电信运营商IDC安全建设方案

1、电信运营商IDC安全建设方案电信运营商IDC安全建设方案电信运营商IDC安全建设方案一、概述IDC 即是 Internet Data Center ，是基于 INTERNETS络，为集中式收集、存储、处理和 发送数据的设备提供运行维护的设施以及相关的服务体系。IDC提供的主要业务包括主机托管（机位、机架、 VIP 机房出租 ） 、资源出租（如虚拟主机业务、 数据存储服务） 、 系统维护 （ 系统配置、数据备份、故障排除服务） 、管理服务 （ 如带宽管理、流量分析、负载均衡、入侵检测、系统漏洞诊断 ） ，以及其他支撑、运行服务等。随着中国互联网以超常的速度向前发展， 企 业用户对 Dc 的需求也

2、日益增长，而随着电信运营商业务转型, 各种数据业务也层出不穷 , 比如中国电信开展的互联星空计划的实施、 中国移 动的ADClk务系统等也受到越来越多的用户认可，作为其主要业务平台IDC也受到越来越多的 关注，而安全性则是焦点之一。本文主要是通过对IDC 网络系统和业务系统现状的介绍，分析其安全状况，然后对当前IDc 存在的安全风险讲行整理和分析，再提出针对 IDC 的网络安全解决方案。二、IDC安全现状2.1 网络和业务现状典型的IDC通常由网络骨干层、汇聚层和接入层 3 个层面构成， 骨干层通过高性能路由器连接两个或者以上的运营商互联网骨干网，提供INTERNE联入，并实现链路备份，核心路

3、由器以下则为两台核心交换机作为网络的汇聚层， 在 汇聚层以下由L2/L3交换机构成接入层，接入 各种托管服务。IDC 中主要的业务是主机托管业务，现阶段，IDC 中托管的主机系统主要分为两类:自有数据增值业务，如互联星空、ADC运营商自己运营的增值业务，这一类业务服务器是属于运营商有的业务系统，由运营商自行进行日常维护。托管服务器， 如网游的服务器系统、 网站系统等，这个部分是IDC机房收入的主要来源。在这类托管服务器中， 一般有中小型客户和大客户之分， 中小客户主要是一般的企业单位租用共享带宽资源， 其维护力量较弱， 大客户主要是大型的门户网站、 专业的网游服务器等， 这类用户往往是租用多个

4、机柜部署自己的一整套系统， 通常情况下都有自己的一组维护人员进行系统的日常管理和运维。2.2 IDC 面临的主要安全风险分布式拒绝服务攻击(DDOS)、 蠕虫病毒等大规模的流量型攻击， 不仅对 IDC 中直接受攻击的客户服务器带来影响， 同时占用大量IDC 的带宽资源， 另外突发大数据流会造成路由交换等网络设备负荷过载 , 从而导致网络服务质量下降，甚至会出现路由器板卡转发异常以及网络中继拥塞等现象。针对 IDC 的攻击可以导致企业客户网络的瘫痪，业务中断， 这些攻击通常利用设备系统本身的安全漏洞， 而且托管设备安全配置的不完善也可以给攻击者可乘之机。 针对这些问题的攻击一旦成功， 后果不堪设

5、想 将会直接导致客户满意度降低，甚至客户流失。lDc 机房中托管了很多客户的业务主机，当部分业务主机成为被攻击目标时， 往往会影响其他主机的正常业务提供， 这主要是由于缺乏有效的安全隔离、安全控制的技术和策略。托管主机的安全代维服务需求， 电子商务网站、 政府、 企业等大量的中小客户经常遭受网络攻击， 服务质量下降 而由于其自身缺乏安全运维人员， 迫切需要运营商提供安全服务， 为客户的业务系统提供安全保障。三、IDC安全解决方案3.1 方案总体思路IDC同行业之间的竞争越来越激烈.IDC通常采用扩充出口带宽、 提升网络核心设备处理能力等来开拓新的客户和留住已有客户，而建设、完善有效的安全管控体

6、系，为IDC客户提供一个 安全稳定的运行环境也成为IDC客户，特别是大 客户在选择 IDC 时非常看重的一个硬性指标； 同 时， 通过安全体系的建立能有效的降低由安全引起的运维成本。建立一个有效的信息安全体系最有效的方式是采用系统化的方法， 首先确定信息安全管理策略和范围， 然后在风险评估的基础上选择适宜的控制目标和控制方式对风险进行处理， 最后制定业务持续性计划，建立并实施信息安全体系。根据上述章节对IDC安全风险的分析，现阶段 IDC 的安全体系中需要解决的是构建一套有效的安全防护体系 . 因此，本方案主要是基于技术措施来构建IDc 的技术体系， 而对于组织管理体系和运维体系的建设不在本文

