公司数据中心建设网络安全设计方案

1、公司数据中心建设网络安全设计方案11网络安全部署思路 1.1.1网络安全整体架构目前大多数的安全解决方案从本质上来看是孤立的，没 有形成一个完整的安全体系的概念，虽然已经存在很多的安 全防护技术，如防火墙、入侵检测系统、防病毒、主机加固 等，但是各个厂家鉴于各自的技术优势，往往厚此薄彼。必 须从全局体系架构层次进行总体的安全规划和部署。XXX公司本次信息建设虽然仅包括数据中心、内网楼层 以及广域网中心部分的改造和建设，但也必须从全局和架构 的高度进行统一的设计。建议采用目前国际最新的“信息保 障技术框架（IATF）”安全体系结构，其明确提出需要考虑 3个主要的因素：人、操作和技术。本技术方案着

2、重讨论技 术因素，人和操作则需要在非技术领域（比如安全规章制度） 方面进行解决。技术因素方面IATF提出了一个通用的框架，将信息系 统的信息保障技术层面分为了四个技术框架域：网络和基础设施：网络和基础设施的防护飞地边界：解决边界保护问题局域计算环境：主机的计算环境的保护支撑性基础设施：安全的信息环境所需要的支撑平 台并提出纵深防御的IA原则，即人、技术、操作相结合的 多样性、多层叠的保护原则。如下图所示：人依靠 技术执有 操作肆作基础设旌EMI fFE I弥明1直成功的组镖功能信息保障主要的一些安全技术和应用在框架中的位置如下图所示：/网缙和基砒设舶1保护边界保护 、主机支撑平-台交换机和路由

3、器防火墙操作系统PKI7：11.K7 草 T2S2Bfr-15F7 73.S2S- l-r 1iiMEW母;LW村.员n-17.ie.L.24j29ftrl-WlS- .*tiM被攻击对篝F图是对攻击源所在位置的直观显示:static 田0脏心1 oriiwE。di5Mvered Layer 3 and 2 network topclao infomnstioo ta deterrnine the optimal mtigalion pointOrnamic InfoStatic InfoFnfifiFf fill ch f Dp witJJjS-/Path| Layer 2 Path 7Sm

4、ggssted35SO(L2)C1S41Alternate攻击人所建接的 交换机端口EiifurLtriTitjiil DesviuL：; 355D|(L2)ar Guggwst.誉下图是MARS对抑制该攻击的建议，只需点击Push,就 可以对攻击源所在的交换机进行设置，帮助你抑制正在发生 的攻击。Enforcement D bv! ce lL2) SuggsstedL2 tnfurcBiiienl Dsvice Infnnnatioii|UifWICL355Q|telhlldrgn| 匚nil I ip wt 季rimCisw Switdn-JQS LZ.ZPN-HAP.S on pim-a

5、rsPK-MARS an pnmsrsRHCVmrnnrijdlQri L21 Poldn.Y/CQmmAridtPDnfiguiEe t iBierf ace rastlchjerDetD/17CancelCepyrifiht 2M3j 2(MS CistdIne.Ail rights re-Eerved.进行防御建议将来在XXX公司考虑全局网络运营管理时应部署 MARS系统，而且在部署MARS时应同时部署与MARS兼 容的网络状态监控设施，这些设施包括IDS/IPS、防火墙、 网络设备、流量监控设备等。建议XXX公司在未来部署网 络状态监控设施时应当考虑如下部署原则，以保证MARS系 统作

6、用的充分实现：IDS/IPS要求：作为MARS信息的主要来源，XXX公司的楼层局域网应部署硬件IDS以监控核心局域 网，一二级网络之间应部署硬件IDS以监控国家级主干和省级的接入，IDS应当为内置或至少1G连 接带宽的外部IDS；广域网的接入路由器应支持内 置或外部IPS，但要保证一定性能。防火墙要求：按前面安全域隔离方案部署防火墙，防火墙应有完整Log记录和NAT记录，能够和MARS兼容。（目前推进的数据中心防火墙方案满足 此要求）网络设备要求：网络主干设备应当具有硬件化的流 量华能芯片或模块，能够支持Netflow硬件化采集， 并能够在万兆核心交换板卡上提供1: 1的取样（Sampling

