数据中心整体安全解决方案-V1.1.docx
《数据中心整体安全解决方案-V1.1.docx》由会员分享，可在线阅读，更多相关《数据中心整体安全解决方案-V1.1.docx（26页珍藏版）》请在冰豆网上搜索。
数据中心整体安全解决方案
数据中心整体安全解决方案
目录
1. 概述 1
1.1. 方案目标 1
1.2. 参考依据 1
2. 数据中心面临的安全挑战 3
2.1. 网络边界接入风险 3
2.2. 面向应用层的攻击 3
2.3. 虚拟化安全风险 4
2.4. APT攻击风险 5
2.5. 数据泄露风险 5
2.6. 安全运维的挑战 5
3. 方案思路 7
3.1. 总体思路 7
3.2. 设计原则 7
4. 方案设计 9
4.1. 安全域划分 9
4.1.1. 边界接入区 9
4.1.2. 网络基础设施区 9
4.1.3. 业务接入区 9
4.1.4. 运维管理区 10
4.2. 整体设计 10
4.3. 各安全域安全架构设计 11
4.3.1. 互联网接入区 11
4.3.2. 外联接入区 12
4.3.3. 内部接入区 13
4.3.4. 核心汇聚区 14
4.3.5. 一般服务区 14
4.3.6. 重要服务区 16
4.3.7. 核心数据区 17
4.3.8. 运维管理区 17
5. 方案组成及产品介绍 20
5.1. 方案清单 20
5.2. 下一代智慧防火墙 21
5.3. SSLVPN安全接入网关 21
5.4. Web应用防火墙 21
5.5. 虚拟化安全管理系统 21
5.6. 鹰眼Web智能监控系统 21
5.7. 天眼态势感知及安全运营平台 21
5.8. 运维审计系统（堡垒机） 21
5.9. 数据库审计系统 21
5.10. 网站云监测 21
5.11. 企业安全服务 21
6. 方案价值 21
图索引
图4 1数据中心整体安全设计 11
图4 2互联网接入区安全设计 12
图4 3外联接入区安全设计 13
图4 4内部接入区安全设计 14
图4 5核心汇聚区安全设计 14
图4 6一般服务区安全设计 15
图4 7重要服务区安全设计 16
图4 8核心数据区安全设计 17
图4 9运维管理区安全设计 18
1.概述
随着企业信息化的成熟发展和新技术的广泛引用，政府机构、金融、教育、IT、能源等等各个行业的企业都因需求不断扩大而正在规划和建设各自的数据中心。
一方面随着信息爆炸，出于管理集约化、精细化的必然要求，进行数据集中已经成为国内电子政务、企业信息化建设的发展趋势。
另一方面数据中心不再是简单的基础通信网络，更是集通信服务、IT服务、管理应用和专业信息化服务于一体的综合性信息服务中心。
随着云计算和大数据的高速发展，技术进步推动了生活、生产方式的改变，网络数据中心的定义也发生了改变，传统的数据中心将形成提供各种数据业务的新一代IDC数据中心。
数据中心作为数据处理、存储和交换的中心，是网络中数据交换最频繁、资源最密集的地方，更是存储数据的安全局，它要保证所有数据的安全和完备。
相比过去的传统数据中心，云时代的数据中心面临着更巨大的挑战，如新业务模式带来的数据保护风险、虚拟化等新技术引入的新型风险、攻击者不断演进的新型攻击手法等。
因此，对于数据中心的安全建设，要考虑多方面因素，任何防护上的疏漏必将会导致不可估量的损失，因此构筑一道安全的防御体系将是这座数字城堡首先面对的问题。
1.1.方案目标
本方案着眼于数据中心面临的传统风险和新型风险，从全局考虑，为数据中心整体安全规划和建设提供具备实际意义的安全建议。
1.2.参考依据
u中办[2003]27号文件《国家信息化领导小组关于加强信息安全保障工作的意见》
u公通字[2004]66号《信息安全等级保护工作的实施意见》
u公通字43号《信息安全等级保护管理办法》
uGB/T20269-2006《信息安全技术信息系统安全等级保护管理要求》
