云数据中心网络纵深防御探讨

曹亚

摘要：近年来，云数据中心的运行安全问题遇到了一定的挑战。文章基于云数据中心网络安全服务需求，介绍分析了信息保障技术框架纵深防御，针对IATF纵深防御模型存在的不足，明确改进思路，借鉴纵深防御模型提出了主动型纵深防御模型的建设框架，并立足于网络假设、网络威胁、网络纵深防御架构、网络纵深防御技术架构4个维度，制订出网络纵深防御架构的设计方案，最后从合理性、实用性和先进性3个方面做出总结，明确云数据中心网络纵深防御具有实用价值，可以为云数据中心安全防护工作提供参考。

关键词：云数据中心；网络纵深防御；网络安全服务；网络威胁

中图分类号：TN915文献标志码：A

0 引言

现阶段开展数据中心建设，最为常见的技术便是云计算，其在提高资源利用率、资源管理效率、优化资源交付服务化体验等方面均具有明显作用。在云计算基础上搭建云数据中心，对于网络接入、数据储存等一系列服务的实现，不可避免地会面临安全威胁，比如網络病毒、网络渗透等。为了解决云数据中心面临的安全威胁，近年来，行业领域专门针对网络安全和虚拟化安全等提出了一些新的解决思路，如：构建云数据中心网络纵深防御架构，采用经典安全防御思想，最大限度地降低系统受到入侵、攻击的可能性，保证网络安全。

1 云数据中心网络安全服务需求研究

云数据中心弹性强，且具有敏捷性，可以满足网络安全要求。云数据中心安全服务需要在管理平台上实现统一（见图1）［1］。由此，云数据中心网络安全服务应满足如下需求。

1.1 满足特性需求

安全服务需要在云数据中心管理平台中实现统一，对其本身所具备的弹性、高效性以及敏捷性提出更高的要求。

（1）敏捷性方面，云数据中心中部署的安全服务需要保证灵活性，而且数据中心和各项业务也应受到安全服务的管理。安全服务的启停，不能影响云数据中心正常的业务运转。

（2）弹性方面，安全服务必须保证动态调节性能，适应业务变化的各种需求，而且动态调节不能受到管理员限制，应在服务规则基础上展开。

（3）高效性方面，应确保安全服务支持用户共享，达到统一管理以及资源利用的目的。

1.2 满足基础需求

除上述特性需求外，云数据中心网络安全服务还包括一些基础需求，需要在建设阶段予以重视。

（1）业务跟随需求。要确保安全服务能够跟随用户虚拟机迁移进行迁移，从而达到安全防护和业务流量全程跟随的目的。

（2）服务拓展需求。安全服务和攻击演变融合，进行动态拓展和调整，须达到在已有基础上定期更新与拓展的要求。

（3）多种类数据中心支持需求。安全服务应符合各类云数据中心运行要求，需要从管理平台中独立，如有必要，还须放弃Hypervisor技术，以达到各类云数据的统一安全保障需求。

2 纵深防御模型的改进

2.1 IATF纵深防御分析

构建信息保障技术框架（Information Assurance Technical Framework，IATF），可以作为信息保障体系建设的技术性指导，以下具体阐释IATF。

2.1.1 纵深防御模型描述

IATF纵深防御包括人、技术、操作3项要素（见图2），其中，“人”在信息保障体系中非常关键，其利用技术实现具体操作；“信息系统”共包含4个关键区域，即网络技术设施、计算环境、网络边界、支撑性基础设施，从这4个区域中部署安全措施，可以实现多点防护的效果［2］。

2.1.2 IATF纵深防御模型优劣分析及改进思路

分析IATF纵深防御模型的优缺点发现，最为明显的优势为：IATF可有效化解原本较为复杂的信息系统环境安全保障性问题，经过分层、分区、分级安全防护，既可以实现技术性、经济性双重目标，又可以为安全体系建设、执行创造环境。

