數(shù)據(jù)中心安全加固方案
類型：智慧教育 日期：2020-01-03
學校數(shù)據(jù)中心當前主要承擔學校各項業(yè)務系統(tǒng)的運營，是學校信息化資產(chǎn)的核心位置。目前防火墻位于數(shù)據(jù)中心與校園網(wǎng)邊界，實現(xiàn)基本的訪問控制與邊界安全隔離；WEB應用防火墻與漏洞掃描設備均旁路部署在數(shù)據(jù)中心交換機上，WEB應用防火墻承擔學校網(wǎng)站系統(tǒng)的安全防護，實現(xiàn)針對SQL注入、跨站腳本攻擊、網(wǎng)站掛馬、黑鏈的防護；漏洞掃描設備承擔對業(yè)務系統(tǒng)的操作系統(tǒng)、數(shù)據(jù)庫進行漏洞分析檢測功能；
一、等保合規(guī)
本次方案主要針對現(xiàn)有的網(wǎng)絡安全體系無法滿足信息系統(tǒng)安全等級保護第三級需要，因此，我們的建設的目標是需要滿足等保三級相關的技術要求。
信息系統(tǒng)安全保障主體是業(yè)務系統(tǒng)，安全保障框架所有安全控制都應以安全方針、策略做為安全工作的指導與依據(jù)，落實安全管理和安全技術兩大維度的具體實施與維護，以業(yè)務系統(tǒng)的安全運營為信息安全保障建設的核心，并輔以安全評估與安全培訓貫穿信息安全保障體系的全過程，形成風險可控的安全保障框架體系。
二、方案簡介
數(shù)據(jù)中心安全加固整體方案拓撲如下圖所示：
數(shù)據(jù)中心安全加固，采用安恒眀御下一代防火墻替換原有的H3C防火墻，制定細化的訪問控制策略，關閉無需使用的端口及IP地址，實現(xiàn)對數(shù)據(jù)中心訪問的精細化控制。同時，在安恒眀御下一代防火墻上開啟防病毒模塊，實現(xiàn)基于網(wǎng)關的在線殺毒功能。
三、建設原則
n 重點保護原則
根據(jù)信息系統(tǒng)的重要程度、業(yè)務特點，通過不同安全區(qū)域的劃分，實現(xiàn)不同強度的安全保護，集中資源優(yōu)先保護涉及核心業(yè)務或關鍵信息資產(chǎn)的信息系統(tǒng)。
n 適度安全原則
任何信息系統(tǒng)都不能做到絕對的安全，過多的安全要求必將造成易用性降低和運行的復雜性，因此要在安全需求、安全風險和易用性之間進行平衡和折中。
n 風險管理原則
進行安全風險管理，確認可能影響信息系統(tǒng)的安全風險，正確的識別風險、合理的管理風險，并讓信息系統(tǒng)的安全風險降低到可以接受的水平以內(nèi)。
n 分權制衡原則
在信息系統(tǒng)中，對所有權限應該進行適當?shù)貏澐?，使每個授權主體只能擁有其中的一部分權限，使他們之間相互制約、相互監(jiān)督，共同保證信息系統(tǒng)的安全。
n 標準化原則
在方案設計和設備選型方面必須遵循國家以及行業(yè)內(nèi)的相關標準，并充分考慮不同產(chǎn)品之間的兼容性。
n 統(tǒng)一安全管理原則
在方案設計中主機、網(wǎng)絡設備、安全設備、應用系統(tǒng)、數(shù)據(jù)庫等必須遵循統(tǒng)一安全管理的要求。
四、方案優(yōu)勢
n 滿足信息系統(tǒng)等級保護第三級的相關要求；
n 引入高級威脅監(jiān)測體系，并且聯(lián)動防火墻，可對未知威脅進行監(jiān)測和防護；
n 最大程度的利舊，節(jié)省項目資金投入；
n 為后期態(tài)勢感知、大數(shù)據(jù)平臺的部署升級做好了技術準備。