CN116866058A - 一种数据中心安全管理方法 - Google Patents

Abstract

本申请涉及数据安全技术领域，公开了一种数据中心安全管理方法，该方法包括配置系统、数据安全交互和数据安全管理，所述配置系统包括对可信任的交互端安全标识的标记；所述数据安全交互包括对数据交互请求进行验证；所述数据安全管理包括对数据进行缓存，并进行数据安全分析，以及对数据进行加密处理，并存储于数据中心内。本申请的数据中心安全管理方法，通过可信任交互端的安全标识的标记、对接收到的数据交互请求的验证以及进行的数据安全分析构成的前端安全管理措施和对数据的加密处理及存储构成的终端安全管理措施的结合，提高了外部与数据中心进行数据交互前的安全监测，以及对数据存储的安全管理，提高数据中心的安全可靠性。

Description

一种数据中心安全管理方法

技术领域

本申请涉及数据安全技术领域，具体是一种数据中心安全管理方法。

背景技术

信息化时代的环境下，网络系统的日趋复杂，使得网络管理难度加大，就连网站和网络维护所需要的人力成本也不断增加。在这些因素中，对带宽的要求和对网络系统的管理成为核心因素。在这种情况下，以资源外包的网络服务方式逐渐受到企业重视，专门提供网络资源外包，以及专业网络服务的Internet数据中心(IDC)应运而生，数据中心是互联网业内分工更加细化的一个必然结果。

正是因为IDC的重要性，造成了许多基于IDC的网络攻击行为的产生。从而，导致大规模的攻击流量严重地侵占了出口带宽，直接降低了IDC整体服务的可用性；垃圾流量挤占着大量的网络带宽，同时病毒的快速扩散和非法用户的接入导致用户资源面临极大的流失和破坏；层出不穷的黑客侵入行为，使IDC内托管的各主机系统面临极大的安全隐患；更严重的是，IDC内部各服务器系统向外部互联网络的访问控制相对宽松，一旦黑客控制某个主机系统，会迅速波及整个IDC。甚至有的黑客会以此为跳板，利用IDC的内部主机和出口带宽，直接向IDC外部网络发起更大规模的攻击，干扰互联网的正常运行。

由此可见，IDC的安全及稳定十分重要。传统的IDC安全管理方式，安全监测手段单一，面对层出不穷的入侵行为和方式，单一的监测技术，并不能够完全避免黑客的入侵。因此，亟需一种系统且全面的IDC安全管理技术来提高IDC的安全性和可靠性。

发明内容

本申请的目的在于提供一种数据中心安全管理方法，以实现系统且全面的IDC安全管理技术来提高IDC的安全性和可靠性。

为实现上述目的，本申请公开了以下技术方案：

一种数据中心安全管理方法，该方法包括配置系统、数据安全交互和数据安全管理；其中，

所述配置系统包括：对数据中心和可信任的交互端配置安全管理系统，所述安全管理系统用于对所述数据中心进行数据安全管理，以及用于对所述可信任的交互端进行安全标识的标记；

所述数据安全交互包括：所述安全管理系统对所述数据中心接收到的数据交互请求进行验证，当验证通过时，对发起该数据交互请求的交互端开放数据传输权限，否则，所述安全管理系统不对发起该数据交互请求的交互端开放数据传输权限；

所述数据安全管理包括：所述安全管理系统对通过验证的数据交互请求对应的交互端传输的数据进行缓存，并进行数据安全分析，当数据安全分析通过时，将该数据进行后续处理，否则，限制该数据的读写；还包括：所述安全管理系统对通过数据安全分析通过的数据进行加密处理，并存储于数据中心的存储空间内。

