新型数据中心高安全技术体系白皮书

新型数据中心高安全技术体系白皮书ODCC-2022-08003 分布式存储技术与产业分析报告 1 [编号ODCC-2022-08003] 新型数据中心高安全技术体系白皮书 开放数据中心标准推进委员会 2022-09发布 新型数据中心高安全技术体系白皮书ODCC-2022-08003 版权声明 ODCC（开放数据中心委员会）发布的各项成果，受《著作权法》保护，编制单位共同享有著作权。 转载、摘编或利用其它方式使用ODCC成果中的文字或者观点的，应注明来源：“开放数据中心委员会ODCC”。 对于未经著作权人书面同意而实施的剽窃、复制、修改、销售、改编、汇编和翻译出版等侵权行为，ODCC及有关单位将追究其法律责任，感谢各单位的配合与支持。 I 新型数据中心高安全技术体系白皮书ODCC-2022-08003 编制说明 本报告由ODCC安全特设组牵头撰写，在撰写过程中得到了多家单位的大力支持，在此特别感谢以下参编单位和参编人员： 参编单位（排名不分先后）： 中国移动通信集团有限公司、中国信息通信研究院（云大所数据中心团队）、中国电信股份有限公司研究院、华为技术有限公司、新华三信息安全技术有限公司、杭州迪普科技股份有限公司 参编人员（排名不分先后）： 杨海俊、邹珂龙、杜海涛、程宇、尹伟、韩敏玲、谢丽娜、江畅、王素彬、王雪荣、严菲、初利宝、王健、孙健 项目经理：邹珂龙zoukelong@chinamobile.com II 新型数据中心高安全技术体系白皮书ODCC-2022-08003 前言 随着5G、工业互联网、云计算、人工智能等业务的蓬勃发展，传统数据中心正在向着以“高技术、高算力、高能效、高安全”为特征的新型数据中心发展。新型数据中心作为关键信息基础设施，是网络强国、数字中国、智慧社会建设的重要基础，也是支撑我国数字经济发展的底座。 本白皮书以数据中心行业发展政策为指导，立足当前建设新型数据中心面临的安全威胁和攻击变化，创新性提出新型数据中心高安全的四大目标特征及四层三面的技术体系。本白皮书探讨了基础设施、算网一体、应用及数据等方面的安全技术要求，从系统建设、核心业务和安全运营三个维度对新型数据中心安全管理新内涵进行了系统性的总结，梳理了新型数据中心安全产品和技术图谱，最后提出了新型数据中心安全等级评估的必要性和工作方向。 由于水平有限，白皮书必然存在不足或错误之处，欢迎业界各位批评指正，大家共同开展相关领域的探讨。 本白皮书的版权归ODCC所有，未经授权，任何单位或个人不得复制或拷贝本白皮书之部分或全部内容。 II 新型数据中心高安全技术体系白皮书ODCC-2022-08003 目录 版权声明I 编制说明II 前言III 一、新型数据中心安全发展的必要性及目标1 1.1背景1 1.2新型数据中心面临的安全威胁和挑战1 1.3新型数据中心高安全总体目标2 二、新型数据中心高安全技术体系3 2.1基础设施安全层4 2.1.1物理环境安全5 2.1.2设备自身安全5 2.2算网一体安全层5 2.2.1网络安全5 2.2.2算力安全7 2.3应用安全层9 2.3.1WEB应用安全9 2.3.2API应用安全10 2.4数据安全层10 2.4.1数据采集安全11 2.4.2数据处理安全12 2.4.3数据存储安全12 2.4.4数据服务安全13 I 新型数据中心高安全技术体系白皮书ODCC-2022-08003 2.5系统建设管理平面14 2.6核心业务管理平面15 2.7安全运营管理平面16 三、新型数据中心安全等级评估18 3.1安全等级评估的必要性和意义18 3.2安全等级评估思路19 四、展望21 V 一、新型数据中心安全发展的必要性及目标 1.1背景 作为信息社会的数字底座,数据中心已经成为推动社会发展的战略性基础设施，是助推数字经济发展的重要力量。