引言

　　隨著網(wǎng)絡(luò)時(shí)代的到來(lái)，計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)滲透到了社會(huì)生活的方方面面和各行各業(yè)，深刻影響著世界的政治、經(jīng)濟(jì)、軍事及文化等領(lǐng)域，極大地推動(dòng)了人類文明的進(jìn)步。數(shù)據(jù)中心能夠匯總各項(xiàng)關(guān)鍵數(shù)據(jù)，有效整合各類數(shù)據(jù)資源，搭建開放的信息資源共享平臺(tái)，為政府決策和社會(huì)公眾提供實(shí)時(shí)高效的數(shù)據(jù)服務(wù)。然而，數(shù)據(jù)中心在為人們提供極大便利的同時(shí)，也無(wú)可避免地面臨著極其嚴(yán)峻的安全挑戰(zhàn)。因此，如何保證數(shù)據(jù)中心安全可靠地運(yùn)行，確保數(shù)據(jù)中心數(shù)據(jù)的完整性、準(zhǔn)確性和可靠性，就成為了亟待解決的問題。

一 數(shù)據(jù)中心的安全現(xiàn)狀

　　數(shù)據(jù)中心是現(xiàn)代社會(huì)的信息資源庫(kù)，能夠提供各項(xiàng)數(shù)據(jù)服務(wù)，它通過互聯(lián)網(wǎng)與外界進(jìn)行信息交互，響應(yīng)服務(wù)請(qǐng)求。由于互聯(lián)網(wǎng)的高度開放性，使得數(shù)據(jù)中心也成為了互聯(lián)網(wǎng)上的一個(gè)組成節(jié)點(diǎn)，同樣也面臨著其他節(jié)點(diǎn)受到的共同威脅：病毒、蠕蟲、木馬、后門及邏輯炸彈等。在少數(shù)別有用心的人眼中，數(shù)據(jù)中心保存的各種關(guān)鍵數(shù)據(jù)是無(wú)價(jià)之寶，在經(jīng)濟(jì)利益或其他特定目的的驅(qū)使下，這些人會(huì)利用種種手段對(duì)數(shù)據(jù)中心發(fā)動(dòng)攻擊或企圖滲透進(jìn)入數(shù)據(jù)中心，對(duì)數(shù)據(jù)中心的關(guān)鍵數(shù)據(jù)進(jìn)行各種非授權(quán)訪問和非法操作。由此可能帶來(lái)數(shù)據(jù)中心的關(guān)鍵數(shù)據(jù)被監(jiān)聽、竊取、仿冒和篡改，服務(wù)器運(yùn)行緩慢、性能下降或死機(jī)而無(wú)法對(duì)外提供數(shù)據(jù)服務(wù)，甚至硬件被損壞，造成重大損失。由于數(shù)據(jù)中心在網(wǎng)絡(luò)中直接擔(dān)負(fù)著匯總數(shù)據(jù)、整合數(shù)據(jù)資源、提供數(shù)據(jù)服務(wù)和維護(hù)全網(wǎng)運(yùn)行等任務(wù)，是各種網(wǎng)絡(luò)活動(dòng)得以安全運(yùn)行的基礎(chǔ)，必須能夠提供較快的響應(yīng)速度，滿足全時(shí)段提供服務(wù)的要求。因此，數(shù)據(jù)中心的安全運(yùn)行就顯得至關(guān)重要。

二 數(shù)據(jù)中心存在的安全缺陷

　　當(dāng)前，數(shù)據(jù)中心為應(yīng)對(duì)種種安全威脅，采取了許多安全機(jī)制和防范措施，綜合而言，主要采取的應(yīng)對(duì)策略有防病毒技術(shù)、防火墻技術(shù)、入侵檢測(cè)技術(shù)和數(shù)據(jù)庫(kù)安全審計(jì)，有效確保了數(shù)據(jù)中心的可靠運(yùn)行。這些技術(shù)通過不同機(jī)制來(lái)應(yīng)付種種安全威脅，各有所長(zhǎng)，取得了極大成效。然而從實(shí)踐結(jié)果來(lái)看，仍然存在不小的缺陷，如下所述：

