软件定义边界 在 IaaS 中的应用 由 SDP 工作组提交 h t i g b u m o c . 5 1 h t i g b u ©2016 云安全联盟-版权所有保留所有权利。 m o c . 5 您 可 以 在 电 脑 和 手 机 等 终 端 下 载 、 存 储 、 显 示 本 报 告 ， 以 及 链 接 到 云 安 全 联 盟 官 方 网 站 上 （HTTPS://cloudsecurityalliance.org/download/international-standardization-council-policies-procedures）查看并打印本 报告，但必须遵从如下条款： （a）本报告可单独用于个人、获取信息为目的，非商业盈利使用； （b）本报告不能以任何方式被改变或修正后再转发； （c）本报告不允许在未被授权情况下大量分发或转发； （d）商标、著作权或者其他条款不得删除。根据《美国版权法》合理使用条款，您可引用所允许的部分报告内容，但必须将引用 部分注明来源于《国际标准化理事会政策与程序》。 SDP 工作组 | 软件定义边界在 IaaS 中的应用 ©2017 云安全联盟 – 版权所有 2 致谢 在此，我们由衷地感谢所有为《软件定义边界在 IaaS 中的应用》提供意见和反馈的个人，您的 贡献对这份报告带来了更多的价值和意义。 谢谢您们！ 主要作者: Jason Garbis Puneet Thapliyal SDP 联合主席: Bob Flores Junaid Islam 编辑: John Yeoh 共同审稿人： Brent Bilger Vince Campitelli Matthew Carter Aradhna Chetal Gerald Greer Kevin Fletcher Jeff Huegel Scott Kennedy Juanita Koilpillai Dan Logan Nya Murray Elamurian R Vijay Rangayyan John Reel Reza Reza Colin Robbins Puneet Thapliyal Yoshio Turner Flavio Villanustre Manish Yadav Erkki Yli-Juuti Xing Zhang h t i g b u m o c . 5 设计者: Stephen Lumpe (封面设计者) Kendall Scoboria SDP 工作组 | 软件定义边界在 IaaS 中的应用 ©2017 云安全联盟 – 版权所有 3 中文版翻译说明： 由 中国 云 安全 联盟(C-CSA) 秘书处组织翻译《软 件定义边界 在 IaaS 中的应 用 》（Software Defined Perimeter for Infrastructure as a Service），中国云安全联盟专家委员会专家翻译并 审校。 翻译审校工作专家：（按字母顺序排列） 组长：陈本峰 组员：于新宇 、马韶华 、姚凯 、沈传宝 、方伟 、莫展鹏 C-CSA 工作人员： 朱晓璐（C-CSA 研究助理） b u h t i g SDP 工作组 | 软件定义边界在 IaaS 中的应用 ©2017 云安全联盟 – 版权所有 m o c . 5 4 目录 致谢.......................................................................................................................................................................... 3 序言......................................................................................................................................................................... 7 目标......................................................................................................................................................................... 8 方法和范围............................................................................................................................................................. 9 执行摘要............................................................................................................................................................... 10 软件定义边界和云安全联盟提出的十二大安全威胁........................................................................... 11 IaaS 安全概述..................................................................................................................................................... 13 技术原理.............................................................................................................................................................. 14 IaaS 参考架构.......................................................................................................................................... 14 为什么 IaaS 安全性不同？................................................................................................................... 15 位置是另外一个属性........................................................................................................................... 15 唯一不变的是变化............................................................................................................................... 15 IP 地址难题......................................................................................................................................... 15 安全要求和传统安全工具....................................................................................................................... 16 跳板机：三思而后行........................................................................................................................... 19 为什么是 SDP 而不是 VPN.................................................................................................................... 20 虚拟桌面基础设施（VDI）................................................................................................................. 21 SDP 怎么解决这个问题？........................................................................................................................ 21 什么是软件定义边界（SDP）？......................................................................................................... 22 基于用户而不仅仅是 IP 地址的策略................................................................................................. 23 SDP 的优势................................................................................................................................................ 23 运维效率..