数据中心网络安全建设的思路.docx

由于数据中心承载着用户的核心业务和机密数据，同时为内部、外部以及合作伙伴等客户供应业务交互和数据交换，因此在新一代的数据中心建设过程中，平安体系建设成为重点的主题。 数据中心平安围绕数据为核心，从数据的访问、使用、破坏、修改、丢失、泄漏等多方面维度开放， 一般来说包括以下几个方面： 物理平安：主要指数据中心机房的平安，包括机房的选址，机房场地平安，防电磁辐射泄漏，防静电，防火等内容； 网络平安：指数据中心网络自身的设计、构建和使用以及基于网络的各种平安相关的技术和手段， 如防火墙，IPS，平安审计等； 系统平安：包括服务器操作系统，数据库，中间件等在内的系统平安，以及为提高这些系统的平安性而使用平安评估管理工具所进行的系统平安分析和加固； 数据平安：数据的保存以及备份和恢复设计； 信息平安：完整的用户身份认证以及平安日志审计跟踪，以及对平安日志和大事的统一分析和记录； 抛开物理平安的考虑，网络是数据中心全部系统的基础平台，网络平安从而成为数据中心平安的基础支持。因此合理的网络平安体系设计、构建平安牢靠的数据中心基础网络平台是进行数据中心平安建设的基本内容。 数据中心网络平安建设原则 网络是数据传输的载体，数据中心网络平安建设一般要考虑以下三个方面： 合理规划网络的平安区域以及不同区域之间的访问权限，保证针对用户或客户机进行通信供应正确的授权许可，防止非法的访问以及恶性的攻击入侵和破坏； 建立高牢靠的网络平台，为数据在网络中传输供应高可用的传输通道，避开数据的丢失，并且提 供相关的平安技术防止数据在传输过程中被读取和转变； 供应对网络平台支撑平台自身的平安爱护，保证网络平台能够持续的高牢靠运行； 综合以上几点，数据中心的网络平安建设可以参考以下原则： 整体性原则：“木桶原理”，单纯一种平安手段不行能解决全部平安问题 ； 多重爱护原则：不把整个系统的平安寄予在单一平安措施或平安产品上； 性能保障原则：平安产品的性能不能成为影响整个网络传输的瓶颈； 平衡性原则：制定规范措施，实现爱护成本与被爱护信息的价值平衡 ； 可管理、易操作原则：尽量接受最新的平安技术，实现平安管理的自动化，以减轻平安管理的负担， 同时减小由于管理上的疏漏而对系统平安造成的威逼； 适应性、机敏性原则：充分考虑今后业务和网络平安协调进展的需求，避开因只满足了系统平安要 求，而给业务进展带来障碍的状况发生 ； 高可用原则：平安方案、平安产品也要遵循网络高可用性原则； 技术与管理并重原则： “三分技术，七分管理”，从技术角度动身的平安方案的设计必需有与之相适应的管理制度同步制定，并从管理的角度评估平安设计方案的可操作性 投资爱护原则：要充分发挥现有设备的潜能，避开投资的铺张； 数据中心网络平安体系设计 模块化功能分区 为了进行合理的网络平安设计，首先要求对数据中心的基础网络，接受模块化的设计方法，依据数据中心服务器上所部署的应用的用户访问特性和应用的核心功能，将数据中心划分为不同的功能区域。 接受模块化的架构设计方法可以在数据中心中清楚区分不同的功能区域，并针对不同功能区域的平安 防护要求来进行相应的网络平安设计。这样的架构设计具有很好的伸缩性，依据将来业务进展的需要，可以格外简洁的增加新的区域，而不需要对整个架构进行大的修改，具备更好的可扩展性。由于每个区域的平安功能是依据每个区域的特性进行定义，因此可以在不影响其他应用或者整个区域的状况下单独进行平安部署，对于一次性建设投资或分阶段建设的状况下都可以很好进行网络平安的布局。 “核心-边缘“平安边界定义 接受模块化的架构设计方法将数据中心分为多个功能区域后，由于不同功能区域之间会有相互通讯的需求，因此整个网络架构形成“核心-边缘”的结构特性，如图1所示，以数据中心核心区为中心，其他功能区域与核心区相连，成为数据中心网络的边缘区域。为了更好的保证数据中心的网络性能，数据中心核心区一般只供应高速的数据转发功能，不做平安把握的部署，在这个区域需要重点规划的是核心区的高牢靠和高性能保证。 图1 “核心-边缘”平安边界 在这种“核心-边缘”的结构特性下，各功能区域同核心区域相连的接口成为该区域的网络平安边界。从业务和平安把握的角度动身，在各功能区域的边界需要接受肯定的技术手段（通常部署防火墙硬件设备） 定义成独立的平安区域。不同平安区域之间的网络假如需要相互访问，应当遵从有限互通的原则，依据不同功能区域之间平安信任级别的不同，在平安边界上部署不同的访问把握策略，禁止不同区域之间的网络在不实行任何平安访问把握的前提下直接互通。 “点、线、面”平安布局 平安边界的定义实现了对不同区域之间相互访问的把握，而各个功能区域内依据平安爱护等级的要求以及平安访问的特性，需要分别设计各自的网络平安布局。 “点、线、面”平安布局的核心思想是以对