uGB/T20271-2006《信息安全技术信息系统通用安全技术要求》
uGB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》
uGB/T22240-2008《信息安全技术信息系统安全等级保护定级指南》
u《信息安全技术信息系统安全等级保护实施指南》
u《信息安全技术信息系统安全等级保护第二分册云计算安全要求》
u《ISO13335信息系统管理指南》
uIATF信息保障技术框架
2.数据中心面临的安全挑战
随着Internet应用日益深化，数据中心运行环境正从传统客户机/服务器向网络连接的中央服务器转型，受其影响，基础设施框架下多层应用程序与硬件、网络、操作系统的关系变得愈加复杂。
这种复杂性也为数据中心的安全体系引入许多不确定因素，一些未实施正确安全策略的数据中心，黑客和蠕虫将顺势而入。
尽管大多数系统管理员已经认识到来自网络的恶意行为对数据中心造成的严重损害，而且许多数据中心已经部署了依靠访问控制防御来获得安全性的设备，但对于日趋成熟和危险的各类攻击手段，这些传统的防御措施仍然显现的力不从心。
以下是当前数据中心面对的一些主要安全挑战。
：
2.1.网络边界接入风险
网络边界接入风险主要包括路由破坏、未授权访问、信息窃听、拒绝服务攻击、针对路由器和交换机等边界网络设备的攻击，以及病毒、蠕虫的传播等。
在互联网上尤其是拒绝服务攻击现在呈多发趋势，而且中国是攻击发生的重灾区，在世界范围内仅次于美国排名第二。
海量的SYNFlood、ACKFlooding、UDPFlood、ICMPFlood、（M）StreamFlood等攻击产生的大量垃圾数据包，一方面大量占用网络带宽，另一方面会造成边界路由器和核心交换机等网络设备的有效数据转发能力下降，甚至会出现核心路由器和交换机因负荷过载而造成转发延迟增大和数据包丢包率上升等问题。
同时，针对服务器区域的HTTPGetFlood、UDPDNSQueryFlood、CC等攻击会造成业务服务器和关键设备的服务质量下降甚至业务中断。
2.2.面向应用层的攻击
应用层的攻击之所以存在，通常是因为程序员是在严格的期限压力下发布的代码，他们并没有足够的时间来发现并解决将会导致安全漏洞的错误。
此外，许多程序员未考虑到使用某些特定语言结构将会导致应用程序暴露在隐式攻击下。
最后，许多应用程序有着复杂的配置，缺乏经验的用户可能会在部署应用程序时启用了危险的选项，从而导致应用程序的安全性降低。
应用层攻击的类型可以分为如下3种：
利用编程错误——应用程序的开发是一个复杂的过程，它不可避免地会产生编程错误。
在某些情况下，这些错误可能会导致严重的漏洞，使得攻击者可以通过网络远程利用这些漏洞。
这样的例子有：
缓冲区溢出漏洞，它来自对不安全的C库函数的使用；以Web为中心的漏洞，如将未经清理的查询传递给后端数据库的Web服务器（这将导致SQL注入攻击），以及将直接来自客户端未经过滤的内容写入页面的站点（这将导致跨站脚本或XSS攻击）。
利用信任关系——有些攻击利用的是信任关系而不是应用程序的错误。
对与应用程序本身交互而言，这类攻击看上去是完全合法的，但它们的目标是信任这些应用程序的用户。
钓鱼式攻击就是一个这样的例子，它的目标并不是Web应用程序或邮件服务器，而是访问钓鱼网站或电子邮件信息的用户。
耗尽资源——像网络层或传输层的DoS攻击一样，应用程序有时候也会遭受到大量数据输入的攻击。
这类攻击将使得应用程序不可使用。
2.3.虚拟化安全风险
随着云计算的迅速发展，传统的数据中心也在向“云”迈近，首先的一步便是虚拟化技术的应用。
虚拟化技术是生成一个和真实系统行为一样的虚拟机器，虚拟机像真实操作系统一样，同样存在软件漏洞与系统漏洞，也会遭到病毒木马的侵害。
而且宿主机的安全问题同样需要得到重视。
