數(shù)據(jù)中心安全性建設(shè)與評估指標(biāo)介紹

米沃奇

隨著人們對個人隱私數(shù)據(jù)安全的關(guān)注，數(shù)據(jù)中心安全受到越來越高的重視。當(dāng)人們訪問數(shù)據(jù)中心時，首先的顧慮是個人的信息會不會被泄露，自己的訪問是不是安全的。這對數(shù)據(jù)中心提出了更高的要求，數(shù)據(jù)中心不僅要提供全年不間斷的訪問，還要確保數(shù)據(jù)不丟失，不被竊取。下面我們就針對數(shù)據(jù)安全中心的建設(shè)與評估二方面做詳細(xì)介紹。

一、數(shù)據(jù)中心的網(wǎng)絡(luò)安全建設(shè)

由于數(shù)據(jù)中心承載著用戶的核心業(yè)務(wù)和機(jī)密數(shù)據(jù)，同時為內(nèi)部、外部以及合作伙伴等客戶提供業(yè)務(wù)交互和數(shù)據(jù)交換，因此在新一代的數(shù)據(jù)中心建設(shè)過程中，安全體系建設(shè)成為重點的主題。數(shù)據(jù)中心安全圍繞數(shù)據(jù)為核心，從數(shù)據(jù)的訪問、使用、破壞、修改、丟失、泄漏等多方面維度展開，一般來說包括以下幾個方面：

1）物理安全：主要指數(shù)據(jù)中心機(jī)房的安全，包括機(jī)房的選址，機(jī)房場地安全，防電磁輻射泄漏，防靜電，防火等內(nèi)容；

2）網(wǎng)絡(luò)安全：指數(shù)據(jù)中心網(wǎng)絡(luò)自身的設(shè)計、構(gòu)建和使用以及基于網(wǎng)絡(luò)的各種安全相關(guān)的技術(shù)和手段，如防火墻，IPS，安全審計等；

3）系統(tǒng)安全：包括服務(wù)器操作系統(tǒng)、數(shù)據(jù)庫、中間件等在內(nèi)的系統(tǒng)安全，以及為提高這些系統(tǒng)的安全性而使用安全評估管理工具所進(jìn)行的系統(tǒng)安全分析和加固；

4）數(shù)據(jù)安全：數(shù)據(jù)的保存以及備份和恢復(fù)設(shè)計；

5）信息安全：完整的用戶身份認(rèn)證以及安全日志審計跟蹤，以及對安全日志和事件的統(tǒng)一分析和記錄；

拋開物理安全的考慮，網(wǎng)絡(luò)是數(shù)據(jù)中心所有系統(tǒng)的基礎(chǔ)平臺，網(wǎng)絡(luò)安全從而成為數(shù)據(jù)中心安全的基礎(chǔ)支持。因此合理的網(wǎng)絡(luò)安全體系設(shè)計、構(gòu)建安全可靠的數(shù)據(jù)中心基礎(chǔ)網(wǎng)絡(luò)平臺是進(jìn)行數(shù)據(jù)中心安全建設(shè)的基本內(nèi)容。

網(wǎng)絡(luò)是數(shù)據(jù)傳輸?shù)妮d體，數(shù)據(jù)中心網(wǎng)絡(luò)安全建設(shè)一般要考慮以下三個方面：

1）合理規(guī)劃網(wǎng)絡(luò)的安全區(qū)域以及不同區(qū)域之間的訪問權(quán)限，保證針對用戶或客戶機(jī)進(jìn)行通信提供正確的授權(quán)許可，防止非法的訪問以及惡性的攻擊入侵和破壞；

2）建立高可靠的網(wǎng)絡(luò)平臺，為數(shù)據(jù)在網(wǎng)絡(luò)中傳輸提供高可用的傳輸通道，避免數(shù)據(jù)的丟失，并且提供相關(guān)的安全技術(shù)防止數(shù)據(jù)在傳輸過程中被讀取和改變；

3）提供對網(wǎng)絡(luò)平臺支撐平臺自身的安全保護(hù)，保證網(wǎng)絡(luò)平臺能夠持續(xù)的高可靠運行。

綜合以上幾點，數(shù)據(jù)中心的網(wǎng)絡(luò)安全建設(shè)可以參考以下原則：

1）整體性原則：單純一種安全手段不可能解決全部安全問題；

2）多重保護(hù)原則：不把整個系統(tǒng)的安全寄托在單一安全措施或安全產(chǎn)品上；

3）性能保障原則：安全產(chǎn)品的性能不能成為影響整個網(wǎng)絡(luò)傳輸?shù)钠款i；

4）平衡性原則：制定規(guī)范措施，實現(xiàn)保護(hù)成本與被保護(hù)信息的價值平衡；

5）可管理、易操作原則：盡量采用最新的安全技術(shù)，實現(xiàn)安全管理的自動化，以減輕安全管理的負(fù)擔(dān)，同時減小因為管理上的疏漏而對系統(tǒng)安全造成的威脅；

