ODCC：新型數據中心高安全技術體系白皮書（2022）（28頁）.pdf

1、 1 新型數據中心高安全技術體系白皮書ODCC-2022-08003 分布式存儲技術與產業分布式存儲技術與產業 分析報告分析報告 編號 ODCC-2022-08003 新型數據中心高安全 技術體系白皮書 開放數據中心標準推進委員會開放數據中心標準推進委員會 2022-09 發布發布 I 新型數據中心高安全技術體系白皮書ODCC-2022-08003 版權版權聲聲明明 ODCC（開放數據中心委員會）發布的各項成果，受著作權法保護，編制單位共同享有著作權。轉載、摘編或利用其它方式使用 ODCC 成果中的文字或者觀點的，應注明來源：“開放數據中心委員會 ODCC”。對于未經著作權人書面同意而實施的剽

2、竊、復制、修改、銷售、改編、匯編和翻譯出版等侵權行為，ODCC 及有關單位將追究其法律責任，感謝各單位的配合與支持。II 新型數據中心高安全技術體系白皮書ODCC-2022-08003 編制說明編制說明 本報告由 ODCC 安全特設組牽頭撰寫，在撰寫過程中得到了多家單位的大力支持，在此特別感謝以下參編單位和參編人員：參編單位（排名不分先后）：中國移動通信集團有限公司、中國信息通信研究院（云大所數據中心團隊）、中國電信股份有限公司研究院、華為技術有限公司、新華三信息安全技術有限公司、杭州迪普科技股份有限公司 參編人員（排名不分先后）：楊?？?、鄒珂龍、杜海濤、程宇、尹偉、韓敏玲、謝麗娜、江暢、王素

3、彬、王雪榮、嚴菲、初利寶、王健、孫健 項目經理：鄒珂龍 III 新型數據中心高安全技術體系白皮書ODCC-2022-08003 前前 言言 隨著 5G、工業互聯網、云計算、人工智能等業務的蓬勃發展，傳統數據中心正在向著以“高技術、高算力、高能效、高安全”為特征的新型數據中心發展。新型數據中心作為關鍵信息基礎設施，是網絡強國、數字中國、智慧社會建設的重要基礎，也是支撐我國數字經濟發展的底座。本白皮書以數據中心行業發展政策為指導，立足當前建設新型數據中心面臨的安全威脅和攻擊變化，創新性提出新型數據中心高安全的四大目標特征及四層三面的技術體系。本白皮書探討了基礎設施、算網一體、應用及數據等方面的安全

4、技術要求，從系統建設、核心業務和安全運營三個維度對新型數據中心安全管理新內涵進行了系統性的總結，梳理了新型數據中心安全產品和技術圖譜，最后提出了新型數據中心安全等級評估的必要性和工作方向。由于水平有限，白皮書必然存在不足或錯誤之處，歡迎業界各位批評指正，大家共同開展相關領域的探討。本白皮書的版權歸 ODCC 所有，未經授權，任何單位或個人不得復制或拷貝本白皮書之部分或全部內容。IV 新型數據中心高安全技術體系白皮書ODCC-2022-08003 目目 錄錄 版權聲明.I 編制說明.II 前 言.III 一、新型數據中心安全發展的必要性及目標.1 1.1 背景.1 1.2 新型數據中心面臨的安全

5、威脅和挑戰.1 1.3 新型數據中心高安全總體目標.2 二、新型數據中心高安全技術體系.3 2.1 基礎設施安全層.4 2.1.1 物理環境安全.5 2.1.2 設備自身安全.5 2.2 算網一體安全層.5 2.2.1 網絡安全.5 2.2.2 算力安全.7 2.3 應用安全層.9 2.3.1 WEB 應用安全.9 2.3.2 API 應用安全.10 2.4 數據安全層.10 2.4.1 數據采集安全.11 2.4.2 數據處理安全.12 2.4.3 數據存儲安全.12 2.4.4 數據服務安全.13 V 新型數據中心高安全技術體系白皮書ODCC-2022-08003 2.5 系統建設管理平面

6、.14 2.6 核心業務管理平面.15 2.7 安全運營管理平面.16 三、新型數據中心安全等級評估.18 3.1 安全等級評估的必要性和意義.18 3.2 安全等級評估思路.19 四、展望.21 1 一、一、新型數據中心安全發展的必要性及目標新型數據中心安全發展的必要性及目標 1.11.1 背景背景 作為信息社會的數字底座,數據中心已經成為推動社會發展的戰略性基礎設施，是助推數字經濟發展的重要力量。早在 2017 年，我國就提出“要構建以數據為關鍵要素的數字經濟，要切實保障國家數據安全，要加強關鍵信息基礎設施安全保護，強化國家關鍵數據資源保護能力，增強數據安全預警和溯源能力?！睌祿行淖鳛閿?/p>

