数据中心网络安全防护与设计要求

摘要：目前国内企业信息化建设、电子政务兴起都将倚靠数据集中的蓬勃发展。同时，数据大集中以及大数据的推动也必将倚靠数据中心的建设。作为网络中资源最密集的载体、数据交换最频繁的中心基础网络，数据中心网络的研究与设计将成为等级保护建设工作的重要内容。本文分析采用数据中心网络安全特征的基础上，探寻与传统数据中心网络安全特征的差异，结合信息系统安全等级保护的基本要求，从技术、物理、管理三个方面，针对在新的数据中心网络架构中可能导致的安全问题，探讨了数据中心网络在安全设计层面的新标准与新要求。

关键词：等保测评；数据中心；基础网络

伴随着互联网中的应用程序日渐丰富与多样化，数据中心的基础运行环境由原来的C/S架构逐渐向由通过网络设备互联的服务器集群的方面转型。因此，由传统的通过硬件、操作系统、操作系统之上的应用系统所组成的基础架构变得越来越复杂。然而，这越来越复杂的结果导致即将转型为数据中心的安全体系带来了更多的风险与困难，一些数据中心的安全策略配置不当或者不正确，往往都会给非法入侵者留下可被利用的后门或漏洞。尽管网络管理员、系统管理员、系统安全员等相关负责人都已经拥有相对较高的安全防护理念与意识，并通过不断架设安全设备来保障数据中心的安全性与健壮性，但对于层出不穷和日益完善的黑客攻击手段，这些传统的防御理念和措施仍不足以保障数据中心的安全。因此，管理集约化、精细化的产物——数据集中就应运而生。目前国内企业信息化建设、电子政务兴起都将倚靠数据集中的蓬勃发展。同时，数据大集中以及大数据的推动也必将倚靠数据中心的建设。作为网络中资源最密集的载体、数据交换最频繁的中心基础网络，数据中心无疑是一个充满发展前景的新星产业。然而，数据中心由于是大数据的集合，必然包含无数信息与机密，对于数据中心上的任何防护漏洞必将导致无法计算的损失，因此构筑一道完善且完整的安全防护体系将是其首要解决的问题。

一、现有数据中心安全分析

1.1 针对应用层面的攻击。应用层面的攻击方式包括缓冲区代码溢出、植入病毒、蠕虫攻击、植入后门木马等，其中，应用攻击中最典型的方式为蠕虫攻击。蠕虫是指"通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪"[1]。从本质上讲，蠕虫可以在网络中主动进行传播，进而对系统进行破坏，而病毒则需要手工干预，比如利用外部存储介质的读写、点击非法链接而被植入病毒。1.2 针对网络层面的攻击。在数据中心中针对网络层面的攻击主要包括分布式拒绝服务攻击（DDoS）、拒绝服务攻击（DoS）等。虽然DDOS/DOS存在由来已久，但其破坏力却仍然被网络管理员以及安全管理员所忌惮。最常见的DDOS攻击方法有ECF（Established Connection Flood）、SYN Flood和CPSF(Connection Per Second Flood)。DOS攻击程序有UDP反弹以及ICMP Smurf等方式。DDOS/DoS攻击利用了TCP/IP的开放性原则，即协议自身规定的从任意源地址向任意目标地址都可以发送数据包，导致DDOS/DOS利用合理的、海量的、不间断的服务请求来耗尽网络、系统等可利用的资源，使得合法用户无法获取正常的服务响应。随着分布式技术的不断的完善与改进，及时在网络和系统性能的大幅提升的今天，数以亿计的主机同时对某一网络系统发起攻击，造成的后果不言而喻，最直接的影响即使网络瘫痪、系统无法正常使用。1.3 针对网络基础设施的攻击。数据中心作为一个充满发展前景的新星产业。又是大数据的集合，其中包含了无数信息与机密数据，即使安全设备部署的再完善，如果内部管理不当，依然会被攻破，而且来自内部的攻击更具破坏性。企业内部的不法分子在充分了解数据中心的架构与部署的前提下，不仅可以通过黑客技术绕过防火墙，还可以凭借对网络构架的充分了解，通过嗅探技术、违规访问、攻击路由器/交换机设备等手段，访问非授权的数据，这将无疑对企业造成更为重大的损失。1.4 数据中心网络安全设计原则。由于数据中心承载着其上用户的所有机密数据、核心业务或核心技术，并且数据中心还为内部之间提供数据之间的交换与业务之间的交互。因此，在构建数据中心的网络安全时，要从以下几个方面进行合理规划与建设：1.4.1安全分区：要将数据中心的网络划分为各个不同的安全区域，同时确保不同区域之间未经许可不能访问，用户和客户机在对数据中心访问时只可以访问他可以访问的区域，禁止违规外联和非法访问以及恶性的入侵攻击。1.4.2性能保障：要通过建立高性能、可靠性高的网络环境，确保数据在网络中传输的完整性，同时可以利用CRC循环校验算法校验数据在网络中的丢失情况，使得数据在网络传输过程中加了双重保险。1.4.3技管并重：很多人会认为，只要技术上有了足够的保证，那么安全性必然有了保证。其实不然，正所谓系统的安全性保证都是三分靠技术，七分靠管理，技术层面设计得再优良，也要有与之对应的管理制度去推动。1.4.4新近原则：及时汲取当前最新的安全技术，以减轻安全管理的负担为目标，实现安全管理的自动化，同时减小因为人为管理认知上的漏洞对系统安全造成威胁。1.4.5平衡发展：在构建数据中心的时候要充分考虑今后业务和网络安全的共同协调发展，既要能满足今后业务的扩展，又要能够实现当前技术与未来新技术的无缝链接，避免只满足系统安全要求，而给业务发展带来障碍，或者为了扩展业务而忽视了安全建设的情况发生。

