数据中心整体安全解决专项方案V.docx

数据中心整体安全处理方案目录1.概述11.1.方案目标11.2.参考依据12.数据中心面临安全挑战32.1.网络边界接入风险32.2.面向应用层攻击32.3.虚拟化安全风险42.4.APT攻击风险52.5.数据泄露风险52.6.安全运维挑战53.方案思绪73.1.总体思绪73.2.设计标准74.方案设计94.1.安全域划分94.1.1.边界接入区94.1.2.网络基础设施区94.1.3.业务接入区94.1.4.运维管理区104.2.整体设计104.3.各安全域安全架构设计114.3.1.互联网接入区114.3.2.外联接入区124.3.3.内部接入区134.3.4.关键汇聚区144.3.5.通常服务区144.3.6.关键服务区164.3.7.关键数据区174.3.8.运维管理区175.方案组成及产品介绍205.1.方案清单205.2.下一代智慧防火墙215.3.SSLVPN安全接入网关215.4.Web应用防火墙215.5.虚拟化安全管理系统215.6.鹰眼Web智能监控系统215.7.天眼态势感知及安全运行平台215.8.运维审计系统（堡垒机）215.9.数据库审计系统215.10.网站云监测215.11.企业安全服务216.方案价值21图索引图 41 数据中心整体安全设计11图 42 互联网接入区安全设计12图 43 外联接入区安全设计13图 44 内部接入区安全设计14图 45 关键汇聚区安全设计14图 46 通常服务区安全设计15图 47 关键服务区安全设计16图 48 关键数据区安全设计17图 49 运维管理区安全设计181. 概述伴随企业信息化成熟发展和新技术广泛引用，政府机构、金融、教育、IT、能源等等各个行业企业全部因需求不停扩大而正在计划和建设各自数据中心。首先伴随信息爆炸，出于管理集约化、精细化肯定要求，进行数据集中已经成为中国电子政务、企业信息化建设发展趋势。其次数据中心不再是简单基础通信网络，更是集通信服务、IT服务、管理应用和专业信息化服务于一体综合性信息服务中心。伴随云计算和大数据高速发展，技术进步推进了生活、生产方法改变，网络数据中心定义也发生了改变，传统数据中心将形成提供多种数据业务新一代IDC数据中心。数据中心作为数据处理、存放和交换中心，是网络中数据交换最频繁、资源最密集地方，更是存放数据安全局，它要确保全部数据安全和完备。相比过去传统数据中心，云时代数据中心面临着更巨大挑战，如新业务模式带来数据保护风险、虚拟化等新技术引入新型风险、攻击者不停演进新型攻击手法等。所以，对于数据中心安全建设，要考虑多方面原因，任何防护上疏漏必将会造成不可估量损失，所以构筑一道安全防御体系将是这座数字城堡首先面正确问题。1.1. 方案目标本方案着眼于数据中心面临传统风险和新型风险，从全局考虑，为数据中心整体安全计划和建设提供含有实际意义安全提议。1.2. 参考依据u 中办27号文件国家信息化领导小组相关加强信息安全保障工作意见u 公通字66号信息安全等级保护工作实施意见u 公通字43号信息安全等级保护管理措施u GB/T20269-信息安全技术 信息系统安全等级保护管理要求u GB/T20271-信息安全技术 信息系统通用安全技术要求u GB/T22239-信息安全技术 信息系统安全等级保护基础要求u GB/T22240-信息安全技术 信息系统安全等级保护定级指南u 信息安全技术 信息系统安全等级保护实施指南u 信息安全技术 信息系统安全等级保护 第二分册 云计算安全要求u ISO13335信息系统管理指南u IATF信息保障技术框架2. 数据中心面临安全挑战伴随Internet应用日益深化，数据中心运行环境正从传统用户机/服务器向网络连接中央服务器转型，受其影响，基础设施框架下多层应用程序和硬件、网络、操作系统关系变得愈加复杂。