金融數(shù)據(jù)中心網(wǎng)絡(luò)安全與自動(dòng)化方案

1、金融數(shù)據(jù)中心網(wǎng)絡(luò)安全與自動(dòng)化方案銀行網(wǎng)絡(luò)架構(gòu)演變的 驅(qū)動(dòng)力不同需求帶動(dòng)信息系統(tǒng)改變?cè)黾咏灰淄顿Y業(yè)務(wù)多元化盈利增長(zhǎng)波動(dòng)性的業(yè)務(wù)突發(fā)分行的自建業(yè)務(wù)業(yè)務(wù)系統(tǒng)繁多，難以實(shí)現(xiàn)信息交互、數(shù)據(jù)共享和統(tǒng)一風(fēng)險(xiǎn)管理集團(tuán)體系信息系統(tǒng)的共用平臺(tái)風(fēng)險(xiǎn)和服務(wù)質(zhì)量難以保證應(yīng)對(duì)大量新型業(yè)務(wù)造成的突發(fā)流量如何引入云計(jì)算平臺(tái)實(shí)現(xiàn)信息系統(tǒng)池化保證自建業(yè)務(wù)的數(shù)據(jù)備份和遷移如何實(shí)現(xiàn)分行平臺(tái)虛擬化 信息系統(tǒng)基礎(chǔ)架構(gòu)的演進(jìn)開(kāi) 始第一階段第二階段第三階段爆發(fā)階段P to VP to VP to VP to VAutomate ProcessesAutomate ProcessesAutomate ProcessesConvergedSys

2、temsConvergedSystemsSelfService IT虛 擬自動(dòng)化融 合私有云混合云 職能中心 多大數(shù)據(jù)平臺(tái)架構(gòu) 中心架構(gòu)互聯(lián)優(yōu)化 同城/異地?cái)?shù)據(jù)中心多活研發(fā)中心海外中心呼叫中心同城備份中心主數(shù)據(jù)中心職能中心節(jié)點(diǎn)職能中心節(jié)點(diǎn)JUNIPER金融平臺(tái)解決方案管理 變更自動(dòng)化 平臺(tái)集中監(jiān)控 風(fēng)險(xiǎn)預(yù)估 主動(dòng)故障處理分行節(jié)點(diǎn)分行節(jié)點(diǎn)網(wǎng)點(diǎn)支行節(jié)點(diǎn)一級(jí)骨干節(jié)點(diǎn)二級(jí)骨干節(jié)點(diǎn)核心骨干節(jié)點(diǎn)骨干網(wǎng) SOA架構(gòu) 多業(yè)務(wù)承載 骨干網(wǎng)扁平化外聯(lián)節(jié)點(diǎn)互聯(lián)網(wǎng)節(jié)點(diǎn)安全 各節(jié)點(diǎn)業(yè)務(wù)隔離 風(fēng)控/合規(guī) 智能化攻擊防范 云桌面/移動(dòng)終端安全金融數(shù)據(jù)中心解決方案金融數(shù)據(jù)中心安全 / 自動(dòng)化解決方案身份識(shí)別應(yīng)用防護(hù)UserA

3、pp數(shù)據(jù)中心數(shù)據(jù)中心安全客戶端DMZ業(yè)務(wù)2區(qū)業(yè)務(wù)1區(qū)VirtualizedSecurityServicesNAT Intrusion prevention Real-time visibility Traffic prioritization AppSecure: AppDoS, AppTrack FirewallAuthenticationEncryptionInternetSSL VPN外聯(lián)Management & Compliance管理平臺(tái)日志系統(tǒng)ReportingPoliciesHypervisorVirtual MachinesVM4VM1VM2VM3vGW Virtual Gat

4、ewayPurpose Built Virtual SecurityVM1VM2VM3VSESX/ESXi HostVirtual Security LayerTraditional Security AgentsVLANs & Physical SegmentationVM1VM2VM3VSESX/ESXi HostVM1VM2VM3VSESX/ESXi HostRegular Thick Agent for FW & AV HYPERVISORHYPERVISOR123虛擬主機(jī)安全防護(hù)的演變HYPERVISOR虛擬防火墻與區(qū)域防火墻聯(lián)動(dòng)ESX HOSTVM1VM2VM3VM4vGW VF“

5、Change cycles which used to happen in days and weeks in the physical data center can now happen in minutes or seconds within the virtual data center.”ZONE APZONE DB1.1.1.1/242.2.2.2/2410.10.10.0/2420.20.20.0/24ZONE DB1.1.1.0/2410.10.10.0/24ZONE AP2.2.2.0/2420.20.20.0/241.1.1.110.10.10.12.2.2.220.20.

