金华敏-新计算新数据中心v.ppt

新计算 新数据中心 安全新思路金华敏中国电信股份有限公司广州研究院2010年10月 目录 云计算与数据中心 新一代数据中心安全对策 云计算定义和特征 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 云计算的目标理念 IT设施成为象水 电一样的公共基础设施 转变IT服务的商业模式极大降低用户使用IT服务的门槛 资金 技术 时间 人力等方面 激发出更为广大的市场空间 云计算的定义与特征 以服务为提供方式 有别于传统的一次性买断统一规格的有形产品 云计算以按需服务的方式根据不同用户的个性化需求推出多层次的服务 基于网络构建的云计算可以快速灵活适应用户不断变化的需要 同时通过各种机制实现高扩展高可靠性 高扩展高可靠性 底层资源 计算 存储 网络 逻辑资源等 对用户透明 用户无需了解资源具体实现和地理分布等 对提供者而言则是一个巨大的池化资源 资源池化与透明化 网络是云计算的主要组件之一 网络是云计算的承载体 网络是云计算为用户提供服务的通道 以网络为中心 云计算是一种将池化的集群计算能力通过互联网向内外部用户提供弹性 按需服务的新业务 新技术 云计算既是一种技术 也是一种服务 甚至还是一种商业模式 只有符合某些特征的计算模式才能称之为 云计算 其特征如下 5 提供能力通过IaaS虚拟化技术 将众多服务器和存储资源池化 为用户或业务应用的承载提供所需的计算资源承载方式的转变资源利用率更高以实现节能高效快速提供计算资源以满足用户突发资源需求用户能够自主定制资源为提供弹性资源出租服务提供了基础 IaaS 新的计算承载方式 6 Platform 众多中低端的x86服务器 编程模型如MapReduce 超大型文件系统如HDFS 海量数据库如Hbase 新计算模型 监控与调度管理 API SDK 第三方软件开发者 最终用户 交付形态 软件销售 提供能力通过分布式并行计算算法 充分聚合服务器的计算和存储能力 为特定应用提供海量数据处理能力形成高效的软件应用开发和托管平台 聚合第三方软件开发者和终端用户计算模型的转变通过低成本的PC服务器集群获得高性能计算 并接近线性扩展 PaaS 新的计算模型 能力调用接口 自有应用 如搜索 邮件 视频 7 交互数据 软件运行和计算在数据中心侧完成 终端通过web浏览器使用软件应用 Internet 提供能力用户通过互联网获得所需的软件服务 无需花费大量的精力用于IT设施的建设与维护减轻终端设备的计算压力 拉动移动互联网业务的发展应用模式的转变计算工作从终端侧转移至数据中心侧 降低对终端设备的计算能力要求 SaaS 新的计算应用模式 数据中心 目录 云计算与数据中心 新一代数据中心安全对策 云计算定义和特征 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 云计算对数据中心的影响 9 新的计算承载方式新的计算模型新的计算应用模式 物理资源高效整合 业务快速部署 节能减排增强海量数据处理能力计算运行于数据中心侧 降低终端计算能力要求 能够拉动前端用户发展 建设模式从烟囱式转变为集约式规划和建设视角从以机房为单位转变为全网统一布局 业务模式从提供基础承载环境转变为交付资源和应用降低社会信息化门槛将极大拉动前端终端用户的发展 业务量将规模上升 运营模式由属地化运营转变为统一运营维护模式由简单的设施和设备监测转变为端到端IT应用维护安全与法律风险从用户侧转移至数据中心侧 云计算的引入 对数据中心的技术影响 对数据中心的业务影响 对数据中心的挑战 对数据中心的业务影响 当前的数据中心使用模式 目标业务模式 运营商核心问题 基础业务占近90 价值业务逐步减少 能耗高 