这种复杂性也为数据中心安全体系引入很多不确定原因，部分未实施正确安全策略数据中心，黑客和蠕虫将顺势而入。尽管大多数系统管理员已经认识到来自网络恶意行为对数据中心造成严重损害，而且很多数据中心已经布署了依靠访问控制防御来取得安全性设备，但对于日趋成熟和危险各类攻击手段，这些传统防御方法仍然显现力不从心。以下是目前数据中心面正确部分关键安全挑战。：2.1. 网络边界接入风险网络边界接入风险关键包含路由破坏、未授权访问、信息窃听、拒绝服务攻击、针对路由器和交换机等边界网络设备攻击，和病毒、蠕虫传输等。在互联网上尤其是拒绝服务攻击现在呈多发趋势，而且中国是攻击发生重灾区，在世界范围内仅次于美国排名第二。海量SYN Flood、ACK Flooding、UDP Flood、ICMP Flood、 (M)Stream Flood等攻击产生大量垃圾数据包，首先大量占用网络带宽，其次会造成边界路由器和关键交换机等网络设备有效数据转发能力下降，甚至会出现关键路由器和交换机因负荷过载而造成转发延迟增大和数据包丢包率上升等问题。同时，针对服务器区域HTTP Get Flood、UDP DNS Query Flood、CC等攻击会造成业务服务器和关键设备服务质量下降甚至业务中止。2.2. 面向应用层攻击应用层攻击之所以存在，通常是因为程序员是在严格期限压力下公布代码，她们并没有足够时间来发觉并处理将会造成安全漏洞错误。另外，很多程序员未考虑到使用一些特定语言结构将会造成应用程序暴露在隐式攻击下。最终，很多应用程序有着复杂配置，缺乏经验用户可能会在布署应用程序时启用了危险选项，从而造成应用程序安全性降低。应用层攻击类型能够分为以下3种：利用编程错误应用程序开发是一个复杂过程，它不可避免地会产生编程错误。在一些情况下，这些错误可能会造成严重漏洞，使得攻击者能够经过网络远程利用这些漏洞。这么例子有：缓冲区溢出漏洞，它来自对不安全C库函数使用；以Web为中心漏洞，如将未经清理查询传输给后端数据库Web服务器（这将造成SQL注入攻击），和将直接来自用户端未经过滤内容写入页面站点（这将造成跨站脚本或XSS攻击）。利用信任关系有些攻击利用是信任关系而不是应用程序错误。对和应用程序本身交互而言，这类攻击看上去是完全正当，但它们目标是信任这些应用程序用户。钓鱼式攻击就是一个这么例子，它目标并不是Web应用程序或邮件服务器，而是访问钓鱼网站或电子邮件信息用户。耗尽资源像网络层或传输层DoS攻击一样，应用程序有时候也会遭受到大量数据输入攻击。这类攻击将使得应用程序不可使用。2.3. 虚拟化安全风险伴随云计算快速发展，传统数据中心也在向“云”迈近，首先一步便是虚拟化技术应用。虚拟化技术是生成一个和真实系统行为一样虚拟机器，虚拟机像真实操作系统一样，一样存在软件漏洞和系统漏洞，也会遭到病毒木马侵害。而且宿主机安全问题一样需要得到重视。一直以来不管虚拟化厂商或安全厂商全部将安全关注点放在虚拟机系统和应用层面，直到 “毒液”安全漏洞出现，才将大家眼光转移到宿主机，因为宿主机系统本身也全部是基于Windows或Linux系统进行底层重建，所以宿主机不可避免见面对这类漏洞和风险问题，一旦宿主机安全防护被忽略，黑客能够直接攻破虚拟机，从而造成虚拟机逃逸。所以，宿主机安全问题是虚拟化安全根基。另外虚拟化技术带来了弹性扩展这一优异特征，是经过虚拟机漂移技术来实现，当宿主机资源消耗过高或出现故障时，为了确保虚拟机上业务稳定，虚拟机会漂移到其它宿主机上。