2023新型數(shù)據(jù)中心高安全技術(shù)

新型數(shù)據(jù)中心高安全技術(shù)體系II目錄前言 III一、新型數(shù)據(jù)中心安全發(fā)展的必要性及目標(biāo) 1背景 1新型數(shù)據(jù)中心面臨的安全威脅和挑戰(zhàn) 1新型數(shù)據(jù)中心高安全總體目標(biāo) 2二、新型數(shù)據(jù)中心高安全技術(shù)體系 3基礎(chǔ)設(shè)施安全層 4物理環(huán)境安全 5設(shè)備自身安全 5算網(wǎng)一體安全層 5網(wǎng)絡(luò)安全 5算力安全 7應(yīng)用安全層 9WEB應(yīng)用安全 9API應(yīng)用安全 10數(shù)據(jù)安全層 10數(shù)據(jù)采集安全 11數(shù)據(jù)處理安全 12數(shù)據(jù)存儲(chǔ)安全 12數(shù)據(jù)服務(wù)安全 13系統(tǒng)建設(shè)管理平面 14核心業(yè)務(wù)管理平面 15安全運(yùn)營(yíng)管理平面 16三、新型數(shù)據(jù)中心安全等級(jí)評(píng)估 18安全等級(jí)評(píng)估的必要性和意義 18安全等級(jí)評(píng)估思路 19四、展望 21PAGEPAGE10一、新型數(shù)據(jù)中心安全發(fā)展的必要性及目標(biāo)背景作為信息社會(huì)的數(shù)字底座,數(shù)據(jù)中心已經(jīng)成為推動(dòng)社會(huì)發(fā)展的戰(zhàn)略性基礎(chǔ)設(shè)2017據(jù)為關(guān)鍵要素的數(shù)字經(jīng)濟(jì)，要切實(shí)保障國(guó)家數(shù)據(jù)安全，要加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)，強(qiáng)化國(guó)家關(guān)鍵數(shù)據(jù)資源保護(hù)能力，增強(qiáng)數(shù)據(jù)安全預(yù)警和溯源能力?！睌?shù)據(jù)中心作為數(shù)字經(jīng)濟(jì)及其數(shù)據(jù)安全的主戰(zhàn)場(chǎng)，其安全問(wèn)題近年來(lái)愈發(fā)得到相關(guān)政府部門(mén)、運(yùn)營(yíng)商和企業(yè)的高度重視。20217型數(shù)據(jù)中心發(fā)展三年行動(dòng)計(jì)劃（2021-2023年）》，指出新型數(shù)據(jù)中心具有高技術(shù)、高算力、高能效、高安全的特征。新型數(shù)據(jù)中心在構(gòu)建高效算力服務(wù)的同時(shí)，“高安全”作為其建設(shè)和發(fā)展的基本特征和要求也被正式提出。2021年12月，國(guó)務(wù)院印發(fā)“十四五”數(shù)字經(jīng)濟(jì)發(fā)展規(guī)劃通知，其中明確強(qiáng)調(diào)要著力強(qiáng)化數(shù)字經(jīng)濟(jì)安全體系，要求增強(qiáng)網(wǎng)絡(luò)安全防護(hù)能力，提升數(shù)據(jù)安全保障水平，切實(shí)有效防范各類(lèi)風(fēng)險(xiǎn)。新型數(shù)據(jù)中心面臨的安全威脅和挑戰(zhàn)相比于傳統(tǒng)數(shù)據(jù)中心，新型數(shù)據(jù)中心在業(yè)務(wù)云化與數(shù)字化轉(zhuǎn)型的浪潮中，主要面臨三大安全威脅和挑戰(zhàn)：安全威脅面在不斷增加和擴(kuò)大。隨著數(shù)據(jù)中心IT混合云部署成為常態(tài)，算力設(shè)施資源從傳統(tǒng)物理設(shè)備向虛擬化、容器化演進(jìn)，各類(lèi)網(wǎng)絡(luò)及業(yè)務(wù)訪(fǎng)問(wèn)更加多元化；數(shù)網(wǎng)協(xié)同、數(shù)云協(xié)同、云邊協(xié)同帶來(lái)更多開(kāi)放性，傳統(tǒng)安全邊界在逐步消失。網(wǎng)絡(luò)攻擊手段和技術(shù)不斷升級(jí)激烈的市場(chǎng)環(huán)境，攻擊手段和技術(shù)越來(lái)專(zhuān)業(yè)化和“國(guó)家化”，迫切需要數(shù)據(jù)中心建設(shè)發(fā)展成為可信、安全、合規(guī)的運(yùn)營(yíng)基石，以應(yīng)對(duì)當(dāng)下如供應(yīng)鏈攻擊、勒索病毒等日益增多的新威脅事件以及未來(lái)的不確定性挑戰(zhàn)。安全防護(hù)產(chǎn)品和技術(shù)能力參差不齊市場(chǎng)上各類(lèi)安全產(chǎn)品日益增多，但這些產(chǎn)品彼此孤立、松散組合，使得新型數(shù)據(jù)中心的安全建設(shè)愈加復(fù)雜，并帶來(lái)了諸多安全隱患，比如操作復(fù)雜性、可視化孤島、安全響應(yīng)復(fù)雜性、防御盲點(diǎn)等。面對(duì)當(dāng)下日益嚴(yán)峻的網(wǎng)絡(luò)安全形勢(shì)，缺乏頂層設(shè)計(jì)、查缺補(bǔ)漏的安全架構(gòu)已經(jīng)不能滿(mǎn)足新型數(shù)據(jù)中心的安全建設(shè)需求，亟需建立一體化數(shù)據(jù)中心安全技術(shù)體系，全方位賦能新型數(shù)據(jù)中心建設(shè)發(fā)展，實(shí)現(xiàn)新型數(shù)據(jù)中心可視可防可控的立體化安全。新型數(shù)據(jù)中心高安全總體目標(biāo)隨著新的安全形勢(shì)發(fā)展和網(wǎng)絡(luò)安全相關(guān)法規(guī)條例的實(shí)施，新型數(shù)據(jù)中心迎來(lái)新的安全理念和技術(shù)要求。