數(shù)據(jù)中心信息系統(tǒng)安全建設(shè)項(xiàng)目技術(shù)方案(編輯修改稿)
2025-06-10 01:27 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 全等級(jí)，即實(shí)現(xiàn)安全的最大化防護(hù)，同時(shí)滿足多個(gè)安全域的保護(hù)策略。（7）可擴(kuò)展性原則當(dāng)有新的業(yè)務(wù)系統(tǒng)需要接入業(yè)務(wù)支撐網(wǎng)時(shí)，按照等級(jí)保護(hù)、對(duì)端可信度等原則將其分別劃分至不同安全等級(jí)域的各個(gè)子域。. 安全域劃分設(shè)計(jì)根據(jù)XX數(shù)據(jù)中心的情況，把網(wǎng)絡(luò)分為三個(gè)安全域：應(yīng)用安全域，數(shù)據(jù)庫(kù)安全域，安全管理安全域。安全域之間利用防火墻進(jìn)行隔離。安全域劃分拓?fù)淙缦拢? 安全設(shè)備部署（1）網(wǎng)絡(luò)邊界考慮到網(wǎng)絡(luò)的高可用性，網(wǎng)絡(luò)出口設(shè)備均雙機(jī)部署。在網(wǎng)絡(luò)出口部署兩臺(tái)防止DDOS產(chǎn)品，對(duì)DDOS攻擊進(jìn)行過(guò)濾。在網(wǎng)絡(luò)出口部署兩臺(tái)防火墻設(shè)備，對(duì)進(jìn)出XX數(shù)據(jù)中心網(wǎng)絡(luò)的流量進(jìn)行策略控制。在網(wǎng)絡(luò)出口部署兩臺(tái)入侵防御設(shè)備對(duì)進(jìn)行XX數(shù)據(jù)中心網(wǎng)絡(luò)的流量進(jìn)行檢測(cè)，從而判斷數(shù)據(jù)中是否含有惡意攻擊與惡意代碼。（2）核心交換區(qū)在核心交換區(qū)旁路部署一臺(tái)IDS與一臺(tái)安全審計(jì)產(chǎn)品，對(duì)核心交換機(jī)上面的流量進(jìn)行安全的檢測(cè)與審計(jì)，包括來(lái)往核心交換機(jī)上面的流量是否有惡意威脅。是否有針對(duì)于后臺(tái)數(shù)據(jù)庫(kù)的威脅等。（3）應(yīng)用區(qū)安全域在應(yīng)用區(qū)邊界部署web應(yīng)用防火墻設(shè)備，因應(yīng)用區(qū)部署的應(yīng)用均為B/S架構(gòu)，而web應(yīng)用防火墻恰恰是針對(duì)于HTTP協(xié)議進(jìn)行安全過(guò)濾的設(shè)備，很好的滿足了三級(jí)等保中針對(duì)于應(yīng)用安全的規(guī)定。（4）數(shù)據(jù)庫(kù)安全域數(shù)據(jù)庫(kù)安全域邊界部署一臺(tái)安全域防火墻，采取有效的訪問(wèn)控制策略；同時(shí)在安全域交換機(jī)旁路部署一臺(tái)安全審計(jì)系統(tǒng)，對(duì)網(wǎng)絡(luò)運(yùn)維管理和數(shù)據(jù)庫(kù)操作進(jìn)行全面審計(jì)。（5）安全管理區(qū)安全域在安全管理區(qū)部署漏洞掃描設(shè)備，對(duì)網(wǎng)絡(luò)中的主機(jī)進(jìn)行安全自查，降低主機(jī)的脆弱性。在安全管理區(qū)部署堡壘機(jī)設(shè)備，結(jié)合部署的身份認(rèn)證系統(tǒng)對(duì)主機(jī)與應(yīng)用進(jìn)行身份鑒別，訪問(wèn)控制與安全審計(jì)。在安全管理區(qū)部署安全管理平臺(tái)，對(duì)網(wǎng)絡(luò)中的主機(jī)與安全設(shè)備進(jìn)行統(tǒng)一的監(jiān)控與統(tǒng)一的日志分析。在網(wǎng)絡(luò)中各個(gè)主機(jī)上部署網(wǎng)絡(luò)版防病毒軟件，并且在安全管理區(qū)部署網(wǎng)絡(luò)防病毒主控端。5. 詳細(xì)安全設(shè)計(jì). 網(wǎng)絡(luò)安全設(shè)計(jì). 抗DOS設(shè)備. 部署目的隨著僵尸網(wǎng)絡(luò)的泛濫，DDoS攻擊等惡意流量的規(guī)模也在迅速增大。據(jù)估計(jì)，中國(guó)的黑客產(chǎn)業(yè)鏈條規(guī)模已達(dá)上百億，而在這中間有很大一部分就是和DDoS攻擊相關(guān)的。實(shí)際上，DDoS攻擊也像網(wǎng)絡(luò)帶寬一樣，已經(jīng)成為可以售賣的資源。利益驅(qū)使DDoS的規(guī)模進(jìn)一步擴(kuò)大。