數(shù)據(jù)中心信息系統(tǒng)安全建設(shè)項目技術(shù)方案(編輯修改稿)
2025-06-10 01:27 本頁面
【文章內(nèi)容簡介】 全等級，即實現(xiàn)安全的最大化防護，同時滿足多個安全域的保護策略。（7）可擴展性原則當有新的業(yè)務(wù)系統(tǒng)需要接入業(yè)務(wù)支撐網(wǎng)時，按照等級保護、對端可信度等原則將其分別劃分至不同安全等級域的各個子域。. 安全域劃分設(shè)計根據(jù)XX數(shù)據(jù)中心的情況，把網(wǎng)絡(luò)分為三個安全域：應(yīng)用安全域，數(shù)據(jù)庫安全域，安全管理安全域。安全域之間利用防火墻進行隔離。安全域劃分拓撲如下：. 安全設(shè)備部署（1）網(wǎng)絡(luò)邊界考慮到網(wǎng)絡(luò)的高可用性，網(wǎng)絡(luò)出口設(shè)備均雙機部署。在網(wǎng)絡(luò)出口部署兩臺防止DDOS產(chǎn)品，對DDOS攻擊進行過濾。在網(wǎng)絡(luò)出口部署兩臺防火墻設(shè)備，對進出XX數(shù)據(jù)中心網(wǎng)絡(luò)的流量進行策略控制。在網(wǎng)絡(luò)出口部署兩臺入侵防御設(shè)備對進行XX數(shù)據(jù)中心網(wǎng)絡(luò)的流量進行檢測，從而判斷數(shù)據(jù)中是否含有惡意攻擊與惡意代碼。（2）核心交換區(qū)在核心交換區(qū)旁路部署一臺IDS與一臺安全審計產(chǎn)品，對核心交換機上面的流量進行安全的檢測與審計，包括來往核心交換機上面的流量是否有惡意威脅。是否有針對于后臺數(shù)據(jù)庫的威脅等。（3）應(yīng)用區(qū)安全域在應(yīng)用區(qū)邊界部署web應(yīng)用防火墻設(shè)備，因應(yīng)用區(qū)部署的應(yīng)用均為B/S架構(gòu)，而web應(yīng)用防火墻恰恰是針對于HTTP協(xié)議進行安全過濾的設(shè)備，很好的滿足了三級等保中針對于應(yīng)用安全的規(guī)定。（4）數(shù)據(jù)庫安全域數(shù)據(jù)庫安全域邊界部署一臺安全域防火墻，采取有效的訪問控制策略；同時在安全域交換機旁路部署一臺安全審計系統(tǒng)，對網(wǎng)絡(luò)運維管理和數(shù)據(jù)庫操作進行全面審計。（5）安全管理區(qū)安全域在安全管理區(qū)部署漏洞掃描設(shè)備，對網(wǎng)絡(luò)中的主機進行安全自查，降低主機的脆弱性。在安全管理區(qū)部署堡壘機設(shè)備，結(jié)合部署的身份認證系統(tǒng)對主機與應(yīng)用進行身份鑒別，訪問控制與安全審計。在安全管理區(qū)部署安全管理平臺，對網(wǎng)絡(luò)中的主機與安全設(shè)備進行統(tǒng)一的監(jiān)控與統(tǒng)一的日志分析。在網(wǎng)絡(luò)中各個主機上部署網(wǎng)絡(luò)版防病毒軟件，并且在安全管理區(qū)部署網(wǎng)絡(luò)防病毒主控端。5. 詳細安全設(shè)計. 網(wǎng)絡(luò)安全設(shè)計. 抗DOS設(shè)備. 部署目的隨著僵尸網(wǎng)絡(luò)的泛濫，DDoS攻擊等惡意流量的規(guī)模也在迅速增大。據(jù)估計，中國的黑客產(chǎn)業(yè)鏈條規(guī)模已達上百億，而在這中間有很大一部分就是和DDoS攻擊相關(guān)的。實際上，DDoS攻擊也像網(wǎng)絡(luò)帶寬一樣，已經(jīng)成為可以售賣的資源。利益驅(qū)使DDoS的規(guī)模進一步擴大。2011年3月，全球網(wǎng)絡(luò)安全和管理解決方案提供商Arbor Networks發(fā)布第六期全球互聯(lián)網(wǎng)基礎(chǔ)設(shè)施安全年報稱，2010年是DDoS攻擊在互聯(lián)網(wǎng)上活動規(guī)模和頻率激增的一年；DDoS攻擊規(guī)模首次突破100 Gbps，服務(wù)提供商因此受到巨大的沖擊。