企业数据中心在虚拟化后，一旦发生虚拟机漂移，原有安全管理员配置好安全域将被完全打破，甚至会出现部分物理服务器和虚拟机服务器处于同一个安全域这么情况，而依靠传统防火墙和VLAN方法将没有措施维持原来安全域稳定，使得安全域混乱，安全管理出现风险所以基于虚拟化环境本身特征，数据中心需要充足考虑虚拟化引入为企业带来对应风险，依据各个风险点带来问题及威胁建设针对性防护方案，以保障企业数据安全及业务系统平稳运行。2.4. APT攻击风险传统防病毒软件能够一定程度处理已知病毒、木马威胁，但对于越来越多APT攻击却束手无策。APT很多攻击行为全部会利用0day漏洞进行网络渗透和攻击，且含有连续性及隐蔽性。此种连续表现在攻击者不停尝试多种攻击手段，和在渗透到网络内部后长久蛰伏，不停搜集多种信息，直到搜集到关键情报。愈加危险是，这些新型攻击和威胁关键针对大型企业、国家关键基础设施或含相关键利益网络基础设施。因为APT特种木马免疫行为，所以传统防病毒软件和安全控管方法和理念极难有效应对APT攻击。2.5. 数据泄露风险数据泄漏是数据中心最为广泛担忧之一。尤其是对公众提供服务数据中心，包含大量用户敏感信息等关键数据库存放，并开放多方接口供不一样平台、机构调用，很多威胁场景全部可能会造成敏感数据丢失和泄漏。多年来多种机构被“拖库”事件频繁发生，数据中心关键数据高密度聚合对潜在攻击者含有极大诱惑力，数据安全方面临巨大挑战。2.6. 安全运维挑战伴随技术和应用演进，让今天IT环境和过去相比，已经发生了巨大变迁，而对应安全运维管理关键，也从过去“设备监控、告警程序”，转变为对企业业务发展关注和支撑。传统“安全运维”存在着很多问题需要处理。 n 多个安全设备，不一样报警，怎样整合？在大中型企业网络系统中，为了确保系统稳健运行，通常会采取多个安全技术手段和安全产品，比如防火墙系统、入侵检测系统、防病毒系统等，全部是安全基础设施。在实际运维过程中，这些不一样种类、不一样厂家安全产品会给技术人员带来不小麻烦-各个安全系统相对孤立，报警信息互不关联，策略和配置难于协调。当一个报警事件产生时，不知道该怎样处理。n 海量事件、海量日志，怎样分析存放？对于数据中心规模来说，各类网络设备、安全设备、服务器全部会产生海量日志。从海量数据中对日志进行快速分析，这要求当地含有海量数据存放能力、检索能力和多维度关联能力，而传统数据存放和检索技术极难达成这么要求。比如：在一个中型规模企业中统计整年网络出口流量，大约有亿条日志，需要约300多TB存放空间，假如使用传统检索技术进行一次条件检索，大约需要多个小时时间。这种效率显著不能满足攻击行为分析需求。n 怎样表现安全运维价值？安全运维是很枯燥工作，运维人员整天面对滚动监控屏幕，多种碎片化告警，复杂报表，责任重大，压力巨大，但工作结果却极难表现。究其原因还是缺乏自动化、结构化、可视化管理工具，造成安全运维效率低下，难以快速感知整体安全态势。3. 方案思绪3.1. 总体思绪基于数据中心业务需求，和数据中心面临安全问题，极难经过一次安全建设将数据中心面临全部风险处理；同时，安全风险也是动态发展改变，所以我们处理方案也需要伴随数据中心安全需求改变不停完善和发展。从云提供商角度来看，传统模式下网络安全需求并没有什么改变，不管从信息安全保密性、完整性、可用性，还是依据网络层次划分从物理层到应用层安全，仍然是需要处理问题。在云计算时代数据中心信息安全架构时，不能像传统IDC系统集成或安全集成那样，头痛医头，脚痛医脚，而应该充足结合虚拟化特点来系统地进行计划，考虑数据中心外围物理实体和虚拟化平台环境各类安全需求和特征，从而达成各类安全产品、安全管理、整体安全策略统一，发挥最大效率。在设计数据中心安全提议方案时，充足利用现有中国和国际安全标准和成熟安全体系，结合系统实际需求，利用在安全领域成熟经验，设计出一个有针对性安全设计方案。处理思绪以下：1)对数据中心进行安全域划分，依据各区域业务特征、技术特征和安全需求进行对应安全防护设计；2)要充足考虑网络层、操作系统层、虚拟化层、应用层和数据层安全防护需求，尤其是虚拟化等新技术带来问题。