数据中心整体安全解决方案

数据中心整体安全处理方案

目录

1.概述.................................................................

1.1.方案目标.........................................................

1.2.参考依据.........................................................

2.数据中心面临安全挑战................................................

2.1.网络边界接入风险.................................................

2.2.面向应用层攻击..................................................

2.3.虚拟化安全风险..................................................

2.4.APT攻击风险....................................................

2.5.数据泄露风险.....................................................

2.6.安全运维挑战.....................................................

3.方案思绪.............................................................

3.1.总体思绪.........................................................

3.2.设计标准.........................................................

4.方案设计.............................................................

4.1.安全域划分.......................................................

4.1.1.边界接入区.................................................

4.1.2.网络基础设施区.............................................

4.1.3.业务接入区................................................

4.1.4.运维管理区................................................

4.2.整体设计........................................................

4.3.各安全域安全架构设计............................................

4.3.1.互联网接入区..............................................

4.3.2.外联接入区................................................

4.3.3.内部接入区................................................

4.3.4.美键汇聚区................................................

4.3.5.通常服务区................................................

4.3.6.主要服务区................................................

4.3.7.关键数据区................................................

4.3.8,运维管理区................................................

5.方案组成及产品介绍....................................................

5.1.方案清单........................................................

5.2.下一代智萩防火墙................................................

5.3.SSLVPN安全接入网关...........................................

5.4.Web应用防火墙.................................................

5.5.虚拟化安全管理系统..............................................

5.6.德眼Web留能监控系统...........................................

5.7.天眼态势感知及安全运行平台......................................

5.8.运维审计系统（堡垒机）..........................................

5.9.数据库审计系统..................................................

5.10.网站云监测......................................................

5.11.企业安全服务....................................................

6.方案价值...............................................................

图索引

图4-1数据中心整体安全设计...............................................

图4-2互联网接入区安全设计...............................................

图4-3外联接入区安全设计..................................................

图4-4内部接入区安全设计..................................................

图4-5关键汇聚区安全设计..................................................

图4-C通常服务区女全设计..................................................

图4-7主要服务区安全设计..................................................

图4-8关键数据区安全设计..................................................

图4-9运维管理区安全设计..................................................

