新型數(shù)據(jù)中心網(wǎng)絡(luò)安全體系研究*

徐 建，鄭 偉，郭曉春，柳 青，王麗麗，周 陽(yáng)（.成都衛(wèi)士通信息安全技術(shù)有限公司，四川 成都 6004；.太極計(jì)算機(jī)股份有限公司，北京 000）

0 引 言

當(dāng)前，新型基礎(chǔ)設(shè)施建設(shè)已上升至國(guó)家戰(zhàn)略，被賦予了數(shù)字化、智能化的新意義。作為算力基礎(chǔ)設(shè)施，新型數(shù)據(jù)中心是信息基礎(chǔ)設(shè)施中的重要內(nèi)容，是數(shù)字政府、數(shù)字經(jīng)濟(jì)的“信息底座”，是未來(lái)引領(lǐng)數(shù)字經(jīng)濟(jì)發(fā)展的關(guān)鍵載體和支柱，已成為新基建的重要發(fā)力方向[1]。

2020 年12 月，國(guó)家發(fā)展改革委聯(lián)合中央網(wǎng)信辦、工業(yè)和信息化部、國(guó)家能源局共同印發(fā)《關(guān)于加快構(gòu)建全國(guó)一體化大數(shù)據(jù)中心協(xié)同創(chuàng)新體系的指導(dǎo)意見(jiàn)》，優(yōu)化數(shù)據(jù)中心基礎(chǔ)設(shè)施“東數(shù)西算”建設(shè)布局，加快提升大數(shù)據(jù)安全水平，強(qiáng)化對(duì)算力和數(shù)據(jù)資源的安全防護(hù)，構(gòu)建貫穿基礎(chǔ)網(wǎng)絡(luò)、數(shù)據(jù)中心、云平臺(tái)、數(shù)據(jù)、應(yīng)用等一體協(xié)同安全保障體系[2]。2021 年7 月，工業(yè)和信息化部印發(fā)《新型數(shù)據(jù)中心發(fā)展三年行動(dòng)計(jì)劃（2021—2023 年）》，加快向新型數(shù)據(jù)中心演進(jìn)，構(gòu)建完善的安全保障體系，建設(shè)安全態(tài)勢(shì)監(jiān)測(cè)、威脅處置等安全技術(shù)手段能力，面向數(shù)據(jù)中心底層設(shè)施和關(guān)鍵設(shè)備加強(qiáng)安全檢測(cè)，防范化解多層次安全風(fēng)險(xiǎn)隱患[3]。2021 年9 月，國(guó)家正式實(shí)施《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》，要求在網(wǎng)絡(luò)安全等級(jí)保護(hù)的基礎(chǔ)上，采取技術(shù)保護(hù)措施和其他必要措施，保障關(guān)鍵信息基礎(chǔ)設(shè)施安全穩(wěn)定運(yùn)行。

當(dāng)前，國(guó)內(nèi)外網(wǎng)絡(luò)安全形勢(shì)日趨嚴(yán)峻，新型數(shù)據(jù)中心作為數(shù)字經(jīng)濟(jì)時(shí)代的國(guó)家戰(zhàn)略資源，在基礎(chǔ)設(shè)施智能化運(yùn)營(yíng)、全融合數(shù)據(jù)共享開(kāi)放、重要系統(tǒng)支撐數(shù)字化轉(zhuǎn)型等背景下，其安全風(fēng)險(xiǎn)也日益凸顯，不容忽視。

1 新型數(shù)據(jù)中心發(fā)展現(xiàn)狀與趨勢(shì)分析

與傳統(tǒng)數(shù)據(jù)中心相比，新型數(shù)據(jù)中心具有新的典型特征，其涉及的技術(shù)領(lǐng)域包括信息技術(shù)和運(yùn)營(yíng)技術(shù)。隨著“新基建”國(guó)家戰(zhàn)略的快速落地，新型數(shù)據(jù)中心業(yè)務(wù)發(fā)展迅猛，“合規(guī)”安全防護(hù)已不能滿足當(dāng)前形勢(shì)發(fā)展需要。

1.1 新型數(shù)據(jù)中心典型特征

新型數(shù)據(jù)中心具有高技術(shù)、高算力、高能效、高安全的“四高”特征[3]，具體表現(xiàn)在算力規(guī)模與密度逐步提高，“綠色低碳”新技術(shù)應(yīng)用逐步擴(kuò)大，本地或跨域智慧化運(yùn)維管理逐步應(yīng)用，信息技術(shù)與運(yùn)營(yíng)技術(shù)的一體化安全保障要求更高。傳統(tǒng)與新型數(shù)據(jù)中心對(duì)比如圖1 所示。

1.2 新型數(shù)據(jù)中心涉及的技術(shù)領(lǐng)域

新型數(shù)據(jù)中心根據(jù)管理對(duì)象和業(yè)務(wù)的不同，按照技術(shù)領(lǐng)域分為信息技術(shù)（Information Technology，IT）與運(yùn)營(yíng)技術(shù)（Operational Technology，OT）兩個(gè)層面，如圖2 所示。