3)强调安全运行价值，实现预警、检测、响应、溯源闭环步骤；3.2. 设计标准n 业务保障标准：安全体系设计目标是能够愈加好保障网络上承载业务。在确保安全同时，还要保障业务正常运行和运行效率。n 结构简化标准：安全架构计划直接目标和效果是要将整个网络变得愈加简单，简单网络结构便于设计防护体系。比如，安全域划分并不是粒度越细越好，安全域数量过多过杂可能造成安全域管理过于复杂和困难。n 立体协防标准：应避免形成各个安全产品独立割裂安全体系，充足利用威胁情报和大数据等新技术，实现网络、终端、边界立体协防机制。n 等级保护标准：依据业务系统关键程度和考虑风险威胁、安全需求、安全成本等原因，将其划为不一样安全保护等级并采取对应安全保护技术、管理方法。n 可扩展性标准：当有新业务系统需要接入数据中心时，可根据等级保护、对端可信度等标准将其分别划分至不一样安全等级域各个子域。n 可管理性标准：应该采取集中化、自动化、智能化安全管理手段，减轻安全负担，同时减小因为管理上疏漏而对系统安全造成威胁。4. 方案设计4.1. 安全域划分安全域划分目标是从信息安全角度来对企业信息系统进行拆分。以业务系统为关键，从业务特征、技术特征方面分析各业务系统安全需求和防护等级，进行合适安全防护体系设计。4.1.1. 边界接入区n 互联网接入区承载组织和互联网连接，组织向公共用户提供对外业务服务通道。n 外联接入区承载组织和外部第三方机构信息交换，如电子政务专网、监管机构、合作机构等。n 内部接入区承载组织内部分支机构、灾备中心之间信息交换，和组织内人员从外部接入通道。4.1.2. 网络基础设施区n 关键汇聚区数据中心网络汇聚中心，各个区域之间数据流传全部会经过关键汇聚区。通常在此区域进行网络流量安全监控。n 区域接入区关键是各个安全区内部接入路由交换设备，通常在此区域布署网络接入控制等方法。4.1.3. 业务接入区n 通常服务区用于存放防护等级较低，需直接对外提供服务信息资产，如Web应用、业务前置机、办公服务器等，通常服务区和外界有直接连接，同时不能够访问关键数据区（避免被作为攻击关键数据区跳板）。n 关键服务区用于存放等级较高，不需要直接对外提供服务信息资产，如生产应用服务器等，关键服务区通常经过通常服务区和外界连接，并能够直接访问关键数据区。 n 关键数据区用于存放等级很高信息资产，如关键数据库等，外部对关键区访问需要经过关键服务区跳转。4.1.4. 运维管理区运维管理区通常承载网络管理、安全管理和业务运维等应用，运维人员经过本区域管理平台对网络设备、服务器、安全产品进行管理。如各类设备日志存放、安全管理平台、各类监控系统等。4.2. 整体设计依据上述安全域划分架构，对数据中心进行整体安全设计，以下图所表示：图 41 数据中心整体安全设计4.3. 各安全域安全架构设计4.3.1. 互联网接入区互联网接入区关键面临来自互联网安全威胁，对于互联网接入区安全设计关键从以下两方面考虑：1. 防范DDoS攻击（分布式拒绝服务攻击）。DDOS攻击分为带宽消耗型攻击（大流量攻击）和主机资源消耗型攻击，带宽消耗型攻击会对数据出口造成流量压力，极大浪费宝贵带宽资源，严重增加关键设备工作负荷，造成关键业务中止或网络服务质量大幅降低。主机资源消耗型攻击使服务器处理大量并发攻击请求，严重影响服务器内存、数据库、CPU处理性能。 DDoS攻击会造成门户网站、网络设备、虚拟服务器等性能均急剧下降，可能造成无法正常处理用户正常访问请求，造成用户访问失败。2. 未知威胁检测和响应。互联网边界是威胁关键入口之一，同时也是数据泄露关键出口之一。尤其是目前APT攻击盛行，各类未知威胁对关键数据安全造成巨大危害。