數(shù)據(jù)是一種商品,需要積極的數(shù)據(jù)中心安全策略才能對其進行正確管理。系統(tǒng)中的單一漏洞將對公司造成嚴重破壞并產(chǎn)生長期影響。您的關鍵工作負載是否與外部?網(wǎng)絡安全威脅隔離?這是您想知道您的公司是否使用(或計劃使用)托管服務的第一個保證。對可信數(shù)據(jù)中心的入侵往往更頻繁地發(fā)生。當有關APT 攻擊?(Advanced Persistent Threat) 成功的新聞爆出時,公眾會注意到。為了阻止這種趨勢,服務提供商需要采用零信任模型。從物理結(jié)構(gòu)到聯(lián)網(wǎng)機架,每個組件的設計都考慮到了這一點。
零信任架構(gòu)
零信任模型將數(shù)據(jù)的每筆交易、移動或迭代都視為可疑。它是最新的入侵檢測方法之一。該系統(tǒng)跟蹤網(wǎng)絡行為,并實時從指揮中心流出數(shù)據(jù)。它會檢查任何從系統(tǒng)中提取數(shù)據(jù)的人,并在檢測到異常時提醒員工或撤銷帳戶的權(quán)限。
數(shù)據(jù)中心的安全層和冗余
確保數(shù)據(jù)安全需要安全控制,并且系統(tǒng)檢查逐層構(gòu)建到數(shù)據(jù)中心的結(jié)構(gòu)中。從物理建筑本身、軟件系統(tǒng)和日常任務中涉及的人員。您可以將圖層分為物理層或數(shù)字層。
數(shù)據(jù)中心物理安全標準
地點
評估數(shù)據(jù)中心是否安全從位置開始。
可信數(shù)據(jù)中心的設計將考慮:
- 該地區(qū)的地質(zhì)活動
- 區(qū)域內(nèi)高風險行業(yè)
- 任何洪水風險
- 其他不可抗力風險
您可以通過在物理設計中設置障礙或額外冗余來防止上面列出的一些風險。由于有害影響,這些事件將對數(shù)據(jù)中心的運營產(chǎn)生影響;最好完全避免它們。
建筑物、結(jié)構(gòu)和數(shù)據(jù)中心支持系統(tǒng)
構(gòu)成數(shù)據(jù)中心的結(jié)構(gòu)設計需要降低任何訪問控制風險。周圍的圍欄,建筑物墻壁的厚度和材料,以及它的入口數(shù)量。這些都會影響數(shù)據(jù)中心的安全。
一些關鍵因素還包括:
- 配有鎖的服務器機柜。
- 建筑物需要不止一個供應商來提供電信服務和電力。
- UPS 和發(fā)電機等額外的備用?電源系統(tǒng)?是關鍵基礎設施。
- 陷阱的使用。這涉及在兩個單獨的門之間安裝一個氣閘,兩扇門都需要驗證
- 考慮未來在同一邊界內(nèi)的擴展
- 與空白區(qū)分開的支持系統(tǒng)允許授權(quán)的工作人員執(zhí)行他們的任務。它還阻止維護和服務技術(shù)人員在無人監(jiān)督的情況下進入。
物理訪問控制
控制數(shù)據(jù)中心周圍的訪客和工作人員的移動至關重要。如果您在所有門上都安裝了生物識別掃描儀——并記錄誰可以訪問什么以及何時訪問——這將有助于調(diào)查未來任何潛在的違規(guī)行為。火災逃生通道和疏散路線應該只允許人們離開建筑物。不應有任何室外把手,以防止重新進入。打開任何安全門都應該發(fā)出警報。所有車輛入口點都應使用加固護柱以防止車輛襲擊。
保護所有端點
任何設備,無論是連接到數(shù)據(jù)中心網(wǎng)絡的服務器、平板電腦、智能手機還是筆記本電腦,都是端點。數(shù)據(jù)中心為安全標準可能存疑的客戶提供機架和籠子空間。如果客戶沒有正確保護服務器,整個數(shù)據(jù)中心都可能處于危險之中。攻擊者將嘗試利用連接到互聯(lián)網(wǎng)的不安全設備。例如,大多數(shù)客戶希望遠程訪問配電單元 (PDU),以便他們可以遠程重新啟動服務器。在此類用例中,安全性是一個重要問題。設施提供商應了解并保護所有連接到互聯(lián)網(wǎng)的設備。