一直以来无论虚拟化厂商或安全厂商都将安全的关注点放在虚拟机系统和应用层面，直到“毒液”安全漏洞的出现，才将人们的目光转移到宿主机，由于宿主机系统本身也都是基于Windows或Linux系统进行底层重建，因此宿主机不可避免的会面对此类漏洞和风险问题，一旦宿主机的安全防护被忽略，黑客可以直接攻破虚拟机，从而造成虚拟机逃逸。
所以，宿主机的安全问题是虚拟化安全的根基。
另外虚拟化技术带来了弹性扩展这一优秀特性，是通过虚拟机漂移技术来实现，当宿主机资源消耗过高或者出现故障时，为了保证虚拟机上的业务稳定，虚拟机会漂移到其他的宿主机上。
企业的数据中心在虚拟化后，一旦发生虚拟机漂移，原有安全管理员配置好的安全域将被完全打破，甚至会出现部分物理服务器和虚拟机服务器处于同一个安全域这样的情况，而依靠传统防火墙和VLAN的方式将没有办法维持原来的安全域稳定，使得安全域混乱，安全管理出现风险
因此基于虚拟化环境自身的特性，数据中心需要充分考虑虚拟化的引入为企业带来的相应的风险，根据各个风险点带来的问题及威胁建设针对性的防护方案，以保障企业数据的安全及业务系统的平稳运行。
2.4.APT攻击风险
传统的防病毒软件可以一定程度的解决已知病毒、木马的威胁，但对于越来越多的APT攻击却束手无策。
APT很多攻击行为都会利用0day漏洞进行网络渗透和攻击，且具有持续性及隐蔽性。
此种持续体现在攻击者不断尝试各种攻击手段，以及在渗透到网络内部后长期蛰伏，不断收集各种信息，直到收集到重要情报。
更加危险的是，这些新型的攻击和威胁主要针对大型企业、国家重要的基础设施或者具有核心利益的网络基础设施。
由于APT特种木马的免疫行为，所以传统的防病毒软件以及安全控管措施和理念很难有效应对APT攻击。
2.5.数据泄露风险
数据泄漏是数据中心最为广泛的担忧之一。
尤其是对公众提供服务的数据中心，涉及大量用户敏感信息等关键数据库的存储，并开放多方接口供不同平台、机构调用，很多威胁场景都可能会导致敏感数据的丢失和泄漏。
近年来各种机构被“拖库”事件频繁发生，数据中心关键数据的高密度聚合对潜在的攻击者具有极大的诱惑力，数据安全面临巨大的挑战。
2.6.安全运维的挑战
随着技术和应用的演进，让今天的IT环境和过去相比，已经发生了巨大的变迁，而相应的安全运维管理重点，也从过去的“设备监控、告警程序”，转变为对企业业务发展的关注和支撑。
传统的“安全运维”存在着诸多的问题需要解决。
n多种安全设备，不同的报警，如何整合？
在大中型企业的网络系统中，为了确保系统的稳健运行，通常会采用多种安全技术手段和安全产品，比如防火墙系统、入侵检测系统、防病毒系统等，都是安全基础设施。
在实际的运维过程中，这些不同种类、不同厂家的安全产品会给技术人员带来不小的麻烦--各个安全系统相对孤立，报警信息互不关联，策略和配置难于协调。
当一个报警事件产生时，不知道该如何处理。
n海量的事件、海量的日志，如何分析存储？
对于数据中心的规模来说，各类网络设备、安全设备、服务器都会产生海量的日志。
从海量数据中对日志进行快速分析，这要求本地具备海量的数据存储能力、检索能力和多维度关联能力，而传统的数据存储和检索技术很难达到这样的要求。
例如：
在一个中型规模的企业中记录全年的网络出口流量，大约有2000亿条日志，需要约300多TB的存储空间，如果使用传统的检索技术进行一次条件检索，大概需要几个小时的时间。
这种效率明显不能满足攻击行为分析的需求。
n如何体现安全运维的价值？
安全运维是很枯燥的工作，运维人员整天面对滚动的监控屏幕，各种碎片化的告警，复杂的报表，责任重大，压力巨大，但工作成果却很难体现。
究其原因还是缺少自动化、结构化、可视化的管理工具，导致安全运维效率低下，难以快速感知整体的安全态势。
3.方案思路
3.1.总体思路
基于数据中心的业务需求，以及数据中心面临的安全问题，很难通过一次安全建设将数据中心面临的所有风
升级会员 