數(shù)據(jù)中心整體安全解決方案v11-預(yù)覽頁(yè)
【正文】 。此外，許多程序員未考慮到使用某些特定語(yǔ)言結(jié)構(gòu)將會(huì)導(dǎo)致應(yīng)用程序暴露在隱式攻擊下。這樣的例子有：緩沖區(qū)溢出漏洞，它來(lái)自對(duì)不安全的C庫(kù)函數(shù)的使用；以Web為中心的漏洞，如將未經(jīng)清理的查詢傳遞給后端數(shù)據(jù)庫(kù)的Web服務(wù)器（這將導(dǎo)致SQL注入攻擊），以及將直接來(lái)自客戶端未經(jīng)過(guò)濾的內(nèi)容寫入頁(yè)面的站點(diǎn)（這將導(dǎo)致跨站腳本或XSS攻擊）。耗盡資源——像網(wǎng)絡(luò)層或傳輸層的DoS攻擊一樣，應(yīng)用程序有時(shí)候也會(huì)遭受到大量數(shù)據(jù)輸入的攻擊。而且宿主機(jī)的安全問(wèn)題同樣需要得到重視。企業(yè)的數(shù)據(jù)中心在虛擬化后，一旦發(fā)生虛擬機(jī)漂移，原有安全管理員配置好的安全域?qū)⒈煌耆蚱?，甚至?xí)霈F(xiàn)部分物理服務(wù)器和虛擬機(jī)服務(wù)器處于同一個(gè)安全域這樣的情況，而依靠傳統(tǒng)防火墻和VLAN的方式將沒(méi)有辦法維持原來(lái)的安全域穩(wěn)定，使得安全域混亂，安全管理出現(xiàn)風(fēng)險(xiǎn)因此基于虛擬化環(huán)境自身的特性，數(shù)據(jù)中心需要充分考慮虛擬化的引入為企業(yè)帶來(lái)的相應(yīng)的風(fēng)險(xiǎn)，根據(jù)各個(gè)風(fēng)險(xiǎn)點(diǎn)帶來(lái)的問(wèn)題及威脅建設(shè)針對(duì)性的防護(hù)方案，以保障企業(yè)數(shù)據(jù)的安全及業(yè)務(wù)系統(tǒng)的平穩(wěn)運(yùn)行。更加危險(xiǎn)的是，這些新型的攻擊和威脅主要針對(duì)大型企業(yè)、國(guó)家重要的基礎(chǔ)設(shè)施或者具有核心利益的網(wǎng)絡(luò)基礎(chǔ)設(shè)施。近年來(lái)各種機(jī)構(gòu)被“拖庫(kù)”事件頻繁發(fā)生，數(shù)據(jù)中心關(guān)鍵數(shù)據(jù)的高密度聚合對(duì)潛在的攻擊者具有極大的誘惑力，數(shù)據(jù)安全面臨巨大的挑戰(zhàn)。在實(shí)際的運(yùn)維過(guò)程中，這些不同種類、不同廠家的安全產(chǎn)品會(huì)給技術(shù)人員帶來(lái)不小的麻煩各個(gè)安全系統(tǒng)相對(duì)孤立，報(bào)警信息互不關(guān)聯(lián)，策略和配置難于協(xié)調(diào)。例如：在一個(gè)中型規(guī)模的企業(yè)中記錄全年的網(wǎng)絡(luò)出口流量，大約有2000億條日志，需要約300多TB的存儲(chǔ)空間，如果使用傳統(tǒng)的檢索技術(shù)進(jìn)行一次條件檢索，大概需要幾個(gè)小時(shí)的時(shí)間。 3. 方案思路. 總體思路基于數(shù)據(jù)中心的業(yè)務(wù)需求，以及數(shù)據(jù)中心面臨的安全問(wèn)題，很難通過(guò)一次安全建設(shè)將數(shù)據(jù)中心面臨的所有風(fēng)險(xiǎn)解決；同時(shí)，安全風(fēng)險(xiǎn)也是動(dòng)態(tài)發(fā)展變化的，因此我們的解決方案也需要隨著數(shù)據(jù)中心的安全需求變化不斷完善和發(fā)展。解決思路如下：1) 對(duì)數(shù)據(jù)中心進(jìn)行安全域劃分，根據(jù)各區(qū)域的業(yè)務(wù)特性、技術(shù)特性以及安全需求進(jìn)行對(duì)應(yīng)的安全防護(hù)設(shè)計(jì)；2) 要充分考慮網(wǎng)絡(luò)層、操作系統(tǒng)層、虛擬化層、應(yīng)用層以及數(shù)據(jù)層的安全防護(hù)需求，特別是虛擬化等新技術(shù)帶來(lái)的問(wèn)題。比如，安全域劃分并不是粒度越細(xì)越好，安全域數(shù)量過(guò)多過(guò)雜可能導(dǎo)致安全域的管理過(guò)于復(fù)雜和困難。n 可管理性原則：應(yīng)當(dāng)采用集中化、自動(dòng)化、智能化的安全管理手段，減輕安全的負(fù)擔(dān)，同時(shí)減小因?yàn)楣芾砩系氖杪┒鴮?duì)系統(tǒng)安全造成的威脅。