互聯(lián)網(wǎng)數(shù)據(jù)中心安全管理方案

1、互聯(lián)網(wǎng)數(shù)據(jù)中心安全管理方案2012 年 08 月 12 日 09:56 來源：中興通訊技術(shù) 作者：譯名 我要評(píng)論(0)本文介紹互聯(lián)網(wǎng)數(shù)據(jù)中心網(wǎng)絡(luò)架構(gòu)主要特征和多層設(shè)計(jì)原則要安全威脅，對(duì)其安全規(guī)劃和部署實(shí)施提出方案建議?；ヂ?lián)網(wǎng)數(shù)據(jù)中心網(wǎng)絡(luò)多層設(shè)計(jì)原則IT 系統(tǒng)按照關(guān)互聯(lián)網(wǎng)數(shù)據(jù)中心網(wǎng)絡(luò)可同時(shí)從個(gè)方面劃分層次和區(qū)域：(1)根據(jù)內(nèi)外部分流原則分層。(2)根據(jù)業(yè)務(wù)模塊隔離原則分區(qū)。(3) 根據(jù)應(yīng)用分層次訪問原則來分級(jí)。圖 1 數(shù)據(jù)中心網(wǎng)絡(luò)分層分層根據(jù)內(nèi)外部分流原則，數(shù)據(jù)中心網(wǎng)絡(luò)可分為4 層：互聯(lián)網(wǎng)接入層、匯聚層、業(yè)務(wù)接入層和運(yùn)維管理層。最常見的數(shù)據(jù)中心網(wǎng)絡(luò)分層如圖 1 所示?；ヂ?lián)網(wǎng)接入層配置核心路由器實(shí)

2、現(xiàn)與互聯(lián)網(wǎng)的互聯(lián)息進(jìn)行轉(zhuǎn)換和維護(hù)，并連接匯聚層的各匯聚交換機(jī)，形成數(shù)據(jù)中心的網(wǎng)絡(luò)核心。匯聚層配置匯聚交換機(jī)實(shí)現(xiàn)向下匯聚業(yè)務(wù)接入層各業(yè)務(wù)區(qū)的接入交換機(jī)機(jī)。業(yè)務(wù)接入層通過接入交換機(jī)接入各業(yè)務(wù)區(qū)內(nèi)部的各種服務(wù)器設(shè)備、網(wǎng)絡(luò)設(shè)備等。管理子系統(tǒng)各種設(shè)備。分區(qū)訪問控制策略?；ヂ?lián)網(wǎng)域包括實(shí)施自助管理的管理用戶和訪問應(yīng)用的最終用戶。接入域?yàn)橛脩艚尤霐?shù)據(jù)中心提供統(tǒng)一的界面和借口，又稱為非軍事化隔離區(qū)。服務(wù)IP以根據(jù)安全需求再劃分安全子域。管理域提供安全管理、運(yùn)營(yíng)管理、業(yè)務(wù)管理等。相對(duì)來說，計(jì)算域和管理域的安全級(jí)別最高，服務(wù)域和接入域次之，用戶域最低。分級(jí)都駐留在單一服務(wù)器時(shí)帶來的安全隱患，增強(qiáng)了擴(kuò)展性和可用性。服

3、務(wù)器層直接與接入設(shè)備相連，提供面向客戶的應(yīng)用，如IIS、服務(wù)器等等。應(yīng)用層用來粘合面向用戶的應(yīng)用程序、后端的數(shù)據(jù)庫服務(wù)器或存儲(chǔ)服務(wù)器，如WebLogic、J2EE 等中間件技術(shù)。MS SQL ServerOracle 、等。3 種的分層分區(qū)域的設(shè)計(jì)下，不同網(wǎng)絡(luò)區(qū)域之間的安全關(guān)系明確，可對(duì)每個(gè)區(qū)域進(jìn)互聯(lián)網(wǎng)數(shù)據(jù)中心安全威脅侵入攻擊、拒絕服務(wù)攻擊（DoS）和分布式拒絕服務(wù)攻擊（DDoS）、蠕蟲病毒是互聯(lián)網(wǎng)數(shù)據(jù)中心面臨的最主要的 3 類安全威脅。性，對(duì)某一個(gè)網(wǎng)絡(luò)設(shè)備的侵入可能影響到整個(gè)數(shù)據(jù)中心安全防衛(wèi)體系。DoS 和 DDoS他主機(jī)進(jìn)行攻擊。攻擊者獲取存在漏洞的主機(jī)的控制權(quán)后對(duì)病毒進(jìn)行復(fù)制和轉(zhuǎn)播互聯(lián)網(wǎng)