早在2017年，我国就提出“要构建以数据为关键要素的数字经济，要切实保障国家数据安全，要加强关键信息基础设施安全保护，强化国家关键数据资源保护能力，增强数据安全预警和溯源能力。”数据中心作为数字经济及其数据安全的主战场，其安全问题近年来愈发得到相关政府部门、运营商和企业的高度重视。2021年7月，工信部印发《新型数据中心发展三年行动计划（2021-2023年）》，指出新型数据中心具有高技术、高算力、高能效、高安全的特征。新型数据中心在构建高效算力服务的同时，“高安全”作为其建设和发展的基本特征和要求也被正式提出。2021年12月，国务院印发“十四五”数字经济发展规划通知，其中明确强调要着力强化数字经济安全体系，要求增强网络安全防护能力，提升数据安全保障水平，切实有效防范各类风险。 1.2新型数据中心面临的安全威胁和挑战 相比于传统数据中心，新型数据中心在业务云化与数字化转型的浪潮中，主要面临三大安全威胁和挑战： 安全威胁面在不断增加和扩大。随着数据中心IT架构不断变革，多云、混合云部署成为常态，算力设施资源从传统物理设备向虚拟化、容器化演进，各类网络及业务访问更加多元化；数网协同、数云协同、云边协同带来更多开放性，传统安全边界在逐步消失。 网络攻击手段和技术不断升级。地缘政治摩擦、全球贸易争端以及日渐激烈的市场环境，攻击手段和技术越来专业化和“国家化”，迫切需要数据中心建设发展成为可信、安全、合规的运营基石，以应对当下如供 应链攻击、勒索病毒等日益增多的新威胁事件以及未来的不确定性挑战。 安全防护产品和技术能力参差不齐。近年来安全技术和产品迭代迅速，市场上各类安全产品日益增多，但这些产品彼此孤立、松散组合，使得新型数据中心的安全建设愈加复杂，并带来了诸多安全隐患，比如操作复杂性、可视化孤岛、安全响应复杂性、防御盲点等。 面对当下日益严峻的网络安全形势，缺乏顶层设计、查缺补漏的安全架构已经不能满足新型数据中心的安全建设需求，亟需建立一体化数据中心安全技术体系，全方位赋能新型数据中心建设发展，实现新型数据中心可视可防可控的立体化安全。 1.3新型数据中心高安全总体目标 随着新的安全形势发展和网络安全相关法规条例的实施，新型数据中心迎来新的安全理念和技术要求。为了实现快速及时的算力安全服务、网络安全防御、数据安全存储和运营安全处置，新型数据中心高安全技术体系必须落实不同维度、不同侧重的各类监管合规要求，覆盖日常运营、安全评估、应急和重保等各类运营场景，有效识别和抵御业务访问、运维管理、开发测试、数据服务等数据中心各环节面临的外部威胁和内部风险。为此，新型数据中心的安全技术体系应达到以下四个目标： 安全内生 随着开源代码等的广泛应用和数据中心内各类系统的日益复杂，数据中心内各类设备自身漏洞常常成为遭受攻击的突破点和重灾区。尤其是IT硬件设备和软件系统，自身的安全问题层出不穷，提升数据中心各类基础设施自身的安全性不可或缺且迫在眉睫。通过不断加强设备自身健壮性和“内置式”主动防御能力，构建主动免疫的安全体系新防线。 安全可视 有力的安全防御手段依赖于对业务正常行为和异常事件的准确识别和展示，及时发现调查取证并最终确认安全威胁，才能在确保数据中心业务不受影响的情况下做到“不漏检、不误杀”。业务正常行为的准确识别，前提是必须要对数据中心资产、网络拓扑及各类生产数据实现识别认知能力，做到资产、网络、数据的可视；而只有具有对数据中心安全信息统一全局的监测视野，才能做到“一点及时发现，全网协同防御”的可视化目标。 融合联动 当下新型网络攻击经常混合使用多种手段和战术，逐步渗透并侵入数据中心核心资产，这使得传统的静态的攻击威胁识别难以形成有效的防御。因此需要基于人工智能等新技术，站在数据中心全局安全的角度对主机端点事件、网络威胁事件、历史日志信息等多点异常融合分析，并实现针对安全事件的边界节点就近实时联动处置，把安全威胁扼杀在最小影响范围内。 绿色高效 绿色低碳是新型数据中心的显著特征。