（1）運(yùn)營(yíng)技術(shù)。主要面向數(shù)據(jù)中心底層基礎(chǔ)設(shè)施的智能化運(yùn)營(yíng)管理，用于監(jiān)測(cè)、測(cè)量相關(guān)基礎(chǔ)設(shè)施工業(yè)控制系統(tǒng)、物聯(lián)感知設(shè)備的狀態(tài)及可用性，支持協(xié)同聯(lián)動(dòng)場(chǎng)景下的設(shè)備聯(lián)動(dòng)、控制。安全防護(hù)對(duì)象主要為數(shù)據(jù)中心基礎(chǔ)設(shè)施關(guān)鍵設(shè)備與系統(tǒng)，如數(shù)據(jù)中心基礎(chǔ)設(shè)施管理系統(tǒng)（Data Center Infrastructure Management，DCIM）、樓宇自動(dòng)化系統(tǒng)或建筑設(shè)備自動(dòng)化系統(tǒng)（ Building Automation System，BAS）、電力監(jiān)測(cè)系統(tǒng)、環(huán)境與設(shè)備監(jiān)控系統(tǒng)以及安全防范系統(tǒng)等。

（2）信息技術(shù)。作為算力基礎(chǔ)設(shè)施上層所有信息處理技術(shù)的總和，其包括軟件、硬件、通信技術(shù)及其他相關(guān)服務(wù)，涉及計(jì)算資源、網(wǎng)絡(luò)資源、存儲(chǔ)資源等資源，以及數(shù)據(jù)中心承載的信息系統(tǒng)。安全防護(hù)對(duì)象主要包括：網(wǎng)絡(luò)、云平臺(tái)、數(shù)據(jù)資源以及租戶重要信息系統(tǒng)等。

1.3 新型數(shù)據(jù)中心發(fā)展現(xiàn)狀與趨勢(shì)

近年來(lái)，數(shù)據(jù)中心數(shù)量、機(jī)架總數(shù)迅猛增加，市場(chǎng)規(guī)模已超千億。據(jù)統(tǒng)計(jì)，截至2020 年底，我國(guó)在用數(shù)據(jù)中心機(jī)架總規(guī)模達(dá)到400 余萬(wàn)架，國(guó)內(nèi)互聯(lián)網(wǎng)數(shù)據(jù)中心（Internet Data Center，IDC）市場(chǎng)總規(guī)模超過(guò)2 230 億元，同比增長(zhǎng)約40%[4-6]。隨著行業(yè)相關(guān)政策的持續(xù)出臺(tái)，以及各行業(yè)數(shù)字化轉(zhuǎn)型的飛速發(fā)展，數(shù)據(jù)中心行業(yè)建設(shè)將急劇加速。

1.3.1 業(yè)務(wù)現(xiàn)狀與趨勢(shì)

（1）基礎(chǔ)設(shè)施OT 運(yùn)營(yíng)技術(shù)更加集中化、智能化?！熬G色低碳”的新技術(shù)將逐步擴(kuò)大，存量數(shù)據(jù)中心加快應(yīng)用高密度、高效率的IT 設(shè)備和基礎(chǔ)設(shè)施系統(tǒng)。隨著大型、超大型數(shù)據(jù)中心占比的增加，以及人工智能、大數(shù)據(jù)等新技術(shù)在數(shù)據(jù)中心運(yùn)營(yíng)管理實(shí)踐中的逐步應(yīng)用，本地或跨域數(shù)據(jù)中心基礎(chǔ)設(shè)施的集中監(jiān)控、智能化和自動(dòng)化運(yùn)維管理已經(jīng)成為發(fā)展趨勢(shì)。通過(guò)建設(shè)DCIM 系統(tǒng)，可開(kāi)展基礎(chǔ)設(shè)施運(yùn)行狀態(tài)監(jiān)控，不斷訓(xùn)練節(jié)能優(yōu)化、設(shè)備監(jiān)管、故障預(yù)警等數(shù)據(jù)模型，實(shí)現(xiàn)智能化運(yùn)營(yíng)管理。

（2）IT 信息技術(shù)快速發(fā)展，數(shù)據(jù)匯聚、智慧應(yīng)用更加多樣。新型數(shù)據(jù)中心以云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等IT 技術(shù)為牽引，以支撐我國(guó)國(guó)民經(jīng)濟(jì)、重點(diǎn)產(chǎn)業(yè)、社會(huì)治理等數(shù)字化轉(zhuǎn)型為核心目標(biāo)，匯聚融合“數(shù)字中國(guó)”建設(shè)中海量數(shù)據(jù)資源，承載政務(wù)服務(wù)、社會(huì)治理、城市建設(shè)、數(shù)字經(jīng)濟(jì)等相關(guān)智慧化應(yīng)用，支撐政府、產(chǎn)業(yè)實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型。