网关层面应该含有对未知威胁检测能力，并能实现联动响应机制，拦截掉威胁进出路径。本区域安全设计以下图所表示：图 42 互联网接入区安全设计n 在互联网边界布署抗DDoS系统，对来自外部DDoS攻击进行实时阻断。n 布署360网神下一代智慧防火墙，实现高性能应用层安全防护，和和安全运行平台进行联动，实现网关处未知威胁处理。4.3.2. 外联接入区外联接入区关键面临威胁来自于外联机构，通常外联机构使用专线或VPN连接到数据中心，访问特定业务系统。对于外联接入区安全设计关键从访问控制方面关键考虑。本区域安全设计以下图所表示：图 43 外联接入区安全设计n 布署360网神下一代智慧防火墙，实现端口级访问控制，并开启应用层防护功效，对来自外部机构恶意代码、高级威胁等进行检测和拦截。4.3.3. 内部接入区内部接入区关键面临威胁来自于远程接入带来风险，如传输过程信道监听、职员远程接入后权限滥用等。内部接入区安全设计关键考虑远程安全接入中访问控制、权限管理、传输加密等方面。本区域安全设计以下图所表示：图 44 内部接入区安全设计n 布署VPN接入网关，实现对分支机构接入访问控制、权限管理，而且采取链路加密技术确保敏感信息传输安全。n 布署360网神下一代智慧防火墙，支持对穿过防火墙SSL协议进行解密，并对解密后数据提供防护过滤，如攻击防护、入侵检测、病毒防护、内容过滤等。4.3.4. 关键汇聚区关键汇聚区安全设计关键考虑从全网流量中对各类威胁进行识别检测，立即发觉攻击行为并向安全运行中心进行告警。本区域安全设计以下图所表示：图 45 关键汇聚区安全设计n 在关键交换机上旁路布署360天眼网络威胁传感器。经过流量镜像接收全网通信数据流，对各类网络行为进行还原，从中识别各类已知威胁生成告警；还能够经过和360威胁情报中心下发到当地威胁情报进行比对，识别未知威胁；同时全量网络数据存放在当地大数据分析平台，能够对威胁进行溯源。n 布署360天眼文件威胁判定器。网络威胁传感器识别到网络流量中文件传输行为后，会将文件还原并发送至文件威胁判定器，进行深度分析。文件威胁判定器会对PE文件、脚本文件等进行模拟运行，经过文件运行过程中实施操作行为深入识别潜在威胁。4.3.5. 通常服务区通常服务区通常承载了对外Web类应用，关键面临威胁有以下两方面：1. 应用安全风险，关键因为应用软件漏洞造成。任何一个软件或多或少存在一定脆弱性，安全漏洞可视作已知系统脆弱性。这种安全漏洞可分为两种：一个是因为操作系统本身设计缺点带来漏洞，它将被运行在这个系统上应用程序所继承，另一个是应用软件程序安全漏洞，很常见，更要引发广泛关注。2. 主机安全风险。包含两方面：一是物理机和虚拟机操作系统恶意代码防范。二是因为服务器虚拟化技术带来新型风险，如东西向流量访问控制、虚拟机逃逸漏洞、虚拟机漂移造成安全策略失效等。本区域安全设计以下图所表示：图 46 通常服务区安全设计n 在通常服务区边界布署Web应用防火墙，用于对应用层攻击行为进行实时防护。n 在通常服务区接入交换机旁路布署Web漏洞智能监测系统，首先能够从进出站流量中识别出应用系统存在漏洞和针对Web应用攻击行为；其次能够对站点中存在暗链、后门访问行为进行识别，发觉潜在安全风险。n 在物理机和虚拟机操作系统上布署天擎虚拟化安全用户端，关键功效包含恶意代码防护、主机防火墙、主机入侵防御，并能够对虚拟机和物理机操作系统进行统一管理。用户端和布署在运维管理区虚拟化安全控制中心进行通信，进行病毒库更新、安全策略更新、日志告警上传等。n 在服务器虚拟化管理层布署宿主机防护代理用户端，用于防范利用虚拟机逃逸漏洞对宿主机进行穿透攻击行为，确保宿主机上全部虚拟机安全运行。4.3.6. 关键服务区关键服务区关键面临威胁来自于主机操作系统层，包含两方面：一是物理机和虚拟机操作系统恶意代码防范。