　�、俦M管數(shù)據(jù)中心安裝了不同類型的防病毒硬件或殺毒軟件，但是，數(shù)據(jù)中心安全不僅僅包括防病毒的問題，還包括外來(lái)非法侵人檢測(cè)與安全策略執(zhí)行等方面，防病毒技術(shù)難以完全解決這些方面的威脅。

　�、跀�(shù)據(jù)中心安裝軟硬件防火墻后，可以通過設(shè)定規(guī)則來(lái)阻止非授權(quán)訪問，但是仍無(wú)法避免垃圾郵件及拒絕服務(wù)的侵?jǐn)_。

　�、廴肭謾z測(cè)技術(shù)是被動(dòng)檢測(cè)，在提前預(yù)警和主動(dòng)預(yù)測(cè)方面存在先天不足，且難以精確定位入侵來(lái)自何處。

　�、軘�(shù)據(jù)庫(kù)安全審計(jì)能夠?qū)��?shù)據(jù)中心的工作過程進(jìn)行實(shí)時(shí)跟蹤和審計(jì)，有效監(jiān)控網(wǎng)內(nèi)和網(wǎng)外用戶對(duì)數(shù)據(jù)庫(kù)的操作，但是目前的這種安全審計(jì)仍然存在系統(tǒng)智能化程度低、無(wú)法進(jìn)行實(shí)時(shí)監(jiān)測(cè)和及時(shí)報(bào)警、審計(jì)日志可以被攻擊者惡意刪除，以及篩選有用信息極其困難等缺點(diǎn)。

　　因此，針對(duì)當(dāng)前數(shù)據(jù)中心安全機(jī)制存在的不足，這里提出了數(shù)據(jù)中心的4層安全體系架構(gòu)，通過搭建應(yīng)用層的4層防護(hù)體系，實(shí)現(xiàn)數(shù)據(jù)中心的全面防護(hù)，保障數(shù)據(jù)中心的可靠運(yùn)行。

三 數(shù)據(jù)中心建設(shè)的安全策略

　　3.1 數(shù)據(jù)中心安全策略的體系架構(gòu)

　　數(shù)據(jù)中心安全的內(nèi)容已從原來(lái)的保密性和完整性擴(kuò)展為信息的可用性、核查性、真實(shí)性、抗抵賴性以及可靠性等范圍，更涉及到包括計(jì)算機(jī)硬件系統(tǒng)、操作系統(tǒng)、應(yīng)用程序以及與應(yīng)用程序相關(guān)聯(lián)的計(jì)算機(jī)網(wǎng)絡(luò)硬件設(shè)施和數(shù)據(jù)庫(kù)系統(tǒng)等計(jì)算機(jī)網(wǎng)絡(luò)體系的方方面面，具體架構(gòu)如圖1所示。從圖1中可以看出，數(shù)據(jù)中心建設(shè)的安全策略包括4層：硬件安全防護(hù)層、數(shù)據(jù)安全檢測(cè)層、數(shù)據(jù)隔離恢復(fù)層和數(shù)據(jù)安全備份層。

　　3.2 數(shù)據(jù)中心安全策略的功能設(shè)計(jì)

　　3.2.1 硬件安全防護(hù)層

　　數(shù)據(jù)中心建設(shè)的硬件安全主要采用的策略包括高速帶寬、服務(wù)器負(fù)載平衡以及防火墻的使用。

　　(1)高速帶寬(High Speed Bandwidth)

　　為了使數(shù)據(jù)中心在激烈的計(jì)算機(jī)網(wǎng)絡(luò)競(jìng)爭(zhēng)中處于領(lǐng)先地位，高質(zhì)量的網(wǎng)絡(luò)連接是維持高質(zhì)量數(shù)據(jù)中心的基本要素。為避免因計(jì)算機(jī)網(wǎng)絡(luò)帶寬的共享問題產(chǎn)生沖突而降低數(shù)據(jù)中心的功能和效率，應(yīng)該為數(shù)據(jù)中心的管理者和使用者提供最大限度的利用帶寬。