7、字經濟及其數據安全的主戰場，其安全問題近年來愈發得到相關政府部門、運營商和企業的高度重視。2021 年 7 月，工信部印發新型數據中心發展三年行動計劃（2021-2023 年），指出新型數據中心具有高技術、高算力、高能效、高安全的特征。新型數據中心在構建高效算力服務的同時，“高安全”作為其建設和發展的基本特征和要求也被正式提出。2021 年12 月，國務院印發“十四五”數字經濟發展規劃通知，其中明確強調要著力強化數字經濟安全體系，要求增強網絡安全防護能力，提升數據安全保障水平，切實有效防范各類風險。1.21.2 新型數據中心面臨的安全威脅和挑戰新型數據中心面臨的安全威脅和挑戰 相比于傳統數據中

8、心，新型數據中心在業務云化與數字化轉型的浪潮中，主要面臨三大安全威脅和挑戰：安全威脅面在不斷增加和擴大安全威脅面在不斷增加和擴大。隨著數據中心 IT 架構不斷變革，多云、混合云部署成為常態，算力設施資源從傳統物理設備向虛擬化、容器化演進，各類網絡及業務訪問更加多元化；數網協同、數云協同、云邊協同帶來更多開放性，傳統安全邊界在逐步消失。網絡攻擊手段和技術不斷升級網絡攻擊手段和技術不斷升級。地緣政治摩擦、全球貿易爭端以及日漸激烈的市場環境，攻擊手段和技術越來專業化和“國家化”，迫切需要數據中心建設發展成為可信、安全、合規的運營基石，以應對當下如供應鏈攻擊、勒索病毒等日益增多的新威脅事件以及未來的不

9、確定性挑戰。2 安全防護產品和技術能力參差不齊安全防護產品和技術能力參差不齊。近年來安全技術和產品迭代迅速，市場上各類安全產品日益增多，但這些產品彼此孤立、松散組合，使得新型數據中心的安全建設愈加復雜，并帶來了諸多安全隱患，比如操作復雜性、可視化孤島、安全響應復雜性、防御盲點等。面對當下日益嚴峻的網絡安全形勢，缺乏頂層設計、查缺補漏的安全架構已經不能滿足新型數據中心的安全建設需求，亟需建立一體化數據中心安全技術體系，全方位賦能新型數據中心建設發展，實現新型數據中心可視可防可控的立體化安全。1.31.3 新型數據中心高安全總體目標新型數據中心高安全總體目標 隨著新的安全形勢發展和網絡安全相關法規

10、條例的實施，新型數據中心迎來新的安全理念和技術要求。為了實現快速及時的算力安全服務、網絡安全防御、數據安全存儲和運營安全處置，新型數據中心高安全技術體系必須落實不同維度、不同側重的各類監管合規要求，覆蓋日常運營、安全評估、應急和重保等各類運營場景，有效識別和抵御業務訪問、運維管理、開發測試、數據服務等數據中心各環節面臨的外部威脅和內部風險。為此，新型數據中心的安全技術體系應達到以下四個目標：安全內生安全內生 隨著開源代碼等的廣泛應用和數據中心內各類系統的日益復雜，數據中心內各類設備自身漏洞常常成為遭受攻擊的突破點和重災區。尤其是 IT 硬件設備和軟件系統，自身的安全問題層出不窮，提升數據中心各

11、類基礎設施自身的安全性不可或缺且迫在眉睫。通過不斷加強設備自身健壯性和“內置式”主動防御能力，構建主動免疫的安全體系新防線。安全可視安全可視 3 有力的安全防御手段依賴于對業務正常行為和異常事件的準確識別和展示，及時發現調查取證并最終確認安全威脅，才能在確保數據中心業務不受影響的情況下做到“不漏檢、不誤殺”。業務正常行為的準確識別，前提是必須要對數據中心資產、網絡拓撲及各類生產數據實現識別認知能力，做到資產、網絡、數據的可視；而只有具有對數據中心安全信息統一全局的監測視野，才能做到“一點及時發現，全網協同防御”的可視化目標。融合聯動融合聯動 當下新型網絡攻擊經?；旌鲜褂枚喾N手段和戰術，逐步滲透

12、并侵入數據中心核心資產，這使得傳統的靜態的攻擊威脅識別難以形成有效的防御。因此需要基于人工智能等新技術，站在數據中心全局安全的角度對主機端點事件、網絡威脅事件、歷史日志信息等多點異常融合分析，并實現針對安全事件的邊界節點就近實時聯動處置，把安全威脅扼殺在最小影響范圍內。綠色高效綠色高效 綠色低碳是新型數據中心的顯著特征。近年來隨著數據中心安全新技術的涌現，數據中心內部各類安全產品逐年增多，重復臃腫的安全產品引入和建設不僅違背了新型數據中心綠色發展理念，而且加大了數據中心運維管理復雜度，同時也顯著增加了內外部業務時延。在算力時代全國數據中心集群統一高效調度的大背景下，新型數據中心的安全建設必將向