1.3.2 安全現(xiàn)狀與趨勢(shì)

現(xiàn)有數(shù)據(jù)中心網(wǎng)絡(luò)安全保障主要是基于國(guó)家現(xiàn)行等級(jí)保護(hù)標(biāo)準(zhǔn)要求安全建設(shè)，構(gòu)建堡壘式的剛性防護(hù)體系，整體取得了較為顯著的成效。部分關(guān)鍵基礎(chǔ)設(shè)施不定期開(kāi)展網(wǎng)絡(luò)安全攻防演練，應(yīng)急處理能力在實(shí)戰(zhàn)中得到提升。但安全保障覆蓋面有所不足，防護(hù)對(duì)象主要是針對(duì)數(shù)據(jù)中心IT 信息系統(tǒng)開(kāi)展安全防護(hù)，而數(shù)據(jù)中心基礎(chǔ)設(shè)施安全可靠方面的防護(hù)能力較為薄弱。

近年來(lái)，隨著網(wǎng)絡(luò)安全形勢(shì)的發(fā)展，網(wǎng)絡(luò)安全保障體系建設(shè)已逐步從“安全合規(guī)”向“安全能力”演進(jìn)。傳統(tǒng)的分散建設(shè)、自我防護(hù)、邊界扎籬笆式的安全防護(hù)已不能完全滿足需求，如何構(gòu)建集網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警、安全防護(hù)、應(yīng)急響應(yīng)于一體的新型數(shù)據(jù)中心安全保障體系已逐步成為重要命題。

2 面臨的安全威脅

隨著信息技術(shù)的廣泛應(yīng)用和網(wǎng)絡(luò)空間的不斷發(fā)展，新型數(shù)據(jù)中心已經(jīng)成為網(wǎng)絡(luò)空間安全威脅的新焦點(diǎn)，同時(shí)面臨高級(jí)威脅攻擊、國(guó)家級(jí)網(wǎng)絡(luò)對(duì)抗等諸多安全挑戰(zhàn)。

2.1 基礎(chǔ)設(shè)施運(yùn)營(yíng)安全防護(hù)薄弱，極易成為攻擊入口

數(shù)據(jù)中心基礎(chǔ)設(shè)施如安全防范、電力監(jiān)控、BAS 等系統(tǒng)在建設(shè)過(guò)程中缺少安全保護(hù)設(shè)計(jì)，一旦遭受攻擊將導(dǎo)致設(shè)備故障、系統(tǒng)損壞、數(shù)據(jù)泄露等安全問(wèn)題，嚴(yán)重時(shí)甚至?xí)?duì)算力可靠性造成危害。以數(shù)據(jù)中心的變配電系統(tǒng)為例，數(shù)據(jù)中心基礎(chǔ)設(shè)施管理人員通常通過(guò)智能化管理DCIM系統(tǒng)或控制主機(jī)等方式開(kāi)展運(yùn)維，但因缺乏有效的安全保護(hù)措施，使得網(wǎng)絡(luò)攻擊者可以入侵遠(yuǎn)程監(jiān)控系統(tǒng)，直接竊取數(shù)據(jù)，甚至惡意破壞基礎(chǔ)設(shè)施設(shè)備。具體來(lái)看，數(shù)據(jù)采集層存在非法設(shè)備接入訪問(wèn)、控制信令篡改、設(shè)備自身脆弱性等風(fēng)險(xiǎn)；網(wǎng)絡(luò)層存在明文傳輸數(shù)據(jù)泄露、遠(yuǎn)程運(yùn)維非法接入、關(guān)鍵指令易篡改等風(fēng)險(xiǎn)；應(yīng)用層存在身份仿冒、敏感數(shù)據(jù)泄露、缺乏操作審計(jì)、難以定責(zé)追溯和惡意病毒攻擊等風(fēng)險(xiǎn)。

2.2 被動(dòng)防御，安全體系不完善導(dǎo)致風(fēng)險(xiǎn)應(yīng)對(duì)能力不足

在網(wǎng)絡(luò)安全等級(jí)保護(hù)等制度的推行下，數(shù)據(jù)中心完成了以邊界防御、病毒防范等為主的合規(guī)性安全體系建設(shè)，具備一定的安全防護(hù)能力，但缺乏態(tài)勢(shì)感知、動(dòng)態(tài)協(xié)同和快速處置恢復(fù)的能力，在面對(duì)APT 這類變化快、隱蔽性強(qiáng)的新型網(wǎng)絡(luò)攻擊時(shí)，“被動(dòng)防御”體系無(wú)法進(jìn)行有效對(duì)抗，無(wú)法快速識(shí)別和處置未知威脅，容易遭受持續(xù)的潛伏攻擊，嚴(yán)重時(shí)威脅國(guó)家安全。

