数据中心业务网络安全技术保障措施

前端Bill应用通过内置的数据库用户连接数据库，用以更新数据库中相关记录。非授权的第三方人员一旦知晓该密码，则可以肆无忌惮地进入数据库，删除记录，修改数据。

如上描述，嵌入在应用程序中的密码会带来如下安全风险：

密码不定期修改：为了获得更高的安全水平，密码需要定期修改。而应用程序内嵌密码其密码修改过程非常复杂，因为密码会被写入在应用程序的多处。

运维人员和开发人员都知晓应用密码：由于应用程序密码被嵌入在程序中，并且不会定期修改，所以通常密码在IT运维人员和开发人员整个企业中是共享的，特别还包括离职员工以及外包人员。

密码强度不够：由于密码是IT运维人员或者开发人员手工创建的，为了能够应对紧急情况，这些密码尽量定义地简单，便于能够记忆。这将导致企业特权帐号密码的策略不合规。

密码存储在明文中：嵌入的密码在配置文件或者源代码中是明文存储的，有时密码也不符合强度要求。所以这些密码很容易被访问到源代码和配置文件的人员获得。

对应用程序内嵌密码缺乏审计：在紧急情况下，IT运维人员和开发人员都需要使用应用程序密码，现有的密码方案无法提供相应的使用记录的控制和审计。

审计与合规：无法保护应用程序帐号，审计其使用记录会违法安全标准和法规，并且导致无法通过内审和外审要求。

应用程序帐号管理常见需求

如之前章节描述，由于应用程序密码滥用状况引起了安全与合规性风险。拥有了应用程序就可以访问企业的核心应用，为了成功地控制这些应用帐号，所选择的解决方案必须满足如下要求：

安全需求：

1. 加密：应用程序密码必须存储在安全的场所，无论是存储，还是被传送至应用程序，密码必须被加密。

2. 访问控制：必须有很强的访问控制作用在密码使用之上，严格限定能够访问密码的人员或者是应用程序

3. 审计：能够快速审计到任何访问密码的活动，包括个人访问记录。

4. 高可用性：相应的应用程序无法接受宕机时间。应用程序始终能够访问这些密码，不管是在网络连接的问题或者存储发生故障。

管理需求：

1. 广泛的平台支持性：一个企业一般会拥有不同类型的系统、应用和脚本等。为了能够支持企业中不同应用的需求，应用程序密码管理方案必须支持如下广泛平台：

a)脚本 – Shell, Perl, bat,Sqlplus, JCL等

b)应用程序 – 自定义开发的C/C++应用程序，Java，.NET， Cobol等，也有一些诸如Oracle，SAP的商业系统

c)应用服务器 – 大部分企业至少会拥有常见应用服务器的一款：比如IBM WebSphere, OracleWebLogic，JBOSS 或者Tomcat

2. 简单和灵活的整合：改变应用消除硬编码密码的方式应该简单明了。整个方式应该简化和缩短应用程序向动态密码管理迁移的周期。

3. 支持复杂的分布式环境：大型企业中分布式系统非常多见。例如，一个集中的数据中心和多很分支机构运行着连接到中心的应用程序。网络连接不是时时刻刻可靠的，偶尔也会断网或发生震荡，所以企业应用程序的高可用性是非常重要的，方案应该允许分支机构在连接到总部的网络发生故障时，依旧能够运行良好。

预设账号口令管理系统通地在改变业务系统请求预设帐号方式，由传统的应用内置帐号密码，更改为向预设账号口令管理系统发起预设帐号密码请求，通过对网络传输中的请求、返回数据进行加密，对请求源进行认证与授权的方式，安全保证最新的帐号密码信息的供应。

云计算平台

目前，大多数用户的数据中心都部署了VMware的云计算平台，这个平台可以很好的融入到信息安全体系当中。

账号生命周期管理系统、加密系统、双因素认证系统、活动目录、内嵌账号管理、数据脱敏系统、统一安全运营平台、文件服务器都是标准软件应用，都可以跑在VMware云计算平台上。利用VMware可以方便的对信息安全子系统做快照、系统迁移、系统扩容等，在发生故障时可快速恢复系统，为信息安全系统提供了良好的支撑平台，降低了宕机时间，降低了维护成本，提高了工作效率。

防火墙

在数据中心部署独立高性能防火墙，利用防火墙逻辑隔离出两个区域，一个是内部核心服务器及数据库区域（数据中心区），一个是信息安全系统及其他对外服务器区域（DMZ非军事区）。