IATF纵深防御的战略核心，是利用信息系统各个位置、层面完成防御措施的部署，达到反击效果。IATF纵深防御还存在两个主要方面的不足：（1）探知安全威胁欠缺主动性；（2）不同区域的安全措施欠缺融合性与统一性。

基于对IATF纵深防御模型优劣分析，提出对IATF纵深防御模型的改进思路：（1）大力应用安全态势感知方法，主动探知安全威胁；（2）采用集中性安全管控方法，加强安全措施管理统一性［3］。

2.2 改进IATF，构建主动型纵深防御模型

依据上述改进思路，构建信息系统主动型纵深防御模型。主动型纵深防御模型包括基础防御技术体系、人、高级防御技术体系。

（1）基础防御技术体系包括物理网络基础设施和物理计算环境等，主要负责搭建基础纵深防御架构。

（2）在IATF纵深防御体系中，“人”系统的重要元素之一，主要是利用技术实现具体操作。在改进后的主动型纵深防御模型中，无论是基础防御还是高级防御，均需要采用人为处理与技术自动处理结合的方法，避免出现误报和漏报情况，使防御更加有效。

（3）高级防御技术体系涉及安全态势感知、集中安全策略管理技术等，分别通过采集威胁情报信息、利用安全态势对综合态势信息进行感知，向基础防御体系提供安全策略，达到主动防护的效果。

3 网络纵深防御架构设计

上文基于 IATF纵深防御模型及其优劣点，提出了主动型纵深防御模型的架构，以实现更高效的网络防御。

3.1 网络假设

按照云数据中心网络防护架构中主动型纵深防御模型的实际运用情况，对于假定网络做出如下描述：假设云数据中心通过覆盖网络技术，达到传输网络虚拟化的目的，同时具有虚拟私有云VPC服务的功能。虚拟网络通过物理网络完成信息传输，而物理网络面对虚拟网络的传输内容，只是将其当作具有统一性的物理网络负载，无法感知传输内容。基于此，可以假设云数据中心网络安全域的划分情况：物理网络可以在VLAN、防火墙技术基础上，划分若干物理子网，专门用于业务部署，各物理子网分别有对应的安全域；虚拟网络在VPC技术基础上实施，各租户与VPC虚拟网络一一对应，虚拟子网和安全域同样一一对应。

3.2 网络威胁分析

云数据中心遭受网络威胁，可以从以下几个维度展开讨论：按照网络攻击实际发生部位，云数据中心网络威胁一般被划分为物理网络威胁和虚拟网络威胁。按照网络攻击形成的威胁数据流动方向，云数据中心网络威胁流划分成南北向攻击流、东西向攻击流。但无论上述哪种流向，发起攻击的最终目的均是利用网络到达相应的服务器与虚拟机。

按照攻击者实际位置，一般攻击者可以利用外部网络发动攻击，或者是在数据中心内进行攻击。如果是后者，攻击者、受害者很大概率会在相同的安全域内部署，或者是在不同的安全域中，所以，云数据中心网络防御架构，务必要关注到物理网络、虚拟网络，同时防范内外部攻击。

3.3 网络纵深防御架构

基于上述云数据中心网络假设以及网络威胁，以主动型纵深防御模型思想为基础，搭建起云数据中心网络纵深防御架構。

（1）部署安全措施。主要体现在数据中心物理网络、虚拟网络各个区域部署防护措施、云安全中心部署安全态势感知与集中性安全策略管理两个方面，实现基础防御与主动防御。

（2）明确网络纵深防御的基本原理。利用层次性与纵深式基础防御技术，完善技术体系部署，同时抵御来自内外部发起的攻击。利用高级防御技术体系的部署，有助于加强防御体系主动性能。外部传输网络面对窃听网络内容等发出的攻击，可以对外部传输网络进行加密，或者是构建VPN达到安全防护的目的。内部传输网络也可以采用相同的方法进行安全防护。对于物理网络，南北向攻击流按照外部传输网络、物理网络边界的顺序部署相应的安全措施，而东西向攻击流量则是按照服务器系统和物理子网边界的顺序，部署安全策略。虚拟网络方面，南北向攻击流量和东西向攻击流量，与物理网络安全策略部署方式相同。