維護視頻和條目日志
所有日志,包括視頻監(jiān)控錄像和進入日志,都應存檔至少三個月。發(fā)現(xiàn)一些違規(guī)行為已經(jīng)為時已晚,但記錄有助于識別易受攻擊的系統(tǒng)和入口點。
文件安全程序
擁有嚴格、定義明確和記錄在案的程序至關重要。像定期交付這樣簡單的事情需要對其核心細節(jié)進行精心計劃。不要留下任何解釋。
運行定期安全審計
審計范圍從每日安全檢查、物理排查到季度 PCI 和?SOC 審計。物理審計是必要的,以驗證實際條件是否符合報告的數(shù)據(jù)。
數(shù)據(jù)中心的數(shù)字安全層
以及所有物理控制、軟件和網(wǎng)絡構(gòu)成了可信數(shù)據(jù)中心的其余安全和訪問模型。有多層數(shù)字保護旨在防止安全威脅獲得訪問權(quán)限。
入侵檢測和防御系統(tǒng)
該系統(tǒng)檢查高級持續(xù)威脅 (APT)。它側(cè)重于尋找那些成功訪問數(shù)據(jù)中心的人。APT 通常是贊助攻擊,黑客將針對他們收集的數(shù)據(jù)有一個特定的目標。檢測這種攻擊需要實時監(jiān)控網(wǎng)絡和系統(tǒng)活動以發(fā)現(xiàn)任何異常事件。
異常事件可能包括:
- 具有提升權(quán)限的用戶在奇數(shù)時間訪問系統(tǒng)的增加
- 服務請求的增加可能導致分布式拒絕服務攻擊 (DDoS)
- 出現(xiàn)或在系統(tǒng)中移動的大型數(shù)據(jù)集。
- 從系統(tǒng)中提取大型數(shù)據(jù)集
- 對關鍵人員的網(wǎng)絡釣魚嘗試增加
為了應對這種攻擊,入侵檢測和預防系統(tǒng) (IDPS) 使用正常系統(tǒng)狀態(tài)的基線。任何異常活動都會得到響應。IDP 現(xiàn)在使用人工神經(jīng)網(wǎng)絡或機器學習技術(shù)來發(fā)現(xiàn)這些活動。
建筑管理系統(tǒng)的安全最佳實踐
樓宇管理系統(tǒng) (BMS) 與其他數(shù)據(jù)中心技術(shù)同步發(fā)展。他們現(xiàn)在可以管理建筑物系統(tǒng)的各個方面。這包括訪問控制、氣流、火災報警系統(tǒng)和環(huán)境溫度。現(xiàn)代 BMS 配備了許多連接的設備。它們從分散的控制系統(tǒng)發(fā)送數(shù)據(jù)或接收指令。設備本身以及它們使用的網(wǎng)絡都可能存在風險。任何具有 IP 地址的東西都是可破解的。
安全的建筑管理系統(tǒng)
安全專家知道,讓數(shù)據(jù)中心脫離地圖的最簡單方法是攻擊其建筑管理系統(tǒng)。制造商在設計這些設備時可能沒有考慮到安全性,因此補丁是必要的。如果受到網(wǎng)絡攻擊,像自動噴水滅火系統(tǒng)這樣微不足道的東西就可以摧毀數(shù)百臺服務器。
分割系統(tǒng)
將樓宇管理系統(tǒng)與主網(wǎng)絡分開不再是可選的。更重要的是,即使有這樣的預防措施,攻擊者也可以找到破壞主要數(shù)據(jù)網(wǎng)絡的方法。在臭名昭著的 Target 數(shù)據(jù)泄露事件中,樓宇管理系統(tǒng)位于物理上獨立的網(wǎng)絡上。然而,這只會減緩攻擊者的速度,因為他們最終會從一個網(wǎng)絡跳轉(zhuǎn)到另一個網(wǎng)絡。這將我們引向另一個關鍵點——監(jiān)控橫向運動。
