京东云安全运营服务白皮书

安全运营简介安全运营服务是安全团队通过十多年互联网电商安全经验自主研发的云安全运营平台，通过多层次、多维度的实时监控和离线分析，为云租户提供体系化的安全服务，解决出现的各种突发性安全事件，以增强云租户业务系统的抗风险能力，防止系统发生重大安全事件。1.1.安全运营服务目标安全运营服务针对云平台和云上租户应用的安全，提供安全监测与防御措施和工具，保障云平台和云上业务平稳、安全可靠的运行。并根据漏洞提供有针对性的安全修复方案，尽最大可能确保云租户业务系统在上云后不发生安全入侵事件，系统能够安全可靠的运行和帮助云租户安全、可靠的从现有环境迁移到云平台。1.2.服务范围为保障数据中心基础设施及云平台的安全稳定运行，由团队负责云平台日常运行与维护，并提供云平台的技术支撑及远程维护工作。租户云平台租户负责维护自身所有在云平台上搭建的应用系统和应用程序，如业务系统，杀毒软件，工具软件等。2.角色与职责2.1.角色团队租户2.2.各方职责团队保障云平台及云服务产品自身安全性提供租户互联网应用系统迁移上线安全规范提供基本的云平台安全运营服务：DDoS检测防护、WAF服务为租户提供有验证的第三方安全产品增值服务（需要租户另购）为租户提供上线前的对应用系统进行的人工的渗透测试和加固指导方案（需要用户另购）租户负责系统、应用的安全，包括防病毒、操作系统和应用服务软件的补丁升级、安全配置加固等安全运维工作自检所开发的应用代码的安全性、健壮性对于安全检查和接收题通告及时进行整改对云端应用进行日常安全运维，根据安全告警进行应急处理3.安全服务体系3.1.基础安全采用多层次、多维度的实时监控和离线分析手段，为业务平台提供业务安全、信息安全等层面的安全服务。包括：网络隔离、DDoS防护、WAF、入侵检测和漏洞扫描。将这些防护内容最大程度的基线化，并实现自动化的安全运维管理。3.2.安全生态云安全不是靠单一某个企业就能全部完成，云安全需要有云服务供应商、安全合作伙伴与用户的共同打造。希望通过构建云服务安全生态与云服务安全大数据共享平台来提升整个中国云计算安全服务能力，让的安全合作伙伴从单一安全产品功能和性能的比拼升级到云计算安全数据运营能力竞争，从业务角度洞悉安全问题，做到全面覆盖、合作共赢。云安全生态构建：为了保障云平台的安全，从底层云平台基础架构安全性入手，结合大数据处理的能力，以及业界最优秀的第三方安全厂商打造完整的安全生态圈，实现云平台，网络，系统，数据和应用系统安全的全面覆盖。透明、感知、可追溯：将让客户充分了解的安全风险控制技术，运维流程和管理方式，并针对重点客户开放安全数据接口，提供用户审计API，让用户真切感受到运维操作的合规性与安全保障措施，强化对安全运营保障能力的信任，提升用户安全感。大数据共享：有最佳的业务数据分析实践，结合信息安全行业特点，将为第三方安全合作伙伴打造云平台上的安全大数据分享平台，包括安全运营数据的分享与安全大数据分析平台的共享，是实现智能化的安全大数据分析和业务层面的用户安全态势感知。3.3.安全运营安全运营机制可以及时获知最新网络安全、监管、攻防手段，会在第一时间处理相关安全事件，保证平台的安全稳定及租户数据业务安全。4.安全运营服务内容安全运营服务体系主要分为两大板块：基础安全运营服务：依托平台防护体系提供的基础安全运营服务，为租户提供更专注、更可靠的基础安全运营服务。增值安全运营服务：在基础安全运营服务之上建立高级、定制化的保障服务，为租户提供更为专注性的服务。包括租户上云安全保障服务、高级应急响应服务、安全培训服务、安全咨询等服务。4.1.