qq3250845

................

qq3250845

无论是在管理服务器集群、数据中心网络还是冷却工厂，数据中心行业的安全问题都比以往任何时候都更加突出。

近年来，人们看到了企业和政府网络遭受攻击的后果：数据泄露导致的惨重损失，企业高管辞职，以及最敏感的个人数据被黑客窃取。

其威胁不仅限于敏感信息的潜在暴露。黑客和居心不良的组织为破坏工业系统而开发的工具可以应用于底层数据中心基础设施，以降低整个计算设施。

电源、冷却系统和安全系统本身可以作为攻击者的切入点。

人们知道一个事实，那就是非常关心安全性。在调研机构进行最新的受众调查时，安全性是迄今为止最常被引用的数据中心面临的挑战。

随着网络安全的猫捉老鼠游戏的升温，人们需要了解其组织中与数据中心相关的安全状态。

而数据中心所有者、用户和运营商需要更加注重保护其组织最有价值资产的努力。

qq3250845

网络安全是目前互联网最关键的因素，如何保障数据中心机房的安全、抵御各种威胁和攻击，就需要我们在各个安全技术体系中完善安全防御策略。今天小编就来为大家介绍一些安全防御措施。

1.防火墙方面

防火墙是数据中心网络安全保障最主要的设备，可以对不同级别的安全区域进行隔离，保障数据中心的安全。目前受到攻击最常见的手段是CC攻击和DDoS攻击，它们的特点就是手段繁多，攻击流量突然增大。这对这类的攻击，防火墙可以针对不同的应用做出合理的带宽分配和流量控制。

2.虚拟局域网方面

数据中心的机房可以根据不同业务的运用需求，使得数据中心网络服务器和客户端之间的纵向流量大于服务器的横向流量，这时就需要使用虚拟局域网将不同的客户业务从第二层隔开，分配一个VLAN和IP子网。专用VLAN 可以有不同安全级别的端口：专用端口与服务器连接，只能与混杂端口通信；混杂端口与路由器或交换机接口相连，也可以和共有端口通信；共有端口之间也可以相互通信，主要用于需要相互通信的客户之间。

3.流量清洗方面

针对各类的流量攻击方面，我们在数据中心出口和内部的网络汇聚层采用旁挂或者网络设备融合部署的方式进行部署，进行主动的防御，对于入侵的流量进行预先防御。在配合防火墙和安全网关设备进行应用层方面的安全部署，以此达到安全防御的效果。

4.安全管理

我们除开一些网络设备进行安全部署以外，还需要建设系统的、多层次的的安全管理系统，确保安全策略的几种部署，统一管理，整体提升数据中心机房的安全防御能力。

qq3250845

.............

qq3250845

随着如今的互联网和大数据时代不断发展，很多企业开始建设自己的机房，用于存储数据、运行系统等，机房安全、高效的运行，可以保障网络和通信的安全畅通，因此，机房安全必须引起足够的重视，但机房安全隐患您了解吗?下面给大家总结机房存在的安全隐患以及解决的方法。

机房需要进行安全隐患排查的地方

(1)逐个局点、机柜、涉及到动环监控可监控试验，机房防尘、防鼠、空调运行试验正常等方面的重点环节检查到位;

(2)消防安全检查。查看机房是否按要求配齐消防灭火器材，灭火器的药粉、气体更换是否在有效期等;

10

(3)电源设备检查，蓄电池检查，重点是外电引入线路，开关装置是否规范，有无外界影响隐患，老化隐患，线路开关装置是否达标，熔丝是否符合标准等;

(4)有针对性地开展设备整治和优化工作，提升资产运用效率。同时针对安全检查中发现的突出问题和存在的薄弱环节，制定整改措施，为下一步进行设备的各种整修做好前期的调查、规划工作，确保通信安全畅通。

