华为 FusionCloud 桌面云解决方案介绍 -- 安全领域

华为 FusionCloud 桌面云解决方案介绍-- 安全领域

2

华为桌面云商用案例华为桌面云商用案例

桌面安全现状及发展趋势桌面安全现状及发展趋势11

22

33

44

云计算带动桌面转型云计算带动桌面转型

Content

华为桌面云安全解决方案华为桌面云安全解决方案

3

外部入侵内部员工泄密

2013 年 6 月，前中情局（ CIA ）职员爱德华 · 斯诺登曝光美国国家安全局的“棱镜”项目。曝光美国政府监控全球的电子邮件、聊天记录等秘密资料。

2013 年 10 月，圆通速递被曝其近百万条快递单个人信息被兜售，不仅可在网络上购买到，单号数据信息还能 24 小时刷新。

2013 年 10 月，很多用户投诉中国国内航空公司，称其行程疑遭泄漏，导致用户受到诈骗，影响行程安排及出行安全。

内部信息安全不稳定因素已成为信息安全事件的主要原因

2013 年 6 月，前中情局（ CIA ）职员爱德华 · 斯诺登曝光美国国家安全局的“棱镜”项目。曝光美国政府监控全球的电子邮件、聊天记录等秘密资料。

2013 年 5 月，雅虎日本公司宣布，“雅虎日本”的管理系统疑招外部攻击，约 2200 万用户信息有可能遭窃取。建议用户重置密码。

2013 年 10 月， Adobe 公司宣布，由于其产品源代码上存在可被黑客利用的安全漏洞，致使其近 300 万客户的敏感信息及个人数据处于危险之中。

2013 年信息安全事件盘点

4

现有 IT 架构数据分散 , 管控难 ,PC 终端是主要泄密源

密码遗失 / 被盗用黑客入侵

软件补丁管理难病毒查杀繁复木马层出不穷

数据存放在终端硬盘上，硬盘损坏 / 设备丢失，造成数据丢失；

数据分散，人员接触数据的管控相对薄弱

外设 / 接口繁多USB 设备

打印机 / 扫描仪串口 / 并口 / 网口

数据传输中被截获业务连接遭攻击

硬盘

接口

软件

安全防护

网络

终端复杂化， PC 安全防护难度大；数据分散，留存本地，安全威胁多；

5

桌面多“鼠”多“机”

外网办公内网

保密专网

措施：内网、外网、专网，多网隔离效果：物理隔离，阻断跨网访问劣势：1 、多网隔离，多重布线，基础设施建设和维护

复杂；2 、专网专维，维护成本高，效率低，3 、业务扩展难，业务专网，新增业务穿墙打

洞，基础设施的投入和浪费巨大；4 、多网业务数据流转效率低，不同业务数据共

享在效率和安全上难两全，安全风险大；

6

终端肥胖症终端胖大，高功耗，高辐射，高噪音外设多，接口多，网络管控难，泄密途径多，

防不胜防防病毒、个人防火墙、进程保护、防木马，

USB KEY ，终端加密软件，防非法外联，电脑已经不堪重负

终端上的软件、业务系统复杂化，用户或者本地 IT 维护无法自行安装调测，出现问题本地无法解决，远程维护难实施，维护人员满天飞满地跑

终端安全：终端肥胖症

某军工企业的一台主机发生蓝屏，用户重装系统后连接不上网络，原因是那些 801.1 接入认证，安全访问控制系统，USB 安装软件，进程保护软件不知道如何安装，说明书一大堆，既有安装顺序问题，也有需要改计算机操作系统配置文件问题，用户装了几遍只好放弃，公司为了装这一台电脑，来回打飞的解决