2.3 海量數(shù)據(jù)在數(shù)據(jù)中心融合、共享與應(yīng)用，數(shù)據(jù)泄露風(fēng)險(xiǎn)日益加大

在“數(shù)字中國(guó)”的建設(shè)浪潮下，數(shù)據(jù)資產(chǎn)將不斷匯聚、融合和應(yīng)用，原有的以防火墻及其他邊界防護(hù)設(shè)備為主的網(wǎng)絡(luò)安全保障體系已不能滿足數(shù)據(jù)安全的需求，由于缺乏有針對(duì)性的安全保護(hù)手段，數(shù)據(jù)仍以明文形式進(jìn)行傳輸和存儲(chǔ)，那么敏感數(shù)據(jù)就很有可能被非法用戶訪問(wèn)，甚至遭受惡意攻擊，導(dǎo)致數(shù)據(jù)竊取、數(shù)據(jù)泄露、無(wú)法追責(zé)溯源等安全風(fēng)險(xiǎn)。

2.4 大量租戶依托數(shù)據(jù)中心構(gòu)建業(yè)務(wù)，面臨網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)

租戶利用數(shù)據(jù)中心提供的虛擬資源完成業(yè)務(wù)搭建，承載了大量業(yè)務(wù)與數(shù)據(jù)。隨著云服務(wù)器虛擬化、容器技術(shù)的廣泛使用，安全邊界變得愈發(fā)模糊，容易遭受外部惡意攻擊。一旦缺乏相應(yīng)的安全防護(hù)措施，將面臨拒絕服務(wù)攻擊、主機(jī)入侵、容器鏡像篡改、Web 應(yīng)用漏洞攻擊、數(shù)據(jù)竊取等網(wǎng)絡(luò)攻擊。

2.5 分散防護(hù)，缺乏整體網(wǎng)絡(luò)安全監(jiān)管能力

現(xiàn)有的關(guān)鍵基礎(chǔ)設(shè)施、應(yīng)用系統(tǒng)在安全防護(hù)方面缺乏統(tǒng)一規(guī)劃，處于分散建設(shè)、自我防護(hù)的狀態(tài)，缺乏協(xié)同聯(lián)動(dòng)，應(yīng)急處置能效低下。當(dāng)前部分網(wǎng)絡(luò)安全監(jiān)測(cè)手段較為傳統(tǒng)，更多通過(guò)人工方式對(duì)設(shè)備、數(shù)據(jù)庫(kù)或系統(tǒng)的運(yùn)行狀態(tài)、安全等情況進(jìn)行監(jiān)測(cè)，其范圍、深度、頻率、手段和時(shí)長(zhǎng)等方面均有所欠缺，安全態(tài)勢(shì)、事件管理、策略管控、安全運(yùn)維等整體網(wǎng)絡(luò)安全統(tǒng)一監(jiān)管能力不足，易造成安全工作被動(dòng)、安全威脅無(wú)法及時(shí)處置。

2.6 缺乏體系化的密碼保障能力

未站在整體、全局的視角規(guī)劃密碼應(yīng)用體系，將引發(fā)密碼算法不合規(guī)、使用不正確、密鑰缺乏全生命周期管理等突出問(wèn)題，無(wú)法滿足日益增多的數(shù)據(jù)安全、身份安全保障需求，難以發(fā)揮密碼保障網(wǎng)絡(luò)安全的主動(dòng)防御價(jià)值。

3 新型數(shù)據(jù)中心網(wǎng)絡(luò)安全體系研究

本文根據(jù)國(guó)家頂層相關(guān)指導(dǎo)文件，貼合新型數(shù)據(jù)中心典型特征和發(fā)展趨勢(shì)，從運(yùn)營(yíng)技術(shù)和信息技術(shù)兩個(gè)視角研究了新型數(shù)據(jù)中心安全防護(hù)體系，尤其對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的底層設(shè)施、關(guān)鍵設(shè)備和智能化管理的安全防護(hù)展開(kāi)了思考。

3.1 安全保障思路

面向新型數(shù)據(jù)中心的業(yè)務(wù)應(yīng)用場(chǎng)景，結(jié)合現(xiàn)行網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，建設(shè)統(tǒng)一的安全基礎(chǔ)設(shè)施，考慮從5 個(gè)層面增強(qiáng)新型數(shù)據(jù)中心網(wǎng)絡(luò)安全保障能力，建設(shè)安全運(yùn)營(yíng)管理中心，實(shí)現(xiàn)新型數(shù)據(jù)中心網(wǎng)絡(luò)安全體系的統(tǒng)一監(jiān)測(cè)、統(tǒng)一分析和統(tǒng)一處置。

3.1.1 加強(qiáng)數(shù)據(jù)中心基礎(chǔ)設(shè)施安全防護(hù)

