引言：为强化各方在构建和配置云基础设施的网络安全责任，美国国家安全局（NSA）、网络安全与基础设施安全局（CISA）于2021年10月出版了《5G云基础设施安全指南》。指南共四部分，主要应用威胁的方法来识别和缓解5G网络中使用云技术带来的风险，并提出用于强化5G云基础设施的安全建议。这些建议针对构建和配置5G云基础设施的服务提供商和系统集成商，包括核心网络设备供应商、云服务提供商、集成商和移动网络运营商、用户，要求以“安全责任共享”的方式来分担安全责任，强调各方必须安全地构建和配置5G云基础设施。

本文简要介绍了《5G云基础设施安全指南》描述的最大安全风险，并结合行业混云架构的特点、优点，针对《5G云基础设施安全指南》中已公布的重大风险威胁和漏洞，使用APT攻击手法初略分析了影响行业混云安全的主要因素。以期为行业在一体化平台建设阶段探索“共建共享共治” 的混云安全标准提供参考。

一、云基础设施安全指南

持久安全框架（ESF）在2020年夏季举办了一个由政府和行业专家组成的5G研究小组，旨在探索5G基础设施固有的潜在威胁风险和漏洞。根据初步分析和威胁评估研究小组得出结论，5G云基础设施安全面临的最大安全风险可分为四个部分。第一部分：防止和检测横向运动；检测云中的恶意网络参与者活动，防止参与者利用单个云资源的漏洞来危害整个网络。第二部分：安全隔离网络资源；确保客户资源之间存在安全隔离，重点是保护支持虚拟网络功能运行的容器堆栈。第三部分：保护传输中、使用中和静止的数据；确保网络中数据在生命周期的所有阶段（静止、传输、处理中、销毁时）都得到保护。第四部分：确保基础设施的完整性；确保未经授权不得修改云资源（例如，容器映像、模板、配置）。

特此申明：1）为防范0day攻击，本文未对《5G云基础设施安全指南》四部分中公布的风险威胁和漏洞列举、介绍，有兴趣的读者可在NSA、CISA官网查阅；2）关于APT攻击，即高级可持续威胁攻击,也称为定向威胁攻击，指某组织对特定对象展开的持续有效的攻击活动。APT攻击可以分为攻击准备、入侵实施、后续攻击三个环节，本文使用APT攻击手法主要是指攻击准备环节的信息获取、分析、薄弱环节定位；3）针对行业混云架构研究仅是个人研究行为，获取的相关信息均通过互联网公开信息取得。

二、行业多云异构现况分析

首先在信创背景下，信创架构和X86架构将长期共存，这直接确定了行业云技术架构底层（IaaS）的异构场景；其次现阶段使用的有行业云平台（阿里云）、行业统一平台（前置环境vmware云）、信创平台（腾讯云Tstack）三种及以上多云异构的云平台技术；加之大量业务系统将逐步迁移至信创云或行业云平台，多云之间会通过专线或VPN网关互联。从而满足NIST（美国国家标准与技术研究院）对混合云的定义：多个云之间互联的IT 架构，既混合云需要通过专线或 VPN 来连接各个相关云，而多云则不必（Gartner之前将混合云定义为混合的IT架构）。混合云泛指使用同一技术架构的私有云和公有云，多云异构也属于混合云。

混合云是近几年来被经常提及的一种新的云架构体系，是当前较为适合国内外数据安全保护法律（《中华人民共和国网络安全法》《欧盟通用数据保护条例》《美国网络安全信息共享法案》）要求的，是被众多企业强烈的安全应用需求推出来的，已成为大多数企业尤其是大中型企业的长期策略和现实。

三、混云架构特点、优点、缺点

混云架构通常是企业为规避过度依赖单一云服务提供商策略的一部分，其特点、优点较为明显。

3.1混云架构的主要特点

1）借助多云API管控平面的融合相对比较容易；

2）IaaS层融合需要资源抽象屏蔽各云之间的细节，因各云服务提供商之间IaaS层产品差异较大，融合时会牺牲云的一些特性。

3）IaaS层数据面融合存在很多困难，对于PaaS层融合，如果两侧平台一致，如都是K8S，则云平台数据面融合比较容易。

3.2混云架构的主要优点

4）业务架构设计不用担心被某一云服务提供商绑定，可优先选用云原生架构。

5）可以制定更灵活的成本策略，比如合理利用各云服务提供商的产品价格差异来降低企业 IT成本。

6）对数据安全性会有进一步的保障，数据容灾、备份存在更多的地域选择，同时也能规避云服务提供商自身的一些数据安全缺陷，如企业将数据备份到不同云平台，当某一个云平台由于软件缺陷导致数据丟失，那么另一个云平台的数据可提供数据恢复。

3.3混云架构的主要缺点

混云作为一个覆盖私有云、专有云、以及线下IDC 的云计算综合体，在带来单一云形态所不具备的优越性同时，也会对业务系统的上云设计、实施部署提出更高的安全要求。以至于在做业务系统上云设计时，技术人员会心生埋怨地将“1+1+N，解读为1朵云、2朵云、N多云”。由此可见混云在满足大安全战略的同时，极大的增加了业务系统架构设计、实施部署的技术难度（如，边端设计、安全设计、容灾备份等）；而混云工业或事实上的标准规范缺乏，各云服务提供商都以自己的产品为中心、各自为政，在业务系统构架设计或实施部署时，云服务提供商、集成商、用户等任一方的疏漏或违规操作都将产生极大安全风险。

