數(shù)據(jù)是一種商品，需要積極的數(shù)據(jù)中心安全策略才能對(duì)其進(jìn)行正確管理。系統(tǒng)中的單一漏洞將對(duì)公司造成嚴(yán)重破壞并產(chǎn)生長(zhǎng)期影響。您的關(guān)鍵工作負(fù)載是否與外部?網(wǎng)絡(luò)安全威脅隔離？這是您想知道您的公司是否使用（或計(jì)劃使用）托管服務(wù)的第一個(gè)保證。對(duì)可信數(shù)據(jù)中心的入侵往往更頻繁地發(fā)生。當(dāng)有關(guān)APT 攻擊?(Advanced Persistent Threat) 成功的新聞爆出時(shí)，公眾會(huì)注意到。為了阻止這種趨勢(shì)，服務(wù)提供商需要采用零信任模型。從物理結(jié)構(gòu)到聯(lián)網(wǎng)機(jī)架，每個(gè)組件的設(shè)計(jì)都考慮到了這一點(diǎn)。

零信任架構(gòu)

零信任模型將數(shù)據(jù)的每筆交易、移動(dòng)或迭代都視為可疑。它是最新的入侵檢測(cè)方法之一。該系統(tǒng)跟蹤網(wǎng)絡(luò)行為，并實(shí)時(shí)從指揮中心流出數(shù)據(jù)。它會(huì)檢查任何從系統(tǒng)中提取數(shù)據(jù)的人，并在檢測(cè)到異常時(shí)提醒員工或撤銷帳戶的權(quán)限。

數(shù)據(jù)中心的安全層和冗余

確保數(shù)據(jù)安全需要安全控制，并且系統(tǒng)檢查逐層構(gòu)建到數(shù)據(jù)中心的結(jié)構(gòu)中。從物理建筑本身、軟件系統(tǒng)和日常任務(wù)中涉及的人員。您可以將圖層分為物理層或數(shù)字層。

數(shù)據(jù)中心物理安全標(biāo)準(zhǔn)

地點(diǎn)

評(píng)估數(shù)據(jù)中心是否安全從位置開(kāi)始。

可信數(shù)據(jù)中心的設(shè)計(jì)將考慮：

• 該地區(qū)的地質(zhì)活動(dòng)
• 區(qū)域內(nèi)高風(fēng)險(xiǎn)行業(yè)
• 任何洪水風(fēng)險(xiǎn)
• 其他不可抗力風(fēng)險(xiǎn)

您可以通過(guò)在物理設(shè)計(jì)中設(shè)置障礙或額外冗余來(lái)防止上面列出的一些風(fēng)險(xiǎn)。由于有害影響，這些事件將對(duì)數(shù)據(jù)中心的運(yùn)營(yíng)產(chǎn)生影響；最好完全避免它們。

建筑物、結(jié)構(gòu)和數(shù)據(jù)中心支持系統(tǒng)

構(gòu)成數(shù)據(jù)中心的結(jié)構(gòu)設(shè)計(jì)需要降低任何訪問(wèn)控制風(fēng)險(xiǎn)。周?chē)膰鷻冢ㄖ飰Ρ诘暮穸群筒牧希约八娜肟跀?shù)量。這些都會(huì)影響數(shù)據(jù)中心的安全。

一些關(guān)鍵因素還包括：

• 配有鎖的服務(wù)器機(jī)柜。
• 建筑物需要不止一個(gè)供應(yīng)商來(lái)提供電信服務(wù)和電力。
• UPS 和發(fā)電機(jī)等額外的備用?電源系統(tǒng)?是關(guān)鍵基礎(chǔ)設(shè)施。
• 陷阱的使用。這涉及在兩個(gè)單獨(dú)的門(mén)之間安裝一個(gè)氣閘，兩扇門(mén)都需要驗(yàn)證
• 考慮未來(lái)在同一邊界內(nèi)的擴(kuò)展
• 與空白區(qū)分開(kāi)的支持系統(tǒng)允許授權(quán)的工作人員執(zhí)行他們的任務(wù)。它還阻止維護(hù)和服務(wù)技術(shù)人員在無(wú)人監(jiān)督的情況下進(jìn)入。

