數(shù)據(jù)中心整體安全解決方案v11-文庫吧資料
2025-05-20 01:27本頁面
【正文】 備的工作負荷，造成關(guān)鍵業(yè)務(wù)的中斷或網(wǎng)絡(luò)服務(wù)質(zhì)量的大幅降低。如各類設(shè)備的日志存儲、安全管理平臺、各類監(jiān)控系統(tǒng)等。 n 核心數(shù)據(jù)區(qū)用于存放級別非常高的信息資產(chǎn)，如核心數(shù)據(jù)庫等，外部對核心區(qū)的訪問需要通過重要服務(wù)區(qū)跳轉(zhuǎn)。. 業(yè)務(wù)接入?yún)^(qū)n 一般服務(wù)區(qū)用于存放防護級別較低，需直接對外提供服務(wù)的信息資產(chǎn)，如Web應(yīng)用、業(yè)務(wù)前置機、辦公服務(wù)器等，一般服務(wù)區(qū)與外界有直接連接，同時不能夠訪問核心數(shù)據(jù)區(qū)（避免被作為攻擊核心數(shù)據(jù)區(qū)的跳板）。通常在此區(qū)域進行網(wǎng)絡(luò)流量的安全監(jiān)控。n 內(nèi)部接入?yún)^(qū)承載組織內(nèi)部的分支機構(gòu)、災(zāi)備中心之間的信息交換，以及組織內(nèi)人員從外部接入的通道。. 邊界接入?yún)^(qū)n 互聯(lián)網(wǎng)接入?yún)^(qū)承載組織與互聯(lián)網(wǎng)的連接，組織向公共用戶提供對外業(yè)務(wù)服務(wù)的通道。 4. 方案設(shè)計. 安全域劃分安全域劃分的目的是從信息安全的角度來對企業(yè)信息系統(tǒng)進行拆分。n 可擴展性原則：當有新的業(yè)務(wù)系統(tǒng)需要接入數(shù)據(jù)中心時，可按照等級保護、對端可信度等原則將其分別劃分至不同安全等級域的各個子域。n 立體協(xié)防原則：應(yīng)避免形成各個安全產(chǎn)品獨立割裂的安全體系，充分利用威脅情報和大數(shù)據(jù)等新技術(shù)，實現(xiàn)網(wǎng)絡(luò)、終端、邊界的立體協(xié)防機制。n 結(jié)構(gòu)簡化原則：安全架構(gòu)規(guī)劃的直接目的和效果是要將整個網(wǎng)絡(luò)變得更加簡單，簡單的網(wǎng)絡(luò)結(jié)構(gòu)便于設(shè)計防護體系。3) 強調(diào)安全運營的價值，實現(xiàn)預(yù)警、檢測、響應(yīng)、溯源的閉環(huán)流程；. 設(shè)計原則n 業(yè)務(wù)保障原則：安全體系的設(shè)計目標是能夠更好的保障網(wǎng)絡(luò)上承載的業(yè)務(wù)。在設(shè)計數(shù)據(jù)中心安全建議方案時，充分利用現(xiàn)有國內(nèi)和國際安全標準和成熟的安全體系，結(jié)合系統(tǒng)的實際需求，利用在安全領(lǐng)域的成熟經(jīng)驗，設(shè)計出一個有針對性的安全設(shè)計方案。從云提供商的角度來看，傳統(tǒng)模式下的網(wǎng)絡(luò)安全需求并沒有什么變化，無論從信息安全的保密性、完整性、可用性，還是根據(jù)網(wǎng)絡(luò)層次劃分的從物理層到應(yīng)用層安全，仍然是需要解決的問題。究其原因還是缺少自動化、結(jié)構(gòu)化、可視化的管理工具，導致安全運維效率低下，難以快速感知整體的安全態(tài)勢。這種效率明顯不能滿足攻擊行為分析的需求。從海量數(shù)據(jù)中對日志進行快速分析，這要求本地具備海量的數(shù)據(jù)存儲能力、檢索能力和多維度關(guān)聯(lián)能力，而傳統(tǒng)的數(shù)據(jù)存儲和檢索技術(shù)很難達到這樣的要求。