集團性企業數據中心的安全管理和防護

馮韶華

（酒泉鋼鐵（集團）有限責任公司，甘肅 嘉峪關 735100）

1 概述

數據中心是一整套復雜的設施。它不僅僅包括計算機系統和其它與之配套的設備（例如通信和存儲系統），還包含冗余的數據通信連接、環境控制設備、監控設備以及各種安全裝置。新一代數據中心是基于云計算架構、資源松耦合、虛擬化程度高、模塊化程度高、自動化程度高、綠色節能的新型數據中心。

酒鋼是甘肅省大型國有集團性企業，其數據中心按照GB50174-2008 《電子信息系統機房設計規范》B 級標準建設，部署有物理服務器、存儲和網絡及安全設備，具有健全的配電系統、制冷系統、消防系統及安全控制系統。

依據云計算技術架構和發展趨勢，酒鋼結合實際情況，本著先進、實用的原則，充分發揮云平臺集中集約優勢，整合共享資源，通過高性能服務器組、大容量存儲設備、虛擬化和云管理軟件搭建成私有云平臺。

酒鋼數據中心承載著包括ERP、MES、OA、郵件、倉儲、計量、電子交易、財務、視頻監控、端點準入等集團性企業核心系統。

隨著酒鋼數據中心規模的不斷擴大和云化發展，也面臨著更多更新的安全管理風險和挑戰。

2 集團性企業數據中心面臨的安全風險

2.1 基礎環境面臨的安全風險

酒鋼數據中心機房安全是信息系統和運維安全的前提,如果數據中心機房存在電擊、火災、漏水以及電磁泄漏等安全隱患,導致數據中心機房事故,則信息系統和運維安全也就不可能實現。

酒鋼數據中心機房主要面臨著靜電危害、火災、水災、雷擊、電磁輻射、消防氣體窒息等風險。靜電放電可能產生寬帶電磁脈沖干擾造成通信設備失效，人體靜電造成擊穿或燒毀服務器設備敏感元器件。數據中心電纜和設備過熱、設備故障、環境和人為因素可能引起火災發生。數據中心機房頂層由于屋內漏水、底層由于上下水管道堵塞可能會造成水災，同時機房內暖氣系統漏水、水冷系統設計不當損壞漏水、機房內水源檢修閥漏水等均可能造成水災。數據中心進出建筑物或機房的電源線和通信線等存在雷擊風險。數據中心包含有大量的電子設備和線纜,這些部件都會產生電磁輻射和一些強度較大的輻射波,會對設備甚至人造成傷害。另外機房內部署有消防氣體設備，如果出現泄漏，也會對人造成窒息的安全風險。

2.2 系統和數據面臨的安全風險

酒鋼數據中心的主要職能提供不同類型的系統和數據服務，存儲著大量業務數據，承載著大量核心業務，關鍵性數據價值較大，一旦有黑客非法攻擊會對數據中心造成嚴重后果。

酒鋼數據中心主要面臨網絡、系統、數據、Web應用以及私有云方面的安全風險。

1）網絡安全風險。網絡是信息收集、存儲、分配、傳輸應用的主要載體，可以說網絡的安全性是數據中心安全的重中之重。由于計算機網絡整體框架對于廣大用戶來說具有開放性、互聯性以及多樣性的特征，因此計算機網絡極易受到攻擊。網絡安全風險主要存在于網絡監聽、密碼破解、DDoS 攻擊、漏洞攻擊等方面。

網絡監聽工具被非法攻擊人員用來竊取敏感信息，導致明文傳輸的相關口令、數據的泄露。密碼破解一直是網絡攻擊行為中最簡單、最基本、最麻煩的一種進攻模式，因為密碼破解的難度取決于用戶或管理員設置口令的復雜程度，為了方便管理，通常會出現密碼簡單易猜、密碼多用、復用的情況，帶來了安全風險。DDoS 攻擊主要是借助于網絡系統或者網絡協議存在的缺陷或者不足發起大量鏈接和數據傳輸的行為,從而使網絡堵塞,CPU 能力被進程消耗直至資源耗盡導致系統宕機。漏洞攻擊主要是黑客利用系統硬件、應用和軟件以及網絡協議在開發、使用、維護過程中進行的試探性攻擊，只要我們的系統存在漏洞，就不可避免的會出現漏洞攻擊風險。

