數(shù)據(jù)是一種商品，需要積極的數(shù)據(jù)中心安全策略才能對其進行正確管理。系統(tǒng)中的單一漏洞將對公司造成嚴重破壞并產(chǎn)生長期影響。您的關(guān)鍵工作負載是否與外部?網(wǎng)絡(luò)安全威脅隔離？這是您想知道您的公司是否使用（或計劃使用）托管服務(wù)的第一個保證。對可信數(shù)據(jù)中心的入侵往往更頻繁地發(fā)生。當有關(guān)APT 攻擊?(Advanced Persistent Threat) 成功的新聞爆出時，公眾會注意到。為了阻止這種趨勢，服務(wù)提供商需要采用零信任模型。從物理結(jié)構(gòu)到聯(lián)網(wǎng)機架，每個組件的設(shè)計都考慮到了這一點。

零信任架構(gòu)

零信任模型將數(shù)據(jù)的每筆交易、移動或迭代都視為可疑。它是最新的入侵檢測方法之一。該系統(tǒng)跟蹤網(wǎng)絡(luò)行為，并實時從指揮中心流出數(shù)據(jù)。它會檢查任何從系統(tǒng)中提取數(shù)據(jù)的人，并在檢測到異常時提醒員工或撤銷帳戶的權(quán)限。

數(shù)據(jù)中心的安全層和冗余

確保數(shù)據(jù)安全需要安全控制，并且系統(tǒng)檢查逐層構(gòu)建到數(shù)據(jù)中心的結(jié)構(gòu)中。從物理建筑本身、軟件系統(tǒng)和日常任務(wù)中涉及的人員。您可以將圖層分為物理層或數(shù)字層。

數(shù)據(jù)中心物理安全標準

地點

評估數(shù)據(jù)中心是否安全從位置開始。

可信數(shù)據(jù)中心的設(shè)計將考慮：

• 該地區(qū)的地質(zhì)活動
• 區(qū)域內(nèi)高風險行業(yè)
• 任何洪水風險
• 其他不可抗力風險

您可以通過在物理設(shè)計中設(shè)置障礙或額外冗余來防止上面列出的一些風險。由于有害影響，這些事件將對數(shù)據(jù)中心的運營產(chǎn)生影響；最好完全避免它們。

建筑物、結(jié)構(gòu)和數(shù)據(jù)中心支持系統(tǒng)

構(gòu)成數(shù)據(jù)中心的結(jié)構(gòu)設(shè)計需要降低任何訪問控制風險。周圍的圍欄，建筑物墻壁的厚度和材料，以及它的入口數(shù)量。這些都會影響數(shù)據(jù)中心的安全。

一些關(guān)鍵因素還包括：

• 配有鎖的服務(wù)器機柜。
• 建筑物需要不止一個供應(yīng)商來提供電信服務(wù)和電力。
• UPS 和發(fā)電機等額外的備用?電源系統(tǒng)?是關(guān)鍵基礎(chǔ)設(shè)施。
• 陷阱的使用。這涉及在兩個單獨的門之間安裝一個氣閘，兩扇門都需要驗證
• 考慮未來在同一邊界內(nèi)的擴展
• 與空白區(qū)分開的支持系統(tǒng)允許授權(quán)的工作人員執(zhí)行他們的任務(wù)。它還阻止維護和服務(wù)技術(shù)人員在無人監(jiān)督的情況下進入。

物理訪問控制

控制數(shù)據(jù)中心周圍的訪客和工作人員的移動至關(guān)重要。如果您在所有門上都安裝了生物識別掃描儀——并記錄誰可以訪問什么以及何時訪問——這將有助于調(diào)查未來任何潛在的違規(guī)行為。火災(zāi)逃生通道和疏散路線應(yīng)該只允許人們離開建筑物。不應(yīng)有任何室外把手，以防止重新進入。打開任何安全門都應(yīng)該發(fā)出警報。所有車輛入口點都應(yīng)使用加固護柱以防止車輛襲擊。

保護所有端點

任何設(shè)備，無論是連接到數(shù)據(jù)中心網(wǎng)絡(luò)的服務(wù)器、平板電腦、智能手機還是筆記本電腦，都是端點。數(shù)據(jù)中心為安全標準可能存疑的客戶提供機架和籠子空間。如果客戶沒有正確保護服務(wù)器，整個數(shù)據(jù)中心都可能處于危險之中。攻擊者將嘗試利用連接到互聯(lián)網(wǎng)的不安全設(shè)備。例如，大多數(shù)客戶希望遠程訪問配電單元 (PDU)，以便他們可以遠程重新啟動服務(wù)器。在此類用例中，安全性是一個重要問題。設(shè)施提供商應(yīng)了解并保護所有連接到互聯(lián)網(wǎng)的設(shè)備。