7

安全投入水涨船高，收效却低于预期

运维成本业务效率

安全投入

安全成果

安全不能承受之重

巨大投入

运行维护

业务效率

投入产出

安全防护系统日趋复杂和庞大，管理和运维难度增大，系统的运行和维护成本直线上升

安全和人员效率 / 业务效率成了矛盾体

投入持续增长，安全事件还是难以杜绝

每端安全投入 × 海量终端= 巨大安全投入安全投入成了无底洞

8

桌面云收益资源按需分配高安全高效率高可靠性低 TCO

云计算引领桌面进入“后 PC 时代”，使办公桌面及数据与终端分离，从根本上解决桌面困境。

存储数据

数据中心

计算资源数据中心

业务应用

数据中心

PC瘦客户机手机瘦客户机PC 笔记本 iPad

信息安全呼唤新的 IT 架构

安全资源和能力集中

分散管理集中管理

9

IT被欧美垄断，安全存在不可控隐患

国家信息安全，关键在拥有自主知识产权，掌握核心科技

排名公司名称经验范围国家1 苹果全球市值最大的智能手机制造商美国

2 谷歌全球最伟大的互联网公司美国

3 三星全球最大的智能手机制造商韩国

4 微软全球最大的 PC 软件系统服务提供商美国

5 IBM 全球最大的信息技术和业务解决方案公司美国

6 甲骨文球最大的企业软件公司和数据库提供商美国

7 亚马逊全球最大的电子商务公司美国

8 高通全球最大的无线通信技术研发公司和智能手机 CPU 制造商

美国

9 思科全球最大的互联网解决方案美国

10 英特尔全球最大的半导体芯片制造商美国

20 vmware 全球知名的虚拟化解决方案领导厂商美国

1 、国际互联网名称和编号分配公司由美国商务部所管理，全球 13 台根服务器， 12 台在美国，信息核心节点周转也在美国；2 、全球大部分用户经常使用的软硬件设备，信息的正常运行关键在于交换机、手机、芯片、系统等设备，大部分主流软硬件厂商均来自美国，用户在使用过程中，信息很容易被监听、过滤；3 、据斯诺登透露，从 2009 年开始，“棱镜”项目对准了中国内地和香港的电脑系统，他们潜入政府、企业以及学校的电脑系统，进行秘密监视活动，美国政府网络入侵中国网络成功率高达75% ，这与国内重要信息系统核心关键设备无法自主可控有密切关系；4 、在 1991 年海湾战争时期，美国将所有伊拉克国家域名的网站全部封锁，并激活预先安装在伊拉克军队打印机中的所有病毒；……

10

没有网络安全，就没有国家安全

1 、要有自己的技术，有过硬的技术；2 、要有丰富全面的信息服务，繁荣发展的网络文化；3 、要有良好的信息基础设施，形成实力雄厚的信息经济；4 、要有高素质的网络安全和信息化人才队伍；5 、要积极开展双边、多边的互联网国际交流合作。

“没有网络安全，就没有国家安全；没有信息化，就没有现代化。”