二是因为服务器虚拟化技术带来新型风险，如东西向流量访问控制、虚拟机逃逸漏洞、虚拟机漂移造成安全策略失效等。本区域安全设计以下图所表示：图 47 关键服务区安全设计n 在物理机和虚拟机操作系统上布署天擎虚拟化安全用户端，关键功效包含恶意代码防护、主机防火墙、主机入侵防御，并能够对虚拟机和物理机操作系统进行统一管理。用户端和布署在运维管理区虚拟化安全控制中心进行通信，进行病毒库更新、安全策略更新、日志告警上传等。n 在服务器虚拟化管理层布署宿主机防护代理用户端，用于防范利用虚拟机逃逸漏洞对宿主机进行穿透攻击行为，确保宿主机上全部虚拟机安全运行。4.3.7. 关键数据区关键数据区关键面临威胁来自于对数据安全方面，如敏感数据泄露、对数据库越权访问、数据库配置缺点等。本区域安全设计以下图所表示：图 48 关键数据区安全设计n 在关键数据区旁路布署数据库审计系统，监视并统计对数据库服务器各类操作行为，并能够支持操作回放。还能够经过建立行为模型来发觉违规数据库访问行为，并能够进行溯源，定位到责任人。4.3.8. 运维管理区安全运维是整个安全体系重中之重，过去安全运维价值难以得到表现，关键有以下原因：如安全管理割裂、学习成本高、对运维人员水平要求较高、安全管理结果缺乏可视化展现手段等。本方案要做到不仅仅是实现安全防护目标，同时要尽可能提升安全运维效率和体验，降低人为错误带来风险。经过集中化、自动化、智能化管理工具，实现覆盖威胁检测、响应、溯源，形成安全运行闭环。本区域安全设计以下图所表示：图 49 运维管理区安全设计n 布署态势感知及安全运行平台。基于360威胁情报和当地大数据技术对用户当地安全数据进行快速、自动化关联分析，立即发觉当地威胁和异常，同时经过图形化、可视化技术将这些威胁和异常总体安全态势展现给用户。同时平台能够导入云端高价值威胁情报，对未知威胁和APT攻击进行有效检测，而且能够经过和360下一代智慧防火墙进行联动，在网关处进行未知威胁拦截。n 布署虚拟化安全控制中心。对全部服务器及终端进行统一管理、病毒库更新、安全策略下发。支持物理机和虚拟机统一管理。n 布署运维审计系统（堡垒机）。对全部运维操作进行统一账户授权管理、身份认证、操作行为审计，降低组织内部运维安全风险。n 将数据中心内网站，经过360网站云监测平台进行集中监控，监控指标包含网站可用性、网站漏洞、篡改、挂马、暗链、钓鱼网站等。5. 方案组成及产品介绍各产品介绍请售前依据产品文档自行补充。5.1. 方案清单产品/服务组件形态说明下一代智慧防火墙硬件SSLVPN安全接入网关硬件Web应用防火墙硬件虚拟化安全管理系统控制中心软件主机用户端软件宿主机防护用户端软件鹰眼Web智能监控系统硬件天眼态势感知及安全运行平台网络流量传感器硬件文件威胁判定器硬件日志采集器硬件分析平台硬件关联引擎硬件威胁情报服务服务运维审计系统（堡垒机）硬件数据库审计系统硬件网站云监测服务企业安全服务安全计划咨询服务服务补天众测服务服务应急响应服务服务5.2. 下一代智慧防火墙5.3. SSLVPN安全接入网关5.4. Web应用防火墙5.5. 虚拟化安全管理系统5.6. 鹰眼Web智能监控系统5.7. 天眼态势感知及安全运行平台5.8. 运维审计系统（堡垒机）5.9. 数据库审计系统5.10. 网站云监测5.11. 企业安全服务6. 方案价值 云、管、端全方面覆盖，安全防护系统间智能联动，共享威胁情报，有效阻断攻击链。 针对云数据中心虚拟化安全特殊需求定制防护体系。 经过当地+云端大数据分析组合，提升系统识别安全威胁正确性和立即性，有效应对日益复杂网络空间安全环境。 强化安全运行闭环管理，安全态势可视化。 方案模块化，扩展性强，能有效匹配不一样系统规模，适应未来改变。