7、中展开描述。3.2 基于安全域的防护策略安全域是由一组具有相同安全保护需求、 并相互信任的系统组成的逻辑区域, 在同一安全域中的系统共享相同的安全策略，通过安全域的划分把一个大规模复杂系统的安全问题， 化解为更小区域的安全保护问题， 是实现大规模复杂信息系统安全保护的有效方法。3.2.1 IDC 安全域划分通过前面章节对IDC业务的分析，首先可以根据业务系统的不同来进行安全域的划分， 主要分为自有业务域，中小客户域和大客户域，然后 再根据托管厂商的不同在上述几个安全域中进 行细分。0 0靖界路的0口络移人丫程由文俊松用悟女它安全域的划分是为了更好的对不同重要等级的 安全域进行适当防护，而防护策

8、略主要分为安全 域边界和安全域内部的防护。安全域划分将网络 系统划分为不同安全区域，分别进行安全保护的 过程，通过安全域的划分和保护，将实现如下意 义:1 .基于网络和系统进行安全检查和评估的 基础；2 .有效建立安全管理控制点，指导系统安 全规划、设计、入网等工作；3 .实现对系统进行重点保护，统一管理的统一信息安全技术支撑;4 .安全域的分割能有效的防护攻击渗透；5 .基于网络和系统进行安全建设的部署依 据；6 .安全域边界是灾难发生时的抑制点，防 止影响的扩散；7 .有效的避免安全方面的重复投资。3. 2.2 IDC安全域防护安全域防护的根本目的是为了保证业务信 息系统的稳定、安全运行，

9、使其能够稳健、持续 的提供业务服务,保障电信运营商IDC各种业务 的正常经营和战略目标的达成。安全保护的对象是业务信息系统内的所有信息资产，包括硬件、软件、服务、信息等，其中重点是服务和信息。基于 IDC 的业务需求， 以及 lDc 面临的安全问题，单一设备或单一系统无法解决IDC的安全问题，需要采用多层面全方位的解决方案来应对IDC 的安全问题，解决思路如下 :1 流量分析系统实时监控分析1Dc 的数据流，获取抗拒绝服务攻击（DD0s）等非法数据流信广息。2流量净化系统过滤非法数据流信息，保障网络基础架构健康平稳运行， 为大客户业务保驾护航。3网络入侵检测系统深度检测蠕虫、病毒等应用层攻击。

10、4 漏洞扫描系统及时发现系统漏洞和风险，为 lDc 安全未雨绸缪。5 .6 .3 专业安全服务引入3.3.1 安全问题目前正以每周新增几十甚至几百例的速度在全世界得到反馈， 同时涉及信息技术的众多领域，IDC维护人员在安全知识的更新速度方面面临更大的压力。安全预警以安全通告的形式为 lDc 提供最新的安全动态、 技术和定制的安全信息， 包括实时安全漏洞通知、 定期安全通告汇总、 临时安全解决方案和安全知识库更新等。 同时， 这些通告信息可以定制化发送给不同的 IDC 托管客户， 通过提供安全信息增值服务的方式来增加IDC客 户的粘度。3.3.2 紧急事件响应目前许多IDC或者IDC的客户自身尚

11、没有足够的资源和能力对安全事故作出反应。 网络安全的发展日新月异， 无法实现一劳永逸的安全， 所以当紧急安全问题发生， 一般技术人员又无法迅速解决的时候， 及时发现问题、 解决问题就必须依靠紧急响应来实现。紧急响应服务提供高效的信息安全事故反应体系， 可以帮助 lDc 尽快对信息安全破坏事故作出反应， 包括事故处理及恢复、 事后的事故描述报告以及后续的安全状况跟踪。 同时， 当 IDc 中托管的用户主机或lDc 的网络系统正遭到攻击或发现入侵的痕迹，而又无法当时解决和追查来源时。 紧急事件响应将以最快的速度赶到现场， 协助 lDc 运维人员解决问题， 查找受攻击系统， 保 存证据和追查来源。3

12、.3.3 高级维护服务1 安全设备维护随着网络安全的不断发展，IDC在信息安全方面的投资也越来越多， 各种安全产品在的各个层面部署。而IDC 中的安全设备往往买回来后由于维护力量的不足，往往也搁置不用，在各IDC都多或多或少的存在这样的问题。因此可以通过引入专业的安全服务对各种安全设备进行专业的维护和照料， 使之发挥相应的作用， 从而有效保护已有安全投资， 实现已有安全投资效益最大化的目标。2系统安全加固网络安全是动态发展变化的， 需要时刻关注最新漏洞和安全动态， 制定更新的安全策略以应付外来入侵和蠕虫病毒等威胁。 通过引入安全服务针对网络节点的漏洞和脆弱性， 定期的进行安全加固， 可以使系统有效的抵御外来的入侵和蠕虫病毒的袭击， 使系统可以长期保持在高度可信的状态。四、结束语IDC 的网络建设和发展是一个长期的任务，随着技术的发展和业务的更新， 需要及时的调整已有的安全策略， 设计新的网络安全方案。 同时，计算机技术和网络技术具有的复杂性和多样性，使得网络安全越来越成为一种专门的技术和服务， 需要与专业的安全服务组织合作来进行更全面和完善的网络安全规划和建设。绿盟科技一直以“巨人背后的专家”为己任，致力于网络安全事业，经过几年的快速发展 已成长为面向国际市场的网络安全解决方案供应商。 在本方案设计中， 针对现有 IDC