习近平，2014 年 2 月 27 日

11



22

33

44


Content


12

华为桌面云平台

应用程序操作系统

配置文件

硬件

构建共享资源池，统一管理，可靠，可扩展操作系统与硬件解耦，集中交付应用程序与操作系统解耦，集中交付数据与操作系统解耦，集中存储构建多层次安全体系，分布式控制

用户界面使用远程协议（例如 ICA 、 RDP 、PCoIP 、 HDP）传输到用户的终端设备上

终端设备大为简化：仅需要瘦客户机、键盘、鼠标、显示器

数据存储中心

应用交付中心

桌面交付中心

安全管理中心

桌面转型的目标－桌面云解决方案

13

应用系统

PC 机

虚拟桌面

瘦终端

应用系统

接入网关

操作系统和应用部署在终端，信息在本地保存和运行，容易被病毒攻击、恶意窃取。

终端与信息分离，桌面和数据在后台集中存储和处理，访问可控，传输到终端的仅是屏幕的刷新。

传统桌面：数据分散在每个终端云桌面：应用与数据被集中管理

安全：数据与终端分离，本地不留密

14

Linux WIN APP APP

企业分支 n企业分支 1 企业分支 2 企业分支 3 ……

管理员

企业分支 1

企业分支 2

企业分支 3

……

管理员

管理员

管理员

管理员企业分支 n

每个企业分支机构都需要在本地配备专业管理员；

效率低，人均维护 500 台终端；

只需在云平台集中配备管理员，终端免维护；专业运维工具易学易用，可视化运维；高效运维，人均可维护 1000~3000虚拟桌面；

桌面云

维护效率：桌面与终端分离，集中维护

15

局域网局域网跨楼宇

专线楼宇间的走动办公，不用跳转登陆，不用数据来回拷贝，只需带着账号或者 USBKey ，随时随地登陆

开发人员异地出差可不带数据，通过专线接入自己的桌面

统一的身份认证系统提供不同接入方式的安全性保障

总部

分支机构

楼宇间

工作效率：灵活跨地域访问

方案说明

16

� 物理服务器 1

主机、虚拟平台、虚拟机多方故障检测

物理服务器故障时自动重启虚拟桌面

虚拟桌面操作系统故障时自动重启

提高桌面故障恢复速度，降低业务中断时间，保障业务连续性，提高办公效率。

OS

APP

OS

APP

X � 物理服务器 2

OS

APP

OS

APP


OS

APP

OS

APP


OS

APP

OS

APP

OS

APP

3 分钟

2-4 小时

云办公桌面传统 PC 桌面

� 故障恢复时间

工作效率：故障快速恢复，减少业务中断时间

17

PC 生命周期短，通常 3 年淘汰；

PC配置变更管理复杂；

独占式资源使用模式，空闲时间资源闲置；

虚拟机配置灵活调整，瘦终端免配置，保证资产台帐与实物管理一致

操作系统

应用程序

VM

操作系统

应用程序

VM

瘦终端及服务器生命周期 5-8 年

根据虚拟机的需求，灵活调整其配置；

资源池模式，空闲时间资源可复用；

灵活升级：配置动态调整，减少硬件资源浪费

18

企业桌面云

公用桌面会议材料统一管理

分支机构办公桌面快速部署

外包开发桌面灵活发放回收

安全办公集中管理、高效运维

移动办公随时随地访问办公桌面

桌面云具有广泛的使用场景

19



22

33

44


Content


20

云计算带来新的安全威肋◆身份与安全管理应用系统和资源所有权的分离，导致云平台管理员可能访问用户数据

◆应用与数据安全不同安全需求的租户可能运行在同一台物理机上，传统安全措施难以处理

◆系统与虚拟化安全虚拟化平台运行在操作系统与物理设备之间，其设计和实现中存在漏洞风险

◆网络与边界安全网络边界的模糊化，传统的边界防护手段在虚拟网络中无法直接使用。

除传统威胁外，虚拟化、多租户和特权用户问题使得云数据中心面临更大风险！

资源池层

虚拟化平台

物理设备

服务器存储网络

应用系统办公应用管理应用业务应用

PORTAL

基础软件数据库应用中间件

操作系统

21

安全框架 –构筑端 - 管 - 云的立体安全防护体系

桌面云

客户端软件网络应用桌面应用

终端安全

多种用户接入认证（密码 /Ukey/指纹 /动态口令）

特定 TC 接入传输通道 SSL 加密桌面协议外设端口控制

接入控制 /传输安全

防火墙安全接入网关平面隔离入侵检测防护

网络安全

数据容灾备份虚拟机终端安全管理系统剩余数据彻底删除（磁盘 / 内

存）

数据安全

操作系统 / 数据库加固虚拟机防病毒安全补丁虚拟化隔离Web 安全

云平台安全

统一账户管理及认证日志审计堡垒主机，集中的维护入口和审计

分权分域三员分立

运维管理安全

TC 网络接入 802.1X认证TC 系统只读（重启系统复原）补丁和升级管理高度的系统裁剪和加固

桌面终端接入、网络平台、数据管理

用户验证信息用户个人数据企业办公数据

运维人员

User A

User B

22

终端接入安全 (TC 接入网络支持 802.1X认证 )

VM VM桌面门户

桌面协议

AD

4. VM登录AD 认证

AAA服务器

3. WI登录认证

1. TC 发起

到交换

机的

EAP-TLS 802.1下认

证.

