IDC安全方案建议

Internet数据中心（IDC）在以前也被称为服务器外包，即是客户租用IDC的服务器和带宽，并借用IDC方的技术力量根据自己的要求完成所有硬件、软件配置，提供的服务包括整机租用、服务器托管、机柜租用、机房租用、专线接入服务等。目前国内IDC市场正处于高速增长的阶段。作为直接参与经营IDC业务的电信运营商，网通在网络资源等方面有着得天独厚的优势。国内IDC的竞争帷幕已经拉开，国外企业更是虎视眈眈地随时准备加入，鹿死谁手还要等待市场的检验，希望这种竞争成为一种有序的竞争，也希望竞争者能够看好自己手中的牌，找准自己的位置。

一、安全威胁

    当用户将自己的重要信息（如财务或定单数据）放在数据中心，那么安全性对于用户来讲无疑是一个选择数据中心服务商的主要因素。而服务提供商也应该把不同级别的安全选项作为明确的与价格相关的选项共用户选择。

数据中心所涉及的安全问题可以归纳为以下几个方面：

1、基本的安全问题

    同所有的其他服务器一样，服务商必须保护服务器不受来自Internet和其他可能区域的入侵和破坏。

2、复杂的访问控制策略

    服务商对于租用给客户的系统的权限应该是受限的，而客户对系统中的数据的访问权限应该得到充分的保护。这意味着作为系统的管理员，有维护系统的权限，但应该没有访问客户数据的权限。而具备C2级安全特性的现代商用操作系统所具备的自主访问控制则完全无法实现这一要求，在这样的系统中管理员用户具有系统中任何资源的使用权限。因此这样的系统应该使用更强的访问控制机制，即强制型的访问控制，这样的特性可以在具有B1级安全性的系统中得到，如Trust Solaris等，或者使用第三防的访问控制产品，针对IDC中重要的主机推荐采用的CA公司的eTrust AccessControl产品。

3、提供用户访问其系统的可靠途径，当用户通过Internet而不是专线访问其服务器资源时，应该提供加密的传输机制和可靠的身份认证。

4、系统中的审计功能是十分关键的，当用户的系统发生事故时，详细而有意义的审计信息可以为解决客户与服务商之间的纠纷提供依据。

    对于网通来说，应该提供多种可选择的安全机制，通过与用户的协商，选择合理的并且在价格上可接受的安全策略。下面是我们建议的一些可选择的方案：

（1）低安全方案：基本网络访问保护基本的商用操作系统和数据库，处于同等安全级别的多个客户的服务器系统共用一个防火墙。服务商通过调整服务器配置和防火墙访问策略给服务器提供基本保护。
（2）中安全方案：客户独占的防攻击保护 •客户系统专用的防火墙； •提供必要的防病毒措施； •定期的安全扫描（可选） •服务器和所在子网的入侵检测（可选） •通过internet的VPN（可选）
（3）高安全方案：昂贵的权限分离的防攻击方案 •客户系统专用的防火墙； •提供必要的防病毒措施； •基于令牌的管理员身份鉴别系统； •增强的强制访问控制； •定期的安全扫描； •服务器和所在子网的入侵检测； •数据异地备份和灾难恢复策略。 •通过Internet的VPN（可选）。

二、具体建议
    针对IDC，最重要的问题是整体的防护，考虑出口的带宽，建议安装两台NETSCREEN500的防火墙。如下图所示。在IDC内部重点保护的网段放置NFR的入侵检测系统。