1.概述

伴随企业信息化成熟发展和新技术广泛引用，政府机构、金融、教育、IT、能源等

等各个行业企业都因需求不停扩大而正在规划和建设各自数据中心。首先伴随信息爆炸,

出于管理集约化、精细化必定要求，进行数据集中已经成为国内电子政务、企业信息化

建设发展趋势。另首先数据中心不再是简单基础通信网络，更是集通信服务、IT服务、

管理应用和专业信息化服务于•体综合性信息服务中心。

伴随云计算和大数据高速发展，技术进步推进了生活、生产方式改变，网络数据中

心定义也发生了改变，传统数据中心将形成提供各种数据业务新一代IDC数据中心。数

据中心作为数据处理.、存放和交换中心，是网络中数据交换最频繁、资源最密集地方，

更是存放数据安全局，它要确保全部数据安全和完备。相比过去传统数据中心，云时代

数据中心面临着更巨大挑战，如新业务模式带来数据保护风险、虚拟化等新技术引入新

型风险、攻击者不停演进新型攻击手法等。所以，对于数据中心安全建设，要考虑多方

面原因，任何防护上诉.漏必将会造成不可估量损失，所以构筑一道安全防御体系将是这

座数字城堡首先而正确问题。

1-1-方案目标

本方案着眼于数据中心面临传统风险和新型风险，从全局考虑，为数据中心整体安

全规划和建设提供具备实际意义安全提议。

1.2.参考依据

♦中办口27号文件《国家信息化领导小组关于加强信息安全保障工作意见》

♦公通字口66号《信息安全等级保护工作实施意见》

♦公通字43号《信息安全等级保护管理方法》

♦GB/T20269-《信息安全技术信息系统安全等级保护管理要求》

♦GB/T20271-《信息安全技术信息系统通用安全技术要求》

♦GB/T22239-《信息安全技术信息系统安全等级保护基本要求》

♦GB/T22240-《信息安全技术信息系统安全等级保护定级指南》

♦《信息安全技术信息系统安全等级保护实施指南》

♦《信息安全技术信息系统安全等级保护第二分册云计算安全要求》

♦<18013335信息系统管理指南》

♦IATF信息保障技术框架

2.数据中心面临安全挑战

伴随Internet应用口益深化，数据中心运行环境正从传统客户机/服务器向网络连接

中央服务器转型，受其影响，基础设施框架下多层应用程序与硬件、网络、操作系统关

系变得愈加复杂。这种复杂性也为数据中心安全体系引入许多不确定原伏，•些未实施

正确安全策略数据中心，黑客和端虫将顺势而入。尽管大多数系统管理员已经认识到来

自网络恶意行为对数据中心造成严重损害，而且许多数据中心已经布署了依匏访问控制

防御来取得安全性设备，但对于日趋成熟和危险各类攻击伎俩，这些传统防御方法依然

显现力不从心。

以下是当前数据中心面正确一些主要安全挑战。：

2.1.网络边界接入风险

网络边界接入风险主要包含路由破坏、未授权访问、信息窃听、拒绝服务攻击、针

对路由器和交换机等边界网络设备攻击，以及病毒、蠕虫传输等。

在互联网上尤其是拒绝服务攻击现在呈多发趋势，而且中国是攻击发生重灾区，在

世界范围内仅次于美国排名第二。海量SYNFlood.ACKFlooding.UDPFlood.ICMP

Floodx(M)StreamFlood等攻击产生大量垃圾数据包，首先大量占用网络带宽，另首

先会造成边界路由器和关键交换机等网络设备有效数据转发能力下降，甚至会出现关键

路由器和交换机因负荷过载而造成转发延迟增大和数据包丢包率上升等问题。同时，针

对服务器区域HTTPGetFlood、UDPDNSQueryFlood.CC等攻击会造成业务服务

器和关键设备服务质量下降甚至业务中止。

2.2.面向应用层攻击

应用层攻击之所以存在，通常是因为程序员是在严格期限压力下公布代码，他们并

没有足够时间来发觉并处理将会造成安全漏洞错误。另外，许多程序员未考虑到使用一

些特定语言结构将会造成应用程序暴露在隐式攻击下。最终，许多应用程序有着复杂配

置，缺乏经验用户可能会在布署应用程序时启用了危险选项，从而造成应用程序安全性

降低。应用层攻击类型能够分为以下3种：

利用编程错误一一应用程序开发是一个复杂过程，它不可防止地会产生编程错误。

在一些情况下，这些错误可能会造成严重漏洞，使得攻击者能够经过网络远程利用这些

