数据中心安全的物理和数字保护层

数据是一种商品，需要积极的数据中心安全策略才能对其进行正确管理。系统中的单一漏洞将对公司造成严重破坏并产生长期影响。您的关键工作负载是否与外部网络安全威胁隔离？这是您想知道您的公司是否使用（或计划使用）托管服务的第一个保证。对可信数据中心的入侵往往更频繁地发生。当有关APT 攻击 (Advanced Persistent Threat) 成功的新闻爆出时，公众会注意到。为了阻止这种趋势，服务提供商需要采用零信任模型。从物理结构到联网机架，每个组件的设计都考虑到了这一点。

数据中心安全的物理和数字保护层

零信任架构

零信任模型将数据的每笔交易、移动或迭代都视为可疑。它是最新的入侵检测方法之一。该系统跟踪网络行为，并实时从指挥中心流出数据。它会检查任何从系统中提取数据的人，并在检测到异常时提醒员工或撤销帐户的权限。

数据中心的安全层和冗余

确保数据安全需要安全控制，并且系统检查逐层构建到数据中心的结构中。从物理建筑本身、软件系统和日常任务中涉及的人员。您可以将图层分为物理层或数字层。

数据中心物理安全标准

地点

评估数据中心是否安全从位置开始。

可信数据中心的设计将考虑：

该地区的地质活动
区域内高风险行业
任何洪水风险
其他不可抗力风险

您可以通过在物理设计中设置障碍或额外冗余来防止上面列出的一些风险。由于有害影响，这些事件将对数据中心的运营产生影响；最好完全避免它们。

建筑物、结构和数据中心支持系统

构成数据中心的结构设计需要降低任何访问控制风险。周围的围栏，建筑物墙壁的厚度和材料，以及它的入口数量。这些都会影响数据中心的安全。

一些关键因素还包括：

配有锁的服务器机柜。
建筑物需要不止一个供应商来提供电信服务和电力。
UPS 和发电机等额外的备用电源系统是关键基础设施。
陷阱的使用。这涉及在两个单独的门之间安装一个气闸，两扇门都需要验证
考虑未来在同一边界内的扩展
与空白区分开的支持系统允许授权的工作人员执行他们的任务。它还阻止维护和服务技术人员在无人监督的情况下进入。

物理访问控制

控制数据中心周围的访客和工作人员的移动至关重要。如果您在所有门上都安装了生物识别扫描仪——并记录谁可以访问什么以及何时访问——这将有助于调查未来任何潜在的违规行为。火灾逃生通道和疏散路线应该只允许人们离开建筑物。不应有任何室外把手，以防止重新进入。打开任何安全门都应该发出警报。所有车辆入口点都应使用加固护柱以防止车辆袭击。

保护所有端点

任何设备，无论是连接到数据中心网络的服务器、平板电脑、智能手机还是笔记本电脑，都是端点。数据中心为安全标准可能存疑的客户提供机架和笼子空间。如果客户没有正确保护服务器，整个数据中心都可能处于危险之中。攻击者将尝试利用连接到互联网的不安全设备。例如，大多数客户希望远程访问配电单元 (PDU)，以便他们可以远程重新启动服务器。在此类用例中，安全性是一个重要问题。设施提供商应了解并保护所有连接到互联网的设备。

维护视频和条目日志

所有日志，包括视频监控录像和进入日志，都应存档至少三个月。发现一些违规行为已经为时已晚，但记录有助于识别易受攻击的系统和入口点。

文件安全程序

拥有严格、定义明确和记录在案的程序至关重要。像定期交付这样简单的事情需要对其核心细节进行精心计划。不要留下任何解释。

运行定期安全审计

审计范围从每日安全检查、物理排查到季度 PCI 和 SOC 审计。物理审计是必要的，以验证实际条件是否符合报告的数据。

数据中心的数字安全层

以及所有物理控制、软件和网络构成了可信数据中心的其余安全和访问模型。有多层数字保护旨在防止安全威胁获得访问权限。

入侵检测和防御系统

该系统检查高级持续威胁 (APT)。它侧重于寻找那些成功访问数据中心的人。APT 通常是赞助攻击，黑客将针对他们收集的数据有一个特定的目标。检测这种攻击需要实时监控网络和系统活动以发现任何异常事件。