4、數(shù)據(jù)中心安全防護(hù)措施安全技術(shù)，形成一個(gè)完善的安全防預(yù)體系。虛擬專用網(wǎng)為了在不安全的互聯(lián)網(wǎng)中實(shí)現(xiàn)企業(yè)應(yīng)用的安全訪問和數(shù)據(jù)的安全傳輸（VPN）技 VPN 通過互聯(lián)網(wǎng)建立一個(gè)臨時(shí)的、安全的連接，形成一個(gè)穿越公網(wǎng)的安全穩(wěn)定的虛擬私有廣域網(wǎng)。網(wǎng)絡(luò)的VPN 應(yīng)用有兩種：除了提供防火墻到防火墻的VPN 應(yīng)用，支持應(yīng)用在企業(yè)分支機(jī)構(gòu)之間互通信息外，還提供移動(dòng)用戶到VPN 防火墻網(wǎng)關(guān)設(shè)備的VPNIP 地址不固定的企業(yè)員工從互聯(lián)網(wǎng)上寬下實(shí)現(xiàn)VPN，并提供業(yè)務(wù)質(zhì)量 技術(shù)結(jié)合，提供更靈活的訪問控制和安全隔離服務(wù)。虛擬局域網(wǎng) 和 IPVLAN防火墻DoS 攻擊和DDoS 攻擊的手段繁多、攻擊時(shí)流量突然增大，因此防DoS

5、 攻擊對(duì)防火墻的功能要求和性能要求比較大。目前互聯(lián) 網(wǎng)數(shù)據(jù)中心對(duì)防火墻的重點(diǎn)需求是基于狀態(tài)的包檢測(cè)功能和虛擬防火墻ACL 技術(shù)上，動(dòng)態(tài)的決定哪些數(shù)據(jù)包可以通過防火墻，而基于流的狀態(tài)實(shí)施虛擬防火墻，將物理防火墻邏輯劃分出多個(gè)相互無干擾的虛擬防火墻，并依據(jù)業(yè)務(wù)需求實(shí)施虛擬防火墻，將物理防火墻邏輯劃分出多個(gè)相互無干擾的虛擬防火墻，并依據(jù)業(yè)務(wù)需求QoS 機(jī)制的防火墻能夠提供流量控制功能，針對(duì)不同的應(yīng)用做出合理的帶寬分配和流量控制，防止某個(gè)應(yīng)用如FTP、Telnet 在某個(gè)的時(shí)間內(nèi)獨(dú)占帶寬資源而導(dǎo)致關(guān)鍵業(yè)務(wù)流量丟失和實(shí)時(shí)性業(yè)務(wù)流量中斷。目前大多數(shù)據(jù)中心實(shí)施雙機(jī)部署、或者部署異構(gòu)防火墻，以滿足高可用性的要求。3.4 流量清洗為監(jiān)控、告警、防護(hù)對(duì)應(yīng)用服務(wù)器發(fā)起的DOS/DDOS 攻擊，可在互聯(lián)網(wǎng)數(shù)據(jù)中心出口處部署流量清洗設(shè)備，監(jiān)測(cè)異常流量，當(dāng)發(fā)現(xiàn)攻擊時(shí)，開啟防御，將異常流量牽引出來進(jìn)行清洗， 將正常的流量回注到服務(wù)器進(jìn)行業(yè)務(wù)處理。入侵防御心出口和內(nèi)部各安全區(qū)的網(wǎng)絡(luò)匯聚層采用旁掛或者與網(wǎng)絡(luò)設(shè)備融合的部署方式進(jìn)行部署安全管理安全事件的高度關(guān)聯(lián)，從安全管理上提升數(shù)據(jù)中心的整體安全防御能力。強(qiáng)系統(tǒng)安全運(yùn)維管理，定期進(jìn)行設(shè)備檢查、安全監(jiān)察、漏洞掃描管理節(jié)點(diǎn)的安全信息與事件進(jìn)行管理，進(jìn)行安全日志管理，針對(duì)操作日志的訪問權(quán)限。用戶訪問等級(jí)權(quán)限應(yīng)區(qū)分管理員用