11

机房安全隐患

(1)机房常见的事故有电气事故、火灾事故、**事故、设备损坏事故和通信阻断事故。

(2)机房电气事故是机房安全最常见的隐患。

(3)机房电气事故主要包括电流伤害事故、电磁场伤害事故、雷电事故、静电事故、电气火灾和**以及某些电路故障。

机房发生电气事故在技术上主要表现为：

1、绝缘损坏：机房电气设备绝缘破损，绝缘电阻不合格。

2、安全距离不够：设备的带电部分与地面及其他带电部分未保持一定的安全距离。

3、接地不合理;低压电力系统未设置应有的接地、保护安全装置。

4、电气保护措施不力：没有根据某些机房电气设备的特性和要求采取特殊安全措施，如对各种高压电力设备采取装设高压熔断器和断路器;对低压用电设备应采取相应的低压电气保护措施进行保护。

5、安全标志不明显：在施工、安装及使用机房电气设备中没有设置明显的安全标志等。

13





机房的九大电气类隐患

1、跟电气有关的电路铺设没有任何文档留阅待查

没有一个人能够通过读图看明白各空气开关所负责的电路分别为哪些，也不能通过读图看到要检修时应该关闭哪些电源电路开关。

造成的后果主要有：某一机柜如果要进行集体检修，分离测试的时候，施工人员不好判断该如何操作。如果进行了误操作很容易造成其他在线设备的断电宕机。一个安全稳定维护体制健全的机房一定要建立一整套电气系统图图纸，要细致到开关配电箱的每一路，线径多少，负责哪些区域设备，空气开关编号识别码等等。只要是专业的强电施工专业人员都会做的清清楚楚。

2、电源电路私拉乱接

机房电源配电箱在设计初期没有做好电力规划、电路预留。于是不停的有新的电路接入配电箱，使配电箱电源容量远远超过当初设计水平，很容易想象的结果就是我们会看到一个配电箱里塞满了各种颜色各种粗细的电缆，而且这些电缆端接水平极差，没有按照国家相关强制标准进行端接。

造成的后果主要有：a、不良的线缆延长、嫁接处埋下高温隐患，一旦发生短路、强浪涌等情况烧毁绝缘部分，很容易因此引发机房火灾。根据实际工作中的统计，消防问题大部分都是因为这类情况引起的。b、有的厂家生产的配电箱，分线重叠螺接在总线上，散热不好，负荷一重自然形成故障不断。

14

3、箱体温度过高

密集的电力线缆长时间运行，机房内配电柜的柜内温度可能超过40度，而这已经超过了国家强制规定的箱体运行温度。

造成的后果主要有：容易加速线缆绝缘皮老化。线缆绝缘皮的材料设计是有一定的运行环境要求的，一旦电缆长期高负荷运行、绝缘皮外温度超过设计温度、短路等问题都会造成绝缘性能降低，一旦出现绝缘性能降低往往伴随着的是着明火这类严重的消防问题。

4、配电箱箱体不完整

配电箱箱体不完整也会造成严重的安全隐患，特别是对于机房的上级配电箱，置于强电配电间内的大型开关柜如果封闭不严，进入异物，会对机房造成很严重的安全隐患。

造成后果主要有：老鼠、蟑螂等极易在各类温暖温和的地方筑窝的动物很可能通过管线来到封闭不严的配电箱体内，极易造成线缆啃咬导致短路的事故发生。

5、主路由电缆不带铠、不防鼠或防火

这里主要指的是一级配电柜到机房这段供电电缆为主路由电缆，很多时候这段电缆都是不走管槽的架空安装，因此可预见的各种恶劣环境都会对电缆的安全提出考验，老鼠的啃咬，短路导致的绝缘皮损毁甚至着火。因此这段电缆必须要求铠装、防鼠、阻燃型。