13、著去冗余、重編配的綠色高效方向發展。二、新型數據中心高安全技術體系二、新型數據中心高安全技術體系 為應對內外部日益加劇的安全風險和挑戰，強化以數據為核心要素的數據中心安全建設，實現安全內生、安全可視、融合聯動、綠色高效的總體目標，新型數據中心需要形成“四層三面”的高安全技術體系架構。4 圖 1 新型數據中心“四層三面”安全技術體系架構“四層”主建，從安全能力建設的視角，自下而上覆蓋數據中心內安全防御的主要對象，分為基礎設施安全層、算網一體安全層、應用安全層和數據安全層?！叭妗敝鞴?，從安全防范管理的視角，把四層安全能力協同貫穿起來，形成系統化的風險抵御和運營管理能力，主要分為系統建設管理平面、

14、核心業務管理平面和安全運營管理平面。數據中心各類基礎設施是系統管理員的領地，其安全是數據中心安全的根基；開展數據處理、存儲及服務的各類核心業務是業務管理員的領地，其安全是數據中心安全的核心；而數據中心安全監測、告警和態勢感知等安全運營管理是安全團隊的主戰場，其安全是數據中心安全的大腦。2.12.1 基礎設施安全層基礎設施安全層 基礎設施安全是數據中心安全可靠的基礎，從設計建設角度來說主要包括兩方面，一方面是數據中心的物理環境安全，包括風火水電等基礎資源；另一 5 方面是數據中心內各類設備的自身安全，通過強化自身安全健壯性，最大程度避免被攻擊利用。2 2.1.1.1.1 物理環境安全物理環境安全

15、 物理環境安全是指確保數據中心內一切設施有一個良好的電磁兼容工作環境，并防止非法用戶進入和各種偷竊、破壞活動的發生。這涉及機房選址、規劃設計、機房環境、機房管理、設備與介質管理等。如：選址避開自然災害不利或危險的地區，滿足國家防災要求。具備防震、防火、防水、防靜電的“四防”能力，基礎設施支持 7*24 小時不中斷的電力保障、訪問控制及監控，滿足國家新型數據中心建設標準。有效的區域監控、防盜報警系統，阻止非法用戶的各種臨近攻擊。2.1.22.1.2 設備自身安全設備自身安全 設備自身安全是指設備在開發及應用過程中，自身防仿冒防篡改、抗攻擊的韌性能力，主要包括硬件可信、軟件可信及供應鏈可信等。硬件

16、可信：硬件可信：硬件唯一可信根，軟硬件互相校驗。避免使用仿冒硬件，或者軟件被篡改植入惡意代碼。軟件可信：軟件可信：軟件防篡改抗攻擊，軟件安全啟動、安全運行、安全審計等防篡改能力，并能做到進程隔離、進程級異常檢測和重啟、邏輯/芯片級異常檢測和自動復位能力等，提升系統韌性。供應鏈可信：供應鏈可信：從軟件安全的開源和第三方、升級補丁等相關安全來源的可信，避免系統被劫持利用。2.22.2 算網一體安全層算網一體安全層 2.2.12.2.1 網絡安全網絡安全 6 新型數據中心安全從技術上離不開網絡安全的保障。隨著云化、虛擬化演進，網絡安全從傳統網絡邊界安全向內移到零信任、微隔離等技術代表的新的邊界安全，

17、一層層網絡安全能力疊加形成防御縱深。網絡邊界安全網絡邊界安全 傳統網絡安全措施，以數據中心為防護對象，在邊界上部署如防火墻、IPS、抗 DDoS 等網絡安全防護設備。對于新型數據中心來說，邊界防護仍然是基本的安全保障，提供高性能高可靠的抵御外部攻擊的邊界隔離能力。但是，隨著數據中心內部應用的彈性增長，需要傳統網絡邊界安全產品能適應應用彈性部署的要求，可做到池化部署能力，向 SDN 編排、低時延等技術能力演進，實現資源編排（突破單設備性能瓶頸）、流量編排（突破設備協同瓶頸）和策略編排（突破部署效率瓶頸）。內移邊界安全內移邊界安全 IT 架構云化虛擬化后，數據中心內東西向流量持續規模增長。東西向互

18、訪連接增多使得數據中心網絡邊界內移到區域邊界、微服務邊界。當前微服務間存在合理的流量訪問關系，同時也存在惡意的探測、攻擊等。這使得傳統網絡邊界信任機制被打破，內網外隔離的傳統方式已經無法適應業務 IT 化轉型后的安全發展需要。對于新型數據中心，在原有網絡邊界安全的基礎上，基于零信任技術實現基于數據模型訪問關系的實時應用訪問行為監控成為新的要求。橫向流量安全橫向流量安全 橫向移動是現代網絡攻擊的重要部分，它充分利用了不安全的低級網絡資產及內網賬戶保護不力的漏洞，給新型數據中心安全帶來了嚴重威脅，故橫向流量安全能力是新型數據中心網絡安全的重要補充。數據中心的業務主體是應用和數據，基于業務邏輯清晰劃