（3）对于主动防御，则是利用安全态势感知技术，采集物理网络、虚拟网络包含的所有安全措施威胁情报信息，并且采取态势分析方法，了解当前面临的安全态势，为安全人员应对风险、科学利用集中性安全管理技术提供帮助，发挥主动防御优势，加强安全防护水平。

3.4 网络纵深防御技术架构

为了能够全面发掘纵深防御架构的优势，针对云数据中心网络纵深防御架构，需要配备相应的技术架构。此技术架构包括基础防御体系与高级防御体系，具体如下：

3.4.1 基础防御技术体系

基础防御技术体系主要包括网络、基础设置安全、网络边界安全等。

3.4.2 高级防御技术体系

高级防御技术体系则包括集中安全策略管理技术、安全态势感知技术。具体分析如下：

（1）网络与基础设施安全，主要涉及云数据中心外部与内部传输网络安全，其中，外部传输安全主要是在传输数据的安全性、私密性、完整性等方面发挥作用，内部传输网络安全则是在数据中心以内的各个安全域进行数据传输过程发挥作用，保证传输数据安全性与私密性。常用的措施包括VPN和通信加密。

（2）网络边界安全包括物理网络边界和物理子边界等，共有四种类型的边界安全防护措施，保证边界授权访问和进出安全边界流量能够实时受到监控。

（3）计算环境安全重点关注的是物理服务器和虚拟机的安全性，常用身份认证、入侵检测等方法进行防护。

（4）高级防御技术体系包含安全态势感知与集中安全策略管理两项技术，安全人员利用这两项技术可以及时发现潜在的风险与攻击威胁，及时采取防范措施，保证云数据中心的安全，还有利于加强数据中心主动防御与整体防御实力。

4 网络纵深防御架构分析

4.1 合理性

主动型网络纵深防御架构，一方面对传统网络架构包含的物理网络安全防护进行了重视，另一方面也满足了虚拟网络在纵深层面的要求。

4.2 实用性

主动网络防御技术在行业范围内，也是比较经典的防护措施之一，在现有技术措施部署的基础上，无须再投入更多的成本。

4.3 先进性

网络防御架构，基于以往应用的纵深防御思想，还融入了安全态势感知、集中安全策略管理两种技术。其中，安全态势感知采集各个区域与层级产生的安全情报，并且感知数据中心总体安全状态。根据最终得到的态势感知信息，可以为安全人员提供帮助，主动对潜在的未知威胁进行探测，利用集中安全策略管理，提高安全防护策略配置效率，并且实现纵深防御体系所具备防御性能的提升。

5 结语

综上所述，通过对云数据中心网络纵深防御的讨论，明确制订设计网络纵深防御的方案，充分发挥其在云数据中心安全防护方面的优势，保证云数据中心各项数据安全性，为数据传输提供隐私保障。另外，今后对于网络纵深防御的优化，还需要在已有网络纵深防御架构基础上进行，采用先进技术，在了解云数据中心基本需求之后制订优化设计方案，从而保证云数据中心安全性和数据完整性，也可以切实提高云数据中心网络纵深防御水平。

参考文献

［1］卢洪明，刘先锋，周舟，等.机器学习方法的云数据中心能耗模型研究［J］.小型微型计算机系统，2022（8）：1-10.

［2］简靖韡，董林凤.数据中心对区域经济数字化升级的探索与思考——以赣西云数据中心为例［J］.互联网周刊，2022（11）：35-37.

［3］胡小宁.基于GRU循环神经网络的云数据中心应用故障预测方法［J］.铁路计算机应用，2022（2）：7-11.

（编辑 傅金睿）