造成后果主要有：不防火阻燃首先会是不符合机房场地安全规范了，防鼠的考虑主要是防止置于天花板内的空间时常会有鼠患啃咬造成绝缘皮破坏而导致断路、甚至短路情况发生。

6、双路电变成一路电进入机房

这了我给大家扫扫盲，如果你是用户请注意了。我们常说的电源冗余保障有两种：双路电源以及双电源。

15

上面这种，从电路到电缆全都是两套供电装置的方式即为双路电源，能允许任何一个位置单点故障而不影响最末端的IT设备使用。请注意，我这里用两种颜色来表示电缆，电路1和电路2分别经由两条来自不同位置的供电电缆同时进入机房配电柜，由配电柜出来也是经由两条电缆进入机柜内两条插排的。这是真正的双路电源供电模式，安全可靠性是最高的。

16

上面这种就是相对来说比较偷懒的做法了。不过可能也说不上懒，由于资金成本的问题也可能导致会出现。我们先说说这种做法的不好地方在哪儿吧。电路1和电路2在送入机房配电柜前进行了一次ATS双电源切换，等于说有了主备两条电路顺序，机制是一直用主电源供电直到主电源停止供电后自动切换大工作的备用电路上。看起来其实还算安全，但是别忘了，这种模式只用了一根主力电缆进行输送电源的工作，一旦这条缆出现任何问题，机房将丧失两条电力来源。

上面这种做法是不太可靠的，建议凡是重要程度高一点的机房都应该杜绝此类做法的存在。其他的接法因为各种各样的用电环境不同就不展开来赘述了，请自己检查一下目前你的供电系统是不是存在单点故障导致设备停机甚至损坏的可能吧。

7、用UPS给照明电路提供冗余电源

这个已经是标准安全规范里严格要求避免的情况了，IT用电设备和照明不能在同一个电力网络内，如果对照明有冗余电力要求应该用EPS这种专业的照明供电后备保障。看下面图即可。

17



看左边这张图，很多装修公司不懂强电，做空开分路的时候暴力的把照明电力接入和IT设备同样的电网范围。照明的谐波会损害到这个电网的电力稳定和净度。右边这种是推荐的做法，用专业的照明后备设备来提供电力照明供电，保证双网隔离互不影响。

8、临时用电从机房电力总闸处取电

曾经亲身看过一个系统集成公司工程人员在机房内干活时要用冲击钻，电源线不够粗，居然直接用电缆捅到主配电柜的总空开上直接取电作业，这是绝对不允许的，终端用电设备绝对不能取总空开的电，会有非常多的安全隐患。

18

9、强电电缆和弱电电缆直接外露走线在地板下

也是亲眼所见，打开防静电地板，里面有满满的视频线、电源线、网络线，光纤线等，横七竖八随便穿，强电和弱电线缆有些位置直接互相贴在一起，严重不符合电力和网络安装规范。可能这样子施工是有一定的历史原因存在，却很好的作为现实中的反例距出来给大家不要犯同样错误。这个图片当时没拍就放了，不过很容易想象的到!

机房安全隐患解决

1、供电问题

机房供电问题虽然很多网管都知道，但是在实际工作中却没有引起足够的重视，在日常应用时不接UPS或UPS电池已经损坏而不更换的情况经常发生。一旦断电事故发生，所有设备马上关闭，这对网络设备的损坏是很大的，特别是NAS存储设备，很可能造成数据丢失与损坏。另外突然断电对机房服务器硬盘的影响也是巨大的，在很大程度上会降低硬盘寿命。

19

2、UPS设备

另外一些人在UPS设备认知上存在问题，认为UPS系统只有在电力中断的情况下才能派上用场，实际上对于使用老式供电线路或市电电压经常不稳定的远郊地区，如果直接把市电连接到网络设备和服务器上，那么不稳定的电压会造成相关硬件被损坏。将市电引入到UPS上，然后再由UPS为网络设备提供电力，在这个过程中UPS起到了稳定电压的作用，可避免网络设备频繁发生故障，相信前期的准备工作如果做的充分，这部分的事情就不会让你再费心了。

20

3、消防问题

机房消防设计包括烟感报警、气体灭火两部分。烟感报警以吸顶式和缆式烟感器为主要形式。吸顶式烟感器的保护半径一般不大于5.8m，距墙、风口、大梁不小于0.5m。缆式烟感器可沿墙敷设。