19、分防御對象，建立基于微分段的安全策略保護，避免非信任流量擴散。同時，基于業務鏈技術把風險流量引流到“監控/授權”7 模塊聯動安全分析處置，實現微隔離。通過微隔離技術與零信任能力的疊加，可以把新型數據中心面臨的新安全威脅風險控制在最小影響范圍?？偟膩碚f，新型數據中心網絡安全需具有南北向和東西向邊界防護能力、基于控制器的資源池化編排能力、基于虛機/微服務的微隔離能力及基于零信任技術的網絡訪問保護等特征,其安全基本結構如下：圖 2 新型數據中心網絡安全基本結構 2.2.22.2.2 算力安全算力安全 算力平臺安全算力平臺安全 當前虛擬化和容器化技術作為提供新型數據中心算力的基礎平臺，突破了傳統操作系

20、統與物理硬件之間的界限，在算力資源集中化管理、提高硬件利用率、異構算力資源整合等方面發揮了關鍵作用。但底層硬件資源的共享也帶來了一定的安全風險。為此，需要進一步做到虛擬層隔離安全和虛擬交換安全。虛擬層隔離安全：虛擬層隔離安全：同一物理機上不同虛擬機之間應做到資源安全隔離，避免虛擬機之間的數據竊取或惡意攻擊。但當前數據中心內仍存在虛擬機跳躍、虛擬機逃逸、拒絕服務攻擊和 VMBR（Virtual Machine Based Rootkit）攻擊等安全隱患，故針對虛擬層開展定期配置檢查和及時漏洞補丁更新，確保 vCPU調度隔離、內存隔離、磁盤 I/O 隔離安全，化解虛擬層隔離安全風險十分必要。8 虛

21、擬交換安全：虛擬交換安全：OVS 等虛擬交換機為數據中心內東西向，尤其是同宿主機算力單元之間的流量交換提供了極大便利。但其作為部署在硬件服務器內的新型軟件交換設備，區別于傳統物理交換機，其安全管理和策略控制極易忽視，同樣存在安全風險。因此，虛擬交換機的流量可視化是虛擬交換安全的基礎，在此基礎上還可考慮增加額外的防護手段，如部署虛擬防火墻等。算力單元安全算力單元安全 主機系統作為新型數據中心算力提供的基本單元，也是絕大多數數攻擊者的最終入侵目標。開展算力單元安全防護，進行常態化的威脅檢測和防御，避免主機劫持事件的發生是新型數據中心整體安全的最后一道也是最有效的防線，其重要性不言而喻。具體手段包括

22、基線核查、異常行為監控、漏洞管理及病毒防護等?；€核查：基線核查：主要針對主機配置的安全性和合理性進行檢測，避免過度的暴露面帶來不必要的風險。例如主機上僅開放少數幾個端口用于業務與維護使用，有效應對一些高危端口或未知端口帶來的病毒傳播；制定嚴格的訪問授權、密碼管理等統一的主機安全策略等。異常行為監控：異常行為監控：支持對防暴力破解等異常登錄行為、非法數字貨幣挖礦等算力盜用行為、域名劫持等算力劫持行為，以主機維度或用戶維度建立訪問和通信的大數據畫像，開展異常行為監測和告警。漏洞管理：漏洞管理：一方面需要定期掃描主機漏洞并及時安全加固，嚴格測試和評估新發布補丁的兼容性、可用性、可能帶來的副作用及采

23、取的相應緩解措施。另一方面，虛擬機模板、容器鏡像存在系統漏洞將進一步擴大安全風險，故需要盡量裁剪不必要的軟件組件或模塊，構建最小化系統；并增加如容器鏡像簽名等技術手段來確保系統的完整性。病毒防護：病毒防護：部署防病毒軟件，對各類病毒、蠕蟲、惡意代碼、木馬等惡意文件和進程動態查殺及隔離，確保斬斷病毒傳播、寄生的每一個節點，實現病 9 毒的全面防范。當前由于勒索攻擊威脅加劇，新型數據中心的病毒防護應能夠識別勒索軟件攻擊的典型癥狀，一旦發現網絡中 C&C 異常通信或者文件異常加密等可疑活動，應可在攻擊者開始勒索之前預先發出告警。算力服務安全算力服務安全 隨著產業數字化進程加速，未來算力需求將持續放大

24、，算力或將成為一種可交易商品，從當前公有云數據中心算力服務的孤島模式向全網算力如“水電”一樣便捷獲取的公共服務演進。由此帶來的算力調度安全和算力交易安全也需要逐步納入新型數據中心安全建設要求中。算力調度安全：算力調度安全：未來算力網絡調度平臺通過聚合海量的算力資源，將形成可持續擴張的全國一體化算力服務資源池。因此需要建立一個安全可信的調度機制，實現算力資源的安全流通，才能滿足國家重大戰略和醫療、交通、安防、教育等各行業對算力服務的需求。算力交易安全：算力交易安全：當算力成為一種可交易商品后，可基于區塊鏈、共識機制與算法、智能合約等技術構建可信算力交易平臺，對多方泛在、多樣算力進行運營計費，保證