异常事件可能包括：

具有提升权限的用户在奇数时间访问系统的增加
服务请求的增加可能导致分布式拒绝服务攻击 (DDoS)
出现或在系统中移动的大型数据集。
从系统中提取大型数据集
对关键人员的网络钓鱼尝试增加

为了应对这种攻击，入侵检测和预防系统 (IDPS) 使用正常系统状态的基线。任何异常活动都会得到响应。IDP 现在使用人工神经网络或机器学习技术来发现这些活动。

数据中心安全的物理和数字保护层

建筑管理系统的安全最佳实践

楼宇管理系统 (BMS) 与其他数据中心技术同步发展。他们现在可以管理建筑物系统的各个方面。这包括访问控制、气流、火灾报警系统和环境温度。现代 BMS 配备了许多连接的设备。它们从分散的控制系统发送数据或接收指令。设备本身以及它们使用的网络都可能存在风险。任何具有 IP 地址的东西都是可破解的。

安全的建筑管理系统

安全专家知道，让数据中心脱离地图的最简单方法是攻击其建筑管理系统。制造商在设计这些设备时可能没有考虑到安全性，因此补丁是必要的。如果受到网络攻击，像自动喷水灭火系统这样微不足道的东西就可以摧毁数百台服务器。

分割系统

将楼宇管理系统与主网络分开不再是可选的。更重要的是，即使有这样的预防措施，攻击者也可以找到破坏主要数据网络的方法。在臭名昭著的 Target 数据泄露事件中，楼宇管理系统位于物理上独立的网络上。然而，这只会减缓攻击者的速度，因为他们最终会从一个网络跳转到另一个网络。这将我们引向另一个关键点——监控横向运动。

横向运动

横向移动是攻击者用来在设备和网络中移动并获得更高权限的一组技术。一旦攻击者渗透到系统中，他们就会映射所有设备和应用程序，以尝试识别易受攻击的组件。如果未及早检测到威胁，攻击者可能会获得特权访问，并最终造成严重破坏。横向移动监控限制了数据中心安全威胁在系统内活跃的时间。即使有了这些额外的控制，BMS 中仍有可能存在未知接入点。

网络级别的安全

越来越多地使用基于虚拟化的基础架构带来了新级别的安全挑战。为此，数据中心正在采用网络级安全方法。网络级加密在网络数据传输层使用密码学，负责端点之间的连接和路由。加密在数据传输期间处于活动状态，并且这种类型的加密独立于任何其他加密工作，使其成为一个独立的解决方案。

网络分段

在软件级别对网络流量进行分段是一种很好的做法。这意味着根据端点身份将所有流量分类到不同的段中。每个段都与所有其他段隔离，因此充当独立的子网。网络分段简化了策略执行。此外，它包含单个子网中的任何潜在威胁，防止它攻击其他设备和网络。

虚拟防火墙

尽管数据中心将有一个物理防火墙作为其安全系统的一部分，但它也可能为其客户配备一个虚拟防火墙。虚拟防火墙监视数据中心物理网络之外的上游网络活动。这有助于在不使用必要的防火墙资源的情况下及早发现数据包注入。虚拟防火墙可以是管理程序的一部分，也可以以桥接模式存在于它们自己的虚拟机上。

传统威胁防护解决方案

著名的威胁防护解决方案包括：

虚拟化专用网络和加密通信
内容、数据包、网络、垃圾邮件和病毒过滤
流量或 NetFlow 分析器和隔离器

结合这些技术将有助于确保数据安全，同时保持所有者可以访问。

数据中心安全的物理和数字保护层

数据中心安全标准

使数据服务更安全和数据中心安全标准化的趋势。为了支持这一点， Uptime Institute 发布了数据中心的等级分类系统。分类系统为确保可用性的数据中心控制设置了标准。由于安全性会影响系统的正常运行时间，因此它构成了其等级分类标准的一部分。系统定义了四个 4 层。每一层都映射到业务需求，这取决于存储和管理的数据类型。