物理訪問(wèn)控制

控制數(shù)據(jù)中心周?chē)脑L客和工作人員的移動(dòng)至關(guān)重要。如果您在所有門(mén)上都安裝了生物識(shí)別掃描儀——并記錄誰(shuí)可以訪問(wèn)什么以及何時(shí)訪問(wèn)——這將有助于調(diào)查未來(lái)任何潛在的違規(guī)行為。火災(zāi)逃生通道和疏散路線應(yīng)該只允許人們離開(kāi)建筑物。不應(yīng)有任何室外把手，以防止重新進(jìn)入。打開(kāi)任何安全門(mén)都應(yīng)該發(fā)出警報(bào)。所有車(chē)輛入口點(diǎn)都應(yīng)使用加固護(hù)柱以防止車(chē)輛襲擊。

保護(hù)所有端點(diǎn)

任何設(shè)備，無(wú)論是連接到數(shù)據(jù)中心網(wǎng)絡(luò)的服務(wù)器、平板電腦、智能手機(jī)還是筆記本電腦，都是端點(diǎn)。數(shù)據(jù)中心為安全標(biāo)準(zhǔn)可能存疑的客戶提供機(jī)架和籠子空間。如果客戶沒(méi)有正確保護(hù)服務(wù)器，整個(gè)數(shù)據(jù)中心都可能處于危險(xiǎn)之中。攻擊者將嘗試?yán)眠B接到互聯(lián)網(wǎng)的不安全設(shè)備。例如，大多數(shù)客戶希望遠(yuǎn)程訪問(wèn)配電單元 (PDU)，以便他們可以遠(yuǎn)程重新啟動(dòng)服務(wù)器。在此類用例中，安全性是一個(gè)重要問(wèn)題。設(shè)施提供商應(yīng)了解并保護(hù)所有連接到互聯(lián)網(wǎng)的設(shè)備。

維護(hù)視頻和條目日志

所有日志，包括視頻監(jiān)控錄像和進(jìn)入日志，都應(yīng)存檔至少三個(gè)月。發(fā)現(xiàn)一些違規(guī)行為已經(jīng)為時(shí)已晚，但記錄有助于識(shí)別易受攻擊的系統(tǒng)和入口點(diǎn)。

文件安全程序

擁有嚴(yán)格、定義明確和記錄在案的程序至關(guān)重要。像定期交付這樣簡(jiǎn)單的事情需要對(duì)其核心細(xì)節(jié)進(jìn)行精心計(jì)劃。不要留下任何解釋。

運(yùn)行定期安全審計(jì)

審計(jì)范圍從每日安全檢查、物理排查到季度 PCI 和?SOC 審計(jì)。物理審計(jì)是必要的，以驗(yàn)證實(shí)際條件是否符合報(bào)告的數(shù)據(jù)。

數(shù)據(jù)中心的數(shù)字安全層

以及所有物理控制、軟件和網(wǎng)絡(luò)構(gòu)成了可信數(shù)據(jù)中心的其余安全和訪問(wèn)模型。有多層數(shù)字保護(hù)旨在防止安全威脅獲得訪問(wèn)權(quán)限。

入侵檢測(cè)和防御系統(tǒng)

該系統(tǒng)檢查高級(jí)持續(xù)威脅 (APT)。它側(cè)重于尋找那些成功訪問(wèn)數(shù)據(jù)中心的人。APT 通常是贊助攻擊，黑客將針對(duì)他們收集的數(shù)據(jù)有一個(gè)特定的目標(biāo)。檢測(cè)這種攻擊需要實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)和系統(tǒng)活動(dòng)以發(fā)現(xiàn)任何異常事件。

