數(shù)據(jù)中心安全防御大法

時間：2018/6/22
數(shù)據(jù)中心是在不斷變化的，尤其現(xiàn)在應用需求多種多樣，數(shù)據(jù)中心需要不斷地去變化，才能適應這些應用，和傳統(tǒng)的數(shù)據(jù)中心不同，現(xiàn)在數(shù)據(jù)中心里應用普及的就是虛擬化技術(shù)，數(shù)據(jù)中心虛擬化后，安全問題就已突顯出來。原來數(shù)據(jù)中心每個物理環(huán)境相對獨立，安全產(chǎn)品保護服務器和應用，安全防御還可控，但虛擬化來了后，所有虛擬機都共享資源，虛擬機和應用程序隨時可能移動或變更，這給安全防御帶來極大困難，很多人對數(shù)據(jù)中心的安全能力表示懷疑，尤其相比以往，數(shù)據(jù)中心類似發(fā)生數(shù)據(jù)泄漏的事件明顯要更多，如何挽回人們的信任將關(guān)系到數(shù)據(jù)中心的未來發(fā)展前途，哪個數(shù)據(jù)中心在安全方面做得好，將獲得人們的青睞。既然數(shù)據(jù)中心安全極為重要，新時期下，如何更好地做好數(shù)據(jù)中心安全防御呢。

云平臺安全

云平臺是數(shù)據(jù)中心的控制中心，是數(shù)據(jù)中心進行業(yè)務部署、故障診斷、運行監(jiān)控的重要平臺。云平臺出現(xiàn)安全問題，往往引發(fā)整個數(shù)據(jù)中心的運行，甚至癱瘓，做好云平臺的安全工作至關(guān)重要。由于云平臺是計算技術(shù)的一種外在形式，它可能不會像數(shù)據(jù)中心那樣安全或需要更多的工作來確保安全。很多時候，數(shù)據(jù)中心云平臺是把數(shù)據(jù)交給可能沒有新安全認證第三方的供應商，若云技術(shù)是依托在不同地方的幾個數(shù)據(jù)中心，那這幾個地方也需要適當?shù)陌踩胧?。云平臺要部署一些軟件防護技術(shù)，來增加安全性。比如：通過安全軟件周期性對VM文件內(nèi)容、注冊表等進行檢測;對40萬的病毒庫進行掃描，及時更新病毒庫;針對各種協(xié)議防護，7000多種攻擊檢測和防護等。針對各種入侵，基于安全模塊的實時使用新威脅特征庫，隨時啟動防護措施。云平臺應該部署先進的虛擬化海量存儲技術(shù)來存儲和管理數(shù)據(jù)資源，相應的安全機制有數(shù)據(jù)加密、數(shù)據(jù)隔離、數(shù)據(jù)校驗、數(shù)據(jù)備份、災難恢復，從而大程度上保證云平臺免受惡意攻擊的騷擾。

系統(tǒng)安全

數(shù)據(jù)中心數(shù)據(jù)系統(tǒng)一旦被人攻破，那一切機密數(shù)據(jù)都可能外流，給數(shù)據(jù)中心用戶帶來的損失難用金錢來衡量，所以一定要保障數(shù)據(jù)中心系統(tǒng)安全。系統(tǒng)安全包括服務器操作系統(tǒng)，數(shù)據(jù)庫，中間件等在內(nèi)的系統(tǒng)安全，以及為提高這些系統(tǒng)的安全性而使用安全評估管理工具所進行的系統(tǒng)安全分析和加固。比如：很多設備通過安全軟件掃描，會看到不少的端口服務都是開啟的，這是一種極其不安全的隱患，萬一這些端口服務本身存在漏洞，就會讓壞分子有機可乘，通過漏洞攻入數(shù)據(jù)中心系統(tǒng)內(nèi)部，盜取機密的數(shù)據(jù)資源;要對系統(tǒng)進行定期掃描、更新漏洞;對各種系統(tǒng)和設備訪問要進行密碼加密和權(quán)限控制，密碼采用隨機密碼輸入，增強安全性，管理訪問https要加密，模塊、接口調(diào)用SSL加密處理，SSH、Telent訪問登錄都要到認證服務器上做驗證，增加安全性。系統(tǒng)安全是數(shù)據(jù)中心安全防御為重要的一環(huán)，只要系統(tǒng)沒有漏洞，就很難被人所利用。不過反過來，幾乎沒有哪個系統(tǒng)是完美的，只要是人設計的系統(tǒng)或多或少都存在一些缺陷，很多人就是利用了這些缺陷，攻破系統(tǒng)安全防御，所以要時刻對這些系統(tǒng)安全漏洞保持警惕，發(fā)現(xiàn)了就及時解決。