為了實(shí)現(xiàn)快速及時(shí)的算力安全服務(wù)、網(wǎng)絡(luò)安全防御、數(shù)據(jù)安全存儲(chǔ)和運(yùn)營(yíng)安全處置，新型數(shù)據(jù)中心高安全技術(shù)體系必須落實(shí)不同維度、不同側(cè)重的各類(lèi)監(jiān)管合規(guī)要求，覆蓋日常運(yùn)營(yíng)、安全評(píng)估、應(yīng)急和重保等各類(lèi)運(yùn)營(yíng)場(chǎng)景，有效識(shí)別和抵御業(yè)務(wù)訪(fǎng)問(wèn)、運(yùn)維管理、開(kāi)發(fā)測(cè)試、數(shù)據(jù)服務(wù)等數(shù)據(jù)中心各環(huán)節(jié)面臨的外部威脅和內(nèi)部風(fēng)險(xiǎn)。為此，新型數(shù)據(jù)中心的安全技術(shù)體系應(yīng)達(dá)到以下四個(gè)目標(biāo)：安全內(nèi)生隨著開(kāi)源代碼等的廣泛應(yīng)用和數(shù)據(jù)中心內(nèi)各類(lèi)系統(tǒng)的日益復(fù)雜，數(shù)據(jù)中心IT和軟件系統(tǒng)，自身的安全問(wèn)題層出不窮，提升數(shù)據(jù)中心各類(lèi)基礎(chǔ)設(shè)施自身的安全性不可或缺且迫在眉睫。通過(guò)不斷加強(qiáng)設(shè)備自身健壯性和“內(nèi)置式”主動(dòng)防御能力，構(gòu)建主動(dòng)免疫的安全體系新防線(xiàn)。安全可視有力的安全防御手段依賴(lài)于對(duì)業(yè)務(wù)正常行為和異常事件的準(zhǔn)確識(shí)別和展示，及時(shí)發(fā)現(xiàn)調(diào)查取證并最終確認(rèn)安全威脅，才能在確保數(shù)據(jù)中心業(yè)務(wù)不受影響的情況下做到“不漏檢、不誤殺”。業(yè)務(wù)正常行為的準(zhǔn)確識(shí)別，前提是必須要對(duì)數(shù)據(jù)中心資產(chǎn)、網(wǎng)絡(luò)拓?fù)浼案黝?lèi)生產(chǎn)數(shù)據(jù)實(shí)現(xiàn)識(shí)別認(rèn)知能力，做到資產(chǎn)、網(wǎng)絡(luò)、數(shù)據(jù)的可視；而只有具有對(duì)數(shù)據(jù)中心安全信息統(tǒng)一全局的監(jiān)測(cè)視野，才能做到“一點(diǎn)及時(shí)發(fā)現(xiàn)，全網(wǎng)協(xié)同防御”的可視化目標(biāo)。融合聯(lián)動(dòng)當(dāng)下新型網(wǎng)絡(luò)攻擊經(jīng)?；旌鲜褂枚喾N手段和戰(zhàn)術(shù)，逐步滲透并侵入數(shù)據(jù)中心核心資產(chǎn)，這使得傳統(tǒng)的靜態(tài)的攻擊威脅識(shí)別難以形成有效的防御。因此需要基于人工智能等新技術(shù)，站在數(shù)據(jù)中心全局安全的角度對(duì)主機(jī)端點(diǎn)事件、網(wǎng)絡(luò)威脅事件、歷史日志信息等多點(diǎn)異常融合分析，并實(shí)現(xiàn)針對(duì)安全事件的邊界節(jié)點(diǎn)就近實(shí)時(shí)聯(lián)動(dòng)處置，把安全威脅扼殺在最小影響范圍內(nèi)。綠色高效綠色低碳是新型數(shù)據(jù)中心的顯著特征。近年來(lái)隨著數(shù)據(jù)中心安全新技術(shù)的涌現(xiàn)，數(shù)據(jù)中心內(nèi)部各類(lèi)安全產(chǎn)品逐年增多，重復(fù)臃腫的安全產(chǎn)品引入和建設(shè)不僅違背了新型數(shù)據(jù)中心綠色發(fā)展理念，而且加大了數(shù)據(jù)中心運(yùn)維管理復(fù)雜度，同時(shí)也顯著增加了內(nèi)外部業(yè)務(wù)時(shí)延。在算力時(shí)代全國(guó)數(shù)據(jù)中心集群統(tǒng)一高效調(diào)度的大背景下，新型數(shù)據(jù)中心的安全建設(shè)必將向著去冗余、重編配的綠色高效方向發(fā)展。二、新型數(shù)據(jù)中心高安全技術(shù)體系為應(yīng)對(duì)內(nèi)外部日益加劇的安全風(fēng)險(xiǎn)和挑戰(zhàn)，強(qiáng)化以數(shù)據(jù)為核心要素的數(shù)據(jù)中心安全建設(shè)，實(shí)現(xiàn)安全內(nèi)生、安全可視、融合聯(lián)動(dòng)、綠色高效的總體目標(biāo)，新型數(shù)據(jù)中心需要形成“四層三面”的高安全技術(shù)體系架構(gòu)。圖1新型數(shù)據(jù)中心“四層三面”安全技術(shù)體系架構(gòu)“四層”主建，從安全能力建設(shè)的視角，自下而上覆蓋數(shù)據(jù)中心內(nèi)安全防御的主要對(duì)象，分為基礎(chǔ)設(shè)施安全層、算網(wǎng)一體安全層、應(yīng)用安全層和數(shù)據(jù)安全層?！叭妗敝鞴?，從安全防范管理的視角，把四層安全能力協(xié)同貫穿起來(lái)，形成系統(tǒng)化的風(fēng)險(xiǎn)抵御和運(yùn)營(yíng)管理能力，主要分為系統(tǒng)建設(shè)管理平面、核心業(yè)務(wù)管理平面和安全運(yùn)營(yíng)管理平面。