基于數(shù)據(jù)中心基礎(chǔ)設(shè)施及智能化DCIM 運(yùn)維管理平臺(tái)安全風(fēng)險(xiǎn)，考慮從采集、傳輸、應(yīng)用等層面加強(qiáng)基礎(chǔ)設(shè)施OT 安全建設(shè)。例如，采用密碼技術(shù)進(jìn)行設(shè)備身份鑒別，定期進(jìn)行底層設(shè)備系統(tǒng)軟件升級(jí)，及時(shí)修復(fù)漏洞，使用安全傳輸協(xié)議并對(duì)重要指令數(shù)據(jù)進(jìn)行機(jī)密性、完整性以及真實(shí)性保護(hù)。

3.1.2 構(gòu)建“數(shù)盾”體系，保障數(shù)據(jù)全生命周期安全

覆蓋數(shù)據(jù)采集、傳輸、存儲(chǔ)、處理、交換、銷毀等全生命周期，制定數(shù)據(jù)安全防護(hù)策略，通過(guò)數(shù)據(jù)加密傳輸、數(shù)據(jù)安全計(jì)算、數(shù)據(jù)資產(chǎn)溯源追蹤、數(shù)據(jù)安全存儲(chǔ)等技術(shù)措施，構(gòu)建數(shù)據(jù)資產(chǎn)身份標(biāo)識(shí)、數(shù)據(jù)流向權(quán)屬監(jiān)管等能力，實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)資源安全態(tài)勢(shì)，動(dòng)態(tài)掌握數(shù)據(jù)資源分布和應(yīng)用情況，最終形成“數(shù)盾”體系，確保數(shù)據(jù)安全。

3.1.3 加強(qiáng)租戶應(yīng)用安全保障

加強(qiáng)租戶網(wǎng)絡(luò)訪問(wèn)控制、入侵防范等，防范網(wǎng)絡(luò)攻擊；采用主機(jī)安全加固、容器鏡像安全、入侵檢測(cè)等措施保障租戶安全，以應(yīng)對(duì)Web 攻擊、病毒入侵等安全風(fēng)險(xiǎn)，確保虛擬機(jī)安全、容器安全；對(duì)登錄用戶進(jìn)行身份鑒別，采取數(shù)字認(rèn)證等密碼技術(shù)確保身份真實(shí)性；加強(qiáng)應(yīng)用訪問(wèn)管控，確保只有經(jīng)過(guò)授權(quán)的用戶才能進(jìn)行操作；確保用戶鑒別數(shù)據(jù)、配置信息等重要業(yè)務(wù)數(shù)據(jù)在傳輸、存儲(chǔ)過(guò)程中的機(jī)密性和完整性。

3.1.4 深化密碼應(yīng)用，建立體系化密碼保障能力

以密碼安全合規(guī)使用為核心目標(biāo)，圍繞數(shù)據(jù)中心在物理與環(huán)境、網(wǎng)絡(luò)與通信、設(shè)備與計(jì)算、應(yīng)用與數(shù)據(jù)等方面的密碼應(yīng)用需求，為數(shù)據(jù)中心安全提供體系化的密碼支撐，實(shí)現(xiàn)密碼技術(shù)與業(yè)務(wù)應(yīng)用的深度融合，加強(qiáng)密碼技術(shù)在身份認(rèn)證、數(shù)據(jù)安全及應(yīng)用安全中的應(yīng)用。

3.1.5 統(tǒng)籌打造新型數(shù)據(jù)中心安全運(yùn)營(yíng)管理中心

構(gòu)建統(tǒng)一安全運(yùn)營(yíng)中心，統(tǒng)籌網(wǎng)絡(luò)安全管控能力，協(xié)同控制網(wǎng)絡(luò)中各個(gè)安全組件，以“協(xié)同防御”“全面預(yù)警”“態(tài)勢(shì)感知”為核心，構(gòu)建全面、主動(dòng)的網(wǎng)絡(luò)安全防御體系。能夠及時(shí)發(fā)現(xiàn)外部攻擊、橫向威脅、資產(chǎn)外聯(lián)等信息安全事件和威脅，對(duì)各類攻擊行為和威脅進(jìn)行追蹤溯源，高效聯(lián)動(dòng)處置各類安全事件、威脅、預(yù)警事務(wù)，提升智能化、精準(zhǔn)化、主動(dòng)化的安全保障能力，使得網(wǎng)絡(luò)安全可感知、可預(yù)判、可阻斷、可追溯[7]。

3.2 安全總體框架

針對(duì)新型數(shù)據(jù)中心的典型特征和面臨的安全風(fēng)險(xiǎn)，以國(guó)家政策標(biāo)準(zhǔn)為準(zhǔn)繩，以安全運(yùn)營(yíng)管理中心為抓手，通過(guò)夯實(shí)共性安全基礎(chǔ)設(shè)施底座，加強(qiáng)縱深防護(hù)體系建設(shè)，提供安全及密碼服務(wù)能力并持續(xù)改進(jìn)安全運(yùn)營(yíng)保障，打造出IT 安全和OT 安全一體化的新型數(shù)據(jù)中心安全保障體系。新型數(shù)據(jù)中心整體網(wǎng)絡(luò)安全架構(gòu)如圖3所示。