运营成本高由于绝大部分的设备产权归属IDC客户 增值服务和应用服务一直开展不起来缺乏整体的管理平台 运维效率低 成本高 数据中心客户 运营商 主机托管 客户自已提供服务器 运营商提供能源 机柜和带宽 VIP机房 客户租用机房 运营商提供空机房及带宽 运营商为客户提供一站式服务最终客户只须租用虚拟机来部署自身应用 IDC客户核心问题 用户需要花费大量精力进行方案设计 设备部署 软件系统安装 业务部署周期长 维护成本高中小企业需要在IT资源和维护上进行较大的投入 增加其风险 自助Portal申请弹性主机 1 2 数据中心 VM VM VM VM VM VM VM VM VM VM 3 数据中心客户 运营商 运营商价值 提供丰富的高价值的多样化服务 利用规模经济获取利润设备产权归属运营商 增强了开展增值服务的基础精细化运营 统一管理平台 IDC客户价值 自助式服务 实现业务快速部署低成本获取IT资源 降低其使用IT资源的门槛 减少其维护成本 大型客户 中小客户 10 从传统的烟囱式的建设模式转变为集约化的建设模式 对数据中心的技术影响 从传统的以机房为单位建设上升为全网统一规划布局 运营模式 对数据中心的挑战 挑战 对策 建设全网的统一运营体系 规范管理组织结构 统一配置资源 整合营销和服务渠道 统一价格体系 维护模式 对策 挑战 维护人员需要更强的IT技能和服务能力维护内容繁杂 维护流程复杂 培养IT专家和IT服务团队建立配套的管理系统来支撑和简化运维管理工作 安全与风险 挑战 对策 建立云计算环境下的安全防御体系遵照国家法律法规 定期进行信息安全监测和检查制定严谨的用户服务使用协议 避免用户不当带来的法律纠纷 目录 云计算与数据中心 新一代数据中心安全对策 对云计算 新计算 的理解 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 基础资源出租业务为主 基础资源出租业务 增值业务 资源按需提供业务 差异化增值业务 内容整合业务 演进路线 历史必然 企业信息化发展 互联网的发展 数据中心 从国内数据中心发展现状来看 目前还基本处于第二代的起步阶段 新一代数据中心 一般是指第三代数据中心 其所谓的 新 是相对第二代而言 数据中心的发展路线 第一代 提供场地 电源 带宽等基础资源出租服务 第二代 在基础资源服务基础上提供各类安全 代维等增值服务 第三代 以业务应用为中心 服务为导向 聚合内容资源的价值链运营 在高性能基础架构上提供各类随需应变的融合服务 15 2005CiscoSystems Inc Allrightsreserved 全程全网的计算服务发展虚拟机器实现网络耦合内嵌数据保护策略制定与转发控制相分立 SessionNumberPresentation ID 扩展能力处理能力设备密度可用性可管理能力投资保护 云计算引发的新一代数据中心变革 Virtualization 节省能耗服务加速运维模式调整资源使用率提高灵活性 聚合Consolidation 传统数据中心 基础承载环境 新一代数据中心 业务聚合平台 技术架构 业务模式 运营管理 新一代数据中心将向业务聚合平台演进 IT资源和软件应用的出租服务占比将增大 各类增值业务业务也将快速发展 机房空间 机架 带宽等基础业务为主 虚拟资源池 聚合平台和应用平台的构建将成为重点 传统的网络和IT设备部署方式 要求在全局上统一运营 打破地域局限性要求高水平的网络和IT维护服务团队运营商可能会面临新的风险 属地化运营要求具备基本的网络和IT维护能力安全风险和法律风险较小 建设模式 集约型建设 通过资源池化 提高资源利用率 烟囱式建设模式 为每个业务应用部署一套硬件资源 16 目录 云计算与数据中心 新一代数据中心安全对策 对云计算 新计算 的理解 