没有合适的资源?快使用搜索试试~ 我知道了~
数据中心安全建设方案 (4).pdf
1.该资源内容由用户上传,如若侵权请联系客服进行举报
2.虚拟产品一经售出概不退款(资源遇到问题,请及时私信上传者)
2.虚拟产品一经售出概不退款(资源遇到问题,请及时私信上传者)
版权申诉
0 下载量 93 浏览量
2022-06-20
03:43:12
上传
评论
收藏 1.52MB PDF 举报
温馨提示
试读
23页
。。。
资源推荐
资源详情
资源评论
数 据 中 心 安 全 建 设 方 案
The document was prepared on January 2, 2021
数据中心安全
解决方案
目录
第一章 解决方案
1.1
建设需求
XXX 用户经过多年的信息化建设,各项业务都顺利的开展起来了,数据中
心已经积累了很多宝贵的数据,这些无形的资产比硬件资产还重要,但它们却
面临着非常大的安全挑战。
在早期的系统建设过程中,大多用户不会考虑数据安全、应用安全层面的
问题,经过多年的发展,数据中心越来越庞大,业务越来越复杂,但信息安全
完全没有配套建设,经常会发生一些安全事件,如:数据库的表被人删除了、
主机密码被人修改了、敏感数据泄露了、特权账号被第三方人员使用等等情
况,而这些安全事件往往都是特权用户从后台直接操作的,非常隐蔽,这时候
往往无从查起。
其实,信息安全建设在系统的设计初期开始,就应该要介入,始终贯穿其
中,这样花费的人力物力才是最小。当一个系统建成后,发现问题了,回头再
来考虑安全建设,这样投入的成本将会变得最大。
1.2
建设思路
数据中心的安全体系建设并非安全产品的堆砌,它是一个根据用户具体业
务环境、使用习惯、安全策略要求等多个方面构建的一套生态体系,涉及众多
的安全技术,实施过程需要涉及大量的调研、咨询等工作,还会涉及到众多的
安全厂家之间的协调、产品的选型,安全系统建成后怎么维持这个生态体系的
平衡,是一个复杂的系统工程,一般建议分期投资建设,从技术到管理,逐步
实现组织的战略目标。
整体设计思路是将需要保护的核心业务主机包及数据库围起来,与其他网
络区域进行逻辑隔离,封闭一切不应该暴漏的端口、IP,在不影响现有业务的
情况下形成数据孤岛,设置固定的数据访问入口,对入口进行严格的访问控制
及审计。由之前的被动安全变为主动防御,控制安全事故的发生,对接入系统
的人员进行有效的认证、授权、审计,让敏感操作变得更加透明,有效防止安
全事件的发生。
在访问入口部署防火墙、账号生命周期管理系统、数据加密系统、令牌认
证系统、审计系统等安全设施,对所有外界向核心区域主机发起的访问进行控
制、授权、审计,对流出核心区域的批量敏感数据进行加密处理,所有加密的
数据将被有效的包围在安全域之内,并跟踪数据产生、扭转、销毁的整个生命
周期,杜绝敏感数据外泄及滥用行为。
为了保证 XXX 用户的业务连续性,各安全子系统都采用旁路的方式部署到
网络当中,其中账号生命周期管理系统、审计系统、数据库都采用双机的模
式,以提供自身的高可靠性;加密系统、特权账号生命周期管理系统、令牌认
证系统都建议部署在 VMware 云计算平台上,利用 VMware 强大的服务器虚拟化
能力为防泄密系统提供良好的可靠性与可扩展性保证。
1.3
总体方案
信息安全系统整体部署架构图
1、在核心交换机上部署防护墙模块或独立防火墙,把重要的主机、数据库
与其他子网进行逻辑隔离,划分安全区域,对不必要的端口进行封闭,隔离终
端 IP 对数据中心可达。
2、在终端汇聚的交换机上旁路部署 IP 准入控制系统,实现非法外联、IP
实名制,对接入内网的终端进行有效的控制。
3、部署主机账号管理系统,限制所有终端对主机的访问只能通过管理系统
发起,并对 Telnet、SSH、RDP 等访问过程进行控制、审计,防止终端将数据从
主机上私自复制到本地硬盘,防止误操作。
4、部署数据账号管理系统,对数据库访问工具(PL-SQL)、FTP 工具等常
用维护工具进行统一的发布,对前台数据库访问操作进行审计记录,把数据包
围在服务器端。对下载数据行为进行严格控制,并对提取的数据进行加密处
理。
5、部署加密系统(DLP),对所有流出数据中心的数据进行自动加密处
理,并对数据的产生、扭转、编辑、销毁进行生命周期管理。
剩余22页未读,继续阅读
资源评论
xxpr_ybgg
- 粉丝: 6558
- 资源: 3万+
上传资源 快速赚钱
- 我的内容管理 展开
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助
安全验证
文档复制为VIP权益,开通VIP直接复制
信息提交成功