6、20.1VM51.1.1.2ADDRESS BOOKZONE DBVM5 = 1.1.1.2Firewall DBFirewall APPHYSICAL NETWORK雙向信息同步 物理與虛擬安全融合 簡(jiǎn)化虛擬層安全管理防火墻部署方式的改變 計(jì)算資源更加集中 業(yè)務(wù)伸縮性提高 物理位置松散化LSYS3業(yè)務(wù)一區(qū)業(yè)務(wù)三區(qū)業(yè)務(wù)二區(qū)LSYS2LSYS1PROFILE LSYS1SESSION:1000ALG: 200NAT POOL: 500安全部署模型：高速交換核心和區(qū)域之間不放置防火墻，防火墻部署在區(qū)域內(nèi)部防火墻部署位置：分區(qū)入口，物理上掛接在區(qū)域核心交換機(jī)區(qū)域核心防火墻區(qū)域核心FBF防火墻部署方式

7、防火墻部署方式的改變路由/管理引擎INTEL CPUMEMORY 2G 業(yè)務(wù)接口卡NPU *4MEMORY 2G *4安全處理卡8CORE CPU *2MEMORY 4G *2AttackManagementBusiness業(yè)務(wù)處理平面防攻擊平面管理平面Switch fabric 最大并發(fā)會(huì)話數(shù)每秒新建會(huì)話數(shù)吞吐量零配置性能升級(jí)零停機(jī)性能升級(jí)Dynamic service architecture適應(yīng)云數(shù)據(jù)中心的部署特點(diǎn)端到端的數(shù)據(jù)中心安全Juniper SRX with IPS and AppSecureFabricSwitching Policies vGW Virtual Gateway

8、VMware vSphere Hypervisor高密度端口互聯(lián)按需動(dòng)態(tài)擴(kuò)展分布式防御虛擬主機(jī)安全統(tǒng)一管理自動(dòng)化運(yùn)維VM 1VM 2VM 3VM 20Security Design 向數(shù)據(jù)中心轉(zhuǎn)移數(shù)據(jù)中心自動(dòng)化運(yùn)維分行的特色業(yè)務(wù)網(wǎng)絡(luò)自我診斷變更自我審核提高業(yè)務(wù)持續(xù)性增加交易投資業(yè)務(wù)多元化盈利增長(zhǎng)網(wǎng)絡(luò)層的增值開(kāi)發(fā)業(yè)務(wù)觸發(fā)型網(wǎng)絡(luò)提高生產(chǎn)率波動(dòng)性的業(yè)務(wù)突發(fā)設(shè)備間協(xié)同控制層面整合降低運(yùn)維壓力如何快速收集信息定位故障Software crashes, aborts, traps, terminations (i.e.,daemon, kernel, PIC, FPC, board)Memory allo

9、cation failuresIntra-chassis communication message errors (i.e., internal socket errors) Read-write errorsHardware errors such as chip, memory, temperature, fan, clock errors Device overload problemsInternal data structure consistency errorsOver 400 different conditions covered more added with new r

10、eleases適應(yīng)云數(shù)據(jù)中心的部署特點(diǎn)InternetJuniperSupportSystemsAI ScriptsInstalledService NowData CollectionData ManagementData InterpretationJuniperCustomer or Partner NOCCustomer NetworkJMBHardwareSoftwareResourcesConfigurationService Insight自動(dòng)化運(yùn)維平臺(tái)可定制的軟件自動(dòng)化平臺(tái)ConnectivitySecurityFutureServicesStandards interface

11、s (TCG, IEEE)OPPORTUNITY FORNETWORK END-POINT INNOVATIONUSER APP LAYEROPPORTUNITY FORON-DEVICE INNOVATION Control PlaneDevice APIPlatform SDKData PlaneServices PlaneNETWORK LAYEROPPORTUNITY FORCROSS-DEVICE INNOVATIONDevice APIPlatformPlatform & UI SDKNETWORK APP LAYERGREATERFLEXIBILITYLOWERTCOBREADTHSUPERIORSCALABILITYKEY BENEFITS簡(jiǎn)化業(yè)務(wù)變更：ICBC 每周都有頻繁的防火墻變更，如何簡(jiǎn)化數(shù)據(jù)中心網(wǎng)絡(luò)設(shè)備的維護(hù)？CHALLENGE1 多數(shù)據(jù)中心設(shè)備配置智能同步