交换机

2. 基于 Radius协议将认证信息转发到 AAA处理

用户 / 业务数据库

只有通过身份认证的 TC才能接入用户的桌面网络

方案特点1. 支持采用 EAP-TLS 的双向证书认证。2. TC 发起到交换机的基于 EAP-TLS 的

802.1x 的双向证书认证，交换机会将认证信息通过 Radius协议转发到 AAA

服务器。说明：如果客户安全性要求相对低，可采用基于 EAP-MD5 的用户名密码的 802.1x 认证，部署方案简单。采用证书认证方式需要企业部署证书系统。

数据安全网络安全传输安全接入安全终端安全平台安全管理安全

23

TC 加固，防止“病从口入”

定制操作系统界面

TC无法保存数据

无硬盘设计

仅提供桌面云相关的操作界面用户无法进行文件管理、命令行执行等常见操作不能使用屏幕拷贝

TC身份认证

TC X.509 数据证书认证

瘦终端采用精简的 OS固件，系统更为安全可靠

外设端口接入控制，限制存储类外设（ USB 存储、 USB 光驱）使用

端口控制


24

完善的用户接入身份认证

指纹认证

AD/ 非 AD认证

USB KEY

第三方系统智能卡+第三网关认证

丰富的认证方式，支持多级认证、双因子认证

AD

增强非ADWin7 本地认证

WinServer AD 认证


25

终端接入安全－固定 TC 接入固定 TC 接入：通过在 TC MAC地址 /MAC地址组与域用户 /域用户组之间建立绑定关系，实现指定域用户

/域用户组成员从固定 TC/TC组接入桌面。固定 TC 接入可以和WI任何一种认证方式同时使用。应用场景：在信息安全要求高的场合，只允许特定用户从固定地点的 TC登录包含敏感信息的虚拟桌面，以避免敏感信息在其它地方被查看。

方式一：手工录入

方式二：批量导入

桌面云管理员可以通过在ITA界面开启 TC绑定功能，并录入 TC MAC和用户的绑定关系

支持如下两种录入方式：

登录体验

桌面用户绑定给该用户的 TC

+

桌面用户未绑定给该用户的 TC

+X

被绑定到固定 TC 的桌面用户，只能从被绑定的 TC登录 WI ，而无法使用其他 TC登录桌面。

1.登录 WI 时， TC会将用户名，域名， MAC地址发送桌面云系统，检查 TC 是否与此用户绑定

2.与 ITA 的预存绑定信息相匹配，则允许去 AD鉴权，继续登录过程，否则不允许继续登录

3. 成功登录进入VM


26

传输通道加密，防止监听窃取

管理 Portal over HTTPS

用户通过 portal界面的访问传输通道都是加密的HDP over SSL

管理面信任域与非信任域之间全部 SSL加密

虚拟桌面

瘦终端

应用系统

SSL 加密管理网络

HTTPS 加密


27

虚拟桌面外设端口控制

各类端口作为独立的虚拟通道，实现灵活独立的端口控制策略

HDP协议可以对外设通道独立控制，可灵活实现信息安全USB 本地驱动器

支持客户端本地驱动器映射关闭。

USB 设备控制

支持 USB 端口打开与关闭。

USB驱动器

USB 外设VM

TC

开关策略可以应用到桌面组、单个虚拟桌面、单个用户


28

虚拟防火墙—— VSA, virtual service appliance 支持DHCP Server功能支持NAT/NAPT功能支持带状态的 ACL过滤功能支持 ASPF应用感知的报文过滤功能支持安全防攻击能力支持基于流量的统计 /限速功能支持 IPsec VPN

虚拟防火墙支持硬件 / 软件两形态：硬件一虚多：在这种部署下，若干个虚拟防火墙共用一个物理防火墙资源，但是在资源和管理上完全独立、互不影响。

软件 VSA：这种形式的虚拟化设备部署在某个 VM 上，以网关方式工作。提供REST 管理接口，管理员可以在云安全管理平台中配置安全策略，自动下发到相应的 VSA 上。

VLAN1

VM VM VM.......

VLAN3

VM VM VM.......

VLAN2

VM VM VM.......VSA/vFW

vFWvFW

vFWvFW

特点：功能丰富，按需部署

虚拟防火墙，边界隔离和访问控制数据安全网络安全传输安全接入安全终端安全平台安全管理安全

29

安全删除虚拟机、不留痕

业界模式：虚拟卷通过格式化方式清除数据，不彻底，可恢复，存在信息泄漏风险

用户 A

1 租用

2 使用

3退租

4 租用

虚拟卷

对虚拟卷每一个物理 Bit位清“零”