免费的基础安全运营服务包：序号服务内容内容描述是/否服务说明1DDoS流量防护√2网络安全DDoS攻击监测与防护处理√提供DDoS常见防御服务；提供基于攻击类型、攻击流量、时长等维度数据分析，便于取证、追溯及分析；3主机安全口令暴力破解√密码暴力破解扫描；4Web应用安全SQL注入、XSS跨站检测√Web漏洞扫描；提供建议安全防护策略；5安全防护改进根据实际场景提供安全防护改进建议√结合漏扫情况提供建议安全防护建议；4.2.收费的增值安全运营服务包：增值安全运营服务包是一种针对客户要求并对客户自身云上系统提供的有针对性的安全服务，意在更好的保护云上客户系统的安全。并针对用户云上系统基线加固、漏洞扫描、渗透测试、安全专家指导等一系列风险评估及安全保障工作。（具体服务采购方式请联系销售团队人员）序号安全服务类别安全服务内容服务类型系统环境安全扫描及加固应用系统安全扫描及加固迁移配置检查checklist漏洞扫描详细报告及整改建议1云安全保障服务安全专家渗透测试人工、远程2高级应急响应根据政务云系统发生的安全事件，尽快恢复系统的可用性、保密性和完整性人工、远程云安全运维3安全培训服务应用安全与软件开发安全培训人工、远程4信息安全咨询服务信息安全咨询服务远程、现场优势12年互联网商城安全攻防经验安全应急响应中心JSRC全体系、全流程、主动式安全服务客户收益通过上述服务可以让最终租户在云平台中清楚、全面的了解自身系统的安全风险，明确自身系统安全短板，纠正安全改进的方向。根据前期安全扫描报告发现的安全问题，进行安全优化建议，并通过安全测试验证安全优化效果。提升信息系统安全防护能力,让最终租户安全、可靠、放心的使用云上应用系统。5.服务保障能力框架安全运营流程基于PDCA的持续改进过程不断循环迭代，持续优化服务能力和提高服务效率。运营流程全面的涵盖了安全运营方案的制定、实施、交付以及安全运营方案和产品的持续改进，形成了完整的安全运营能力提升的闭环。并通过这个闭环过程保障安全运营过程不断优化、提升和完善，最终帮助租户从业务安全角度实现云上业务的安全保障。安全运营团队依托安全产品服务和安全运营标准，为租户提供有效充分全方位的安全保障。包含：安全监测、安全防御、安全审计、安全服务4大类(如下图)。提供全方位、充分的安全运营服务保障。6.服务等级协议（SLA）I级重大安全事件I级重大安全事件标准符合以下一项或多项标准：50%及以上的客户受到不良影响；无法正常对外提供服务时间超过12小时；对的信誉造成恶劣影响的事件；引起监管部门或社会公众严重关注的事件；需要集团高级管理层直接处置的事件；参考场景电信、联通、移动运营商网络链路中断；（骨干网调整、物理链路损坏）IDC场所遭遇重大灾难完全失效；（地震、爆炸、洪水）对外官网页面被篡改；（反动信息）被DDoS攻击、入侵;II级较大安全事件II级较大安全事件标准符合以下一项或多项标准：30%以上的客户受到不良影响；无法正常对外提供服务时间超过6小时；引起合规风险、较大财务损失，且预计6小时内无法恢复；对的信誉造成恶劣影响的事件；需要集团高级管理层直接处置的事件；参考场景被DDoS小规范攻击、入侵；电信、联通、移动运营商网络链路抖动；（骨干网调整）利用平台发布违规信息；利用平台开设违规网站提供服务等；III级一般安全事件III级一般安全事件标准符合以下一项或多项标准：10%以上的客户受到不良影响；无法正常对外提供服务时间超过3小时；引起合规风险、较大财务损失，且预计3小时内无法恢复；对的信誉造成恶劣影响的事件；参考场景硬件设备突发故障；基础架构调整；被DDoS小规范攻击、入侵；电信、联通、移动运营商网络链路抖动；（骨干网调整）