（1）物理安全層。從數(shù)據(jù)中心選址、環(huán)境溫濕度控制、物理訪問(wèn)控制及防盜防破壞、防火、防雷接地、防電磁干擾、防靜電等方面布設(shè)物理安全防護(hù)措施，并保障數(shù)據(jù)中心可靠的電力供應(yīng)。

（2）安全基礎(chǔ)設(shè)施層。圍繞網(wǎng)絡(luò)信息安全能力基礎(chǔ)要素構(gòu)建，打造以電子認(rèn)證、密鑰管理、密碼服務(wù)平臺(tái)、統(tǒng)一身份認(rèn)證等為核心的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施，為新型數(shù)據(jù)中心網(wǎng)絡(luò)安全體系提供基礎(chǔ)支撐。

（3）OT 安全。在確保其基礎(chǔ)設(shè)施性能可靠、冗余配置等物理安全的基礎(chǔ)上，以安全運(yùn)營(yíng)管理中心為抓手，從采集層、網(wǎng)絡(luò)層、應(yīng)用層等層面構(gòu)建縱深OT 基礎(chǔ)設(shè)施安全體系，保障數(shù)據(jù)中心底層設(shè)施和關(guān)鍵設(shè)備運(yùn)營(yíng)安全。

（4）IT 安全。圍繞網(wǎng)絡(luò)、云平臺(tái)、數(shù)據(jù)、租戶的安全需求，以安全基礎(chǔ)設(shè)施為基石，以安全運(yùn)營(yíng)管理中心為統(tǒng)領(lǐng)，構(gòu)建“主動(dòng)、精準(zhǔn)、縱深”一體化的網(wǎng)絡(luò)安全防護(hù)體系，打造全面監(jiān)測(cè)、智能分析、威脅預(yù)警、安全防護(hù)和安全服務(wù)能力，保障新型數(shù)據(jù)中心網(wǎng)絡(luò)及數(shù)據(jù)安全。

（5）安全及密碼服務(wù)。以彈性、按需供給的方式提供安全及密碼服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)可發(fā)現(xiàn)、可管控、可處置，持續(xù)保障新型數(shù)據(jù)中心安全。

（6）政策法規(guī)標(biāo)準(zhǔn)。遵照國(guó)家相關(guān)法律法規(guī)，制定切合實(shí)際的網(wǎng)絡(luò)信息安全標(biāo)準(zhǔn)規(guī)范，科學(xué)指導(dǎo)新型數(shù)據(jù)中心網(wǎng)絡(luò)信息安全保障體系建設(shè)。

（7）安全運(yùn)營(yíng)保障。以安全運(yùn)營(yíng)為保障目標(biāo)，通過(guò)決策規(guī)劃、組織管理、協(xié)調(diào)監(jiān)督、改進(jìn)評(píng)價(jià)等手段，構(gòu)建安全運(yùn)營(yíng)管理體系。

（8）安全運(yùn)營(yíng)管理中心。以大數(shù)據(jù)融合分析、人工智能為基礎(chǔ)，打造高度智能化的新型數(shù)據(jù)中心網(wǎng)絡(luò)信息安全管理和指揮中樞，統(tǒng)籌開(kāi)展數(shù)據(jù)中心IT 與OT 安全管理，打造安全態(tài)勢(shì)智能感知、體系聯(lián)動(dòng)的監(jiān)測(cè)預(yù)警、彈性動(dòng)態(tài)的系統(tǒng)防護(hù)、攻防博弈的滲透檢測(cè)、高效及時(shí)的應(yīng)急處置能力，構(gòu)筑一體化的網(wǎng)絡(luò)信息安全防線。

3.3 新型數(shù)據(jù)中心IT 網(wǎng)絡(luò)安全體系研究

構(gòu)建“11412”的新型數(shù)據(jù)中心IT 網(wǎng)絡(luò)安全保障體系，涵蓋從信息網(wǎng)絡(luò)、云平臺(tái)、數(shù)據(jù)到云租戶的縱深安全防護(hù)，滿足網(wǎng)絡(luò)安全等級(jí)保護(hù)、密碼應(yīng)用安全等規(guī)范的要求。新型數(shù)據(jù)中心IT 網(wǎng)絡(luò)安全框架如圖4 所示。

（1）“1”個(gè)安全運(yùn)營(yíng)管理中心。安全運(yùn)營(yíng)管理中心平臺(tái)由“3+2+N”體系構(gòu)成，包括3 個(gè)平臺(tái)：指揮管理平臺(tái)、監(jiān)測(cè)分析平臺(tái)、安全運(yùn)維平臺(tái)；2 個(gè)基礎(chǔ)：資產(chǎn)管理平臺(tái)、威脅情報(bào)平臺(tái)；N 個(gè)運(yùn)營(yíng)工具（如安全運(yùn)營(yíng)門戶、網(wǎng)站云防等）。

