文档介绍：数据中心云安全建设方案
2017-3-23
目录
1 项目建设背景 2
2 云数据中心潜在安全风险分析 2
从南北到东西的安全 2
数据传输安全 2
数据存储安全 3
数据审计安全 3
云数据中心的安全风险控制策略 3
3 数据中心云安全平台建设的原则 3
标准性原则 3
成熟性原则 4
先进性原则 4
扩展性原则 4
可用性原则 4
安全性原则 4
4 数据中心云安全防护建设目标 5
建设高性能高可靠的网络安全一体的目标 5
建设以虚拟化为技术支撑的目标 5
以集中的安全服务中心应对无边界的目标 5
满足安全防护与等保合规的目标 6
5 云安全防护平台建设应具备的功能模块 6
防火墙功能 6
入侵防御功能 7
负载均衡功能 7
病毒防护功能 8
安全审计 8
6 结束语 8
项目建设背景
云数据中心潜在安全风险分析
云数据中心在效率、业务敏捷性上有明显的优势。然而,应用、服务和边界都是动态的,而不是固定和预定义的,因此实现高效的安全十分具有挑战性。传统安全解决方案和策略还没有足够的准备和定位来为新型虚拟化数据中心提供高效的安全层,这是有很多原因的,总结起来,云数据中心主要的安全风险面临以下几方面:
从南北到东西的安全
在传统数据中心里,防火墙、入侵防御,以及防病毒等安全解决方案主要聚焦在内外网之间边界上通过的流量,一般叫做南北向流量或客户端服务器流量。
在云数据中心里,像南北向流量一样,交互式数据中心服务和分布式应用组件之间产生的东西向流量也对访问控制和深度报文检测有刚性的需求。多租户云环境也需要租户隔离和向不同的租户应用不同的安全策略,这些租户的虚拟机往往是装在同一台物理服务器里的。
传统安全解决方案是专为物理环境设计的,不能将自己有效地插入东西向流量的环境中,所以它们往往需要东西向流量被重定向到防火墙、深度报文检测、入侵防御,以及防病毒等服务链中去。这种流量重定向和静态安全服务链的方案对于保护东西向流量是效率很低的,因为它会增加网络的延迟和制造性能瓶颈,从而导致应用响应时间的缓慢和网络掉线。
数据传输安全
通常情况下,数据中心保存有大量的租户私密数据,这些数据往往代表了租户的核心竞争力,如租户的客户信息、财务信息、关键业务流程等等。在云数据中心模式下,租户将数据通过网络传递到云数据中心服务商进行处理时,面临着几个方面的问题:一是如何确保租户的数据在网络传输过程中严格加密不被窃取;二是如何保证云数据中心服务商在得到数据时不将租户绝密数据泄露出去;三是在云数据中心服务商处存储时,如何保证访问用户经过严格的权限认证并且是合法的数据访问,并保证租户在任何时候都可以安全访问到自身的数据。
数据存储安全
数据存储是非常重要的环节,其中包括数据的存储位置、数据的相互隔离、数据的灾难恢复等。在云数据中心模式下,云数据中心在高度整合的大容量存储空间上,开辟出一部分存储空间提供给租户使用。但客户并不清楚自己的数据被放置在哪台服务器上;云数据中心服务商在存储资源所在国是否会存在信息安全等问题,能否确保租户数据不被泄露;同时,在这种数