6）適應(yīng)性、靈活性原則：充分考慮今后業(yè)務(wù)和網(wǎng)絡(luò)安全協(xié)調(diào)發(fā)展的需求，避免因只滿足了系統(tǒng)安全要求，而給業(yè)務(wù)發(fā)展帶來障礙的情況發(fā)生；

7）高可用性原則：安全方案、安全產(chǎn)品也要遵循網(wǎng)絡(luò)高可用性原則；

8）技術(shù)與管理并重原則：“三分技術(shù)，七分管理”，從技術(shù)角度出發(fā)的安全方案的設(shè)計必須有與之相適應(yīng)的管理制度同步制定，并從管理的角度評估安全設(shè)計方案的可操作性；

9）投資保護(hù)原則：要充分發(fā)揮現(xiàn)有設(shè)備的潛能，避免投資的浪費。

數(shù)據(jù)中心的網(wǎng)絡(luò)安全是數(shù)據(jù)中心安全體系的最基本環(huán)節(jié)，通過合理的網(wǎng)絡(luò)安全設(shè)計方法可以保證基礎(chǔ)網(wǎng)絡(luò)平臺的安全可靠，并提供持續(xù)安全加固的擴(kuò)展性設(shè)計。但是要想構(gòu)建全面安全的數(shù)據(jù)中心，還需要數(shù)據(jù)安全、系統(tǒng)安全、信息安全等方面從其他的安全角度出發(fā)進(jìn)行相應(yīng)的安全規(guī)劃，不斷完善數(shù)據(jù)中心的安全防范等級。

二、數(shù)據(jù)中心安全性評估指標(biāo)

一個數(shù)據(jù)中心是否是安全的，要通過一系列的數(shù)據(jù)來說話，這就需要對常用的數(shù)據(jù)中心安全指標(biāo)要有所了解，通過這些安全指標(biāo)對數(shù)據(jù)中心進(jìn)行考核，從而對數(shù)據(jù)中心安全進(jìn)行有效評估。

首先，要對數(shù)據(jù)中心日常運營的安全管理，這部分主要側(cè)重對數(shù)據(jù)中心資產(chǎn)進(jìn)行管理，并對數(shù)據(jù)中心整體進(jìn)行風(fēng)險管理，在管理上找出提升安全性的方法。主要包括：資產(chǎn)管理、脆弱性管理、風(fēng)險管理、策略管理，關(guān)聯(lián)分析等。資產(chǎn)管理就是對數(shù)據(jù)中心各種設(shè)備、物品、人員進(jìn)行管理，確保這些資產(chǎn)的安全，這包括對物品的監(jiān)控，人員的管理，還要考慮物品的損耗。每個公司周期性的要進(jìn)行資產(chǎn)盤點，就是資產(chǎn)管理，對于數(shù)據(jù)中心也不例外，通過一些管理軟件做好資產(chǎn)管理工作；脆弱性管理一般人并不了解，脆弱性是對一個或多個資產(chǎn)弱點的總稱，弱點是資產(chǎn)本身存在的。對資產(chǎn)的弱點進(jìn)行有效評估和識別，將可以獲得數(shù)據(jù)中心整體的脆弱性情況，一般是通過問卷調(diào)查、工具檢測、人工核查、文檔查閱、滲透性測試等方式對數(shù)據(jù)中心脆弱性進(jìn)行評估，然后制定一些管理措施，避免脆弱性演變?yōu)榘踩录?；風(fēng)險管理和脆弱性管理類似，要對數(shù)據(jù)中心整體進(jìn)行風(fēng)險評估，然后有效避免安全事件發(fā)生；策略管理是指在防火墻、安全軟件上做的各種過濾設(shè)置、訪問控制，對各個網(wǎng)段的互訪進(jìn)行控制，對各種VPN訪問進(jìn)行嚴(yán)格檢查，這些設(shè)置非常繁雜，也很多，大型的數(shù) 據(jù)中心往往需要防火墻下發(fā)數(shù)萬條的訪問控制配置，這里的每條配置都有特定含義，一般不輕易進(jìn)行修改，否則就容易給數(shù)據(jù)安全運行帶來風(fēng)險，需要對系統(tǒng)安全特別熟悉的人評估后才能進(jìn)行修改；關(guān)聯(lián)分析就是從給定的數(shù)據(jù)集中發(fā)現(xiàn)頻繁出現(xiàn)的項集模式知識，目的是挖掘數(shù)據(jù)記錄中不同數(shù)據(jù)項之間的橫向關(guān)聯(lián)性，關(guān)聯(lián)分析有很多算法可應(yīng)用于數(shù)據(jù)中心安全評價，對數(shù)據(jù)中心安全性進(jìn)行評估。