在一种实施方式中，所述安全管理系统包括：标识设置模块、请求验证模块、传输控制模块、数据缓存模块、安全分析模块和加密存储模块；

所述标识设置模块，用于对可信任的交互端标记安全标识；

所述请求验证模块，用于对接收到的数据交互请求进行验证；

所述传输控制模块，用于对通过数据请求验证的数据交互请求对应的交互端开放数据传输权限；

所述数据缓存模块，用于对通过具有数据传输权限的交互端传输的数据进行缓存；

所述安全分析模块，用于对所述数据缓存模块中缓存的数据进行数据安全分析；

所述加密存储模块，用于对通过数据安全分析的数据进行加密处理，并存储于数据中心的存储空间内。

在一种实施方式中，所述的对所述数据中心接收到的数据交互请求进行验证具体包括：

所述安全管理系统接收数据交互请求；

对接收到的所述数据交互请求进行数据解析，获取该数据交互请求对应的交互端的设备数据；

比对确认所述设备数据中是否具有安全标识，当所述设备数据中具有安全标识时，定义该数据交互请求通过验证，否则，定义该数据交互请求未通过验证。

在一种实施方式中，所述的对接收到的所述数据交互请求进行数据解析之后，还包括：对该数据交互请求进行特征遍历和比对，分析该数据交互请求中数据请求类型和对应的数据内容和/或数据特征是否匹配；当所述设备数据中具有安全标识且所述数据交互请求中数据请求类型和对应的数据内容和/或数据特征匹配时，定义该数据交互请求通过验证，否则，定义该数据交互请求未通过验证；其中，所述特征特征遍历和比对通过机器学习实现，所述机器学习通过以请求类型、请求类型对应的数据内容和数据特征作为关键词进行深度学习实现。

在一种实施方式中，所述安全管理系统不对发起该数据交互请求的交互端开放数据传输权限之后，还包括：对该数据交互请求和与其对应的交互端进行黑名单管理，所述黑名单管理包括：将分析获取的该交互端的IP地址、MAC地址、硬件配置数据中的一种或多种列为黑名单，以及分析获取的该数据交互请求中数据请求类型和对应的数据内容和/或数据特征列为黑名单。

在一种实施方式中，所述的当验证通过时后，还包括：对接收到的所述数据交互请求进行特征遍历和比对，分析该数据交互请求中数据请求类型和对应的数据内容和/或数据特征与黑名单中的数据是否能够匹配，当匹配失败时，确认所述数据交互请求的验证结果为验证通过，否则，确认所述数据交互请求的验证结果为验证不通过。

在一种实施方式中，所述数据安全分析具体包括：

基于数据交互请求获取数据类型和内容概要；

基于获取到的数据类型和内容概要，通过机器学习对数据全文进行遍历匹配，确认该数据对应的数据类型和内容概要与基于数据交互请求获取数据类型和内容概要是否相同，其中，该机器学习通过以数据类型和内容特征作为关键词进行深度学习实现；

当相同时，定义该数据对应的数据安全分析通过，否则，定义该数据对应的数据安全分析不通过。

在一种实施方式中，所述的限制该数据的读写后，还包括：通过大数据提取对该数据进行特征提取，并将提取到的特征存建立数据特征黑名单，其中，所述大数据提取对应的关键词包括：数据类型、数据名称、数据架构、数据链关键特征、数据长度中的一种或多种。

在一种实施方式中，所述数据安全分析还包括将数据对应的分析结果与数据特征黑名单中的特征进行比对，当比对成功时，将该数据对应的数据安全分析结果定义为不通过，否则，定义该数据的数据安全分析通过。

在一种实施方式中，所述加密处理具体包括：

依次将数据对应的数据交互请求及其验证日志、数据对应的安全分析结果日志以及数据内容按照由外至内的顺序进行打包，得到打包文件；

对所述打包文件进行加密压缩，得到压缩数据；

对所述压缩数据采用加密算法进行加密得到密文，将密文存储于所述数据中心内。

有益效果：本申请的数据中心安全管理方法，通过前端安全管理措施和终端安全管理措施的结合，其中，前端安全管理措施包括了可信任交互端的安全标识的标记、对接收到的数据交互请求的验证以及进行的数据安全分析，终端安全管理措施包括了对数据的加密处理及存储，前端安全管理措施的实行，提高了外部与数据中心进行数据交互前的安全监测，终端安全管理措施则在数据进入数据中心后，对数据进行防护外罩的增设以避免数据能够被简单提取、编译利用从而造成对数据中心的入侵和破坏，进而实现对数据中心全面且系统的安全管理，切实提高数据中心的安全可靠性和有效性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅是本申请的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例中数据中心安全管理方法的流程框图；

图2为本申请实施例中安全管理系统的结构框图。

具体实施方式

下面将对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在本文中，术语“包括”意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

参考图1所示的一种数据中心安全管理方法，该方法包括配置系统、数据安全交互和数据安全管理。

具体的，所述配置系统包括：对数据中心和可信任的交互端配置安全管理系统，所述安全管理系统用于对所述数据中心进行数据安全管理，以及用于对所述可信任的交互端进行安全标识的标记。

具体的，所述数据安全交互包括：所述安全管理系统对所述数据中心接收到的数据交互请求进行验证，当验证通过时，对发起该数据交互请求的交互端开放数据传输权限，否则，所述安全管理系统不对发起该数据交互请求的交互端开放数据传输权限。

