数据中心安全建设方案

数据中心安全解决方案

目录

第一章解决方案 (2)

1.1建设需求 (2)

1.2建设思路 (2)

1.3总体方案 (3)

1.3.1 IP准入控制系统 (5)

1.3.2 防泄密技术的选择 (6)

1.3.3 主机账号生命周期管理系统 (6)

1.3.4 数据库账号生命周期管理系统 (7)

1.3.5 令牌认证系统 (8)

1.3.6 数据库审计系统 (8)

1.3.7 数据脱敏系统 (9)

1.3.8 应用内嵌账号管理系统 (10)

1.3.9 云计算平台 (13)

1.3.10 防火墙 (13)

1.3.11 统一安全运营平台 (14)

1.3.12 安全运维服务 (16)

1.4实施效果 (16)

1.4.1 针对终端接入的管理 (16)

1.4.2 针对敏感数据的使用管理 (17)

1.4.3 针对敏感数据的访问管理 (18)

1.4.4 针对主机设备访问的管理 (18)

1.4.5 针对数据库访问的管理 (19)

1.4.6 针对数据库的审计 (20)

1.4.7 针对应用内嵌账号的管理 (22)

1.4.8 安全运营的规范 (22)

1.4.9 针对管理的优化 (23)

第二章项目预算及项目要求....................................................................... 错误！未定义书签。

2.1项目预算.......................................................................................... 错误！未定义书签。

2.1.1 项目一期预算....................................................................... 错误！未定义书签。

2.1.2 一期实现目标....................................................................... 错误！未定义书签。

2.2项目要求.......................................................................................... 错误！未定义书签。

2.2.1 用户环境配合条件............................................................... 错误！未定义书签。

第一章解决方案

1.1建设需求

XXX用户经过多年的信息化建设，各项业务都顺利的开展起来了，数据中心已经积累了很多宝贵的数据，这些无形的资产比硬件资产还重要，但它们却面临着非常大的安全挑战。

在早期的系统建设过程中，大多用户不会考虑数据安全、应用安全层面的问题，经过多年的发展，数据中心越来越庞大，业务越来越复杂，但信息安全完全没有配套建设，经常会发生一些安全事件，如：数据库的表被人删除了、主机密码被人修改了、敏感数据泄露了、特权账号被第三方人员使用等等情况，而这些安全事件往往都是特权用户从后台直接操作的，非常隐蔽，这时候往往无从查起。

其实，信息安全建设在系统的设计初期开始，就应该要介入，始终贯穿其中，这样花费的人力物力才是最小。当一个系统建成后，发现问题了，回头再来考虑安全建设，这样投入的成本将会变得最大。

1.2建设思路

数据中心的安全体系建设并非安全产品的堆砌，它是一个根据用户具体业务环境、使用习惯、安全策略要求等多个方面构建的一套生态体系，涉及众多的安全技术，实施过程需要涉及大量的调研、咨询等工作，还会涉及到众多的安全厂家之间的协调、产品的选型，安全系统建成后怎么维持这个生态体系的平衡，是一个复杂的系统工程，一般建议分期投资建设，从技术到管理，逐步实现组织的战略目标。

整体设计思路是将需要保护的核心业务主机包及数据库围起来，与其他网络区域进行逻辑隔离，封闭一切不应该暴漏的端口、IP，在不影响现有业务的情况下形成数据孤岛，设置固定的数据访问入口，对入口进行严格的访问控制及审计。由之前的被动安全变为主动防御，控制安全事故的发生，对接入系统的人员进行有效的认证、授权、审计，让敏感操作变得更加透明，有效防止安全事件的发生。

在访问入口部署防火墙、账号生命周期管理系统、数据加密系统、令牌认证系统、审计系统等安全设施，对所有外界向核心区域主机发起的访问进行控制、授权、审计，对流出核心区域的批量敏感数据进行加密处理，所有加密的数据将被有效的包围在安全域之内，并跟踪数据产生、扭转、销毁的整个生命周期，杜绝敏感数据外泄及滥用行为。

为了保证XXX用户的业务连续性，各安全子系统都采用旁路的方式部署到网络当中，其中账号生命周期管理系统、审计系统、数据库都采用双机的模式，以提供自身的高可靠性；加密系统、特权账号生命周期管理系统、令牌认证系统都建议部署在VMware云计算平台上，利用VMware强大的服务器虚拟化能力为防泄密系统提供良好的可靠性与可扩展性保证。

1.3总体方案

信息安全系统整体部署架构图

1、在核心交换机上部署防护墙模块或独立防火墙，把重要的主机、数据库与其他子网进行逻辑隔离，划分安全区域，对不必要的端口进行封闭，隔离终端IP对数据中心可达。

2、在终端汇聚的交换机上旁路部署IP准入控制系统，实现非法外联、IP 实名制，对接入内网的终端进行有效的控制。

3、部署主机账号管理系统，限制所有终端对主机的访问只能通过管理系统发起，并对Telnet、SSH、RDP等访问过程进行控制、审计，防止终端将数据从主机上私自复制到本地硬盘，防止误操作。

4、部署数据账号管理系统，对数据库访问工具（PL-SQL）、FTP工具等常用维护工具进行统一的发布，对前台数据库访问操作进行审计记录，把数据包围在服务器端。对下载数据行为进行严格控制，并对提取的数据进行加密处理。

5、部署加密系统（DLP），对所有流出数据中心的数据进行自动加密处理，并对数据的产生、扭转、编辑、销毁进行生命周期管理。

6、部署数据库审计系统，对数据库访问行为进行审计，监控敏感数据访问情况，监控数据库操作行为，记录数据库后台变化情况，事后回查。

7、在生产库与测试库之间部署数据脱敏系统，对从在线库抽取的数据进行自动脱敏，再导入测试库，避免数据泄露。对后台访问在线库的人群进行权限管理，对访问的敏感字段进行自动遮罩。

8、部署应用内嵌账号管理系统，对应用系统内嵌的特权账号进行有效的托管，实现账号的定期修改、密码强度、密码加密等安全策略。