1、 攻擊類型復雜并且變換速度加快，在上面的案例中13分鐘攻擊者就變換了3次攻擊方式，基于人工響應、再行操作安全設備的方式一定無法保障業(yè)務；

　　2、 CC攻擊是攻擊者最后的底牌，眾說周知CC攻擊的防御是一個業(yè)界難題，因為不但攻擊的發(fā)起來自于真實的地址，其惡意訪問請求也很難從訪問流量中剝離，除了通過網(wǎng)站服務器擴容來和攻擊者比拼資源消耗外，還沒有很好的方法；

　　3、 攻擊規(guī)模大，60Gbps只是我們常態(tài)防御中遇到的中等攻擊流量，在今年的2月我們還遭遇過160Gbps的大規(guī)模攻擊，而從未來趨勢來看黑客將更多地運用DNS、NTP等協(xié)議進行分布式反射放大拒絕服務攻擊，能輕易把攻擊流量放大幾十倍到幾百倍，打出幾百G的流量耗盡有限的服務器資源，而政務網(wǎng)站現(xiàn)在的主要職能也逐步轉移到了服務民生，這就對網(wǎng)站的可用性也提出了很高的要求，而現(xiàn)有能抗100G的防DDoS設備也是非常貴，而攻擊者所費的成本可能只有安全設備價格的萬分之一。

　　再說回國家為單位發(fā)動的APT攻擊，攻擊者的攻擊目標聚焦一旦聚焦在地方政府的網(wǎng)站上，就可以通過所有的聊天工具、郵件、論壇和線下的社會工程等手段試探、滲透、攻擊管理者和IT基礎設施，而每種手段孤立的看不但無害而且無法被現(xiàn)有的安全手段檢測出來，但組合起來就能達到攻擊的目的，這種攻擊的特點就是：很難用原來安全防御體系的思維去找到一個可信源。正如賽門鐵克信息安全高級副總裁布萊恩·代伊前不久發(fā)表關于“殺毒軟件已死”的言論，其實也是由于APT攻擊被廣泛應用，導致各類安全防御產品基于簽名的技術模式遇到了挑戰(zhàn)，但大數(shù)據(jù)的運用可以給我們不一樣的解決之道，如果我們不再糾結于如何尋找信任源，而是通過大量的防御數(shù)據(jù)建模和大數(shù)據(jù)處理能力對信息進行抓取和分析，可能更迅速的識別出早期攻擊意圖并能實施阻斷。

　　總結以上大規(guī)模的復雜模式DDoS攻擊和以國家為單位發(fā)動的APT攻擊特點，我們可以得出云安全防御架構應具備的基本要求：

　　1、大規(guī)模：應具備幾百G防御DDoS攻擊的清洗能力；

　　2、低成本：應采用軟件分布式+X86服務器架構，擺脫硬件定制、具備彈性擴展能力；

　　3、高精度：應運用大數(shù)據(jù)分析技術實現(xiàn)攻擊的預警和實時阻斷；

　　4、全方位：應具備應用、系統(tǒng)、網(wǎng)絡全面防御能力；

　　例如阿里云的云安全服務——云盾就完全具備以上特點：

　　云盾是阿里巴巴完全自主開發(fā)、采用軟件+X86服務器架構，依托云計算的高彈性擴展和大數(shù)據(jù)挖掘能力，推出的云安全服務。在網(wǎng)絡安全方面具備海量的DDoS攻擊全自動防御服務；在系統(tǒng)安全方面：由主機密碼防暴力破解、網(wǎng)站后門檢測和處理、異地登錄提醒共同組成主機入侵防御系統(tǒng)；在應用安全方面采用大數(shù)據(jù)分析技術構建WEB應用防火墻（WAF）和網(wǎng)站漏洞檢測；

　　以上介紹的還是基于外部攻防的云安全體系構建，但是用戶最擔心的還是云服務商是否會從內部竊取數(shù)據(jù)，因此結合政務行業(yè)數(shù)據(jù)敏感的特點和運營實踐，我們認為應構建覆蓋從數(shù)據(jù)訪問、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)隔離到數(shù)據(jù)銷毀各環(huán)節(jié)的云端數(shù)據(jù)安全基線框架。

　　數(shù)據(jù)訪問：客戶訪問云端資源均需通過同公有云隔離的專屬控制臺進行日常操作和運維，客戶身份鑒別均采用口令結合動態(tài)令牌的雙因素認證，客戶同所購買的云服務對應關系采用對稱加密對實現(xiàn)身份抗抵賴；客戶云端資源訪問操作均需通過堡壘機進行并支持實時操作審計。云平臺運維人員對政務云的運維操作均需通過數(shù)據(jù)證書結合動態(tài)令牌實現(xiàn)雙因素認證，操作權限均需經過多層安全審批并進行命令級規(guī)則固化，違規(guī)操作實時審計報警。

　　數(shù)據(jù)傳輸：針對用戶個人賬戶數(shù)據(jù)和云端生產數(shù)據(jù)兩種不同的數(shù)據(jù)對象，分別從用戶端到云端、云端各服務間、云服務到云服務控制系統(tǒng)三個層次進行傳輸控制。其中個人賬戶數(shù)據(jù)從客戶端到云端傳輸均采用ssl加密，從云端各子系統(tǒng)間、云服務到云服務控制系統(tǒng)間均采用程序加密保證客戶個人賬戶數(shù)據(jù)云端不落地。云端生產數(shù)據(jù)從用戶端到云端傳輸均只可通過VPN或專線進行，云端存儲應采用服務端加密并支持用戶自行密鑰加密數(shù)據(jù)后云端存儲。