數(shù)據(jù)中心各類(lèi)基礎(chǔ)設(shè)施是系統(tǒng)管理員的領(lǐng)地，其安全是數(shù)據(jù)中心安全的根基；開(kāi)展數(shù)據(jù)處理、存儲(chǔ)及服務(wù)的各類(lèi)核心業(yè)務(wù)是業(yè)務(wù)管理員的領(lǐng)地，其安全是數(shù)據(jù)中心安全的核心；而數(shù)據(jù)中心安全監(jiān)測(cè)、告警和態(tài)勢(shì)感知等安全運(yùn)營(yíng)管理是安全團(tuán)隊(duì)的主戰(zhàn)場(chǎng)，其安全是數(shù)據(jù)中心安全的大腦?；A(chǔ)設(shè)施安全層基礎(chǔ)設(shè)施安全是數(shù)據(jù)中心安全可靠的基礎(chǔ)，從設(shè)計(jì)建設(shè)角度來(lái)說(shuō)主要包括兩方面，一方面是數(shù)據(jù)中心的物理環(huán)境安全，包括風(fēng)火水電等基礎(chǔ)資源；另一方面是數(shù)據(jù)中心內(nèi)各類(lèi)設(shè)備的自身安全，通過(guò)強(qiáng)化自身安全健壯性，最大程度避免被攻擊利用。物理環(huán)境安全物理環(huán)境安全是指確保數(shù)據(jù)中心內(nèi)一切設(shè)施有一個(gè)良好的電磁兼容工作環(huán)境，并防止非法用戶(hù)進(jìn)入和各種偷竊、破壞活動(dòng)的發(fā)生。這涉及機(jī)房選址、規(guī)劃設(shè)計(jì)、機(jī)房環(huán)境、機(jī)房管理、設(shè)備與介質(zhì)管理等。如：選址避開(kāi)自然災(zāi)害不利或危險(xiǎn)的地區(qū)，滿(mǎn)足國(guó)家防災(zāi)要求。7*24標(biāo)準(zhǔn)。有效的區(qū)域監(jiān)控、防盜報(bào)警系統(tǒng)，阻止非法用戶(hù)的各種臨近攻擊。設(shè)備自身安全設(shè)備自身安全是指設(shè)備在開(kāi)發(fā)及應(yīng)用過(guò)程中，自身防仿冒防篡改、抗攻擊的韌性能力，主要包括硬件可信、軟件可信及供應(yīng)鏈可信等。硬件可信：者軟件被篡改植入惡意代碼。軟件可信：軟件防篡改抗攻擊，軟件安全啟動(dòng)、安全運(yùn)行、安全審計(jì)等防篡改能力，并能做到進(jìn)程隔離、進(jìn)程級(jí)異常檢測(cè)和重啟、邏輯/芯片級(jí)異常檢測(cè)和自動(dòng)復(fù)位能力等，提升系統(tǒng)韌性。供應(yīng)鏈可信：可信，避免系統(tǒng)被劫持利用。算網(wǎng)一體安全層網(wǎng)絡(luò)安全新型數(shù)據(jù)中心安全從技術(shù)上離不開(kāi)網(wǎng)絡(luò)安全的保障。隨著云化、虛擬化演進(jìn)，網(wǎng)絡(luò)安全從傳統(tǒng)網(wǎng)絡(luò)邊界安全向內(nèi)移到零信任、微隔離等技術(shù)代表的新的邊界安全，一層層網(wǎng)絡(luò)安全能力疊加形成防御縱深。網(wǎng)絡(luò)邊界安全傳統(tǒng)網(wǎng)絡(luò)安全措施，以數(shù)據(jù)中心為防護(hù)對(duì)象，在邊界上部署如防火墻、IPSDDoSSDN編排、低時(shí)延等技術(shù)能力演進(jìn)，實(shí)現(xiàn)資源編排（突破單設(shè)備性能瓶頸）、流量編排（突破設(shè)備協(xié)同瓶頸）和策略編排（突破部署效率瓶頸）。內(nèi)移邊界安全I(xiàn)T連接增多使得數(shù)據(jù)中心網(wǎng)絡(luò)邊界內(nèi)移到區(qū)域邊界、微服務(wù)邊界。當(dāng)前微服務(wù)間存在合理的流量訪(fǎng)問(wèn)關(guān)系，同時(shí)也存在惡意的探測(cè)、攻擊等。這使得傳統(tǒng)網(wǎng)絡(luò)IT安全發(fā)展需要。對(duì)于新型數(shù)據(jù)中心，在原有網(wǎng)絡(luò)邊界安全的基礎(chǔ)上，基于零信任技術(shù)實(shí)現(xiàn)基于數(shù)據(jù)模型訪(fǎng)問(wèn)關(guān)系的實(shí)時(shí)應(yīng)用訪(fǎng)問(wèn)行為監(jiān)控成為新的要求。橫向流量安全橫向移動(dòng)是現(xiàn)代網(wǎng)絡(luò)攻擊的重要部分，它充分利用了不安全的低級(jí)網(wǎng)絡(luò)資產(chǎn)及內(nèi)網(wǎng)賬戶(hù)保護(hù)不力的漏洞，給新型數(shù)據(jù)中心安全帶來(lái)了嚴(yán)重威脅，故橫向流量安全能力是新型數(shù)據(jù)中心網(wǎng)絡(luò)安全的重要補(bǔ)充。數(shù)據(jù)中心的業(yè)務(wù)主體是應(yīng)用和數(shù)據(jù)，基于業(yè)務(wù)邏輯清晰劃分防御對(duì)象，建立基于微分段的安全策略保護(hù)，避免非信任流量擴(kuò)散。同時(shí)，基于業(yè)務(wù)鏈技術(shù)把風(fēng)險(xiǎn)流量引流到“監(jiān)控/授權(quán)”模塊聯(lián)動(dòng)安全分析處置，實(shí)現(xiàn)微隔離。通過(guò)微隔離技術(shù)與零信任能力的疊加，可以把新型數(shù)據(jù)中心面臨的新安全威脅風(fēng)險(xiǎn)控制在最小影響范圍?？偟膩?lái)說(shuō)，新型數(shù)據(jù)中心網(wǎng)絡(luò)安全需具有南北向和東西向邊界防護(hù)能力、基于控制器的資源池化編排能力、基于虛機(jī)/微服務(wù)的微隔離能力及基于零信任技術(shù)的網(wǎng)絡(luò)訪(fǎng)問(wèn)保護(hù)等特征,其安全基本結(jié)構(gòu)如下：圖2新型數(shù)據(jù)中心網(wǎng)絡(luò)安全基本結(jié)構(gòu)算力安全算力平臺(tái)安全當(dāng)前虛擬化和容器化技術(shù)作為提供新型數(shù)據(jù)中心算力的基礎(chǔ)平臺(tái)，突破了傳統(tǒng)操作系統(tǒng)與物理硬件之間的界限，在算力資源集中化管理、提高硬件利用率、異構(gòu)算力資源整合等方面發(fā)揮了關(guān)鍵作用。