漏洞。这么例子有：缓冲区溢出漏洞，它来自对不安全C库函数使用；以Web为中心

漏洞，如将未经清理查询传递给后端数据库Web服务器（这将造成SQL注入攻击），

以及将直接来自客户端未经过滤内容写入页面站点（这将造成跨站脚本或XSS攻击）。

利用信任关系一一有些攻击利用是信任关系而不是应用程序错误。对与应用程序本

身交互而言，这类攻击看JL去是完全正当，但它们目标是信任这些应用程序用户。钓鱼

式攻击就是一个这么例子，它目标并不是Web应用程序或邮件服务器，而是访问钓鱼

网站或电了•邮件信息用户。

耗尽资源一一像网络层或传输层DoS攻击一样，应用程序有时候也会遭受到大量

数据输入攻击。这类攻击将使得应用程序不可使用。

2.3,虚拟化安全风险

伴随云计算快速发展，传统数据中心也在向“云”迈近，首先一步便走虚拟化技术

应用。虚拟化技术是生成一个和真实系统行为一样虚拟机器，虚拟机像真实操作系统一

样，•样存在软件漏洞与系统漏洞，也会遭到病毒木马侵害。而且宿主机安全问题•样

需要得到重视。一直以来不论虚拟化厂商或安全厂商都将安全关注点放在虚拟机系统和

应用层面，直到“毒液”安全漏洞出现，才将人们目光转移到宿主机，因为宿主机系

统本身也都是基于Windows或Linux系统进行底层重建，所以宿主机不可防止会晤对

这类漏洞和风险问题，一旦宿主机安全防护被忽略，黑客能够直接攻破虚拟机，从而造

成虚拟机逃逸.所以，宿主机安全问题是虚拟化安全根基。

另外虚拟化技术带来了弹性扩展这一优异特征，是经过虚拟机漂移技术来实现，当

宿主机资源消耗过高或者出现故障时，为了确保虚拟机上业务稳定，虚拟机会漂移到其

余宿主机上。企业数据中心在虚拟化后，•旦发生虚拟机漂移，原有安全管理员配置好

安全域将被完全打破，甚至会出现部分物理服务器和虚拟机服务器处于同一个安全域这

么恬况，而依鸵传统防火墙和VLAN方式将没有方法维持原来安全域稳定，使得安全域

混乱，安全管理出现风险

所以基于虚拟化环境本身特征，数据中心需耍充分考虑虚拟化引入为企业带来对应

风险，依照各个风险点带来问题及威胁建设针对性防护方案，以保障企业数据安全及业

务系统平稳运行。

2.4.APT攻击风险

传统防病毒软件能够一定程度处理三知病毒、木马威胁，但对于越来越多APT攻击

却束手无策。APT很多攻击行为都会利用Oday漏洞进行网络渗透和攻击，且具备连续

性及隐蔽性。此种连续表现在攻击者不停尝试各种攻击伎俩，以及在渗透到网络内部后

长久费伏，不停搜集各种信息.，直到搜集到主要情报。愈加危险是，这些新型攻击和威

胁主要针对大型企业、国家主要基础设施或者具备关犍利益网络基础设施。因为APT

特种木马免疫行为，所以传统防病毒软件以及安全控管方法和理念极难有效应对APT

攻击。

25数据泄露风险

数据泄漏是数据中心最为广泛担忧之-O尤其是对公众提供服务数据中心，包括大

量用户敏感信息等关健数据库存放，并开放多方接口供不一样平台、机构调用，很多威

胁场景都可能会造成敏感数据丢失和泄漏。近年来各种机构被“拖库”事件频繁发生，

数据中心关键数据高密度聚合对潜在攻击者具备极大诱惑力，数据安全方面临巨大挑战。

2.6.安全运维挑战

伴随技术和应用演进，让今天IT环境和过去相比，已经发生了巨大变迁，而对应安

全运维管理重点，也从过去''设备监控、告警程序”，转变为对企业业务发展关注和支

撵。传统“安全运维”存在着很多问题需要处理。

■多个安全设备，不一样报警，怎样整合？

在大中型企业网络系统中，为了确果系统稳健运行，通常会采取多个安全技术伎俩

和安全产品，比如防火墙系统、入侵检测系统、防病毒系统等，都是安全基础设施。在

实际运维过程中，这些不一样种类、不一样厂家安全产品会给技术人员带来不小麻烦--

各个安全系统相对孤立，报警信息互不关联，策略和配置难于协调。当•个报警事件产

生时，不知道该怎样处理。

■海量事件、海量日志，怎样分析存放？

对于数据中心规模来说，各类网络设备、安全设备、服务器都会产生海量日志。从

海量数据中对FI志进行快速分析，这要求当地具备海量数据存放能力、检索能力和多维

度关联能力，而传统数据存放和检索技术极难达成这么要求。比如：在一个中型规模企