　　(2)服務(wù)器負(fù)載平衡(Server LOAd Balancing)

　　單一的服務(wù)器不能滿足數(shù)據(jù)中心日益增加的用戶訪問量、數(shù)據(jù)資源和信息資源。數(shù)據(jù)中心的應(yīng)用系統(tǒng)采用了3層結(jié)構(gòu)，數(shù)據(jù)中心中大量復(fù)雜的查詢、重復(fù)的計(jì)算以及動(dòng)態(tài)超文本網(wǎng)頁(yè)的生成都是通過服務(wù)器來(lái)實(shí)現(xiàn)的，而服務(wù)器的速度一直都是數(shù)據(jù)中心數(shù)據(jù)處理速度的“瓶頸” 。為了滿足ISP/ICP的需求，提高數(shù)據(jù)中心服務(wù)器的訪問性能，數(shù)據(jù)中心建設(shè)采用了服務(wù)器負(fù)載均衡的先進(jìn)技術(shù)。網(wǎng)絡(luò)負(fù)載均衡器是一個(gè)非常重要的計(jì)算機(jī)網(wǎng)絡(luò)產(chǎn)品，利用一個(gè)IP資源就可以根據(jù)用戶的要求產(chǎn)生多個(gè)虛擬的IP服務(wù)器，按照一定協(xié)議能夠使它們協(xié)調(diào)一致地工作。不同的用戶或者不同的訪問請(qǐng)求可以訪問到不同的服務(wù)器，使得多個(gè)服務(wù)器可以同時(shí)并行工作，提高服務(wù)器的訪問性能。如果當(dāng)計(jì)算機(jī)“黑客” 攻擊某臺(tái)服務(wù)器而導(dǎo)致該服務(wù)器的系統(tǒng)癱瘓時(shí)，負(fù)載均衡器和負(fù)載均衡技術(shù)會(huì)關(guān)閉其與該系統(tǒng)的連接，將其訪問分流到其他服務(wù)器上，保證了數(shù)據(jù)中心持續(xù)穩(wěn)定的工作。

　　(3)防火墻(Firewall)

　　防火墻技術(shù)是位于Internet之間或者內(nèi)部網(wǎng)絡(luò)之間以及Internet與內(nèi)部網(wǎng)絡(luò)之間的計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備或計(jì)算機(jī)中的一個(gè)功能模塊，主要由硬件防火墻與軟件防火墻按照一定的安全策略建立起來(lái)的有機(jī)組成體，目的在于保護(hù)內(nèi)部網(wǎng)絡(luò)或計(jì)算機(jī)主機(jī)的安全。原則上只有在內(nèi)部網(wǎng)絡(luò)安全策略中合法的通信量才能順利進(jìn)出防火墻。具體功能包括保護(hù)數(shù)據(jù)的完整性、保護(hù)網(wǎng)絡(luò)的有效性和保護(hù)數(shù)據(jù)的精密性。防火墻的使用便于數(shù)據(jù)中心硬件資源和軟件資源集中的安全管理，安全策略的強(qiáng)制執(zhí)行，從而降低了計(jì)算機(jī)網(wǎng)絡(luò)的脆弱性，提高了數(shù)據(jù)中心的安全保密性。

　　3.2.2 數(shù)據(jù)安全檢測(cè)層

　　數(shù)據(jù)安全檢測(cè)層包括數(shù)據(jù)的入侵檢測(cè)和數(shù)據(jù)與安全審計(jì)兩大功能，主要完成隱患數(shù)據(jù)和操作進(jìn)不來(lái)以及隱患數(shù)據(jù)和操作查得出的任務(wù)。

　　(1)入侵檢測(cè)(Intrusion Detection)

