引言：為強化各方在構建和配置云基礎設施的網絡安全責任，美國國家安全局（NSA）、網絡安全與基礎設施安全局（CISA）于2021年10月出版了《5G云基礎設施安全指南》。指南共四部分，主要應用威脅的方法來識別和緩解5G網絡中使用云技術帶來的風險，并提出用于強化5G云基礎設施的安全建議。這些建議針對構建和配置5G云基礎設施的服務提供商和系統集成商，包括核心網絡設備供應商、云服務提供商、集成商和移動網絡運營商、用戶，要求以“安全責任共享”的方式來分擔安全責任，強調各方必須安全地構建和配置5G云基礎設施。

本文簡要介紹了《5G云基礎設施安全指南》描述的最大安全風險，并結合行業混云架構的特點、優點，針對《5G云基礎設施安全指南》中已公布的重大風險威脅和漏洞，使用APT攻擊手法初略分析了影響行業混云安全的主要因素。以期為行業在一體化平臺建設階段探索“共建共享共治” 的混云安全標準提供參考。

一、云基礎設施安全指南

持久安全框架（ESF）在2020年夏季舉辦了一個由政府和行業專家組成的5G研究小組，旨在探索5G基礎設施固有的潛在威脅風險和漏洞。根據初步分析和威脅評估研究小組得出結論，5G云基礎設施安全面臨的最大安全風險可分為四個部分。第一部分：防止和檢測橫向運動；檢測云中的惡意網絡參與者活動，防止參與者利用單個云資源的漏洞來危害整個網絡。第二部分：安全隔離網絡資源；確保客戶資源之間存在安全隔離，重點是保護支持虛擬網絡功能運行的容器堆棧。第三部分：保護傳輸中、使用中和靜止的數據；確保網絡中數據在生命周期的所有階段（靜止、傳輸、處理中、銷毀時）都得到保護。第四部分：確保基礎設施的完整性；確保未經授權不得修改云資源（例如，容器映像、模板、配置）。

特此申明：1）為防范0day攻擊，本文未對《5G云基礎設施安全指南》四部分中公布的風險威脅和漏洞列舉、介紹，有興趣的讀者可在NSA、CISA官網查閱；2）關于APT攻擊，即高級可持續威脅攻擊,也稱為定向威脅攻擊，指某組織對特定對象展開的持續有效的攻擊活動。APT攻擊可以分為攻擊準備、入侵實施、后續攻擊三個環節，本文使用APT攻擊手法主要是指攻擊準備環節的信息獲取、分析、薄弱環節定位；3）針對行業混云架構研究僅是個人研究行為，獲取的相關信息均通過互聯網公開信息取得。

二、行業多云異構現況分析

首先在信創背景下，信創架構和X86架構將長期共存，這直接確定了行業云技術架構底層（IaaS）的異構場景；其次現階段使用的有行業云平臺（阿里云）、行業統一平臺（前置環境vmware云）、信創平臺（騰訊云Tstack）三種及以上多云異構的云平臺技術；加之大量業務系統將逐步遷移至信創云或行業云平臺，多云之間會通過專線或VPN網關互聯。從而滿足NIST（美國國家標準與技術研究院）對混合云的定義：多個云之間互聯的IT 架構，既混合云需要通過專線或 VPN 來連接各個相關云，而多云則不必（Gartner之前將混合云定義為混合的IT架構）。混合云泛指使用同一技術架構的私有云和公有云，多云異構也屬于混合云。

混合云是近幾年來被經常提及的一種新的云架構體系，是當前較為適合國內外數據安全保護法律（《中華人民共和國網絡安全法》《歐盟通用數據保護條例》《美國網絡安全信息共享法案》）要求的，是被眾多企業強烈的安全應用需求推出來的，已成為大多數企業尤其是大中型企業的長期策略和現實。

三、混云架構特點、優點、缺點

混云架構通常是企業為規避過度依賴單一云服務提供商策略的一部分，其特點、優點較為明顯。

3.1混云架構的主要特點

1）借助多云API管控平面的融合相對比較容易；

2）IaaS層融合需要資源抽象屏蔽各云之間的細節，因各云服務提供商之間IaaS層產品差異較大，融合時會犧牲云的一些特性。

3）IaaS層數據面融合存在很多困難，對于PaaS層融合，如果兩側平臺一致，如都是K8S，則云平臺數據面融合比較容易。

3.2混云架構的主要優點

4）業務架構設計不用擔心被某一云服務提供商綁定，可優先選用云原生架構。

5）可以制定更靈活的成本策略，比如合理利用各云服務提供商的產品價格差異來降低企業 IT成本。

6）對數據安全性會有進一步的保障，數據容災、備份存在更多的地域選擇，同時也能規避云服務提供商自身的一些數據安全缺陷，如企業將數據備份到不同云平臺，當某一個云平臺由于軟件缺陷導致數據丟失，那么另一個云平臺的數據可提供數據恢復。

3.3混云架構的主要缺點

混云作為一個覆蓋私有云、專有云、以及線下IDC 的云計算綜合體，在帶來單一云形態所不具備的優越性同時，也會對業務系統的上云設計、實施部署提出更高的安全要求。以至于在做業務系統上云設計時，技術人員會心生埋怨地將“1+1+N，解讀為1朵云、2朵云、N多云”。由此可見混云在滿足大安全戰略的同時，極大的增加了業務系統架構設計、實施部署的技術難度（如，邊端設計、安全設計、容災備份等）；而混云工業或事實上的標準規范缺乏，各云服務提供商都以自己的產品為中心、各自為政，在業務系統構架設計或實施部署時，云服務提供商、集成商、用戶等任一方的疏漏或違規操作都將產生極大安全風險。

