用于在所述用户通过身份认证并且没有超越访问权限的情况下，检查所述用户是否符合客户内部安全策略；若否，拒绝访问，若是，许可访问云资源。

上述云安全网关，优选所述第一级控制模块进一步用于：在所述用户通过身份认证后，确定用户所属客体，并根据客户间安全隔离策略判断用户是否越界访问其它客户资源。

上述云安全网关，优选所述第一级控制模块中，包括用于为每一客户分配如下信息，包括：客户标识、定义服务时段、初始管理员及其口令、定义客户资源、分配客户内部安全策略空间及客户可定义安全策略最大数量的单元。

上述云安全网关，优选所述第二级控制模块中，还包括用于为每一客户的所述客户内部安全策略分配不同的存储空间或采用标记加以隔离的单元。

上述云安全网关，优选所述方法还包括用于对所述客户间安全隔离策略、所述客户内部安全策略和用户访问行为进行审计的模块。

上述云安全网关，优选所述客户间安全隔离策略包括：客户身份信息、客户资源信息、客户安全策略表范围。

上述云安全网关，优选所述客户内部安全策略包括：客户内部用户信息、客户访问控制策略、审计策略。

相对于现有技术而言，本发明具有如下优点：

首选，CSP(云服务提供商)和客户的安全职责范围划分清晰，没有交叠，并且安全管理覆盖完整，安全性高；其次，CSP只需负责客户安全隔离策略的管理，不关心客户内部的安全管理，工作量有效减少；其三，客户对自己的信息有完全的管理权力，其管理方式类似于传统的企业或政府信息技术系统，客户对云服务的安全有信心。

附图说明

图1为本发明基于云服务的网络安全控制方法实施例的步骤流程图；

图2为本发明云安全网关一实施例的结构框图；

图3为本发明云安全网关另一实施例的结构框图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

基本假设：云服务中，客户是特定用户群体的集合，它总是由一组或一个属于该客户的具体用户组成。用户对云服务资源的访问必须经过云安全网关的身份认证和访问控制等安全机制。

参照图1，图1为本发明基于云服务的网络安全控制方法实施例的步骤流程图，该方法包括：第一级控制步骤S110，在用户登录云服务系统时，通过云服务提供商对该用户进行身份认证和越界访问的判断；第二级控制步骤S120，在所述用户通过身份认证并且没有超越访问权限的情况下，检查所述用户是否符合客户内部安全策略；若否，拒绝访问，若是，许可访问云资源。本实施例合理、有效地将CSP和客户的安全管理权限进行划分，既保证客户之间的安全隔离，又保护客户的隐私和管理权利不被侵犯。

也就是说，用户登录云服务系统时，云安全网关对用户进行身份认证。用户认证通过后，云安全网关对用户的访问进行控制：云安全网关确定用户所属客体，并根据客户安全隔离策略判断用户是否越界访问其它客户资源，如果是，拒绝其访问行为，否则继续根据客户内部安全策略，检查其是否符合客户访问控制策略，如果不是，拒绝其访问，否则系统就许可用户的云资源访问。另外，云安全网关还对客户安全隔离策略、客户内部安全策略的管理行为以及用户的访问行为进行审计。

第一级控制步骤通过如下方式实现：为每一客户分配如下信息，包括：客户标识、定义服务时段、初始管理员及其口令、定义客户资源、分配客户内部安全策略空间及客户可定义安全策略最大数量。第二级控制步骤通过如下方式实现：为每一客户的所述客户内部安全策略分配不同的存储空间或采用明确标记加以隔离。

具体实施时，客户间安全隔离策略涉及：客户身份信息、客户资源信息、客户安全策略表范围。客户内部安全策略涉及：客户内部用户信息、客户访问控制策略、审计策略。

另外，上述实施例还可以增加对客户间安全隔离策略、客户内部安全策略和用户访问行为进行审计的步骤。

通过上述实施例可以看出，本发明基于云服务的网络安全分为两级安全管理策略：一是客户间安全隔离策略(对应第一级控制步骤)，包括客户身份信息、客户资源信息、客户安全策略表范围等，由CSP负责；二是客户内部安全策略，包括客户内部用户信息、客户访问控制策略、审计策略等，由客户负责。