　　數(shù)據(jù)的入侵檢測(cè)是一種積極的安全防護(hù)技術(shù)，是繼防火墻之后的第二道安全閘門，是把數(shù)據(jù)中心的關(guān)口前移，對(duì)入侵行為進(jìn)行安全檢測(cè)，讓存在安全隱患的數(shù)據(jù)不能進(jìn)入到數(shù)據(jù)中心，主要通過收集和分析用戶的網(wǎng)絡(luò)行為；安全日志、審計(jì)規(guī)則和數(shù)據(jù)；網(wǎng)絡(luò)中計(jì)算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)的信息，檢查進(jìn)入數(shù)據(jù)中心以及數(shù)據(jù)中心內(nèi)部的操作、數(shù)據(jù)是否違反安全策略以及是否存在被攻擊的跡象。主要采用模式匹配、統(tǒng)計(jì)分析和完整性分析3種分析策略。數(shù)據(jù)中心建設(shè)的入侵檢測(cè)采用的是公共入侵檢測(cè)框架(CIDF)，其具體架構(gòu)如圖2所示。入侵檢測(cè)系統(tǒng)可以根據(jù)對(duì)數(shù)據(jù)和操作的分析，檢測(cè)出數(shù)據(jù)中心是否受到外部或者內(nèi)部的入侵和攻擊。

　　(2)安全審計(jì)(Security Auditing)

　　數(shù)據(jù)安全審計(jì)的作用是審計(jì)和檢查出危害數(shù)據(jù)中心的操作和數(shù)據(jù)。數(shù)據(jù)安全審計(jì)系統(tǒng)是數(shù)據(jù)中心中的一個(gè)獨(dú)立的應(yīng)用系統(tǒng)，主要針對(duì)數(shù)據(jù)中心內(nèi)部的各種安全隱患和業(yè)務(wù)風(fēng)險(xiǎn)，根據(jù)既定的審計(jì)規(guī)則(數(shù)據(jù)審計(jì)字典)對(duì)數(shù)據(jù)中心系統(tǒng)運(yùn)行的各種操作和各種數(shù)據(jù)進(jìn)行跟蹤記錄，采用誤用檢測(cè)技術(shù)、異常檢測(cè)技術(shù)以及數(shù)據(jù)挖掘技術(shù)審計(jì)和檢測(cè)數(shù)據(jù)中心存在的安全漏洞以及安全漏洞被利用的方式。

　　安全審計(jì)系統(tǒng)主要采用分層的思想進(jìn)行構(gòu)建，具體結(jié)構(gòu)如圖3所示。安全審計(jì)系統(tǒng)的目標(biāo)是隨著數(shù)據(jù)入侵檢測(cè)技術(shù)的不斷成熟，安全審計(jì)系統(tǒng)知識(shí)庫(kù)、規(guī)則庫(kù)以及審計(jì)數(shù)據(jù)庫(kù)的不斷完善，最終實(shí)現(xiàn)對(duì)數(shù)據(jù)中心各種操作和數(shù)據(jù)的實(shí)時(shí)與準(zhǔn)實(shí)時(shí)的審計(jì)和處理，達(dá)到數(shù)據(jù)中心安全防范的整體目標(biāo)。

　　3.2.3 數(shù)據(jù)隔離恢復(fù)層

　　數(shù)據(jù)隔離恢復(fù)層是對(duì)數(shù)據(jù)中心中的隱患或者不安全數(shù)據(jù)和操作進(jìn)行的相關(guān)處理，包括數(shù)據(jù)隔離和數(shù)據(jù)恢復(fù)，主要目的是將隱患或者不安全數(shù)據(jù)和操作趕出數(shù)據(jù)中心，以保證數(shù)據(jù)中心的安全。

　　(1)數(shù)據(jù)隔離(Data Isolation)

　　為了避免隱患或者不安全數(shù)據(jù)和操作造成的數(shù)據(jù)受損范圍的擴(kuò)大，當(dāng)發(fā)現(xiàn)數(shù)據(jù)中心存在隱患或者不安全數(shù)據(jù)和操作時(shí)，必須進(jìn)行數(shù)據(jù)隔離，禁止所有用戶對(duì)相關(guān)數(shù)據(jù)的請(qǐng)求，在數(shù)據(jù)修復(fù)之后解除隔離，從而有效地避免在數(shù)據(jù)恢復(fù)階段由于數(shù)據(jù)共享導(dǎo)致的數(shù)據(jù)中心受損范圍的擴(kuò)大，包括物理隔離技術(shù)和軟件隔離技術(shù)兩個(gè)層面。主要策略包括以下方面：