但底層硬件資源的共享也帶來(lái)了一定的安全風(fēng)險(xiǎn)。為此，需要進(jìn)一步做到虛擬層隔離安全和虛擬交換安全。虛擬層隔離安全：同一物理機(jī)上不同虛擬機(jī)之間應(yīng)做到資源安全隔離，避免虛擬機(jī)之間的數(shù)據(jù)竊取或惡意攻擊。但當(dāng)前數(shù)據(jù)中心內(nèi)仍存在虛擬機(jī)跳躍、虛擬機(jī)逃逸、拒絕服務(wù)攻擊和VMBR（VirtualMachineBasedRootkit）攻擊等安全隱患，故針對(duì)虛擬層開(kāi)展定期配置檢查和及時(shí)漏洞補(bǔ)丁更新，確保vCPU調(diào)度隔離、內(nèi)存隔離、磁盤(pán)I/O虛擬交換安全：OVS等虛擬交換機(jī)為數(shù)據(jù)中心內(nèi)東西向，尤其是同宿主機(jī)算力單元之間的流量交換提供了極大便利。但其作為部署在硬件服務(wù)器內(nèi)的新型軟件交換設(shè)備，區(qū)別于傳統(tǒng)物理交換機(jī)，其安全管理和策略控制極易忽視，同樣存在安全風(fēng)險(xiǎn)。因此，虛擬交換機(jī)的流量可視化是虛擬交換安全的基礎(chǔ)，在此基礎(chǔ)上還可考慮增加額外的防護(hù)手段，如部署虛擬防火墻等。算力單元安全主機(jī)系統(tǒng)作為新型數(shù)據(jù)中心算力提供的基本單元，也是絕大多數(shù)數(shù)攻擊者的最終入侵目標(biāo)。開(kāi)展算力單元安全防護(hù)，進(jìn)行常態(tài)化的威脅檢測(cè)和防御，避免主機(jī)劫持事件的發(fā)生是新型數(shù)據(jù)中心整體安全的最后一道也是最有效的防線(xiàn)，其重要性不言而喻。具體手段包括基線(xiàn)核查、異常行為監(jiān)控、漏洞管理及病毒防護(hù)等?；€(xiàn)核查：主要針對(duì)主機(jī)配置的安全性和合理性進(jìn)行檢測(cè)，避免過(guò)度的暴露面帶來(lái)不必要的風(fēng)險(xiǎn)。例如主機(jī)上僅開(kāi)放少數(shù)幾個(gè)端口用于業(yè)務(wù)與維護(hù)使用，有效應(yīng)對(duì)一些高危端口或未知端口帶來(lái)的病毒傳播；制定嚴(yán)格的訪(fǎng)問(wèn)授權(quán)、密碼管理等統(tǒng)一的主機(jī)安全策略等。異常行為監(jiān)控：支持對(duì)防暴力破解等異常登錄行為、非法數(shù)字貨幣挖礦等算力盜用行為、域名劫持等算力劫持行為，以主機(jī)維度或用戶(hù)維度建立訪(fǎng)問(wèn)和通信的大數(shù)據(jù)畫(huà)像，開(kāi)展異常行為監(jiān)測(cè)和告警。漏洞管理：一方面需要定期掃描主機(jī)漏洞并及時(shí)安全加固，嚴(yán)格測(cè)試和評(píng)估新發(fā)布補(bǔ)丁的兼容性、可用性、可能帶來(lái)的副作用及采取的相應(yīng)緩解措施。另一方面，虛擬機(jī)模板、容器鏡像存在系統(tǒng)漏洞將進(jìn)一步擴(kuò)大安全風(fēng)險(xiǎn)，故需要盡量裁剪不必要的軟件組件或模塊，構(gòu)建最小化系統(tǒng)；并增加如容器鏡像簽名等技術(shù)手段來(lái)確保系統(tǒng)的完整性。病毒防護(hù)：部署防病毒軟件，對(duì)各類(lèi)病毒、蠕蟲(chóng)、惡意代碼、木馬等惡意文件和進(jìn)程動(dòng)態(tài)查殺及隔離，確保斬?cái)嗖《緜鞑?、寄生的每一個(gè)節(jié)點(diǎn)，實(shí)現(xiàn)病毒的全面防范。當(dāng)前由于勒索攻擊威脅加劇，新型數(shù)據(jù)中心的病毒防護(hù)應(yīng)能夠識(shí)別勒索軟件攻擊的典型癥狀，一旦發(fā)現(xiàn)網(wǎng)絡(luò)中C&C異常通信或者文件異常加密等可疑活動(dòng)，應(yīng)可在攻擊者開(kāi)始勒索之前預(yù)先發(fā)出告警。算力服務(wù)安全隨著產(chǎn)業(yè)數(shù)字化進(jìn)程加速，未來(lái)算力需求將持續(xù)放大，算力或?qū)⒊蔀橐环N可交易商品，從當(dāng)前公有云數(shù)據(jù)中心算力服務(wù)的孤島模式向全網(wǎng)算力如“水電”一樣便捷獲取的公共服務(wù)演進(jìn)。由此帶來(lái)的算力調(diào)度安全和算力交易安全也需要逐步納入新型數(shù)據(jù)中心安全建設(shè)要求中。算力調(diào)度安全：未來(lái)算力網(wǎng)絡(luò)調(diào)度平臺(tái)通過(guò)聚合海量的算力資源，將形成可持續(xù)擴(kuò)張的全國(guó)一體化算力服務(wù)資源池。因此需要建立一個(gè)安全可信的調(diào)度機(jī)制，實(shí)現(xiàn)算力資源的安全流通，才能滿(mǎn)足國(guó)家重大戰(zhàn)略和醫(yī)療、交通、安防、教育等各行業(yè)對(duì)算力服務(wù)的需求。算力交易安全：當(dāng)算力成為一種可交易商品后，可基于區(qū)塊鏈、共識(shí)機(jī)制與算法、智能合約等技術(shù)構(gòu)建可信算力交易平臺(tái)，對(duì)多方泛在、多樣算力進(jìn)行運(yùn)營(yíng)計(jì)費(fèi)，保證算力交易的安全可控、隱私高效。應(yīng)用安全層WEBWebWeb，Web據(jù)中心對(duì)外提供的主要業(yè)務(wù)。而由于Web的特點(diǎn)，其常成為應(yīng)用安全攻擊的入口。