论档案馆数据中心网络安全建设 口房荣军 【摘要】由于档案馆数据中心承载着档案馆的核心业务和档案数字化数据，同时为企事业单位内部、外部以及社会大 众等提供档案检索利用和数据交换服务，因此在档案馆的数据中心建设过程中，安全体系建设成为重点的主 题。本文将从档案馆数据中心网络安全建设原则、网络安全体系设计、网络的安全虚拟化等方面展开讨论。 【关键词】数据中心网络安全 档案馆数据中心（以下简称数据 计、构建安全可靠的数据中心基础网 整个系统的安全寄托在单一安全措施 中心）安全围绕数据为核心，从数据 络平台是进行数据中心安全建设的 或安全产品上；（三）性能保障原则： 的访问、使用、破坏、修改、丢失、 基本内容。 安全产品的性能不能成为影响整个网 络传输的瓶颈；（四）平衡性原则： 泄漏等多方面维度展开，一般来说包 括以下几个方面：物理安全：主要指 一、数据中心网络安全建设 制定规范措施，实现保护成本与被保 护信息的价值平衡；（五）可管理、 数据中心机房的安全，包括机房的选 原则 址，机房场地安全，防电磁辐射泄漏， 网络是数据传输的载体，数据中 易操作原则：尽量采用最新的安全技 防静电，防火等内容；网络安全：指 心网络安全建设一般要考虑以下三个 术，实现安全管理的自动化，以减轻 数据中心网络自身的设计、构建和使 方面：一是合理规划网络的安全区域 安全管理的负担，同时减小因为管理 用以及基于网络的各种安全相关的技 以及不同区域之间的访问权限，保证 上的疏漏而对系统安全造成的威胁； 术和手段，如防火墙，ＩＰＳ（１ＰＳ是 针对用户或客户机进行通信提供正确 （六）适应性、灵活性原则：充分考 互联网协议群Ｉ ｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｕ ｉｔｅ 的授权许可，防止非法的访问以及恶 虑今后业务和网络安全协调发展的需 的简写），安全审计等；系统安全： 性的攻击入侵和破坏；二是建立高可 求，避免因只满足了系统安全要求， 包括服务器操作系统，数据库，中间 靠的网络平台，为数据在网络中传输 而给业务发展带来障碍的情况发生； 件等在内的系统安全，以及为提高这 提供高可用的传输通道，避免数据的 【七）高可用原则：安全方案、安全 些系统的安全性而使用安全评估管理 丢失，并且提供相关的安全技术防止 产品也要遵循网络高可用性原则； 工具所进行的系统安全分析和加固； 数据在传输过程中被读取和改变；三 （八）技术与管理并重原则：“三分技 数据安全：数据的保存以及备份和恢 是提供对网络平台支撑平台自身的安 术，七分管理”，从技术角度出发的 复设计；信息安全：完整的用户身份 全保护，保证网络平台能够持续的高 安全方案的设计必须有与之相适应的 认证以及安全日志审计跟踪，以及对 可靠运行。管理制度同步制定，并从管理的角度 安全日志和事件的统一分析和记录。 （九） 综合以上几点，数据中心的网络 评估安全设计方案的可操作性；抛开物理安全的考虑，网络是 安全建设可以参考以下原则：投资保护原则：要充分发挥现有设备 （一）整体性原则：“木桶原理”， 数据中心所有系统的基础平台，网络 的潜能，避免投资的浪费。 安全从而成为数据中心安全的基础 单纯一种安全手段不可能解决全部安 支持。因此合理的网络安全体系设 全问题；【二）多重保护原则：不把 数据中心网络安全体系 ２０１２年第７期・ 甚嚣７７ 设计 （一）模块化功能分区 为了进行合理的网络安全设计， 功能区域的边界需要采用一定的技术 据中心交换机上，使得整个网络线路 手段（通常部署防火墙硬件设备）定 得到大大的简化，这种部署方式具有 义成独立的安全区域。不同安全区域 以下技术优势： （一）大大简化了网络安全区域 首先要求对数据中心的基础网络，采 之间的网络如果需要相互访问，应该 用模块化的设计方法，根据数据中心 遵从有限互通的原则，按照不同功能 的拓扑结构。