2）系統安全風險。系統安全風險主要存在于計算機病毒、邏輯炸彈、特洛伊木馬、后門等方面。

計算機病毒是一個可執行的程序，隨同文件一起傳輸，一旦執行該文件，病毒就會被激活和蔓延，計算機病毒具有隱蔽性、很強的自我復制能力以及感染性。邏輯炸彈是當系統恰好滿足某一邏輯值或某個條件就會觸發惡意程序執行，導致邏輯炸彈爆發而破壞系統。特洛伊木馬是捆綁在正常軟件上，用戶在運行軟件時,木馬程序被運行，造成敏感數據的竊取和破壞。后門程序本來是為了管理與維護服務器主機預留的系統控制端，由于該控制端簡練和功能強大，被非法人員作為控制服務器主機所使用的特殊途徑造成危害。

3）數據安全風險。酒鋼數據中心的應用系統部署有數據庫，存儲著各類重要業務數據，數據庫的安全尤為重要，但是數據庫同樣面臨著數據信息泄漏、蠕蟲病毒侵害、數據庫備份信息被盜、密鑰管理不當等安全風險。

數據信息泄露主要是由于開發和維護人員為了方便維護，通過網絡進行數據庫后端設置或訪問，黑客找到網絡接口操縱數據庫。蠕蟲病毒主要是針對缺少維護和升級、易受攻擊的數據庫，利用數據庫漏洞進行傳播。數據庫備份信息被盜來自兩個方面,一是內部員工無意識或者有意識地泄露給非法盈利個人和團體，一種是外部非法人員通過系統漏洞進行拖庫操作。加密密鑰無人管理很容易遭受黑客攻擊。

4）私有云安全風險。云數據中心匯集了大量數據信息，在傳輸過程中面臨著被破壞和丟失的安全風險，同時隨著云計算的快速發展,針對云數據中心的惡意攻擊也越來越多，云計算和虛擬化給云數據中心的管理帶來便利的同時也帶來新的安全挑戰與風險，絕對安全的云是不存在的。

在云計算模式下,數據在傳輸處理過程中面臨以下幾個問題:一是在網絡傳輸過程中,如何確保敏感數據的保密性；二是如何保證相關數據的安全性；三是如何保證用戶能夠合法正常訪問相關敏感數據；四是能否保證數據的完整性。

另外私有云如何保證云服務器之間的安全性，如何有效防護和隔離各個云服務器也是需要考量的問題，負責一旦發生大規模病毒傳播后果不堪設想。

3 集團性企業數據中心的安全管理

3.1 編制安全管理制度

酒鋼數據中心安全管理制度的制定，首先應遵守信息安全相關法律法規，其次，應遵守行業信息系統定級、備案、測評、整改的要求，另外還需要根據不同信息系統的安全等級的特點和需求，建立適合自身的安全防護標準和等級保護制度。

酒鋼數據中心依據自身特點建立了安全管理制度，主要包括：《數據中心機房出入管理規定》《數據中心工作票管理規定》《私有云平臺資源服務管理辦法》《數據中心端點準入管理辦法》《計算機網絡及網絡安全設備選型管理標準》《無線網絡管理規定》《數據中心VPN 管理規定》《視頻監控設備共享及安全接入管理標準》《計算機終端黑白軟件名單》《SDN+VXLAN 域安全策略管理辦法》《用戶權限分配及控制管理規定》《系統信息保護服務管理規范》《信息系統數據接口管理辦法》等。

3.2 制定安全管理策略

酒鋼數據中心安全管理比較復雜，采用分層管理，從網絡層、基礎設施層、主機層、管理層和應用層等方面分別制定不同的安全管理策略。

1）網絡層：主要采用入侵檢測、DDoS 攻擊防護、防火墻、網閘、防病毒等設備和系統配置策略進行外部攻擊檢測和防御，同時采用微隔離策略防止虛擬機之間的攻擊等。網絡安全策略隨應用系統變更進行相關策略變更,新增業務提前做好安全策略規劃。