业中统计•整年网络出口流量，大约有亿条日志，需要约300多TB存放空间，假如使用

传统检索技术进行•次条件检索，大约需要几个小时时间。这种效率显著不能满足攻击

行为分析需求。

■怎样表现安全运维价值？

安全运维是很枯燥工作，运维人员整天面对滚动监控屏幕，各种碎片化告警，复杂

报表，责任重大，压力巨大，但工作结果却极难表现。究其原因还是缺乏自动化、结构

化、可视化管理工具，造成安全运维教率低下，难以快速感知整体安全态势。

3.方案思绪

3.1.总体思绪

基于数据中心业务需求，以及数据中心面临安全问题，极难经过一次安全建设将数

据中心面临全部风险处理；同时，安全风险也是动态发展改变，所以我们处理方案也需

要作随数据中心安全需求改变不停完善和发展。从云提供商角度来看，传统模式下网络

安全需求并没有什么改变，不论从信息安全保密性、完整性、可用性，还是依照网络层

次划分从物理层到应用层安全，依然是需要处理问题。

在云计算时代数据中心信息安全架构时，不能像传统IDC系统集成或者安全集成那

样，头痛医头，脚痛医脚，而应该充分结合虚拟化特点来系统地进行规划，考虑数据中

心外围物理实体以及虚拟化平台环境各类安全需求和特征，从而达成各类安全产品、安

全管理、整体安全策略统一，发挥最大效率。在设计数据中心安全提议方案时，充分利

用现有国内和国际安全标准和成熟安全体系，结合系统实际需求，利用在安全领域成熟

经验，设计出一个有针对性安全设计方案。处理思绪以下：

1）对数据中心进行安全域划分，依照各区域业务特征、技术特征以及安全需求进

行对应安全防护设计：

2）要充分考虑网络层、操作系统层、虚拟化层、应用层以及数据层安全防护需求，

尤其是虚拟化等新技术带来问题。

3）强调安全运行价值，实现预警、检测、响应、溯源闭环流程:

32设计标准

■业务保障标准：安全体系设计目标是能够愈加好保障网络上承载业务。在确保

安全同时，还要保障业务正常运行和运行效率。

■结构简化标准：安全架构规划直接目标和效果是要将整个网络变得愈加简单，

简单网络结构便于设计防护体系。比如，安全域划分并不是粒度越细越好，安

全域数量过多过杂可能造成安全域管理过于复杂和困难。

■立体协防标准：应防止形成各个安全产品独立割裂安全体系，充分利用威胁情

报和大数据等新技术，实现网络、终端、边界立体协防机制。

■等级保护标准：依照业务系统主要程度以及考虑风险威胁、安全需求、安全成

本等原因,将其划为不一样安全保护等级并采取对应安全保护技犬、管理方法。

■可扩展性标准：当有新业务系统需要接入数据中心时，可按照等级保护、对端

N■信度等标准将其分别划分至不一样安全等级域各个子域。

■可管理性标准：应该采取集中化、自动化、智能化安全管理伎俩，减轻安全负

担，同时减小因为管理上疏漏而对系统安全造成威胁。

4,方案设计

4.1.安全域划分

安全域划分目标是从信息安全角度来对企业信息系统进行拆分。以业务系统为关键,

从业务特征、技术特征方面分析各业务系统安全需求和防护等级，进行适当安全防护体

系设计。

4.1.1.边界接入区

■互联网接入区

承载组织与互联网连接，组织向公共用户提供对外业务服务通道。

■外联接入区

承载组织与外部第三方机构信息交换，如电子政务专网、监管机构、合作机构等。

■内部接入区

承载组织内部分支机构、灾备中心之间信息交换，以及组织内人员从外部接入通道。

4.1.2.网络基础设施区

■关键汇聚区

数据中心网络汇聚中心，各个区域之间数据流传都会经过关键汇聚区。通常在此区

域进行网络流量安全监控。

■区域接入区

主要是各个安全区内部接入路由交换设备，通常在此区域布署网络接入控制等方法。

4.1.3.业务接入区

■通常服务区

用于存放防护级别较低，需直接对外提供服务信息资产，如Web应用、业务前置

机、办公服务器等，通常服务区与外界有直接连接，同时不能够访问关键数据区（防止

被作为攻击关键数据区跳板）。

■主要服务区

用于存放级别较高，不需要直接点•外提供服务信息资产，如生产应用服务器等，主

要服务区通常经过通常服务区与外界连接，并能够直接访问关键数据区。

■关键数据区

用于存放级别非常高信息资产，如关键数据库等，外部对关键区访问需要经过主要

服务区跳转.