異常事件可能包括：

• 具有提升權(quán)限的用戶在奇數(shù)時(shí)間訪問(wèn)系統(tǒng)的增加
• 服務(wù)請(qǐng)求的增加可能導(dǎo)致分布式拒絕服務(wù)攻擊 (DDoS)
• 出現(xiàn)或在系統(tǒng)中移動(dòng)的大型數(shù)據(jù)集。
• 從系統(tǒng)中提取大型數(shù)據(jù)集
• 對(duì)關(guān)鍵人員的網(wǎng)絡(luò)釣魚(yú)嘗試增加

為了應(yīng)對(duì)這種攻擊，入侵檢測(cè)和預(yù)防系統(tǒng) (IDPS) 使用正常系統(tǒng)狀態(tài)的基線。任何異常活動(dòng)都會(huì)得到響應(yīng)。IDP 現(xiàn)在使用人工神經(jīng)網(wǎng)絡(luò)或機(jī)器學(xué)習(xí)技術(shù)來(lái)發(fā)現(xiàn)這些活動(dòng)。

建筑管理系統(tǒng)的安全最佳實(shí)踐

樓宇管理系統(tǒng) (BMS) 與其他數(shù)據(jù)中心技術(shù)同步發(fā)展。他們現(xiàn)在可以管理建筑物系統(tǒng)的各個(gè)方面。這包括訪問(wèn)控制、氣流、火災(zāi)報(bào)警系統(tǒng)和環(huán)境溫度。現(xiàn)代 BMS 配備了許多連接的設(shè)備。它們從分散的控制系統(tǒng)發(fā)送數(shù)據(jù)或接收指令。設(shè)備本身以及它們使用的網(wǎng)絡(luò)都可能存在風(fēng)險(xiǎn)。任何具有 IP 地址的東西都是可破解的。

安全的建筑管理系統(tǒng)

安全專家知道，讓數(shù)據(jù)中心脫離地圖的最簡(jiǎn)單方法是攻擊其建筑管理系統(tǒng)。制造商在設(shè)計(jì)這些設(shè)備時(shí)可能沒(méi)有考慮到安全性，因此補(bǔ)丁是必要的。如果受到網(wǎng)絡(luò)攻擊，像自動(dòng)噴水滅火系統(tǒng)這樣微不足道的東西就可以摧毀數(shù)百臺(tái)服務(wù)器。

分割系統(tǒng)

將樓宇管理系統(tǒng)與主網(wǎng)絡(luò)分開(kāi)不再是可選的。更重要的是，即使有這樣的預(yù)防措施，攻擊者也可以找到破壞主要數(shù)據(jù)網(wǎng)絡(luò)的方法。在臭名昭著的 Target 數(shù)據(jù)泄露事件中，樓宇管理系統(tǒng)位于物理上獨(dú)立的網(wǎng)絡(luò)上。然而，這只會(huì)減緩攻擊者的速度，因?yàn)樗麄冏罱K會(huì)從一個(gè)網(wǎng)絡(luò)跳轉(zhuǎn)到另一個(gè)網(wǎng)絡(luò)。這將我們引向另一個(gè)關(guān)鍵點(diǎn)——監(jiān)控橫向運(yùn)動(dòng)。

橫向運(yùn)動(dòng)

橫向移動(dòng)是攻擊者用來(lái)在設(shè)備和網(wǎng)絡(luò)中移動(dòng)并獲得更高權(quán)限的一組技術(shù)。一旦攻擊者滲透到系統(tǒng)中，他們就會(huì)映射所有設(shè)備和應(yīng)用程序，以嘗試識(shí)別易受攻擊的組件。如果未及早檢測(cè)到威脅，攻擊者可能會(huì)獲得特權(quán)訪問(wèn)，并最終造成嚴(yán)重破壞。橫向移動(dòng)監(jiān)控限制了數(shù)據(jù)中心安全威脅在系統(tǒng)內(nèi)活躍的時(shí)間。即使有了這些額外的控制，BMS 中仍有可能存在未知接入點(diǎn)。