华为模式：对销户虚拟卷采用物理 Bit清零措施，确保数据不可恢复，杜绝信息泄漏风险

用户 A

1 租用

2 使用

3退租

用户 B

4 租用

5使用恢复软件，获取数据

虚拟卷

虚拟卷格式化，数据未完全清除

风险安全

用户 B

123@@#@！

123@@#@！

123#@！

123@@#@！

0000

0000


30

内存重分配清“ 0” ，消除内存泄密风险

计算机的内存一般在未掉电或重新刷新的情况下会保留上个阶段运算的信息。在云计算环境下内存的动态分配对安全是个极大威胁，许多高等级的攻击极有可能利用剩余信息通过极其复杂的技术来获得其它用户的敏感信息，虽然这种攻击的构建成本会较高，但是通过适当的技术可以有效地消除这种风险：在云操作系统将内存重新分配给用户的时候，云操作系统会对分配的内存作写“零”处理，从而保障在新启动的 VM 中恶意内存检测软件无法检测到有用信息

VM1 VM2

物理内存

释放的内存在hypervisor 内清零后再分配


31

内存分配模式根据安全要求可配置

VS

App

虚拟化层

物理硬件

App App App

虚拟机内存独占式分配

2G 2G 2G 2G

所需内存： 8G

物理硬件

App

虚拟化层

App App App

虚拟机内存共享式分配

2G 2G 2G 2G

所需内存： 6G

内存共享，写时复制VM1 VM2 VM3

物理内存

内存置换

Disk

VM VM

内存气泡VM1 VM2

内存气泡空闲

已使用

已使用

空闲

智能复用

内存独占模式：可以阻止内存复用，在这种模式下，每个虚拟化之间内存完全物理分开，相互之间不存在内存的复用，安全性最高。当然也牺牲了 VM 密集度和内存交换效率（约 30%）。


32

系统加固+ 补丁数据安全网络安全传输安全接入安全终端安全平台安全管理安全

由于软件存在 bug ，在安全上就可能引起相应的漏洞，通过对操作系统、数据库、应用的加固以及补丁管理，可以修补这些漏洞

通过严格的服务裁剪、网络端口扫描、操作权限及访问控制等措施，保证主机平台对外安全可靠

完整性保护安全测试安全配置

系统加固

操作系统加固

数据库加固

应用加固（Web加固）加固

领域

加固流程

具体方法

裁撤不必要的组

件、服务等　

代码遵从代码规范

遵从业界配置加固规范，如 CIS

采用业界扫描工具

如Appscan

完整性校验工具实

现审查

代码安全最小化裁剪

补丁管理防病毒

33

虚拟化资源隔离

基础设施隔离：管理平面、存储平面、业务平面物理网络隔离。虚拟化边界隔离：通过虚拟化防火墙实现数据中心的边界隔离和访问控制。提供ACL 、 Anti-DoS 、 IPsec VPN 等功能。虚拟化资源隔离：虚拟机之间通过 VLAN实现二层隔离，通过安全组实现三层隔离和访问控制。 VM IP和MAC绑定，防止 ARP欺骗攻击。

Guest OS

虚拟硬件

虚拟机 1 虚拟机 2

计算资源统一分配模块

1 2 1

1 1 2

2 2 1

OS

App

OS

App

vcpu1

vcpu1

vcpu2

……

vSwitchVM

VM

VM

VM

VM

VM

VM

VM

VM

VM

VM

VM

安全组 1 安全组 2 安全组 3

网络隔离： vSwitch支持 VLAN隔离，层次化QoS 控制

访问控制：基于安全组配置安全策略，自动应用到各成员 VM 。安全策略随虚拟机动态迁移。

0 资源隔离： CPU 、内存、磁盘 IO基于虚拟机进行隔离

vNic 安全：禁止混杂模式；MAC 、 IP地址禁止修改；避免欺骗攻击

提供虚拟机级别的访问控制手段，避免病毒、威胁在不同租户间扩散，防止威胁蔓延

智能、弹性安全防护， VM漂移、扩容无需人工配置安全策略

特点：层次化的安全防护

价值


34

虚拟化防病毒

虚拟桌面防病毒定时扫描在一个时间段内随机启动，避免杀毒风暴。扫描结果缓存：使用共享的 Insight Cache优化扫描，避免不同的 VM 扫描相同的文件。提升扫描效率、降低对用户 VM 的资源占用，提升用户体验。支持的产品：瑞星、 Symantec SEP12.01 及以上。


35

管理系统权限支持“三员分立”

安全管理员

安全审计员

系统管理员

安全管理用户审批权限管理

安全策略管理...

