网络数据中心信息系统安全区域规划设计

　　关键词：网络数据中心;信息系统;安全区域;规划方法;安全需求

　　1引言

　　为了满足信息系统在运行与开发中的安全性需求，应在建设网络数据中心信息系统时，以安全等级保护2.0要求作为建设标准。明确只有实现前端感知层物联终端的安全管理、中间链路侧数据传输的安全防护、对数据进入数据中心时安全接入平台的身份验证及数据准入、进入数据中心后进行“零信任”体系的防护、进入物联网平台后的统一管理及安全威胁态势管理等工作，才能满足系统在运行中，信息存储的安全性与可靠性。例如，应在相关工作中，保证信息系统物联网终端关闭设备调试接口、防范软硬件逆向工程;系统终端支持本地及远程升级，并校验升级包的合法性;具有边缘计算能力的信息系统终端，应参照边缘物联代理安全要求实行防护等。下文将根据网络数据中心信息系统的实际运行需求，对其安全区域规划展开详细的设计研究。

　　2网络数据中心信息系统安全区域规划方法设计

　　2.1网络数据中心信息系统各层级安全需求分析

　　为了确保规划设计的网络数据中心信息系统安全区域符合前端运行要求，应在开展设计研究工作前，进行信息系統各层级安全需求分析。下文将从系统感知层、网络层、平台层、应用层四个方面，进行各层级安全需求分析。

　　感知层包括边缘物联代理与本地通信。其中，边缘物联代理应具备对自身应用、漏洞补丁等重要程序代码、配置参数和控制指令等操作的数字签名或验证能力，并支持本地及远程升级以及校验升级包的合法性。因此，此层应支持软件定义安全策略，并支持自动和联动处置。系统在运行时，边缘物联代理应关闭设备调试接口，防范软硬件逆向工程，通过系统加固、可信计算等技术，保障边缘物联代理本体安全。感知层可通过Wi?Fi、载波通信、微功率无线通信等通道(不经过安全大区)，在现场互联通信。任意两个直接接入公司安全大区的终端，如接入的大区不同，禁止双方在感知层跨大区直接通信。如需本地通信，应采取等同大区间隔离强度的技术措施。不直接接入公司各安全大区的终端，在与直接接入公司管理信息大区的终端本地通信时，应在网络协议、数据格式、数值有效性上加强过滤和校验，并实现身份认证。在与直接接入公司互联网大区的终端本地通信时，可按需实现身份认证和通信数据加密传输，防范通信数据被窃听或篡改。管理信息大区侧的本地通信应采用抗干扰性强的通信协议，以此加强通道的安全配置管控。

　　系统网络层涉及网络通信、网络边界接入。前者的通道应是公司自建光纤专网、电力无线专网、租用的APN和第三方专线。在边缘物联代理、物联网终端(含移动终端、机器人)等设备的支撑下，当信息接入系统后，将结合业务应用需求，采用相应电力物联网安全接入网关、信息网络安全隔离装置，实现双向认证和加密传输;后者在边缘物联代理、物联网终端等设备的支撑下，在互联网大区直接访问公司对内业务时，应采用公司泛在电力物联网安全接入网关，实现双向认证和加密传输;无法满足要求的设备，在直接访问互联网大区的公司对内业务时，应在互联网大区外部署前置服务器，通过前置服务器进行协议转换和数据归集。前置服务器访问公司互联网大区的公司对内业务时，应采用公司泛在电力物联网安全接入网关，实现双向认证和加密传输。

　　系统网络层包括云平台、物联管理平台。前者可直接按照国家网络安全等级预设标准进行安全规划前的需求分析;后者应对接入的感知层设备进行认证，能够控制接入设备的访问;在传输敏感信息时，应具备保护数据资源完整性的能力。同时，物联管理平台应具备对边缘物联代理、物联网终端集中管控的能力，重点对设备注册、在线和离线进行安全监测。为了实现双方联动，需要定期做好此区域的升级，升级内容包括但不限于漏洞补丁、配置参数和应用软件。此外，升级内容在正式部署前，应进行功能和安全测试。

　　系统应用层包括云端应用、APP应用。系统应用层应按照符合物联网属性的应用系统进行建设，并遵照国家网络安全等级保护要求和公司现有安全规章制度执行。其中，云端应用应根据自身等保定级和业务需求实施防护，以此实现业务和用户行为的安全审计;APP应用的发布应符合公司要求，发布前应进行统一加固、统一检测，并对APP应用运行状态进行安全监测。

　　2.2网络数据中心信息系统安全区域划分流程

　　在完成网络数据中心信息系统各层级安全需求分析后，应对系统安全区域划分进行分析。在此过程中，需明确的是：划分安全区域的目的是实现对网络中全部内容的安全防护，并不是对系统中某一部分信息的安全处理。因此，在划分时，需要将系统中网络数据中心信息的安全等级作为基础，根据信息所属的安全域，进行安全区域划分。信息系统安全区域划分参考图1，划分成果可根据实际情况进行调整。

　　完成上述划分后，对信息系统划分的安全区域边界进行访问控制、边界完整性检查、边界入侵防范、边界安全审计、边界恶意代码防范、设备运维管理设计等工作。通过此种方式，确保划分的安全区域在运行中具有较强的可靠性。

　　2.3各安全区域的详细设计方案

　　在明确网络数据中心信息系统各安全区域的构成后，可以进行各安全区域详细方案的设计。其中，网络数据中心安全整体架构示意拓扑如图2所示。

　　根据网络数据中心安全整体架构，需要从出口防护区、安全监测区、安全管理区、资源业务区四个方面，进行各安全区域详细规划设计。

　　其中，出口防护区主要针对数据中心外部网络出口区域进行安全加固，主要涉及边界完整性保护、边界恶意代码防范以及边界访问控制入侵防御等功能。整体规划建设为冗余架构，针对出口不同场景需求分别建设链路负载均衡、抗DDoS、防火墙、上网行为管理与入侵防御。具体建设如下。

　　链路负载均衡：规划建设链路负载均衡设备2台，具备智能DNS、流量调度以及链路监控检查、业务优化能力，以提高多运营商链路场景下的带宽利用效率，实现来回路径一致优化访问效果和多链路动态调度，保障业务连续性。同时，对于IPv6网络的访问流量，可以转换为IPv4的流量，以此解决“天窗”和“外链”问题，实现IPv4向IPv6网络的过渡。

期刊VIP网，您身边的高端学术顾问

文章名称： 网络数据中心信息系统安全区域规划设计

文章地址： http://www.qikanvip.com/jisuanjixinxiguanli/61577.html