具体的，所述数据安全管理包括：所述安全管理系统对通过验证的数据交互请求对应的交互端传输的数据进行缓存，并进行数据安全分析，当数据安全分析通过时，将该数据进行后续处理，否则，限制该数据的读写；还包括：所述安全管理系统对通过数据安全分析通过的数据进行加密处理，并存储于数据中心的存储空间内。

基于上述，可信任交互端的安全标识的标记、对接收到的数据交互请求的验证以及进行的数据安全分析构成了本方法的前端安全管理措施，并基于该前端安全管理措施，提高了外部与数据中心进行数据交互前的安全监测，从而在根源上降低入侵行为成功的概率。同时，对数据的加密处理及存储构成了本方法的终端安全管理措施，并通过该终端安全管理措施，对数据进行防护外罩的增设，从而使数据在不被解密的前提下，无法得到完整的数据内容，从而无法得到相应的存储于该数据中的入侵代码，以避免数据能够被简单提取、编译利用从而造成对数据中心的入侵和破坏，进而实现对数据中心全面且系统的安全管理，切实提高数据中心的安全可靠性和有效性。

相应的，在本实施例中，如图2所示，所述安全管理系统包括：标识设置模块、请求验证模块、传输控制模块、数据缓存模块、安全分析模块和加密存储模块；

所述标识设置模块，用于对可信任的交互端标记安全标识；

所述请求验证模块，用于对接收到的数据交互请求进行验证；

所述传输控制模块，用于对通过数据请求验证的数据交互请求对应的交互端开放数据传输权限；

所述数据缓存模块，用于对通过具有数据传输权限的交互端传输的数据进行缓存；

所述安全分析模块，用于对所述数据缓存模块中缓存的数据进行数据安全分析；

所述加密存储模块，用于对通过数据安全分析的数据进行加密处理，并存储于数据中心的存储空间内。

本系统进行数据中心和交互端的安全数据交互内容包括：交互端向安全管理系统发起数据交互请求，请求验证模块对该数据交互请求进行验证，具有被标识设置模块标记了安全标识的交互端通过数据交互请求的验证，传输控制模块开放该交互端与数据中心之间的数据传输权限。然后进行相应的数据存储或数据调取。

数据存储包括：

交互端基于开放的数据传输权限将数据传输至数据缓存模块，安全分析模块对数据缓存模块中的数据进行数据安全分析，通过数据安全分析的数据经加密存储模块加密并存储于数据中心的存储空间内。这其中，不具有数据传输权限或数据的安全分析未通过时，交互端传输的数据均无法进入数据中心的存储空间内。

数据调取包括：

数据中心基于请求验证模块对具有数据传输权限的交互端发起的数据交互请求进行的解析，获取到需要调取的数据参数，并在存储空间内匹配到相应的数据后，通过加密存储模块进行加密逆向解密的方式，对加密后的数据完成解密，然后再通过传输控制模块控制数据传输通道将数据传输至该交互端。这其中，当交互端无法通过数据交互请求验证时，则无法获取数据交互权限，从而无法完成数据调取。并且，由于这一步骤是数据的外调，而并非外部数据向数据中心内存入，同时，外部上传的数据(数据交互请求)也只是流经安全管理系统中，因此，能够隔绝数据外调过程中外部入侵数据达到数据中心的情况，进而确保数据中心的安全性。

作为本实施例的优选地实施方式，所述的对所述数据中心接收到的数据交互请求进行验证具体包括：

所述安全管理系统接收数据交互请求；

对接收到的所述数据交互请求进行数据解析，获取该数据交互请求对应的交互端的设备数据；

比对确认所述设备数据中是否具有安全标识，当所述设备数据中具有安全标识时，定义该数据交互请求通过验证，否则，定义该数据交互请求未通过验证。

进一步地，所述的对接收到的所述数据交互请求进行数据解析之后，还包括：对该数据交互请求进行特征遍历和比对，分析该数据交互请求中数据请求类型和对应的数据内容和/或数据特征是否匹配；当所述设备数据中具有安全标识且所述数据交互请求中数据请求类型和对应的数据内容和/或数据特征匹配时，定义该数据交互请求通过验证，否则，定义该数据交互请求未通过验证；其中，所述特征特征遍历和比对通过机器学习实现，所述机器学习通过以请求类型、请求类型对应的数据内容和数据特征作为关键词进行深度学习实现。