系统管理用户创建虚拟机管理

存储管理网络管理

...

超级管理员

技术特点三员分立，权限由系统管理员、安全

管理员、安全审计员分摊 (无超级管理员 ) 。管理员间的权限应相互制约、互相监督，避免由于权限过于集中带来的安全风险。

“三员分立”机制需在系统安装时指定，否则依然采用传统的超级管理员模式。

应用场景

满足国内涉密安全应用场景。等保标准 BMB17 中明确规定，系统要支持三员分立的管理。即实现系统管理

员、安全管理员、安全审计员的权限制衡。

日志审计日志查看日志导出


36

分权分域管理，防止越权管理

遵循NIST标准的 RBAC模型，支持分权分域管理，防止越权管理

集群 1

集群 2

FW

红区管理员

综合管理员

绿区管理员

管理网络

越权操作FusionSphereVM1 VM2 VM3

FusionSphereVM1 VM2 VM3



越权操作


37

“堡垒主机”实现管理员行为监控审计禁止

核心业务、数据服务器

核心业务、数据服务器

桌面云管理、数据服务器

合作商

桌面云系统 A运维人员

业务系统 B

业务系统 CUser B

User A

集中监控和审计

其他入口禁止

堡垒主机

各类管理系统统一入口。完善的日志审计，支持对图形终端、字符终端、数据库应用、文件传输等。提供实时视频监控录屏，对高危的操作（删除或重启等）可以实时的截断。可进行集中的用户管理、单点登录、密码定时更新等。

堡垒主机（华为 UMA ）需要单独购买

技术特点


38

FusionCloud 解决方案相关安全认证

39



22

33

44


Content


40

华为桌面云安全行业部分案例

行业项目名称突破产品办事处

党委BJ59项目桌面云产品，服务器虚拟化产品北京ZB 某研究所桌面云产品，服务器虚拟化产品系统部JXSW 桌面云桌面云产品南昌

军工

沈飞桌面云桌面云产品沈阳西飞一飞院桌面云桌面云产品西安中国商飞桌面云桌面云产品上海航天一院桌面云桌面云产品系统部中电 10所桌面云产品成都中电 30所桌面云产品成都

军队

天津 JBQ 桌面云产品天津

NJJQ ZBB 云计算桌面云产品南京

成都军区桌面云桌面云产品成都

南京军区 73908 部队桌面云产品南京

按照国家

保密要求，安全行业使用设备也

属于保密范围。因此

本页胶片严

禁传播，也

不要给客户展示

，仅供一线了解华为桌面云在安全行业的案

例，以便在与

客户进行口头交流

时，作为谈

资。如果想了

解案例细节，请

联系相关办事

处产品经理。

41

华为公司内部研发全面部署桌面云

信息安全事件减少 60%

运维效率提升 4倍，桌面故障投诉减少 55%

CPU 资源利用率提升 12倍，终端能耗降低 70％

42

航天某所部署安全桌面云

终端无密，端口受控，提高终端侧的安全水平

统一安全策略设置，增强终端的可管控性

无数据传送到终端，杜绝信息从终端和网络泄露

43

航空某单位部署安全桌面云

数据集中存储，统一管控，提升数据安全性

终端不留密，仅显示图像，杜绝终端泄密可能

资源集中管理、使用，提升资源利用率

Copyright©2012 Huawei Technologies Co., Ltd. All Rights Reserved.The information in this document may contain predictive statements including, without limitation, statements regarding the future financial and operating results, future product portfolio, new technology, etc. There are a number of factors that could cause actual results and developments to differ materially from those expressed or implied in the predictive statements. Therefore, such information is provided for reference purpose only and constitutes neither an offer nor an acceptance. Huawei may change the information at any time without notice.

HUAWEI ENTERPRISE ICT SOLUTIONS A BETTER WAY

45

FusionAccess 在公安部的证书

FusionAccessÖ¤Êé

华为 FusionCloud 桌面云解决方案介绍 -- 安全领域

Documents

Transcript of 华为 FusionCloud 桌面云解决方案介绍 -- 安全领域