（2）“1”個(gè)安全基礎(chǔ)設(shè)施。包括統(tǒng)一身份認(rèn)證、電子認(rèn)證基礎(chǔ)設(shè)施、密鑰管理基礎(chǔ)設(shè)施、安全區(qū)塊鏈服務(wù)平臺(tái)、密碼服務(wù)平臺(tái)等。統(tǒng)一提供網(wǎng)絡(luò)實(shí)體信任服務(wù)、區(qū)塊鏈、密鑰管理以及密碼應(yīng)用支撐等，構(gòu)建以密碼為基石的網(wǎng)絡(luò)安全保障體系基礎(chǔ)底座。

（3）“4”層縱深安全防護(hù)。構(gòu)建覆蓋網(wǎng)絡(luò)安全、云平臺(tái)安全、數(shù)據(jù)安全、租戶安全的縱深防護(hù)體系，通過(guò)體系化的網(wǎng)絡(luò)安全治理，打造新型數(shù)據(jù)中心安全保障體系，有效降低安全風(fēng)險(xiǎn)。

（4）“1”個(gè)安全及密碼服務(wù)。包括風(fēng)險(xiǎn)評(píng)估、滲透測(cè)試、代碼審計(jì)、專家咨詢以及密碼計(jì)算、證書管理、密鑰管理等安全及密碼服務(wù)。

（5）“2”個(gè)保障。包括安全運(yùn)營(yíng)保障和政策法規(guī)標(biāo)準(zhǔn)，為新型數(shù)據(jù)中心網(wǎng)絡(luò)信息安全的持續(xù)發(fā)展提供創(chuàng)新?tīng)恳蜋C(jī)制保障。

3.4 新型數(shù)據(jù)中心OT 網(wǎng)絡(luò)安全體系研究

數(shù)據(jù)中心OT 安全從基礎(chǔ)設(shè)施底層的采集層、網(wǎng)絡(luò)層、應(yīng)用層的安全需求出發(fā)，構(gòu)建一體化網(wǎng)絡(luò)安全體系，覆蓋智能化運(yùn)營(yíng)的重要場(chǎng)景，滿足網(wǎng)絡(luò)安全等級(jí)保護(hù)、密碼應(yīng)用安全性等規(guī)范的要求。

構(gòu)建“11312”的新型數(shù)據(jù)中心OT 網(wǎng)絡(luò)安全保障體系，如圖5 所示。

（1）“1”個(gè)OT 安全運(yùn)營(yíng)管理中心。統(tǒng)籌建設(shè)OT 安全管理中心，對(duì)全網(wǎng)OT 資產(chǎn)進(jìn)行統(tǒng)一探測(cè)管理，對(duì)底層設(shè)備進(jìn)行狀態(tài)監(jiān)控、行為審計(jì)及安全管控等，結(jié)合云端威脅情報(bào)，對(duì)OT基礎(chǔ)設(shè)施設(shè)備安全態(tài)勢(shì)進(jìn)行預(yù)測(cè)、防護(hù)、監(jiān)控和響應(yīng)。例如，實(shí)現(xiàn)OT 設(shè)備[如安全視頻監(jiān)控設(shè)備、門禁控制器、安全直接數(shù)字控制（Direct Digital Control，DDC）采集器等]資產(chǎn)實(shí)體數(shù)字身份標(biāo)識(shí)管理、設(shè)備資源加密與簽名密鑰管理、安全組件策略管理、設(shè)備安全狀態(tài)與漏洞以及工控和網(wǎng)絡(luò)安全態(tài)勢(shì)呈現(xiàn)等。

（2）“1”個(gè)安全基礎(chǔ)設(shè)施。包括電子認(rèn)證基礎(chǔ)設(shè)施、密鑰管理基礎(chǔ)設(shè)施、密碼服務(wù)平臺(tái)等。統(tǒng)一提供電子認(rèn)證、密鑰管理以及密碼應(yīng)用支撐等，構(gòu)建OT 網(wǎng)絡(luò)安全保障體系基礎(chǔ)底座。例如，提供設(shè)備身份標(biāo)識(shí)證書申請(qǐng)注冊(cè)與簽發(fā)、密碼計(jì)算等共性支撐。

