数据中心整体安全解决方案

数据中心安全管理解决方案

1.1 建设思路

数据中心的安全体系建设并非安全产品的堆砌，它是一个根据用户具体业务环境、使用习惯、安全策略要求等多个方面构建的一套生态体系，涉及众多的安全技术，实施过程需要涉及大量的调研、咨询等工作，还会涉及到众多的安全厂家之间的协调、产品的选型，安全系统建成后怎么维持这个生态体系的平衡，是一个复杂的系统工程，一般建议分期投资建设，从技术到管理，逐步实现组织的战略目标。

整体设计思路是将需要保护的核心业务主机包及数据库围起来，与其他网络区域进行逻辑隔离，封闭一切不应该暴漏的端口、IP，在不影响现有业务的情况下形成数据孤岛，设置固定的数据访问入口，对入口进行严格的访问控制及审计。由之前的被动安全变为主动防御，控制安全事故的发生，对接入系统的人员进行有效的认证、授权、审计，让敏感操作变得更加透明，有效防止安全事件的发生。

在访问入口部署防火墙、账号生命周期管理系统、数据加密系统、令牌认证系统、审计系统等安全设施，对所有外界向核心区域主机发起的访问进行控制、授权、审计，对流出核心区域的批量敏感数据进行加密处理，所有加密的数据将被有效的包围在安全域之内，并跟踪数据产生、扭转、销毁的整个生命周期，杜绝敏感数据外泄及滥用行为。

为了保证XXX用户的业务连续性，各安全子系统都采用旁路的方式部署到网络当中，其中账号生命周期管理系统、审计系统、数据库都采用双机的模式，以提供自身的高可靠性；加密系统、特权账号生命周期管理系统、令牌认证系统都建议部署在VMware云计算平台上，利用VMware强大的服务器虚拟化能力为防泄密系统提供良好的可靠性与可扩展性保证。 1.2 建设需求

XXX用户经过多年的信息化建设，各项业务都顺利的开展起来了，数据中心已经积累了很多宝贵的数据，这些无形的资产比硬件资产还重要，但它们却面临着非常大的安全挑战。

在早期的系统建设过程中，大多用户不会考虑数据安全、应用安全层面的问题，经过多年的发展，数据中心越来越庞大，业务越来越复杂，但信息安全完全没有配套建设，经常会发生一些安全事件，如：数据库的表被人删除了、主机密码被人修改了、敏感数据泄露了、特权账号被第三方人员使用等等情况，而这些安全事件往往都是特权用户从后台直接操作的，非常隐蔽，这时候往往无从查起。

引言概述：

随着数据中心的重要性日益增加，数据中心安全规划方案成为企业不可忽视的重要环节。本文将就数据中心安全规划方案展开详细阐述，从规划原则、物理安全、网络安全、身份认证和访问控制、数据保护等五个大点入手，分别探讨相关的详细内容，并最后进行总结。

