IDC安全防护方案

一、概述
IDC即是Internet Data Center 是基于Internet 网络，为集中式收集、存储、处理和发送数据的设备提供运行维护的设施以及相关的服务体系。IDC提供的主要业务包括主机托管（机位、机架、VIP机房出租）、资源出租（如虚拟主机业务、数据存储服务）、系统维护（系统配置、数据备份、故障排除服务）、管理服务（如带宽管理、流量分析、负载均衡、入侵检测、系统漏洞诊断），以及其他支撑、运行服务等。
随着中国互联网以超常的速度向前发展，企业用户对IDC的需求也日益增长，而随着电信运营商业务转型，各种数据业务也层出不穷，比如中国电信开展的互联星空计划的实施、中国移动的ADC业务系统等也受到越来越多的用户认可，作为其主要业务平台IDC也受到越来越多的关注，而安全性则是焦点之一。
本文主要是通过对IDC网络系统和业务系统现状的介绍，分析其安全状况，然后对当前IDC存在的安全风险进行整理和分析、再提出针对IDC的网络安全解决方案
二、IDC安全现状
2.1网络和业务现状
典型的IDC通常由网络骨干层、汇聚层和接入层三个层面构成，骨干层通过高性能路由器连接两个或以上的运营商互联网骨干网，提供Internet接入，并实现链路备份，核心路由器以下则为两台核心交换机作为网络的汇聚层，在汇聚层以下由L2/L3交换机构成接入层，接入各种托管服务。

IDC中主要的业务是主机托管业务，现阶段，IDC中托管的主机系统主要分为两类：
自有数据增值业务，如互联星空、ADC等运营商自己运营的增值业务，这一类业务服务器是属于运营商有的业务系统，由运营商自行进行日常维护。
托管服务器，如网游的服务器系统、网站系统等，这个部分是IDC机房收入的主要来源。在这类托管服务器中，一般有中小型客户和大客户之分，中小客户主要是一般的企业单位租用共享带宽资源，其维护力量较弱，大客户主要是大型的门户网站、专业的网游服务器等，这类用户往往是租用多个机柜部署自己的一整套系统，通常情况下都有自己的一组维护人员进行系统的日常管理和运维。
2.2IDC面临的主要安全风险
分布式拒绝服务攻击（DDOS）、蠕虫病毒等大规模的流量型攻击，不仅对IDC中直接受攻击的客户服务器带来影响，同时占用大量IDC的带宽资源，另外突发大数据流会造成路由交换等网络设备负荷过载，从而导致网络服务质量下降，甚至会出现路由器板卡转发异常以及网络终极拥塞等现象。
针对IDC的攻击可以导致企业网络的瘫痪，业务中断，这些攻击通常利用设备系统本身的安全漏洞，而且托管设备安全配置的不完善也可以给攻击者可乘之机。针对这些问题的攻击一旦成功，后果不堪设想，将会直接导致客户满意度降低，甚至客户流失。
IDC机房中托管了很多客户的业务主机，当部分业务主机成为被攻击目标时，往往会影响其他主机的正常业务提供，这主要是由于缺乏有效的安全隔离、安全控制的技术和策略。
托管主机的安全代维服务需求，电子商务网站、政府、企业等大量的中小客户经常遭受网络攻击，服务质量下降，而由于其自身缺乏安全运维人员，迫切需要运营商提供安全服务，为客户的业务系统提供安全保障。
三、IDC安全解决方案
3.1方案总体思路
IDC同行业之间的竞争越来越激烈。IDC通常采用扩充出口带宽、提升网络核心设备处理能力等来开拓新的客户和留住已有客户，而建设、完善有效的安全管控体系，为IDC客户提供一个安全稳定的运行环境也成为IDC客户，特别是大客户选择IDC时非常看重的一个硬性指标；同时，通过安全体系的建立能有效的降低由安全引起的运维成本。
建立一个有效的信息安全体系最有效的方式是采用系统化的方法，首先确定信息安全管理策略和范围，然后在风险评估的基础上选择适宜的控制目标和控制方式对风险进行处理，最后制定业务持续性计划，建立并实施信息安全体系。
根据上述章节对IDC安全风险的分析，现阶段IDC的安全体系中需要解决的是构建一套有效的安全防护体系。因此，本方案主要是基于技术措施来构建IDC的技术体系，而对于组织管理体系和运维体系的建设不在本文中展开描述。
3.2基于安全域的防护策略
安全域是由一组具有相同安全保护需求、并相互信任的系统组成的逻辑区域，在同一安全域中的系统共享相同的安全策略，通过安全域的划分把一个大规模复杂系统的安全问题，化解为更小区域的安全保护问题，是实现大规模负责信息系统安全保护的有效方法。
