构建证券行业虚拟化数据中心基础架构的信息安全研究

1田勇，孙舟，施越，喻建（申银万国证券股份有限公司，上海 200031）摘　要：随着证券行业各种新业务的不断发展，为了提升业务灵活性、降低运营成本，使用虚拟化的信息系统架构将会是数据中心的发展方向。

同时，由于系统架构的变化、边界模糊化、资源集中化、数据分散化，与其相关的信息安全问题日益突出。

文章提出了基于信息安全角度考虑的虚拟化数据中心安全架构和与之相适应的安全管理思路，从而有效控制虚拟化技术所带来的信息安全问题。

此外，文章还通过某证券公司虚拟化基础信息架构规划设计案例进一步论证了这个安全体系架构的可行性。

关键词：证券；虚拟化；数据中心；信息安全中图分类号：TP393.08 文献标识码：A 文章编号：1671-1122（2012）12-0001-03A Study of Building an Information Security Framework in a Virtualized Data Center of Securities IndustryTIAN Yong, SUN Di-zhou, SHI Yue, YU Jian( Shenyin & Wanguo Securities CO., LTD., Shanghai 200031, China )Abstract: With the continued development of new business in securities industry, the future direction of data center will based on the virtualized information system to increase business fl exibility and reduce operation costs. Meanwhile, due to the change of infrastructure, fuzzy boundaries, centralized resources, and decentralized data, the information security issues related to the system have becoming increasingly prominent. In this paper, using this framework, the security issues in the virtual technology would be controlled effectively. In addition, the authors also discussed the feasibility of this security framework in the paper by a case study of designing a virtualized information system infrastructure in a certain securities company.Key words: securities; virtualized; data center; information securitydoi ：10.3969/j.issn.1671-1122.2012.12.001构建证券行业虚拟化数据中心基础架构的信息安全研究收稿时间：2012-11-15作者简介：田勇（1977-），男，浙江，部门经理，硕士，主要研究方向：信息安全；孙舟（1985-），男，上海，安全员，硕士，主要研究方向：信息安全；施越（1986-），男，上海，安全员，本科，主要研究方向：安全策略；喻建（1980-），男，湖南，系统管理员，硕士，主要研究方向：系统管理与安全。

1 证券行业应用虚拟化的原因及意义随着全球证券市场的不断发展，各种新型业务模式的纷纷涌现，加上监管部门对于证券公司创新的鼓励，虚拟化信息系统对于证券行业业务发展的意义逐渐显现，主要表现[1-8]在以下几个方面。

降低运营成本：通过虚拟化，能够跨集群高效地管理和分配资源；集成的安全和网络网关服务减少对专用设备的需求，从而提高运营效率和资源利用率。

提升业务灵活性：虚拟化架构能够动态部署、移动或扩展虚拟工作负载，而无需重新配置物理网络；自动调配和横向扩展网络连接和安全服务；更好地控制和了解虚拟通信流量以制定合理的安全策略。

高度可扩展性：虚拟化架构同时可以开放第三方接口，延展插入第三方服务，从而提供选择空间和灵活性，为基于硬件和软件的解决方案提供一致的支持。

作为一项新的技术，如果缺乏针对虚拟化架构的有效管理体系，不可避免地会带来新的安全风险。

2 案例分析下面以某证券公司通过虚拟化架构搭建的门户网站系统为例，来探讨的虚拟化架构安全管理体系的可行性。

2.1 需求分析某证券公司准备构建一个面向公司所有客户的网上交易系统。

网上交易系统主要面向所有业务客户，主要功能有行情资讯、委托交易、客户互动社区等。

2.2 设计目标网站总体性能支持200万用户注册，500用户并发访问。

在建设新一代以云计算为目标的采用虚拟化的方式部署网站系统，这样既能在满足现有业务需求的同时降低成本，又能具有高度的扩展性及业务灵活性。

2.3 整体架构设计图如图1所示，网上交易系统总体分为4层，分别为：物理层（资源池）、网络层、系统层和控制层。

1）物理层是根据性能及容量需求，可进行硬件堆叠，具有高扩展性的资源池，包括异构的服务器池（不同厂商）和异构的存储池（NAS、IBM数据带）。

2）网络层采用分布式交换机组成的VXLAN（虚拟可扩展局域网），实现IP可达的简单冗余网络结构。

3）系统层是通过在物理机上嵌入式部署虚拟化管理程序，进而建立VDC（虚拟数据中心），部署虚拟机（VM）作为网上交易系统的应用服务器实现。

4）控制层是为系统层的访问控制、负载均衡、流量包过滤、传输加密、安全审计和虚拟机管理提供安全功能。

2.4 系统设计2.4.1 底层系统防护平台保护：独立于通用操作系统运行简化了虚拟化管理程序的管理并提高了安全性，采用VMware的VMwareESXi体系架构,通过在物理机上嵌入式部署虚拟化管理程序VSphere，所有模块经过数字签名，通过ESXi内嵌防火墙保护管理接口等方式，对虚拟管理系统进行保护。