25、算力交易的安全可控、隱私高效。2.32.3 應用安全層應用安全層 2.3.1 WEB2.3.1 WEB 應用安全應用安全 隨著 Web 技術的普及，越來越多的應用基于 Web 平臺部署，Web 應用是數據中心對外提供的主要業務。而由于 Web 應用自身多采用開源架構和開放服務的特點，其常成為應用安全攻擊的入口。為實現 Web 應用安全，在新型數據中心內部署 Web 防護及網頁防篡改模塊，是主要的防護手段。WebWeb 防護防護 10 通過智能引擎識別已知攻擊行為，包括 SQL 注入、XSS、命令注入、文件上傳、反序列化攻擊等常見的 Web 攻擊行為，同時加強識別未知威脅及 0day 攻擊行為，

26、保障基于 Web 的業務系統安全可靠運行。網頁防篡改網頁防篡改 應用內核態文件驅動過濾技術，阻止攻擊者通過 Web 操作系統和服務程序的漏洞，獲取 Web 服務器的控制權限后進行非法的 Web 操作，包括內容篡改、數據盜取或惡意代碼植入等。2.3.2 API2.3.2 API 應用安全應用安全 隨著業務的云化發展，新型數據中心內大量的云服務通過 API（如 Restful API）的形式對外提供業務和管理接口?？紤]到 API 對云服務承載的重要功能和其在 HTTP 應用層面臨的安全威脅，新型數據中心需要考慮把 API 視為云服務至關重要的安全邊界，采用多重機制和措施進行重點保護：一是建立動態的

27、一是建立動態的 APIAPI 接口管理及使用機制。接口管理及使用機制。通過流量學習等手段來梳理活躍的 API 應用和暴露的 API 接口，依據 API 的狀態變化并結合用途屬性進行分級分類,區分在用 API、廢棄 API、測試 API、異常 API 和未知 API，形成動態更新的 API 接口清單，及時發現 API 應用隱患。二是采用專用的二是采用專用的 APIAPI 應用網關設備。應用網關設備。一方面增強 API 調用的認證和權限控制，限制 API 調用速率；另一方面通過部署 API 檢測和攻擊防護技術，識別API 訪問接口所遭受的各種自動化腳本、爬蟲工具和 BOT 工具的掃描和惡意調用，從

28、而提升應用安全的整體防護能力，避免 API 濫用、盜用行為的發生。2.42.4 數據安全層數據安全層 數字經濟時代，數據安全是新型數據中心安全建設的核心。新型數據中心數據安全應借助組織人員的安全能力和管理制度，在數據安全分級分類、安全 11 可視的總原則下，以“數據采集安全”為基礎、“數據處理安全”為關鍵、“數據存儲安全”為保障、“數據服務安全”為目標，構建全生命周期的數據安全流程，實現數據的完整性、保密性、可用性和持久性。圖 3 新型數據中心數據安全治理結構 2.4.12.4.1 數據采集安全數據采集安全 數據采集的目的是獲得有價值的數據資產，采集應嚴格按照網絡安全法、個人信息保護法等相關法

29、律法規和行業規范執行，數據中心內數據采集的方式主要包括應用數據通過網絡采集、數據中心內系統日志數據采集等。組織開展數據采集活動的過程中，應確保數據采集的合法性、正當性和必要性：定義采集數據的目的和用途，明確數據來源、采集方式、采集范圍等內容，并制定標準的采集模板、數據采集方法、策略和規范；對于初次采集的數據，需采用人工與技術相結合的方式進行數據采集確認；最小化采集數據，不收集與提供服務無關的個人信息和重要數據；對數據采集環境、設施和技術采取必要的安全管理措施。對采集的數據進行分類分級是實現后續環節數據安全的前提。新型數據中心應對采集數據的存儲位置、存儲格式、存儲內容和大小，依據國家數據安全法、

30、個人信息保護法等法規及基礎電信企業數據分類分級方法等行業相關標準制定數據分類分級體系?；跀祿踩O測及數據防泄漏設備，針對不同數據級別設置安全保護策略，為后續數據處理、數據存儲和數據服務提供依據。12 目前業界對數據的分級分類缺乏有效實施經驗，主要還依賴人工處理，工作量大且效率低，而基于關鍵字、知識庫進行自動分類分級誤判率高。新型數據中心面對各行各業數據，數據的安全分級分類應借助機器學習構建的知識算法，將專家經驗和方法固化為規則模型和識別引擎，通過自動化、智能化的分類分級技術手段，提升數據分類分級的質效。2.4.22.4.2 數據處理安全數據處理安全 新型數據中心的數據處理安全主要解決數據的