2012年3月，CNCERT發(fā)布了《2011年中國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢報告》稱DDoS的頻率和規(guī)模都在迅速增大。根據(jù)CNCERT抽樣監(jiān)測發(fā)現(xiàn)，我國境內(nèi)日均發(fā)生攻擊總流量超過1G的較大規(guī)模的DDoS攻擊事件365起。其中，TCP SYN FLOOD和UDP FLOOD等常見虛假源IP地址攻擊事件約占70%，對其溯源和處臵難度較大。DDoS攻擊最讓人頭疼的是攻擊和防御的不對等性?，F(xiàn)在的DDoS攻擊技術(shù)門檻越來越低，非常容易發(fā)起，但檢測和防御則需要強大的技術(shù)支撐。由于黑客地下產(chǎn)業(yè)鏈的發(fā)展，各種攻擊工具在網(wǎng)上隨處可見，甚至公然打包售賣。即使是對于初級網(wǎng)絡(luò)水平的人來說，使用這些攻擊也是很簡單的事情。而對于有經(jīng)驗的黑客來說，使用這些工具可以組織起復(fù)雜的攻擊，令防范變得困難。例如2011年針對某游戲網(wǎng)站的攻擊持續(xù)了數(shù)月，綜合采用了DNS請求攻擊、UDP FLOOD、TCP SYN FLOOD、HTTP請求攻擊等多種方式，攻擊峰值流量達數(shù)十個Gbps，令人防不勝防。. 部署方式及說明防DOS設(shè)備串行在網(wǎng)絡(luò)出口，對流量進行清洗，過濾含有DOS或DDOS特征的流量，保證網(wǎng)絡(luò)安全。由于防DOS串行在網(wǎng)絡(luò)出口，所以選擇雙機部署。. 防火墻. 部署目的防火墻是一種部署在安全邊界上的高級訪問控制設(shè)備，是不同區(qū)域之間信息流的唯一通道，能根據(jù)制定好的安全策略控制（允許、拒絕、監(jiān)視、記錄）不同區(qū)域之間的訪問行為。作為一個專業(yè)化的訪問控制產(chǎn)品，防火墻不僅提供非常靈活的訪問控制功能（基于IP地址、端口、協(xié)議、用戶名、應(yīng)用命令等）和強大的審計鑒別功能，還提供了多種輔助功能，比如地址轉(zhuǎn)換、端口映射、IP與MAC地址綁定等等。安全邊界采用防火墻設(shè)備，根據(jù)ip五元組（源/目的ip，源/目的端口，協(xié)議），對網(wǎng)絡(luò)邊界進行訪問控制，隔離不同的安全域，只有經(jīng)過許可的ip、端口、協(xié)議才被容許訪問防火墻內(nèi)的網(wǎng)絡(luò)和系統(tǒng)資源，保障了網(wǎng)絡(luò)的邏輯隔離。. 部署方式及說明防火墻串行部署在網(wǎng)絡(luò)主干鏈路上，用于網(wǎng)絡(luò)安全邊界的訪問控制，可以采用透明工作模式，工作口不需要配置ip，不影響網(wǎng)絡(luò)路由結(jié)構(gòu)。每臺防火墻，均另外需1個ip用來作為管理設(shè)備，管理方式為B/S。由于防火墻作為網(wǎng)絡(luò)出口和安全域邊界的安全網(wǎng)關(guān)，一旦出現(xiàn)故障對網(wǎng)絡(luò)數(shù)據(jù)傳輸、網(wǎng)絡(luò)安全策略有很大的影響，因此在網(wǎng)絡(luò)出口部署兩臺防火墻。在數(shù)據(jù)庫區(qū)邊界部署一臺防火墻。. WEB應(yīng)用安全網(wǎng)關(guān). 部署目的Web應(yīng)用安全網(wǎng)關(guān)（Web Application Gateway，簡稱WAG）是新一代Web安全防護與應(yīng)用交付類應(yīng)用安全產(chǎn)品，主要針對Web服務(wù)器進行HTTP/HTTPS流量分析，防
公司管理相關(guān)推薦
鄂ICP備17016276號-1