維護視頻和條目日志

所有日志，包括視頻監(jiān)控錄像和進入日志，都應(yīng)存檔至少三個月。發(fā)現(xiàn)一些違規(guī)行為已經(jīng)為時已晚，但記錄有助于識別易受攻擊的系統(tǒng)和入口點。

文件安全程序

擁有嚴格、定義明確和記錄在案的程序至關(guān)重要。像定期交付這樣簡單的事情需要對其核心細節(jié)進行精心計劃。不要留下任何解釋。

運行定期安全審計

審計范圍從每日安全檢查、物理排查到季度 PCI 和?SOC 審計。物理審計是必要的，以驗證實際條件是否符合報告的數(shù)據(jù)。

數(shù)據(jù)中心的數(shù)字安全層

以及所有物理控制、軟件和網(wǎng)絡(luò)構(gòu)成了可信數(shù)據(jù)中心的其余安全和訪問模型。有多層數(shù)字保護旨在防止安全威脅獲得訪問權(quán)限。

入侵檢測和防御系統(tǒng)

該系統(tǒng)檢查高級持續(xù)威脅 (APT)。它側(cè)重于尋找那些成功訪問數(shù)據(jù)中心的人。APT 通常是贊助攻擊，黑客將針對他們收集的數(shù)據(jù)有一個特定的目標。檢測這種攻擊需要實時監(jiān)控網(wǎng)絡(luò)和系統(tǒng)活動以發(fā)現(xiàn)任何異常事件。

異常事件可能包括：

• 具有提升權(quán)限的用戶在奇數(shù)時間訪問系統(tǒng)的增加
• 服務(wù)請求的增加可能導(dǎo)致分布式拒絕服務(wù)攻擊 (DDoS)
• 出現(xiàn)或在系統(tǒng)中移動的大型數(shù)據(jù)集。
• 從系統(tǒng)中提取大型數(shù)據(jù)集
• 對關(guān)鍵人員的網(wǎng)絡(luò)釣魚嘗試增加

為了應(yīng)對這種攻擊，入侵檢測和預(yù)防系統(tǒng) (IDPS) 使用正常系統(tǒng)狀態(tài)的基線。任何異常活動都會得到響應(yīng)。IDP 現(xiàn)在使用人工神經(jīng)網(wǎng)絡(luò)或機器學習技術(shù)來發(fā)現(xiàn)這些活動。

建筑管理系統(tǒng)的安全最佳實踐

樓宇管理系統(tǒng) (BMS) 與其他數(shù)據(jù)中心技術(shù)同步發(fā)展。他們現(xiàn)在可以管理建筑物系統(tǒng)的各個方面。這包括訪問控制、氣流、火災(zāi)報警系統(tǒng)和環(huán)境溫度。現(xiàn)代 BMS 配備了許多連接的設(shè)備。它們從分散的控制系統(tǒng)發(fā)送數(shù)據(jù)或接收指令。設(shè)備本身以及它們使用的網(wǎng)絡(luò)都可能存在風險。任何具有 IP 地址的東西都是可破解的。

安全的建筑管理系統(tǒng)

安全專家知道，讓數(shù)據(jù)中心脫離地圖的最簡單方法是攻擊其建筑管理系統(tǒng)。制造商在設(shè)計這些設(shè)備時可能沒有考慮到安全性，因此補丁是必要的。如果受到網(wǎng)絡(luò)攻擊，像自動噴水滅火系統(tǒng)這樣微不足道的東西就可以摧毀數(shù)百臺服務(wù)器。

分割系統(tǒng)

將樓宇管理系統(tǒng)與主網(wǎng)絡(luò)分開不再是可選的。更重要的是，即使有這樣的預(yù)防措施，攻擊者也可以找到破壞主要數(shù)據(jù)網(wǎng)絡(luò)的方法。在臭名昭著的 Target 數(shù)據(jù)泄露事件中，樓宇管理系統(tǒng)位于物理上獨立的網(wǎng)絡(luò)上。然而，這只會減緩攻擊者的速度，因為他們最終會從一個網(wǎng)絡(luò)跳轉(zhuǎn)到另一個網(wǎng)絡(luò)。這將我們引向另一個關(guān)鍵點——監(jiān)控橫向運動。