31、隱私權問題，包括數據隱私計算和數據的刪除銷毀。數據隱私計算數據隱私計算 由于數據處理需要涉及多源、泛在的算力節點，無法保證每個算力節點都是安全可靠的，數據分配到算力節點進行計算的模式會使數據面臨隱私泄露的風險，因此需要借助包含安全多方計算、可信執行環境、聯邦學習等隱私計算技術來實現數據的“可用不可見”。數據的刪除銷毀數據的刪除銷毀 依據數據中心合規政策和業務發展需求，對敏感數據或老化過時數據進行刪除銷毀，也是數據處理安全有效的重要環節。建立數據刪除銷毀策略和管理制度，明確數據銷毀的場景、銷毀對象、銷毀方式和銷毀要求，通過覆寫法、刪除、格式化等清零操作銷毀內存和硬盤中的數據，通過物理摧毀、消磁等

32、方式實現各類數據存儲介質的有效銷毀，杜絕信息泄漏風險。建立數據銷毀的管理機制，對數據刪除銷毀操作保存完整記錄，滿足行業標準和安全回溯要求。2.4.32.4.3 數據存儲安全數據存儲安全 新型數據中心的數據存儲安全是指數據存儲過程中的機密性和可靠性，主要涉及底層的存儲系統和數據庫中間件。13 存儲系統安全存儲系統安全 對于不同存儲系統，例如磁盤陣列、分布式存儲、全閃存存儲等，其存儲的機密性一方面通過存儲系統自身的數據分塊/卷及散列來保證，另一方面也可采用基于密鑰的數據加解密技術，通過專用硬件設備實現敏感數據加密存儲。而為了實現數據存儲的高可靠性，存儲系統應通過存儲前的一致性檢查、數據分片冗余、自

33、動快照、多副本備份與恢復等技術手段，為不同級別數據設置不同數據可靠性策略，確保數據的完整性、一致性、準確性和持久性。數據庫安全數據庫安全 數據庫作為承載關鍵生產經營數據的主要載體，需要建立完整的數據庫安全防護能力，涵蓋數據庫上線、使用、運維、遷移全過程：數據庫上線前通過安全基線進行自動化的安全配置檢查，確保數據庫不帶安全隱患；使用過程中，通過對數據庫訪問和操作行為進行全面精確的審計和智能預警，防止核心數據的泄露與破壞，確保數據庫訪問關系、數據庫攻擊威脅清晰可視；在運維和遷移過程中，采取針對性的技術和管理措施，建立標準化的操作流程，確保數據庫運維和遷移安全。2.4.42.4.4 數據服務安全數據

34、服務安全 站在數據流通的角度，新型數據中心業務的本質就是通過數據傳輸和共享向用戶提供數據的服務。在技術方面，數據傳輸和共享應該通過統一的身份管理、權限管理和認證管理確保數據服務對象的合法性；通過 VPN、應用層 TLS 與證書管理等通道加密技術確保數據的傳輸安全，防止數據監聽、竊取、偽造和重放等數據傳輸風險，從而保證數據服務的安全性。同時，數據的傳輸和共享還應防止敏感數據泄漏，通過在數據傳輸邊界部署敏感數據識別設備，通過語義識別、機器建模與匹配等技術實現對敏感數據的監測和告警。對于因業務開展需要涉及出境服務的數據，應按照數據出境安全評估辦法進行數據出境的風險自評估、申報和監測，保護國家信息安全

35、。14 2.52.5 系統建設管理平面系統建設管理平面 系統建設管理是新型數據中心的安全根基，通過將安全建設理念植入到數據中心系統建設的規劃、設計、集成、評估、交付全流程，消減數據中心的薄弱點，才能筑牢抵御日常威脅的基層防護籬笆。一是加強頂層設計。一是加強頂層設計。統籌系統建設的安全目標，自上而下逐層開展安全架構設計，同時做好系統擴展和迭代的長遠考慮，用系統化的理念構筑韌性的安全架構。對于系統集成，應保障安全建設在整個系統建設中的投資占比，并對安全設備和技術方案進行統一規劃，避免安全設備五花八門、各自為戰，冗余重疊。二是遵循隔離原則。二是遵循隔離原則。數據中心系統規劃、設計、集成和評估均應充分

36、考慮安全域隔離設置原則，縮小攻擊事件的影響范圍。通過模塊化設計，物理上劃分接入 DMZ 域、核心生產域、管理維護域，加強區域邊界安全。新型數據中心還應劃分獨立的測試驗證域，一方面對新安全設備部署、安全策略調整、補丁升級等進行嚴格的離線仿真測試；另一方面用于生產系統安全應急演練和人員安全技術培訓。三是充分安全評估。三是充分安全評估。在系統集成完成交付前，應進行充分的安全評估。通過對安全資產的主動探測識別，梳理各類 IT 軟硬件資產和數據資產的風險，評估潛在的供應鏈安全；評估安全威脅的潛在傳播途徑，保證最有效的防護措施應用到可能被攻擊的關鍵線路上；評估安全區域的隔離效果及安全事件發生的應急預案，杜

