随着人们对个人隐私数据安全的关注，数据中心安全受到越来越高的重视。当人们访问数据中心时，首先的顾虑是个人的信息会不会被泄露，自己的访问是不是安全的。这对数据中心提出了更高的要求，数据中心不仅要提供全年不间断的访问，还要确保数据不丢失，不被窃取。下面我们就针对数据安全中心的建设与评估二方面做详细介绍。

一、数据中心的网络安全建设

　　由于数据中心承载着用户的核心业务和机密数据，同时为内部、外部以及合作伙伴等客户提供业务交互和数据交换，因此在新一代的数据中心建设过程中，安全体系建设成为重点的主题。数据中心安全围绕数据为核心，从数据的访问、使用、破坏、修改、丢失、泄漏等多方面维度展开，一般来说包括以下几个方面：
　　1）物理安全：主要指数据中心机房的安全，包括机房的选址，机房场地安全，防电磁辐射泄漏，防静电，防火等内容；
　　2）网络安全：指数据中心网络自身的设计、构建和使用以及基于网络的各种安全相关的技术和手段，如防火墙，IPS，安全审计等；
　　3）系统安全：包括服务器操作系统、数据库、中间件等在内的系统安全，以及为提高这些系统的安全性而使用安全评估管理工具所进行的系统安全分析和加固；
　　4）数据安全：数据的保存以及备份和恢复设计；
　　5）信息安全：完整的用户身份认证以及安全日志审计跟踪，以及对安全日志和事件的统一分析和记录；

　　抛开物理安全的考虑，网络是数据中心所有系统的基础平台，网络安全从而成为数据中心安全的基础支持。因此合理的网络安全体系设计、构建安全可靠的数据中心基础网络平台是进行数据中心安全建设的基本内容。

　　网络是数据传输的载体，数据中心网络安全建设一般要考虑以下三个方面：
　　1）合理规划网络的安全区域以及不同区域之间的访问权限，保证针对用户或客户机进行通信提供正确的授权许可，防止非法的访问以及恶性的攻击入侵和破坏；
　　2）建立高可靠的网络平台，为数据在网络中传输提供高可用的传输通道，避免数据的丢失，并且提供相关的安全技术防止数据在传输过程中被读取和改变；
　　3）提供对网络平台支撑平台自身的安全保护，保证网络平台能够持续的高可靠运行。

　　综合以上几点，数据中心的网络安全建设可以参考以下原则：
　　1）整体性原则：单纯一种安全手段不可能解决全部安全问题；
　　2）多重保护原则：不把整个系统的安全寄托在单一安全措施或安全产品上；
　　3）性能保障原则：安全产品的性能不能成为影响整个网络传输的瓶颈；
　　4）平衡性原则：制定规范措施，实现保护成本与被保护信息的价值平衡；
　　5）可管理、易操作原则：尽量采用最新的安全技术，实现安全管理的自动化，以减轻安全管理的负担，同时减小因为管理上的疏漏而对系统安全造成的威胁；
　　6）适应性、灵活性原则：充分考虑今后业务和网络安全协调发展的需求，避免因只满足了系统安全要求，而给业务发展带来障碍的情况发生；
　　7）高可用性原则：安全方案、安全产品也要遵循网络高可用性原则；
　　8）技术与管理并重原则：“三分技术，七分管理”，从技术角度出发的安全方案的设计必须有与之相适应的管理制度同步制定，并从管理的角度评估安全设计方案的可操作性；
　　9）投资保护原则：要充分发挥现有设备的潜能，避免投资的浪费。

　　数据中心的网络安全是数据中心安全体系的最基本环节，通过合理的网络安全设计方法可以保证基础网络平台的安全可靠，并提供持续安全加固的扩展性设计。但是要想构建全面安全的数据中心，还需要数据安全、系统安全、信息安全等方面从其他的安全角度出发进行相应的安全规划，不断完善数据中心的安全防范等级。

二、数据中心安全性评估指标

　　一个数据中心是否是安全的，要通过一系列的数据来说话，这就需要对常用的数据中心安全指标要有所了解，通过这些安全指标对数据中心进行考核，从而对数据中心安全进行有效评估。