　　①隔離的完整性

　　數(shù)據(jù)隔離僅對(duì)受損數(shù)據(jù)有效，而不影響用戶合法的數(shù)據(jù)請(qǐng)求，同時(shí)，數(shù)據(jù)隔離的粒度要盡可能的小，數(shù)據(jù)項(xiàng)級(jí)別要達(dá)到元組級(jí)或者元素級(jí)。

　　②隔離的有效性

　　除了受損數(shù)據(jù)恢復(fù)進(jìn)程，任何用戶請(qǐng)求都不能直接訪問受損數(shù)據(jù)， 即使是請(qǐng)求中子查詢操作也應(yīng)該被隔離。

　　③隔離的效率

　　隔離數(shù)據(jù)不需占用太多的系統(tǒng)空間資源，同時(shí)，受損數(shù)據(jù)的隔離應(yīng)具有較高的執(zhí)行效率，且不會(huì)對(duì)數(shù)據(jù)中心的系統(tǒng)性能造成較大的影響。

　　(2)數(shù)據(jù)恢復(fù)(Data Reconstruction)

　　數(shù)據(jù)隔離恢復(fù)層應(yīng)該具有較強(qiáng)的自愈性，能夠及時(shí)自動(dòng)修復(fù)受損的數(shù)據(jù)，以保證數(shù)據(jù)中心系統(tǒng)的穩(wěn)定性和數(shù)據(jù)的完整性。

　　3.2.4 數(shù)據(jù)安全備份層

　　數(shù)據(jù)的安全備份是數(shù)據(jù)中心容災(zāi)的基礎(chǔ)，是指防止數(shù)據(jù)中心的數(shù)據(jù)由于操作失誤、系統(tǒng)故障或者惡意攻擊而導(dǎo)致的丟失，將數(shù)據(jù)全部或部分復(fù)制的過程。為了保證數(shù)據(jù)的安全，在數(shù)據(jù)中心中通常使用兩個(gè)或者多個(gè)數(shù)據(jù)庫(kù)，互為主、備用，包括數(shù)據(jù)庫(kù)的實(shí)時(shí)同步和數(shù)據(jù)庫(kù)的備份兩個(gè)方面。

　　(1)實(shí)時(shí)同步(Real-time Synchronization)

　　數(shù)據(jù)庫(kù)的實(shí)時(shí)同步主要是指根據(jù)需要使數(shù)據(jù)庫(kù)操作持部分或者完全一致。數(shù)據(jù)庫(kù)的實(shí)時(shí)同步有兩種實(shí)現(xiàn)方式：一種是根據(jù)數(shù)據(jù)庫(kù)中的訪問日志，采用鏡像技術(shù)使主用數(shù)據(jù)庫(kù)與備用數(shù)據(jù)庫(kù)中的數(shù)據(jù)保持絕對(duì)一致，當(dāng)主用數(shù)據(jù)庫(kù)發(fā)生故障或損壞時(shí)，備用數(shù)據(jù)庫(kù)可以自動(dòng)代替其功能，并作為恢復(fù)主用數(shù)據(jù)庫(kù)的數(shù)據(jù)源。這種方式往往比較適合同一種類型的數(shù)據(jù)庫(kù)，并且數(shù)據(jù)庫(kù)的數(shù)據(jù)結(jié)構(gòu)完全一致的情況。如果要把這種數(shù)據(jù)庫(kù)的同步方式應(yīng)用于不同類型的數(shù)據(jù)庫(kù)或者是不同的數(shù)據(jù)結(jié)構(gòu)時(shí)都會(huì)遇到困難。另一種實(shí)現(xiàn)方式是通過分析主、備用數(shù)據(jù)庫(kù)中的內(nèi)容，找出之問的差異，并將差異部分的記錄寫入對(duì)方數(shù)據(jù)庫(kù)中，達(dá)到數(shù)據(jù)同步的目的。這種方式對(duì)數(shù)據(jù)庫(kù)的類型以及數(shù)據(jù)庫(kù)的數(shù)據(jù)結(jié)構(gòu)沒有嚴(yán)格要求，這是因?yàn)楫?dāng)數(shù)據(jù)從一個(gè)數(shù)據(jù)庫(kù)中調(diào)出，在寫入另一數(shù)據(jù)庫(kù)中之前，可以做適當(dāng)?shù)臄?shù)據(jù)類型轉(zhuǎn)換，從而實(shí)現(xiàn)數(shù)據(jù)庫(kù)中的數(shù)據(jù)一致。而且還可以使用ODBC接口來(lái)訪問數(shù)據(jù)庫(kù)，因而，這種數(shù)據(jù)庫(kù)同步的實(shí)現(xiàn)方式可以適用于各種類型數(shù)據(jù)庫(kù)以及各種數(shù)據(jù)結(jié)構(gòu)的數(shù)據(jù)庫(kù)之間的數(shù)據(jù)同步。