37、絕安全事件觸發系統癱瘓等重大隱患。圖 4 新型數據中心系統建設管理流程安全框架 15 2.62.6 核心業務管理平面核心業務管理平面 業務的安全管理是新型數據中心安全的核心。具體來說需要分為業務安全設計和業務生命周期安全管理兩部分考慮。業務安全設計業務安全設計 在業務規劃設計時，需要從業務和威脅兩個視角來分解安全設計目標。如下圖所示，從業務視角不僅要遵從網絡安全法等國家相關標準，還應考慮運營商、政務、金融、醫療、視頻、電商等不同行業的業務特點，將具體行業業務作為安全設計的輸入，合理制定安全目標；再通過業務流識別關鍵價值資產，建立風險假設。而從威脅視角出發，應從業務信息流分解目標網規劃，通過數據

38、流分析風險暴露面和攻擊路徑，形成脆弱性評估結論，用于指導核心業務安全解決方案建設和管理。圖 5 新型數據中心核心業務安全設計 業務生命周期安全管理業務生命周期安全管理 隨著以微服務、DevOps、持續交付為顯著特征的云原生應用的發展，新型數據中心業務的安全管理要求從原來以運行時防護為重心進一步前置，需要安全賦能到業務的需求、設計、開發、測試、交付等生命周期的各個環節。16 圖 6 新型數據中心業務生命周期安全管理 如上圖所示。在需求階段需求階段，需要對業務開發模式及安全現狀進行充分調研，評估最新安全監管政策和業務場景的安全特性，明確業務的安全需求。在設計設計階段階段，需要進行進一步的風險分析，

39、從業務框架、業務流程和測試驗證維度進行詳細業務安全設計。在開發階段開發階段，需要業務開發者將增強抵抗力的安全理念應用于代碼開發階段，通過部署開發安全工具，將各種安全能力與 DevOps 流程結合，高效準確地識別業務開發中的安全缺陷及漏洞，實現安全防護“左移”。在測試階段測試階段，需要制定嚴格的黑白盒測試方案，嘗試發掘業務否存在交易數據篡改、接口未授權訪問、關鍵數據明文傳輸等安全設計缺陷。在交付應用階段交付應用階段，應結合業務開放的端口和屬性，對所在的硬件服務器、操作系統、數據庫及應用中間件等，通過補丁升級、強化帳號安全、優化訪問策略等方式進行安全加固和安全配置，提升業務安全防范水平。2.72.

40、7 安全運營管理平面安全運營管理平面 安全運營管理是新型數據中心感知安全威脅與響應處置事件的大腦，在新型數據中心安全中起決定性作用。安全運營管理相關技術也是近年安全領域最活躍的技術，諸如態勢感知、UEBA、威脅情報、XDR、SOAR、安全知識圖譜、蜜罐等技術層出不窮。新型數據中心需要建設統一的安全運營中心，提高安全事 17 件的前瞻性預測能力，開展常態化安全監測、威脅情報分析，對安全事件實現自動響應及快速處置，保障新型數據中心的運營安全。在運營管理制度上，新型數據中心一方面應以安全合規為驅動，主動落實國家及行業相關安全政策法規，響應安全等級評估及等保評測；另一方面應以業務目標為驅動，匹配業務的

41、安全屬性，制定針對性的安全運營管理策略。在安全運營技術上，新型數據中心應以安全事件為驅動，圍繞安全運營中心，構建監控檢測、威脅情報、響應處置、能力沉淀的有機銜接和閉環體系，支撐平戰一體的安全態勢研判及應急指揮。而安全運營中心應以泛在感知、智能分析、主動防御、自主學習為目標向著安全運營大腦持續演進。監控檢測：監控檢測：通過規模部署全流量安全監測探針等，實現對各類風險流量、可疑報文和安全漏洞的 7x24 不間斷監測，并及時上報。威脅情報：威脅情報：基于外部情報設立動態的威脅情報數據庫，并利用人工智能與大數據技術建立威脅模型，對監測到的可疑行為和漏洞開展自動化、智能化的安全運營分析和預警。響應處置響

42、應處置：將發現的安全威脅結合安全數據分類分級進行歸一化關聯處理，實現各類告警的分級分類上報及安全態勢可視，并聯動各層級安全防護能力協同防御。能力沉淀能力沉淀：打造專業的數據中心安全運營團隊，分層分級、專職專責，做好基于事件響應追蹤、威脅情報和處置措施的分析學習，依托智能化安全運營工具實現安全策略的動態更新和編排，從被動防御向主動威脅狩獵進發。18 圖 7 新型數據中心安全運營管理技術框架 三、新型數據中心安全等級評估三、新型數據中心安全等級評估 3.13.1 安全等級評估的必要性和意義安全等級評估的必要性和意義 國家政策和重大網絡安全事件是數據中心的安全建設的主要驅動因素。隨著國內外安全形勢的

