[[175617]]

部署下一代的防火墻可以保護進出數據中心、以及在企業內部的服務器之間傳輸的網絡流量。

現如今的企業組織可以說是采用了各種各樣的數據中心架構。有些企業組織選擇為每款應用程序利用專用的物理服務器，運行一個企業私有的、單一組織的設施。其他有的企業組織則選擇了一款為數百或數千家客戶提供虛擬服務器的公有云設施。所有這些數據中心都有一些共同點：均需要保護他們的應用程序和數據的安全，進而免受越來越多的復雜的網絡安全的威脅。

任何數據中心安全策略的關鍵部分都是通過采用了下一代的物理和虛擬防火墻的協同工作，來監控和分析數據中心內的所有網絡流量。物理防火墻設備嘗試跨數據中心的網絡邊界來對流量實施監控，而虛擬防火墻則負責檢查流入或流出數據中心虛擬服務器的流量。這種方法為云環境提供了強大的安全解決方案，但網絡安全威脅仍然潛在的可能來自其他人所使用的進行虛擬服務的相同的物理服務器。

數據中心的IT領導人們可以在他們的數據中心通過戰略性的采用來自相應的供應廠商的物理防火墻設備和虛擬防火墻來保護其數據流量免受安全威脅。

數據中心的安全威脅

數據中心安全的原始模型是基于安全威脅是來自外部的假設。故而保護數據中心的這些基礎設施的安全架構都主要是專注于在數據中心和外部世界之間建立一個網絡外圍邊界。而這一外圍邊界的基礎便是一道防火墻，其將負責檢查所有的南北走向的流量，這些流量主要是在數據中心和互聯網之間傳輸。防火墻負責在這些數據流量中尋找違反安全管理策略和所存在的其他可疑活動的跡象。然后，其便采取相應的措施，如阻止流量傳輸、標記額外的附加信息，并通知操作管理員。

盡管數據中心仍然需要排查南北走向的流量，以及時發現外部安全威脅，但現在的安全威脅監測工作已變得越來越復雜了。例如，客戶端設備對于托管在數據中心服務器的數據的訪問便構成了相當大的威脅。在過去，客戶端設備都是同質的、集中管理的臺式電腦，均處于一家企業組織內部，并受到企業安全控制的保護。故而彼時由客戶端設備所造成的惡意軟件和其他漏洞能夠快速被檢測和糾正。

但現如今的大多數企業環境早已不再是如此了。企業用戶所采用的客戶端設備不僅在其操作系統和應用程序方面千差萬別，而且這些設備所存在的安全漏洞、他們使用的安全控制、以及他們連接到企業IT資源時所處的地理位置也是廣泛變化的。許多客戶端設備是企業用戶的私人的硬件設備，并經常沒有使用任何安全控制。它的這使得現在的企業IT管理人員們發現，他們不能再假設從企業內部進行訪問的客戶端設備是絕對處于安全控制之下的了，一旦發現有用戶使用這些客戶端設備，也將需要迅速實施檢測，并根除相應的安全威脅。在這個新的環境中，每款客戶端設備都潛在的構成了一個單獨的安全威脅。

數據中心安全威脅的另一大變化是在數據中心內部的服務器之間的相互作用。非故意的安全威脅一直是一個普遍關注的問題。例如，某臺服務器感染了惡意軟件，會通過數據的傳輸而感染到數據中心內部的其他服務器。但是到了今天，故意的安全威脅也可能是一大問題。在一處擁有多家客戶的數據中心，如一個公共云環境，一家客戶可能試圖侵入另一臺服務器，以便竊取專有信息或篡改記錄。

