数据中心安全 什么是数据中心安全？
数据安全是保护数字化数据的过程，旨在保护其免因物理安全漏洞、数据泄露或网络攻击而遭受未经授权的访问、损坏或盗用。
东西向数据中心（服务器到服务器）流量的增长浪潮正在重新定义安全需求。考虑到虚拟化和容器化应用环境中东西向数据流的速度和数量，需要采用全新的安全解决方案，尤其是在零信任安全势在必行的多租户场景中。
- 数据中心安全和零信任
- 安全数据中心的组成
- 零信任的核心原则
- 什么是端点安全？
- 为何基础设施安全如此重要？
- 新一代安全数据中心结构
- 数据中心结构迁移
数据中心安全和零信任
近年来，网络安全威胁形势发生了巨大变化。如今，攻击者比以往任何时候都更有动力侵入企业数据中心并窃取重要信息。对于数据中心而言，这意味着需要默认不信任网络上的任何实体和流量，安全策略明确允许的除外。
对于基于微服务的应用，流量可能永远不会受到硬件防火墙、入侵防御系统 (IPS) 或其他安全设备的检查，导致企业容易遭受来自内部的攻击。
根据 NIST SP 800-207，“零信任安全模型假设环境中有攻击者”，并且零信任架构“旨在防止数据泄露并限制内部横向移动”。
数据中心面临的两大头号威胁如下：
- 基础设施攻击：企业依靠自己的技术资产维持运营，因此保护技术基础设施就是保护企业本身。对数据中心组件（存储、计算和网络）功能进行攻击会导致性能下降、可用性丧失、专有数据和知识产权 (IP) 丢失，这会对公司盈利能力产生负面影响。
- 网络攻击：技术基础设施面临的威胁囊括从网络钓鱼、勒索软件攻击到分布式拒绝服务 (DDoS) 攻击和物联网 (IoT) 僵尸网络等各种类型。实施应用感知策略并具有高级监控和威胁检测功能的专用安全系统可确保关键业务应用和面向客户型应用顺畅运行。
安全数据中心的组成
现代化数据中心安全需要精细的可见性、策略控制以及自动威胁检测和缓解功能，且不能增加复杂性。
1. 全面可见性
数据中心网络变化迅速，最紧迫的挑战是在移动或升级计算和存储资源的同时保持用户的操作稳定性和可见性。
虽然可以汇聚来自多种类型安全基础设施的遥测数据，但这往往很耗时，并且无法提前发现问题。
2. 网络分段
为了正确定义用于决定允许哪些连接和必须拒绝哪些连接的策略，需要了解与应用和数据相关的各种用户配置文件。确定需求后，即可相应制定适当的数据中心接入方案。网络分段是数据中心主机之间的逻辑分隔，可在其间实施安全策略。
分段功能可以按状态检查数据中心中的所有东西向流量，并应用可阻止不法分子通过内部网络策略来防止不必要的横向移动。微分段技术无需新的架构设计即可实现分段。
微分段可应用于需要高级别细致审查的主机子集或更广的范围，以最大限度提高数据中心的安全水平。
3. 减少威胁
现代化数据中心基础设施必须能够提前检测威胁并限制攻击。采用单一管理平台的集中管理策略有助于减少和阻止未知威胁。
需要基于策略的自动化网络分段和微分段，而且集中式安全设备无法有效扩展数据流。在数据中心边缘发生的数据流返回硬件设备的现象会损害应用性能、限制可扩展性、抬高成本并增加延迟。
零信任的核心原则
零信任安全架构持续进行验证和认证，可以快速检测花样繁多的网络攻击，并常常将入侵扼杀于萌芽阶段。零信任模型支持微分段，使 IT 能够借助该技术将网络资源隔离开来，以此轻松遏制潜在威胁。
全面可见性
随着物联网的日益普及，对网络上所有设备和用户的全方位可见性变得越来越重要，同时也越来越具有挑战性。没有可见性，支持零信任模型的关键安全控制就难以应用。自动化、基于 AI 的机器学习以及快速识别设备类型的能力至关重要。
身份验证和授权
从不信任、始终验证。可以使用多种身份验证方法来同时支持各种不同用例，包括基于登录时间、状态检查以及新用户和新设备等其他项目的多重因素身份验证。
实现最低权限访问的身份访问控制
基于身份的最低权限访问仅允许用户和设备访问自己执行功能所需的资源，前提是他们的行为与其角色一致。访问控制策略会限制对资源的访问，并在观察到异常行为或怀疑存在违规行为时动态调整访问权限。
什么是端点安全？
端点安全通过保护网络端点（如用于访问公司网络的台式电脑、笔记本电脑、平板电脑和其他移动设备等硬件）来防止公司的宝贵资产（即数据）受到漏洞和威胁的侵害。端点安全有多种不同类型：
- 网络访问控制 (NAC)：使用防火墙来控制端点设备对网络的访问。
- 数据丢失防护：保护由于网络钓鱼计划或安装在终端的恶意软件而遭受黑客入侵/窃取的文件或数据。
- 数据分类：确定您组织中最敏感的数据，对其漏洞给予更高的重视，以便据此提供访问权限。
- URL 过滤：限制端点可以连接的网站数量并防范恶意软件。
- 云边界安全：在基于云的敏感数据和应用周围设置防火墙，限制端点可以访问的数据。
- 沙盒：设置模拟网络的虚拟环境供用户端点运行，以限制对敏感信息的访问。
为何基础设施安全如此重要？
由于不同云平台以及企业网络边缘上的云服务、微服务和软件组件的采用率不断攀升，加之它们之间的互连性不断提高，保护技术基础设施的安全变得空前复杂和重要。采用零信任安全架构是帮助企业应对此挑战的方法之一。
同时，对员工进行密码和凭证安全方面的培训以保护 IT 基础设施非常重要，因为人为因素可能是组织安全策略中最薄弱的环节。基础设施安全通过以下四个层级在整个公司技术边界内实施数据保护：
- 物理：保护物理基础设施免遭盗窃、破坏等。包含在不同地理位置进行异地备份的数据恢复计划也是物理安全策略的一部分。
- 网络：监控传入和传出的网络流量，无论是在本地、通过防火墙在云中还是通过多重因素身份验证 (MFA)，都用于在允许访问网络资源之前进行验证。
- 应用：确保在企业网络中分发并进行软件和固件更新，因为过时的软件可能包含网络攻击者可以利用以侵入 IT 系统的漏洞。
- 数据：使用常见的企业端点安全措施来保护数据，如 URL 过滤、防病毒工具、沙盒、安全电子邮件网关及端点检测和响应 (EDR) 工具。
新一代安全数据中心结构
虽然数据中心网络在过去十年中不断发展，提供了性能更高的 25/100/400G 叶脊拓扑以满足新兴应用架构对数量和速度的需求，但安全和服务架构却没有相应发展。
现代化零信任安全架构与传统的边界安全方法不同，它将信任视为漏洞，因此默认任何用户都不可信，即便是获允进入网络的用户，因为用户可能存在安全隐患。提供身份信息、进行设备认证和身份验证这些要求贯穿于整个网络。网络中的每个组件都必须证明自己可信，而且任何其他组件（包括现有的单点安全措施）与之交互时，它都需要接受身份验证。零信任安全策略的核心原则：
- 从不信任、始终验证
- 假定违规
- 显式验证
分布式服务架构将零信任更深入地扩展到数据中心，乃至网络服务器边缘中，以此提供精细的微分段，极大地扩展并增强了关键业务工作负载的安全。
数据中心结构迁移