2）基礎設施層：主要采用監控系統、門禁系統等，保障基礎設施安全，同時制定點檢制度，做好檢查日志記錄。

4）管理層：主要采用日志審計設備、終端安全管理、桌面防病毒等技術手段。

5）應用層：包括應用安全策略和訪問控制策略。應用安全策略主要針對電子郵件、網站和網頁、軟件交付、開發測試和生產環境、變更管理和運維流程等面臨的安全風險制定相應的安全策略；訪問控制策略主要針對不同應用，依據最小特權原則、最小泄露原則和多極安全策略原則制定不同的訪問控制策略。

4 集團性企業數據中心的安全防護

4.1 供電、消防安全防護

酒鋼數據中心供電系統主要為機房設備、空調、消防設備、監控設備、辦公場所提供電源，服務器機柜、網絡機柜、監控大廳及應急照明等設備為一級負荷，送風機、排煙風機等消防設備為二級負荷，其余均為三級負荷。變電所配電系統采用雙路電源供電，第一路電源為常用電源，第二路為備用電源。

酒鋼數據中心消防系統主要采用七氟丙烷氣體滅火系統實施有管網全淹沒方式滅火，同時配有火災自動報警及聯動控制系統，探測器配置方式為智能感煙探測器、智能感溫探測器搭配，同時還設有遠程手動啟動及機械手動方式。

4.2 物理機房和設備安全防護

酒鋼數據中心物理機房和設備的安全防護，主要通過門禁系統來控制機房出入權限，通過制定機房管理規范、機房出入管理規定、工作票管理規范、設備安全操作規范來控制可以進入機房操作的人的行為，確保信息系統在對信息進行采集、處理、傳輸、存儲的過程中,不至于受到人為或外部因素的危害,使信息丟失、泄露或被破壞,保證信息系統安全可靠地運行。

4.3 網絡安全防護

酒鋼數據中心網絡的安全防護采用三層防護模式，第一層為互聯網防火墻防護，主要對通過互聯網訪問企業資源進行限制和防護，第二層為南北向邊界防火墻防護，主要對企業內部用戶訪問企業資源進行限制和防護，第三層為東西向防護，主要對數據中心服務器之間數據互訪進行限制和防護。在防護過程中除進行設備密碼防護外，針對MAC地址泛洪、VLAN 跨越、DHCP 欺騙、ARP 欺騙等攻擊特點會分別采用地址接入數量限制、關閉未使用端口、開啟DHCP Snooping、開啟ARP 欺騙防護等防護措施，同時使用SSH 協議進行遠程管理。

4.4 系統安全防護

酒鋼系統的安全防護主要包括操作系統、數據庫和應用系統的安全防護三部分內容。

“苦心人，天不負，臥薪嘗膽，三千越甲可吞吳。”越王勾踐的事跡，婦孺皆知。越國兵敗，為了國家和百姓，他淪為階下囚。但他這并不是向命運低頭，而是為了以后的成功積蓄力量。他每天睡薪草，嘗苦膽，告誡自己不能松懈，告誡自己必須努力，于是他日復一日地勞作，虛心納賢，才有了“三千越甲吞吳”的奇跡。

操作系統的安全防護主要是通過訪問控制、安全基線配置兩方面來加強。訪問控制主要是實現基于角色的訪問控制，用戶在訪問系統前經過角色認證而獲得相應的角色，并根據角色的不同而具有不同的訪問權限，如有的用戶只可以訪問操作系統，有的用戶即可訪問操作系統也可訪問數據庫；安全基線配置主要是針對WINDOWS、UNIX 和LINUX系統的安全特點建立不同的安全基線標準并為每個操作系統進行配置。

數據庫安全防護主要是針對關系數據庫系統，其安全性主要包括數據庫完整性、訪問控制、用戶認證幾個方面，保護數據庫的完整性主要是周期性地對數據庫文件進行備份以預防由于災難造成的損失，訪問控制主要是通過用戶授權來限制訪問以保護數據庫的完整性、真實性和一致性，用戶認證主要是進行嚴格用戶身份識別。另外酒鋼還采用控制權限、設置高強度的用戶口令、更改默認端口、補丁安全加固等措施來加強數據庫安全防護。