在數據中心服務器之間傳輸的網絡流量稱為東西走向的流量。對于此類流量實施監控對于查找和阻止安全威脅是至關重要的。許多數據中心的東西走向的流量要比南北走向的流量(客戶端到服務器的流量)更多得多。因此，忽略對東西流量實施監控或將意味著數據中心內部虛擬或物理服務器之間所存在的安全攻擊可能不被注意。此外，隨著數據中心越來越多的托管高價值的應用程序，以及以前原本存儲在企業內部網絡上更為孤立的敏感數據信息，因此使得這類流量更需要受到更好的保護。此外，現代數據中心必須為應用程序和數據提供日志和審計服務，以支持其操作，例如必須符合安全合規性計劃或審計要求。

數據中心運營商們還必須了解來自前幾代先進性網絡安全的威脅。當前網絡安全威脅的典型模式是通過一家企業組織的服務器緩慢地、隱蔽地走向最終的目標服務器，而避免被檢測到。今天的大多數網絡安全威脅均尋求訪問和復制敏感的數據信息，然后將其轉移到一個外部位置，進而獲取經濟利益。

網絡攻擊者通常通過獲得一名普通職員的訪問授權憑證來開始其攻擊。而實現這一點的常見方式是用惡意軟件感染客戶端設備以獲取憑證，或者使用網絡釣魚或其他社交工程技術欺騙用戶向攻擊者提供憑證。然后攻擊者可以使用這些憑證來訪問數據中心內的特定服務器，以及可能支持相同憑證的其他服務器。攻擊者可能需要使用其他安全漏洞以提升其權限，獲得更多用戶帳戶的訪問權或以其他方式繼續朝向目標服務器進展。一旦攻擊者獲得對目標服務器的訪問，最終將利用漏洞將企業組織的敏感數據傳輸到攻擊者在數據中心外部所選擇的系統。

傳統防火墻vs.下一代的防火墻

當評估不同的防火墻產品時，企業IT領導者應該明白，他們的功能差異很大。第一項區別是防火墻是否使用傳統的分析機制，專注于標準的端口和協議;以及其是否提供強大的下一代防火墻的功能。而傳統防火墻和下一代防火墻之間的主要區別在于：

網絡監控：傳統的監控方法僅監控特定的端口，并對每個端口上使用的協議作出假設。在一款非標準端口上運行的任何服務的網絡流量是可以忽略的;故而攻擊者可以利用這一局限性避免被檢測到。而下一代的監控方法不使用關于任何端口上所使用的哪款協議的這樣的假設，所以他們可以看到并解析流量，而不管其所使用的端口。

處理異常協議：傳統的方法假定所有流量僅使用最常見的應用程序協議。傳統的防火墻會受到未知協議的阻礙。在默認情況下，其要么允許流量通過，而不對其進行分析，這是危險的，要么直接阻止流量的傳輸，這又可能中斷授權的操作。下一代的防火墻對應用程序協議有了更廣泛的理解，允許做出更好，更精確的決策。

建立流量管理規則：對于傳統的防火墻而言，管理防火墻策略以反映現實世界的流量通常更為復雜。一款傳統的防火墻使用基于源地址和目的地的IP地址和端口號，以及協議類型和其他數據包特性的規則集。更復雜的是，防火墻通常依賴于反病毒服務器，入侵防御服務器和其他技術來作為其能力的補充。使用這些技術可能需要為每種類型的流量添加額外的規則，并確保所有規則保持適當的順序。這些規則集的防火墻策略維護相當耗時且容易出錯，從而導致了操作中斷和創建漏洞，從而可能允許攻擊者通過防火墻而未被檢測到。

有效的數據中心防御

數據中心的安全防御必須得到擴大和加強，以便包括對于其東西走向流量的安全監測和分析。實現這一目標的一個早期的方法是將所有東西走向的流量集中到一個防火墻實施檢查，然后才允許這些流量繼續傳輸到其相應的目的地。但這樣的架構是非常低效的，增加了所有網絡通信的開銷。而在今天的云環境中，這樣的方法也會錯過在一臺單一的物理服務器內的虛擬機之間的流量。

