Elastic Compute Service (ECS) インフラストラクチャのセキュリティには、物理マシンのセキュリティ、ハードウェアセキュリティ、および仮想化セキュリティの保護が含まれます。 ECSは、異常なログオン検出、Cloud security Scanner、ベースライン構成チェックなど、ホスト保護に不可欠なセキュリティ対策を提供し、潜在的なセキュリティ脅威を迅速に特定するのに役立ちます。
セキュリティ物理マシン
アリババクラウドのデータセンターは、GB50174 Code for Design of Electronic Information System RoomのクラスA規格およびデータセンターのTIA-942通信インフラストラクチャ規格のTier 3 + 規格に準拠して構築されている。
データセンターのディザスタリカバリには、火災および煙検出システム、デュアルユーティリティグリッド電源、冗長電源システム、および一貫した温度および湿度レベルを維持するためのホットスタンバイ冗長性を備えた精密エアコンが含まれます。
人事管理には、データセンターの部屋、電気測定ゾーン、保管エリアなどの分離されたエリアに対して、指紋やID検証などの二要素認証によるアクセス制御が含まれます。 物理的な隔離は、ケージに入れられた領域でさらに強化され、厳格なアカウント、ID、認証管理、義務の分離、およびアクセス制御によって補完されます。
O&M監査: セキュリティ監視システムは、データセンター全体にインストールされます。 本番システムでのO&M操作は、Bastionhostを介して独占的に行われ、ログプラットフォーム上のすべてのアクティビティの包括的なログ記録が行われます。
ストレージデバイス資産管理は、最小のストレージコンポーネントに細心の注意を払って詳述されており、それぞれが、ストレージメディアまたはそれらを含むデバイスの正確な場所のための一意のハードウェア識別でタグ付けされています。 ストレージメディアは、標準に従って安全な消去または物理的破壊を受けていない限り、データセンターまたは安全な領域を離れることは禁止されています。
データ破壊プロトコルは、NIST SP800-88セキュア消去基準に準拠する。 顧客サービスが終了すると、アリババクラウドは迅速にデータ資産を削除し、厳格な手順に従ってストレージメディアに複数のデータパージを実行し、データを完全に破棄します。
ネットワーク分離は、本番ネットワークと非本番ネットワークとの間で実施される。 ネットワークACLは、Alibaba Cloudサービスネットワークが物理ネットワークにアクセスできないようにします。 Bastionhostは本番ネットワークの境界に配置され、オフィスネットワーク担当者は、ドメインアカウントのパスワードと動的パスワードを使用した多要素認証を使用して、Bastionhostを介した管理操作の本番ネットワークにのみアクセスできます。
ハードウェアセキュリティ
ハードウェアセキュリティ強化には、ファームウェアベースラインスキャン、高性能GPUアクセラレーションインスタンスの保護、デバイスファームウェア署名検証、BMCファームウェア保護が含まれます。
機密コンピューティングは、基盤となるソフトウェアではなくプロセッサチップに基づく信頼のルートを用いて、ハードウェアの信頼された実行環境を活用する。 これにより、暗号化データが信頼できる実行環境内で排他的に処理され、堅牢なハードウェアベースのデータ保護が提供されます。
キーサーバー上のトラステッドコンピューティングは、TPM/TCMテクノロジーを採用しています。 TPM/TCMおよびvTPM/vTCMテクノロジは、物理マシンおよび仮想マシン上の基本ソフトウェアスタックの起動プロセスを測定し、システム起動トラストチェーンを確立して、起動レベルまたはカーネルレベルでマルウェアやルートキットから保護します。
仮想化セキュリティ
クラウドコンピューティングの要である仮想化テクノロジーは、コンピューティング、ストレージ、およびネットワーク仮想化を通じて、マルチテナントのデータ分離を保証します。 Alibaba Cloudの仮想化セキュリティには、テナントの分離、セキュリティ強化、エスケープの検出と修復、ホットパッチ、データ消去の5つの主要コンポーネントが含まれており、これらはすべてAlibaba Cloudハイパーバイザーのセキュリティを強化します。
テナントの分離は、ハードウェア仮想化技術を使用して複数の計算ノード間で仮想マシンを体系的に分離し、テナントが互いの不正なシステムリソースにアクセスするのを防ぎます。
コンピューティング分離により、管理システムと顧客仮想マシン、および異なる顧客仮想マシン間の分離が保証されます。
ネットワーク分離は、各仮想ネットワークに対して維持され、他のネットワークから分離される。
ストレージの分離は、コンピューティングリソースとストレージリソースを分離し、仮想マシンが割り当てられた物理ディスク領域にのみアクセスできるようにすることによって実施されます。
セキュリティ強化は、仮想化ハイパーバイザおよびホストOS /カーネルのセキュリティを強化することを含み、仮想化ソフトウェアは、信頼できる実行環境内でコンパイルおよび実行されて、チェーン全体を保護する。
エスケープの検出と修復は、高度な仮想マシンレイアウトアルゴリズムを利用して、悪意のある仮想マシンが特定の物理マシンをターゲットにするのを防ぎます。 システムは、異常な仮想マシンの動作を検出し、ホットパッチを通じて脆弱性に迅速に対処します。
仮想化プラットフォームでサポートされているHotpatchingテクノロジーにより、システムの再起動なしでパッチを適用できるため、ユーザー操作が中断されません。
データ消去は、インスタンスサーバが廃止された後、その記憶媒体がユーザデータを保護するために安全に消去されることを保証する。