　　數(shù)據(jù)存儲：所有用戶云端生產數(shù)據(jù)不論使用何種云服務應采用碎片化分布式離散技術保存，數(shù)據(jù)被分割成許多數(shù)據(jù)片段后遵循隨機算法分散存儲在不同機架上，并且每個數(shù)據(jù)片段會存儲多個副本。云服務控制系統(tǒng)應依據(jù)不同客戶ID隔離其云端數(shù)據(jù)，云存儲可依據(jù)客戶對稱加密對進行云端存儲空間訪問權限控制，保證云端存儲數(shù)據(jù)的最小授權訪問。

　　數(shù)據(jù)隔離：政務云數(shù)據(jù)隔離應分為物理資源隔離、云端資源隔離兩個方面。物理資源隔離方面針對行業(yè)監(jiān)管要求構建政務云專屬集群，并采用鐵籠包圍結合掌紋識別實現(xiàn)同公有云集群物理隔離和訪問控制。云端資源隔離方面針對同一物理服務器上的不同虛擬主機可在其生產環(huán)節(jié)由可云服務器的生產系統(tǒng)依據(jù)訂單自動給每個用戶的云服務器打上標簽，不同的用戶間通過由數(shù)據(jù)鏈路層和網(wǎng)絡層訪問控制技術組成的安全組進行隔離；采用虛擬化重定向技術（沙盒技術）隔離云平臺內承載信息資源的虛擬主機對平臺物理資源的直接訪問。不同客戶的數(shù)據(jù)庫服務通過實例隔離，僅給客戶分配實例權限。我們通過二層隔離技術，讓不同的用戶處于不同的私網(wǎng)。同時，只允許以太網(wǎng)承載白名單中的上層協(xié)議如ARP、IPV4，其它的一概禁止。最后為防范云服務器被入侵后成為對外攻擊源，我們過濾了ARP、IPV4或者以太網(wǎng)協(xié)議的任何欺騙性質的攻擊報文，并且對云服務器對外的高危端口的訪問速度做了偵測。

　　數(shù)據(jù)銷毀：政務云應采用高級清零手段在用戶要求刪除數(shù)據(jù)或設備在棄置、轉售前將其所有數(shù)據(jù)徹底刪除。針對云計算環(huán)境下因大量硬盤委外維修或服務器報廢可能導致的數(shù)據(jù)失竊風險，數(shù)據(jù)中心全面貫徹替換磁盤每盤必消、消磁記錄每盤可查、消磁視頻每天可溯的標準作業(yè)流程，強化磁盤消磁作業(yè)視頻監(jiān)控策略，聚焦監(jiān)控操作的防抵賴性和視頻監(jiān)控記錄保存的完整性。

　　以上介紹了從外部安全攻防和內部數(shù)據(jù)安全分別如何構建政務云的云安全體系，但作為行業(yè)用戶要使用云平臺，并將關鍵數(shù)據(jù)放入云中，就需要對云服務商有所信任。如果構建這樣的信任關系？第三方權威認證是很必要的�？紤]到政務行業(yè)的監(jiān)管特點，我們認為等保、ISO27001、云安全國際認證（CSA-STAR）分別覆蓋了國內、國際、云安全這三個方面的合規(guī)安全要求，拿等保來講云服務商應保證其提供的云服務支撐系統(tǒng)通過公安部信息系統(tǒng)等級保護三級評測；ISO27001方面云服務商提供的云服務不但應將相關的物理基礎納入認證范圍，更應將所提供的云服務信息安全管理過程體現(xiàn)在證書上，以便用戶從開發(fā)、設計、運維和交付個環(huán)節(jié)驗證云服務的安全性；最后重點介紹下云安全國際認證（CSA-STAR），這是一項全新而有針對性的國際專業(yè)認證項目，由全球標準奠基者——英國標準協(xié)會（bsi）和國際云安全權威組織云安全聯(lián)盟（CSA）聯(lián)合推出，旨在應對與云安全相關的特定問題。其以ISO/IEC 27001認證為基礎，結合云端安全控制矩陣CCM的要求，運用成熟度模型和評估方法，對提供和使用云計算的任何組織，綜合評估組織云端安全管理和技術能力，最終給出“不合格-銅牌-銀牌-金牌”四個級別的獨立第三方外審結論。就安全認證來講也是首度通過引入成熟度評估來實現(xiàn)對云服務商安全管理能力的量化、持續(xù)評價，能有助于用戶了解各云服務商對照業(yè)界最佳實踐的具體差距，提升云服務商安全管理的透明度。阿里云已早在去年獲得全球首張云安全國際認證（CSA-STAR）金牌，這是bsi向全球云服務商頒發(fā)的首張金牌。這也是中國企業(yè)在信息化、云計算領域安全合規(guī)方面第一次取得世界領先成績。

　　總結下今天分享，政務行業(yè)真正需要的云應該具備以下幾點：

　　1、 低成本可彈性擴展架構、高精度的大數(shù)據(jù)運用技術、大規(guī)模DDoS防御能力、全方位的安全服務內容；

　　2、 云服務具備完整的數(shù)據(jù)安全保護能力；

　　3、 全面符合國家、國際、云安全合規(guī)要求。

　　希望通過這次分享，能使各位不但能了解政務行業(yè)實際的安全需求、政務云應該如何構建，更能體會到云在安全防御上給廣大用戶帶來的價值。

　　若非建云、焉知安全；若非安全、焉敢入云。