xxxx电厂数据中心私有云安全方案.pdfVIP

XXXX 电厂数据中心 私有云安全方案 一、“统一平台”云安全防护解决方案 从传统的安全角度出发，很多电厂私有云平台在建设过程中都面临“物理隔离”和“统 一平台”两种解决思路的选择。早期，基于传统技术架构和生产安全因素考虑，“物理隔离” 方案应用较为广泛。然而，随着网络安全技术和云计算技术的快速发展，现有安全技术已经 完全可以解决隔离不同类型应用（VM）的需求。因此，在采取相关安全措施的基础上，“统 一平台”方案无论业务层面还是安全层面都具有更高的优势。 图1、生产网与信息网“物理隔离”方案 （传统） 图2、生产信息网“统一平台”方案 （推荐） 下面针对新主流 “统一平台”方案（图2）与传统的“物理隔离”方案 （图1）进行对 比分析。 为了便于对比，首先简要说明图 2 的方案。该方案引入了云安全防护设备。该设备通 过数字化信息管理网（业务网）与私有云平台的计算、存储资源池互联，可对任意的物理资 源、逻辑应用（VM）进行有效隔离，可以实现数据包、网络连接、逻辑应用（VM）、物理资 源各个颗粒度的数据进行分析、过滤、处理，同时具有防内网渗透、隔离蠕虫类病毒、识别 APT 攻击等功能，能够有效保障私有云平台的隔离性及安全性。 具体分析如下： （一）业务层面 1、资源使用效率 从云平台业务使用的角度看，“统一平台”具有绝对优势，可以最大限度地统一调度、 配置、管理私有云平台中的所有资源；而“物理隔离”方案将私有云中不同的物理资源进行 隔离，其实质是将统一的云平台机械地切割成两个（甚至多个）云平台，这就大大降低了云 平台对计算、存储资源的统一调度和管理，资源使用效率大大降低。 2、系统扩展性 “统一平台”方案的系统扩展能力强，对于物理资源扩展、逻辑资源变更等都具有很好 的扩展性；而“物理隔离”方案在进行资源扩展时，必须以隔离出的小区域为基本单位进行， 无法调度跨区域的闲置资源，扩展性较差。在未来私有云平台扩容、升级过程中都会带来更 多困难。 3、管理的复杂性 “统一平台”使用一套云管理系统即可，其管理配置策略、逻辑应用维护等具有统一的 接口，具有较好的一致性，管理相对容易；而“物理隔离”方案因将云平台分割成多个云， 因此各个区域的管理配置策略、各个逻辑应用 （VM）的维护等方面很可能不一致，导致管理 一致性较差，容易导致管理混乱，甚至可能需要多套独立的管理平台，大大增加了管理的复 杂性。此外，一旦管理混乱，出现跨区域配置错误，将容易造成严重的安全风险。 4、运维成本 由于两种方案在资源利用效率、系统扩展性、管理复杂性等方面的差异，“物理隔离” 方案在运维成本上比“统一平台”方案更高。 （二）安全层面 1、隔离性 “物理隔离”仅能在物理资源这个级别进行隔离，隔离的颗粒度比较粗糙，一般仅能隔 离成有限的几个（比如2 个）区域。而图2 所示的方案不仅支持物理资源的隔离，而且支持 逻辑应用（VM）颗粒度的隔离。其中物理资源隔离和“物理隔离”方案具有相同的隔离效果， 而且可以任意地划分隔离组，远远大于“物理隔离”方案所能支持的隔离组。此外，图 2 方案支持逻辑应用（VM）级别的隔离，也就是说，既使是驻留在同一物理资源上的不同VM， 也可以被隔离到不同的区域。因此，图2 的方案在隔离性方面优于“物理隔离”方案（图1）， 支持逻辑应用（VM）之间的单向传输，类似于传统的物理网闸功能，比如电厂历史数据库 VM 与信息层应用VM 数据传输往往采用单向传输设计，为私有云平台的安全管理提供了极大 的灵活性。 2、防内网渗透 内网渗透是“黑客”实施攻击、获取有价值信息过程中最主要的攻击扩展手段。“物理 隔离”方案在区域之间具有一定的防内网渗透能力，但区域内几乎没有任何防渗透的能力。 而图2 的方案，不仅可以防止跨区域的内网渗透，甚至对于同一区域的各逻辑应用（VM）之 间的渗透也具有良好的防范效果。 3、内部防火墙 “物理隔离”方案没有任何数据包、网络连接级别的数据控制能力，对于逻辑应用（VM） 而言，相当于没有防火墙的能力。而图2 的方案中，具有数据包、网络连接级别的数据分析 和处理能力，从逻辑上看，相当于可以为每个逻辑应用 （VM）配置了一台硬件防火墙，而且 可以针对不