3.2.1IDC安全域划分
通过前面章节对IDC业务的分析，首先可以根据业务系统的不同来进行安全域的划分，主要分为自有业务域，中小客户域和大客户域，然后再根据托管厂商的不同在上述几个安全域中进行细分。
安全域的划分是为了更好的对不同重要等级的安全域进行适当防护，而防护策略主要分为安全域边界和安全域内部的防护。安全域划分网络系统划分为不同安全区域，分别进行安全保护的过程，通过安全域的划分和保护，将实现如下意义：
1.基于网络和系统进行安全检查和评估的基础
2.有效建立安全管理控制点，指导系统安全规划、设计、入网等工作；
3.实现对系统进行重点保护，统一管理的策略，统一信息安全技术支撑；
4.安全域的分割能有效的防护攻击渗透；
5.基于网络和系统进行安全建设的部署依据；
6.安全域边界是灾难发生时的抑制点，防止影响的扩散；
7.有效的避免安全方面的重复投资
3.2.2IDC安全域防护
安全域防护的根本目的是为了保证业务信息系统的稳定、安全运行，使其能够稳健、持续的提供业务服务，保障电信运营商IDC各种业务的正常运营和战略目标的达成。安全保护的对象是业务信息系统内的所有信息资产，包括硬件、软件、服务、信息等，其中重点是服务和信息。
基于IDC 的业务需求，以及IDC面临的安全问题，单一设备或单一系统无法解决IDC的安全问题，需要采用多层面全方位的解决方案来应对IDC的安全问题，解决思路如下：
1、流量分析系统实时监控分析IDC的数据流，获取抗拒绝服务攻击（DDOS）等非法数据流信息。
2、流量净化系统过滤非法数据流信息，保障网络基础架构健康平稳运行，为大客户业务保驾护航。
3、网络入侵检测系统深度检测蠕虫、病毒等应用层攻击。
4、漏洞扫描系统及时发现系统漏洞和风险，为IDC安全未雨绸缪
5、……
3.3专业安全服务引入
3.3.1安全问题
安全问题目前正以每周新增几十甚至几百例的速度在全世界得到反馈，同时涉及信息技术的众多领域，IDC维护人员在安全知识的更新速度方面面临更大的压力。
安全预警以安全通告的形式为IDC提供最新的安全动态、技术和定制的安全信息，包括实时安全漏洞通知、定期安全通告汇总、临时安全解决方案和安全知识库更新等。同时，这些通告信息可以定制化发送给不同的IDC托管客户，通过提供安全信息政治服务的方式来增加IDC客户的粘度。
3.3.2紧急事件响应
目前许多IDC或者IDC的客户自身尚没有足够的资源和能力对安全事故做出反应，网络安全的发展日新月异，无法实现一劳永逸的安全，所以当紧急安全问题发生，一般技术人员又无法迅速解决的时候，及时发现问题，解决问题就必须依靠紧急响应来实现。
紧急响应服务提供高效的信息安全事故反应体系，可以帮助IDC尽快对信息安全破坏事故作出反应，包括事故处理及恢复、事后的事故描述报告以及后续的安全状况跟踪。同时，当IDC中托管的用户主机或IDC的网络系统正遭到攻击或发现入侵的痕迹，而又无法当时解决或追查来源时。晋级事件响应将以最快的速度赶到现场，协助IDC运维人员解决问题，查找受攻击系统，保存证据和追查来源。
3.3.3高级维护服务
1.安全设备维护
随着网络安全的不断发展，IDC在信息安全方面的投资也越来越多，各种安全产品在各个层面部署。而IDC中的安全设备往往买回来后，由于维护力量的不足，往往也搁置不用，在各IDC都有或多或少存在这样的问题。因此可以通过引入专业的安全服务对各种安全设备进行专业的维护和照料，使之发挥相应的作用，从而有效保护已有安全投资，实现已有安全投资效益最大化的目标。
2.系统安全加固
网络安全是动态发展变化的，需要时刻关注最新漏洞和安全动态，制定更新的安全策略以应付外来入侵和蠕虫病毒等威胁。通过引入安全服务针对网络节点的漏洞和脆弱性，定期的进行安全加固，可以使系统有效的抵御外来的入侵和蠕虫病毒的袭击，使系统可以长期保持在高度可信的状态。
四、结束语
IDC的网络建设和发展是一个长期的任务，随着技术的发展和业务的更新，需要及时的调整已有的安全策略，设计心得网络安全方案。同时，计算机技术和网络技术具有的复杂性和多样性，使得网络安全越来越成为一种专门的技术和服务，需要与专业的安全服务组织合作来进行更全面和完善的网络安全规划和建设。