电信运营商IDC安全建设方案

电信运营商IDC安全建设方案电信运营商IDC安全建设方案电信运营商 IDC 安全建设方案一、概述IDC 即是 Internet Data Center ，是基于INTERNET网络，为集中式收集、存储、处理和 发送数据的设备提供运行维护的设施以及相关 的服务体系。 IDC 提供的主要业务包括主机托管 （ 机位、机架、 VIP 机房出租 ） 、资源出租 （ 如虚 拟主机业务、 数据存储服务 ） 、系统维护 （ 系统配 置、数据备份、故障排除服务 ） 、管理服务 （ 如带 宽管理、流量分析、负载均衡、入侵检测、系统 漏洞诊断 ） ，以及其他支撑、运行服务等。随着中国互联网以超常的速度向前发展， 企 业用户对 Dc 的需求也日益增长，而随着电信 运营商业务转型 , 各种数据业务也层出不穷 , 比 如中国电信开展的互联星空计划的实施、 中国移 动的ADC业务系统等也受到越来越多的用户认 可，作为其主要业务平台 IDC 也受到越来越多的 关注，而安全性则是焦点之一。本文主要是通过对 IDC 网络系统和业务系 统现状的介绍，分析其安全状况，然后对当前IDc 存在的安全风险讲行整理和分析，再提出针 对 IDC 的网络安全解决方案。二、IDC安全现状2.1 网络和业务现状典型的 IDC 通常由网络骨干层、 汇聚层和接 入层 3 个层面构成，骨干层通过高性能路由器连 接两个或者以上的运营商互联网骨干网，提供 INTERNE接入，并实现链路备份，核心路由器 以下则为两台核心交换机作为网络的汇聚层， 在 汇聚层以下由 L2 L3 交换机构成接入层，接入 各种托管服务。IDC 中主要的业务是主机托管业务， 现阶段， IDC中托管的主机系统主要分为两类：自有数据增值业务，如互联星空、 ADC等运 营商自己运营的增值业务， 这一类业务服务器是 属于运营商有的业务系统， 由运营商自行进行日 常维护。托管服务器， 如网游的服务器系统、 网站系 统等，这个部分是 IDC 机房收入的主要来源。 在 这类托管服务器中， 一般有中小型客户和大客户 之分，中小客户主要是一般的企业单位租用共享 带宽资源， 其维护力量较弱， 大客户主要是大型 的门户网站、 专业的网游服务器等， 这类用户往 往是租用多个机柜部署自己的一整套系统， 通常 情况下都有自己的一组维护人员进行系统的日 常管理和运维。2.2 IDC 面临的主要安全风险分布式拒绝服务攻击（DDOS、蠕虫病毒等大 规模的流量型攻击， 不仅对 IDC 中直接受攻击的 客户服务器带来影响， 同时占用大量 IDC 的带宽 资源，另外突发大数据流会造成路由交换等网络 设备负荷过载 , 从而导致网络服务质量下降，甚 至会出现路由器板卡转发异常以及网络中继拥 塞等现象。针对 IDC 的攻击可以导致企业客户网络的瘫痪， 业务中断，这些攻击通常利用设备系统本身的安 全漏洞，而且托管设备安全配置的不完善也可以 给攻击者可乘之机。 针对这些问题的攻击一旦成 功，后果不堪设想 将会直接导致客户满意度降 低，甚至客户流失。lDc 机房中托管了很多客户的业务主机，当 部分业务主机成为被攻击目标时， 往往会影响其 他主机的正常业务提供， 这主要是由于缺乏有效 的安全隔离、安全控制的技术和策略。托管主机的安全代维服务需求， 电子商务网 站、政府、企业等大量的中小客户经常遭受网络 攻击，服务质量下降 而由于其自身缺乏安全运 维人员， 迫切需要运营商提供安全服务， 为客户 的业务系统提供安全保障。三、IDC安全解决方案3.1 方案总体思路IDC 同行业之间的竞争越来越激烈 IDC 通 常采用扩充出口带宽、 提升网络核心设备处理能 力等来开拓新的客户和留住已有客户，而建设、 完善有效的安全管控体系 , 为 IDC 客户提供一个 安全稳定的运行环境也成为 IDC 客户，特别是大 客户在选择 IDC 时非常看重的一个硬性指标； 同 时，通过安全体系的建立能有效的降低由安全引 起的运维成本建立一个有效的信息安全体系最有效的方 式是采用系统化的方法， 首先确定信息安全管理 策略和范围，然后在风险评估的基础上选择适宜 的控制目标和控制方式对风险进行处理， 最后制 定业务持续性计划，建立并实施信息安全体系。根据上述章节对IDC安全风险的分析，现阶 段 IDC 的安全体系中需要解决的是构建一套有 效的安全防护体系 . 因此，本方案主要是基于技 术措施来构建 IDc 的技术体系， 而对于组织管理 体系和运维体系的建设不在本文中展开描述。3.2 基于安全域的防护策略安全域是由一组具有相同安全保护需求、 并 相互信任的系统组成的逻辑区域 , 在同一安全域 中的系统共享相同的安全策略， 通过安全域的划 分把一个大规模复杂系统的安全问题， 化解为更 小区域的安全保护问题， 是实现大规模复杂信息 系统安全保护的有效方法。IDC 安全域划分通过前面章节对 IDC 业务的分析， 首先可以 根据业务系统的不同来进行安全域的划分， 主要分为自有业务域，中小客户域和大客户域，然后 再根据托管厂商的不同在上述几个安全域中进 行细分。