通过上述的数据交互请求的验证方式，提高了数据交互请求来源的安全检测效率和质量，进而避免不被信任的交互端与数据中心建立交互通道。

作为本实施例的一种优选地实施方式，所述安全管理系统不对发起该数据交互请求的交互端开放数据传输权限之后，还包括：对该数据交互请求和与其对应的交互端进行黑名单管理，所述黑名单管理包括：将分析获取的该交互端的IP地址、MAC地址、硬件配置数据中的一种或多种列为黑名单，以及分析获取的该数据交互请求中数据请求类型和对应的数据内容和/或数据特征列为黑名单。

进一步地，所述的当验证通过时后，还包括：对接收到的所述数据交互请求进行特征遍历和比对，分析该数据交互请求中数据请求类型和对应的数据内容和/或数据特征与黑名单中的数据是否能够匹配，当匹配失败时，确认所述数据交互请求的验证结果为验证通过，否则，确认所述数据交互请求的验证结果为验证不通过。

通过上述的验证方式，提高了数据交互请求验证过程中的基础数据量，进而能够确保对层出不穷的躲避安排排查的入侵手段进行防护，切实提高数据中心的安全性和安全管理的可靠性。

作为本实施例的一种优选地实施方式，所述数据安全分析具体包括：

基于数据交互请求获取数据类型和内容概要；

基于获取到的数据类型和内容概要，通过机器学习对数据全文进行遍历匹配，确认该数据对应的数据类型和内容概要与基于数据交互请求获取数据类型和内容概要是否相同，其中，该机器学习通过以数据类型和内容特征作为关键词进行深度学习实现；

当相同时，定义该数据对应的数据安全分析通过，否则，定义该数据对应的数据安全分析不通过。

进一步地，所述的限制该数据的读写后，还包括：通过大数据提取对该数据进行特征提取，并将提取到的特征存建立数据特征黑名单，其中，所述大数据提取对应的关键词包括：数据类型、数据名称、数据架构、数据链关键特征、数据长度中的一种或多种。

进一步地，所述数据安全分析还包括将数据对应的分析结果与数据特征黑名单中的特征进行比对，当比对成功时，将该数据对应的数据安全分析结果定义为不通过，否则，定义该数据的数据安全分析通过。

基于上述的数据安全分析方式，能够提高数据安全分析效率以及对于数据安全分析的全面性，从而有效的对藏匿于数据中的威胁手段的排查，并对所有具有隐患的数据进行拦截，从而提高安全管理的可靠性以及数据中心的安全性。

作为本实施例的一种优选地实施方式，所述加密处理具体包括：

依次将数据对应的数据交互请求及其验证日志、数据对应的安全分析结果日志以及数据内容按照由外至内的顺序进行打包，得到打包文件；

对所述打包文件进行加密压缩，得到压缩数据；

对所述压缩数据采用加密算法进行加密得到密文，将密文存储于所述数据中心内。

可行的是，加密算法可以是现有技术中的任意一种或多种，可以是单重加密也可以是双重加密甚至是多重加密，所采用的加密算法的等级可以依据数据中心的重要性以及数据的重要性，通过人工或智能匹配的方式，完成加密算法的选择和加密。基于上述的加密处理步骤，实现了对能够被存储于数据中心的数据的防护，从而避免该数据能够被外界调用导致对数据中心造成破坏，确保数据中心的安全性。

在本申请所提供的实施例中，应该理解到，可以以硬件、软件、固件、中间件、代码或其任何恰当组合来实现这里描述的实施例。对于硬件实现，处理器可以在一个或多个下列单元中实现：专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、处理器、控制器、微控制器、微处理器、设计用于实现这里所描述功能的其他电子单元或其组合。对于软件实现，实施例的部分或全部流程可以通过计算机程序来指令相关的硬件来完成。实现时，可以将上述程序存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。计算机可读介质可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。

最后应说明的是：以上所述仅为本申请的优选实施例而已，并不用于限制本申请，尽管参照前述实施例对本申请进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换，凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种数据中心安全管理方法，其特征在于，该方法包括配置系统、数据安全交互和数据安全管理；其中，

所述配置系统包括：对数据中心和可信任的交互端配置安全管理系统，所述安全管理系统用于对所述数据中心进行数据安全管理，以及用于对所述可信任的交互端进行安全标识的标记；

所述数据安全交互包括：所述安全管理系统对所述数据中心接收到的数据交互请求进行验证，当验证通过时，对发起该数据交互请求的交互端开放数据传输权限，否则，所述安全管理系统不对发起该数据交互请求的交互端开放数据传输权限；

所述数据安全管理包括：所述安全管理系统对通过验证的数据交互请求对应的交互端传输的数据进行缓存，并进行数据安全分析，当数据安全分析通过时，将该数据进行后续处理，否则，限制该数据的读写；还包括：所述安全管理系统对通过数据安全分析通过的数据进行加密处理，并存储于数据中心的存储空间内。