二、数据中心网络安全设计要求

2.1 物理安全设计要求

2.1.1 物理访问控制。机房存放着网络设备、服务器、办公环境以及信息系统的设备和存储数据的介质及相关设备场所，机房各出入口应安排专人负责，记录进入的人员，划分关键设备与非关键区域，区域之间通过玻璃隔断实现物理隔离，关键区域采用智能卡和指纹识别的门禁系统，对进入关键区域人员实现“双道”鉴别。2.1.2 温湿度控制。机房存放着不同业务系统的主机，由于主机在运行时会产生大量的热量，而保证良好机房环境的精密空调系统则成为不可获取的必备设施。而机房精密空调系统就是为了保证公司内部机房中的网络设备、安全设备、服务器等一系列硬件设施能够连续、稳定、可靠地运行，同时，精密空调系统还需要维持机房内恒温恒湿状态，防止静电现象的产生导致设备的损坏。2.1.3 电力供应。公司机房的其供电要求非常高，按照等级保护四级系统的要求应采用UPS不间断电源，以保证在机房断电的同时，通过UPS不间断的供电来保证机房内部实施的稳定、正常运行，为电力抢修赢得时间。同时其供配电系统应采用N+1冗余并机技术以实现空调设备、动力设备、照明设备、测试设备等设备的正常使用。2.1.4 动力环境监控系统。数据中心机房除了部署视频监控系统、UPS系统、消防系统、精密空调系统，还应该部署水敏感检测装置、红外告警装置等，且所有系统统一集成动力环境监控系统中，方便机房管理员有效了解温湿度、消防、电源、UPS等状态以及告警信息，及时对告警信息进行分析和处理。