近年来随着数据中心安全新技术的涌现，数据中心内部各类安全产品逐年增多，重复臃肿的安全产品引入和建设不仅违背了新型数据中心绿色发展理念，而且加大了数据中心运维管理复杂度，同时也显著增加了内外部业务时延。在算力时代全国数据中心集群统一高效调度的大背景下，新型数据中心的安全建设必将向着去冗余、重编配的绿色高效方向发展。 二、新型数据中心高安全技术体系 为应对内外部日益加剧的安全风险和挑战，强化以数据为核心要素的数据中心安全建设，实现安全内生、安全可视、融合联动、绿色高效的总体目标，新型数据中心需要形成“四层三面”的高安全技术体系架构。 图1新型数据中心“四层三面”安全技术体系架构 “四层”主建，从安全能力建设的视角，自下而上覆盖数据中心内安全防御的主要对象，分为基础设施安全层、算网一体安全层、应用安全层和数据安全层。 “三面”主管，从安全防范管理的视角，把四层安全能力协同贯穿起来，形成系统化的风险抵御和运营管理能力，主要分为系统建设管理平面、核心业务管理平面和安全运营管理平面。 数据中心各类基础设施是系统管理员的领地，其安全是数据中心安全的根基；开展数据处理、存储及服务的各类核心业务是业务管理员的领地，其安全是数据中心安全的核心；而数据中心安全监测、告警和态势感知等安全运营管理是安全团队的主战场，其安全是数据中心安全的大脑。 2.1基础设施安全层 基础设施安全是数据中心安全可靠的基础，从设计建设角度来说主要包括两方面，一方面是数据中心的物理环境安全，包括风火水电等基础资源；另一 方面是数据中心内各类设备的自身安全，通过强化自身安全健壮性，最大程度避免被攻击利用。 2.1.1物理环境安全 物理环境安全是指确保数据中心内一切设施有一个良好的电磁兼容工作环境，并防止非法用户进入和各种偷窃、破坏活动的发生。这涉及机房选址、规划设计、机房环境、机房管理、设备与介质管理等。如： 选址避开自然灾害不利或危险的地区，满足国家防灾要求。 具备防震、防火、防水、防静电的“四防”能力，基础设施支持7*24小时不中断的电力保障、访问控制及监控，满足国家新型数据中心建设标准。 有效的区域监控、防盗报警系统，阻止非法用户的各种临近攻击。 2.1.2设备自身安全 设备自身安全是指设备在开发及应用过程中，自身防仿冒防篡改、抗攻击的韧性能力，主要包括硬件可信、软件可信及供应链可信等。 硬件可信：硬件唯一可信根，软硬件互相校验。避免使用仿冒硬件，或者软件被篡改植入恶意代码。 软件可信：软件防篡改抗攻击，软件安全启动、安全运行、安全审计等防篡改能力，并能做到进程隔离、进程级异常检测和重启、逻辑/芯片级异常检测和自动复位能力等，提升系统韧性。 供应链可信：从软件安全的开源和第三方、升级补丁等相关安全来源的可信，避免系统被劫持利用。 2.2算网一体安全层 2.2.1网络安全 新型数据中心安全从技术上离不开网络安全的保障。随着云化、虚拟化演进，网络安全从传统网络边界安全向内移到零信任、微隔离等技术代表的新的边界安全，一层层网络安全能力叠加形成防御纵深。 网络边界安全 传统网络安全措施，以数据中心为防护对象，在边界上部署如防火墙、IPS、抗DDoS等网络安全防护设备。对于新型数据中心来说，边界防护仍然是基本的安全保障，提供高性能高可靠的抵御外部攻击的边界隔离能力。但是，随着数据中心内部应用的弹性增长，需要传统网络边界安全产品能适应应用弹性部署的要求，可做到池化部署能力，向SDN编排、低时延等技术能力演进，实现资源编排（突破单设备性能瓶颈）、流量编排（突破设备协同瓶颈）和策略编排 （突破部署效率瓶颈）。 内移边界安全 IT架构云化虚拟化后，数据中心内东西向流量持续规模增长。东西向互访连接增多使得数据中心网络边界内移到区域边界、微服务边界。当前微服务间存在合理的流量访问关系，同时也存在恶意的探测、攻击等。这使得传统网络边界信任机制被打破，内网外隔离的传统方式已经无法适应业务IT化转型后的安全发