7、）能力。网络设备还应当对主要的安全 事件（如ACL过滤、NAT等）提供Log和审计。（目 前Nexus 7000完全满足此要求）兼容性要求：主要网络设备（IDS、防火墙、中高档 路由器和交换机等）应当能与MARS系统兼容，其 监控信息报告无须定制即可被MARS系统直接使 用，也可以接受MARS系统的控制以实现安全响应。对于其它少量不兼容设备，MARS系统应可以支持 通过定制化方式监控和管理。（目前Cisco设备、主 流国外厂商设备可以满足此要求，国内厂商设备需 要定制）1.4.4分布式威胁抑制系统XXX公司已通过广域网连接大量远程分支机构，对于这 样大规模多点分布式的网络，就更难于在中心总部来

8、控制远 程各点的安全接入，而广域网对于蠕虫、病毒等威胁又更敏 感，只有一种病毒爆发，广域网线路就可轻易被塞满，公司 领导的视频会议、乃至各类业务都将无法正常传输。必须考 虑在分布的各个广域网点都进行有力的遏制，即实现“分布 式威胁抑制”。在各地孤立的部署防火墙和IDS/IPS是一种解决办法， 但会有管理、成本和性能功能相互矛盾的问题，即要有效的 抑制，就需要在各地有较完善的IDS/IPS和防火墙系统，但管理难度、成本将非常高。XXX公司可以考虑形成以MARS系统为管理核心、各个 网络设备内置安全防御系统的分布式威胁抑制系统。 其主 要实现特征如下：管理：在中心使用MARS系统，可以管到所有分布

9、 在地方节点的安全设施，而且MARS的拓扑发现、 报警收集、事件分析报告、直观的威胁路径图形、 远程自动修补等等的功能，可以保证分散的安全设 施的有效管理；成本：MARS可以配合内置有IPS、防火墙功能的 路由器，可以节省单独购买IPS、防火墙系统的经 费；性能和功能：这是MARS分布式攻击抑制解决方案 的核心。网络设备内置有IPS、防火墙等功能，如 果通过软件由CPU来完成，其性能和功能肯定不具 备实用性，如果内置专门的IDS/IPS硬件模块，则对大规模的分散节点将形成极高的成本投入，而MARS是这样解决这个矛盾的：o通过路由器软件完成的IPS会有性能和功能问 题的主要原因是IPS是基于状态

10、的特征码识别 系统，需要在高速数据流中提取特定识别信 息，与一个巨大的病毒特征码数据库进行匹 配。如果由CPU去完成，其性能可想而知。因此内置的软件IPS功能只能开启很少的特征 识别码。实际上一个企业在一段时期内只会被 一种或少数病毒所困扰，不可能在一个网络中 同时发生着历史跨度极大的数百种病毒，因此 路由器对每个数据包逐一去匹配一个完整的 病毒特征数据库是没有必要的。放在省级节点 的MARS可以具有这样的功能，就是它从本 地网络中心的硬件IDS/IPS中探知当前正在发 作的几种病毒，然后将其特征码收集后推送到 各下级单位节点的路由器上，这些路由器的IPS仅仅装载这几种特征码，然后进行高效率

11、的识别匹配，这种按需进行匹配的IPS可以成 功的解决低端路由器病毒过滤的性能问题，而 且还自动完成了特征码的升级和维护。分布式威胁抑制实现机制图示如下：匚口口髭m仁tiMd加日妩I分布式威胁抑制代表处会司办公洌分部CtecotSflOO Sri3 Rcuttrs衲蜜IP旨的疏由器通过识剧 病毒特征保护所有远程分多 机构到办公网连楼的安全咦.病毒感染的移动办公者: 禳到公司办兼同籍会司办公网上的周科。安全 ）监控分析和响应系统伽ARS）接收报警分发病毒 识别特征signatures到所管 格的所有安全蔬由器上自动抑制旅少总体尽可能地在源端丢弃悲惹的攻击流量圾保留广域网带宽厦性能 在分支机构路由器上防范攻击更高效地利用表全旋源惮毒触发广域路由器IPS Earm报警MARS系统为中心的