為實(shí)現(xiàn)WebWebWebSQLXSSWeb0dayWeb網(wǎng)頁(yè)防篡改應(yīng)用內(nèi)核態(tài)文件驅(qū)動(dòng)過(guò)濾技術(shù)，阻止攻擊者通過(guò)WebWebWeb數(shù)據(jù)盜取或惡意代碼植入等。APIAPI（API）APIHTTPAPI關(guān)重要的安全邊界，采用多重機(jī)制和措施進(jìn)行重點(diǎn)保護(hù)：一是建立動(dòng)態(tài)的API接口管理及使用機(jī)制。APIAPIAPIAPIAPIAPIAPIAPI，形成動(dòng)態(tài)更APIAPIAPIAPI制，限制API調(diào)用速率；另一方面通過(guò)部署API檢測(cè)和攻擊防護(hù)技術(shù)，識(shí)別API訪(fǎng)問(wèn)接口所遭受的各種自動(dòng)化腳本、爬蟲(chóng)工具和BOT工具的掃描和惡意調(diào)API數(shù)據(jù)安全層數(shù)字經(jīng)濟(jì)時(shí)代，數(shù)據(jù)安全是新型數(shù)據(jù)中心安全建設(shè)的核心。新型數(shù)據(jù)中心數(shù)據(jù)安全應(yīng)借助組織人員的安全能力和管理制度，在數(shù)據(jù)安全分級(jí)分類(lèi)、安全可視的總原則下，以“數(shù)據(jù)采集安全”為基礎(chǔ)、“數(shù)據(jù)處理安全”為關(guān)鍵、“數(shù)據(jù)存儲(chǔ)安全”為保障、“數(shù)據(jù)服務(wù)安全”為目標(biāo)，構(gòu)建全生命周期的數(shù)據(jù)安全流程，實(shí)現(xiàn)數(shù)據(jù)的完整性、保密性、可用性和持久性。圖3新型數(shù)據(jù)中心數(shù)據(jù)安全治理結(jié)構(gòu)數(shù)據(jù)采集安全數(shù)據(jù)采集的目的是獲得有價(jià)值的數(shù)據(jù)資產(chǎn)，采集應(yīng)嚴(yán)格按照《網(wǎng)絡(luò)安全法》、《個(gè)人信息保護(hù)法》等相關(guān)法律法規(guī)和行業(yè)規(guī)范執(zhí)行，數(shù)據(jù)中心內(nèi)數(shù)據(jù)采集的方式主要包括應(yīng)用數(shù)據(jù)通過(guò)網(wǎng)絡(luò)采集、數(shù)據(jù)中心內(nèi)系統(tǒng)日志數(shù)據(jù)采集等。組織開(kāi)展數(shù)據(jù)采集活動(dòng)的過(guò)程中，應(yīng)確保數(shù)據(jù)采集的合法性、正當(dāng)性和必要性：定義采集數(shù)據(jù)的目的和用途，明確數(shù)據(jù)來(lái)源、采集方式、采集范圍等內(nèi)容，并制定標(biāo)準(zhǔn)的采集模板、數(shù)據(jù)采集方法、策略和規(guī)范；對(duì)于初次采集的數(shù)據(jù)，需采用人工與技術(shù)相結(jié)合的方式進(jìn)行數(shù)據(jù)采集確認(rèn)；最小化采集數(shù)據(jù)，不收集與提供服務(wù)無(wú)關(guān)的個(gè)人信息和重要數(shù)據(jù)；對(duì)數(shù)據(jù)采集環(huán)境、設(shè)施和技術(shù)采取必要的安全管理措施。對(duì)采集的數(shù)據(jù)進(jìn)行分類(lèi)分級(jí)是實(shí)現(xiàn)后續(xù)環(huán)節(jié)數(shù)據(jù)安全的前提。新型數(shù)據(jù)中心應(yīng)對(duì)采集數(shù)據(jù)的存儲(chǔ)位置、存儲(chǔ)格式、存儲(chǔ)內(nèi)容和大小，依據(jù)國(guó)家《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》等法規(guī)及《基礎(chǔ)電信企業(yè)數(shù)據(jù)分類(lèi)分級(jí)方法》等行業(yè)相關(guān)標(biāo)準(zhǔn)制定數(shù)據(jù)分類(lèi)分級(jí)體系?；跀?shù)據(jù)安全監(jiān)測(cè)及數(shù)據(jù)防泄漏設(shè)備，針對(duì)不同數(shù)據(jù)級(jí)別設(shè)置安全保護(hù)策略，為后續(xù)數(shù)據(jù)處理、數(shù)據(jù)存儲(chǔ)和數(shù)據(jù)服務(wù)提供依據(jù)。目前業(yè)界對(duì)數(shù)據(jù)的分級(jí)分類(lèi)缺乏有效實(shí)施經(jīng)驗(yàn)，主要還依賴(lài)人工處理，工作量大且效率低，而基于關(guān)鍵字、知識(shí)庫(kù)進(jìn)行自動(dòng)分類(lèi)分級(jí)誤判率高。新型數(shù)據(jù)中心面對(duì)各行各業(yè)數(shù)據(jù)，數(shù)據(jù)的安全分級(jí)分類(lèi)應(yīng)借助機(jī)器學(xué)習(xí)構(gòu)建的知識(shí)算法，將專(zhuān)家經(jīng)驗(yàn)和方法固化為規(guī)則模型和識(shí)別引擎，通過(guò)自動(dòng)化、智能化的分類(lèi)分級(jí)技術(shù)手段，提升數(shù)據(jù)分類(lèi)分級(jí)的質(zhì)效。數(shù)據(jù)處理安全新型數(shù)據(jù)中心的數(shù)據(jù)處理安全主要解決數(shù)據(jù)的隱私權(quán)問(wèn)題，包括數(shù)據(jù)隱私計(jì)算和數(shù)據(jù)的刪除銷(xiāo)毀。