（二）降低了由于安全设备单点 服务器上所部署的应用的用户访问特 区域之间安全信任级别的不同，在安 故障对数据中心网络可用性的影响， 性和应用的核心功能，将数据中心划 全边界上部署不同的访问控制策略，分为不同的功能区域。 禁止不同区域之间的网络在不采取任 采用模块化的架构设计方法可以 何安全访问控制的前提下直接互通。 在数据中心中清晰区分不同的功能区 （三）“点、线、面”安全布局 域，并针对不同功能区域的安全防护 安全边界的定义实现了对不同区 要求来进行相应的网络安全设计。这 域之间相互访问的控制，而各个功能 样的架构设计具有很好的伸缩性，根 区域内根据安全保护等级的要求以及 据未来业务发展的需要，可以非常容 安全访问的特性，需要分别设计各自 易的增加新的区域，而不需要对整个 的网络安全布局。 架构进行大的修改，具备更好的可扩 “点、线、面”安全布局的核心 展性。因为每个区域的安全功能是根 思想是以对不同安全区域被访问主体 据每个区域的特性进行定义，因此可 的访问控制管理为安全防御主线，结 以在不影响其他应用或者整个区域的 合不同区域的安全级别和应用要求， 情况下单独进行安全部署，对于一次 在安全访问“线路”上部署不同的安 性建设投资或分阶段建设的情况下都 全“点”设备，并且对整个数据中心 可以很好进行网络安全的布局。 区域规划统一的安全事件发现、收集、 （二）“核心一边缘”安全边界 分析、处理的机制和技术实现，实现 定义 安全“面”的统一管理。 采用模块化的架构设计方法将 数据中心分为多个功能区域后，由于 三、网络的安全虚拟化 不同功能区域之间会有相互通讯的需 “点、线、面”的安全布局方式 求，因此整个网络架构形成“核心一 为了实现安全“点”的全面加固，需 边缘”的结构特性，以数据中心核心 要部署大量的安全设备，从而会大大 区为中心，其他功能区域与核心区相 增加网络结构上单点故障的机率；同 连，成为数据中心网络的边缘区域。 时为了保证网络结构的可靠性，所部 为了更好的保证数据中心的网络性 署的安全设备要都要做可靠性考虑和 能，数据中心核心区一般只提供高速 相关协议的设置，使网络部署的复杂 的数据转发功能，不做安全控制的部 度大幅增加，同时增大由于错误配置 署，在这个区域需要重点规划的是核 导致网络可靠性降低的可能。 心区的高可靠和高性能保证。 采用在数据中心网络节点的交换 在这种“核心一边缘”的结构 机上部署安全业务板卡的方式，改变 特性下，各功能区域同核心区域相连 了过去在一条线路上部署多个安全设 的接口成为该区域的网络安全边界。 备（就像糖葫芦串一样）的物理结构， 从业务和安全控制的角度出发，在各 将多个安全设备（Ｎ）集成在一台数 ７８ 曩・２０１２．｛．Ｆ－－第７期 如果某块安全业务板卡出现故障问 题，交换机会进行数据转发层面的二 层回退，即数据流不再必经通过出现 故障的安全板卡进行处理，而是直接 由交换机进行正常的数据转发，保证 整个业务的不中断。 （三）一般独立的安全设备无法 提供设备本身的高可靠保证，而这种 部署方式，借助网络交换机本身的设 备可靠性保障（引擎冗余，电源冗余， 风扇冗余等），大大提高了安全设备 的可靠性运行保证。 （四）由于独立的安全设备无法 进行性能升级，随着数据中心网络性 能的提升，安全设备往往会成为整个 网络性能的瓶颈，采用业务板卡的部 署方式，可以在一台交换机上叠加多 块安全板卡，通过增加板卡的数量提 升安全防护的性能，有效的保护已有 投资，并且适应网络的性能发展。 数据中心的网络安全是数据中心 安全体系的最基本环节，通过合理的 网络安全设计方法可以保证基础网络 平台的安全可靠，并提供持续安全加 固的扩展性设计。但是要想构建全面 安全的数据中心，还需要数据安全、 系统安全、信息安全等方面从其他的 安全角度出发进行相应的安全规划， 不断完善数据中心的安全防范等级。 作者单位：西安交通大学档案馆