WAtt 心 K肋兗由$RtSA心交dllc安全域的划分是为了更好的对不同重要等级的 安全域进行适当防护，而防护策略主要分为安全 域边界和安全域内部的防护。安全域划分将网络 系统划分为不同安全区域，分别进行安全保护的 过程，通过安全域的划分和保护，将实现如下意 义:1. 基于网络和系统进行安全检查和评估的 基础；2. 有效建立安全管理控制点，指导系统安 全规划、设计、入网等工作；3. 实现对系统进行重点保护，统一管理的4.安全域的分割能有效的防护攻击渗透；5.据；基于网络和系统进行安全建设的部署依统一信息安全技术支撑;6. 安全域边界是灾难发生时的抑制点，防 止影响的扩散；7. 有效的避免安全方面的重复投资。3. 2.2 IDC安全域防护安全域防护的根本目的是为了保证业务信 息系统的稳定、安全运行，使其能够稳健、持续 的提供业务服务，保障电信运营商IDC各种业务 的正常经营和战略目标的达成。安全保护的对象是业务信息系统内的所有信息资产，包括硬件、 软件、服务、信息等，其中重点是服务和信息。基于IDC的业务需求，以及IDc面临的安全 问题，单一设备或单一系统无法解决IDC的安全 问题，需要采用多层面全方位的解决方案来应对 IDC的安全问题，解决思路如下：1 .流量分析系统实时监控分析1Dc的数据 流，获取抗拒绝服务攻击（DDOs）等非法数据流信 息。2. 流量净化系统过滤非法数据流信息，保 障网络基础架构健康平稳运行， 为大客户业务保 驾护航。3. 网络入侵检测系统深度检测蠕虫、病毒 等应用层攻击。4. 漏洞扫描系统及时发现系统漏洞和风险， 为 IDc 安全未雨绸缪。5. 3.3 专业安全服务引入安全问题目前正以每周新增几十甚至 几百例的速度在全世界得到反馈， 同时涉及信息 技术的众多领域， IDC 维护人员在安全知识的更 新速度方面面临更大的压力。安全预警以安全通告的形式为 lDc 提供最 新的安全动态、 技术和定制的安全信息， 包括实 时安全漏洞通知、 定期安全通告汇总、 临时安全 解决方案和安全知识库更新等。 同时，这些通告 信息可以定制化发送给不同的 IDC 托管客户，通 过提供安全信息增值服务的方式来增加 IDC 客 户的粘度。紧急事件响应目前许多IDC或者IDC的客户自身尚没有足 够的资源和能力对安全事故作出反应。 网络安全 的发展日新月异， 无法实现一劳永逸的安全， 所 以当紧急安全问题发生， 一般技术人员又无法迅 速解决的时候， 及时发现问题、 解决问题就必须 依靠紧急响应来实现。紧急响应服务提供高效的信息安全事故反应体 系，可以帮助 lDc 尽快对信息安全破坏事故作出 反应，包括事故处理及恢复、 事后的事故描述报 告以及后续的安全状况跟踪。 同时，当 IDc 中托 管的用户主机或 lDc 的网络系统正遭到攻击或 发现入侵的痕迹， 而又无法当时解决和追查来源 时。紧急事件响应将以最快的速度赶到现场， 协 助 lDc 运维人员解决问题， 查找受攻击系统， 保 存证据和追查来源。高级维护服务1安全设备维护随着网络安全的不断发展， IDC 在信息安全 方面的投资也越来越多， 各种安全产品在的各个 层面部署。而 IDC 中的安全设备往往买回来 后由于维护力量的不足，往往也搁置不用，在 各 IDC 都多或多或少的存在这样的问题。 因此可 以通过引入专业的安全服务对各种安全设备进 行专业的维护和照料， 使之发挥相应的作用， 从 而有效保护已有安全投资， 实现已有安全投资效 益最大化的目标。2系统安全加固网络安全是动态发展变化的， 需要时刻关注 最新漏洞和安全动态， 制定更新的安全策略以应 付外来入侵和蠕虫病毒等威胁。 通过引入安全服 务针对网络节点的漏洞和脆弱性， 定期的进行安 全加固，可以使系统有效的抵御外来的入侵和蠕 虫病毒的袭击， 使系统可以长期保持在高度可信 的状态。四、结束语IDC的网络建设和发展是一个长期的任务， 随着技术的发展和业务的更新， 需要及时的调整 已有的安全策略， 设计新的网络安全方案。 同时， 计算机技术和网络技术具有的复杂性和多样性， 使得网络安全越来越成为一种专门的技术和服 务，需要与专业的安全服务组织合作来进行更全 面和完善的网络安全规划和建设。绿盟科技一直以“巨人背后的专家”为己 任，致力于网络安全事业，经过几年的快速发 展已成长为面向国际市场的网络安全解决方案 供应商。在本方案设计中， 针对现有 IDC 的主要 安全风险考虑了 IDC 迫切需要的安全措施， 能比 较好的解决 IDC 中的网络安全瓶颈。 为了针对不 同的 IDC 进行个性化安全方案的设计， 我们建议 根据 IDC 的现状进行全面的安全评估， 导出需求 再进行全面的安全体系设计和规划。 同时，在整IDC的安全建设生命周期中绿盟科技将始终坚持作为 IDC 最值得 信赖的安全顾问，在双方深入合作中共同分享、 共同创造 , 共同为 IDC 的网络安全建设贡献力