2.4.2 虚拟客户机安全防护通过补丁管理程序对补丁的分发采取同一管理，通过对上线虚机进行漏洞分析，在不改变文件结构的情况下，以模块的形式将相应补丁装在到虚拟机上，在不占用过多系统资源时有效对各系统的补丁进行控制。

客户机的安全防护通过基于策略的系统部署，智能部署经认可的OS镜像软件包，分发补丁。

并加载vCloudNetworking and Security系列组件，达成对虚机的安全加固目标：1）访问控制：加载vShield APP组件（虚拟应用防火墙），隔离和保护应用及虚拟机。

VMware vShieldTM App中虚拟化管理程序级别的防火墙提供的自适应安全保护机制可随虚拟机在主机之间迁移而移动，以便企业能够在动态的云计算环境中安全地支持其虚拟应用，组织可以了解和控制虚拟机之间的网络通信。

2）数据防泄密：加载Data Security组件，能够识别非结构化文件共享上的敏感业务信息，保护数据安全，防止数据泄密。

3）防恶意代码、深度包检测、完整性监控、日志审计：加载vCloud Ecosystem Framework组件，集成第三方服务，使用趋势的Trend Micro Deep Security 8.0组件，实现传统IPS/IDS、防火墙、防病毒软件的功能，达到底层无代理防护。

2.5 网络设计本方案通过采用VMware®vCloud Networking and Security组件，可以提高运营效率，敏捷高效并可实现能够快速响应业务需求的延展性。

它可在单一解决方案中提供大量不同的服务，包括虚拟防火墙、VPN、负载平衡和 VXLAN 扩展网络。

创建虚拟网络并确保安全的第一步是抽象化和池化资源。

vCloud Networking and Security 可将网络连接和安全服务抽象成一个一般意义上的容量池，从而使用户能够脱离底层物理基础架构使用这些服务。

通过部署虚拟工作负载加快应用调配，而无需重新配置物理网络。

提供虚拟化的网关服务，例如防火墙、VPN 和负载平衡器等。

同时在本方案中集成了第三方的应用安全网关产品，加载vShield Edge（边缘网关）实现IDS、防病毒网关等网络边缘防护功能。

2.6 数据安全设计虚拟化系统需要配置大量存储设备，设计采用了华为赛门铁克的云存储解决方案，实现如下功能：访问控制层，通过访问控制与身份认证，采用加密技术SSL对用户存储数据进行保护，使数据在网络传输中得到较为安全的保障。

用户与云存储服务器相互认证，对双方安全证书和身份进行鉴别，成功后用户代理通过安全API和云通信连接进行数据存储服务。

此外，需要着重指出的是，在虚拟化环境下应当重视敏感数据的识别和安全管控，可以采用vmware Data Security和VMware vShield App组件，对分散在云存储中的关键信息进行识别、分类并进行防护和审计。

图1 基于虚机架构的证券公司网上交易系统架构图3数据管理层，是将文件切分后进行分布式存储。

对于每一个单独的数据片段来说，如果数据在网络传输过程中被他人截获，被植入的木马病毒扫描获取或在存储设备上被意外窃取，由于截取方只是获得信息的部分数据片段，截取的信息并不具有任何实际含义，这样就能够保证数据分片后不会产生保密信息泄露或扩散。

这种分布式的存储方式如图2，可以保障数据的完整性和可用性。

数据文件平时会自动分散存储到虚拟存储池中的各类存储上，并自动化实现数据冗余。

当某个存储发生故障后，存储在该存储设备上的数据会自动漂移至其他存储设备上避免因物理存储故障带来的数据丢失风险。

存储层中，存储设备可以是FC 存储设备，可以是NAS 和iSCSI 等IP 存储设备，也可以是SCSI 或SAS 等DAS 存储设备。

在存储方案中，为了最大程度避免存储介质单一或云存储逻辑错误带来的全局性数据丢失风险，我们选择了云存储+传统数据磁带的异构存储方式，以保障关键数据在不同存储方式和介质的相互备份。

2.7 管理流程在基于传统的IT 治理流程体系下，实现虚拟化基础架构应当增加考虑以下几个管理问题[9]：1）组织架构的调整。

在原先的运维管理团队上，附加成立了专业的虚拟化安全管理领导小组。

该小组对对虚拟管理系统需求、设计、变更进行管理层审核。

此外因当明确虚拟化条件下的数据资产管理归属问题，重新定义和划分虚拟化资产（包括硬件、系统、网络、数据等）管理责任人和管理职责。