必须通过机房的风管在过墙处应设置防火阀(环境温度达到70°C时自动关闭)。气体灭火系统的作用类似于普通办公室里的喷淋系统，其设计要点有系统类型结构的选择、灭火剂浓度的确定、气体喷射时间、灭火剂用量及浸渍时间等。气体灭火系统的种类主要是二氧化碳灭火系统及卤代烷灭火系统。

此外，在室内附设交、直流双电源应急灯、火灾事故广播、119专线消防电话、火灾报警按钮等消防设施，机房的装修材料应符合有关防火规范的要求，要及时检查钢瓶的压力是否在正常的范围内，及时补充药剂。

qq3250845

传统上，数据中心安全性是围绕防火墙和其他基于周边设备的防御而建立的，这些防御措施专注于防御危险的外部力量。但是，当具有正确凭据的用户进入外围防御体系时，该体系结构隐含着对他们的信任，而一旦进入，就很难阻止用户的不良行为。因此，真正保护数据和工作负载最好的方法是采用一种不信任的模型。这种零信任安全架构正在改变数据中心的游戏规则。通过了解其一些主要优势，人们可以更好地保护最关键的组织资产。

删除假设

如今，数据中心的安全性充满了假设。假设如果有人拥有访问网络的凭据，那么网络应该信任该用户。但是当这些凭据被盗时会发生什么?在这种情况下，这种假设就会打开潘多拉的盒子，随着威胁的不断发展和多租户环境变得越来越复杂，安全环境实际上变得越来越糟。

因此，人们必须完全从安全思维中删除假设。在零信任模型中，基于每个租户、每个应用程序或每个工作负载分配访问权限。为此，即使用户的凭据被盗，他们也无法自由访问网络的所有部分，而只能看到为他们定义的那些资源。此外，在零信任模型中，人们不断评估用户的数字身份，因此如果识别出异常行为，系统可以快速移动以改变访问或减轻潜在问题。

提高数据中心的灵活性

数据中心是一个极其复杂的网络，其工作负载在许多不同的环境(私有云、公共云、混合云)，并且每个租户都可以访问资源。这种复杂性使得简单的外围防御能够从投资和实施的角度让网络管理员更加关注。然而，正是这种简单性使数据中心面临危险，并使其在资源配置方面保持僵化。

零信任模型的一个附带好处是它为网络管理员提供的灵活性。由于可以基于每个租户、每个应用程序和/或每个工作负载分配访问权限，因此人们可以更好地了解系统资源的使用方式。人们可以根据所定义的各个访问规则分配所需的资源，而不必将所有用户的资源用于整个网络。事实上，某些访问甚至不需要网络规定，可以定义为点对点，从而释放更多宝贵的网络资源。

防火墙的消亡

实际上，零信任安全模型需要非常精细的精度级别，其中每个端点、物联网设备、用户等都使用自己的访问控制进行定义。在很长一段时间内，这种复杂性使得零信任安全更像是一个梦想而不是现实，因为没有什么能够协调这种复杂性。更不用说没有人可以删除防火墙并在真空中运行。然而，随着人工智能和机器学习的进步，现在可以在软件级别协调零信任网络。人工智能能够根据具体情况检查行为，并立即对任何异常行为进行标记或采取行动。这最终意味着，随着零信任在当前防火墙之后被广泛实施，数据中心管理人员将意识到防火墙是多余的，因此它将不复存在。

确实，最后的转变可能还需要几年时间，但现在通过实施零信任系统和政策，数据中心可以开始实现安全性和灵活性的好处，同时为不可避免的模式转变做好准备。更不用说这些数据中心将受到更好的保护，免受当今越来越普遍的代价高昂且日益加强的网络攻击。这种转变需要持续的投资，不会在一夜之间完成，但所获得的好处将是长期和深远的。

qq3250845

................

qq3250845

...............

qq3250845

..............

qq3250845

.............