2.2 网络安全设计要求

2.2.1 区域边界安全。应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查；应逐步采用网络准入、终端控制、身份认证、可信计算等技术手段，维护网络边界完整性。安全区边界应当采取必要的安全防护措施，禁止任何穿越数据中心中不同业务之间边界的通用网络服务。 数据中心中的的业务系统应当具有高安全性和高可靠性，禁止采用安全风险高的通用网络服务功能。2.2.2 拒绝服务攻击。在数据中心中针对网络层面的攻击主要包括分布式拒绝服务攻击（DDoS）、拒绝服务攻击（DoS）等。虽然DDOS/DOS存在由来已久，但其破坏力却仍然被网络管理员以及安全管理员所忌惮。最常见的DDOS攻击方法有ECF（Established Connection Flood）、SYN Flood和CPSF(Connection Per Second Flood)。部署相关的网络安全设备，抵御DDOS/DOS的攻击。2.2.3 网络设备防护。实施工程师和客户之间存在不可或缺交流的问题，大部分实施工作以能够“通信”为原则，忽略网络设备安全防护的能力。设备应该关闭使用多余接口、采用SSH V2作为远程管理协议、为不同管理员分配不同权限的账号，实现“权限分离，多人账号管理”根据业务的要求，制定详细访问控制策略，提升网络设备的安全性。2.2.4 恶意代码防护。随着技术的快速，数据中心网络面临各种可能性的攻击。缓冲区代码溢出、植入病毒、蠕虫攻击、植入后门木马等，其中，应用攻击中最典型的方式为蠕虫攻击。蠕虫是指“通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪”[1]。在数据中心网络出口处部署恶意代码防护系统，防止计算机病毒、木马和蠕虫从网络边界处入侵而造成的传播破坏，对恶意代码进行检测和清除。2.2.5 入侵防护防御系统。随着业务系统发展的需要，WEB服务器需要暴露公网环境中，随时都面临被攻击的可能性。在DMZ边界部署入侵防御系统，能够阻止蠕虫、病毒、木马、拒绝服务攻击、间谍软件、VOIP攻击以及点到点应用滥用，制定详细入侵防范策略，修改默认策略，发生攻击行为时记录日志。

2.3 安全审计设计要求

2.3.1 日志服务器。日志可以帮助我们分析设备是否正常，网络是否健康，任何设备或系统都应该建立完整的日志系统。部署日志服务器，对交换机、路由器、安全及相关设备运行日志进行集中收集， 便于管理员了解网络运行情况以及方便故障排除。2.3.2 安全审计。数据中心部署审计平台网络设备的运行状况、网络流量、管理记录等进行监测和记录，记录时间、类型、用户、时间类型、事件是否成功等相关信息，利用审计平台生成的记录和报表进行定期分析，为了方便管理员能够及时准确地了解网络设备运行状况和发现网络入侵行为。

2.4 数据备份与恢复设计要求

涉及数据中心的业务相对比较重要，数据大而多，多存放于本地或异地容易容灾系统，一旦发生不可预见对的困难，影响范围广和后果难以估计。因此，数据中心必须具备备份与恢复检测，确认信息的完整性和可用性，确保数据能够及时恢复。数据备份与基本要求：（1）每天进行增加备份，每周进行全额备份；（2）应部署异地容灾系统，通过数据中心基础架构实现关键数据的异地备份；（3）与容灾中心进行异地备份要进行完整性校验，确保备份数据有效性；（4）数据须至少每个月进行恢复测试，以确保备份的有效性和备份恢复的可行性。

三、结束语

数据中心网络技术突破了传统的物理结构限制的壁垒，高效整合和利用了各项基础设施资源，为网络技术发展和虚拟化技术发展带来革命性突破，同时也给信息产业带来新的机遇。但新的技术总是伴随着新的安全隐患，而安全问题若不能得到合理解决将会阻碍其技术的发展，这需要在未来技术发展中深入分析和了解以寻求解决之道。数据中心建设过程中的网络安全是数据中心安全体系的最基本、也是最重要的环节，只有合理的设计网络安全规划方案，并提供持续安全加固的扩展性设计，才可以保证基础网络平台的安全性与可靠性。但要构建全方位、高安全的数据中心体系，还需要融合物理安全、网络安全、主机安全、数据安全、应用安全、以及管理制度等方面，从各种安全角度出发进行相应的安全规划，并不断完善数据中心的安全防范等级。

作者:冯国礼 李蓉 王晔 单位:国网宁夏电力公司信息通信公司

参考文献

[1]GB/T22239-2008.信息系统安全等级保护基本要求[S].

[2]刘凯明.云计算信息系统等级保护安全设计要求初探,2012年.

[3]胡维浩.浅谈数据中心的安全运行管理[J].华南金融电脑,2002,10.