2.根据权利要求1所述的数据中心安全管理方法，其特征在于，所述安全管理系统包括：标识设置模块、请求验证模块、传输控制模块、数据缓存模块、安全分析模块和加密存储模块；

所述标识设置模块，用于对可信任的交互端标记安全标识；

所述请求验证模块，用于对接收到的数据交互请求进行验证；

所述传输控制模块，用于对通过数据请求验证的数据交互请求对应的交互端开放数据传输权限；

所述数据缓存模块，用于对通过具有数据传输权限的交互端传输的数据进行缓存；

所述安全分析模块，用于对所述数据缓存模块中缓存的数据进行数据安全分析；

所述加密存储模块，用于对通过数据安全分析的数据进行加密处理，并存储于数据中心的存储空间内。

3.根据权利要求1或2所述的数据中心安全管理方法，其特征在于，所述的对所述数据中心接收到的数据交互请求进行验证具体包括：

所述安全管理系统接收数据交互请求；

对接收到的所述数据交互请求进行数据解析，获取该数据交互请求对应的交互端的设备数据；

比对确认所述设备数据中是否具有安全标识，当所述设备数据中具有安全标识时，定义该数据交互请求通过验证，否则，定义该数据交互请求未通过验证。

4.根据权利要求3所述的数据中心安全管理方法，其特征在于，所述的对接收到的所述数据交互请求进行数据解析之后，还包括：对该数据交互请求进行特征遍历和比对，分析该数据交互请求中数据请求类型和对应的数据内容和/或数据特征是否匹配；当所述设备数据中具有安全标识且所述数据交互请求中数据请求类型和对应的数据内容和/或数据特征匹配时，定义该数据交互请求通过验证，否则，定义该数据交互请求未通过验证；其中，所述特征特征遍历和比对通过机器学习实现，所述机器学习通过以请求类型、请求类型对应的数据内容和数据特征作为关键词进行深度学习实现。

5.根据权利要求1或2所述的数据中心安全管理方法，其特征在于，所述安全管理系统不对发起该数据交互请求的交互端开放数据传输权限之后，还包括：对该数据交互请求和与其对应的交互端进行黑名单管理，所述黑名单管理包括：将分析获取的该交互端的IP地址、MAC地址、硬件配置数据中的一种或多种列为黑名单，以及分析获取的该数据交互请求中数据请求类型和对应的数据内容和/或数据特征列为黑名单。

6.根据权利要求5所述的数据中心安全管理方法，其特征在于，所述的当验证通过时后，还包括：对接收到的所述数据交互请求进行特征遍历和比对，分析该数据交互请求中数据请求类型和对应的数据内容和/或数据特征与黑名单中的数据是否能够匹配，当匹配失败时，确认所述数据交互请求的验证结果为验证通过，否则，确认所述数据交互请求的验证结果为验证不通过。

7.根据权利要求1或2所述的数据中心安全管理方法，其特征在于，所述数据安全分析具体包括：

基于数据交互请求获取数据类型和内容概要；

基于获取到的数据类型和内容概要，通过机器学习对数据全文进行遍历匹配，确认该数据对应的数据类型和内容概要与基于数据交互请求获取数据类型和内容概要是否相同，其中，该机器学习通过以数据类型和内容特征作为关键词进行深度学习实现；

当相同时，定义该数据对应的数据安全分析通过，否则，定义该数据对应的数据安全分析不通过。

8.根据权利要求7所述的数据中心安全管理方法，其特征在于，所述的限制该数据的读写后，还包括：通过大数据提取对该数据进行特征提取，并将提取到的特征存建立数据特征黑名单，其中，所述大数据提取对应的关键词包括：数据类型、数据名称、数据架构、数据链关键特征、数据长度中的一种或多种。

9.根据权利要求8所述的数据中心安全管理方法，其特征在于，所述数据安全分析还包括将数据对应的分析结果与数据特征黑名单中的特征进行比对，当比对成功时，将该数据对应的数据安全分析结果定义为不通过，否则，定义该数据的数据安全分析通过。

10.根据权利要求1或2所述的数据中心安全管理方法，其特征在于，所述加密处理具体包括：

依次将数据对应的数据交互请求及其验证日志、数据对应的安全分析结果日志以及数据内容按照由外至内的顺序进行打包，得到打包文件；

对所述打包文件进行加密压缩，得到压缩数据；

对所述压缩数据采用加密算法进行加密得到密文，将密文存储于所述数据中心内。