数据中心机房基础设施建设方案

数据中心机房基础设施建设方案数据中心机房基础设施建设方案 a)ServerProtect安装时分为三部分：普通服务器模块、信息分发服务器模块、管理控制台模块。b)ServerProtect应安装在所有的NT和NetWare服务器上，其中的一台将做为信息分发服务器（InformationServer），由它对所有服务器上的ServerProtect进行管理和控制。c)管理控制台模块可安装在win95/98/NT上，管理员可以在安装有控制台模块的机器上对整个ServerProtect系统进行中央管理。ii)OfficeScand)OfficeScan是单机产品的企业版软件，整个软件只需安装在一台NT服务器上，客户机上的防毒模块可以自动地、透明地分发到各个客户机上，包括win3.x、win95/98、winNT/2000等平台的机器。所有客户机的防毒工作由服务器管理，管理员籍此可以实现对所有客户机防毒工作的集中管理和配置。防毒软件中央控制系统：TrendVirusControlSystem——TVCSi)趋势科技的所有防毒产品都可以选装TVCS的客户端代理模块，一旦企业安装了TVCS系统，就可以实现不论何时何地都可以从某个WEB浏览器上对整个防毒系统进行管理和控制，为管理工作提供了极大的便利性。4xx上海IDC信息安全策略解决方案4.1概述惠普公司提供的安全服务符合安全体系结构的安全周期理论，安全周期是包含如下4个环节的循环过程：评估策略结构实施通过风险评估来客观地确定当前状况的安全状态，了解没有达到预期安全状态的地方，根据评估的结果以及相应的标准制定安全策略，明确安全的指导方针和各种行为的安全准则，在此基础上确定安全体系结构，并进行实施。由于网络状态以及其他安全因素的不断变化，安全评估需要定期进行，这就又启动了一个安全过程，上图所示的循环不断地重复，来保证安全在动态过程中的持续性和稳定性；就上述安全系统周期惠普公司提供了相应的安全服务。安全服务包括：风险分析服务：用于使企业能够在信息系统安全方面作出正确的投资决定和安全措施，此项服务分析企业当前的信息系统面临的风险，以及由此而带来的经济损失，从而达到作出正确安全措施和合理投资决策的目的。系统与应用的安全加固：协助企业以及企业所属的客户对网络中的重要操作系统、应用程序进行安全配置加固。安全策略配置服务：通过业务需求和相应的法律以及法规，协助企业编写安全策略，定义安全组织结构，以及相应的安全操作流程和人员分工。协助企业将其安全策略下发以保证安全策略在整体组织内具体实现。安全意识规范化咨询服务：协助企业在企业内部实施安全教育，帮助企业员工建立良好的安全意识，推动企业安全策略的贯彻执行。4.2风险分析服务鉴于xxIDC当前的系统情况，建议首先采取惠普公司提供的风险分析服务，协助客户定位系统中的漏洞及其出现的可能性，从而估计对业务产生的影响。惠普公司的风险分析服务，使用标准的表格和向关键人员提供问卷的方式搜集基础数据，进行评估工作，以用于漏洞和业务影响分级，惠普公司的技术顾问将完成下列工作：分析企业信息系统的资产状况，确定其分类，价值以及问题发生后对业务造成的影响。分析从不同的角度企业信息系统面临的威胁。分析在企业信息系统，安全策略和操作流程中的漏洞。风险分析，确定关键信息系统资产的保护级别。选择安全控制措施以降低风险到可以接受的水平。4.3系统与应用的安全加固服务系统与应用的安全是网络运行过程中最基本的安全要素，但往往客户在使用安装系统与应用软件时忽略了这一部分的安全或者没有充分考虑到它们的不安全因素，因此惠普的技术顾问通过专门的评估系统或风险评估工具对重要的操作系统及应用程序进行安全加固配置，把操作系统与应用程序的风险降到安全策略中定义的等级。惠普公司的技术顾问为客户完成以下工作：获得风险评估的结果；根据不同的操作系统及应用程序提出安全漏洞分析报告；与客户相应的管理人员协商，进行系统与应用的漏洞配置及安全配置工作；提供配置后的系统与应用的安全状况分析及相关报告。4.4安全策略配置4.4.1安全策略创建大多数信息系统在设计时，没有考虑到安全的问题。通过技术手段得到的安全性是有限的，必须得到相应的管理手段和操作程序的支持，才能得到真正的安全。如果对安全需求说明和设计过程进行整体考虑时，信息安全控制是相当经济和有效的。惠普公司的安全技术顾问采用国际通用的标准方法，对应用于用户网络的信息资产进行安全保护。