具体而言，在客户注册云服务成功后，CSP负责客户安全隔离策略的管理，它包括为客户建立服务帐户(例如分配客户标识等、定义客户初始管理员等)、定义和分配云服务资源(例如确定该客户的访问客体等)、定义客户内部安全策略空间及大小(例如客户安全策略表在系统总安全策略数据库中的起始位置及最大项数)等。系统必须为不同客户的客户内部安全策略分配不同的存储空间(例如数据库表或策略文件)，或者采用明确标记加以隔离(例如在同一个数据库表中用客户标识加以标记)。上述内容的管理只能由CSP根据客户服务协定定义、配置和调整，客户无权管理。当客户取消云服务后，CSP可以根据客户服务协定删除存档上述管理信息。客户初始管理员信息只是在客户还没有配置客户管理员时，客户以此身份登录云安全网关系统创建客户管理员；在创建了客户管理员之后，任何人都不能再通过客户初始管理员身份登录系统。云服务客户负责客户的内部安全策略管理：客户在创建客户管理员之后，客户的安全管理工作包括客户管理员的管理、客户内部用户管理、访问控制策略管理、审计策略管理和其它客户安全策略管理等，CSP不能介入这些管理内容。

CSP新增服务客户时，CSP登录并进入云安全网关的客户安全隔离策略管理实体，增加新客户，为其分配客户标识、定义服务时段、初始管理员及其口令、定义客户资源、分配客户内部安全策略空间及其客户可定义安全策略最大数量等信息。

客户初次管理其内部安全策略时，客户初次必须以CSP为其定义的客户初始管理员帐户登录进入客户内部安全策略管理实体，进入后，客户必须创建客户管理员，并以客户管理员身份登录进入客户内部安全策略管理实体，然后对客户内部安全策略进行管理，例如增加用户、增加访问控制策略等等。

另一方面，本发明还公开了一种云安全网关的实施例。参照图2，图2为本发明云安全网关实施例的结构示意图，包括：第一级控制模块22，用于在用户登录云服务系统时，通过云服务提供商对该用户进行身份认证和越界访问的判断；第二级控制模块24，用于在所述用户通过身份认证并且没有超越访问权限的情况下，检查所述用户是否符合客户内部安全策略；若否，拒绝访问，若是，许可访问云资源。

该云安全网关中，分为两级安全管理策略：一是客户间安全隔离策略(对应第一级控制步骤)，包括客户身份信息、客户资源信息、客户安全策略表范围等，由CSP负责；二是客户内部安全策略，包括客户内部用户信息、客户访问控制策略、审计策略等，由客户负责。本实施例合理、有效地将CSP和客户的安全管理权限进行划分，既保证客户之间的安全隔离，又保护客户的隐私和管理权利不被侵犯。

具体而言，云安全网关在客户注册云服务成功后，CSP负责客户安全隔离策略的管理，它包括为客户建立服务帐户(例如分配客户标识等、定义客户初始管理员等)、定义和分配云服务资源(例如确定该客户的访问客体等)、定义客户内部安全策略空间及大小(例如客户安全策略表在系统总安全策略数据库中的起始位置及最大项数)等。系统必须为不同客户的客户内部安全策略分配不同的存储空间(例如数据库表或策略文件)，或者采用明确标记加以隔离(例如在同一个数据库表中用客户标识加以标记)。上述内容的管理只能由CSP根据客户服务协定定义、配置和调整，客户无权管理。当客户取消云服务后，CSP可以根据客户服务协定删除存档上述管理信息。客户初始管理员信息只是在客户还没有配置客户管理员时，客户以此身份登录云安全网关系统创建客户管理员；在创建了客户管理员之后，任何人都不能再通过客户初始管理员身份登录系统。云服务客户负责客户的内部安全策略管理。客户在创建客户管理员之后，客户的安全管理工作包括客户管理员的管理、客户内部用户管理、访问控制策略管理、审计策略管理和其它客户安全策略管理等，CSP不能介入这些管理内容。

参照图3，图3为本发明云安全网关另一实施例的结构示意图。该云安全网关包括客户间安全隔离策略管理模块30、客户内部安全策略管理模块32、安全策略执行模块34。其中，客户间安全隔离策略管理模块30负责接收来自CSP的安全策略管理命令，并将策略管理结果存放在客户间安全隔离策略中；客户内部安全策略管理模块32负责接收来自各个客户的安全策略管理命令，并将策略管理结果存放在客户内部安全策略中。安全策略执行模块34根据客户间安全隔离策略和客户内部安全策略对登录用户进行身份认证，并对其访问云服务资源进行安全控制。

CSP新增服务客户时，CSP登录并进入云安全网关的客户安全隔离策略管理实体，增加新客户，为其分配客户标识、定义服务时段、初始管理员及其口令、定义客户资源、分配客户内部安全策略空间及其客户可定义安全策略最大数量等信息。

客户初次管理其内部安全策略时，客户初次必须以CSP为其定义的客户初始管理员帐户登录进入客户内部安全策略管理实体，进入后，客户必须创建客户管理员，并以客户管理员身份登录进入客户内部安全策略管理实体，然后对客户内部安全策略进行管理，例如增加用户、增加访问控制策略等等。

以上对本发明所提供的一种基于云服务的网络安全控制方法和云安全网关进行详细介绍，本文中应用了具体实施例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。