四、影响行业混云安全的主要因素

    在行业混云环境下，由于边界的延伸，其安全架构的复杂度要高于单一专有云或私有云的安全架构，且与传统IDC安全架构有明显区别。结合指南发布的5G云基础设施安全面临的最大安全风险，通过分析混云架构存在的薄弱环节，不难发现影响行业混云安全的主要因素有如下几项：

4.1安全防护边界扩大

在混云模式下，安全防护边界问题更加突出。主机安全、应用安全和数据安全的风险依旧存在，而在网络层，由于业务上云及分布式设计需要，网络层面通过租用运营商专线或VPN隧道打通多云或云上云下环境，使得安全边界变得更大、更模糊，跨可用区甚至跨地域进行云资源弹性伸缩，又极大地拓宽了云边端的资源边界。如，在业务系统上云时，行业云平台与行业前置环境数据交互，若忽略数据加密传输或密钥管理安全防护，边界风险将沿着专线链路扩展；一体化平台边端基于K8S的容器虚拟机部署，若采用云平台默认设置或关闭云安全组件配置，安全风险将由边端向数据中心扩散等。

4.2安全权责划分过粗

通常情况下业务系统上云就存在安全权责界定问题。虽然有诸如等级保护2.0、《云计算扩展要求》《云计算安全责任共担模型》等国家标准和行业规范对不同对象进行责任界定或共担，但实际上安全能力和策略都会受限于云平台的支持，且国内的等级保护、安全测评等安全标准欠缺对安全权责的细化描述。在行业混云架构模式下，IT环境更为复杂、引入的权责方更多，使得责任界定更加困难。如，在上云过程中ECS服务器（容器）负载均衡设置、弹性伸缩、安全组等功能配置是由云服务提供商、集成商还是应用开发商又或是用户自行设定；云服务提供商是否对应用开发商、用户提供了安全策略配置建议；集成商、应用开发商为便于自身工作开展是否在开发、部署等阶段关闭或禁用安全组件功能等。

4.3安全策略因云而异

由于不同云平台技术架构之间的壁垒问题十分严重，安全能力、安全策略颗粒度、安全操作习惯等均存有较大差异。用户难对混云环境进行统一的安全防护策略下发并及时感知混云的安全事件，难以通过统一的视角对庞大的安全资产进行运维和管理。极有可能因为安全防护策略不统一导致安全管理疏漏带来新的安全风险。如，各云平台服务提供商的安全组件能力不一致，需基于各云平台独立配置安全组件功能；云原生与阿里、腾讯、VMWARE平台开发环境不一致需针对不同开发环境设置安全策略及安全预警等。

4.4安全投入成本高昂

遵循IATF纵深防御思想来投入所有云环境业务系统虽然是理想的建设思路，但通常投入成本太过高昂。不同云平台技术体系，需购置与之配套的云安全组件，且在管理和配置上无法直接实现联动，还需配备熟悉各云平台的安全技术人员。因此用户可能选择忽略某些云上的安全投入，使之成为整个组织安全能力的薄弱环节。如，阿里云、腾讯云、VMWARE云平台不仅需分别配置云平台安全组件防护能力，还需投入保障各平台安全运营的技术人员成本；按照零信任安全架构还要投入基于用户、设备、API、应用等可信访问控制改造或重构成本；私有云用户通常会忽略DDOS高防、CNAME域名指向等安全功能，以至于通过搜索引擎及DNS命令就能精准定位公网IP实施攻击。

4.5安全融合尚未成型

统一安全运营平台逐渐得到大家的认可，一般来讲安全运营包含安全能力管理、流程梳理、处置溯源闭环及安全服务等维度。而安全厂商的弊端在于安全能力的丰富度，几乎很难有安全厂商的产品能力都达到业内先进水平且可以覆盖所有的品类，安全产品能力融合难。其次云平台虽具备丰富的安全能力，但资产分散到混合云之后云服务提供商的接口信息、监控数据等格式不统一，各类安全组件与混云平台适配融合较难；再次安全运营需统一运维入口，同时结合多云安全管理组件实现融合管理，让本来就属于“奢侈品”的安全运营更难落地。如将CASB/SASE等模式、EDR/CWPP等新概念或产品应用到混合云场景; 将零信任网络访问控制策略颗粒度、操作习惯统一，实现安全管理简单化，推动安全能力可分发、可编排，同时将流程管理和安全服务整合等。

五、结语

攻击发起方通常会针对行业混云安全架构的特点、缺点、已发布的风险提示、漏洞等分析薄弱环节，选定最佳攻击路径。结合《5G云基础设施安全指南》公布的重大风险威胁和漏洞，获取行业一体化平台试点单位客户数据已有可能。

混云允许企业根据合规性、审计、政策或安全需求，选择工作负载和数据的存放位置，在有效降低数据安全风险的同时，避免被单一服务商技术架构绑定——这是大多数企业选择混云的根本原因。但构成混云的各种环境都是广泛高度互联的、独一无二的业务应用实体，不存在通用的混云安全架构、防护措施。行业混云架构在探索、创新的同时，如何更快、更好、更强的构建和管理混云安全，还需学习国内外企业在混云风险评估、安全管理、安全研究、安全运营、安全开发等方面的经验积累。