该方法考虑到了客户的商业需求、安全规则、风险评估、法律以及企业特有的安全需求，保证与客户商业目标和法律要求相一致的安全策略。惠普公司的技术顾问为客户完成以下工作：协助企业在高级管理层中确定安全策略项目负责人；协助企业明确现有的信息安全策略及执行状态；根据国际通用的标准和方法制定安全策略的大纲，并通过召开策略设计专题研讨会，确定每个安全项目的职能与责任；创建策略文件并确定最终策略文件；安排和准备组织结构、市场及执行计划专题讨论会；向最高管理层介绍结果及完成的目标。4.4.2安全策略实施信息安全策略实施的目的是保证企业所有的行为与制定的安全策略一致。不同的任务会在策略实施过程中定义，该过程存在于所有的企业安全策略中。除策略之外，信息安全的所有要素都必须放置在企业的适当的位置。惠普公司的技术顾问为客户完成以下工作：与企业合作组建安全策略实施小组，定义安全小组及其成员的责任、义务；提供策略实施所需的资源计划；召开安全策略培训专题研讨会；为企业提供基于安全策略的安全调查问卷；为调查结果做出评价，分析企业当前策略执行状态与应达到状态的差距，并形成文件，定义需要实施的内容；信息小组监督安全策略实施内容在各个安全要素的执行情况；与企业合作形成实施文档。4.4.3安全策略内容依照国际通用的安全标准作为制定组织专用的指导原则的起点。通用的安全标准中的指导原则和控制措施并非全部适用。因此，还可能需要包括的其它控制措施，各控制措施之间相互参照很有用，有利于审计人员和业务伙伴检查是否符合安全指导原则。安全策略的主要内容包括以下几个方面：关于信息安全、风险评估、风险管理、安全策略的定义；建立企业的安全组织，包括安全论坛、安全责任划分、安全专家建议体系、安全组织间的合作以及第三方和外包服务的安全性；进行信息资产分类，明确资产责任；个人行为的安全规范，定义个人的安全行为、人员聘用原则、安全事故和责任处理；物理和环境的安全，包括安全区域的划分、设备的安全性定义、常规的安全性规章；通信与操作管理的安全，包括系统规划与验收、操作的安全流程、事故管理、恶意软件的防范、网络安全控制管理、邮件安全、办公系统安全、软件使用安全；访问控制，包括用户安全等级定义和权限检查、口令使用的安全性、外部用户的身份验证、节点/端口的使用、操作系统的访问控制、应用程序的访问控制、移动用户的访问控制；系统的开发和维护的安全管理；业务连续性的安全管理；安全审计。4.5安全意识规范化咨询服务员工对安全策略的认识是成功执行安全策略的关键，如果员工没有确立安全理念或没有得到相应维护安全策略的教育，安全策略的执行就会背离法律和他们的义务。成功执行并维护企业信息安全方案要高度依赖于一个良好的结构的、确定的和易于管理的安全理念计划。惠普公司的技术顾问帮助客户设计、执行、监控并管理信息安全理念计划，使之适合于可以自维护并能够高效运转的客户环境。惠普公司的技术顾问为客户完成以下工作：从企业高级管理层中选出负责人，启动培训活动。明确企业的培训需求，并明确不同级别的培训需求。4.6系统攻击测试服务惠普公司企业放置在网通IDC的设备提供模拟入侵的系统攻击测试服务，其目的是帮助企业发现可能遭受的攻击是否能穿透提供服务的各种设备。惠普公司的该项服务面向全球，提供模拟攻击的中心设立在香港。通过系统攻击测试服务，为客户完成以下工作：得到安全扫描和风险分析的结果；根据客户的网络服务需求制定模拟攻击的手段与工具；与客户共同配合完成模拟攻击；生成攻击结果报告并根据情况提供相应建议。通过以上的服务，惠普公司帮助xx上海IDC制订系列的安全管理制度和普及安全意识教育，包括：用户守则制订，如应包括：未知请求一律禁止通过、只有网络管理员才可进行物理访问、分部不应使用单一标准的Modem、只有网络人员才可进行软件安装工作、访问Internet必须通过代理、所有安全软件必须能保留完整的日志、重要系统应使用难猜测的口令并经常改换口令。机房管理制度的制订分层次的安全培训，对行政、技术的各级人员有针对地进行培训。建立安全信息分发系统，对安全管理的阶段性结果，以可读性好的报告形式分发给各个结点的安全部门。应对具体的分发方式、分发渠道、保密措施做出规定。网络安全方案必须架构在科学的安全体系和安全框架之上。安全框架是安全方案设计和分析的基础。为了系统地描述和分析安全问题，本节将从系统层次结构的角度展开，分析xxIDC各个层次可能存在的安全漏洞和安全风险，并提出解决方案。5xx上海IDC安全增值服