4.1.4.运维管理区

运维管理区通常承载网络管理、安全管理和业务运维等应用，运维人员经过本区域

管理平台对网络设备、服务器、安全产品进行管理。如各类设备日志存放、安全管理平

台、各类监控系统等。

4.2.整体设计

依照上述安全域划分架构，对数据中心进行整体安全设计，以卜.列图所表示:

(W»b.APP.SSL)BKMK(Man)

图4-1数据中心整体安全设计

4.3.各安全域安全架构设计

4.3.1.互联网接入区

互联网接入区主要面临来自互联网安全威胁，对于互联网接入区安全设计主要从以

下两方面考虑：

I.防范DDoS攻击（分布式拒绝强务攻击）。DDOS攻击分为带宽消耗型攻击（大

流量攻击）和主机资源消耗型攻击，带宽消耗型攻击会对数据出口造成流量压

力，极大浪费宝贵带宽资源，严重增加关键设备工作负荷，造成关键业务中止

或网络服务质量大幅降低。主机资源消耗型攻击使服务器处理大量并发攻击请

求，严重影响服务器内存、数据库、CPU处理性能。DDoS攻击会造成门户网

站、网络设备、虚拟服务器等性能均急剧下降，可能造成无法正常处理用户正

常访问请求，造成客户访问失败。

2.未知威胁检测与响应。互联网边界是威胁主要入口之一，同时也是数据泄露主

要出口之■=尤其是当前APT攻击盛行，各类未知威胁对关键数据安全造成巨

大危害。网关层面应该具备对未知威胁检测能力，并能实现联动响应机制，拦

截掠威胁进出路径。

本区域安全设计以下列图所表示:

图4-2互联网接入区安全设计

■在互联网边界布署抗DDoS系统，对来自外部DDoS攻击进行实时阻断。

■布署360网神下一代智慈防火墙，实现高性能应用层安全防护，以及与安全运

行平台进行联动，实现网关处未知威胁处置。

4.3.2.外联接入区

外联接入区主要面临威胁来自于外联机构，通常外联机构使用专线或者VPN连接

到数据中心，访问特定业务系统。对于外联接入区安全设计主要从访问控制方面重点考

本区域安全设计以下列图所表示:

外联接入区

[MASSES

图4-3外联接入区安全设计

■布署360网神卜一代智整防火墙，实现端口级访问控制，并开启应用层防护功

效，对来自外部机构恶意代码、高级威胁等进行检测和拦截。

4.3.3.内部接入区

内部接入区主要面临威胁来自于远程接入带来风险，如传输过程信道监听、员工远

程接入后权限滥用等。内部接入区安全设计主要考虑远程安全接入中访问控制、权限管

理、传输加密等方面。

本区域安全设计以下列图所表示:

内部接入区

图4.4内部接入区安全设计

■布署VPN接入网关，实现对分支机构接入访问控制、权限管理，而且采取链路

加密技术确保敏感信息传输安全。

■布署360网神下一代智慧防火墙，支持对穿过防火墙SSL协议进行解密，并对

解密后数据提供防护过滤，如攻击防护、入侵检测、病毒防护、内容过滤等。

4.3.4.关键汇聚区

关键汇聚区安全设计主要考虑从全网流量中对各类威胁进行识别检测，及时发觉攻

击行为并向安全运行中心进行告警。

本区域安全设计以下列图所表示:

,核心汇聚区

网领四

流星镜像

图4-5关键汇聚区安全设计

■在关键交换机上旁路布署360天眼网络威胁传感器。经过流量镜像接收全网通

信数据流，对各类网络行为进行还原，从中识别各类已知威胁生成告警；还能

够经过与360威胁情报中心下发到当地威胁情报进行比对，识别未知威胁：同

时全量网络数据存放在当地大数据分析平台，能够对威胁进行溯源。

■布署360天眼文件威胁判定器。网络威胁传感器识别到网络流量中文件传输行

为后，会将文件还原并发送至文件威胁判定器，进行深度分析。文件威胁判定

益会对1七义件、脚本义件等进行模拟运行，经过义件运行过程中执行操作行

为深入识别潜在威胁。

4.35通常服务区

通常服务区通常承载了对外Web类应用，主要面临威胁有以下两方面:

I.应用安全风险，主要因为应用软件漏洞造成。任何一个软件或多或少存在一定

脆弱性，安全漏洞可视作已知系统脆弱性。这种安全漏洞可分为两种：一个是

因为操作系统本身设计缺点带来漏洞，它将被运行在这个系统上应用程序所继

承，另一个是应用软件程序安全漏洞，很常见，更要引发广泛关注。

2.主机安全风险。包含两方面：•是物理机与虚拟机操作系统恶意代码防范。二

是因为服务器虚拟化技术带来新型风险，如东西向流量访问控制、虚拟机逃逸

漏洞、虚拟机漂移造成安全策略失效等。

本区域安全设计以卜列图所表示:

图4-6通常服务区安全设计

■在通常服务区边界布署Web应用防火墙，用于对应用层攻击行为进行实时防护。

■在通常服务区接入交换机旁路布署Web漏洞智能监测系统，首先能够从进出站

流量中识别出应用系统存在漏洞和针对Web应用攻击行为；另首先能够对站点

中存在暗链、后门访问行为进行识别，发觉潜在安全风险。

■在物理机和虚拟机操作系统上布署天擎虚拟化安全客户端，主要功效包含恶意

代码防护、主机防火墙、主机入侵防御，并能够对虚拟机与物理机操作系统进

行统一管理。客户端与布署在运维管理区虚拟化安全控制中心进行通信，进行

病毒库更新、安全策略更新、日志行警上传等。

■在服务器虚拟化管理层布署宿主机防护代理客户端，用于防范利用虚拟机逃逸

漏洞对宿主机进行穿透攻击行为，确保宿主机上全部虚拟机安全运行。

4.3.6.主要服务区

主要服务区主要面临威胁来自于主机操作系统层，包含两方面：一是物理机与虚拟

机操作系统恶意代码防范。二是因为服务器虚拟化技术带来新型风险，如东西向流量访

问拦制、虚拟机逃逸漏洞、虚拟机漂移造成安全策略失效等。

本区域安全设计以下列图所表示:

重要服务区（业务应用）

图4-7主要服务区安全设计

■在物理机和虚拟机操作系统上布署天擎虚拟化安全客户端，主要功效包含恶意

代码防护、主机防火墙、主机入侵防御，并能够对虚拟机与物理机操作系统进

行统一管理。客户端与布署在运维管理区虚拟化安全控制中心进行通信，进行

病毒库更新、安全策略更新、日志告警上传等。

■在服务器虚拟化管理层布署宿主机防护代理客户端，用于防范利用虚拟机逃逸

漏洞对宿主机进行穿透攻击行为，确保宿主机上全部虚拟机安全运行。

4.3.7.关键数据区

关键数据区主要面临威胁来自丁•对数据安全方面，如敏感数据泄露、对数据库越权

访问、数据库配置缺点等。

本区域安全设计以下列图所表示:

一,,一■―--，・一・.、

图4-8关键数据区安全设计

■在关键数据区旁路布署数据库审计系统，监视并统计对数据库服务器各类操作

行为，并能够支持操作回放。还能够经过建立行为模型来发觉违规数据库访问

行为，并能够进行溯源，定位到责任人。

4.3.8.运维管理区

安全运维是整个安全体系重中之重，过去安全运维价值难以得到表现，主要有以下

原因：如安全管理割裂、学习成本高、对运维人员水平要求较高、安全管理结果缺乏可

视化展现伎俩等。本方案要做到不但仅是实现安全防护目标，同时要尽可能提升安全运

维效率和体验，降低人为错误带来风险。经过集中化、自动化、智能化管理工具，实现

覆蛊威胁检测、响应、溯源，形成安全运行闭环。

本区域安全设计以下列图所表示:

图4-9运维管理区安全设计

■布署态势感知及