n 外聯(lián)接入?yún)^(qū)承載組織與外部第三方機(jī)構(gòu)的信息交換，如電子政務(wù)專網(wǎng)、監(jiān)管機(jī)構(gòu)、合作機(jī)構(gòu)等。n 區(qū)域接入?yún)^(qū)主要是各個(gè)安全區(qū)內(nèi)部接入的路由交換設(shè)備，通常在此區(qū)域部署網(wǎng)絡(luò)接入控制等措施。. 運(yùn)維管理區(qū)運(yùn)維管理區(qū)通常承載網(wǎng)絡(luò)管理、安全管理和業(yè)務(wù)運(yùn)維等應(yīng)用，運(yùn)維人員通過(guò)本區(qū)域的管理平臺(tái)對(duì)網(wǎng)絡(luò)設(shè)備、服務(wù)器、安全產(chǎn)品進(jìn)行管理。主機(jī)資源消耗型攻擊使服務(wù)器處理大量并發(fā)攻擊請(qǐng)求，嚴(yán)重影響服務(wù)器內(nèi)存、數(shù)據(jù)庫(kù)、CPU的處理性能。尤其是當(dāng)前APT攻擊盛行，各類未知威脅對(duì)核心數(shù)據(jù)安全造成巨大的危害。. 外聯(lián)接入?yún)^(qū)外聯(lián)接入?yún)^(qū)主要面臨的威脅來(lái)自于外聯(lián)機(jī)構(gòu)，通常外聯(lián)機(jī)構(gòu)使用專線或者VPN連接到數(shù)據(jù)中心，訪問(wèn)特定的業(yè)務(wù)系統(tǒng)。內(nèi)部接入?yún)^(qū)的安全設(shè)計(jì)主要考慮遠(yuǎn)程安全接入中的訪問(wèn)控制、權(quán)限管理、傳輸加密等方面。本區(qū)域安全設(shè)計(jì)如下圖所示：圖 4 5 核心匯聚區(qū)安全設(shè)計(jì)n 在核心交換機(jī)上旁路部署360天眼網(wǎng)絡(luò)威脅傳感器。文件威脅鑒定器會(huì)對(duì)PE文件、腳本文件等進(jìn)行模擬運(yùn)行，通過(guò)文件運(yùn)行過(guò)程中執(zhí)行的操作行為進(jìn)一步識(shí)別潛在的威脅。2. 主機(jī)安全風(fēng)險(xiǎn)。n 在一般服務(wù)區(qū)的接入交換機(jī)旁路部署Web漏洞智能監(jiān)測(cè)系統(tǒng)，一方面能夠從進(jìn)出站流量中識(shí)別出應(yīng)用系統(tǒng)存在的漏洞和針對(duì)Web應(yīng)用的攻擊行為；另一方面能夠?qū)φ军c(diǎn)中存在的暗鏈、后門的訪問(wèn)行為進(jìn)行識(shí)別，發(fā)現(xiàn)潛在的安全風(fēng)險(xiǎn)。. 重要服務(wù)區(qū)重要服務(wù)區(qū)主要面臨的威脅來(lái)自于主機(jī)操作系統(tǒng)層，包括兩方面：一是物理機(jī)與虛擬機(jī)操作系統(tǒng)的惡意代碼防范。n 在服務(wù)器虛擬化管理層部署宿主機(jī)防護(hù)代理客戶端，用于防范利用虛擬機(jī)逃逸漏洞對(duì)宿主機(jī)進(jìn)行穿透攻擊的行為，保證宿主機(jī)上所有虛擬機(jī)的安全運(yùn)行。. 運(yùn)維管理區(qū)安全運(yùn)維是整個(gè)安全體系的重中之重，過(guò)去安全運(yùn)維的價(jià)值難以得到體現(xiàn)，主要有以下原因：如安全管理割裂、學(xué)習(xí)成本高、對(duì)運(yùn)維人員水平要求較高、安全管理成果缺少可視化呈現(xiàn)手段等?；?60威脅情報(bào)和本地大數(shù)據(jù)技術(shù)的對(duì)用戶本地的安全數(shù)據(jù)進(jìn)行快速、自動(dòng)化的關(guān)聯(lián)分析，及時(shí)發(fā)現(xiàn)本地的威脅和異常，同時(shí)通過(guò)圖形化、可視化的技術(shù)將這些威脅和異常的總體安全態(tài)勢(shì)展現(xiàn)給用戶。支持物理機(jī)與虛擬機(jī)的統(tǒng)一管理。 5. 方案組成及產(chǎn)品介紹各產(chǎn)品介紹請(qǐng)售前根據(jù)產(chǎn)品文檔自行補(bǔ)充。 針對(duì)云數(shù)據(jù)中心虛擬化安全的特殊需求定制的防護(hù)體系。 強(qiáng)化安全運(yùn)營(yíng)的閉環(huán)管理，安全態(tài)勢(shì)的可視化。2016 360企業(yè)安全集團(tuán) 21 密級(jí)：內(nèi)部使用
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1