文档介绍：数据中心云安全建设方案2017-3-23目录1 项目建设背景 22 云数据中心潜在安全风险分析 从南北到东西的安全 数据传输安全 数据存储安全 数据审计安全 云数据中心的安全风险控制策略 33 数据中心云安全平台建设的原则 标准性原则 成熟性原则 先进性原则 扩展性原则 可用性原则 安全性原则 44 数据中心云安全防护建设目标 建设高性能高可靠的网络安全一体的目标 建设以虚拟化为技术支撑的目标 以集中的安全服务中心应对无边界的目标 满足安全防护与等保合规的目标 65 云安全防护平台建设应具备的功能模块 防火墙功能 入侵防御功能 负载均衡功能 病毒防护功能 安全审计 86 结束语 8项目建设背景云数据中心潜在安全风险分析云数据中心在效率、业务敏捷性上有明显的优势。然而,应用、服务和边界都是动态的,而不是固定和预定义的,因此实现高效的安全十分具有挑战性。传统安全解决方案和策略还没有足够的准备和定位来为新型虚拟化数据中心提供高效的安全层,这是有很多原因的,总结起来,云数据中心主要的安全风险面临以下几方面:从南北到东西的安全在传统数据中心里,防火墙、入侵防御,以及防病毒等安全解决方案主要聚焦在内外网之间边界上通过的流量,一般叫做南北向流量或客户端服务器流量。在云数据中心里,像南北向流量一样,交互式数据中心服务和分布式应用组件之间产生的东西向流量也对访问控制和深度报文检测有刚性的需求。多租户云环境也需要租户隔离和向不同的租户应用不同的安全策略,这些租户的虚拟机往往是装在同一台物理服务器里的。传统安全解决方案是专为物理环境设计的,不能将自己有效地插入东西向流量的环境中,所以它们往往需要东西向流量被重定向到防火墙、深度报文检测、入侵防御,以及防病毒等服务链中去。这种流量重定向和静态安全服务链的方案对于保护东西向流量是效率很低的,因为它会增加网络的延迟和制造性能瓶颈,从而导致应用响应时间的缓慢和网络掉线。数据传输安全通常情况下,数据中心保存有大量的租户私密数据,这些数据往往代表了租户的核心竞争力,如租户的客户信息、财务信息、关键业务流程等等。在云数据中心模式下,租户将数据通过网络传递到云数据中心服务商进行处理时,面临着几个方面的问题:一是如何确保租户的数据在网络传输过程中严格加密不被窃取;二是如何保证云数据中心服务商在得到数据时不将租户绝密数据泄露出去;三是在云数据中心服务商处存储时,如何保证访问用户经过严格的权限认证并且是合法的数据访问,并保证租户在任何时候都可以安全访问到自身的数据。数据存储安全数据存储是非常重要的环节,其中包括数据的存储位置、数据的相互隔离、数据的灾难恢复等。在云数据中心模式下,云数据中心在高度整合的大容量存储空间上,开辟出一部分存储空间提供给租户使用。但客户并不清楚自己的数据被放置在哪台服务器上;云数据中心服务商在存储资源所在国是否会存在信息安全等问题,能否确保租户数据不被泄露;同时,在这种数据存储资源共享的环境下,即使采用了安全隔离与安全资源按需部署的方式,实现云数据中心各个租户之间的有限隔离。数据审计安全在云数据中心环境下,云数据中心服务商如何在确保不对其他租户的数据计算带来风险的同时,又提供必要的信息支持,以便协助第三方机构对数据的产生进行安全性和准确性的审计,实现租户的合规性要求,也是安全建设方面需要考虑的维度。云数据中心的安全风险控制策略为了更好的消除潜在的安全风险,让更多用户享受到云数据中心服务的优点,在云环境中,如果某虚机由于某种原因中了病毒,从内部向其它虚机和外部网络发起端口扫描和DoS等攻击,缺少安全控制策略的的情况下,只能将有问题的虚机从网络中移除,让问题虚机的管理员线下解决问题后,才允许连接回网络,这样的处理方案简单粗暴,虽然隔离了攻击,但也同时断掉了问题虚机的对外服务。对于云环境,虽然外部可能部署入侵防御设施,但可能存在这样的情况,某虚机由于弱口令之类的漏洞被远程控制,然后黑客以此虚机为跳板,再对其它虚机进行***和利用入侵,DoS攻击会产生大量的会话,可能通过云管理平台发现,然而从内部发起的漏洞入侵的过程在网络层面上与正常访问无异,无法被发现,因此对于虚拟之间的安全防护一定要做到安全风险与安全事件的可控、可视、可溯源。数据中心云安全平台建设的原则标准性原则云数据中心的云安全建设必须符合安全建设的标准,做到安全风险可控的效果,能够提供防火墙、入侵防御、防病毒、抗DDOS、负载均衡、审计、流量分析等安全资源模块,对安全资源可进行模块化选择,基于不同的租户选择不同的安全策略服务;对有安全管理需求的,必