43、變化，新型數據中心的高安全標準將要求我們更加注重實戰效力，注重安全與系統建設同步、與業務場景深度融合的“一體化”安全發展。我國數據中心安全技術迭代迅速，圍繞“四層三面”的安全技術體系，所涉及的數據中心安全產品和技術繁多，如圖 8。但當前大多數的數據中心安全建設缺乏統一規劃和標準，各數據中心建設者、運營商部署的安全技術能力之間差異較大、應用不一，這種相對粗放的建設模式不但導致了數據中心安全產品“煙囪式”孤島發展，而且也極易帶來整體安全技術防御體系的疏漏。19 圖 8 數據中心現有安全產品圖譜 同時，在具體安全產品和技術能力的評測方面，目前業界普遍采用的還是基于商用測試儀表或知名第三方工具的靜態測

44、試方法，大多數只能針對已知攻擊報文或威脅特征的防御效果進行簡單的驗證和識別。傳統的安全測試方法與真實的安全攻擊手法、事件場景差距較大，過于依賴特征辨識，缺乏動態交互式的多階段攻擊模擬，很難滿足后續新型數據中心的安全產品和技術能力評測工作需要。因此，推動建立我國新型數據中心的安全等級評估標準和機制，為數據中心的安全建設和技術能力提供指導標準和評估、測評方法，勢在必行：一是安全等級評估將評測數據中心安全產品和技術的優劣，推動數據中心安全技術能力的整合優化及聯動協同，切實提高數據中心的安全建設水平和效率。二是安全等級評估將進一步引導、健全我國數據中心的安全能力和技術發展，總結數據中心安全治理優秀經驗

45、，提升數據中心安全事件應急處置水平與防護韌性。3.23.2 安全等級評估思路安全等級評估思路 20 基于新型數據中心高安全技術體系架構，圍繞安全防范管理三大平面“系統建設”、“核心業務”、“安全運營”，根據新型數據中心的安全水平成熟度，可劃分為四個等級：L1（靜態）、L2（動態）、L3（自動）、L4（意圖），見圖 9。圖 9 新型數據中心安全等級成熟度模型 L1L1（靜態）（靜態）：通過離散的，一次性的技術手段，實現網絡連接不中斷，數據傳輸不泄露，確保網絡實現最基本的可達能力和數據保護能力。L2L2（動態）（動態）：通過持續的，隨業務環境改變的身份認證，環境感知，行為分析，實現接入身份安全，訪

46、問行為可控，應對身份和行為的不確定風險。L3L3（自動）（自動）：面對惡意和非惡意的行為或攻擊，網絡可以自動感知、自動分析、自動溯源并聯動處置，實現風險自處置、業務自恢復，應對異常情況下業務保障的不確定性風險。L4L4（意圖）（意圖）：基于業務意圖，網絡通過對已知/未知風險進行自主學習，持續進化，并進行智能分析和決策，選擇并部署最佳防護方案，最大程度消除潛在風險，實現自主防御，自主進化的確定性新型數據中心網絡。21 新型數據中心安全技術體系中的系統建設、核心業務及安全運營三平面貫穿了全部安全技術能力，這不僅為新型數據中心高安全能力提供了管理視角，同時安全等級評估的推進也可基于此三方面開展：系統

47、建設管理安全評估：深入探究數據中心系統建設的安全設計，從頂層規劃設計的思路、安全域劃分的邏輯、安全產品部署的層級和聯動、系統交付前的安全評估結果等多維度考察安全建設的合理性、前瞻性。針對各層級安全產品，開展安全技術能力測評，評估防護效果和性能。核心業務安全能力評估：評估數據中心核心業務需求設計、開發測試、交付運行全流程的引入的安全管理制度和技術手段，驗證業務安全開展的合規性、制度的完善性及有效性。安全運營能力：通過定期組織開展基于 ATT&CK 等動態模型的安全攻擊模擬和事件演練，檢測數據中心整體防御能力和安全運營效果，確保新型數據中心安全達到可控可視的基本能力，并促進向風險感知、自主決策的高

48、等級安全運營發展。四、展望四、展望 當前，以算力為核心生產力的數字經濟時代正加速到來。新一輪新型數據中心基礎設施建設正在全國各級樞紐節點全面推進，原有“老舊小散”的傳統數據中心加快改造。作為各個行業信息系統運行的物理載體，數據中心安全建設和技術發展對其實現安全可靠的行業支撐乃至信息通信產業的可持續發展至關重要。為切實貫徹落實國家戰略部署，統籌引導新型數據中心的高安全建設，推動實現安全內生、安全可視、融合聯動、綠色高效的總體安全目標，助力打造新型數據中心高質量發展新格局，我們提出以下倡議：22 一是共同加強數據中心的安全建設，推動數據中心相關安全技術發展，促進全國數據中心安全的標準化和能力協同。推動數據中心安全團隊技術交流和知識共享，共建互信互融、合作共贏、責任共擔的數據中心安全技術生態。二是共同推進數據中心安全等級評估，聯合產業上下游重點企業共同研究制定面向新型數據中心的安全等級評估標準規范，建立健全數據中心安全等級評估標準和評測體系，通過評優評級方式引導新型數據中心的高安全建設和運營。三是共同構建專業權威、動態交互的安全測試平臺及測試能力，對數據中心安全產品和技術能力進行多維度“比武”評測，為數據中心安全建設提供技術支撐。