服務(wù)器分級(jí) - 互聯(lián)網(wǎng)數(shù)據(jù)中心安全管理方案

服務(wù)器資源是數(shù)據(jù)中心的核心，按服務(wù)器服務(wù)功能將其分為可管理的層次，打破將所有功能都駐留在單一服務(wù)器時(shí)帶來(lái)的安全隱患，增強(qiáng)了擴(kuò)展性和可用性。

服務(wù)器層直接與接入設(shè)備相連，提供面向客戶的應(yīng)用，如IIS、服務(wù)器等等。

應(yīng)用層用來(lái)粘合面向用戶的應(yīng)用程序、后端的數(shù)據(jù)庫(kù)服務(wù)器或存儲(chǔ)服務(wù)器，如WebLogic、J2EE 等中間件技術(shù)。

數(shù)據(jù)庫(kù)層包含了所有的數(shù)據(jù)庫(kù)、存儲(chǔ)和被不同應(yīng)用程序共享的原始數(shù)據(jù)，如MS SQL Server、Oracle?9i、等。

在以上3 種的分層分區(qū)域的設(shè)計(jì)下，不同網(wǎng)絡(luò)區(qū)域之間的安全關(guān)系明確，可對(duì)每個(gè)區(qū)域進(jìn)行安全實(shí)施，而對(duì)其他區(qū)域不會(huì)干擾；最大限度地隔離故障區(qū)域，加快故障收斂時(shí)間，提高可用性；可根據(jù)不同的區(qū)域和層次的功能分別建設(shè)，業(yè)務(wù)部署靈活；網(wǎng)絡(luò)結(jié)構(gòu)清晰，易管理。

2 互聯(lián)網(wǎng)數(shù)據(jù)中心安全威脅

侵入攻擊、拒絕服務(wù)攻擊（DoS）和分布式拒絕服務(wù)攻擊（DDoS）、蠕蟲(chóng)病毒是互聯(lián)網(wǎng)數(shù)據(jù)中心面臨的最主要的3 類安全威脅。

數(shù)據(jù)中心網(wǎng)絡(luò)安全防護(hù)部件眾多，各網(wǎng)絡(luò)層次上不同的安全設(shè)備相互合作，形成整個(gè)安全防護(hù)體系。對(duì)數(shù)據(jù)中心網(wǎng)絡(luò)基礎(chǔ)設(shè)備的非法侵入和危害使侵入攻擊具有強(qiáng)大的破壞能力和隱蔽性，對(duì)某一個(gè)網(wǎng)絡(luò)設(shè)備的侵入可能影響到整個(gè)數(shù)據(jù)中心安全防衛(wèi)體系。

在DoS 和DDoS 中，攻擊者通過(guò)惡意搶占網(wǎng)絡(luò)資源，使數(shù)據(jù)中心無(wú)法正常運(yùn)營(yíng)。此類攻擊是互聯(lián)網(wǎng)數(shù)據(jù)中心最常預(yù)見(jiàn)的攻擊，同時(shí)也需要防范利用數(shù)據(jù)中心內(nèi)部僵尸主機(jī)對(duì)互聯(lián)網(wǎng)上其他主機(jī)進(jìn)行攻擊。

利用軟件系統(tǒng)設(shè)計(jì)的漏洞對(duì)應(yīng)用的攻擊包括惡意蠕蟲(chóng)、病毒、緩沖溢出代碼、后門木馬等，攻擊者獲取存在漏洞的主機(jī)的控制權(quán)后對(duì)病毒進(jìn)行復(fù)制和轉(zhuǎn)播，在已感染的主機(jī)中設(shè)置后門或者執(zhí)行惡意代碼，導(dǎo)致用戶帶寬資源被占用，或者數(shù)據(jù)中心增值業(yè)務(wù)受到威脅。因其傳播都基于現(xiàn)有的業(yè)務(wù)端口，傳統(tǒng)的防火墻對(duì)此類攻擊缺乏足夠的檢測(cè)能力。更為嚴(yán)峻的是數(shù)據(jù)中心抵抗飛速增長(zhǎng)的應(yīng)用的“零日攻擊”問(wèn)題。

3 互聯(lián)網(wǎng)數(shù)據(jù)中心安全防護(hù)措施

為保障互聯(lián)網(wǎng)數(shù)據(jù)中心的安全，抵御各種威脅和攻擊，需要聯(lián)合使用安全體系中各個(gè)層次的安全技術(shù)，形成一個(gè)完善的安全防預(yù)體系。

3.1 虛擬專用網(wǎng)