數(shù)據(jù)隱私計(jì)算由于數(shù)據(jù)處理需要涉及多源、泛在的算力節(jié)點(diǎn)，無(wú)法保證每個(gè)算力節(jié)點(diǎn)都是安全可靠的，數(shù)據(jù)分配到算力節(jié)點(diǎn)進(jìn)行計(jì)算的模式會(huì)使數(shù)據(jù)面臨隱私泄露的風(fēng)險(xiǎn)，因此需要借助包含安全多方計(jì)算、可信執(zhí)行環(huán)境、聯(lián)邦學(xué)習(xí)等隱私計(jì)算技術(shù)來(lái)實(shí)現(xiàn)數(shù)據(jù)的“可用不可見(jiàn)”。數(shù)據(jù)的刪除銷(xiāo)毀依據(jù)數(shù)據(jù)中心合規(guī)政策和業(yè)務(wù)發(fā)展需求，對(duì)敏感數(shù)據(jù)或老化過(guò)時(shí)數(shù)據(jù)進(jìn)行刪除銷(xiāo)毀，也是數(shù)據(jù)處理安全有效的重要環(huán)節(jié)。建立數(shù)據(jù)刪除銷(xiāo)毀策略和管理制度，明確數(shù)據(jù)銷(xiāo)毀的場(chǎng)景、銷(xiāo)毀對(duì)象、銷(xiāo)毀方式和銷(xiāo)毀要求，通過(guò)覆寫(xiě)法、刪除、格式化等清零操作銷(xiāo)毀內(nèi)存和硬盤(pán)中的數(shù)據(jù)，通過(guò)物理摧毀、消磁等方式實(shí)現(xiàn)各類(lèi)數(shù)據(jù)存儲(chǔ)介質(zhì)的有效銷(xiāo)毀，杜絕信息泄漏風(fēng)險(xiǎn)。建立數(shù)據(jù)銷(xiāo)毀的管理機(jī)制，對(duì)數(shù)據(jù)刪除銷(xiāo)毀操作保存完整記錄，滿(mǎn)足行業(yè)標(biāo)準(zhǔn)和安全回溯要求。數(shù)據(jù)存儲(chǔ)安全新型數(shù)據(jù)中心的數(shù)據(jù)存儲(chǔ)安全是指數(shù)據(jù)存儲(chǔ)過(guò)程中的機(jī)密性和可靠性，主要涉及底層的存儲(chǔ)系統(tǒng)和數(shù)據(jù)庫(kù)中間件。存儲(chǔ)系統(tǒng)安全對(duì)于不同存儲(chǔ)系統(tǒng)，例如磁盤(pán)陣列、分布式存儲(chǔ)、全閃存存儲(chǔ)等，其存儲(chǔ)的機(jī)密性一方面通過(guò)存儲(chǔ)系統(tǒng)自身的數(shù)據(jù)分塊/卷及散列來(lái)保證，另一方面也可采用基于密鑰的數(shù)據(jù)加解密技術(shù)，通過(guò)專(zhuān)用硬件設(shè)備實(shí)現(xiàn)敏感數(shù)據(jù)加密存儲(chǔ)。而為了實(shí)現(xiàn)數(shù)據(jù)存儲(chǔ)的高可靠性，存儲(chǔ)系統(tǒng)應(yīng)通過(guò)存儲(chǔ)前的一致性檢查、數(shù)據(jù)分片冗余、自動(dòng)快照、多副本備份與恢復(fù)等技術(shù)手段，為不同級(jí)別數(shù)據(jù)設(shè)置不同數(shù)據(jù)可靠性策略，確保數(shù)據(jù)的完整性、一致性、準(zhǔn)確性和持久性。數(shù)據(jù)庫(kù)安全數(shù)據(jù)庫(kù)作為承載關(guān)鍵生產(chǎn)經(jīng)營(yíng)數(shù)據(jù)的主要載體，需要建立完整的數(shù)據(jù)庫(kù)安全防護(hù)能力，涵蓋數(shù)據(jù)庫(kù)上線(xiàn)、使用、運(yùn)維、遷移全過(guò)程：數(shù)據(jù)庫(kù)上線(xiàn)前通過(guò)安全基線(xiàn)進(jìn)行自動(dòng)化的安全配置檢查，確保數(shù)據(jù)庫(kù)不帶安全隱患；使用過(guò)程中，通過(guò)對(duì)數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)和操作行為進(jìn)行全面精確的審計(jì)和智能預(yù)警，防止核心數(shù)據(jù)的泄露與破壞，確保數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)關(guān)系、數(shù)據(jù)庫(kù)攻擊威脅清晰可視；在運(yùn)維和遷移過(guò)程中，采取針對(duì)性的技術(shù)和管理措施，建立標(biāo)準(zhǔn)化的操作流程，確保數(shù)據(jù)庫(kù)運(yùn)維和遷移安全。數(shù)據(jù)服務(wù)安全站在數(shù)據(jù)流通的角度，新型數(shù)據(jù)中心業(yè)務(wù)的本質(zhì)就是通過(guò)數(shù)據(jù)傳輸和共享向用戶(hù)提供數(shù)據(jù)的服務(wù)。在技術(shù)方面，數(shù)據(jù)傳輸和共享應(yīng)該通過(guò)統(tǒng)一的身份管理、權(quán)限管理和認(rèn)證管理確保數(shù)據(jù)服務(wù)對(duì)象的合法性；通過(guò)VPN、應(yīng)用層TLS與證書(shū)管理等通道加密技術(shù)確保數(shù)據(jù)的傳輸安全，防止數(shù)據(jù)監(jiān)聽(tīng)、竊取、偽造和重放等數(shù)據(jù)傳輸風(fēng)險(xiǎn)，從而保證數(shù)據(jù)服務(wù)的安全性。同時(shí)，數(shù)據(jù)的傳輸和共享還應(yīng)防止敏感數(shù)據(jù)泄漏，通過(guò)在數(shù)據(jù)傳輸邊界部署敏感數(shù)據(jù)識(shí)別設(shè)備，通過(guò)語(yǔ)義識(shí)別、機(jī)器建模與匹配等技術(shù)實(shí)現(xiàn)對(duì)敏感數(shù)據(jù)的監(jiān)測(cè)和告警。