　　(2)數(shù)據(jù)庫(kù)備份(Data Backup)

　　常用的數(shù)據(jù)備份方式有定期磁盤(光盤)備份數(shù)據(jù)、遠(yuǎn)程數(shù)據(jù)庫(kù)備份、網(wǎng)絡(luò)數(shù)據(jù)鏡像和遠(yuǎn)程鏡像磁盤。數(shù)據(jù)中心建設(shè)主要采用網(wǎng)絡(luò)備份方式，網(wǎng)絡(luò)備份主要通過專業(yè)的數(shù)據(jù)存儲(chǔ)管理軟件結(jié)合相應(yīng)的硬件和存儲(chǔ)設(shè)備來(lái)實(shí)現(xiàn)，采用如下策略和手段：

　　①完全備份

　　每天對(duì)數(shù)據(jù)中心的數(shù)據(jù)進(jìn)行完全備份，保證數(shù)據(jù)庫(kù)的實(shí)時(shí)同步，主要優(yōu)點(diǎn)是數(shù)據(jù)恢復(fù)及時(shí)、完整，缺點(diǎn)是備份繁瑣、費(fèi)時(shí)，且占用大量的空間資源。

　　②增量備份

　　指定每周的一天進(jìn)行一次完全備份，其余時(shí)間只進(jìn)行新增或者修改數(shù)據(jù)的備份，主要優(yōu)點(diǎn)是節(jié)省備份時(shí)間和空間資源，缺點(diǎn)是數(shù)據(jù)恢復(fù)比較麻煩。

　　③差分備份

　　指定每周的一天進(jìn)行一次完全備份，其余時(shí)間只進(jìn)行所有與這天不同數(shù)據(jù)的備份，差分備份可以較好地避免完全備份和增量備份帶來(lái)的缺陷。

　　在數(shù)據(jù)中心的建設(shè)中，通常是綜合使用以上3種策略，即每周一至周六進(jìn)行差分備份或者增量備份，每周日進(jìn)行完全備份，每月、每季與每年進(jìn)行一次數(shù)據(jù)庫(kù)的完全備份。

四 結(jié)語(yǔ)

　　這里針對(duì)當(dāng)前數(shù)據(jù)中心建設(shè)中出現(xiàn)的安全隱患和安全風(fēng)險(xiǎn)，對(duì)數(shù)據(jù)中心建設(shè)的數(shù)據(jù)問題安全進(jìn)行深入細(xì)致的研究和分析，提出了4層架構(gòu)的數(shù)據(jù)安全策略。該安全策略對(duì)保護(hù)數(shù)據(jù)中心數(shù)據(jù)的穩(wěn)定性、可靠性、抗抵賴性和安全性提供了較強(qiáng)的理論指導(dǎo)意義。

核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標(biāo)題：數(shù)據(jù)中心建設(shè)安全策略的研究

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/1083955258.html