數(shù)據(jù)中心信息系統(tǒng)安全建設(shè)項目技術(shù)方案(存儲版)
【正文】 ，并提供定期或者不定期的知識庫升級服務(wù)。系統(tǒng)能夠形象地展示出用戶的網(wǎng)絡(luò)拓撲，并動態(tài)展示拓撲節(jié)點的運行狀態(tài)，還能夠根據(jù)用戶管理的組織和部門結(jié)構(gòu)在地圖上展示出設(shè)備或者設(shè)備組的地理位置。. 防病毒. 部署目的目前計算機病毒的發(fā)展日益猖獗，防病毒發(fā)展更趨向于集中式管理、分布式殺毒的架構(gòu)，對局域網(wǎng)進行遠程集中式安全管理，可通過賬號和口令設(shè)置控制移動控制臺的使用，并且先進的分布技術(shù)，利用本地資源和本地殺毒引擎，對本地節(jié)點的所有文件進行全面、及時、高效的查殺病毒，同時保障用戶的隱私，減少了網(wǎng)絡(luò)傳輸?shù)呢撦d，避免因大量傳輸文件而引起的網(wǎng)絡(luò)擁塞。（3）行為監(jiān)控IDS系統(tǒng)會對網(wǎng)絡(luò)流量進行監(jiān)控，對嚴重濫用網(wǎng)絡(luò)資源的事件提供告警和記錄。通過入侵防護系統(tǒng)可以實時、主動攔截黑客攻擊、網(wǎng)絡(luò)病毒等惡意流量，保護信息系統(tǒng)和網(wǎng)絡(luò)架構(gòu)免受侵害，防止操作系統(tǒng)和應(yīng)用程序損壞或宕機，IPS可以深入到路由、防火墻模塊和應(yīng)用層，快速掃描流量，它可以利用其上千種攻擊特征數(shù)據(jù)庫，識別和分析外部的攻擊，并實時報警和記錄，同時可以對上百種入侵和攻擊進行主動防護。由于防火墻作為網(wǎng)絡(luò)出口和安全域邊界的安全網(wǎng)關(guān)，一旦出現(xiàn)故障對網(wǎng)絡(luò)數(shù)據(jù)傳輸、網(wǎng)絡(luò)安全策略有很大的影響，因此在網(wǎng)絡(luò)出口部署兩臺防火墻。例如2011年針對某游戲網(wǎng)站的攻擊持續(xù)了數(shù)月，綜合采用了DNS請求攻擊、UDP FLOOD、TCP SYN FLOOD、HTTP請求攻擊等多種方式，攻擊峰值流量達數(shù)十個Gbps，令人防不勝防。2012年3月，CNCERT發(fā)布了《2011年中國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢報告》稱DDoS的頻率和規(guī)模都在迅速增大。在安全管理區(qū)部署堡壘機設(shè)備，結(jié)合部署的身份認證系統(tǒng)對主機與應(yīng)用進行身份鑒別，訪問控制與安全審計。在網(wǎng)絡(luò)出口部署兩臺防止DDOS產(chǎn)品，對DDOS攻擊進行過濾。（4）結(jié)構(gòu)簡化原則安全域劃分的直接目的和效果是要將整個網(wǎng)絡(luò)變得更加簡單，簡單的網(wǎng)絡(luò)結(jié)構(gòu)便于設(shè)計防護體系。也就是說，在提供IT 服務(wù)的時候，我們首先應(yīng)該考慮業(yè)務(wù)需求，根據(jù)業(yè)務(wù)需求來確定IT 需求包括安全需求。（4）支持性基礎(chǔ)設(shè)施的主動攻擊威脅對未加密或弱加密的通信線路的搭線竊聽；用獲取包含錯誤信息的證書進行偽裝攻擊；拒絕服務(wù)攻擊（如攻擊目錄服務(wù)等）；中間攻擊；攻擊PIN獲取對用戶私鑰的訪問、在支持性基礎(chǔ)設(shè)施的組件中引入惡意代碼攻擊、在密鑰分發(fā)期間對密鑰實施攻擊、對PKI私鑰實施密碼攻擊、對密鑰恢復(fù)后的密鑰進行末授權(quán)訪問、在用戶認證期間使用戶不能生成失效信息；利用備份信息進行攻擊。（3）計算環(huán)境的被動攻擊威脅獲取鑒別信息和控制信息；獲取明文或解密弱密文實施重放攻擊。