數據中心安全策略的體系架構與功能設計

1、數據中心安全策略的體系架構與功能設計1、 數據中心建設的安全策略 1. 數據中心安全策略的體系架構數據中心安全的內容已從原來的保密性和完整性擴展為信息的可用性、核查性、真實性、抗抵賴性以及可靠性等范圍，更涉及到包括計算機硬件系統、操作系統、應用程序以及與應用程序相關聯的計算機網絡硬件設施和數據庫系統等計算機網絡體系的方方面面，具體架構如圖1所示。從圖1中可以看出,數據中心建設的安全策略包括4層:硬件安全防護層、數據安全檢測層、數據隔離恢復層和數據安全備份層。2. 數據中心安全策略的功能設計2.1. 硬件安全防護層數據中心建設的硬件安全主要采用的策略包括高速帶寬、服務器負載平衡以及防火墻的使用。

2、（1）高速帶寬（High Speed Bandwidth）為了使數據中心在激烈的計算機網絡競爭中處于領先地位，高質量的網絡連接是維持高質量數據中心的基本要素。為避免因計算機網絡帶寬的共享問題產生沖突而降低數據中心的功能和效率，應該為數據中心的管理者和使用者提供最大限度的利用帶寬。（2)服務器負載平衡(Server Load Balancing）單一的服務器不能滿足數據中心日益增加的用戶訪問量、數據資源和信息資源。數據中心的應用系統采用了3層結構，數據中心中大量復雜的查詢、重復的計算以及動態(tài)超文本網頁的生成都是通過服務器來實現的，而服務器的速度一直都是數據中心數據處理速度的“瓶頸” 。為了滿足I

3、SP/ICP的需求，提高數據中心服務器的訪問性能，數據中心建設采用了服務器負載均衡的先進技術。網絡負載均衡器是一個非常重要的計算機網絡產品，利用一個IP資源就可以根據用戶的要求產生多個虛擬的IP服務器，按照一定協議能夠使它們協調一致地工作。不同的用戶或者不同的訪問請求可以訪問到不同的服務器，使得多個服務器可以同時并行工作，提高服務器的訪問性能。如果當計算機“黑客” 攻擊某臺服務器而導致該服務器的系統癱瘓時，負載均衡器和負載均衡技術會關閉其與該系統的連接,將其訪問分流到其他服務器上，保證了數據中心持續(xù)穩(wěn)定的工作.（3)防火墻（Firewall）防火墻技術是位于Internet之間或者內部網絡之間

4、以及Internet與內部網絡之間的計算機網絡設備或計算機中的一個功能模塊，主要由硬件防火墻與軟件防火墻按照一定的安全策略建立起來的有機組成體,目的在于保護內部網絡或計算機主機的安全。原則上只有在內部網絡安全策略中合法的通信量才能順利進出防火墻。具體功能包括保護數據的完整性、保護網絡的有效性和保護數據的精密性.防火墻的使用便于數據中心硬件資源和軟件資源集中的安全管理，安全策略的強制執(zhí)行，從而降低了計算機網絡的脆弱性，提高了數據中心的安全保密性。2.2. 數據安全檢測層 數據安全檢測層包括數據的入侵檢測和數據與安全審計兩大功能,主要完成隱患數據和操作進不來以及隱患數據和操作查得出的任務。（1）入

5、侵檢測（Intrusion Detection）數據的入侵檢測是一種積極的安全防護技術，是繼防火墻之后的第二道安全閘門，是把數據中心的關口前移，對入侵行為進行安全檢測，讓存在安全隱患的數據不能進入到數據中心，主要通過收集和分析用戶的網絡行為；安全日志、審計規(guī)則和數據；網絡中計算機系統中的若干關鍵點的信息，檢查進入數據中心以及數據中心內部的操作、數據是否違反安全策略以及是否存在被攻擊的跡象.主要采用模式匹配、統計分析和完整性分析3種分析策略.數據中心建設的入侵檢測采用的是公共入侵檢測框架（CIDF），其具體架構如圖2所示。入侵檢測系統可以根據對數據和操作的分析，檢測出數據中心是否受到外部或者內部

6、的入侵和攻擊。(2）安全審計（Security Auditing）數據安全審計的作用是審計和檢查出危害數據中心的操作和數據。數據安全審計系統是數據中心中的一個獨立的應用系統，主要針對數據中心內部的各種安全隱患和業(yè)務風險,根據既定的審計規(guī)則(數據審計字典)對數據中心系統運行的各種操作和各種數據進行跟蹤記錄，采用誤用檢測技術、異常檢測技術以及數據挖掘技術審計和檢測數據中心存在的安全漏洞以及安全漏洞被利用的方式。安全審計系統主要采用分層的思想進行構建，具體結構如圖3所示。安全審計系統的目標是隨著數據入侵檢測技術的不斷成熟，安全審計系統知識庫、規(guī)則庫以及審計數據庫的不斷完善，最終實現對數據中心各種操作