橫向運動
橫向移動是攻擊者用來在設備和網(wǎng)絡中移動并獲得更高權(quán)限的一組技術(shù)。一旦攻擊者滲透到系統(tǒng)中,他們就會映射所有設備和應用程序,以嘗試識別易受攻擊的組件。如果未及早檢測到威脅,攻擊者可能會獲得特權(quán)訪問,并最終造成嚴重破壞。橫向移動監(jiān)控限制了數(shù)據(jù)中心安全威脅在系統(tǒng)內(nèi)活躍的時間。即使有了這些額外的控制,BMS 中仍有可能存在未知接入點。
網(wǎng)絡級別的安全
越來越多地使用基于虛擬化的基礎架構(gòu)帶來了新級別的安全挑戰(zhàn)。為此,數(shù)據(jù)中心正在采用網(wǎng)絡級安全方法。網(wǎng)絡級加密在網(wǎng)絡數(shù)據(jù)傳輸層使用密碼學,負責端點之間的連接和路由。加密在數(shù)據(jù)傳輸期間處于活動狀態(tài),并且這種類型的加密獨立于任何其他加密工作,使其成為一個獨立的解決方案。
網(wǎng)絡分段
在軟件級別對網(wǎng)絡流量進行分段是一種很好的做法。這意味著根據(jù)端點身份將所有流量分類到不同的段中。每個段都與所有其他段隔離,因此充當獨立的子網(wǎng)。網(wǎng)絡分段?簡化了策略執(zhí)行。此外,它包含單個子網(wǎng)中的任何潛在威脅,防止它攻擊其他設備和網(wǎng)絡。
虛擬防火墻
盡管數(shù)據(jù)中心將有一個物理防火墻作為其安全系統(tǒng)的一部分,但它也可能為其客戶配備一個虛擬防火墻。虛擬防火墻監(jiān)視數(shù)據(jù)中心物理網(wǎng)絡之外的上游網(wǎng)絡活動。這有助于在不使用必要的防火墻資源的情況下及早發(fā)現(xiàn)數(shù)據(jù)包注入。虛擬防火墻可以是管理程序的一部分,也可以?以?橋接模式存在于它們自己的虛擬機上。
傳統(tǒng)威脅防護解決方案
著名的威脅防護解決方案包括:
- 虛擬化專用網(wǎng)絡和加密通信
- 內(nèi)容、數(shù)據(jù)包、網(wǎng)絡、垃圾郵件和病毒過濾
- 流量或 NetFlow 分析器和隔離器
結(jié)合這些技術(shù)將有助于確保數(shù)據(jù)安全,同時保持所有者可以訪問。
數(shù)據(jù)中心安全標準
使數(shù)據(jù)服務更安全和數(shù)據(jù)中心安全標準化的趨勢。為了支持這一點,??Uptime Institute?發(fā)布了數(shù)據(jù)中心的等級分類系統(tǒng)。分類系統(tǒng)為確保可用性的數(shù)據(jù)中心控制設置了標準。由于安全性會影響系統(tǒng)的正常運行時間,因此它構(gòu)成了其?等級分類?標準的一部分。系統(tǒng)定義了四個 4 層。每一層都映射到業(yè)務需求,這取決于存儲和管理的數(shù)據(jù)類型。
第 1 層和第 2 層
被視為戰(zhàn)術(shù)服務,第 1 層和第 2 層將僅具有本文中列出的一些安全功能。它們成本低,可供不希望實時訪問其數(shù)據(jù)并且不會因臨時系統(tǒng)故障而遭受財務損失的公司使用。它們主要用于異地數(shù)據(jù)存儲。
第 3 層和第 4 層
這些層具有更高級別的安全性。它們具有內(nèi)置冗余功能,可確保正常運行時間和訪問。為了解服務中斷造成的聲譽損害成本的公司提供關鍵任務服務。這些實時數(shù)據(jù)處理設施提供最高標準的安全性。