（3）“3”層重點(diǎn)安全防護(hù)。構(gòu)建采集層安全、網(wǎng)絡(luò)層安全、應(yīng)用層安全縱深防護(hù)體系。

采集層設(shè)備采用身份認(rèn)證、安全加固、信令安全、接入認(rèn)證等措施對(duì)數(shù)據(jù)采集層設(shè)備進(jìn)行安全防護(hù)。例如，采集層視頻監(jiān)控設(shè)備可通過(guò)安全基礎(chǔ)設(shè)施在線申請(qǐng)標(biāo)識(shí)設(shè)備身份的數(shù)字證書，防止非法設(shè)備被仿冒、替換，并針對(duì)控制信令進(jìn)行驗(yàn)證，避免信令被篡改；對(duì)于電力配電、暖通空調(diào)、動(dòng)力環(huán)境等不易改造的設(shè)備，通過(guò)在終端網(wǎng)絡(luò)接入側(cè)部署物聯(lián)網(wǎng)安全網(wǎng)關(guān)，實(shí)現(xiàn)接入認(rèn)證與數(shù)據(jù)傳輸安全保護(hù)。

網(wǎng)絡(luò)層采用身份鑒別、傳輸加密等方式進(jìn)行防護(hù)，對(duì)本地、跨域數(shù)據(jù)中心管理、控制、監(jiān)測(cè)的敏感數(shù)據(jù)保密性、完整性進(jìn)行保護(hù)。例如，通過(guò)工業(yè)防火墻等措施，實(shí)現(xiàn)工控協(xié)議指令、地址及值域范圍級(jí)別的細(xì)粒度精準(zhǔn)控制；采用物聯(lián)網(wǎng)安全網(wǎng)關(guān)進(jìn)行通信完整性保護(hù)和重要數(shù)據(jù)加密，避免工控信令或重要監(jiān)測(cè)數(shù)據(jù)被惡意篡改或泄露。

應(yīng)用層重點(diǎn)關(guān)注數(shù)據(jù)中心基礎(chǔ)設(shè)施管理系統(tǒng)（DCIM）、控制主機(jī)等安全防護(hù)。加強(qiáng)運(yùn)維管理人員的身份認(rèn)證、數(shù)據(jù)加密、訪問(wèn)控制、安全審計(jì)等措施，進(jìn)一步提高安全等級(jí)。加強(qiáng)控制主機(jī)的惡意代碼防范、終端身份鑒別、外設(shè)管控和主機(jī)監(jiān)控與審計(jì)，及時(shí)進(jìn)行主機(jī)安全加固，避免攻擊者通過(guò)病毒或木馬程序下發(fā)惡意指令或執(zhí)行其他違規(guī)操作。

（4）“1”個(gè)安全及密碼服務(wù)。包括風(fēng)險(xiǎn)評(píng)估、滲透測(cè)試、代碼安全監(jiān)測(cè)、專家咨詢以及密碼計(jì)算、證書管理、密鑰管理等密碼服務(wù)。例如，定期對(duì)工業(yè)控制主機(jī)、DCIM 系統(tǒng)、重要網(wǎng)絡(luò)設(shè)備及關(guān)鍵工控設(shè)備等開(kāi)展?jié)B透測(cè)試與風(fēng)險(xiǎn)評(píng)估等，最大限度地挖掘系統(tǒng)存在的漏洞、脆弱點(diǎn)等不安全因素，盡可能減少安全隱患。

（5）“2”個(gè)保障。包括安全運(yùn)營(yíng)保障和政策法規(guī)標(biāo)準(zhǔn)，為新型數(shù)據(jù)中心OT 網(wǎng)絡(luò)安全的持續(xù)發(fā)展提供標(biāo)準(zhǔn)規(guī)范、組織機(jī)制保障。

4 結(jié) 語(yǔ)

在“數(shù)字化轉(zhuǎn)型”國(guó)家戰(zhàn)略背景下，結(jié)合新型數(shù)據(jù)中心的業(yè)務(wù)特征和發(fā)展趨勢(shì)，本文從IT 和OT 兩個(gè)層面開(kāi)展了網(wǎng)絡(luò)安全保障體系研究。基于數(shù)據(jù)中心IT 智能化應(yīng)用與數(shù)據(jù)匯聚融合、OT 基礎(chǔ)設(shè)施統(tǒng)一運(yùn)營(yíng)監(jiān)管數(shù)字化等實(shí)際應(yīng)用場(chǎng)景，以密碼為基石，以“數(shù)據(jù)安全”保障為核心，以安全運(yùn)營(yíng)管理中心為統(tǒng)領(lǐng)，構(gòu)建“網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警、安全防護(hù)、應(yīng)急響應(yīng)、綜合管理”一體化的“數(shù)盾”安全保障體系，推動(dòng)了國(guó)產(chǎn)密碼與關(guān)鍵信息基礎(chǔ)設(shè)施的有機(jī)融合，降低關(guān)鍵信息基礎(chǔ)設(shè)施算力安全風(fēng)險(xiǎn)，強(qiáng)化了數(shù)據(jù)匯聚、共享開(kāi)放以及重要信息系統(tǒng)協(xié)同指揮調(diào)度等安全防護(hù)，切實(shí)提升了數(shù)據(jù)資源安全保障能力。