xx數據中心安全規(guī)劃方案(編輯修改稿)
2024-08-29 22:46 本頁面
【文章內容簡介】 全的最大化防護，同時滿足多個安全域的保護策略。（7）可擴展性原則當有新的業(yè)務系統(tǒng)需要接入業(yè)務支撐網時，按照等級保護、對端可信度等原則將其分別劃分至不同安全等級域的各個子域。. 安全域劃分設計根據XX數據中心的情況，把網絡分為三個安全域：應用安全域，數據庫安全域，安全管理安全域。安全域之間利用防火墻進行隔離。安全域劃分拓撲如下：. 安全設備部署（1）網絡邊界考慮到網絡的高可用性，網絡出口設備均雙機部署。在網絡出口部署兩臺防止DDOS產品，對DDOS攻擊進行過濾。在網絡出口部署兩臺防火墻設備，對進出XX數據中心網絡的流量進行策略控制。在網絡出口部署兩臺入侵防御設備對進行XX數據中心網絡的流量進行檢測，從而判斷數據中是否含有惡意攻擊與惡意代碼。（2）核心交換區(qū)在核心交換區(qū)旁路部署一臺IDS與一臺安全審計產品，對核心交換機上面的流量進行安全的檢測與審計，包括來往核心交換機上面的流量是否有惡意威脅。是否有針對于后臺數據庫的威脅等。（3）應用區(qū)安全域在應用區(qū)邊界部署web應用防火墻設備，因應用區(qū)部署的應用均為B/S架構，而web應用防火墻恰恰是針對于HTTP協(xié)議進行安全過濾的設備，很好的滿足了三級等保中針對于應用安全的規(guī)定。（4）數據庫安全域數據庫安全域邊界部署一臺安全域防火墻，采取有效的訪問控制策略；同時在安全域交換機旁路部署一臺安全審計系統(tǒng)，對網絡運維管理和數據庫操作進行全面審計。（5）安全管理區(qū)安全域在安全管理區(qū)部署漏洞掃描設備，對網絡中的主機進行安全自查，降低主機的脆弱性。在安全管理區(qū)部署堡壘機設備，結合部署的身份認證系統(tǒng)對主機與應用進行身份鑒別，訪問控制與安全審計。在安全管理區(qū)部署安全管理平臺，對網絡中的主機與安全設備進行統(tǒng)一的監(jiān)控與統(tǒng)一的日志分析。在網絡中各個主機上部署網絡版防病毒軟件，并且在安全管理區(qū)部署網絡防病毒主控端。5. 詳細安全設計. 網絡安全設計. 抗DOS設備. 部署目的隨著僵尸網絡的泛濫，DDoS攻擊等惡意流量的規(guī)模也在迅速增大。據估計，中國的黑客產業(yè)鏈條規(guī)模已達上百億，而在這中間有很大一部分就是和DDoS攻擊相關的。實際上，DDoS攻擊也像網絡帶寬一樣，已經成為可以售賣的資源。利益驅使DDoS的規(guī)模進一步擴大。2011年3月，全球網絡安全和管理解決方案提供商Arbor Networks發(fā)布第六期全球互聯(lián)網基礎設施安全年報稱，2010年是DDoS攻擊在互聯(lián)網上活動規(guī)模和頻率激增的一年；DDoS攻擊規(guī)模首次突破100 Gbps，服務提供商因此受到巨大的沖擊。2012年3月，CNCERT發(fā)布了《2011年中國互聯(lián)網網絡安全態(tài)勢報告》稱DDoS的頻率和規(guī)模都在迅速增大。根據CNCERT抽樣監(jiān)測發(fā)現(xiàn)，我國境內日均發(fā)生攻擊總流量超過1G的較大規(guī)模的DDoS攻擊事件365起。其中，TCP SYN FLOOD和UDP FLOOD等常見虛假源IP地址攻擊事件約占70%，對其溯源和處臵難度較大。DDoS攻擊最讓人頭疼的是攻擊和防御的不對等性?，F(xiàn)在的DDoS攻擊技術門檻越來越低，非常容易發(fā)起，但檢測和防御則需要強大的技術支撐。由于黑客地下產業(yè)鏈的發(fā)展，各種攻擊工具在網上隨處可見，甚至公然打包售賣。即使是對于初級網絡水平的人來說，使用這些攻擊也是很簡單的事情。而對于有經驗的黑客來說，使用這些工具可以組織起復雜的攻擊，令防范變得困難。例如2011年針對某游戲網站的攻擊持續(xù)了數月，綜合采用了DNS請求攻擊、UDP FLOOD、TCP SYN FLOOD、HTTP請求攻擊等多種方式，攻擊峰值流量達數十個Gbps，令人防不勝防。. 部署方式及說明防DOS設備串行在網絡出口，對流量進行清洗，過濾含有DOS或DDOS特征的流量，保證網絡安全。由于防DOS串行在網絡出口，所以選擇雙機部署。. 防火墻. 部署目的防火墻是一種部署在安全邊界上的高級訪問控制設備，是不同區(qū)域之間信息流的唯一通道，能根據制定好的安全策略控制（允許、拒絕、監(jiān)視、記錄）不同區(qū)域之間的訪問行為。作為一個專業(yè)化的訪問控制產品，防火墻不僅提供非常靈活的訪問控制功能（基于IP地址、端口、協(xié)議、用戶名、應用命令等）和強大的審計鑒別功能，還提供了多種輔助功能，比如地址轉換、端口映射、IP與MAC地址綁定等等。安全邊界采用防火墻設備，根據ip五元組（源/目的ip，源/目的端口，協(xié)議），對網絡邊界進行訪問控制，隔離不同的安全域，只有經過許可的ip、端口、協(xié)議才被容許訪問防火墻內的網絡和系統(tǒng)資源，保障了網絡的邏輯隔離。. 部署方式及說明防火墻串行部署在網絡主干鏈路上，用于網絡安全邊界的訪問控制，可以采用透明工作模式，工作口不需要配置ip，不影響網絡路由結構。每臺防火墻，均另外需1個ip用來作為管理設備，管理方式為B/S。由于防火墻作為網絡出口和安全域邊界的安全網關，一旦出現(xiàn)故障對網絡數據傳輸、網絡安全策略有很大的影響，因此在網絡出口部署兩臺防火墻。在數據庫區(qū)邊界部署一臺防火墻。. WEB應用安全網關. 部署目的Web應用安全網關（Web Application Gateway，簡稱WAG）是新一代Web安全防護與應用交付類應用安全產品，主要針對Web服務器進行HTTP/HTTPS流量分析，防護以We
教學教案相關推薦
鄂ICP備17016276號-1