為了在不安全的互聯(lián)網(wǎng)中實(shí)現(xiàn)企業(yè)應(yīng)用的安全訪問(wèn)和數(shù)據(jù)的安全傳輸，虛擬專用網(wǎng)（VPN） 技術(shù)無(wú)疑是互聯(lián)網(wǎng)數(shù)據(jù)中心必不可少的安全技術(shù)。VPN 通過(guò)互聯(lián)網(wǎng)建立一個(gè)臨時(shí)的、安全的連接，形成一個(gè)穿越公網(wǎng)的安全穩(wěn)定的虛擬私有廣域網(wǎng)。網(wǎng)絡(luò)的VPN 應(yīng)用有兩種：除了提供防火墻到防火墻的VPN 應(yīng)用，支持應(yīng)用在企業(yè)分支機(jī)構(gòu)之間互通信息外，還提供移動(dòng)用戶到VPN 防火墻/網(wǎng)關(guān)設(shè)備的VPN 應(yīng)用，支持移動(dòng)辦公的IP 地址不固定的企業(yè)員工從互聯(lián)網(wǎng)上對(duì)企業(yè)內(nèi)部資源的訪問(wèn)。隨著互聯(lián)網(wǎng)數(shù)據(jù)中心業(yè)務(wù)的不斷擴(kuò)大，還需要保障在有限的網(wǎng)絡(luò)帶寬下實(shí)現(xiàn)VPN，并提供業(yè)務(wù)質(zhì)量（QoS） 保證。目前的趨勢(shì)是采用網(wǎng)絡(luò)控制和應(yīng)用控制，即和身份和訪問(wèn)管理（IAM） 技術(shù)結(jié)合，提供更靈活的訪問(wèn)控制和安全隔離服務(wù)。

3.2 虛擬局域網(wǎng)

數(shù)據(jù)中心多業(yè)務(wù)運(yùn)營(yíng)的需求，使得數(shù)據(jù)中心網(wǎng)絡(luò)中服務(wù)器和客戶端之間的縱向流量大于服務(wù)器之間的橫向流量，需要使用虛擬局域網(wǎng)將不同客戶的不同業(yè)務(wù)從第二層隔離開(kāi)，分配一個(gè)VLAN?和IP 子網(wǎng)。專用VLAN 可以有不同安全級(jí)別的端口：專用端口與服務(wù)器連接，只能與混雜端口通信；混雜端口與路由器或交換機(jī)接口相連，也可以和共有端口通信；共有端口之間也可以相互通信，主要用于需要相互通信的客戶之間。

3.3 防火墻

防火墻是數(shù)據(jù)中心網(wǎng)絡(luò)最基本的安全設(shè)備，可以對(duì)不同的信任級(jí)別的安全區(qū)域進(jìn)行隔離，保護(hù)數(shù)據(jù)中心邊界安全，同時(shí)提供靈活的部署和擴(kuò)展能力。DoS 攻擊和DDoS 攻擊的手段繁多、攻擊時(shí)流量突然增大，因此防DoS 攻擊對(duì)防火墻的功能要求和性能要求比較大。目前互聯(lián)網(wǎng)數(shù)據(jù)中心對(duì)防火墻的重點(diǎn)需求是基于狀態(tài)的包檢測(cè)功能和虛擬防火墻。狀態(tài)防火墻設(shè)備將狀態(tài)檢測(cè)技術(shù)應(yīng)用在ACL 技術(shù)上，動(dòng)態(tài)的決定哪些數(shù)據(jù)包可以通過(guò)防火墻，而基于流的狀態(tài)檢測(cè)技術(shù)可以提供更高的轉(zhuǎn)發(fā)性能。在物理防火墻無(wú)法滿足實(shí)際網(wǎng)絡(luò)環(huán)境的情況下，可以實(shí)施虛擬防火墻，將物理防火墻邏輯劃分出多個(gè)相互無(wú)干擾的虛擬防火墻，并依據(jù)業(yè)務(wù)需求設(shè)置合理的細(xì)粒度的訪問(wèn)控制措施。另外，具有QoS 機(jī)制的防火墻能夠提供流量控制功能，針對(duì)不同的應(yīng)用做出合理的帶寬分配和流量控制，防止某個(gè)應(yīng)用如FTP、Telnet 在某個(gè)的時(shí)間內(nèi)獨(dú)占帶寬資源而導(dǎo)致關(guān)鍵業(yè)務(wù)流量丟失和實(shí)時(shí)性業(yè)務(wù)流量中斷。

目前大多數(shù)據(jù)中心實(shí)施雙機(jī)部署、或者部署異構(gòu)防火墻，以滿足高可用性的要求。