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 数据中心的传统安全模型 L5 L7 应用层威胁防御 间谍软件 病毒 攻击等 数据安全 异地容灾 数据备份 安全管理用户管理 新数据中心面临新的安全威胁与挑战 资源聚合技术的应用使得计算 存储 网络资源高度集中 虚拟化等技术的应用使得传统物理安全边界缺失 用户数据存储 处理 网络传输等都与数据中心密切相关 如果发生故障造成的后果较传统数据中心更为严重传统网络安全设施与防御机制在防护能力 响应速度等方面越来越难以满足日益复杂的安全防护要求 传统的基于安全域 安全边界防护机制难以满足虚拟化环境下的多租户应用模式用户信息安全 用户信息隔离问题在共享物理资源环境下的保护更为迫切 分布式计算等技术的应用使得用户数据 计算资源具有全网分布特性 数据 计算资源具有不确定性 动态性和全网分布性 而不是位于某一固定节点基于固定节点的安全设施难以满足数据位置动态变化或全程全网的安全防护需求 虚拟化应用面临新的安全问题 流量监控问题 内部虚拟网络上的虚拟机通信缺乏可见性和控制力 传统的流量监测方法或设备难以实施有效的安全监控 虚拟防火墙等虚拟化安全软件将占用有限的物理机资源 可能对正常的虚拟机用户的正常运行造成影响 虚拟化安全软件 虚拟化软件对主机硬件和系统拥有高级访问权限 可直接访问到硬件抽象层虚拟机管理软件存在的安全漏洞如果被恶意利用 将严重威胁整个虚拟化环境所有虚拟机用户的安全 虚拟化漏洞问题 恶意 虚拟机对物理资源的过度占用 可能会严重影响同一物理机上其他虚拟机的正常运行 资源抢占问题 虚拟化平台管理员拥有的管理权限如果被非法滥用 将对众多虚拟机用户的数据和应用安全造成严重威胁 权限滥用问题 目录 云计算与数据中心 新一代数据中心安全对策 云计算定义和特征 云计算对新一代数据中心的影响 新一代数据中心的演进思路 新一代数据中心安全威胁分析 新一代数据中心安全对策 数据中心安全防护针对新数据中心的安全防护需求 构建纵深的安全防御体系 保护数据中心及用户信息应用安全 安全对策 安全设施能力提升采用基于云计算技术及理念 池化 安全资源 提升安全能力和服务效能 满足全程全网的安全防护需求 结合新一代数据中心业务应用特点 充分利用云计算技术及理念 满足弹性 动态 全程全网的安全防御需求 新数据中心的安全对策 新数据中心的安全防护思路 安全防护思路结合新一代数据中心的业务应用特点及平台架构层的特性 在采取传统安全防护基础上 进一步集成数据加密 VPN 身份认证 安全存储 虚拟化安全 安全防御设施和资源云化等综合安全技术手段 构建面向应用的纵深安全防御体系 基础设施安全 用户数据安全 保障数据中心基础设施的稳定性及服务连续性 保护用户信息的可用性 保密性和完整性 运营管理安全 提高运营管理安全 完善安全审计及溯源机制 底层架构安全 保障虚拟化 分布式计算等平台架构层系统架构安全 数据中心安全 新数据中心安全对策 虚拟化安全 服务器虚拟化安全虚拟机管理器安全 服务最小化原则 内核模块完整性 补丁管理机制等虚拟机安全 虚拟机安全隔离 访问控制 恶意虚拟机防护 防地址欺骗 VM端口扫描等 虚拟机资源限制等网络虚拟化安全虚拟交换机 采用VLAN划分虚拟机组 对端口限速 禁止混杂模式进行网络嗅探等虚拟防火墙 设置安全访问控制策略 建立逻辑安全边界存储安全 支持存储空间的负载均衡 冗余保护等高可用性要求 支持虚拟机的HA 冷备 FT 热备 备份恢复等 实现故障虚拟机的重新启用或快速切换 保障高可用性容灾备份 提供虚拟机层级的异地容灾服务虚拟化安全管理 支持宿主机资源监控 虚拟机资源监控 安全迁移及回退机制 负载均衡 资源预留等 虚拟化安全 通过完善 规范服务器虚拟化安全 网络虚拟化安全 