橫向運動

橫向移動是攻擊者用來在設(shè)備和網(wǎng)絡(luò)中移動并獲得更高權(quán)限的一組技術(shù)。一旦攻擊者滲透到系統(tǒng)中，他們就會映射所有設(shè)備和應(yīng)用程序，以嘗試識別易受攻擊的組件。如果未及早檢測到威脅，攻擊者可能會獲得特權(quán)訪問，并最終造成嚴重破壞。橫向移動監(jiān)控限制了數(shù)據(jù)中心安全威脅在系統(tǒng)內(nèi)活躍的時間。即使有了這些額外的控制，BMS 中仍有可能存在未知接入點。

網(wǎng)絡(luò)級別的安全

越來越多地使用基于虛擬化的基礎(chǔ)架構(gòu)帶來了新級別的安全挑戰(zhàn)。為此，數(shù)據(jù)中心正在采用網(wǎng)絡(luò)級安全方法。網(wǎng)絡(luò)級加密在網(wǎng)絡(luò)數(shù)據(jù)傳輸層使用密碼學，負責端點之間的連接和路由。加密在數(shù)據(jù)傳輸期間處于活動狀態(tài)，并且這種類型的加密獨立于任何其他加密工作，使其成為一個獨立的解決方案。

網(wǎng)絡(luò)分段

在軟件級別對網(wǎng)絡(luò)流量進行分段是一種很好的做法。這意味著根據(jù)端點身份將所有流量分類到不同的段中。每個段都與所有其他段隔離，因此充當獨立的子網(wǎng)。網(wǎng)絡(luò)分段?簡化了策略執(zhí)行。此外，它包含單個子網(wǎng)中的任何潛在威脅，防止它攻擊其他設(shè)備和網(wǎng)絡(luò)。

虛擬防火墻

盡管數(shù)據(jù)中心將有一個物理防火墻作為其安全系統(tǒng)的一部分，但它也可能為其客戶配備一個虛擬防火墻。虛擬防火墻監(jiān)視數(shù)據(jù)中心物理網(wǎng)絡(luò)之外的上游網(wǎng)絡(luò)活動。這有助于在不使用必要的防火墻資源的情況下及早發(fā)現(xiàn)數(shù)據(jù)包注入。虛擬防火墻可以是管理程序的一部分，也可以?以?橋接模式存在于它們自己的虛擬機上。

傳統(tǒng)威脅防護解決方案

著名的威脅防護解決方案包括：

• 虛擬化專用網(wǎng)絡(luò)和加密通信
• 內(nèi)容、數(shù)據(jù)包、網(wǎng)絡(luò)、垃圾郵件和病毒過濾
• 流量或 NetFlow 分析器和隔離器

結(jié)合這些技術(shù)將有助于確保數(shù)據(jù)安全，同時保持所有者可以訪問。

數(shù)據(jù)中心安全標準

使數(shù)據(jù)服務(wù)更安全和數(shù)據(jù)中心安全標準化的趨勢。為了支持這一點，??Uptime Institute?發(fā)布了數(shù)據(jù)中心的等級分類系統(tǒng)。分類系統(tǒng)為確保可用性的數(shù)據(jù)中心控制設(shè)置了標準。由于安全性會影響系統(tǒng)的正常運行時間，因此它構(gòu)成了其?等級分類?標準的一部分。系統(tǒng)定義了四個 4 層。每一層都映射到業(yè)務(wù)需求，這取決于存儲和管理的數(shù)據(jù)類型。

第 1 層和第 2 層

被視為戰(zhàn)術(shù)服務(wù)，第 1 層和第 2 層將僅具有本文中列出的一些安全功能。它們成本低，可供不希望實時訪問其數(shù)據(jù)并且不會因臨時系統(tǒng)故障而遭受財務(wù)損失的公司使用。它們主要用于異地數(shù)據(jù)存儲。

第 3 層和第 4 層

這些層具有更高級別的安全性。它們具有內(nèi)置冗余功能，可確保正常運行時間和訪問。為了解服務(wù)中斷造成的聲譽損害成本的公司提供關(guān)鍵任務(wù)服務(wù)。這些實時數(shù)據(jù)處理設(shè)施提供最高標準的安全性。