在主机账号生命周期管理系统上线运行后，数据中心防火墙需要配置安全策略，对FTP、SSH、Telnet、RDP以及所有未使用的端口进行封闭，禁止任何外部终端对数据中心主机直接发起有效连接，禁止终端直接接触数据中心的资产，只允许其通过管理系统来访问数据中心，但允许数据中心内部主机之间的互相连接。

在数据库账号生命周期管理系统上线运行后，数据中心防火墙需要做安全策略，对数据库端口进行封闭，禁止任何外部终端直接采用数据库工具操作数据库，但允许数据中心内部主机之间的数据同步。

随着信息架构与应用系统日渐庞大，现行IT架构中，早已不是单一系统或是单一设备的单纯环境，系统中往往拥有各种安全设备、主机设备、网络设备、应用系统、中间件数据库等等，每天产生巨大的日志文件，即使是派专人都无法处理过来，一个安全事件的追查，对于结合异质系统、平台的问题上，却又需要花费大量的人力时间，对于问题解决的时间花费与异构平台问题查找，都无法有效管理与降低成本。

统一安全运营平台可从单一位置实时搜寻、报警及报告任何使用者、网络、系统或应用程序活动、配置变更及其它IT数据。

消除设置多重主控台的需要，从单一位置即可追查攻击者的行踪。现在可以执行更为深入的分析，并更快速而彻底地予以回应，降低风险及危险暴露的程度。

意外事件回应

在接获任何可疑活动的报警或报告时，统一安全运营平台将会是第一个处理的窗口。只需在统一安全运营平台搜寻框中输入你所掌握的详细数据，包括IDS报警的来源及目标IP，或是认为其私人数据已外泄的客户账户ID即可。统一安全运营平台会立即传回整个网络中所有应用程序、主机及装置中，与该搜寻条件有关的每一事件。虽然开始传回的数据非常多，但统一安全运营平台可协助用户理出头绪，并依照所希望的方式加以整理。其会自动撷取及让用户筛选时间及其它字段、依据关键词及模式将事件分类，因此用户可快速处理完所有的活动数据。若用户发现值得注意的事件，并希望加以追踪，仅要点击任何名词，即可针对所点击的词汇执行新搜寻。正因为统一安全运营平台可为任何IT数据制作索引－而不仅是安全性事件或日志文件，因此用户只需使用统一安全运营平台，即可掌握全盘状况。用户可在此单一位置中，搜寻及发现攻击者当下可能执行的程序、过去执行的程序，并查看其可能已修改的配置变更。

安全性监控

统一安全运营平台可让用户非常容易跨越IT束缚监控安全性事件；搜寻用户路由器及防火墙日志文件中的数据流违反情况，寻找服务器及应用程序上的违反情况，或是寻找未经授权或不安全的配置变更。运用统一安全运营平台的趋势分析、分类及执行识别功能，即可快速识别极为复杂的使用情况，例如可疑的执行及模式，或是网络活动的变化。报警功能可透过电子邮件、RSS、短信或触发脚本寄送通知，可轻易与用户现有的监控主控台整合。报警还能触发自动化动作，以便立即响应特定状况，譬如命令防火墙封锁入侵者日后的数据流。

变更侦测

通过统一安全运营平台，可持续监测所有路径上的档案，无须另行部署其它代理程序。每次在用户所监控的路径上加入、变更或删除档案时，统一安全运营平台皆会记录一个事件。用户也可以让统一安全运营平台在每次整体档案有所变更时，皆为其制作快照索引。若已部署专用的变更监控工具，亦无影响，只要使用统一安全运营平台为其所记录的事件制作索引，代替直接监控变更即可。

无论来源为何，只要索引中的数据变更，用户就会接获重大配置设定变更的警示，并能轻易追踪配置变更的错误症结原因。

安全性报告

统一安全运营平台为用户提供单一位置，可跨越所有的IT基础结构及技术产生报告，包括跨越所有服务器、设备及应用程序，为安全性事件、效能统计数据及配置变更提供报告，并使用趋势图表及摘要辨识异常及可疑变化。其报告采用交互式能让用户深入发掘，以了解问题的原因及影响。使用统一安全运营平台可传达用户基础结构的安全性基本原则、检查存取控制，或是密切监视使用者的行为，并为用户的客户、管理阶层或同事制作自动化的调度报表，或产生特定操作的报告。然后将报告结果列在仪表板上，为用户组织中的资产管理人提供应用程序及系统的实时检查，以增加对状况的掌握能力。