2011年3月，全球網(wǎng)絡(luò)安全和管理解決方案提供商Arbor Networks發(fā)布第六期全球互聯(lián)網(wǎng)基礎(chǔ)設(shè)施安全年報(bào)稱，2010年是DDoS攻擊在互聯(lián)網(wǎng)上活動(dòng)規(guī)模和頻率激增的一年；DDoS攻擊規(guī)模首次突破100 Gbps，服務(wù)提供商因此受到巨大的沖擊。2012年3月，CNCERT發(fā)布了《2011年中國(guó)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢(shì)報(bào)告》稱DDoS的頻率和規(guī)模都在迅速增大。根據(jù)CNCERT抽樣監(jiān)測(cè)發(fā)現(xiàn)，我國(guó)境內(nèi)日均發(fā)生攻擊總流量超過(guò)1G的較大規(guī)模的DDoS攻擊事件365起。其中，TCP SYN FLOOD和UDP FLOOD等常見(jiàn)虛假源IP地址攻擊事件約占70%，對(duì)其溯源和處臵難度較大。DDoS攻擊最讓人頭疼的是攻擊和防御的不對(duì)等性。現(xiàn)在的DDoS攻擊技術(shù)門檻越來(lái)越低，非常容易發(fā)起，但檢測(cè)和防御則需要強(qiáng)大的技術(shù)支撐。由于黑客地下產(chǎn)業(yè)鏈的發(fā)展，各種攻擊工具在網(wǎng)上隨處可見(jiàn)，甚至公然打包售賣。即使是對(duì)于初級(jí)網(wǎng)絡(luò)水平的人來(lái)說(shuō)，使用這些攻擊也是很簡(jiǎn)單的事情。而對(duì)于有經(jīng)驗(yàn)的黑客來(lái)說(shuō)，使用這些工具可以組織起復(fù)雜的攻擊，令防范變得困難。例如2011年針對(duì)某游戲網(wǎng)站的攻擊持續(xù)了數(shù)月，綜合采用了DNS請(qǐng)求攻擊、UDP FLOOD、TCP SYN FLOOD、HTTP請(qǐng)求攻擊等多種方式，攻擊峰值流量達(dá)數(shù)十個(gè)Gbps，令人防不勝防。. 部署方式及說(shuō)明防DOS設(shè)備串行在網(wǎng)絡(luò)出口，對(duì)流量進(jìn)行清洗，過(guò)濾含有DOS或DDOS特征的流量，保證網(wǎng)絡(luò)安全。由于防DOS串行在網(wǎng)絡(luò)出口，所以選擇雙機(jī)部署。. 防火墻. 部署目的防火墻是一種部署在安全邊界上的高級(jí)訪問(wèn)控制設(shè)備，是不同區(qū)域之間信息流的唯一通道，能根據(jù)制定好的安全策略控制（允許、拒絕、監(jiān)視、記錄）不同區(qū)域之間的訪問(wèn)行為。作為一個(gè)專業(yè)化的訪問(wèn)控制產(chǎn)品，防火墻不僅提供非常靈活的訪問(wèn)控制功能（基于IP地址、端口、協(xié)議、用戶名、應(yīng)用命令等）和強(qiáng)大的審計(jì)鑒別功能，還提供了多種輔助功能，比如地址轉(zhuǎn)換、端口映射、IP與MAC地址綁定等等。安全邊界采用防火墻設(shè)備，根據(jù)ip五元組（源/目的ip，源/目的端口，協(xié)議），對(duì)網(wǎng)絡(luò)邊界進(jìn)行訪問(wèn)控制，隔離不同的安全域，只有經(jīng)過(guò)許可的ip、端口、協(xié)議才被容許訪問(wèn)防火墻內(nèi)的網(wǎng)絡(luò)和系統(tǒng)資源，保障了網(wǎng)絡(luò)的邏輯隔離。. 部署方式及說(shuō)明防火墻串行部署在網(wǎng)絡(luò)主干鏈路上，用于網(wǎng)絡(luò)安全邊界的訪問(wèn)控制，可以采用透明工作模式，工作口不需要配置ip，不影響網(wǎng)絡(luò)路由結(jié)構(gòu)。每臺(tái)防火墻，均另外需1個(gè)ip用來(lái)作為管理設(shè)備，管理方式為B/S。由于防火墻作為網(wǎng)絡(luò)出口和安全域邊界的安全網(wǎng)關(guān)，一旦出現(xiàn)故障對(duì)網(wǎng)絡(luò)數(shù)據(jù)傳輸、網(wǎng)絡(luò)安全策略有很大的影響，因此在網(wǎng)絡(luò)出口部署兩臺(tái)防火墻。在數(shù)據(jù)庫(kù)區(qū)邊界部署一臺(tái)防火墻。. WEB應(yīng)用安全網(wǎng)關(guān). 部署目的Web應(yīng)用安全網(wǎng)關(guān)（Web Application Gateway，簡(jiǎn)稱WAG）是新一代Web安全防護(hù)與應(yīng)用交付類應(yīng)用安全產(chǎn)品，主要針對(duì)Web服務(wù)器進(jìn)行HTTP/HTTPS流量分析，防
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1