數(shù)據(jù)中心安全加固方案
類型：智慧教育 日期：2020-01-03
學(xué)校數(shù)據(jù)中心當(dāng)前主要承擔(dān)學(xué)校各項業(yè)務(wù)系統(tǒng)的運營，是學(xué)校信息化資產(chǎn)的核心位置。目前防火墻位于數(shù)據(jù)中心與校園網(wǎng)邊界，實現(xiàn)基本的訪問控制與邊界安全隔離；WEB應(yīng)用防火墻與漏洞掃描設(shè)備均旁路部署在數(shù)據(jù)中心交換機上，WEB應(yīng)用防火墻承擔(dān)學(xué)校網(wǎng)站系統(tǒng)的安全防護，實現(xiàn)針對SQL注入、跨站腳本攻擊、網(wǎng)站掛馬、黑鏈的防護；漏洞掃描設(shè)備承擔(dān)對業(yè)務(wù)系統(tǒng)的操作系統(tǒng)、數(shù)據(jù)庫進行漏洞分析檢測功能；
一、等保合規(guī)
本次方案主要針對現(xiàn)有的網(wǎng)絡(luò)安全體系無法滿足信息系統(tǒng)安全等級保護第三級需要，因此，我們的建設(shè)的目標(biāo)是需要滿足等保三級相關(guān)的技術(shù)要求。
信息系統(tǒng)安全保障主體是業(yè)務(wù)系統(tǒng)，安全保障框架所有安全控制都應(yīng)以安全方針、策略做為安全工作的指導(dǎo)與依據(jù)，落實安全管理和安全技術(shù)兩大維度的具體實施與維護，以業(yè)務(wù)系統(tǒng)的安全運營為信息安全保障建設(shè)的核心，并輔以安全評估與安全培訓(xùn)貫穿信息安全保障體系的全過程，形成風(fēng)險可控的安全保障框架體系。
二、方案簡介
數(shù)據(jù)中心安全加固整體方案拓撲如下圖所示：
數(shù)據(jù)中心安全加固，采用安恒眀御下一代防火墻替換原有的H3C防火墻，制定細化的訪問控制策略，關(guān)閉無需使用的端口及IP地址，實現(xiàn)對數(shù)據(jù)中心訪問的精細化控制。同時，在安恒眀御下一代防火墻上開啟防病毒模塊，實現(xiàn)基于網(wǎng)關(guān)的在線殺毒功能。
三、建設(shè)原則
n 重點保護原則
根據(jù)信息系統(tǒng)的重要程度、業(yè)務(wù)特點，通過不同安全區(qū)域的劃分，實現(xiàn)不同強度的安全保護，集中資源優(yōu)先保護涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的信息系統(tǒng)。
n 適度安全原則
任何信息系統(tǒng)都不能做到絕對的安全，過多的安全要求必將造成易用性降低和運行的復(fù)雜性，因此要在安全需求、安全風(fēng)險和易用性之間進行平衡和折中。
n 風(fēng)險管理原則
進行安全風(fēng)險管理，確認可能影響信息系統(tǒng)的安全風(fēng)險，正確的識別風(fēng)險、合理的管理風(fēng)險，并讓信息系統(tǒng)的安全風(fēng)險降低到可以接受的水平以內(nèi)。
n 分權(quán)制衡原則
在信息系統(tǒng)中，對所有權(quán)限應(yīng)該進行適當(dāng)?shù)貏澐?，使每個授權(quán)主體只能擁有其中的一部分權(quán)限，使他們之間相互制約、相互監(jiān)督，共同保證信息系統(tǒng)的安全。
n 標(biāo)準(zhǔn)化原則
在方案設(shè)計和設(shè)備選型方面必須遵循國家以及行業(yè)內(nèi)的相關(guān)標(biāo)準(zhǔn)，并充分考慮不同產(chǎn)品之間的兼容性。
n 統(tǒng)一安全管理原則
在方案設(shè)計中主機、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)、數(shù)據(jù)庫等必須遵循統(tǒng)一安全管理的要求。
四、方案優(yōu)勢
n 滿足信息系統(tǒng)等級保護第三級的相關(guān)要求；
n 引入高級威脅監(jiān)測體系，并且聯(lián)動防火墻，可對未知威脅進行監(jiān)測和防護；
n 最大程度的利舊，節(jié)省項目資金投入；
n 為后期態(tài)勢感知、大數(shù)據(jù)平臺的部署升級做好了技術(shù)準(zhǔn)備。