數(shù)據(jù)中心安全防御大法

時(shí)間：2018/6/22
數(shù)據(jù)中心是在不斷變化的，尤其現(xiàn)在應(yīng)用需求多種多樣，數(shù)據(jù)中心需要不斷地去變化，才能適應(yīng)這些應(yīng)用，和傳統(tǒng)的數(shù)據(jù)中心不同，現(xiàn)在數(shù)據(jù)中心里應(yīng)用普及的就是虛擬化技術(shù)，數(shù)據(jù)中心虛擬化后，安全問(wèn)題就已突顯出來(lái)。原來(lái)數(shù)據(jù)中心每個(gè)物理環(huán)境相對(duì)獨(dú)立，安全產(chǎn)品保護(hù)服務(wù)器和應(yīng)用，安全防御還可控，但虛擬化來(lái)了后，所有虛擬機(jī)都共享資源，虛擬機(jī)和應(yīng)用程序隨時(shí)可能移動(dòng)或變更，這給安全防御帶來(lái)極大困難，很多人對(duì)數(shù)據(jù)中心的安全能力表示懷疑，尤其相比以往，數(shù)據(jù)中心類似發(fā)生數(shù)據(jù)泄漏的事件明顯要更多，如何挽回人們的信任將關(guān)系到數(shù)據(jù)中心的未來(lái)發(fā)展前途，哪個(gè)數(shù)據(jù)中心在安全方面做得好，將獲得人們的青睞。既然數(shù)據(jù)中心安全極為重要，新時(shí)期下，如何更好地做好數(shù)據(jù)中心安全防御呢。

云平臺(tái)安全

云平臺(tái)是數(shù)據(jù)中心的控制中心，是數(shù)據(jù)中心進(jìn)行業(yè)務(wù)部署、故障診斷、運(yùn)行監(jiān)控的重要平臺(tái)。云平臺(tái)出現(xiàn)安全問(wèn)題，往往引發(fā)整個(gè)數(shù)據(jù)中心的運(yùn)行，甚至癱瘓，做好云平臺(tái)的安全工作至關(guān)重要。由于云平臺(tái)是計(jì)算技術(shù)的一種外在形式，它可能不會(huì)像數(shù)據(jù)中心那樣安全或需要更多的工作來(lái)確保安全。很多時(shí)候，數(shù)據(jù)中心云平臺(tái)是把數(shù)據(jù)交給可能沒(méi)有新安全認(rèn)證第三方的供應(yīng)商，若云技術(shù)是依托在不同地方的幾個(gè)數(shù)據(jù)中心，那這幾個(gè)地方也需要適當(dāng)?shù)陌踩胧?。云平臺(tái)要部署一些軟件防護(hù)技術(shù)，來(lái)增加安全性。比如：通過(guò)安全軟件周期性對(duì)VM文件內(nèi)容、注冊(cè)表等進(jìn)行檢測(cè);對(duì)40萬(wàn)的病毒庫(kù)進(jìn)行掃描，及時(shí)更新病毒庫(kù);針對(duì)各種協(xié)議防護(hù)，7000多種攻擊檢測(cè)和防護(hù)等。針對(duì)各種入侵，基于安全模塊的實(shí)時(shí)使用新威脅特征庫(kù)，隨時(shí)啟動(dòng)防護(hù)措施。云平臺(tái)應(yīng)該部署先進(jìn)的虛擬化海量存儲(chǔ)技術(shù)來(lái)存儲(chǔ)和管理數(shù)據(jù)資源，相應(yīng)的安全機(jī)制有數(shù)據(jù)加密、數(shù)據(jù)隔離、數(shù)據(jù)校驗(yàn)、數(shù)據(jù)備份、災(zāi)難恢復(fù)，從而大程度上保證云平臺(tái)免受惡意攻擊的騷擾。

系統(tǒng)安全

數(shù)據(jù)中心數(shù)據(jù)系統(tǒng)一旦被人攻破，那一切機(jī)密數(shù)據(jù)都可能外流，給數(shù)據(jù)中心用戶帶來(lái)的損失難用金錢(qián)來(lái)衡量，所以一定要保障數(shù)據(jù)中心系統(tǒng)安全。系統(tǒng)安全包括服務(wù)器操作系統(tǒng)，數(shù)據(jù)庫(kù)，中間件等在內(nèi)的系統(tǒng)安全，以及為提高這些系統(tǒng)的安全性而使用安全評(píng)估管理工具所進(jìn)行的系統(tǒng)安全分析和加固。比如：很多設(shè)備通過(guò)安全軟件掃描，會(huì)看到不少的端口服務(wù)都是開(kāi)啟的，這是一種極其不安全的隱患，萬(wàn)一這些端口服務(wù)本身存在漏洞，就會(huì)讓壞分子有機(jī)可乘，通過(guò)漏洞攻入數(shù)據(jù)中心系統(tǒng)內(nèi)部，盜取機(jī)密的數(shù)據(jù)資源;要對(duì)系統(tǒng)進(jìn)行定期掃描、更新漏洞;對(duì)各種系統(tǒng)和設(shè)備訪問(wèn)要進(jìn)行密碼加密和權(quán)限控制，密碼采用隨機(jī)密碼輸入，增強(qiáng)安全性，管理訪問(wèn)https要加密，模塊、接口調(diào)用SSL加密處理，SSH、Telent訪問(wèn)登錄都要到認(rèn)證服務(wù)器上做驗(yàn)證，增加安全性。系統(tǒng)安全是數(shù)據(jù)中心安全防御為重要的一環(huán)，只要系統(tǒng)沒(méi)有漏洞，就很難被人所利用。不過(guò)反過(guò)來(lái)，幾乎沒(méi)有哪個(gè)系統(tǒng)是完美的，只要是人設(shè)計(jì)的系統(tǒng)或多或少都存在一些缺陷，很多人就是利用了這些缺陷，攻破系統(tǒng)安全防御，所以要時(shí)刻對(duì)這些系統(tǒng)安全漏洞保持警惕，發(fā)現(xiàn)了就及時(shí)解決。