當一個報警事件產(chǎn)生時，不知道該如何處理。 n 多種安全設(shè)備，不同的報警，如何整合？在大中型企業(yè)的網(wǎng)絡(luò)系統(tǒng)中，為了確保系統(tǒng)的穩(wěn)健運行，通常會采用多種安全技術(shù)手段和安全產(chǎn)品，比如防火墻系統(tǒng)、入侵檢測系統(tǒng)、防病毒系統(tǒng)等，都是安全基礎(chǔ)設(shè)施。. 安全運維的挑戰(zhàn)隨著技術(shù)和應(yīng)用的演進，讓今天的IT環(huán)境和過去相比，已經(jīng)發(fā)生了巨大的變遷，而相應(yīng)的安全運維管理重點，也從過去的“設(shè)備監(jiān)控、告警程序”，轉(zhuǎn)變?yōu)閷ζ髽I(yè)業(yè)務(wù)發(fā)展的關(guān)注和支撐。尤其是對公眾提供服務(wù)的數(shù)據(jù)中心，涉及大量用戶敏感信息等關(guān)鍵數(shù)據(jù)庫的存儲，并開放多方接口供不同平臺、機構(gòu)調(diào)用，很多威脅場景都可能會導致敏感數(shù)據(jù)的丟失和泄漏。由于APT特種木馬的免疫行為，所以傳統(tǒng)的防病毒軟件以及安全控管措施和理念很難有效應(yīng)對APT攻擊。此種持續(xù)體現(xiàn)在攻擊者不斷嘗試各種攻擊手段，以及在滲透到網(wǎng)絡(luò)內(nèi)部后長期蟄伏，不斷收集各種信息，直到收集到重要情報。. APT攻擊風險傳統(tǒng)的防病毒軟件可以一定程度的解決已知病毒、木馬的威脅，但對于越來越多的APT攻擊卻束手無策。另外虛擬化技術(shù)帶來了彈性擴展這一優(yōu)秀特性，是通過虛擬機漂移技術(shù)來實現(xiàn)，當宿主機資源消耗過高或者出現(xiàn)故障時，為了保證虛擬機上的業(yè)務(wù)穩(wěn)定，虛擬機會漂移到其他的宿主機上。一直以來無論虛擬化廠商或安全廠商都將安全的關(guān)注點放在虛擬機系統(tǒng)和應(yīng)用層面，直到 “毒液”安全漏洞的出現(xiàn)，才將人們的目光轉(zhuǎn)移到宿主機，由于宿主機系統(tǒng)本身也都是基于Windows或Linux系統(tǒng)進行底層重建，因此宿主機不可避免的會面對此類漏洞和風險問題，一旦宿主機的安全防護被忽略，黑客可以直接攻破虛擬機，從而造成虛擬機逃逸。虛擬化技術(shù)是生成一個和真實系統(tǒng)行為一樣的虛擬機器，虛擬機像真實操作系統(tǒng)一樣，同樣存在軟件漏洞與系統(tǒng)漏洞，也會遭到病毒木馬的侵害。這類攻擊將使得應(yīng)用程序不可使用。釣魚式攻擊就是一個這樣的例子，它的目標并不是Web應(yīng)用程序或郵件服務(wù)器，而是訪問釣魚網(wǎng)站或電子郵件信息的用戶。利用信任關(guān)系——有些攻擊利用的是信任關(guān)系而不是應(yīng)用程序的錯誤。在某些情況下，這些錯誤可能會導致嚴重的漏洞，使得攻擊者可以通過網(wǎng)絡(luò)遠程利用這些漏洞。最后，許多應(yīng)用程序有著復雜的配置，缺乏經(jīng)驗的用戶可能會在部署應(yīng)用程序時啟用了危險的選項，從而導致應(yīng)用程序的安全性降低。. 面向應(yīng)用層的攻擊應(yīng)用層的攻擊之所以存在，通常是因為程序員是在嚴格的期限壓力下發(fā)布的代碼，他們并沒有足夠的時間來發(fā)現(xiàn)并解決將會導致安全漏洞的錯誤。海量的SYN Flood、ACK Flooding、UDP Flood、ICMP Flood、 (M)Stream Flood等攻擊產(chǎn)生的大量垃圾數(shù)據(jù)包，一方面大量占用網(wǎng)絡(luò)帶寬，另一方面會造成邊界路
公司管理相關(guān)推薦
鄂ICP備17016276號-1