對(duì)于因業(yè)務(wù)開(kāi)展需要涉及出境服務(wù)的數(shù)據(jù)，應(yīng)按照《數(shù)據(jù)出境安全評(píng)估辦法》進(jìn)行數(shù)據(jù)出境的風(fēng)險(xiǎn)自評(píng)估、申報(bào)和監(jiān)測(cè)，保護(hù)國(guó)家信息安全。系統(tǒng)建設(shè)管理平面系統(tǒng)建設(shè)管理是新型數(shù)據(jù)中心的安全根基，通過(guò)將安全建設(shè)理念植入到數(shù)據(jù)中心系統(tǒng)建設(shè)的規(guī)劃、設(shè)計(jì)、集成、評(píng)估、交付全流程，消減數(shù)據(jù)中心的薄弱點(diǎn)，才能筑牢抵御日常威脅的基層防護(hù)籬笆。一是加強(qiáng)頂層設(shè)計(jì)。統(tǒng)籌系統(tǒng)建設(shè)的安全目標(biāo)，自上而下逐層開(kāi)展安全架構(gòu)設(shè)計(jì)，同時(shí)做好系統(tǒng)擴(kuò)展和迭代的長(zhǎng)遠(yuǎn)考慮，用系統(tǒng)化的理念構(gòu)筑韌性的安全架構(gòu)。對(duì)于系統(tǒng)集成，應(yīng)保障安全建設(shè)在整個(gè)系統(tǒng)建設(shè)中的投資占比，并對(duì)安全設(shè)備和技術(shù)方案進(jìn)行統(tǒng)一規(guī)劃，避免安全設(shè)備五花八門(mén)、各自為戰(zhàn)，冗余重疊。二是遵循隔離原則。數(shù)據(jù)中心系統(tǒng)規(guī)劃、設(shè)計(jì)、集成和評(píng)估均應(yīng)充分考慮安全域隔離設(shè)置原則，縮小攻擊事件的影響范圍。通過(guò)模塊化設(shè)計(jì)，物理上劃分接入DMZ域、核心生產(chǎn)域、管理維護(hù)域，加強(qiáng)區(qū)域邊界安全。新型數(shù)據(jù)中心還應(yīng)劃分獨(dú)立的測(cè)試驗(yàn)證域，一方面對(duì)新安全設(shè)備部署、安全策略調(diào)整、補(bǔ)丁升級(jí)等進(jìn)行嚴(yán)格的離線(xiàn)仿真測(cè)試；另一方面用于生產(chǎn)系統(tǒng)安全應(yīng)急演練和人員安全技術(shù)培訓(xùn)。三是充分安全評(píng)估。在系統(tǒng)集成完成交付前，應(yīng)進(jìn)行充分的安全評(píng)估。通IT估潛在的供應(yīng)鏈安全；評(píng)估安全威脅的潛在傳播途徑，保證最有效的防護(hù)措施應(yīng)用到可能被攻擊的關(guān)鍵線(xiàn)路上；評(píng)估安全區(qū)域的隔離效果及安全事件發(fā)生的應(yīng)急預(yù)案，杜絕安全事件觸發(fā)系統(tǒng)癱瘓等重大隱患。圖4新型數(shù)據(jù)中心系統(tǒng)建設(shè)管理流程安全框架核心業(yè)務(wù)管理平面業(yè)務(wù)的安全管理是新型數(shù)據(jù)中心安全的核心。具體來(lái)說(shuō)需要分為業(yè)務(wù)安全設(shè)計(jì)和業(yè)務(wù)生命周期安全管理兩部分考慮。業(yè)務(wù)安全設(shè)計(jì)在業(yè)務(wù)規(guī)劃設(shè)計(jì)時(shí)，需要從業(yè)務(wù)和威脅兩個(gè)視角來(lái)分解安全設(shè)計(jì)目標(biāo)。如下圖所示，從業(yè)務(wù)視角不僅要遵從網(wǎng)絡(luò)安全法等國(guó)家相關(guān)標(biāo)準(zhǔn)，還應(yīng)考慮運(yùn)營(yíng)商、政務(wù)、金融、醫(yī)療、視頻、電商等不同行業(yè)的業(yè)務(wù)特點(diǎn)，將具體行業(yè)業(yè)務(wù)作為安全設(shè)計(jì)的輸入，合理制定安全目標(biāo)；再通過(guò)業(yè)務(wù)流識(shí)別關(guān)鍵價(jià)值資產(chǎn)，建立風(fēng)險(xiǎn)假設(shè)。而從威脅視角出發(fā)，應(yīng)從業(yè)務(wù)信息流分解目標(biāo)網(wǎng)規(guī)劃，通過(guò)數(shù)據(jù)流分析風(fēng)險(xiǎn)暴露面和攻擊路徑，形成脆弱性評(píng)估結(jié)論，用于指導(dǎo)核心業(yè)務(wù)安全解決方案建設(shè)和管理。圖5新型數(shù)據(jù)中心核心業(yè)務(wù)安全設(shè)計(jì)業(yè)務(wù)生命周期安全管理隨著以微服務(wù)、DevOps、持續(xù)交付為顯著特征的云原生應(yīng)用的發(fā)展，新型數(shù)據(jù)中心業(yè)務(wù)的安全管理要求從原來(lái)以運(yùn)行時(shí)防護(hù)為重心進(jìn)一步前置，需要安全賦能到業(yè)務(wù)的需求、設(shè)計(jì)、開(kāi)發(fā)、測(cè)試、交付等生命周期的各個(gè)環(huán)節(jié)。圖6新型數(shù)據(jù)中心業(yè)務(wù)生命周期安全管理如上圖所示。在需求階段，需要對(duì)業(yè)務(wù)開(kāi)發(fā)模式及安全現(xiàn)狀進(jìn)行充分調(diào)研，評(píng)估最新安全監(jiān)管政策和業(yè)務(wù)場(chǎng)景的安全特性，明確業(yè)務(wù)的安全需求。在設(shè)計(jì)階段，需要進(jìn)行進(jìn)一步的風(fēng)險(xiǎn)分析，從業(yè)務(wù)框架、業(yè)務(wù)流程和測(cè)試驗(yàn)證維度進(jìn)行詳細(xì)業(yè)務(wù)安全設(shè)計(jì)。