傳輸訪問(wèn)層安全

數(shù)據(jù)中心要完成各種業(yè)務(wù)應(yīng)用，要處理各種各樣的數(shù)據(jù)，在數(shù)據(jù)中心內(nèi)部以及內(nèi)外之間要交互大量的數(shù)據(jù)，這主要在網(wǎng)絡(luò)的傳輸層完成。在數(shù)據(jù)傳輸?shù)倪^(guò)程中，這些數(shù)據(jù)就可能被泄漏，所以要進(jìn)行傳輸訪問(wèn)層的安全防御。傳輸數(shù)據(jù)首先要基于SSL加密訪問(wèn)傳輸，近被炒得非?；鸬牧孔油ㄐ乓彩且鉀Q傳輸數(shù)據(jù)面臨的安全問(wèn)題，讓數(shù)據(jù)在傳輸?shù)倪^(guò)程中不會(huì)被泄漏出去。傳輸?shù)脑O(shè)備要具有安全防御能力。比如網(wǎng)絡(luò)設(shè)備，要對(duì)控制用戶進(jìn)行管理，僅客戶端訪問(wèn)才可以，同時(shí)記錄用戶的所有操作，基于日志可進(jìn)行行為審計(jì)。在數(shù)據(jù)中心網(wǎng)絡(luò)中，很多傳輸層攻擊都是針對(duì)TCP/IP協(xié)議固有漏洞發(fā)起的，如今已經(jīng)有IPSec、SSL、S-HTTP、S/MIME、TLS等安全協(xié)議，通過(guò)運(yùn)行這些協(xié)議可以大限度地確保傳輸層安全。傳輸層一旦發(fā)生數(shù)據(jù)泄漏，雖然內(nèi)容不是那么好還原出來(lái)，但可以根據(jù)數(shù)據(jù)特征進(jìn)行有針對(duì)性的破壞活動(dòng)，導(dǎo)致數(shù)據(jù)傳輸出現(xiàn)問(wèn)題，引起數(shù)據(jù)中心業(yè)務(wù)中斷，這也將給數(shù)據(jù)中心帶來(lái)嚴(yán)重問(wèn)題。

除了以上介紹的這三大方面的安全防御，還有設(shè)備硬件漏洞、人員管理上的安全漏洞、監(jiān)控系統(tǒng)的漏洞等等，數(shù)據(jù)中心安全涉及的范圍極廣，絕不僅僅包含云平臺(tái)、系統(tǒng)安全和傳輸層三大塊，僅在網(wǎng)絡(luò)層面，從網(wǎng)絡(luò)第一層物理層到第七層應(yīng)用層，每一層都面臨著不同程度的安全風(fēng)險(xiǎn)，很多攻擊專門(mén)針對(duì)某一網(wǎng)絡(luò)協(xié)議層發(fā)起攻擊，利用網(wǎng)絡(luò)設(shè)備或協(xié)議的漏洞，攻擊網(wǎng)絡(luò)，破壞數(shù)據(jù)中心業(yè)務(wù)正常運(yùn)行;在服務(wù)器層面，就更加廣泛了，服務(wù)器上的操作系統(tǒng)安全、各種應(yīng)用軟件安全、登陸口令的安全等等，每個(gè)部分都需要做安全防御，以至于數(shù)據(jù)中心很難照顧到所有方方面面，這也是很多數(shù)據(jù)中心頻發(fā)安全事故的原因。數(shù)據(jù)中心包含的各種系統(tǒng)太復(fù)雜，任何一個(gè)環(huán)節(jié)沒(méi)有做好安全防御，都可以讓壞分子有機(jī)可乘。而數(shù)據(jù)中心在明處，壞分子在暗處，只有做好每個(gè)環(huán)節(jié)的安全防御工作，才能確保數(shù)據(jù)中心安全，正所謂“魔高一尺道高一丈”，安全防御技術(shù)總是要比破壞分子技高一籌，讓數(shù)據(jù)中心處于安全防御之下，不受侵?jǐn)_。