存储安全 高可用性要求以及虚拟化安全管理相关配置要求 提高虚拟化应用安全性 新数据中心安全对策 基础设施安全 基础网络安全安全域划分 部署防火墙 划分安全域 实施安全边界防护异常流量监测与攻击防范 进行流量实施监控 部署DDoS攻击防御系统或使用相关攻击防护服务承载网络应支持设备级 链路级的冗余备份主机及管理终端安全主机 终端系统安全加固 补丁管理 安全配置安全防护 控制蠕虫 病毒 木马在云计算平台内传播 非法入侵监测安全基础设施资源池化采用安全云技术提升安全基础设施服务效能 构建安全服务资源池应急响应建立完善的应急响应机制 提高对异常情况和突发事件的应急响应能力 基础设施安全 建立数据中心基础网络 主机等基础设施的纵深安全防御机制 提高数据中心基础设施的安全性 健壮性 保障服务提供连续性和稳定性 新数据中心安全对策 数据安全 数据隔离 通过虚拟化层安全机制实现虚拟机间存储访问隔离数据访问控制 设置虚拟环境下的逻辑边界安全访问控制策略 实现虚拟机 虚拟机组间的数据访问控制数据存储安全 为用户可选提供加密存储服务 虚拟机服务则建议用户对重要的数据信息在上传 存储前进行加密处理数据传输安全应采用SSH SSL等方式保障维护管理信息的安全应支持采用数据加密 VPN等技术保障用户数据信息的网络传输安全剩余信息保护 存储资源重分配之前进行完整的数据擦除 数据删除后 对应的存储区进行完整的数据擦除或标识为只写数据备份与恢复 支持文件级完整和增量备份 映像级恢复和单个文件的恢复 数据安全 通过采用数据隔离 访问控制 加密传输 安全存储 剩余信息保护等技术手段 保护数据中心用户信息的可用性 私隐性和完整性 新数据中心安全对策 运营管理安全 4A安全 帐号 认证 授权 审计 用户管理 对用户帐号进行集中维护管理 为集中访问控制 集中授权 集中审计提供可靠的原始数据访问认证 应建立统一 集中的认证和授权系统 以提高访问认证的安全性安全审计 建立安全审计系统 进行统一 完整的审计分析 通过对操作 维护等各类日志的安全审计 提高对违规溯源的事后审查能力运营安全制定安全运营策略及安全维护规章要求制定数据中心运营维护SLA指标要求制定数据中心安全事件应急响应机制及流程 包括安全事件的等级划分 处理流程 事件上报等规范要求 运营管理安全 制定安全运营策略及安全维护规章制度 并从用户管理 认证 授权 安全审计等多个层面规范服务安全运营要求 安全云技术应用 提升数据中心安全设施服务效能 利用 云端 的海量计算能力依托庞大服务器 设备集群组成的 中心架构 云计算系统 实现超大规模的计算和存储能力 全面提升安全系统的服务效能 中心云 利用海量终端的分布式处理能力由分布在互联网各处的海量终端采集安全事件 进行本地处理后 并上传到云安全云中心系统进行协同分析 分布式终端 云化 技术路线 实现全网安全服务能力资源的 池化 通过云计算应用理念 资源同步调度等技术应用 实现全网安全资源的池化 形成统一的安全服务资源池通过开放接口等方式 实现与外部安全资源池的共享和复用 形成更大规模的资源池化效应 异常流量监测系统 蜜罐系统 攻击溯源系统 DDoS攻击防护系统 内容安全监控系统 终端管理系统 垃圾邮件处理系统 安全基础设施资源 池化 第三方安全资源池 安全服务资源池 能力租用 防病毒引擎平台 SensorBase 数据中心1 数据中心N 数据中心2 安全资源池化可全面满足新一代数据中心安全需求 安全服务资源池在理论上可提供任意规模的安全服务性能实现安全系统的能力和效能提升 满足高性能 大容量 集约化新一代数据中心的安全防护需求实现全网安全服务资源的统计复用和动态共享可同时为多个数据中心提供安全服务 提高全网安全资源的利用效率为分布在多个数据中心的同一客户 提供全程全网的按需安全服务 31 谢谢