數(shù)據(jù)中心整體安全解決方案v11-全文預(yù)覽
【正文】 全客戶端，主要功能包括惡意代碼防護(hù)、主機(jī)防火墻、主機(jī)入侵防御，并可以對(duì)虛擬機(jī)與物理機(jī)操作系統(tǒng)進(jìn)行統(tǒng)一管理。包括兩方面：一是物理機(jī)與虛擬機(jī)操作系統(tǒng)的惡意代碼防范。. 一般服務(wù)區(qū)一般服務(wù)區(qū)通常承載了對(duì)外的Web類應(yīng)用，主要面臨的威脅有以下兩方面：1. 應(yīng)用安全風(fēng)險(xiǎn)，主要由于應(yīng)用軟件的漏洞造成。通過流量鏡像接收全網(wǎng)的通信數(shù)據(jù)流，對(duì)各類網(wǎng)絡(luò)行為進(jìn)行還原，從中識(shí)別各類已知威脅生成告警；還可以通過與360威脅情報(bào)中心下發(fā)到本地的威脅情報(bào)進(jìn)行比對(duì)，識(shí)別未知威脅；同時(shí)全量網(wǎng)絡(luò)數(shù)據(jù)存儲(chǔ)在本地大數(shù)據(jù)分析平臺(tái)，可以對(duì)威脅進(jìn)行溯源。本區(qū)域安全設(shè)計(jì)如下圖所示：圖 4 4 內(nèi)部接入?yún)^(qū)安全設(shè)計(jì)n 部署VPN接入網(wǎng)關(guān)，實(shí)現(xiàn)對(duì)分支機(jī)構(gòu)接入的訪問控制、權(quán)限管理，并且采用鏈路加密技術(shù)保證敏感信息的傳輸安全。對(duì)于外聯(lián)接入?yún)^(qū)的安全設(shè)計(jì)主要從訪問控制方面重點(diǎn)考慮。網(wǎng)關(guān)層面應(yīng)當(dāng)具備對(duì)未知威脅的檢測(cè)能力，并能實(shí)現(xiàn)聯(lián)動(dòng)響應(yīng)機(jī)制，攔截掉威脅進(jìn)出的路徑。 DDoS攻擊會(huì)造成門戶網(wǎng)站、網(wǎng)絡(luò)設(shè)備、虛擬服務(wù)器等性能均急劇下降，可能導(dǎo)致無法正常處理用戶的正常訪問請(qǐng)求，造成客戶訪問失敗。如各類設(shè)備的日志存儲(chǔ)、安全管理平臺(tái)、各類監(jiān)控系統(tǒng)等。. 業(yè)務(wù)接入?yún)^(qū)n 一般服務(wù)區(qū)用于存放防護(hù)級(jí)別較低，需直接對(duì)外提供服務(wù)的信息資產(chǎn)，如Web應(yīng)用、業(yè)務(wù)前置機(jī)、辦公服務(wù)器等，一般服務(wù)區(qū)與外界有直接連接，同時(shí)不能夠訪問核心數(shù)據(jù)區(qū)（避免被作為攻擊核心數(shù)據(jù)區(qū)的跳板）。n 內(nèi)部接入?yún)^(qū)承載組織內(nèi)部的分支機(jī)構(gòu)、災(zāi)備中心之間的信息交換，以及組織內(nèi)人員從外部接入的通道。 4. 方案設(shè)計(jì). 安全域劃分安全域劃分的目的是從信息安全的角度來對(duì)企業(yè)信息系統(tǒng)進(jìn)行拆分。n 立體協(xié)防原則：應(yīng)避免形成各個(gè)安全產(chǎn)品獨(dú)立割裂的安全體系，充分利用威脅情報(bào)和大數(shù)據(jù)等新技術(shù)，實(shí)現(xiàn)網(wǎng)絡(luò)、終端、邊界的立體協(xié)防機(jī)制。3) 強(qiáng)調(diào)安全運(yùn)營(yíng)的價(jià)值，實(shí)現(xiàn)預(yù)警、檢測(cè)、響應(yīng)、溯源的閉環(huán)流程；. 設(shè)計(jì)原則n 業(yè)務(wù)保障原則：安全體系的設(shè)計(jì)目標(biāo)是能夠更好的保障網(wǎng)絡(luò)上承載的業(yè)務(wù)。從云提供商的角度來看，傳統(tǒng)模式下的網(wǎng)絡(luò)安全需求并沒有什么變化，無論從信息安全的保密性、完整性、可用性，還是根據(jù)網(wǎng)絡(luò)層次劃分的從物理層到應(yīng)用層安全，仍然是需要解決的問題。這種效率明顯不能滿足攻擊行為分析的需求。當(dāng)一個(gè)報(bào)警事件產(chǎn)生時(shí)，不知道該如何處理。. 