傳輸訪問層安全

數(shù)據(jù)中心要完成各種業(yè)務應用，要處理各種各樣的數(shù)據(jù)，在數(shù)據(jù)中心內(nèi)部以及內(nèi)外之間要交互大量的數(shù)據(jù)，這主要在網(wǎng)絡的傳輸層完成。在數(shù)據(jù)傳輸?shù)倪^程中，這些數(shù)據(jù)就可能被泄漏，所以要進行傳輸訪問層的安全防御。傳輸數(shù)據(jù)首先要基于SSL加密訪問傳輸，近被炒得非常火的量子通信也是要解決傳輸數(shù)據(jù)面臨的安全問題，讓數(shù)據(jù)在傳輸?shù)倪^程中不會被泄漏出去。傳輸?shù)脑O備要具有安全防御能力。比如網(wǎng)絡設備，要對控制用戶進行管理，僅客戶端訪問才可以，同時記錄用戶的所有操作，基于日志可進行行為審計。在數(shù)據(jù)中心網(wǎng)絡中，很多傳輸層攻擊都是針對TCP/IP協(xié)議固有漏洞發(fā)起的，如今已經(jīng)有IPSec、SSL、S-HTTP、S/MIME、TLS等安全協(xié)議，通過運行這些協(xié)議可以大限度地確保傳輸層安全。傳輸層一旦發(fā)生數(shù)據(jù)泄漏，雖然內(nèi)容不是那么好還原出來，但可以根據(jù)數(shù)據(jù)特征進行有針對性的破壞活動，導致數(shù)據(jù)傳輸出現(xiàn)問題，引起數(shù)據(jù)中心業(yè)務中斷，這也將給數(shù)據(jù)中心帶來嚴重問題。

除了以上介紹的這三大方面的安全防御，還有設備硬件漏洞、人員管理上的安全漏洞、監(jiān)控系統(tǒng)的漏洞等等，數(shù)據(jù)中心安全涉及的范圍極廣，絕不僅僅包含云平臺、系統(tǒng)安全和傳輸層三大塊，僅在網(wǎng)絡層面，從網(wǎng)絡第一層物理層到第七層應用層，每一層都面臨著不同程度的安全風險，很多攻擊專門針對某一網(wǎng)絡協(xié)議層發(fā)起攻擊，利用網(wǎng)絡設備或協(xié)議的漏洞，攻擊網(wǎng)絡，破壞數(shù)據(jù)中心業(yè)務正常運行;在服務器層面，就更加廣泛了，服務器上的操作系統(tǒng)安全、各種應用軟件安全、登陸口令的安全等等，每個部分都需要做安全防御，以至于數(shù)據(jù)中心很難照顧到所有方方面面，這也是很多數(shù)據(jù)中心頻發(fā)安全事故的原因。數(shù)據(jù)中心包含的各種系統(tǒng)太復雜，任何一個環(huán)節(jié)沒有做好安全防御，都可以讓壞分子有機可乘。而數(shù)據(jù)中心在明處，壞分子在暗處，只有做好每個環(huán)節(jié)的安全防御工作，才能確保數(shù)據(jù)中心安全，正所謂“魔高一尺道高一丈”，安全防御技術(shù)總是要比破壞分子技高一籌，讓數(shù)據(jù)中心處于安全防御之下，不受侵擾。