網(wǎng)絡(luò)級(jí)別的安全

越來(lái)越多地使用基于虛擬化的基礎(chǔ)架構(gòu)帶來(lái)了新級(jí)別的安全挑戰(zhàn)。為此，數(shù)據(jù)中心正在采用網(wǎng)絡(luò)級(jí)安全方法。網(wǎng)絡(luò)級(jí)加密在網(wǎng)絡(luò)數(shù)據(jù)傳輸層使用密碼學(xué)，負(fù)責(zé)端點(diǎn)之間的連接和路由。加密在數(shù)據(jù)傳輸期間處于活動(dòng)狀態(tài)，并且這種類型的加密獨(dú)立于任何其他加密工作，使其成為一個(gè)獨(dú)立的解決方案。

網(wǎng)絡(luò)分段

在軟件級(jí)別對(duì)網(wǎng)絡(luò)流量進(jìn)行分段是一種很好的做法。這意味著根據(jù)端點(diǎn)身份將所有流量分類到不同的段中。每個(gè)段都與所有其他段隔離，因此充當(dāng)獨(dú)立的子網(wǎng)。網(wǎng)絡(luò)分段?簡(jiǎn)化了策略執(zhí)行。此外，它包含單個(gè)子網(wǎng)中的任何潛在威脅，防止它攻擊其他設(shè)備和網(wǎng)絡(luò)。

虛擬防火墻

盡管數(shù)據(jù)中心將有一個(gè)物理防火墻作為其安全系統(tǒng)的一部分，但它也可能為其客戶配備一個(gè)虛擬防火墻。虛擬防火墻監(jiān)視數(shù)據(jù)中心物理網(wǎng)絡(luò)之外的上游網(wǎng)絡(luò)活動(dòng)。這有助于在不使用必要的防火墻資源的情況下及早發(fā)現(xiàn)數(shù)據(jù)包注入。虛擬防火墻可以是管理程序的一部分，也可以?以?橋接模式存在于它們自己的虛擬機(jī)上。

傳統(tǒng)威脅防護(hù)解決方案

著名的威脅防護(hù)解決方案包括：

• 虛擬化專用網(wǎng)絡(luò)和加密通信
• 內(nèi)容、數(shù)據(jù)包、網(wǎng)絡(luò)、垃圾郵件和病毒過(guò)濾
• 流量或 NetFlow 分析器和隔離器

結(jié)合這些技術(shù)將有助于確保數(shù)據(jù)安全，同時(shí)保持所有者可以訪問(wèn)。

數(shù)據(jù)中心安全標(biāo)準(zhǔn)

使數(shù)據(jù)服務(wù)更安全和數(shù)據(jù)中心安全標(biāo)準(zhǔn)化的趨勢(shì)。為了支持這一點(diǎn)，??Uptime Institute?發(fā)布了數(shù)據(jù)中心的等級(jí)分類系統(tǒng)。分類系統(tǒng)為確保可用性的數(shù)據(jù)中心控制設(shè)置了標(biāo)準(zhǔn)。由于安全性會(huì)影響系統(tǒng)的正常運(yùn)行時(shí)間，因此它構(gòu)成了其?等級(jí)分類?標(biāo)準(zhǔn)的一部分。系統(tǒng)定義了四個(gè) 4 層。每一層都映射到業(yè)務(wù)需求，這取決于存儲(chǔ)和管理的數(shù)據(jù)類型。

第 1 層和第 2 層

被視為戰(zhàn)術(shù)服務(wù)，第 1 層和第 2 層將僅具有本文中列出的一些安全功能。它們成本低，可供不希望實(shí)時(shí)訪問(wèn)其數(shù)據(jù)并且不會(huì)因臨時(shí)系統(tǒng)故障而遭受財(cái)務(wù)損失的公司使用。它們主要用于異地?cái)?shù)據(jù)存儲(chǔ)。

第 3 層和第 4 層

這些層具有更高級(jí)別的安全性。它們具有內(nèi)置冗余功能，可確保正常運(yùn)行時(shí)間和訪問(wèn)。為了解服務(wù)中斷造成的聲譽(yù)損害成本的公司提供關(guān)鍵任務(wù)服務(wù)。這些實(shí)時(shí)數(shù)據(jù)處理設(shè)施提供最高標(biāo)準(zhǔn)的安全性。