安全運(yùn)維的挑戰(zhàn)隨著技術(shù)和應(yīng)用的演進(jìn)，讓今天的IT環(huán)境和過去相比，已經(jīng)發(fā)生了巨大的變遷，而相應(yīng)的安全運(yùn)維管理重點(diǎn)，也從過去的“設(shè)備監(jiān)控、告警程序”，轉(zhuǎn)變?yōu)閷?duì)企業(yè)業(yè)務(wù)發(fā)展的關(guān)注和支撐。由于APT特種木馬的免疫行為，所以傳統(tǒng)的防病毒軟件以及安全控管措施和理念很難有效應(yīng)對(duì)APT攻擊。. APT攻擊風(fēng)險(xiǎn)傳統(tǒng)的防病毒軟件可以一定程度的解決已知病毒、木馬的威脅，但對(duì)于越來越多的APT攻擊卻束手無策。一直以來無論虛擬化廠商或安全廠商都將安全的關(guān)注點(diǎn)放在虛擬機(jī)系統(tǒng)和應(yīng)用層面，直到 “毒液”安全漏洞的出現(xiàn)，才將人們的目光轉(zhuǎn)移到宿主機(jī)，由于宿主機(jī)系統(tǒng)本身也都是基于Windows或Linux系統(tǒng)進(jìn)行底層重建，因此宿主機(jī)不可避免的會(huì)面對(duì)此類漏洞和風(fēng)險(xiǎn)問題，一旦宿主機(jī)的安全防護(hù)被忽略，黑客可以直接攻破虛擬機(jī)，從而造成虛擬機(jī)逃逸。這類攻擊將使得應(yīng)用程序不可使用。利用信任關(guān)系——有些攻擊利用的是信任關(guān)系而不是應(yīng)用程序的錯(cuò)誤。最后，許多應(yīng)用程序有著復(fù)雜的配置，缺乏經(jīng)驗(yàn)的用戶可能會(huì)在部署應(yīng)用程序時(shí)啟用了危險(xiǎn)的選項(xiàng)，從而導(dǎo)致應(yīng)用程序的安全性降低。海量的SYN Flood、ACK Flooding、UDP Flood、ICMP Flood、 (M)Stream Flood等攻擊產(chǎn)生的大量垃圾數(shù)據(jù)包，一方面大量占用網(wǎng)絡(luò)帶寬，另一方面會(huì)造成邊界路由器和核心交換機(jī)等網(wǎng)絡(luò)設(shè)備的有效數(shù)據(jù)轉(zhuǎn)發(fā)能力下降，甚至?xí)霈F(xiàn)核心路由器和交換機(jī)因負(fù)荷過載而造成轉(zhuǎn)發(fā)延遲增大和數(shù)據(jù)包丟包率上升等問題。盡管大多數(shù)系統(tǒng)管理員已經(jīng)認(rèn)識(shí)到來自網(wǎng)絡(luò)的惡意行為對(duì)數(shù)據(jù)中心造成的嚴(yán)重?fù)p害，而且許多數(shù)據(jù)中心已經(jīng)部署了依靠訪問控制防御來獲得安全性的設(shè)備，但對(duì)于日趨成熟和危險(xiǎn)的各類攻擊手段，這些傳統(tǒng)的防御措施仍然顯現(xiàn)的力不從心。因此，對(duì)于數(shù)據(jù)中心的安全建設(shè)，要考慮多方面因素，任何防護(hù)上的疏漏必將會(huì)導(dǎo)致不可估量的損失，因此構(gòu)筑一道安全的防御體系將是這座數(shù)字城堡首先面對(duì)的問題。另一方面數(shù)據(jù)中心不再是簡(jiǎn)單的基礎(chǔ)通信網(wǎng)絡(luò)，更是集通信服務(wù)、IT服務(wù)、管理應(yīng)用和專業(yè)信息化服務(wù)于一體的綜合性信息服務(wù)中心。一方面隨著信息爆炸，出于管理集約化、精細(xì)化的必然要求，進(jìn)行數(shù)據(jù)集中已經(jīng)成為國(guó)內(nèi)電子政務(wù)、企業(yè)信息化建設(shè)的發(fā)展趨勢(shì)。相比過去的傳統(tǒng)數(shù)據(jù)中心，云時(shí)代的數(shù)據(jù)中心面臨著更巨大的挑戰(zhàn)，如新業(yè)務(wù)模式帶來的數(shù)據(jù)保護(hù)風(fēng)險(xiǎn)、虛擬化等新技術(shù)引入的新型風(fēng)險(xiǎn)、攻擊者不斷演進(jìn)的新型攻擊手法等。這種復(fù)雜性也為數(shù)據(jù)中心的安全體系引入許多不確定因素，一些未實(shí)施正確安全策略的數(shù)據(jù)中心，黑客和蠕蟲將順勢(shì)而入。在互聯(lián)網(wǎng)上尤其是拒絕服務(wù)攻擊現(xiàn)在呈多發(fā)趨勢(shì)，而且中國(guó)是攻擊發(fā)生的重災(zāi)區(qū)，在世界范圍內(nèi)僅次于美國(guó)排名第二
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1