7、和數據的實時與準實時的審計和處理,達到數據中心安全防范的整體目標。2.3. 數據隔離恢復層數據隔離恢復層是對數據中心中的隱患或者不安全數據和操作進行的相關處理，包括數據隔離和數據恢復，主要目的是將隱患或者不安全數據和操作趕出數據中心，以保證數據中心的安全。(1）數據隔離（Data Isolation）為了避免隱患或者不安全數據和操作造成的數據受損范圍的擴大，當發(fā)現數據中心存在隱患或者不安全數據和操作時，必須進行數據隔離，禁止所有用戶對相關數據的請求，在數據修復之后解除隔離，從而有效地避免在數據恢復階段由于數據共享導致的數據中心受損范圍的擴大，包括物理隔離技術和軟件隔離技術兩個層面.主要策略包括

8、以下方面：隔離的完整性數據隔離僅對受損數據有效，而不影響用戶合法的數據請求，同時，數據隔離的粒度要盡可能的小，數據項級別要達到元組級或者元素級。隔離的有效性 除了受損數據恢復進程，任何用戶請求都不能直接訪問受損數據， 即使是請求中子查詢操作也應該被隔離.隔離的效率隔離數據不需占用太多的系統空間資源，同時,受損數據的隔離應具有較高的執(zhí)行效率，且不會對數據中心的系統性能造成較大的影響。（2）數據恢復（Data Reconstruction）數據隔離恢復層應該具有較強的自愈性,能夠及時自動修復受損的數據，以保證數據中心系統的穩(wěn)定性和數據的完整性。2.4. 數據安全備份層數據的安全備份是數據中心容災的

9、基礎，是指防止數據中心的數據由于操作失誤、系統故障或者惡意攻擊而導致的丟失,將數據全部或部分復制的過程.為了保證數據的安全，在數據中心中通常使用兩個或者多個數據庫，互為主、備用，包括數據庫的實時同步和數據庫的備份兩個方面。（1)實時同步(Real-time Synchronization）數據庫的實時同步主要是指根據需要使數據庫操作持部分或者完全一致.數據庫的實時同步有兩種實現方式：一種是根據數據庫中的訪問日志,采用鏡像技術使主用數據庫與備用數據庫中的數據保持絕對一致,當主用數據庫發(fā)生故障或損壞時,備用數據庫可以自動代替其功能，并作為恢復主用數據庫的數據源.這種方式往往比較適合同一種類型的數據

10、庫，并且數據庫的數據結構完全一致的情況.如果要把這種數據庫的同步方式應用于不同類型的數據庫或者是不同的數據結構時都會遇到困難.另一種實現方式是通過分析主、備用數據庫中的內容，找出之問的差異，并將差異部分的記錄寫入對方數據庫中，達到數據同步的目的。這種方式對數據庫的類型以及數據庫的數據結構沒有嚴格要求，這是因為當數據從一個數據庫中調出，在寫入另一數據庫中之前，可以做適當的數據類型轉換，從而實現數據庫中的數據一致。而且還可以使用ODBC接口來訪問數據庫,因而，這種數據庫同步的實現方式可以適用于各種類型數據庫以及各種數據結構的數據庫之間的數據同步。（2）數據庫備份（Data Backup)常用的數據

11、備份方式有定期磁盤（光盤）備份數據、遠程數據庫備份、網絡數據鏡像和遠程鏡像磁盤。數據中心建設主要采用網絡備份方式，網絡備份主要通過專業(yè)的數據存儲管理軟件結合相應的硬件和存儲設備來實現，采用如下策略和手段：完全備份每天對數據中心的數據進行完全備份，保證數據庫的實時同步,主要優(yōu)點是數據恢復及時、完整,缺點是備份繁瑣、費時，且占用大量的空間資源.增量備份指定每周的一天進行一次完全備份,其余時間只進行新增或者修改數據的備份，主要優(yōu)點是節(jié)省備份時間和空間資源，缺點是數據恢復比較麻煩.差分備份指定每周的一天進行一次完全備份,其余時間只進行所有與這天不同數據的備份，差分備份可以較好地避免完全備份和增量備份帶來的缺陷。在數據中心的建設中，通常是