其次，要對數(shù)據(jù)中心安全做一些具體的防護(hù)措施，通過對這些防護(hù)措施進(jìn)行評價得出數(shù)據(jù)中心的安全性程度。主要包括：實時監(jiān)控、安全預(yù)警、故障信息顯示、設(shè)備管理、設(shè)備監(jiān)控、日志審計、響應(yīng)管理等等。數(shù)據(jù)中心的數(shù)據(jù)安全隨時會受到各種各樣的威脅，要對數(shù)據(jù)訪問做實時監(jiān)控，主要包括軟硬件方面的安全防護(hù)，數(shù)據(jù)訪問的安全管理，異常數(shù)據(jù)的過濾等。實時監(jiān)控的目的就是及時發(fā)現(xiàn)數(shù)據(jù)中心的安全隱患，并給出安全預(yù)警，對故障信息進(jìn)行顯示，以便數(shù)據(jù)中心運維人員可以采取保護(hù)措施，更加智能的系統(tǒng)在發(fā)現(xiàn)安全危險時，軟件也可以自行啟動防護(hù)措施。實時監(jiān)控還應(yīng)具有一定的容錯能力，不能因為用戶誤操作等原因使系統(tǒng)出錯、退出或死機(jī)，具有對本身硬件故障、各監(jiān)控級間的通信故障、軟件運行故障自診斷功能，并給出告警提示。整個一套安全防護(hù)系統(tǒng)有完善的日志信息記錄、設(shè)備運行狀態(tài)監(jiān)控、響應(yīng)管理等，通過這些機(jī)制來確保數(shù)據(jù)中心的數(shù)據(jù)安全?！澳Ц咭怀?，道高一丈”，數(shù)據(jù)中心雖然不可避免會存在一定漏洞，但有了完善的安全設(shè)備監(jiān)控，依然可以確保數(shù)據(jù)中心的安全，所以在數(shù)據(jù)中心從內(nèi)到外，從軟到硬，部署全方位的安全防護(hù)系統(tǒng)，才能保證數(shù)據(jù)的安全。

最后，要對訪問數(shù)據(jù)內(nèi)容進(jìn)行分析，這種安全管理更加深入、細(xì)化，直接對數(shù)據(jù)內(nèi)容進(jìn)行安全檢查，主要有異常流量分析和行為合規(guī)性檢測。先說異常流量分析，嚴(yán)格的來講，正常業(yè)務(wù)流量之外的流量，都應(yīng)該歸類為異常流量的范疇。狹義范疇上的異常流量主要指：病毒、蠕蟲、木馬、垃圾應(yīng)用（P2P下載/在線視頻/在線游戲等）、攻擊（各種D0S攻擊流量）等影響網(wǎng)絡(luò)和業(yè)務(wù)正常運行的流量，這些異常流量必須要通過專業(yè)的安全設(shè)備才能檢測出來，所以必須要在數(shù)據(jù)中心的各個人口部署一些異常流量監(jiān)測的設(shè)備。行為合規(guī)性檢測著重檢查的是用戶的一些異常行為，比如盜號、洗號。惡意用戶使用木馬等手段盜取賬號后，使用程序或者手工的方式，批量對盜取的賬號和密碼的有效性進(jìn)行檢測，然后將賬戶內(nèi)的資金轉(zhuǎn)移。網(wǎng)上存在大量網(wǎng)絡(luò)水軍，受雇于網(wǎng)絡(luò)公關(guān)公司，為他人發(fā)帖回帖造勢，以發(fā)帖量來獲取報酬，嚴(yán)重影響網(wǎng)站的正常運營。還有很多網(wǎng)站為了商業(yè)目的，會使用程序批量抓取競爭對手的數(shù)據(jù)，例如商旅網(wǎng)站會抓取競爭對手的機(jī)票價格、文學(xué)網(wǎng)站會抓取其他網(wǎng)站的原創(chuàng)作品。很多網(wǎng)站會開展投票或者點擊廣告賺金幣的業(yè)務(wù)，有人為了拉選票，使用自動化程序，進(jìn)行大量投票，這些行為會嚴(yán)重違反投票結(jié)果的公平性。還有很多非正常的訪問行為，這些行為對數(shù)據(jù)中心安全造成了很大的隱患，一旦發(fā)現(xiàn)需要立即采取防護(hù)措施。

以上介紹了數(shù)據(jù)中心安全性評估的主要指標(biāo)，每一類都有不少的評估參數(shù)，數(shù)據(jù)中心要實現(xiàn)所有這些安全保障，非常不容易。還好，已經(jīng)有不少的安全設(shè)備已經(jīng)幫助數(shù)據(jù)中心實現(xiàn)了這些功能。不過很難有一個廠家覆蓋到所有的安全評估指標(biāo)，這些安全廠商都有各自側(cè)重的領(lǐng)域，在部分方面做得比較出色，這樣需要數(shù)據(jù)中心來進(jìn)行選擇，一般是通過使用多個安全廠商的組合拳來保障數(shù)據(jù)中心的安全。