在開(kāi)發(fā)階段，需要業(yè)務(wù)開(kāi)發(fā)者將增強(qiáng)抵抗力的安全理念DevOps，需要制定嚴(yán)格的黑白盒測(cè)試方案，嘗試發(fā)掘業(yè)務(wù)否存在交易數(shù)據(jù)篡改、接口未授權(quán)訪(fǎng)問(wèn)、關(guān)鍵數(shù)據(jù)明文傳輸?shù)劝踩O(shè)計(jì)缺陷。在交付應(yīng)用階段，應(yīng)結(jié)合業(yè)務(wù)開(kāi)放的端口和屬性，對(duì)所在的硬件服務(wù)器、操作系統(tǒng)、數(shù)據(jù)庫(kù)及應(yīng)用中間件等，通過(guò)補(bǔ)丁升級(jí)、強(qiáng)化帳號(hào)安全、優(yōu)化訪(fǎng)問(wèn)策略等方式進(jìn)行安全加固和安全配置，提升業(yè)務(wù)安全防范水平。安全運(yùn)營(yíng)管理平面安全運(yùn)營(yíng)管理是新型數(shù)據(jù)中心感知安全威脅與響應(yīng)處置事件的大腦，在新型數(shù)據(jù)中心安全中起決定性作用。安全運(yùn)營(yíng)管理相關(guān)技術(shù)也是近年安全領(lǐng)域最活躍的技術(shù)，諸如態(tài)勢(shì)感知、UEBA、威脅情報(bào)、XDR、SOAR、安全知識(shí)圖譜、蜜罐等技術(shù)層出不窮。新型數(shù)據(jù)中心需要建設(shè)統(tǒng)一的安全運(yùn)營(yíng)中心，提高安全事件的前瞻性預(yù)測(cè)能力，開(kāi)展常態(tài)化安全監(jiān)測(cè)、威脅情報(bào)分析，對(duì)安全事件實(shí)現(xiàn)自動(dòng)響應(yīng)及快速處置，保障新型數(shù)據(jù)中心的運(yùn)營(yíng)安全。在運(yùn)營(yíng)管理制度上，新型數(shù)據(jù)中心一方面應(yīng)以安全合規(guī)為驅(qū)動(dòng)，主動(dòng)落實(shí)國(guó)家及行業(yè)相關(guān)安全政策法規(guī)，響應(yīng)安全等級(jí)評(píng)估及等保評(píng)測(cè)；另一方面應(yīng)以業(yè)務(wù)目標(biāo)為驅(qū)動(dòng)，匹配業(yè)務(wù)的安全屬性，制定針對(duì)性的安全運(yùn)營(yíng)管理策略。在安全運(yùn)營(yíng)技術(shù)上，新型數(shù)據(jù)中心應(yīng)以安全事件為驅(qū)動(dòng)，圍繞安全運(yùn)營(yíng)中心，構(gòu)建監(jiān)控檢測(cè)、威脅情報(bào)、響應(yīng)處置、能力沉淀的有機(jī)銜接和閉環(huán)體系，支撐平戰(zhàn)一體的安全態(tài)勢(shì)研判及應(yīng)急指揮。而安全運(yùn)營(yíng)中心應(yīng)以泛在感知、智能分析、主動(dòng)防御、自主學(xué)習(xí)為目標(biāo)向著安全運(yùn)營(yíng)大腦持續(xù)演進(jìn)。監(jiān)控檢測(cè)：7x24威脅情報(bào)：智能化的安全運(yùn)營(yíng)分析和預(yù)警。響應(yīng)處置：防護(hù)能力協(xié)同防御。能力沉淀：狩獵進(jìn)發(fā)。圖7新型數(shù)據(jù)中心安全運(yùn)營(yíng)管理技術(shù)框架三、新型數(shù)據(jù)中心安全等級(jí)評(píng)估安全等級(jí)評(píng)估的必要性和意義國(guó)家政策和重大網(wǎng)絡(luò)安全事件是數(shù)據(jù)中心的安全建設(shè)的主要驅(qū)動(dòng)因素。隨著國(guó)內(nèi)外安全形勢(shì)的變化，新型數(shù)據(jù)中心的高安全標(biāo)準(zhǔn)將要求我們更加注重實(shí)戰(zhàn)效力，注重安全與系統(tǒng)建設(shè)同步、與業(yè)務(wù)場(chǎng)景深度融合的“一體化”安全發(fā)展。我國(guó)數(shù)據(jù)中心安全技術(shù)迭代迅速，圍繞“四層三面”的安全技術(shù)體系，所涉及的數(shù)據(jù)中心安全產(chǎn)品和技術(shù)繁多，如圖8。但當(dāng)前大多數(shù)的數(shù)據(jù)中心安全建設(shè)缺乏統(tǒng)一規(guī)劃和標(biāo)準(zhǔn)，各數(shù)據(jù)中心建設(shè)者、運(yùn)營(yíng)商部署的安全技術(shù)能力之間差異較大、應(yīng)用不一，這種相對(duì)粗放的建設(shè)模式不但導(dǎo)致了數(shù)據(jù)中心安全產(chǎn)品“煙囪式”孤島發(fā)展，而且也極易帶來(lái)整體安全技術(shù)防御體系的疏漏。圖8數(shù)據(jù)中心現(xiàn)有安全產(chǎn)品圖譜同時(shí)，在具體安全產(chǎn)品和技術(shù)能力的評(píng)測(cè)方面，目前業(yè)界普遍采用的還是基于商用測(cè)試儀表或知名第三方工具的靜態(tài)測(cè)試方法，大多數(shù)只能針對(duì)已知攻擊報(bào)文或威脅特征的防御效果進(jìn)行簡(jiǎn)單的驗(yàn)證和識(shí)別。傳統(tǒng)的安全測(cè)試方法與真實(shí)的安全攻擊手法、事件場(chǎng)景差距較大，過(guò)于依賴(lài)特征辨識(shí)，缺乏動(dòng)態(tài)交互式的多階段攻擊模擬，很難滿(mǎn)足后續(xù)新型數(shù)據(jù)中心的安全產(chǎn)品和技術(shù)能力評(píng)測(cè)工作需要。因此，推動(dòng)建立我國(guó)新型數(shù)據(jù)中心的安全等級(jí)評(píng)估標(biāo)準(zhǔn)和機(jī)制，為數(shù)據(jù)中心的安全建設(shè)和技術(shù)能力提供指導(dǎo)標(biāo)準(zhǔn)和評(píng)