　　首先，要对数据中心日常运营的安全管理，这部分主要侧重对数据中心资产进行管理，并对数据中心整体进行风险管理，在管理上找出提升安全性的方法。主要包括：资产管理、脆弱性管理、风险管理、策略管理，关联分析等。资产管理就是对数据中心各种设备、物品、人员进行管理，确保这些资产的安全，这包括对物品的监控，人员的管理，还要考虑物品的损耗。每个公司周期性的要进行资产盘点，就是资产管理，对于数据中心也不例外，通过一些管理软件做好资产管理工作；脆弱性管理一般人并不了解，脆弱性是对一个或多个资产弱点的总称，弱点是资产本身存在的。对资产的弱点进行有效评估和识别，将可以获得数据中心整体的脆弱性情况，一般是通过问卷调查、工具检测、人工核查、文档查阅、渗透性测试等方式对数据中心脆弱性进行评估，然后制定一些管理措施，避免脆弱性演变为安全事件；风险管理和脆弱性管理类似，要对数据中心整体进行风险评估，然后有效避免安全事件发生；策略管理是指在防火墙、安全软件上做的各种过滤设置、访问控制，对各个网段的互访进行控制，对各种VPN访问进行严格检查，这些设置非常繁杂，也很多，大型的数 据中心往往需要防火墙下发数万条的访问控制配置，这里的每条配置都有特定含义，一般不轻易进行修改，否则就容易给数据安全运行带来风险，需要对系统安全特别熟悉的人评估后才能进行修改；关联分析就是从给定的数据集中发现频繁出现的项集模式知识，目的是挖掘数据记录中不同数据项之间的横向关联性，关联分析有很多算法可应用于数据中心安全评价，对数据中心安全性进行评估。

　　其次，要对数据中心安全做一些具体的防护措施，通过对这些防护措施进行评价得出数据中心的安全性程度。主要包括：实时监控、安全预警、故障信息显示、设备管理、设备监控、日志审计、响应管理等等。数据中心的数据安全随时会受到各种各样的威胁，要对数据访问做实时监控，主要包括软硬件方面的安全防护，数据访问的安全管理，异常数据的过滤等。实时监控的目的就是及时发现数据中心的安全隐患，并给出安全预警，对故障信息进行显示，以便数据中心运维人员可以采取保护措施，更加智能的系统在发现安全危险时，软件也可以自行启动防护措施。实时监控还应具有一定的容错能力，不能因为用户误操作等原因使系统出错、退出或死机，具有对本身硬件故障、各监控级间的通信故障、软件运行故障自诊断功能，并给出告警提示。整个一套安全防护系统有完善的日志信息记录、设备运行状态监控、响应管理等，通过这些机制来确保数据中心的数据安全。“魔高一尺，道高一丈”，数据中心虽然不可避免会存在一定漏洞，但有了完善的安全设备监控，依然可以确保数据中心的安全，所以在数据中心从内到外，从软到硬，部署全方位的安全防护系统，才能保证数据的安全。

　　最后，要对访问数据内容进行分析，这种安全管理更加深入、细化，直接对数据内容进行安全检查，主要有异常流量分析和行为合规性检测。先说异常流量分析，严格的来讲，正常业务流量之外的流量，都应该归类为异常流量的范畴。狭义范畴上的异常流量主要指：病毒、蠕虫、木马、垃圾应用（P2P下载/在线视频/在线游戏等）、攻击（各种D0S攻击流量）等影响网络和业务正常运行的流量，这些异常流量必须要通过专业的安全设备才能检测出来，所以必须要在数据中心的各个人口部署一些异常流量监测的设备。行为合规性检测着重检查的是用户的一些异常行为，比如盗号、洗号。恶意用户使用木马等手段盗取账号后，使用程序或者手工的方式，批量对盗取的账号和密码的有效性进行检测，然后将账户内的资金转移。网上存在大量网络水军，受雇于网络公关公司，为他人发帖回帖造势，以发帖量来获取报酬，严重影响网站的正常运营。还有很多网站为了商业目的，会使用程序批量抓取竞争对手的数据，例如商旅网站会抓取竞争对手的机票价格、文学网站会抓取其他网站的原创作品。很多网站会开展投票或者点击广告赚金币的业务，有人为了拉选票，使用自动化程序，进行大量投票，这些行为会严重违反投票结果的公平性。还有很多非正常的访问行为，这些行为对数据中心安全造成了很大的隐患，一旦发现需要立即采取防护措施。

　　以上介绍了数据中心安全性评估的主要指标，每一类都有不少的评估参数，数据中心要实现所有这些安全保障，非常不容易。还好，已经有不少的安全设备已经帮助数据中心实现了这些功能。不过很难有一个厂家覆盖到所有的安全评估指标，这些安全厂商都有各自侧重的领域，在部分方面做得比较出色，这样需要数据中心来进行选择，一般是通过使用多个安全厂商的组合拳来保障数据中心的安全。