4.5 私有云安全防護

酒鋼私有云安全防護主要涉及虛擬化安全、身份和訪問管理安全、容災與恢復、安全隔離等方面。

服務器虛擬化、存儲虛擬化和網絡虛擬化的安全問題對私有云系統安全來說至關重要。

實現服務器虛擬化的安全主要通過建立虛擬機微隔離、堡壘機訪問控制和虛擬機資源限制等安全保護體系。保障存儲虛擬化安全，主要是提供存儲設備冗余功能和數據存儲的冗余保護。虛擬化網絡主要采用合理按需劃分虛擬組、控制數據的雙向流量、設置安全訪問控制策略等手段來構建虛擬化網絡安全防護體系。

身份認證和訪問管理主要是通過云門戶和稽核流程來進行，在用戶訪問資源和使用系統服務時,系統確認用戶身份的真實性、合法性和唯一性，遠程訪問云資源時，通過堡壘機安全認證和權限確認后才能合理訪問。

保證酒鋼私有云上系統高可用性的主要技術就是容災備份,通過此技術可以降低存儲系統的單點故障，最大限度減少計劃內和計劃外的停機時間，實現系統連續運轉。另外在異地建立災備系統，維護多份數據副本，利用地理的分散性來抵御數據的抗災能力，以此來提高云存儲服務的可靠性。

酒鋼私有云的安全隔離機制主要采用微隔離方式，建立微隔離安全組，為每臺虛擬機部署虛擬防火墻，配置安全隔離允許和限制策略，有效保證虛擬機和云平臺的安全，防止病毒的大規模爆發。

4.6 郵件安全防護

電子郵件系統是酒鋼實現企業內辦公溝通最有效的方式，其高安全性對于酒鋼的信息安全起到重要的保護作用。酒鋼電子郵件系統安全防護主要從技術安全、管理安全、運行安全三部分進行防護，技術安全防護主要包括對郵件服務器、郵件客戶端、郵件數據的安全防護；管理安全防護主要包括電子郵件系統的用戶管理、密鑰管理、配置管理和數據管理等安全防護；運行安全防護包括電子郵件系統的邊界保護、網絡安全監測、防病毒、反垃圾郵件和安全審計等安全防護。

4.7 運維安全管理

傳統的信息安全建設，往往側重于對外部黑客攻擊的防范，以及網絡邊界的訪問控制，對信息系統安全威脅最大的內部人員行為缺乏有效的管理。酒鋼內部人員，特別是擁有信息系統較高訪問權限的運維人員（如系統管理員、項目實施人員、外部維護人員、廠商工程師等），比外部入侵者更容易接觸到信息系統的核心設備和敏感數據、內部人員惡意或非惡意的破壞行為更容易造成較大的破壞。因此酒鋼采用運維安全管理系統來對企業內部人員的維護行為進行全面的管理、審計，使酒鋼對運維人員的操作過程，能做到事前防范、事中控制和事后審計。

4.8 數據中心災備

酒鋼數據中心主要采用兩層災備模式，一層為內部搭建數據備份平臺，設置數據備份策略，編制和調度定期數據備份作業任務，對各種業務數據進行全備和增量備份，另外一層為建立異地災備中心，實現數據的異地備份和應用的異地容災。

5 結論

數據中心承載著集團性企業核心和重要的信息化設備和系統，其重要性和安全性不言而喻，正因如此，就面臨著基礎環境安全、網絡安全、系統安全、數據安全、Web 應用安全以及私有云等方面的各種風險，企業為了應對這些風險，編制了各種安全管理制度和安全管理策略，從供電消防、物理機房和設備、網絡、系統平臺、私有云平臺、郵件、運維、數據中心災備等安全方面制定了各種措施，建立起了一整套安全管理和防護體系，有效提升了企業數據中心的安全管理和防護水平，保證了企業數據中心安全。

都說安全無小事，安全也無止境，隨著企業三化改造的不斷推進，企業數據中心需不斷完善、擴充和架構調整，安全管理和防護能力也需要不斷加強和提高。