四、影響行業混云安全的主要因素

?? ?在行業混云環境下，由于邊界的延伸，其安全架構的復雜度要高于單一專有云或私有云的安全架構，且與傳統IDC安全架構有明顯區別。結合指南發布的5G云基礎設施安全面臨的最大安全風險，通過分析混云架構存在的薄弱環節，不難發現影響行業混云安全的主要因素有如下幾項：

4.1安全防護邊界擴大

在混云模式下，安全防護邊界問題更加突出。主機安全、應用安全和數據安全的風險依舊存在，而在網絡層，由于業務上云及分布式設計需要，網絡層面通過租用運營商專線或VPN隧道打通多云或云上云下環境，使得安全邊界變得更大、更模糊，跨可用區甚至跨地域進行云資源彈性伸縮，又極大地拓寬了云邊端的資源邊界。如，在業務系統上云時，行業云平臺與行業前置環境數據交互，若忽略數據加密傳輸或密鑰管理安全防護，邊界風險將沿著專線鏈路擴展；一體化平臺邊端基于K8S的容器虛擬機部署，若采用云平臺默認設置或關閉云安全組件配置，安全風險將由邊端向數據中心擴散等。

4.2安全權責劃分過粗

通常情況下業務系統上云就存在安全權責界定問題。雖然有諸如等級保護2.0、《云計算擴展要求》《云計算安全責任共擔模型》等國家標準和行業規范對不同對象進行責任界定或共擔，但實際上安全能力和策略都會受限于云平臺的支持，且國內的等級保護、安全測評等安全標準欠缺對安全權責的細化描述。在行業混云架構模式下，IT環境更為復雜、引入的權責方更多，使得責任界定更加困難。如，在上云過程中ECS服務器（容器）負載均衡設置、彈性伸縮、安全組等功能配置是由云服務提供商、集成商還是應用開發商又或是用戶自行設定；云服務提供商是否對應用開發商、用戶提供了安全策略配置建議；集成商、應用開發商為便于自身工作開展是否在開發、部署等階段關閉或禁用安全組件功能等。

4.3安全策略因云而異

由于不同云平臺技術架構之間的壁壘問題十分嚴重，安全能力、安全策略顆粒度、安全操作習慣等均存有較大差異。用戶難對混云環境進行統一的安全防護策略下發并及時感知混云的安全事件，難以通過統一的視角對龐大的安全資產進行運維和管理。極有可能因為安全防護策略不統一導致安全管理疏漏帶來新的安全風險。如，各云平臺服務提供商的安全組件能力不一致，需基于各云平臺獨立配置安全組件功能；云原生與阿里、騰訊、VMWARE平臺開發環境不一致需針對不同開發環境設置安全策略及安全預警等。

4.4安全投入成本高昂

遵循IATF縱深防御思想來投入所有云環境業務系統雖然是理想的建設思路，但通常投入成本太過高昂。不同云平臺技術體系，需購置與之配套的云安全組件，且在管理和配置上無法直接實現聯動，還需配備熟悉各云平臺的安全技術人員。因此用戶可能選擇忽略某些云上的安全投入，使之成為整個組織安全能力的薄弱環節。如，阿里云、騰訊云、VMWARE云平臺不僅需分別配置云平臺安全組件防護能力，還需投入保障各平臺安全運營的技術人員成本；按照零信任安全架構還要投入基于用戶、設備、API、應用等可信訪問控制改造或重構成本；私有云用戶通常會忽略DDOS高防、CNAME域名指向等安全功能，以至于通過搜索引擎及DNS命令就能精準定位公網IP實施攻擊。

4.5安全融合尚未成型

統一安全運營平臺逐漸得到大家的認可，一般來講安全運營包含安全能力管理、流程梳理、處置溯源閉環及安全服務等維度。而安全廠商的弊端在于安全能力的豐富度，幾乎很難有安全廠商的產品能力都達到業內先進水平且可以覆蓋所有的品類，安全產品能力融合難。其次云平臺雖具備豐富的安全能力，但資產分散到混合云之后云服務提供商的接口信息、監控數據等格式不統一，各類安全組件與混云平臺適配融合較難；再次安全運營需統一運維入口，同時結合多云安全管理組件實現融合管理，讓本來就屬于“奢侈品”的安全運營更難落地。如將CASB/SASE等模式、EDR/CWPP等新概念或產品應用到混合云場景; 將零信任網絡訪問控制策略顆粒度、操作習慣統一，實現安全管理簡單化，推動安全能力可分發、可編排，同時將流程管理和安全服務整合等。

五、結語

攻擊發起方通常會針對行業混云安全架構的特點、缺點、已發布的風險提示、漏洞等分析薄弱環節，選定最佳攻擊路徑。結合《5G云基礎設施安全指南》公布的重大風險威脅和漏洞，獲取行業一體化平臺試點單位客戶數據已有可能。

混云允許企業根據合規性、審計、政策或安全需求，選擇工作負載和數據的存放位置，在有效降低數據安全風險的同時，避免被單一服務商技術架構綁定——這是大多數企業選擇混云的根本原因。但構成混云的各種環境都是廣泛高度互聯的、獨一無二的業務應用實體，不存在通用的混云安全架構、防護措施。行業混云架構在探索、創新的同時，如何更快、更好、更強的構建和管理混云安全，還需學習國內外企業在混云風險評估、安全管理、安全研究、安全運營、安全開發等方面的經驗積累。