一處數據中心的南北走向的流量最好由一款或多款企業級的防火墻設備來實施監控，但東西走向的流量則最好由安裝在每臺物理服務器上的虛擬防火墻來負責處理。這些防火墻由每臺服務器的虛擬機管理程序來使用，不僅負責監控進入和離開服務器的所有網絡流量，還監控在服務器的管理程序內的虛擬機之間傳遞的所有網絡流量。

數據中心內的防火墻必須具有強大的功能，以便檢查和分析應用程序的流量。這不僅意味著理解經常用于應用程序組件之間通信的Web、數據庫和其他協議類別，而且還意味著能夠檢查加密網絡流量的內容。保護敏感信息的相同加密技術也隱藏了網絡攻擊。有幾種選項可用于訪問這些加密分組的內容，例如傳輸中的非加密流量，或者采用防火墻檢查其內容，然后在將流量發送到其最終目的地之前對流量進行重新加密，由此給予了企業組織在確定如何確保防火墻審查所有流量內容方面的靈活性。

另一個重要的考慮因素是通過服務器虛擬化所帶來的數據中心云環境的高度動態性。在這樣的環境中，虛擬服務器自動從一臺物理服務器遷移到另一臺物理服務器，并且根據需要產生虛擬服務器的副本，以處理不斷變化的需求，并補償涉及物理服務器和網絡的操作問題。對于虛擬服務器的保護需要使用可將安全策略與每臺虛擬服務器相關聯的防火墻技術，并當虛擬服務器在數據中心內遷移時自動重新定位和啟用該策略。這些防火墻技術還必須具有強大的安全分析功能。但不幸的是，云環境的許多防火墻是基于傳統的，具有太多缺陷的端口監控方法。

保護數據中心的步驟

對于數據中心防御措施的改進最好通過分階段的方法來實現。嘗試更換舊式的防火墻設備，并一次性的部署所需的虛擬防火墻，尤其是在沒有嚴格規劃情況下的轉變可能會導致操作的重大中斷，并帶來安全漏洞，這可能反而喪失了部署防火墻的價值。一個高層次的數據中心安全改進方法可以分為四個階段進行：

• 階段1：收集應用程序的信息，包括其組件，每個組件所使用的數據的敏感性以及組件之間的所有流量的性質。
• 階段2：確定每款應用程序的安全需求，包括每款應用程序組件和每個流量的安全需求。
• 階段3：確定在哪里部署防火墻以滿足這些需求，然后從部署只有基本安全功能的防火墻，作為一個起點。
• 階段4：隨著時間的推移，按照每款應用程序的組件和數據的安全需求啟用額外的其他安全功能，以保護應用程序和他們的數據免受先進的高級威脅的攻擊。在這其中，階段3通常是最具挑戰性的，因為IT管理人員在選擇在何處部署防火墻時，需要考慮太多的因素。例如，他們通常將高價值的應用程序和來自其他操作的數據實施分段，以便為高價值的數據資產提供更強的保護。但是，還有其他太多需要考慮的因素，例如按業務部門，用戶社區(客戶與員工)，用戶位置或操作狀態(如生產、開發和測試環境)分割應用程序。

在某些情況下，一家企業組織可能需要使用網絡分割，從而將其附屬子和最近收購的、但還沒有被整合到企業IT基礎設施的獨立服務器獨立開來。在數據中心使用網絡分割的決策，以減少安全威脅風險時，一家企業組織可能需要考慮幾個潛在的相互矛盾的因素。

尋找能夠提供下一代防火墻功能的技術，以便在高度動態的數據中心環境中檢測當今的高級應用程序威脅。例如，來自Palo Alto Networks公司所提供的各種具有高級功能的防火墻技術變有助于阻止這些網絡安全威脅。通過監控南北走向和東西走向的流量，Palo Alto Networks公司的防火墻可以在網絡安全攻擊生命周期的所有階段(從最初連接到面向Internet的服務器的攻擊者到服務器，再到以服務器為路徑，直到最終攻擊目標)檢測可疑活動。這些防火墻不僅可以分割網絡流量以減少攻擊面，而且還可以成功防止許多基于應用程序的泄密。