{安全生产管理}数据中心安全建议书.docx

PAGE {安全生产管理}数据中心安全建议书  数据中心安全建议书 2008-08 目录 TOC \o 1-3 \h \z \u 一、概述1 二、安全设计1 三、物理安全2 1.环境安全2 2.机房安全2 四、网络安全3 1.防火墙3 2.入侵保护系统（IPS）3 3.网络、数据库审计4 五、系统安全4 1.主机安全4 2.漏洞扫描5 3.防病毒5 4.补丁分发5 六、应用和信息安全6 1.数据备份与恢复6 2.抗DDOS攻击系统6 3.身份及访问安全管理6 概述 近几年来，越来越多的企业对数据中心建设青睐有佳。在享受数据中心带来生产力提高的同时，其内在的安全建设成为了业内的热点。让数据中心远离安全威胁，促使其在管理、运维上向安全靠拢，已经成为当前的建设趋势。 针对数据中心提出以下几个安全方面的建议。 安全设计 安全防护体系涵盖了物理安全、网络安全、系统安全以及应用层的安全防护，每个层面包括了若干种安全防护手段和措施。 建议数据中心的网络采用以两台交换机为中心的双星形冗余结构的网络；在网络边界采用网络防火墙进行逻辑隔离，通过部署IPS实现边界纵深防御；数据中心采用网络/数据库审计系统保障对网络和数据库的安全；在数据中心的主机或服务器上安装网络版防毒软件的客户端；数据中心的服务器采用双机互为热备份的工作方式；对数据中心的数据通过阵列或磁带库进行相应的备份；结合身份及访问安全管理系统，实现对数据中心重要系统的访问控制及行为审计；通过部署防DDOS攻击系统，有效保障数据中心内部业务系统。 对数据中心的安全防护措施如下图所示： 下面从物理安全、网络安全、系统安全以及应用层的安全四个层面，描述各层面安全的具体技术手段及措施。 物理安全 在数据中心计算机网络与安全防护系统建设实施中，物理安全措施的实施包括了主要包括环境安全、机房安全和物理隔离等方面。 环境安全 设备工作环境的安全防护可参照GB50173-93《电子计算机机房设计规范》、GB2887-89《计算站场地技术条件》和GB9361-88《计算站场地安全要求》等标准实施。 机房安全 物理环境的防护 计算机机房场地安全 防电磁辐射泄漏 禁带物品 设备防盗 空调系统 防静电 电源 接地 计算机场地防火 运输过程中的防护 网络安全 网络安全是一个比较通用的概念，通常包括网络自身的设计、构建和使用以及基于网络的各种安全相关的技术和手段。 防火墙 防火墙是部署在不同网络安全域之间的一系列部件的组合。它能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。防火墙实现网与网之间的访问隔离，以保护整个网络抵御来自其它网络的入侵者。 数据中心作为一个安全级别较高的存在，需要与与长江养老保险公司的网络逻辑上隔离。 通过在数据中心与长江养老保险公司的内部网络相连处，部署网络防火墙，将数据中心与长江养老保险公司的内部网络在逻辑上进行隔离。 入侵保护系统（IPS） 入侵保护（阻止）系统（IPS）是新一代的侵入检测系统。 IPS技术可以深度感知并检测流经的数据流量，对恶意报文进行丢弃以阻断攻击，对滥用报文进行限流以保护网络带宽资源。通过入侵防护系统，可以实时检测到各种攻击，同时实时做出各种预先定义的响应，作到在黑客造成破坏之前发现问题，解决问题。 IPS广泛应用于银行、政府等部门的内部网络访问外部网络，也可用于内部网的不同信任域间的信息交互。数据中心可以根据实际需要，将此防护措施运用于安全保护要求较高的领域。 网络、数据库审计 安全审计系统主要监控来自网络内部和外部的用户活动，侦察系统中现存的和潜在的威胁，对与安全有关的活动的相关信息进行识别，记录，存储和分析，对突发事件进行报警和响应。 在数据中心的网络中，安全审计主要体现在几个方面，网络审计和数据库业务审计。 针对网络层面，在系统内的很多敏感或涉密信息如果被有意或无意中泄漏出去，将会产生严重的后果，同时由于与Internet的互连，不可避免地使一些不良信息流入。为防止与追查网上机密信息的泄漏行为，并防止不良信息的流入，可在网络系统与Internet的连接处，对进出网络的信息流实施内容审计。 针对数据中心，需要在关键的部位加强对数据库系统的安全防护功能，建议使用数据库业务审计的相关技术和产品。 系统安全 主机安全 可被攻击的系统的漏洞主要集中在几个方面：固有的安全漏洞、合法工具的滥用、不正确的系统维护措施和低效的系统设计及检测能力。 数据中心在主机安全管理方面可着重考虑以下措施： 在计算机网络与信息系统中采用先进的访问控制系统完善计算机系统的访问控制，严格划分、管理、控制用户的权限和行为，达到更高层次的安全级别。在信息系统中，对于核心业务服务器以及关键数据