一、规划原则

1.1 安全威胁评估：对数据中心进行全面评估，确定潜在的安全威胁。

1.2 优先级确定：根据评估结果，确定安全威胁的优先级，重点关注高风险的威胁。

1.3 资源合理配置：根据优先级确定安全资源的合理配置，确保安全防护的全面覆盖。

1.4 持续改进：定期评估和改善安全规划，使其能够适应不断变化的安全威胁。

二、物理安全

2.1 机房环境控制：确保机房内的温度、湿度、电力供应等环境条件稳定可靠。 2.2 准入控制：确保只有经过授权的人员可以进入机房，采用刷卡、指纹等身份验证技术。

2.3 监控系统：安装监控设备，实时监测机房内的活动，及时发现异常情况。

2.4 灭火系统：配备自动灭火系统，确保在火灾发生时能够及时响应并控制火势。

2.5 灾难恢复计划：制定应急预案，确保在灾难事件发生时能够迅速恢复数据中心的正常运作。

三、网络安全

3.1 防火墙设置：设置严格的防火墙规则，限制外部网络对数据中心的访问，防止未经授权的入侵。

3.2 入侵检测系统：搭建入侵检测系统，及时发现并阻止入侵活动，保护数据中心的安全。

3.3 无线网络安全：采用强密码和加密技术，限制无线网络的访问权限，防止被黑客侦听或入侵。

3.4 虚拟专用网络(VPN)：通过建立VPN，加密网络传输数据，不容易被窃取。

3.5 安全升级和漏洞管理：定期更新网络设备的安全补丁，及时修复已知漏洞，减少威胁发生的可能性。 四、身份认证和访问控制

4.1 双因素认证：采用双因素认证方式，加强对用户身份的验证，提高安全性。

4.2 角色与权限管理：对各组织成员进行分类，分配不同的角色和权限，确保对数据中心的访问受到严格控制。

数据中心解决方案

（安全)行业基线方案

杭州海康威视系统技术有限公司 第1页 目录

第 一 章 信息安全保障系统 ..................................................................... 2

1.1 系统概述 ......................................................................................... 2

1。2 安全标准 ...................................................................................... 2

1。3 系统架构 ...................................................................................... 2

1.4 系统详细设计 .................................................................................. 3

1.4.1 计算环境安全 ........................................................................... 3

1。4.2 区域边界安全 ......................................................................... 5

1。4。3 通信网络安全 ...................................................................... 6

1.4。4 管理中心安全 ......................................................................... 7

数据中心集成安全解决方案

1. 系统功能简介

数据中心负责存储、计算和转发企业最重要的数据信息，这些信息的安全可靠成为了企业发展和生存的前提条件。思科数据中心安全保护套件提供数据中心信息的安全防护。

考虑到Cisco Catalyst 6500系列交换机已经广泛部署在企业数据中心，安全套件主要由内嵌防火墙模块（FWSM）和内嵌入侵检测系统模块（IDSM）两个组件构成。

FWSM使用一个实时的、牢固的嵌入式系统，可以消除安全漏洞，防止各种可能导致性能降低的损耗。这个系统的核心是一种基于自适应安全算法（ASA）的保护机制，它可以提供面向连接的全状态防火墙功能。利用FWSM可以根据源地址和目的地地址，随机的TCP序列号，端口号，以及其他TCP标志，为一个会话流创建一个连接表条目。FWSM可以通过对这些连接表条目实施安全策略，控制所有输入和输出的流量。IDSM对进入网络的流量进行旁路的深层数据包检测，判断和分析数据包是否能够安全的在数据中心进行发送、接收，防止业务资产受到威胁，提高入侵防范的效率。

思科数据中心安全保护套件示意图如下：

2. 系统先进特性

灵活的扩展性：集成模块 FWSM安装在Cisco Catalyst 6500系列交换机的内部，让交换机的任何物理端口都可以成为防火墙端口，并且在网络基础设施中集成了状态防火墙安全。对于那些机架空间非常有限的系统来说，这种功能非常重要。系统可以通过虚拟防火墙功能将一台物理的防火墙模块划分为最多250台虚拟的防火墙系统，以满足用户业务的不断扩展。IDSM可以通过VLAN访问控制列表（VACL）获取功能来提供对数据流的访问权限，并根据自己的需要，同时安装多个模块，为更多的VLAN和流量提供保护。当设备需要维护时，热插拔模块也不会导致网络性能降低或者系统中断。

强大的安全防护功能：该系统不仅可以保护企业网络免受未经授权的外部接入的攻击，还可以防止未经授权的用户接入企业网络的子网、工作组和LAN。强大的入侵检测能力还可以提供高速的分组检查功能，让用户可以为各种类型的网络和流量提供更多的保护 。多种用于获取和响应的技术，包括SPAN/RSPAN和VACL获取功能，以及屏蔽和TCP重置功能，从而让用户可以监控不同的网段和流量，同时让产品可以采取及时的措施，以消除威胁。