企業(yè)節(jié)點通過企業(yè)信息前置機抓取企業(yè)節(jié)點數(shù)據(jù)，并把這些數(shù)據(jù)上傳到XX數(shù)據(jù)中心的數(shù)據(jù)庫中，數(shù)據(jù)庫對這些企業(yè)數(shù)據(jù)進行匯總與分析，同時企業(yè)節(jié)點也可以通過VPN去訪問XX數(shù)據(jù)中心的相關(guān)應(yīng)用。. 參照標準GB/T222392008《信息安全技術(shù)信息安全等級保護基本要求》GB/T 222392008《信息安全技術(shù)信息安全等級保護基本要求》GB/T 222402008《信息安全技術(shù)信息系統(tǒng)安全等級保護定級指南》GB/T 202702006《信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》GB/T 250582010《信息安全技術(shù)信息系統(tǒng)安全等級保護實施指南》GB/T 202712006《信息安全技術(shù)信息系統(tǒng)安全通用技術(shù)要求》GB/T 250702010《信息安全技術(shù)信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》GB 178591999《計算機信息系統(tǒng)安全保護等級劃分準則》GB/Z 209862007《信息安全技術(shù)信息安全事件分類分級指南》. 系統(tǒng)描述XX數(shù)據(jù)中心平臺共有三個信息系統(tǒng)：能源應(yīng)用，環(huán)保應(yīng)用，市節(jié)能減排應(yīng)用。（2）區(qū)域邊界/外部連接的被動攻擊威脅截取末受保護的網(wǎng)絡(luò)信息；流量分析攻擊；遠程接入連接。（3）計算環(huán)境的主動攻擊威脅引入病毒攻擊；引入惡意代碼攻擊；冒充超級用戶或其他合法用戶；拒絕服務(wù)和數(shù)據(jù)的篡改；偽裝成合法用戶和服務(wù)器進行攻擊；利用配置漏洞進行攻擊；利用系統(tǒng)脆弱性（操作系統(tǒng)安全脆弱性、數(shù)據(jù)庫安全脆弱性）實施攻擊；利用服務(wù)器的安全脆弱性進行攻擊；利用應(yīng)用系統(tǒng)安全脆弱性進行攻擊。信息安全服務(wù)所強調(diào)的核心思想是應(yīng)該從客戶（業(yè)務(wù)）而不是IT 服務(wù)提供方（技術(shù)）的角度理解IT 服務(wù)需求。安全域的主要對象是網(wǎng)絡(luò)，但是圍繞安全域的防護需要考慮在各個層次上立體防守，包括在物理鏈路、網(wǎng)絡(luò)、主機系統(tǒng)、應(yīng)用等層次；同時，在部署安全域防護體系的時候，要綜合運用身份鑒別、訪問控制、檢測審計、鏈路冗余、內(nèi)容檢測等各種安全功能實現(xiàn)協(xié)防。安全域劃分拓撲如下：. 安全設(shè)備部署（1）網(wǎng)絡(luò)邊界考慮到網(wǎng)絡(luò)的高可用性，網(wǎng)絡(luò)出口設(shè)備均雙機部署。（5）安全管理區(qū)安全域在安全管理區(qū)部署漏洞掃描設(shè)備，對網(wǎng)絡(luò)中的主機進行安全自查，降低主機的脆弱性。2011年3月，全球網(wǎng)絡(luò)安全和管理解決方案提供商Arbor Networks發(fā)布第六期全球互聯(lián)網(wǎng)基礎(chǔ)設(shè)施安全年報稱，2010年是DDoS攻擊在互聯(lián)網(wǎng)上活動規(guī)模和頻率激增的一年；DDoS攻擊規(guī)模首次突破100 Gbps，服務(wù)提供商因此受到巨大的沖擊。而對于有經(jīng)驗的黑客來說，使用這些工具可以組織起復(fù)雜的攻擊，令防范變得困難。每臺防火墻，
公司管理相關(guān)推薦
鄂ICP備17016276號-1